Ubuntu 22.04에서 BIND를 개인 네트워크 DNS 서버로 구성하는 방법
소개
서버 구성 및 인프라 관리의 중요한 부분에는 이름으로 네트워크 인터페이스 및 IP 주소를 찾는 방법을 유지하는 것이 포함됩니다. 이를 수행하는 한 가지 방법은 적절한 DNS(도메인 이름 시스템)를 설정하는 것입니다. IP 주소 대신 FQDN(정규화된 도메인 이름)을 사용하여 네트워크 주소를 지정하면 서비스 및 애플리케이션의 구성이 최적화되고 구성 파일의 유지 관리 가능성이 높아집니다. 개인 네트워크용 DNS를 설정하는 것은 서버 관리를 개선하는 좋은 방법입니다.
이 자습서에서는 두 개의 Ubuntu 22.04 서버를 사용하여 내부 DNS 서버를 설정합니다. BIND 이름 서버 소프트웨어(BIND9)를 사용하여 사설 호스트 이름과 사설 IP 주소를 확인합니다. 이것은 내부 호스트 이름과 사설 IP 주소를 중앙에서 관리할 수 있는 방법을 제공하며, 이는 환경이 몇 개 이상의 호스트로 확장될 때 반드시 필요합니다.
전제 조건
이 자습서를 완료하려면 다음 인프라가 필요합니다. 동일한 데이터 센터 사설 네트워킹에서 각 서버를 생성해야 합니다.
- 기본 DNS 서버인 ns1로 사용할 새로운 Ubuntu 22.04 서버.
- (권장) 보조 DNS 서버인 ns2 역할을 하는 두 번째 Ubuntu 22.04 서버.
- 하나 이상의 추가 서버. 이 가이드에서는 클라이언트 서버라고 하는 두 개의 추가 서버가 있다고 가정합니다. 이러한 클라이언트 서버는 DNS 서버가 있는 동일한 데이터 센터에서 생성되어야 합니다.
이러한 각 서버에서 관리 sudo 사용자를 구성하고 Ubuntu 22.04 초기 서버 설정 가이드에 따라 방화벽을 설정합니다.
DNS 개념에 익숙하지 않은 경우 DNS 관리 소개의 처음 세 부분 이상을 읽는 것이 좋습니다.
DigitalOcean에서 생성된 모든 새로운 Droplet은 기본적으로 Virtual Private Cloud(VPC)에 배치됩니다. 자세히 알아보려면 VPC 제품 설명서를 확인하세요.
예시 인프라 및 목표
이 문서의 목적을 위해 다음을 가정합니다.
- DNS 이름 서버로 지정될 두 개의 서버가 있습니다. 이 가이드에서는 이를 ns1 및 ns2라고 합니다.
- 만든 DNS 인프라를 사용할 두 개의 추가 클라이언트 서버(이 가이드에서는 host1 및 host2라고 함)가 있습니다. 원하는 만큼 클라이언트 서버를 추가할 수 있습니다.
- 이러한 모든 서버는 동일한 데이터 센터에 있습니다. 이 자습서에서는 이 데이터 센터가
nyc3라고 가정합니다. - 이러한 모든 서버에는 사설 네트워킹이 활성화되어 있으며
10.128.0.0/16서브넷에 있습니다(서버에 맞게 조정해야 할 가능성이 높음). - 모든 서버는
example.com에서 실행되는 프로젝트에 연결되어 있습니다. 이 가이드는example.com대신 원하는 도메인 이름을 사용할 수 있도록 내부 비공개 DNS 시스템을 설정하는 방법을 설명합니다. DNS 서버는 항상 요청을 내부적으로 먼저 라우팅하려고 시도합니다. 즉, 공용 인터넷에서 지정된 도메인에 도달하려고 시도하지 않습니다. 그러나 소유한 도메인을 사용하면 공개적으로 라우팅 가능한 도메인과의 충돌을 피하는 데 도움이 될 수 있습니다.
