要安装 DNS 服务器，请启动 YaST 并选择软件+软件管理。选择视图+模式，然后选择 DHCP 和 DNS 服务器。确认安装相关的包来完成安装进程。

使用 YaST DNS 模块为本地网络配置 DNS 服务器。第一次启动此模块时，会启动向导，提示您做出一些有关服务器管理的决定。完成此初始设置后，将产生基本服务器配置。使用专家模式可处理更高级的配置任务，例如设置 ACL、日志记录、TSIG 密钥和其他选项。

25.3.2. 专家配置¶

启动此模块后，YaST 将打开一个窗口，其中显示了多个配置选项。完成此窗口会生成具有基本功能的 DNS 服务器配置：

25.3.2.1. 币笆¶

在启动下，定义是要在引导系统时启动 DNS 服务器，还是手动启动 DNS 服务器。要立即启动 DNS 服务器，请单击立即启动 DNS 服务器。要停止 DNS 服务器，请单击立即停止 DNS 服务器。要保存当前设置，请选择保存设置并立即重新装载 DNS 服务器。您可以用打开防火墙中的端口打开防火墙中的 DNS 端口，并用防火墙细节修改防火墙设置。

通过选择 LDAP 支持处于活动状态，让 LDAP 数据库管理区域文件。重启动 DNS 服务器或提示重装载其配置时，DNS 服务器将立刻挑选出写入到 LDAP 数据库的任何区域数据更改。

25.3.2.2. 转发器¶

如果您的本地 DNS 服务器无法应答请求，则会尝试将请求转发给转发器（如果进行了这样的配置）。转发器可手动添加到转发器列表。如果在拨号连接中转发器不是静态的，则 netconfig 会处理配置。有关 netconfig 的更多信息，请参见 man 8 netconfig。

25.3.2.3. 基本选项¶

在这一部分，设置基本的服务器选项。从选项菜单中，选择所需的项，然后在相应输入字段中指定值。选择添加包括新的条目。

25.3.2.4. 日志记录¶

要设置 DNS 服务器应该记录的内容和记录方法，请选择日志记录。在日志类型下，指定 DNS 服务器将日志数据写入的位置。选择系统日志来使用系统级日志文件 /var/log/messages，或选择文件来指定另一个文件。对于后者，请额外指定一个名称、最大文件大小（以兆字节为单位）以及要储存的日志文件版本数。

在附加日志记录下可以使用其他一些选项。启用记录所有的 DNS 查询将记录每个查询，在这种情况下，日志文件可能会变得非常大。出于这个原因，如果不是为了调试，则最好不要启用此选项。要记录区域更新期间 DHCP 和 DNS 服务器之间的通讯数据，请启用记录区域更新。要记录将区域从主服务器传送到从属服务器期间的数据流量，请启用记录区域传送。请参见图 25.4 “DNS 服务器：日志记录”。

图 25.4. DNS 服务器：日志记录¶

25.3.2.5. ACL¶

使用此对话框定义 ACL（访问控制列表）来强制执行访问限制。在名称下提供不同的名称后，在值下指定具有下列形式的 IP 地址（带有或不带有网络掩码）：

{ 192.168.1/24; }

配置文件的语法要求地址以分号结尾且放在花括号中。

25.3.2.6. TSIG 密钥¶

TSIG（事务签名）的主要用途是保护 DHCP 和 DNS 服务器间通讯的安全性。这些内容在第 25.8 节 “安全事务”中有所介绍。

要生成 TSIG 密钥，请在标为密钥 ID 的字段中输入一个唯一名称，并指定储存密钥的文件（文件名）。用生成确认选择。

要使用以前创建的密钥，请将密钥 ID 字段保留为空，并在文件名下选择储存这个密钥 ID 的文件。选择后，请用添加按钮进行确认。

25.3.2.7. DNS 区域（添加从属区域）¶

要添加从属区域，请选择 DNS 区域，然后选择区域类型从属，写入新区域名称并单击添加。

在主 DNS 服务器 IP 下的区域编辑器子对话框中，指定从属服务器将从中获取数据的主服务器。要限制对此服务器的访问，可从列表中选择一个 ACL。

25.3.2.8. DNS 区域（添加主区域）¶

要添加主区域，请选择 DNS 区域，然后选择区域类型主，写入新区域名称并单击添加。当添加主区域时，也需要一个反向区域。例如，当添加区域 example.com（指向子集 192.168.1.0/24 中的主机）时，也应为包含的 IP 地址范围添加一个反时向区域。按照定义，应命名为 1.168.192.in-addr.arpa。

