配置DNS服务器Word文件下载.docx
《配置DNS服务器Word文件下载.docx》由会员分享,可在线阅读,更多相关《配置DNS服务器Word文件下载.docx(11页珍藏版)》请在冰豆网上搜索。
![配置DNS服务器Word文件下载.docx](https://file1.bdocx.com/fileroot1/2022-11/23/ad002db2-88ba-41cc-8a07-75b2d1c984a5/ad002db2-88ba-41cc-8a07-75b2d1c984a51.gif)
(3)主机地址记录A
(4)别名记录CNAME
(5)邮件交换器记录MX
(6)指针记录PTR
7、正向查找和逆向查找
正向查找是将名称映射为IP地址的请求。
是最常见的查找类型,并被用来查找服务器的IP地址。
进而开始建立到该地址的连接。
这种类型的请求要求进行“名称到地址”的解释。
逆向查找是将IP地址映射到名称的请求。
逆向查找的请求进行“地址到名称”的解释。
8、现存的DNS区域
DNS区域可分为主区域、从区域与短区域3种类型。
主区域:
有配置DNS的数据文件,例如在/var/name里面的正向及反查文件。
创建新的主区域是指创建拥有原始的区域资料、可以提供授权的域。
从区域:
主要是进行主区域的数据备份,同时也提供Internet上面的查询功能。
使用主/从区域的最大优点在于“单点维护”的能力,即修改主区域就可让从区域的数据同時更新。
短区域:
会將此区域的所有要求转送到其它的服务器。
9、测试
(1)用host命令查询域名
登录Linux的控制台,执行host命令,检查出现结果是否正确。
host
hasaddress192.168.0.2//正向解释成功
host192.168.0.2
2.0.168.192.IN-ADDR.ARPAdomainnamepointer//反向解释成功
isanicknamefor
hasaddress192.168.0.2//别名解释成功
mailishandled(pri=10)by//邮件服务器解释成功
(2)使用nslookup进行测试
Nslookup有交互式和非交互式两种使用方式。
v非交互式:
仅仅查询一条数据。
使用格式为:
Nslookup[name|IP]
v交互方式:
不带参数直接启动Nslookup进入。
交互方式中可以使用的命令有:
?
/help:
命令帮助
ctrl+d/exit:
退出命令
ctrl+c:
中断命令(不退出)
setall:
查看设置
server[name]:
设置查询的名字服务器
setq=any查询任何类型
setq=mx查询邮件服务器
setq=ns查询名字服务器
10、使用配置文件配置DNS服务器
◆配置文件及相关概念
在bind中,配置named一共需要配置五个文件:
(1)启动文件/etc/named.conf
设置通用named参数,给出由该服务器所在的域数据库信息的源。
(2)缓存文件/var/named/named.ca
指向根域服务器。
(3)自反文件/var/named/named.local
用于本地解析自反地址。
(4)正向域区文件/var/named/named.hosts
映射主机名IP地址的区文件。
(5)反向域区文件/var/named/named.rev
映射IP地址到主名的反向域的区文件。
◆名字服务器的数据库文件实例
(1)启动文件named.conf示例:
options{
directory"
/var/named"
;
};
zone"
."
{
typehint;
;
线索
file"
named.ca"
};
0.0.127.in-addr.arpa"
typemaster;
named.local"
"
named.hosts"
0.168.192.in-addr.arpa"
named.rev"
(2)缓存文件named.ca在安装时生成,不需要配置。
(3)自反文件named.local实例
@INSOA..(
305;
序列号
10800;
备份时间
1800;
备份重试时间
3600000;
备份服务器的有效期
86400);
ZONE中记录的最小生存期
INNS.
1INPTRlocalhost.
说明:
原始服务器是.
有关本区问题的联系地址是root@
(4)正向域区文件named.hosts实例:
(负责zone"
)
20010328;
serial
86400;
refresh
1800;
retry
2592000;
expire
default_ttl
)
NS
MX
INMX0.
dnsINA192.168.0.2
//解释为=192.168.0.2
hhINA192.168.0.19
homeINA192.168.0.17
mailINA192.168.0.3
proxyINCNAME.
mailINCNAME.
musicINCNAMEL.
(5)反向域区文件named.rev:
(负责zone"
2001032801;
300;
INNS.
3INPTR.
//3.0.168.192==>
rev->
192.168.0.3
2INPTR.