이러한 가정을 염두에 두고 이 가이드의 예제에서는 하위 도메인 nyc3.example.com을 기반으로 하는 명명 체계를 사용하여 예제 프라이빗 서브넷 또는 영역을 참조합니다. 따라서 host1의 개인 FQDN(정규화된 도메인 이름)은 host1.nyc3.example.com이 됩니다. 다음 표에는 이 가이드 전반에 걸쳐 예제에 사용된 관련 세부 정보가 나와 있습니다.
| Host | Role | Private FQDN | Private IP Address |
|---|---|---|---|
| ns1 | Primary DNS Server | ns1.nyc3.example.com |
10.128.10.11 |
| ns2 | Secondary DNS Server | ns2.nyc3.example.com |
10.128.20.12 |
| host1 | Generic Host 1 | host1.nyc3.example.com |
10.128.100.101 |
| host2 | Generic Host 2 | host2.nyc3.example.com |
10.128.200.102 |
참고: 설정은 다르지만 예제 이름과 IP 주소는 작동하는 내부 DNS를 제공하도록 DNS 서버를 구성하는 방법을 설명하는 데 사용됩니다. 호스트 이름과 사설 IP 주소를 자신의 것으로 교체하여 이 설정을 자신의 환경에 맞게 조정할 수 있어야 합니다. 명명 체계에서 데이터 센터의 지역 이름을 사용할 필요는 없지만 여기서는 이러한 호스트가 특정 데이터 센터의 사설 네트워크에 속함을 나타내기 위해 사용합니다. 여러 데이터 센터에서 서버를 실행하는 경우 각 데이터 센터 내에서 내부 DNS를 설정할 수 있습니다.
이 자습서를 마치면 기본 DNS 서버인 ns1과 선택적으로 백업 역할을 할 보조 DNS 서버인 ns2가 생깁니다.
이 자습서를 따르면 이 설정의 특정 서버에서 특정 명령을 실행해야 하는 경우가 있습니다. ns1에서 실행해야 하는 모든 명령은 다음과 같이 파란색 배경을 갖습니다.
-
마찬가지로 ns2에서 실행해야 하는 모든 명령의 배경은 빨간색입니다.
-
그리고 클라이언트 서버 중 하나에서 실행해야 하는 모든 명령은 녹색 배경을 갖습니다.
-
그리고 여러 서버에서 실행해야 하는 모든 명령은 표준 네이비 배경을 갖습니다.
-
마지막으로 명령 또는 코드 블록에 이와 같이 강조 표시된 텍스트가 포함되어 있으면 텍스트가 중요하다는 의미입니다. 이 유형의 강조 표시는 이 안내서 전체에서 사용자의 설정으로 대체해야 하거나 강조 표시된 텍스트를 수정하거나 구성 파일에 추가해야 하는 세부 정보를 표시하는 데 사용됩니다. 예를 들어 예제에 host1.nyc3.example.com과 같은 항목이 포함된 경우 자체 서버의 FQDN으로 바꾸십시오.
기본 및 보조 DNS 서버인 ns1 및 ns2 모두에 BIND를 설치하여 시작하겠습니다.
1단계 - DNS 서버에 BIND 설치
두 DNS 서버 ns1 및 ns2에서 다음을 입력하여 apt 패키지 캐시를 업데이트합니다.
- sudo apt update
그런 다음 각 머신에 BIND를 설치합니다.
- sudo apt install bind9 bind9utils bind9-doc
DigitalOcean의 사설 네트워킹은 IPv4만 사용합니다. 이 경우 BIND를 IPv4 모드로 설정하십시오. 두 서버 모두에서 선호하는 텍스트 편집기를 사용하여 named 기본 설정 파일을 편집합니다. 다음 예에서는 nano를 사용합니다.
- sudo nano /etc/default/named
OPTIONS 매개변수 끝에 -4를 추가합니다.
. . .
OPTIONS="-u bind -4"
완료되면 파일을 저장하고 닫습니다. nano를 사용하여 파일을 편집한 경우 CTRL + X, Y를 누른 다음 ENTER.
BIND를 다시 시작하여 변경 사항을 구현하십시오.
- sudo systemctl restart bind9
이제 BIND가 설치되었으므로 기본 DNS 서버를 구성하겠습니다.
2단계 - 기본 DNS 서버 구성
BIND의 구성은 기본 구성 파일인 named.conf에 포함된 여러 파일로 구성됩니다. 이러한 파일 이름은 named로 시작합니다. BIND가 실행하는 프로세스의 이름이기 때문입니다(named는 "name daemon\의 줄임말입니다. ”). named.conf.options 파일 구성부터 시작하겠습니다.
옵션 파일 구성
ns1에서 편집을 위해 named.conf.options 파일을 엽니다.
