引言

内网DNS（Domain Name System）是企业内部网络的核心基础设施，负责将内部域名解析为IP地址，保障应用访问的稳定性与安全性。对于IDC（互联网数据中心）环境，自建DNS可避免依赖外部服务，提升解析效率与可控性。本文将基于实际运维经验，提供内网DNS自建搭建与运维的落地指南。

规划与设计

架构选型

主从架构是常见选择：一台主节点（Master）负责数据更新，多台从节点（Slave）提供冗余解析能力。建议至少部署两台物理或虚拟服务器，避免单点故障。常用软件包括BIND、PowerDNS或Unbound，其中BIND生态成熟且文档丰富。

域名规划

建议使用私有顶级域（如.local或.internal），按业务模块划分子域（如dev.example.local、prod.example.local）。避免与公网域名冲突，同时预留反向解析区域（PTR记录）以支持日志溯源。

搭建步骤

1. 环境准备：确保服务器操作系统（如CentOS 7/8或Ubuntu 20.04）已更新并关闭防火墙或放行DNS端口（TCP/UDP 53）。
2. 安装BIND：执行yum install bind bind-utils -y（CentOS）或apt install bind9 -y（Ubuntu）。
3. 主节点配置：编辑/etc/named.conf，定义监听地址（如listen-on { 192.168.1.10; };）、允许查询范围（如allow-query { any; };），并添加区域声明：

   zone "example.local" IN { type master; file "example.local.zone"; allow-transfer { 192.168.1.11; }; };

4. 创建区域文件：在/var/named目录下创建example.local.zone，包含SOA记录、NS记录及A/AAAA记录。例如：

   $TTL 86400 @ IN SOA ns1.example.local. admin.example.local. ( 20250301 3600 1800 604800 86400 ) @ IN NS ns1.example.local. @ IN NS ns2.example.local. ns1 IN A 192.168.1.10 ns2 IN A 192.168.1.11

5. 从节点配置：在从服务器上设置type slave;，指定主节点IP，并启用区域传输。
6. 启动与验证：执行systemctl start named，使用dig @192.168.1.10 example.local测试解析是否正常。

运维要点

备份与恢复

定期备份主节点的区域文件及named.conf，可使用rsync或脚本同步至远程存储。从节点自动同步数据，但主节点故障时需手动提升从节点为主要节点。

监控与告警

部署Nagios或Prometheus监控DNS服务端口（53）、查询响应时间及同步延迟。建议配置日志告警：BIND默认日志位置为/var/log/messages或/var/named/data/named.run。

安全加固

• 限制区域传输：仅允许从节点IP传输，防止信息泄露。
• 启用TSIG签名：对主从通信进行身份验证，防止伪造更新。
• 关闭递归查询（设为recursion no;），避免被用于DNS放大攻击。

总结

内网DNS自建需充分规划架构与域名体系，遵循标准的搭建流程，并建立持续运维机制。通过主从冗余、定期备份和安全配置，可大幅提升内网DNS的可靠性和安全性。建议IDC运维团队结合自身业务规模，选择轻量级方案（如dnsmasq用于小型环境）或企业级方案（如绑定DLZ+MySQL）实现灵活扩展。