19INPTR.
17INPTR.
11、启动named
管理员修改完DNS的配置文件,需要执行/etc/rc.d/init.d/
namedrestart来使更改生效。
12、配置从域名服务器
配置从域名服务器,只需要配置一个named.conf,其它数据从主服务器中得到。
0.0.127.IN-ADDR.ARPA"
{
typeslave;
sgu.name"
masters{192.168.0.2;
0.168.192.IN-ADDR.ARPA"
sgu.rev"
作业:
1.说明在创建DHCP作用的过程中需要输入那些必要信息?
2.怎样才能使某一台计算机成为DHCP客户机?
3、什么是DNS服务?
DNS服务器用哪个端口提供服务呢?
用什么协议?
4、DNS数据库文件中的MX,A,CNAME,PTR,NS,SOA的含义是什么?
配置防火墙
1、防火墙的任务
防火墙系统是一种网络安全部件,它可以是硬件,也可以是软件,也可能是硬件和软件的结合。
防火墙处于被保护网络和其它网络的边界,接收进出被保护网络的数据流,并根据防火墙所配置的访问控制策略进行过滤或做出其它操作。
防火墙系统不仅能够保护网络资源不受外部的侵入,而且还能够拦截从被保护网络向外传送有价值的信息。
2、防火墙技术
按照实现技术分类防火墙的基本类型有:
◆包过滤型
◆代理服务型
◆状态检测型
a)防火墙的包过滤技术
包过滤(PacketFilter)通常安装在路由器上,并且大多数商用路由器都提供了包过滤的功能。
包过滤是一种安全筛选机制,它控制哪些数据包可以进出网络而哪些数据包应被网络所拒绝。
b)防火墙的应用代理技术
代理服务(ProxyService)系统一般安装并运行在双宿主机上。
双宿主机是一个被取消路由功能的主机,与双宿主机相连的外部网络与内部网络之间在网络层是被断开的。
这样做的目的是使外部网络无法了解内部网络的拓扑。
这与包过滤防火墙明显不同,就逻辑拓扑而言,代理服务型防火墙要比包过滤型更安全。
C)防火墙的状态检测技术
状态检测防火墙在网络层由一个检测模块截获数据包,并抽取与应用层状态有关的信息,并以此作为依据决定对该连接是接受还是拒绝。
检测模块维护一个动态的状态信息表,并对后续的数据包进行检查。
一旦发现任何连接的参数有意外的变化,该连接就被中止。
状态检测检查OSI七层模型的所有层,以决定是否过滤,而不仅仅对网络层检测,状态检测型防火墙如图所示。
目前许多包过滤防火墙中都使用多层状态检测。
3、iptables简介
◆iptables/netfilter包过滤防火墙其实由两个组件构成,一个是netfilter、一个是iptables。
◆iptables只是一个管理内核包过滤的根据,它可以加入、插入或删除核心包过滤表格(链)中的规则,这些规则告诉内核中的netfilter组件如何去处理信息包。
也就是说,实际上真正执行这些过滤规则的是netfilter及相关模块(如iptables模块和nat模块)。
◆netfilter是Linux内核中的一个通用架构,它提供了一系列的表(tables),每个表由若干个链(chains)组成,而每个链可以由一条或若干条规则(rule)组成。
可以这样理解,netfilter是表的容器,表是链的容器,而链又是规则的容器。
◆系统缺省的表为“filter”,该表中包含了INPUT、FORWARD、OUTPUT等3个链。
每一个链中有一条或数条规则,每一条规则都是这样定义的“如果数据包头符合这样的条件,就这样处理数据包”。
当一个数据包到达一个链时,系统就会从第一条规则开始检查,看是否符合该规则所定义的条件:
如果满足,系统将根据该条规则所定义的方法处理该数据包;
如果不满足则继续检查下一条规则。
最后,如果该数据包不符合该链中任一条规则,系统就会根据该链预先定义的策略(policy)来处理该数据包。
a)iptables的规则(rules)
规则就是网络管理员预定义的条件,规则一般定义为“如果数据包符合这样的条件,就这样处理这个数据包”。
规则存储在内核空间的信息包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(TCP、UDP和ICMP)和服务类型(如HTTP、FTP和DNS)。
当数据包与规则匹配时,iptables就会根据规则所定义的方法来处理这些数据包,如允许通过(ACCEPT)、拒绝(REJECT)和丢弃(DROP)等。
配置防火墙主要就是添加、修改和删除这些规则。
b)iptables的链(chains)