- sudo nano /etc/bind/named.conf.options
기존 options 블록 위에 trusted라는 새 ACL(액세스 제어 목록) 블록을 만듭니다. 여기에서 재귀 DNS 쿼리(즉, ns1과 동일한 데이터 센터에 있는 서버)를 허용할 클라이언트 목록을 정의합니다. 다음 줄을 추가하여 신뢰할 수 있는 클라이언트 목록에 ns1, ns2, host1 및 host2를 추가하고 예제 개인 IP 주소를 자신의 서버 주소로 바꾸십시오.
acl "trusted" {
10.128.10.11; # ns1
10.128.20.12; # ns2
10.128.100.101; # host1
10.128.200.102; # host2
};
options {
. . .
이제 신뢰할 수 있는 DNS 클라이언트 목록이 있으므로 options 블록을 편집할 수 있습니다. 이것은 현재 블록의 시작입니다.
. . .
};
options {
directory "/var/cache/bind";
. . .
}
directory 지시문 아래에 강조 표시된 구성 줄을 추가하고 적절한 ns1 개인 IP 주소로 대체합니다.
. . .
};
options {
directory "/var/cache/bind";
recursion yes; # enables recursive queries
allow-recursion { trusted; }; # allows recursive queries from "trusted" clients
listen-on { 10.128.10.11; }; # ns1 private IP address - listen on private network only
allow-transfer { none; }; # disable zone transfers by default
forwarders {
8.8.8.8;
8.8.4.4;
};
. . .
};
8.8.8.8 및 8.8.4.4의 두 IP 주소를 포함하는 forwarders 블록에 주목하십시오. 이 블록은 BIND가 외부 이름 서버에 대한 링크를 통해 트래픽을 줄이기 위해 사용하는 특수 메커니즘인 포워더를 정의합니다. BIND는 포워더를 사용하여 인터넷에 직접 액세스할 수 없는 서버의 쿼리를 허용할 수도 있습니다. 이것은 로컬 네트워크의 부하를 줄여 이러한 쿼리에 대한 응답을 더 빠르게 만드는 데 도움이 될 수 있습니다.
이 블록의 두 IP 주소는 Google의 공용 DNS 확인자를 나타내지만 모든 공용 재귀 이름 서버의 IP 주소가 여기에서 작동합니다. 예를 들어 Cloudflare DNS 서버의 IP 주소(1.1.1.1)를 대신 사용할 수 있습니다.
완료되면 named.conf.options 파일을 저장하고 닫습니다. 위의 구성은 자신의 서버( 신뢰할 수 있는 서버)만 DNS 서버에서 외부 도메인을 쿼리할 수 있도록 지정합니다.
다음으로 named.conf.local 파일을 구성하여 DNS 영역을 지정합니다.
로컬 파일 구성
ns1에서 편집을 위해 named.conf.local 파일을 엽니다.
- sudo nano /etc/bind/named.conf.local
몇 개의 주석을 제외하고는 파일이 비어 있습니다. 여기에서 순방향 및 역방향 영역을 지정합니다. DNS 영역은 DNS 레코드를 관리하고 정의하기 위한 특정 범위를 지정합니다. 이 가이드의 예제 도메인은 모두 nyc3.example.com 하위 도메인 내에 있으므로 이를 정방향 영역으로 사용합니다. 예제 서버의 개인 IP 주소는 각각 10.128.0.0/16 IP 공간에 있으므로 다음 예제에서는 해당 범위 내에서 역방향 조회를 정의할 수 있도록 역방향 영역을 설정합니다.
allow-transfer 지시문에서 자신의 영역 이름과 보조 DNS 서버의 개인 IP 주소로 대체하여 다음 행으로 정방향 영역을 추가합니다.
. . .
zone "nyc3.example.com" {
type primary;
file "/etc/bind/zones/db.nyc3.example.com"; # zone file path
allow-transfer { 10.128.20.12; }; # ns2 private IP address - secondary
};
프라이빗 서브넷이 10.128.0.0/16이라고 가정하고 다음 줄을 사용하여 리버스 영역을 추가합니다(리버스 영역 이름은 옥텟 반전인 128.10로 시작합니다). 10.128):
. . .
};
zone "128.10.in-addr.arpa" {
type primary;
file "/etc/bind/zones/db.10.128"; # 10.128.0.0/16 subnet
allow-transfer { 10.128.20.12; }; # ns2 private IP address - secondary
};
서버가 여러 프라이빗 서브넷에 걸쳐 있지만 동일한 데이터 센터에 있는 경우 각각의 개별 서브넷에 대해 추가 영역 및 영역 파일을 지정해야 합니다. 원하는 영역을 모두 추가했으면 named.conf.local 파일을 저장하고 닫습니다.
