Linux 伺服器 DNS 服務部署實戰：基於 BIND 9 的圖形化配置指南

BIND (Berkeley Internet Name Domain) 是互聯網上部署最廣泛的 DNS 伺服器軟體。雖然手動編輯 /etc/named.conf 區域檔是基本功，但對新手極易出錯。本文示範在 Fedora Core 7 上透過 Webmin 圖形化介面快速建立主從 DNS 服務，降低配置門檻。

環境準備

• OS：Red Hat Fedora Core 7（安裝時勾選「開發工具」與「伺服器」套件群，預裝 BIND）
• 管理工具：Webmin 1.360 (官網下載)

Webmin 安裝步驟

tar -zxvf webmin-1.360.tar.gz
cd webmin-1.360
./setup.sh
# 依提示設定安裝路徑、管理帳號/密碼、SSL 等
# 完成後以瀏覽器訪問 https://127.0.0.1:10000 登入
# 介面語言可切換為簡體中文

DNS 服務圖形化配置流程

1. 設定解析順序： 「網路」→「網路設定」→「DNS 用戶端」→ 解析順序改為 DNS, hosts → 存檔
2. 進入 BIND 模組： 「伺服器」→「BIND DNS 伺服器」，介面含「全域選項」「現有 DNS 區域」等
3. 建立正向主區域： 「現有區域」→「新增主區域」→ 類型選「正向」→ 網域名稱輸入 example.com → 主機名 master.example.com → Email root@localhost → 新增
4. 建立反向主區域： 同樣新增主區域 → 類型選「反向」→ 網路位址輸入伺服器 IP 反向網段（如 192.168.1）→ 主機名/Email 同前 → 新增
5. 新增 A 記錄： 選擇正向區域 example.com → 「位址」→ 名稱 www → 位址 192.168.1.100 → 新增
6. 驗證生效： 客戶端設定 DNS 指向此伺服器，瀏覽器訪問 https://www.example.com 應正常解析

進階建議與最佳實務

• 啟用 DNSSEC： 在全域選項簽署區域，防止快取投毒
• 配置轉發器： 指定上游 DNS（如 8.8.8.8, 1.1.1.1）加速外部解析
• 限制遞迴查詢： allow-recursion { trusted_nets; }; 僅允許受信網段遞迴，防止成為開放解析器被濫用
• 區域傳輸控制： allow-transfer { slave_ns_ips; }; 僅允許授權從伺服器傳輸
• 日誌與監控： 啟用查詢日誌、配置 rndc 遠端管理、整合 Prometheus/Grafana 監控 QPS、延遲、錯誤率
• 高可用部署： 至少部署一主一從，跨機房/跨網段，配置 NS 記錄指向兩者

常見坑點提醒

• 區域檔序列號 (Serial) 每次修改必須遞增，否則從伺服器不會同步
• 反向區域名稱格式為 網段反寫.in-addr.arpa（如 1.168.192.in-addr.arpa）
• 防火牆需開放 UDP/TCP 53 埠
• SELinux 啟用時需設定 named_write_master_zones=on 或調整檔案標籤

Webmin 大幅降低 BIND 入門門檻，但理解底層區域檔結構、SOA/NS/A/PTR/MX 記錄語義、遞迴與權威解析差異，仍是系統管理員必修課。建議先在測試環境熟練流程，再推至生產環境。