25.3.2.9. DNS 区域（编辑主区域）¶

要编辑主区域，请选择 DNS 区域，从表中选择主区域，最后单击编辑。该对话框包含几个页面：基本（第一个打开的页面）、NS 记录、MX 记录、SOA 和记录。

图 25.5 “DNS 服务器：区域编辑器（基本）”中显示的基本对话框用于定义动态 DNS 的设置以及指向客户端和从属名称服务器的区域传送的访问选项。要允许动态更新区域，请选择允许动态更新及相应的 TSIG 密钥。必须在更新操作开始前定义密钥。要启用区域传送，请选择相应的 ACL。必须已经定义了 ACL。

在基本对话框中，选择是否启用区域传输。使用所列 ACL 来定义谁能够下载区域。

图 25.5. DNS 服务器：区域编辑器（基本）¶

区域编辑器（NS 记录）

NS 记录对话框用于为指定的区域定义备用名称服务器。确保已将自己的名称服务器包括在列表中。要添加记录，请在要添加的名称服务器下输入其名称，然后用添加按钮确认。请参见图 25.6 “DNS 服务器：区域编辑器（NS 记录）”。

图 25.6. DNS 服务器：区域编辑器（NS 记录）¶

区域编辑器（MX 记录）

要将当前区域的邮件服务器添加到现有的列表中，请输入相应的地址和优先级值。执行完此操作后，请选择添加进行确认。请参见图 25.7 “DNS 服务器：区域编辑器（MX 记录）”。

图 25.7. DNS 服务器：区域编辑器（MX 记录）¶

区域编辑器 (SOA)

此页用于创建 SOA（起始授权机构）记录。有关各选项的描述，请参见例 25.6 “/var/lib/named/example.com.zone 文件”。通过 LDAP 管理的动态区域不支持更改 SOA 记录。

图 25.8. DNS 服务器：区域编辑器 (SOA)¶

区域编辑器（记录）

此对话框用于管理名称解析。在记录密钥中，输入主机名并选择其类型。A 记录表示主要项。此项的值应为一个 IP 地址。CNAME 是别名。对于要根据 NS 记录和 MX 记录选项卡中提供的信息而扩展的详细或部分记录，应使用类型 NS 和 MX。这三种类型解析为现有的 A 记录。PTR 用于反向区域。它与 A 记录相反，例如：

hostname.example.com. IN A 192.168.0.1
1.0.168.192.in-addr.arpa IN PTR hostname.example.com.

	编辑反向区域
添加正向区域后，返回到主菜单并选择该反向区域以进行编辑。在选项卡基础中激活复选框自动生成记录的区域，然后选择正向区域。这样，对正向区域的所有更改都会在反向区域中更新。

SUSE® Linux Enterprise Server 系统上已预先配置名称服务器 BIND（Berkeley 因特网名称域），因此安装后此名称服务器可以立即启动，而不会出现任何问题。如果您已有一个有效的因特网连接并在 /etc/resolv.conf 中输入了 127.0.0.1 作为 localhost 的名称服务器地址，那么您已经在使用名称解析功能了，而不需要知道提供商的 DNS。BIND 通过 root 名称服务器执行名称解析，这个过程非常慢。通常，应将提供商的 DNS 及其 IP 地址输入配置文件 /etc/named.conf 的 forwarders 下，以确保能进行有效而安全的名称解析。如果到目前为止是这种情况，则该名称服务器将作为仅用于缓存的纯名称服务器运行。只有在配置了该名称服务器自己的区域后，它才能成为正确的 DNS。在 /usr/share/doc/packages/bind/config 中可找到简单的示例。

	名称服务器信息的自动适应
根据因特网连接或网络连接的类型，名称服务器信息可以自动适应当前的情况。为此，请将 /etc/sysconfig/network/config 文件中的 NETCONFIG_DNS_POLICY 变量设置为 auto。

但是不要设置正式域，而是让负责机构指派给您。即使您有自己的域且提供商管理此域，也最好不要使用此域，因为如果使用此域，BIND 将不转发对此域的请求。例如，此域不能访问提供商的 Web 服务器。