영역이 BIND에 지정되었으므로 해당 정방향 및 역방향 영역 파일을 만들어야 합니다.
정방향 영역 파일 만들기
정방향 영역 파일은 정방향 DNS 조회를 위한 DNS 레코드를 정의하는 위치입니다. 즉, DNS가 예를 들어 host1.nyc3.example.com과 같은 이름 쿼리를 수신하면 host1의 해당 개인 IP 주소를 확인하기 위해 정방향 영역 파일을 찾습니다.
영역 파일이 상주할 디렉토리를 만듭니다. named.conf.local 구성에 따르면 해당 위치는 /etc/bind/zones여야 합니다.
- sudo mkdir /etc/bind/zones
예제 포워드 영역 파일은 샘플 db.local 영역 파일을 기반으로 합니다. 다음 명령을 사용하여 적절한 위치에 복사합니다.
- sudo cp /etc/bind/db.local /etc/bind/zones/db.nyc3.example.com
이제 정방향 영역 파일을 편집합니다.
- sudo nano /etc/bind/zones/db.nyc3.example.com
처음에는 다음과 같은 콘텐츠가 포함됩니다.
$TTL 604800
@ IN SOA localhost. root.localhost. (
2 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
;
@ IN NS localhost. ; delete this line
@ IN A 127.0.0.1 ; delete this line
@ IN AAAA ::1 ; delete this line
먼저 SOA 레코드를 편집해야 합니다. 첫 번째 localhost를 ns1의 FQDN으로 교체한 다음 root.localhost를 admin.nyc3.example.com으로 교체합니다. 영역 파일을 편집할 때마다 named 프로세스를 다시 시작하기 전에 Serial 값을 증가시켜야 합니다. 여기에서 3으로 증가시킵니다.
. . .
;
$TTL 604800
@ IN SOA ns1.nyc3.example.com. admin.nyc3.example.com. (
3 ; Serial
. . .
그런 다음 파일 끝에 있는 세 개의 레코드를 삭제합니다(SOA 레코드 뒤). 삭제할 줄을 잘 모르는 경우 이전 예에서 delete this line이라는 주석이 표시되어 있습니다.
파일 끝에 다음 줄을 사용하여 이름 서버 레코드를 추가합니다(이름을 자신의 이름으로 바꿉니다). 두 번째 열은 다음이 NS 레코드임을 지정합니다.
. . .
; name servers - NS records
IN NS ns1.nyc3.example.com.
IN NS ns2.nyc3.example.com.
이제 이 영역에 속한 호스트에 대한 A 레코드를 추가합니다. 여기에는 이름이 .nyc3.example.com으로 끝나려는 모든 서버가 포함됩니다(이름과 사설 IP 주소 대체). 예제 이름과 개인 IP 주소를 사용하여 다음과 같이 ns1, ns2, host1 및 host2에 대한 A 레코드를 추가합니다.
. . .
; name servers - A records
ns1.nyc3.example.com. IN A 10.128.10.11
ns2.nyc3.example.com. IN A 10.128.20.12
; 10.128.0.0/16 - A records
host1.nyc3.example.com. IN A 10.128.100.101
host2.nyc3.example.com. IN A 10.128.200.102
마지막 예제 정방향 영역 파일에는 다음 내용이 포함됩니다.
$TTL 604800
@ IN SOA ns1.nyc3.example.com. admin.nyc3.example.com. (
3 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
;
; name servers - NS records
IN NS ns1.nyc3.example.com.
IN NS ns2.nyc3.example.com.
; name servers - A records
ns1.nyc3.example.com. IN A 10.128.10.11
ns2.nyc3.example.com. IN A 10.128.20.12
; 10.128.0.0/16 - A records
host1.nyc3.example.com. IN A 10.128.100.101
host2.nyc3.example.com. IN A 10.128.200.102
db.nyc3.example.com 파일을 저장하고 닫습니다.
이제 리버스 존 파일로 이동하겠습니다.
