2009年8月4号SK--DNS
时间：2010-06-17 来源：linscora
外网到内网的叫 DNAT
内网到外网的叫 SNAT （MASQUDRAD）地址是动态的。
NAPT
INBOUD:外网来访问我们80端口的服务。
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-dest 192.168.0.20 OUTBOUND：内网去访问公网某台服务器80端口的服务，转向我们内网。可以转向代理。
iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-dest 192.168.0.200:3128 MASQUERADE：
iptables -t nat -A POSTROUTING -o eth0 eth0 -j MASQUERADE SNAT:
iptables -t nat -A POSTROUTING -j SNAT --to-source 1.2.3.4
1\stationx (IP Forward)
2\网关 10.100.1.254
3\iptables -t nat -A POSTROUTING -s 10.100.0.0/16 -j MASQUERADE 实验：
企业里的IP，要8个16个。 做防火墙的策略：
1\ cp iptables iptables-lng
2\ vim iptables
3\ echo "mv /etc/sysconfig/iptables-lng /etc/sysconfig/iptables && service iptables retart"|at now+5min
4\ service iptables restart 3、4两者只有一个生效
5\ atq
6\ atrm 1
7\ rm -f iptables-lng 分层式结构设计：每台DNS只管理它自己的域。
在网络中，很多故障都是由DNS引起的。特别是邮件服务器。 做集群还是要用/etc/hosts文件，因为hosts文件的查询的速度快。
如果DNS做集群呢？可能DNS就不能解析了。集群就切换不过来了。所以/etc/hosts还是很有用的。 DNS：日本有一台 挪威有一台 其它的在美国 递归查询：
迭代查询又叫反复查询： host 读search这一行 都不读/etc/hosts文件。但应用程序都先读/etc/hosts文件
dig 不读serch这一行 查看是否支持TCP_wrapper
ldd `which named` |grep libwrap
strings `which named` |grep hosts vim /etc/sysconfig/named
ROOTDIR=/var/named/chroot chgrp named named.conf pda 掌上电脑 配置文件：
acl "hubei" { 192.168.0.0/24; };
options {
listen-on port { 127.0.0.1;192.168.0.15; }; //表示DNS侦听在那个网卡。
listen-on-v6 port 53 { ::1:};
directory "/var/named"; //指定DNS的数据库放在那里，相对于/var/named/chroot/
dump-file "/var/named/data/named/cache_dump.db"; //DNS的缓存数据库文件
statistics-file "/var/named/data/named_stats.txt"; //谁来查询了的统计
memstaticstics-file "/var/named/data/namd_mem_stats.txt"; //内存信息
query-source port 53; 客户端向我查询我没有，我用53号端口向根查询
query-source-v6 port 53;
allow-query { alocalhost; }; 谁可以来向我查询 是一个总开关 拒绝优先
};
logging {
channel default_debug {
file "data/namd.run"; 把debug的信息放到namd.run下面去，更加详细。
severity dynamic;
};
};
view localhost_resolver { //视图的名字
match-clients { 192.168.0.0/24; }; 来自192.168.0.0/24的用户
match-destinations { any; }; 匹配所有 去目的地去向 到下面这个文件去查询
recursion yes; 是否允许递归查询
include "/etc/named.rfc1912.zones";
}; 1、/etc/named.conf 全局配置文件
2、/etc/named.rfc1912.zones 定义zone zone: 区域
一个正解/反解都称为一个zone
zone "." IN {
type hint;
file "named.ca";
}; zone "localdomain" IN {
type master;
file "localdomain.zone";
allow-update { none; };
}; zone "localhost" IN {
type master;
file "localhost.zone";
allow-update { none; };
}; zone "0.0.127.in-addr.arpa" IN { //172.16.0.0/16 "16.172.in-addr.arpa"
type master;
file "named.local";
allow-update { none; };
}; $TTL 86400
@ IN SOA ns.google.com. root.google.com. (
2009080401 ; serial (d.adams)
3H ; refresh
15M ; retry
1W ; expiry
1D) ; minimum IN NS ns.google.com. 网络上有几台NS记录，就要写几台。是用来作子域委派的。
cn.google.com. IN NS host.cn.google.com.