要启动名称服务器，请以 root 用户身份输入命令 rcnamed start。如果右侧出现绿色的“完成”，则说明已成功启动名为 named 的名称服务器进程。请用 host 或 dig 程序立即在本地系统上测试名称服务器，该测试应返回 localhost 作为默认服务器，地址为 127.0.0.1。如果未返回所需的结果，则 /etc/resolv.conf 可能包含不正确的名称服务器项或此文件根本不存在。如果是第一次测试，请输入 host 127.0.0.1，此命令应始终有效。如果收到错误消息，请使用 rcnamed status 查看服务器是否确实在运行。如果名称服务器未启动或出现意外的行为，则通常可以在日志文件 /var/log/messages 中找到原因。

要将提供商的名称服务器（或网络上正在运行的名称服务器）用作转发器，请在 options 部分的 forwarders 下输入相应的一个或多个 IP 地址。例 25.1 “named.conf 中的转发选项”中包含的地址仅用作示例。请根据您自己的设置调整这些项。

options { 
        directory "/var/lib/named";
        forwarders { 10.11.12.13; 10.11.12.14; };
        listen-on { 127.0.0.1; 192.168.1.116; };
        allow-query { 127/8; 192.168/16 };
        notify no;
        };

options 项后跟区域的项 localhost 和 0.0.127.in-addr.arpa。“.” 下的 type hint 项应始终存在。无需修改相应的文件，应照原样使用。还要确保每个项都以 “;” 结束，同时确保花括号位于正确的位置。在更改配置文件 /etc/named.conf 或区域文件后，通知 BIND 使用 rcnamed reload 重新读取这些文件。用 rcnamed restart 停止并重启动名称服务器也会获得相同的效果。输入 rcnamed stop 可以随时停止服务器。

BIND 名称服务器本身的所有设置都储存在文件 /etc/named.conf 中。但是，将要处理的域的区域数据（由主机名、IP 地址等组成）储存在目录 /var/lib/named 下单独的文件中。稍后将介绍其详细信息。

/etc/named.conf 大致分为两部分。一部分是存放常规设置的 options 部分，另一部分由各个域的 zone 项组成。而 logging 部分和 acl（访问控制列表）项是可选的。注释行以 # 符号或 // 开头。例 25.2 “基本的 /etc/named.conf”显示了一个最小的 /etc/named.conf。

options { 
        directory "/var/lib/named"; 
        forwarders { 10.0.0.1; };
        notify no;
};

zone "localhost" in {
       type master;
       file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
        type master;
        file "127.0.0.zone";
};

zone "." in {
        type hint;
        file "root.hint";
};

logging {
        category default { null; };
};

zone "example.com" in {
      type master;
      file "example.com.zone";
      notify no;
};

zone "example.net" in {
      type slave;
      file "slave/example.net.zone";
      masters { 10.0.0.1; }; 
};

所需的区域文件有两种类型。一种类型是将 IP 地址指派给主机名，另一种类型则正相反：为 IP 地址提供主机名。

	在区域文件中使用点（句点）
此 "." 在区域文件中有重要的含义。如果给出主机名而末尾没有加 .，则会追加区域。通过完整域名指定的完整主机名必须以 . 结尾，避免再将域添加到主机名上。“.”丢失或放错位置可能是名称服务器配置出错最常见的原因。

第一个要考虑的情况是负责域 example.com 的区域文件 example.com.zone，如例 25.6 “/var/lib/named/example.com.zone 文件”中所示。

1.  $TTL 2D 
2.  example.com. IN SOA      dns  root.example.com. ( 
3.               2003072441  ; serial
4.               1D          ; refresh
5.               2H          ; retry
6.               1W          ; expiry
7.               2D )        ; minimum
8.  
9.               IN NS       dns 
10.              IN MX       10 mail
11. 
12. gate         IN A        192.168.5.1 
13.              IN A        10.0.0.1 
14. dns          IN A        192.168.1.116 
15. mail         IN A        192.168.3.108 
16. jupiter      IN A        192.168.2.100
17. venus        IN A        192.168.2.101
18. saturn       IN A        192.168.2.102
19. mercury      IN A        192.168.2.103
20. ntp          IN CNAME    dns 
21. dns6         IN A6  0    2002:c0a8:174::

伪域 in-addr.arpa 用于 IP 地址到主机名的反向查找。它被追加到采用反向表示法的地址的网络部分。因此，将 192.168 解析成 168.192.in-addr.arpa。参见 例 25.7 “反向查找”。

1.  $TTL 2D
2.  168.192.in-addr.arpa.   IN SOA dns.example.com. root.example.com. (
3.                          2003072441      ; serial
4.                          1D              ; refresh
5.                          2H              ; retry
6.                          1W              ; expiry
7.                          2D )            ; minimum
8.
9.                          IN NS           dns.example.com.
10. 
11. 1.5                     IN PTR          gate.example.com. 
12. 100.3                   IN PTR          www.example.com. 
13. 253.2                   IN PTR          cups.example.com. 