리버스 존 파일 생성
역방향 영역 파일은 역방향 DNS 조회를 위한 DNS PTR 레코드를 정의하는 곳입니다. 즉, DNS가 IP 주소(예: 10.128.100.101)로 쿼리를 수신하면 해당 FQDN인 host1.nyc3을 확인하기 위해 역방향 영역 파일을 찾습니다. 이 경우 example.com.
ns1에서 named.conf.local 파일에 지정된 각 역방향 영역에 대해 역방향 영역 파일을 만듭니다. 샘플 db.127 영역 파일을 기반으로 예제 리버스 영역 파일을 기반으로 합니다. BIND는 이 파일을 사용하여 로컬 루프백 인터페이스에 대한 정보를 저장합니다. 127은 localhost(127.0.0.1)를 나타내는 IP 주소의 첫 번째 옥텟입니다. 다음 명령을 사용하여 이 파일을 적절한 위치에 복사합니다(역방향 영역 정의와 일치하도록 대상 파일 이름 대체).
- sudo cp /etc/bind/db.127 /etc/bind/zones/db.10.128
named.conf.local에 정의된 역방향 영역에 해당하는 역방향 영역 파일을 편집합니다.
- sudo nano /etc/bind/zones/db.10.128
처음에 파일에는 다음과 같은 내용이 포함됩니다.
$TTL 604800
@ IN SOA localhost. root.localhost. (
1 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
;
@ IN NS localhost. ; delete this line
1.0.0 IN PTR localhost. ; delete this line
정방향 영역 파일과 동일한 방식으로 SOA 레코드를 편집하고 일련 값을 증가시킬 수 있습니다.
@ IN SOA ns1.nyc3.example.com. admin.nyc3.example.com. (
3 ; Serial
. . .
이제 파일 끝(SOA 레코드 뒤)에서 두 레코드를 삭제합니다. 삭제할 줄이 확실하지 않은 경우 이전 예에서 delete this line 주석으로 표시됩니다.
파일 끝에 다음 줄을 사용하여 이름 서버 레코드를 추가합니다(이름을 자신의 이름으로 바꿉니다). 두 번째 열은 다음이 NS 레코드임을 지정합니다.
. . .
; name servers - NS records
IN NS ns1.nyc3.example.com.
IN NS ns2.nyc3.example.com.
그런 다음 IP 주소가 편집 중인 영역 파일의 서브넷에 있는 모든 서버에 대한 PTR 레코드를 추가합니다. 이 예에서는 호스트가 모두 10.128.0.0/16 서브넷에 있기 때문에 여기에는 모든 호스트가 포함됩니다. 첫 번째 열은 서버의 사설 IP 주소의 마지막 두 옥텟을 역순으로 구성합니다. 서버와 일치하도록 이름과 사설 IP 주소를 대체해야 합니다.
. . .
; PTR Records
11.10 IN PTR ns1.nyc3.example.com. ; 10.128.10.11
12.20 IN PTR ns2.nyc3.example.com. ; 10.128.20.12
101.100 IN PTR host1.nyc3.example.com. ; 10.128.100.101
102.200 IN PTR host2.nyc3.example.com. ; 10.128.200.102
최종 예제 리버스 영역 파일은 다음과 유사합니다.
$TTL 604800
@ IN SOA nyc3.example.com. admin.nyc3.example.com. (
3 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
; name servers
IN NS ns1.nyc3.example.com.
IN NS ns2.nyc3.example.com.
; PTR Records
11.10 IN PTR ns1.nyc3.example.com. ; 10.128.10.11
12.20 IN PTR ns2.nyc3.example.com. ; 10.128.20.12
101.100 IN PTR host1.nyc3.example.com. ; 10.128.100.101
102.200 IN PTR host2.nyc3.example.com. ; 10.128.200.102
리버스 존 파일을 저장하고 닫습니다. 역방향 영역 파일을 더 추가해야 하는 경우 이 섹션을 반복합니다.
파일 편집을 완료했으므로 다음에는 파일에 오류가 있는지 확인할 수 있습니다.
BIND 구성 구문 확인
다음 명령을 실행하여 named.conf* 파일의 구문을 확인합니다.
- sudo named-checkconf
명명된 구성 파일에 구문 오류가 없으면 오류 메시지가 없으며 셸 프롬프트로 돌아갑니다. 구성 파일에 문제가 있는 경우 오류 메시지와 기본 DNS 서버 구성 섹션을 검토한 다음 named-checkconf를 다시 시도하십시오.
named-checkzone 명령을 사용하여 영역 파일의 정확성을 확인할 수 있습니다. 첫 번째 인수는 영역 이름을 지정하고 두 번째 인수는 named.conf.local에 정의된 해당 영역 파일을 지정합니다.