链(chains)是数据包传播的路径,每一个链其实就是众多规则中的一个检查清单,每一个链中可以有一条或数条规则。
当一个数据包到达一个链时,iptables就会从链中的第一条规则开始检查,看该数据包是否满足规则所定义的条件,如果满足,系统就会根据该条规则所定义的方法处理该数据包,否则iptables将继续检查下一条规则。
如果该数据包不符合链中任一套规则,iptables就会根据该链预先定义的默认策略来处理数据包。
C)iptables的表(tables)
表(tables)提供特定的功能,iptables内置3个表,即filter表、nat表和managle表,分别用于实现包过滤、网络地址转换(nat)和包重构的功能。
◆filter表。
◆nat表
◆managle表
d)iptables传输数据包的过程
iptables对数据包的传输有特定的处理过程。
当一个数据包进入网卡时,它首先进入PREROUTING链,系统根据数据包的目的地址判断是否需要转发出去。
可能有以下3种情况:
v如果数据包的目的地址是本机,则系统将数据包送往INPUT链,如果通过规则检查,则将该数据包发给相应的本地进程处理;
如果没有通过规则检查,系统就会将这个包丢弃。
v如果数据包的目的地址不是本机,也就是说,这个包将被转发,则系统将数据包送往FORWARD链,如果通过规则检查,则该数据包被发给相应的本地进程处理;
如果没有通过规则检查,系统就会将这个数据包丢弃。
v如果数据包是由本地系统进程产生的,则系统将其发送到OUTPUT链,如果通过规则检查,则该数据包被发给相应的本地进程处理;
e)定义规则
下面用IPtables一步一步地来建立包过滤防火墙。
1.对规则的操作
-A加入(append)一个新规则到一个链的最后。
-I在链内某个位置插入(insert)一个新规则,通常是插在最前面,插入位置序号写在Forward后。
-R在链内某个位置替换(replace)一条规则。
-D删除(delete)链内第一条规则。
2.指定源地址、目的地址、协议和网络接口
-s指定源地址,-d指定目的地址。
-p指定协议,例如-ptcp。
-i或-o指定网络接口。
从NAT的原理可以看出,对于Input链来说,只可能有-i,也即只会有进入的包;
同理,对于Output链来说,只可能有-o,也即只会有出去的包。
只有Forward链既可以有-i的网络接口,也可以有-o的网络接口。
Drop表示符合规则就丢弃包,Accept则表示符合规则就接收包。
3.Iptables规则实例
下面的这个例子主要对内部的各种服务器提供保护。
首先给IPtables规则设置一个存储路径:
iptables-restore/etc/sysconfig/iptables。
然后开始考虑规则。
在这里需要注意的是,服务器/客户机交互是双向的,所以不仅仅要设置数据包出去的规则,还要设置数据包返回的规则,下面先建立针对来自Internet数据包的过滤规则。
(1)首先禁止转发任何包,然后再一步步设置允许通过的包。
(2)先允许源为内网的所有端口的TCP包。
(3)再允许目的为内部网(192.168.5.0/24)的FTP数据包。
(4)允许目的为内网的来自Internet的非连接请求TCP包。
(5)icmp包通常用于网络测试等,故允许所有的icmp包通过。
但是由于黑客常常采用icmp进行攻击,如“pingofdeath”等,所以采用limit匹配扩展加以限制。
对不管来自哪里的icmp包都进行限制,允许每秒通过一个包,该限制触发的条件是10个包。
因此可以写出下面的规则:
(1)iptables-PFORWARDDROP
(2)iptables-AFORWARD-ptcp-s198.168.5.2-ieth0-jACCEPT
(3)iptables-AFORWARD-ptcp-s0/0--sportftp-data-d198.168.5.0/24-ieth0-jACCEPT
(4)iptables-AFORWARD-ptcp-d198.168.80.0/24!
-syn-ieth0-jACCEPT
(5)iptables-AINPUT-picmp-mlimit--limit1/s--limit-burst10-jACCEPT
执行命令IPtables-L,可以查看已经建立的规则,用命令IPtables-save将规则写入文件。
通过以上步骤,建立了一个相对完整的防火墙,只对外开放了有限的几个端口,同时提供了客户对Internet的无缝访问。