通常，可以在 BIND 的不同版本间传输区域，不会产生任何问题。

术语动态更新指添加、更改或删除主服务器区域文件中的项的操作。RFC 2136 对此机制进行了介绍。通过添加可选的 allow-update 或 update-policy 规则，可以为每个区域项单独配置动态更新。不应手动编辑要动态更新的区域。

用命令 nsupdate 将要更新的项传送到服务器。有关此命令的精确语法，请查看关于 nsupdate 的手册页 (man 8 nsupdate)。出于安全原因，应使用 第 25.8 节 “安全事务” 中介绍的 TSIG 密钥执行此类更新。

借助于基于共享密钥（也称为 TSIG 密钥）的事务签名 (TSIG) 可以实现安全事务。本节介绍如何生成和使用此类密钥。

不同服务器间的通信和区域数据的动态更新需要安全事务。依靠密钥进行访问控制比只靠 IP 地址进行访问控制要安全得多。

使用下列命令生成 TSIG 密钥（有关细节，请参见 man dnssec-keygen）：

dnssec-keygen -a hmac-md5 -b 128 -n HOST host1-host2

此命令创建两个文件，名称与下面的名称类似：

Khost1-host2.+157+34265.private Khost1-host2.+157+34265.key

密钥本身（类似于 ejIkuCyyGJwwuN3xAteKgg== 的字符串）位于这两个文件中。要将密钥用于事务，必须将第二个文件 (Khost1-host2.+157+34265.key) 传送到远程主机，而且最好采用安全的方式（例如，使用 scp）传送。在远程服务器上，密钥必须包括在文件 /etc/named.conf 中以实现 host1 和 host2 之间的安全通信：

key host1-host2 {
 algorithm hmac-md5;
 secret "ejIkuCyyGJwwuN3xAteKgg==";
};

	/etc/named.conf 的文件权限
确保正确限制了 /etc/named.conf 的权限。此文件的默认值是 0640，拥有者为 root 和组 named。或者，可以将密钥移到具有特殊限制权限的另一个文件中，然后将该文件包括在 /etc/named.conf 中。要包括外部文件，请使用： include "filename" 用带有密钥的文件的绝对路径替换 filename。

要使服务器 host1 能使用 host2（在本例中，其地址为 10.1.2.3）的密钥，服务器的 /etc/named.conf 必须包含下列规则：

server 10.1.2.3 {
  keys { host1-host2. ;};
};

必须将类似的项包括在 host2 的配置文件中。

向为 IP 地址和地址范围定义的任何 ACL（访问控制列表，请不要与文件系统的 ACL 混淆）添加 TSIG 密钥可以实现事务安全性。相应的项如下所示：

allow-update { key host1-host2. ;};

BIND 管理员参考手册的 update-policy 对此主题进行了详细介绍。

RFC 2535 中介绍了 DNSSEC（即 DNS 安全性）。BIND 手册讨论了可用于 DNSSEC 的工具。

被认为是安全的区域必须有一个或多个与之关联的区域密钥。这些密钥是通过 dnssec-keygen 生成的，就像主机密钥一样。当前使用 DSA 加密算法来生成这些密钥。应使用 $INCLUDE 规则将所生成的公共密钥包括在相应的区域文件中。

使用命令 dnssec-signzone，您可以创建生成的密钥集（keyset- 文件），将它们以安全方式传送到父区域并加以签名。这会生成要包含在 /etc/named.conf 中的针对每个区域的文件。

有关其他信息，请参见安装在 /usr/share doc/packages/bind 下的包 bind-doc 中的 BIND Administrator Reference Manual（BIND 管理员参考手册）。另外，请考虑参考该手册中所引用的 RFC 和 BIND 附带的手册页。/usr/share/doc/packages/bind/README.SUSE 包含有关 SUSE Linux Enterprise Server 中 BIND 的最新信息。