예를 들어 nyc3.example.com 정방향 영역 구성을 확인하려면 다음 명령을 실행합니다(정방향 영역 및 파일과 일치하도록 이름 변경).
- sudo named-checkzone nyc3.example.com /etc/bind/zones/db.nyc3.example.com
Outputzone nyc3.example.com/IN: loaded serial 3
OK
128.10.in-addr.arpa 역방향 영역 구성을 확인하려면 다음 명령을 실행합니다(역방향 영역 및 파일과 일치하도록 숫자 변경).
- sudo named-checkzone 128.10.in-addr.arpa /etc/bind/zones/db.10.128
모든 구성 및 영역 파일에 오류가 없으면 BIND 서비스를 다시 시작할 준비가 된 것입니다.
바인드 재시작
바인드 재시작:
- sudo systemctl restart bind9
UFW 방화벽이 구성되어 있으면 다음을 입력하여 BIND에 대한 액세스를 엽니다.
- sudo ufw allow Bind9
이제 기본 DNS 서버가 설정되어 DNS 쿼리에 응답할 준비가 되었습니다. 보조 DNS 서버 구성으로 이동하겠습니다.
3단계 - 보조 DNS 서버 구성
대부분의 환경에서는 기본 DNS 서버를 사용할 수 없게 될 경우 요청에 응답할 보조 DNS 서버를 설정하는 것이 좋습니다. 운 좋게도 보조 DNS 서버 구성은 기본 설정보다 훨씬 덜 복잡합니다.
ns2에서 named.conf.options 파일을 편집합니다.
- sudo nano /etc/bind/named.conf.options
파일 맨 위에 신뢰할 수 있는 모든 서버의 사설 IP 주소가 포함된 ACL을 추가합니다.
acl "trusted" {
10.128.10.11; # ns1
10.128.20.12; # ns2
10.128.100.101; # host1
10.128.200.102; # host2
};
options {
. . .
directory 지시문 아래에 다음 줄을 추가합니다.
. . .
recursion yes;
allow-recursion { trusted; };
listen-on { 10.128.20.12; }; # ns2 private IP address
allow-transfer { none; }; # disable zone transfers by default
forwarders {
8.8.8.8;
8.8.4.4;
};
. . .
named.conf.options 파일을 저장하고 닫습니다. 이 파일은 ns1의 named.conf.options 파일과 동일해야 합니다. 단, ns2의 사설 IP 주소에서 수신 대기하도록 구성해야 합니다.
이제 named.conf.local 파일을 편집합니다.
- sudo nano /etc/bind/named.conf.local
기본 DNS 서버의 기본 영역에 해당하는 보조 영역을 정의합니다. 유형은 보조이고 파일에는 경로가 포함되어 있지 않으며 기본 DNS 서버의 개인 IP 주소로 설정되어야 하는 기본 지시문이 있습니다. 기본 DNS 서버에서 여러 역방향 영역을 정의한 경우 여기에 모두 추가해야 합니다.
zone "nyc3.example.com" {
type secondary;
file "db.nyc3.example.com";
primaries { 10.128.10.11; }; # ns1 private IP
};
zone "128.10.in-addr.arpa" {
type secondary;
file "db.10.128";
primaries { 10.128.10.11; }; # ns1 private IP
};
이제 named.conf.local 파일을 저장하고 닫습니다.
다음 명령을 실행하여 구성 파일의 유효성을 확인하십시오.
- sudo named-checkconf
이 명령이 오류를 반환하지 않으면 BIND를 다시 시작하십시오.
- sudo systemctl restart bind9
그런 다음 UFW 방화벽 규칙을 변경하여 서버에 대한 DNS 연결을 허용합니다.
- sudo ufw allow Bind9
이를 통해 이제 개인 네트워크 이름 및 IP 주소 확인을 위한 기본 및 보조 DNS 서버가 있습니다. 이제 개인 DNS 서버를 사용하도록 클라이언트 서버를 구성해야 합니다.
4단계 - DNS 클라이언트 구성
trusted ACL의 모든 서버가 DNS 서버를 쿼리할 수 있으려면 각각 ns1 및 ns2를 이름 서버로 사용하도록 구성해야 합니다.
