BIND DNS 服务器搭建完全教程 / 第 05 章：转发与递归查询

options {
    // 开启递归
    recursion yes;
    
    // 允许使用递归的客户端（安全限制！）
    allow-recursion {
        localhost;
        localnets;
        192.168.0.0/16;
        10.0.0.0/8;
    };
    
    // 允许查询缓存的客户端
    allow-query-cache {
        localhost;
        localnets;
        192.168.0.0/16;
    };
};

options {
    recursion no;
    allow-recursion { none; };
    allow-query { any; };   // 权威数据仍允许任何人查询
};

options {
    // 指定上游转发器
    forwarders {
        8.8.8.8;        // Google Public DNS
        8.8.4.4;        // Google Public DNS
        1.1.1.1;        // Cloudflare DNS
        223.5.5.5;      // 阿里 DNS
    };
    
    // 转发策略
    forward first;       // 先尝试转发，失败后自行递归
    // forward only;     // 仅转发，失败返回 SERVFAIL
};

// 内部递归 DNS 服务器配置
options {
    recursion yes;
    allow-recursion { localnets; 10.0.0.0/8; };
    
    forwarders {
        10.0.0.1;       // DMZ 中的转发 DNS
    };
    forward first;
    
    // 如果转发失败，回退到根递归
    // （forward first 的默认行为）
};

// 将 partner.com 的查询转发到合作伙伴的 DNS
zone "partner.com" {
    type forward;
    forwarders {
        172.16.1.100;   // 合作伙伴的 DNS 服务器
        172.16.1.101;
    };
    forward only;       // 仅转发
};

// 将 internal.corp 的查询转发到 AD 域控
zone "internal.corp" {
    type forward;
    forwarders {
        10.1.1.1;       // Active Directory DNS
        10.1.1.2;
    };
    forward only;
};

// 将 cloud.example.com 转发到云环境 DNS
zone "cloud.example.com" {
    type forward;
    forwarders {
        172.31.0.2;     // AWS VPC DNS
    };
    forward only;
};

// 场景：总部 DNS → 分部 DNS → 内网域名

// 分部 DNS 配置
options {
    forwarders {
        10.0.0.1;       // 总部 DNS
    };
    forward first;
};

// 分部 DNS 仍可自行解析公网域名（forward first）
// 内部域名（如 .internal）通过总部 DNS 解析

# 查看当前根提示文件
cat /var/cache/bind/db.root
# 或
cat /var/named/named.ca

; /var/cache/bind/db.root
; 根服务器提示文件
; 来源: https://www.internic.net/domain/named.root
;
.                        3600000  IN  NS  A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET.      3600000  IN  A   198.41.0.4
A.ROOT-SERVERS.NET.      3600000  IN  AAAA 2001:503:ba3e::2:30
;
.                        3600000  IN  NS  B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET.      3600000  IN  A   199.9.14.201
B.ROOT-SERVERS.NET.      3600000  IN  AAAA 2001:500:200::b
;
.                        3600000  IN  NS  C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET.      3600000  IN  A   192.33.4.12
C.ROOT-SERVERS.NET.      3600000  IN  AAAA 2001:500:2::c
;
; ... 共 13 个根服务器（A-M）

# 从 Internic 下载最新根提示
wget https://www.internic.net/domain/named.root -O /tmp/named.root

# 验证内容
head -20 /tmp/named.root

# 替换（Ubuntu/Debian）
sudo cp /tmp/named.root /var/cache/bind/db.root
sudo chown bind:bind /var/cache/bind/db.root

# 替换（RHEL/CentOS）
sudo cp /tmp/named.root /var/named/named.ca
sudo chown named:named /var/named/named.ca

# 重载配置
sudo rndc reload

// 根区域定义（告诉 BIND 使用根提示进行递归）
zone "." {
    type hint;
    file "db.root";       // Ubuntu/Debian
    // file "named.ca";   // RHEL/CentOS
};

// 场景：转发器不可用时的行为

// forward first 的行为：
// 1. 转发到 8.8.8.8 → 超时
// 2. 回退到根递归 → 成功获取结果
// 3. 总耗时：转发超时 + 递归时间（较慢但能解析）

// forward only 的行为：
// 1. 转发到 8.8.8.8 → 超时
// 2. 返回 SERVFAIL
// 3. 客户端收到错误

// 全局选项：默认不转发，自行递归
options {
    recursion yes;
    allow-recursion { trusted; };
    // 不设 forwarders，自行递归
};

// 内部域名 → 转发到内部 DNS
zone "internal.corp" {
    type forward;
    forwarders { 10.1.1.1; 10.1.1.2; };
    forward only;
};

// 合作伙伴域名 → 转发到对方 DNS
zone "partner-a.com" {
    type forward;
    forwarders { 172.16.1.100; };
    forward only;
};

zone "partner-b.com" {
    type forward;
    forwarders { 172.16.2.100; };
    forward only;
};

// 云环境域名 → 转发到云 DNS
zone "amazonaws.com" {
    type forward;
    forwarders { 172.31.0.2; };
    forward first;  // 允许回退
};

// 其他域名 → 自行递归（无 forwarders）
// 使用根提示从根开始查询

options {
    forwarders {
        8.8.8.8;        // 优先级 1
        1.1.1.1;        // 优先级 2
        223.5.5.5;      // 优先级 3
    };
};

options {
    // 转发超时（秒），默认 10
    // 不是直接配置项，由 BIND 内部算法控制
    // 通常不需要手动调整
    
    // 但可以通过 max-udp-size 和 edns-udp-size 影响
    max-udp-size 1232;
    edns-udp-size 1232;
};

options {
    // 负缓存最大 TTL（秒）
    max-ncache-ttl 900;    // 默认 15 分钟
    
    // 正缓存最大 TTL
    max-cache-ttl 3600;    // 默认 1 小时
};

; SOA 最后一个字段控制 NXDOMAIN 的缓存时间
@   IN  SOA  ns1.example.com. admin.example.com. (
        2026051001  ; Serial
        3600        ; Refresh
        900         ; Retry
        1209600     ; Expire
        86400       ; Minimum (Negative Cache TTL)
    )

options {
    // prefetch <ttl-threshold> <queries-threshold>
    // 当记录的 TTL 低于 ttl-threshold 且查询次数超过 queries-threshold 时预取
    prefetch 2 9;   // TTL < 2秒 且 查询 >= 9次 时预取
};

options {
    // EDNS UDP 缓冲区大小
    edns-udp-size 1232;    // 推荐值（避免分片）
    max-udp-size 1232;     // 接收的最大 UDP 响应大小
};

options {
    // 开启 DNSSEC 验证（默认 auto）
    dnssec-validation auto;
    
    // 或使用手动信任锚
    // dnssec-validation yes;
    // bindkeys-file "/etc/bind/bind.keys";
};

# 检查是否有更具体的区域配置覆盖了转发
# 例如：如果有 zone "example.com" { type primary; ... }
# 则不会触发全局转发

# 查看查询日志
sudo rndc querylog on
dig @127.0.0.1 test.example.com
# 检查日志中是否显示 "forward" 行为

# 检查是否允许递归
dig @127.0.0.1 example.com A
# 如果返回 REFUSED → 检查 allow-recursion

# 检查根提示文件
dig @127.0.0.1 . NS
# 应返回 13 个根服务器

# 测试根服务器连通性
dig @198.41.0.4 . NS

# 检查转发区域配置
named-checkconf

# 测试转发
dig @127.0.0.1 test.partner.com
# 应该被转发到 172.16.1.100

# 检查上游 DNS 是否可达
dig @172.16.1.100 test.partner.com