Настройка DNS-сервера на Alpine Linux с использованием BIND9 и Unbound

Введение в DNS и выбор серверов

DNS (Domain Name System) — это система, которая преобразует доменные имена в IP-адреса. Настройка собственного DNS-сервера позволяет улучшить производительность сети, обеспечить безопасность и контролировать разрешение имен. Alpine Linux, как легковесная операционная система, идеально подходит для развертывания DNS-серверов благодаря своей минималистичной архитектуре.

В этой статье мы рассмотрим настройку двух популярных DNS-серверов: BIND9 (Berkeley Internet Name Domain) и Unbound. BIND — это традиционный DNS-сервер, который широко используется в производственных средах. Unbound — это современный рекурсивный DNS-сервер с акцентом на безопасность и производительность.

Подготовка системы

Перед установкой DNS-сервера необходимо подготовить систему Alpine Linux. Убедитесь, что у вас есть:

Актуальная система Alpine Linux (например, 3.18 или новее).
Доступ к терминалу с правами root.
Сетевое подключение с статическим IP-адресом (рекомендуется для DNS-сервера).

Обновите пакеты системы:

apk update && apk upgrade

Установка BIND9 на Alpine Linux

Установка и базовая конфигурация

Установите пакет BIND9:

apk add bind-tools bind

После установки BIND9 необходимо настроить основной файл конфигурации, который находится в /etc/bind/named.conf. Откройте его для редактирования:

nano /etc/bind/named.conf

Минимальная конфигурация для работы BIND9 может выглядеть так:

// Минимальная конфигурация BIND9

options {
  listen-on { any; };
  directory "/var/named";
  forwarders { 8.8.8.8; 1.1.1.1; }; // Используем Google DNS и Cloudflare как форвардеры
  dnssec-validation auto;
};

zone "example.com" IN {
  type master;
  file "example.com.db";;
};

Создание зоны DNS

Для создания зоны DNS (например, example.com) необходимо создать файл с расширением .db в директории /var/named. Например:

nano /var/named/example.com.db

Пример содержимого файла зоны:

; Зона example.com

$TTL 86400
@    IN SOA ns1.example.com. admin.example.com. (
    2023050101 ; Serial
    3600                                                               3600 ; Refresh
    7200                               7200 ; Retry
    172800                               604800 ; Expire
    86400 )                               3600 ; Minimum TTL
;

    IN NS ns1.example.com.
    IN A 192.168.1.10

Запуск и проверка BIND9

После настройки конфигурации запустите BIND9:

rc-service named start

Проверьте, что сервер работает, с помощью команды:

named-checkconf

Если ошибок нет, BIND9 готов к работе. Для проверки разрешения имен используйте команду:

dig example.com

Установка и настройка Unbound

Установка Unbound

Unbound — это современный рекурсивный DNS-сервер, который поддерживает DNSSEC и имеет минимальные требования к ресурсам. Установите его с помощью команды:

apk add unbound

Конфигурация Unbound

Основной файл конфигурации находится в /etc/unbound/unbound.conf. Откройте его для редактирования:

nano /etc/unbound/unbound.conf

Пример минимальной конфигурации:

// Конфигурация Unbound

server:
  verbosity: 1
  interface: 0.0.0.0
  port: 53
  do-ip4: yes
  do-ip6: no
  do-udp: yes
  do-tcp: yes
  access-control: 0.0.0.0/0 allow
  use-syslog: yes
  username: "nobody"
  directory: "/var/unbound"
  statistics-interval: 0
  num-threads: 1
  outgoing-range: 4096
  incoming-range: 4096
  so-rcvbuf: 4m
  so-sndbuf: 4m

Запуск и проверка Unbound

Запустите Unbound:

rc-service unbound start

Проверьте, что сервер работает, с помощью команды:

unbound-checkconf

Для проверки разрешения имен используйте команду:

dig example.com @127.0.0.1

Безопасность и оптимизация DNS-серверов

Ограничение доступа к DNS-серверу

Для повышения безопасности рекомендуется ограничить доступ к DNS-серверу только определенным IP-адресам. В BIND9 это можно сделать в файле /etc/bind/named.conf.options, добавив:

// Ограничение доступа в BIND9

acl allowed {
  192.168.1.0/24;
};

options {
  allow-query { allowed; };
  allow-recursion { allowed; };
};

В Unbound ограничение доступа настраивается в файле /etc/unbound/unbound.conf, добавив:

// Ограничение доступа в Unbound

access-control: 192.168.1.0/24 allow
access-control: 127.0.0.0/8 allow

Настройка DNSSEC для повышения безопасности

DNSSEC (DNS Security Extensions) позволяет проверять подлинность данных DNS. Включите его в BIND9, добавив в /etc/bind/named.conf.options:

// Включение DNSSEC в BIND9

options {
dnssec-validation auto;
dnssec-lookaside "auto";
};

В Unbound DNSSEC включен по умолчанию, но можно настроить дополнительные параметры в /etc/unbound/unbound.conf:

// Настройка DNSSEC в Unbound

module-config: "validator iterator" validate-extended
harden-dnssec-strict: yes

Логирование и мониторинг

Настройка логирования

Для эффективного мониторинга DNS-сервера настройте логирование. В BIND9 логи сохраняются в /var/log/daemon.log. Для более детальных логов добавьте в /etc/bind/named.conf.options:

// Настройка логирования в BIND9

options {
  logging {
    channel default_log {
      file "/var/log/named.log";
      severity info;
    };
    category default { default_log; };
  };
};

В Unbound логируются в /var/log/syslog. Для более детальных логов добавьте в /etc/unbound/unbound.conf:

// Настройка логирования в Unbound

verbosity: 2
use-syslog: yes

Мониторинг производительности

Для мониторинга производительности DNS-сервера используйте инструменты, такие как unbound-control stats для Unbound или rndc stats для BIND9. Пример запроса статистики в Unbound:

unbound-control stats

Заключение

В этой статье мы рассмотрели настройку DNS-серверов BIND9 и Unbound на Alpine Linux. Оба сервера имеют свои преимущества: BIND9 — это традиционный, надежный выбор для производственных сред, а Unbound — современный и безопасный вариант с акцентом на производительность.

Настройка DNS-сервера требует внимательности к деталям, особенно при работе с конфигурационными файлами. Не забудьте протестировать настройки после внесения изменений и убедиться, что сервер работает корректно.

Если у вас возникнут вопросы или потребуется дополнительная помощь, обратитесь к документации BIND9 и Unbound, а также к сообществу Alpine Linux.