클라이언트 서버가 Ubuntu를 실행한다고 가정하면 개인 네트워크와 연결된 장치를 찾아야 합니다. ip address 명령으로 프라이빗 서브넷을 쿼리하여 이를 수행할 수 있습니다. 각 클라이언트 컴퓨터에서 다음 명령을 실행하여 강조 표시된 서브넷을 자신의 서브넷으로 바꿉니다.
- ip address show to 10.128.0.0/16
Output3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
altname enp0s4
altname ens4
inet 10.128.100.101/16 brd 10.128.255.255 scope global eth1
valid_lft forever preferred_lft forever
이 예에서 개인 인터페이스는 eth1입니다. 이 섹션의 예제에서는 개인 인터페이스로 eth1을 참조하지만 이러한 예제를 자체 서버의 개인 인터페이스를 반영하도록 변경해야 합니다.
Ubuntu 22.04에서 네트워킹은 표준화된 네트워크 구성을 작성하고 호환되는 백엔드 네트워킹 소프트웨어에 적용할 수 있는 추상화인 Netplan으로 구성됩니다. DNS를 구성하려면 Netplan 구성 파일을 작성해야 합니다.
00-private-nameservers.yaml이라는 /etc/netplan에 새 파일을 만듭니다.
- sudo nano /etc/netplan/00-private-nameservers.yaml
내부에 다음 내용을 추가하십시오. 사설 네트워크의 인터페이스, ns1 및 ns2 DNS 서버의 주소, DNS 영역을 수정해야 합니다.
참고: Netplan은 구성 파일에 YAML 데이터 직렬화 형식을 사용합니다. YAML은 들여쓰기와 공백을 사용하여 데이터 구조를 정의하므로 정의에서 일관된 들여쓰기를 사용하여 오류를 방지해야 합니다.
YAML Lint와 같은 YAML 검사기를 사용하여 YAML 파일 문제를 해결할 수 있습니다.
network:
version: 2
ethernets:
eth1: # Private network interface
nameservers:
addresses:
- 10.128.10.11 # Private IP for ns1
- 10.132.20.12 # Private IP for ns2
search: [ nyc3.example.com ] # DNS zone
완료되면 파일을 저장하고 닫습니다.
다음으로 netplan try를 사용하여 Netplan에 새 구성 파일을 사용하도록 지시합니다. 네트워킹 손실을 유발하는 문제가 있는 경우 Netplan은 시간 초과 후 변경 사항을 자동으로 롤백합니다.
- sudo netplan try
OutputWarning: Stopping systemd-networkd.service, but it can still be activated by:
systemd-networkd.socket
Do you want to keep these settings?
Press ENTER before the timeout to accept the new configuration
Changes will revert in 120 seconds
카운트다운이 맨 아래에서 올바르게 업데이트되면 새 구성이 최소한 SSH 연결을 끊지 않을 만큼 충분히 작동하는 것입니다. 새 구성을 적용하려면 ENTER를 누르십시오.
이제 시스템의 DNS 확인자를 확인하여 DNS 구성이 적용되었는지 확인합니다.
- sudo resolvectl status
개인 네트워크 인터페이스 섹션을 찾을 때까지 아래로 스크롤하십시오. DNS 서버의 사설 IP 주소가 먼저 나열되고 일부 폴백 값이 뒤따라야 합니다. 귀하의 도메인은 DNS 도메인 다음에 나열되어야 합니다.
Output. . .
Link 3 (eth1)
Current Scopes: DNS
Protocols: +DefaultRoute +LLMNR -mDNS -DNSOverTLS DNSSEC=no/unsupported
Current DNS Server: 67.207.67.3
DNS Servers: 10.128.10.11 10.128.20.12 67.207.67.3 67.207.67.2
DNS Domain: nyc3.example.com
이제 Ubuntu 클라이언트가 내부 DNS 서버를 사용하도록 구성되었습니다.
5단계 - 클라이언트 테스트
nslookup을 사용하여 클라이언트가 이름 서버를 쿼리할 수 있는지 테스트하십시오. 구성하고 신뢰할 수 있는 ACL에 있는 모든 클라이언트에서 이 작업을 수행할 수 있어야 합니다.
정방향 조회를 수행하여 시작할 수 있습니다.
정방향 조회
host1.nyc3.example.com의 IP 주소를 검색하기 위해 정방향 조회를 수행하려면 다음 명령을 실행하십시오.