google.com. IN A 192.168.0.36
ns IN A 192.168.0.36
www IN A 192.168.0.37
mail IN A 192.168.0.38 @ 代表解析的域
SOA 起始资源记录
反解中如果是172.16.0.15/16这样写：
15.0 IN PTR ns.google.com
iptables -A OUTPUT -s 192.168.0.15 -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -d 192.168.0.15 -p tcp --sport 53 -j ACCEPT iptables -A OUTPUT -d 192.168.0.15 -p tcp --sport 53 -j ACCEPT
iptables -A INPUT -s 192.168.0.15 -p tcp --dport 53 -j ACCEPT iptables -P INPUT DROP
iptables -P OUTPUT DROP netstat -tu |grep 53
内网到外网的叫 SNAT （MASQUDRAD）地址是动态的。
NAPT
INBOUD:外网来访问我们80端口的服务。
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-dest 192.168.0.20 OUTBOUND：内网去访问公网某台服务器80端口的服务，转向我们内网。可以转向代理。
iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-dest 192.168.0.200:3128 MASQUERADE：
iptables -t nat -A POSTROUTING -o eth0 eth0 -j MASQUERADE SNAT:
iptables -t nat -A POSTROUTING -j SNAT --to-source 1.2.3.4
1\stationx (IP Forward)
2\网关 10.100.1.254
3\iptables -t nat -A POSTROUTING -s 10.100.0.0/16 -j MASQUERADE 实验：
企业里的IP，要8个16个。 做防火墙的策略：
1\ cp iptables iptables-lng
2\ vim iptables
3\ echo "mv /etc/sysconfig/iptables-lng /etc/sysconfig/iptables && service iptables retart"|at now+5min
4\ service iptables restart 3、4两者只有一个生效
5\ atq
6\ atrm 1
7\ rm -f iptables-lng 分层式结构设计：每台DNS只管理它自己的域。
在网络中，很多故障都是由DNS引起的。特别是邮件服务器。 做集群还是要用/etc/hosts文件，因为hosts文件的查询的速度快。
如果DNS做集群呢？可能DNS就不能解析了。集群就切换不过来了。所以/etc/hosts还是很有用的。 DNS：日本有一台 挪威有一台 其它的在美国 递归查询：
迭代查询又叫反复查询： host 读search这一行 都不读/etc/hosts文件。但应用程序都先读/etc/hosts文件
dig 不读serch这一行 查看是否支持TCP_wrapper
ldd `which named` |grep libwrap
strings `which named` |grep hosts vim /etc/sysconfig/named
ROOTDIR=/var/named/chroot chgrp named named.conf pda 掌上电脑 配置文件：
acl "hubei" { 192.168.0.0/24; };
options {
listen-on port { 127.0.0.1;192.168.0.15; }; //表示DNS侦听在那个网卡。
listen-on-v6 port 53 { ::1:};
directory "/var/named"; //指定DNS的数据库放在那里，相对于/var/named/chroot/
dump-file "/var/named/data/named/cache_dump.db"; //DNS的缓存数据库文件
statistics-file "/var/named/data/named_stats.txt"; //谁来查询了的统计
memstaticstics-file "/var/named/data/namd_mem_stats.txt"; //内存信息
query-source port 53; 客户端向我查询我没有，我用53号端口向根查询
query-source-v6 port 53;
allow-query { alocalhost; }; 谁可以来向我查询 是一个总开关 拒绝优先
};
logging {
channel default_debug {
file "data/namd.run"; 把debug的信息放到namd.run下面去，更加详细。
severity dynamic;
};
};
view localhost_resolver { //视图的名字
match-clients { 192.168.0.0/24; }; 来自192.168.0.0/24的用户
match-destinations { any; }; 匹配所有 去目的地去向 到下面这个文件去查询
recursion yes; 是否允许递归查询
include "/etc/named.rfc1912.zones";
}; 1、/etc/named.conf 全局配置文件
2、/etc/named.rfc1912.zones 定义zone zone: 区域
一个正解/反解都称为一个zone
zone "." IN {
type hint;
file "named.ca";
}; zone "localdomain" IN {
type master;
file "localdomain.zone";
allow-update { none; };
}; zone "localhost" IN {
type master;
file "localhost.zone";
allow-update { none; };
}; zone "0.0.127.in-addr.arpa" IN { //172.16.0.0/16 "16.172.in-addr.arpa"
type master;
file "named.local";
allow-update { none; };
}; $TTL 86400
@ IN SOA ns.google.com. root.google.com. (
2009080401 ; serial (d.adams)
3H ; refresh
15M ; retry
1W ; expiry
1D) ; minimum IN NS ns.google.com. 网络上有几台NS记录，就要写几台。是用来作子域委派的。
cn.google.com. IN NS host.cn.google.com.
google.com. IN A 192.168.0.36
ns IN A 192.168.0.36
www IN A 192.168.0.37
mail IN A 192.168.0.38 @ 代表解析的域
SOA 起始资源记录
反解中如果是172.16.0.15/16这样写：
15.0 IN PTR ns.google.com
iptables -A OUTPUT -s 192.168.0.15 -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -d 192.168.0.15 -p tcp --sport 53 -j ACCEPT iptables -A OUTPUT -d 192.168.0.15 -p tcp --sport 53 -j ACCEPT
iptables -A INPUT -s 192.168.0.15 -p tcp --dport 53 -j ACCEPT iptables -P INPUT DROP
iptables -P OUTPUT DROP netstat -tu |grep 53
相关阅读 更多 +
