BIND9 настройка и мини-мануал FAQ

ksenia

Всем привет!
Давно использую pfSense, но с BIND особо не приходилось сталкиваться. Свой первый пост как раз ему и хотела бы посветить.
Целью данного поста является - собрать в кучу всю информацию и прояснить непонятные (для меня) вещи. Все никто не может знать, все мы учимся. В нашей частной сети BIND нужен для обслуживания зон доменов (более 250 шт.). Использовать DNS хостера не вариант. Домены разные, принадлежать разным лицам и организациям + в своей сети несколько веб-серверов на которых крутятся сайты для всех этих доменов. Поэтому было принято решение развернуть BIND9 в своей сети на база pfSense.
У нас 3 внешних IP, 3 оператора связи.
От себя лично добавлю, что я ознакомилась с книгой "DNS и BIND" Крикета Ли.

Итак, начну. Пакет BIND нужно дополнительно устанавливать из Package Manager.

Начальная настройка и запуск.
Отключаем DNS Forwarder, DNS Resolver.
Все остальные настройки как на скрине:

Тут я увеличила объем до 512М, скрыла версию BIND, изменила Logging Options – General, активировала чекбоксом Rate Limit, Limit 15.
Далее чекбокс Enable Forwarding, т.к. наш DNS сервер будет обслуживать только свои домены, а по остальным запросам пересылка на Cloudflare (1.1.1.1;1.0.0.1). Я не люблю Google, да.

Далее переходим в ACLs. Мне блокировать нечего. Поэтому 4 установки которые там есть по дефолту не меняем.

Переходим во Views. Здесь 2 настройки – global и local. Для global я включила рекурсию, чтобы обращаться к вышестоящим DNS серверам для доменов, которые не обслуживает наш DNS сервер или которых нет в кэше.
Для local рекурсия выключена, т.к. в нашем BIND будут указаны эти домены.

Прошу местных гуру меня поправить, правильно ли это сделано?

Заключительная и самая важная закладка Zones. Тут указаны все домены.
Фото по размеру форум не пустил, поэтому по ссылке:
alt text

Сразу вопрос! Нужно ли для каждого домена делать Zones – global и local или лучше будет объединить? Чтобы пользователи в сети могли обращаться к своим доменам привычным способом.

Для каждого домена который будет обслуживаться нашим DNS сервером выбираю тип зоны – Master. Далее View (см.мой вопрос выше )
Далее включаем DNSSEC и указываем отпечаток для домена.
Name Server указываем pfSense. Я указала 127.0.0.1. Это правильно? Или лучше будет указать его IP, например 10.10.0.1?
Base Domain IP – указываем IP в нашей частной сети нужного веб сервера. В моем случае 10.11.0.1.
Allow-update устанавливаю – none. Ведь наш DNS авторитетный.
Параметры allow-query, allow-transfer в any. Ведь я их и не задавала в ACLs.
Переходим к Zone Domain records.
У нас 3 внешний IP, 3 оператора. MultiWAN настроен в режим Load Balancer. Поэтом указываю 6 А-записей, чтобы получился round robin.
Здесь родился как раз еще вопрос по поводу Zones – local. Что если мне указать домен и указать для него А-записи с локальным IP из нашей сети? Или это будет не правильно и оставить только один Views ?
И как можно указать SRV записи с номером порта? Сейчас у регистратора это выглядит так, а в BIND (в какие поля и что следует указывать)?
REG.RU.png

Заключительным моментом будет создание правила в Port Forward на прослушивание 53 порта:

Теперь у регистратора необходимо будет указать свои NS сервера. Есть возможность сделать их 3, но я остановилась на 2-х. Сделала ns1.домен.ру, ns2.домен.ру и указала там наши внешние IP адреса.
В таком варианте домены на пробу работают. Зону видно.

Прошу у опытных гуру совета, что сделано не так? Работа предстоит большая, 250 доменов перенести.

Заранее всем спасибо

P.S.
Ребята, вас с праздником!!!

werter

Добрый.
@ksenia

По ссылкам гляньте, может что-то и найдете:

https://www.raffaelechiatto.com/installazione-e-configurazione-di-bind-dns-su-pfsense/

https://www.digitalocean.com/community/tutorials/how-to-configure-bind-as-a-private-network-dns-server-on-ubuntu-18-04-ru

https://gregory-gost.ru/domashnij-server-chast-3-vnutrennij-dns-servis-na-bind9-ili-svoi-domennye-imena-v-lokalnoj-seti/

Номер порта для srv-записи может через ':' указывается - x.x.x.x:port?

ksenia

@werter Спасибо за ссылки, было интересно познакомиться с информацией.
Насчет номера порта в ":" немного смутило то, что нет подходящего поля для этого параметра.