- nslookup host1
host1 쿼리는 host1.nyc3.example.com으로 확장됩니다. search 옵션이 비공개 하위 도메인으로 설정되어 있고 DNS 쿼리가 검색을 시도하기 때문입니다. 다른 곳에서 호스트를 찾기 전에 해당 하위 도메인에서. 이전 명령은 다음과 같은 출력을 반환합니다.
OutputServer: 127.0.0.53
Address: 127.0.0.53#53
Non-authoritative answer:
Name: host1.nyc3.example.com
Address: 10.128.100.101
다음으로 역방향 조회를 확인할 수 있습니다.
역방향 조회
역방향 조회를 테스트하려면 host1의 개인 IP 주소로 DNS 서버를 쿼리합니다.
- nslookup 10.128.100.101
그러면 다음과 같은 출력이 반환됩니다.
Output11.10.128.10.in-addr.arpa name = host1.nyc3.example.com.
Authoritative answers can be found from:
모든 이름과 IP 주소가 올바른 값으로 확인되면 영역 파일이 제대로 구성된 것입니다. 예상치 못한 값을 받은 경우 기본 DNS 서버에서 영역 파일을 검토하십시오(예: db.nyc3.example.com 및 db.10.128).
마지막 단계로 이 자습서에서는 영역 레코드를 유지 관리하는 방법에 대해 설명합니다.
6단계 - DNS 레코드 유지
이제 작동하는 내부 DNS가 있으므로 서버 환경을 정확하게 반영하도록 DNS 레코드를 유지 관리해야 합니다.
DNS에 호스트 추가
환경(동일한 데이터 센터)에 호스트를 추가할 때마다 호스트를 DNS에 추가하고 싶을 것입니다. 수행해야 할 단계 목록은 다음과 같습니다.
기본 이름 서버
- 정방향 영역 파일: 새 호스트에 대한
A레코드 추가,Serial값 증가 - 역방향 영역 파일: 새 호스트에 대한
PTR레코드 추가,Serial값 증가 - 새 호스트의 개인 IP 주소를
신뢰할 수 있는ACL(named.conf.options)에 추가
구성 파일을 테스트합니다.
- sudo named-checkconf
- sudo named-checkzone nyc3.example.com /etc/bind/zones/db.nyc3.example.com
- sudo named-checkzone 128.10.in-addr.arpa /etc/bind/zones/db.10.128
그런 다음 BIND를 다시 로드합니다.
- sudo systemctl reload bind9
이제 새 호스트에 대해 기본 서버를 구성해야 합니다.
보조 이름 서버
- 새 호스트의 개인 IP 주소를
신뢰할 수 있는ACL(named.conf.options)에 추가
구성 구문을 확인합니다.
- sudo named-checkconf
그런 다음 BIND를 다시 로드합니다.
- sudo systemctl reload bind9
이제 보조 서버가 새 호스트의 연결을 수락합니다.
DNS를 사용하도록 새 호스트 구성
- DNS 서버를 사용하도록
/etc/resolv.conf구성 nslookup을 사용하여 테스트
DNS에서 호스트 제거
환경에서 호스트를 제거하거나 DNS에서 제거하려는 경우 서버를 DNS에 추가할 때 추가된 모든 항목을 제거하기만 하면 됩니다(즉, 이전 단계의 역순).
결론
이제 IP 주소가 아닌 이름으로 서버의 사설 네트워크 인터페이스를 참조할 수 있습니다. 이렇게 하면 개인 IP 주소를 더 이상 기억할 필요가 없고 파일을 읽고 이해하기가 더 어려워지기 때문에 서비스 및 애플리케이션 구성이 더 간단해집니다. 또한 이제 유지 관리를 최적화하는 다양한 분산 구성 파일을 편집하는 대신 단일 위치인 기본 DNS 서버에서 새 서버를 가리키도록 구성을 변경할 수 있습니다.
내부 DNS를 설정하고 구성 파일이 프라이빗 FQDN을 사용하여 네트워크 연결을 지정하면 DNS 서버를 적절하게 유지 관리하는 것이 중요합니다. 둘 다 사용할 수 없게 되면 이를 사용하는 서비스와 애플리케이션이 제대로 작동하지 않게 됩니다. 이것이 적어도 하나의 보조 서버로 DNS를 설정하고 모든 서버의 백업을 유지하는 것이 권장되는 이유입니다.
DNS에 대해 자세히 알아보려면 DNS 용어, 구성 요소 및 개념 소개 문서를 확인하는 것이 좋습니다.