Home » Настройка BIND как DNS сервера частной сети на Ubuntu 24

Настройка BIND как DNS сервера частной сети на Ubuntu 24

Если вы когда-нибудь задавались вопросом, как создать собственный DNS-сервер для частной сети, то эта статья для вас. Настройка BIND на Ubuntu 24 — это не только отличный способ повысить контроль над DNS-резолюцией в вашей инфраструктуре, но и возможность значительно ускорить работу сети за счёт кэширования. Мы разберём, как поднять полноценный DNS-сервер с нуля, настроить зоны для внутренних доменов и сделать так, чтобы ваши серверы могли обращаться друг к другу по человекочитаемым именам вместо IP-адресов.

Зачем нужен собственный DNS-сервер?

Представьте ситуацию: у вас есть несколько серверов в частной сети, и вместо того чтобы запоминать IP-адреса типа 192.168.1.10, 192.168.1.20, вы хотите обращаться к ним как web01.local, db01.local. Или вы разворачиваете тестовую среду и хотите, чтобы dev.myproject.internal резолвился в нужный IP. Собственный DNS-сервер решает эти задачи элегантно.

Основные преимущества:

Полный контроль над DNS-резолюцией в вашей сети
Возможность создавать внутренние домены (.local, .internal, .dev)
Кэширование запросов для ускорения работы
Централизованное управление DNS-записями
Отказоустойчивость — не зависите от внешних DNS-серверов для внутренних ресурсов

Как работает BIND?

BIND (Berkeley Internet Name Domain) — это самый популярный DNS-сервер в интернете. Он работает как authoritative DNS-сервер для ваших зон и как recursive resolver для внешних запросов. Проще говоря, BIND может отвечать на запросы о доменах, за которые он отвечает (например, ваш internal.local), и пересылать запросы о внешних доменах (например, google.com) к публичным DNS-серверам.

Архитектура работы выглядит так:

Клиент делает DNS-запрос к вашему BIND-серверу
BIND проверяет, есть ли у него зона для этого домена
Если да — отвечает из своей базы данных
Если нет — пересылает запрос к внешним DNS-серверам
Результат кэшируется для последующих запросов

Установка и базовая настройка

Для начала нам понадобится сервер с Ubuntu 24. Если у вас его нет, можете арендовать VPS или взять выделенный сервер для более серьёзных задач.

Обновляем систему и устанавливаем BIND:

sudo apt update
sudo apt upgrade -y
sudo apt install bind9 bind9utils bind9-doc -y

После установки BIND автоматически запустится. Проверим статус:

sudo systemctl status bind9

Основные конфигурационные файлы находятся в /etc/bind/:

named.conf — главный конфигурационный файл
named.conf.options — общие опции сервера
named.conf.local — локальные зоны
named.conf.default-zones — зоны по умолчанию

Настройка основных опций

Редактируем файл /etc/bind/named.conf.options:

sudo nano /etc/bind/named.conf.options

Вот базовая конфигурация для частной сети:

options {
    directory "/var/cache/bind";
    
    // Разрешаем рекурсивные запросы только с локальной сети
    recursion yes;
    allow-recursion { 127.0.0.1; 192.168.1.0/24; };
    
    // Разрешаем запросы только с локальной сети
    allow-query { 127.0.0.1; 192.168.1.0/24; };
    
    // Forwarders - куда пересылать внешние запросы
    forwarders {
        8.8.8.8;
        8.8.4.4;
        1.1.1.1;
    };
    
    // Отключаем трансферы зон (безопасность)
    allow-transfer { none; };
    
    // Слушаем на всех интерфейсах
    listen-on { any; };
    listen-on-v6 { none; };
    
    // Отключаем DNSSEC validation для внутренних зон
    dnssec-validation auto;
    
    auth-nxdomain no;
};

Замените 192.168.1.0/24 на вашу реальную подсеть.

Создание прямой зоны

Теперь создадим прямую зону для домена internal.local. Редактируем /etc/bind/named.conf.local:

sudo nano /etc/bind/named.conf.local

Добавляем описание зоны:

zone "internal.local" {
    type master;
    file "/etc/bind/zones/db.internal.local";
    allow-update { none; };
};

Создаём директорию для зон и файл зоны:

sudo mkdir -p /etc/bind/zones
sudo nano /etc/bind/zones/db.internal.local

Содержимое файла зоны:

$TTL    604800
@       IN      SOA     ns1.internal.local. admin.internal.local. (
                              2024031401         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL

; Name servers
@       IN      NS      ns1.internal.local.

; A records
ns1     IN      A       192.168.1.10
web01   IN      A       192.168.1.20
db01    IN      A       192.168.1.30
app01   IN      A       192.168.1.40

; CNAME records
www     IN      CNAME   web01
database IN     CNAME   db01

Создание обратной зоны

Обратная зона нужна для резолюции IP-адресов в доменные имена. Добавляем в /etc/bind/named.conf.local:

zone "1.168.192.in-addr.arpa" {
    type master;
    file "/etc/bind/zones/db.192.168.1";
    allow-update { none; };
};

Создаём файл обратной зоны:

sudo nano /etc/bind/zones/db.192.168.1

Содержимое:

$TTL    604800
@       IN      SOA     ns1.internal.local. admin.internal.local. (
                              2024031401         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL

; Name servers
@       IN      NS      ns1.internal.local.

; PTR records
10      IN      PTR     ns1.internal.local.
20      IN      PTR     web01.internal.local.
30      IN      PTR     db01.internal.local.
40      IN      PTR     app01.internal.local.

Проверка конфигурации и запуск

Перед перезапуском службы проверим конфигурацию:

# Проверка основной конфигурации
sudo named-checkconf

# Проверка прямой зоны
sudo named-checkzone internal.local /etc/bind/zones/db.internal.local

# Проверка обратной зоны
sudo named-checkzone 1.168.192.in-addr.arpa /etc/bind/zones/db.192.168.1

Если ошибок нет, перезапускаем BIND:

sudo systemctl restart bind9
sudo systemctl enable bind9

Тестирование DNS-сервера

Проверим, что всё работает:

# Проверка прямого разрешения
nslookup web01.internal.local 192.168.1.10
dig @192.168.1.10 web01.internal.local

# Проверка обратного разрешения
nslookup 192.168.1.20 192.168.1.10
dig @192.168.1.10 -x 192.168.1.20

# Проверка внешних запросов
nslookup google.com 192.168.1.10

Если DNS-сервер работает правильно, вы должны получить корректные ответы на все запросы.

Практические кейсы и примеры использования

Вот несколько реальных сценариев, где собственный DNS-сервер решает конкретные задачи:

Сценарий	Проблема	Решение через BIND
Kubernetes кластер	Сложно запомнить IP-адреса нод	master01.k8s.local, worker01.k8s.local
Микросервисная архитектура	Хардкод IP в конфигах	api.service.local, db.service.local
Тестовая среда	Конфликты с продакшн-доменами	app.test.local, staging.test.local
Домашняя лаборатория	Неудобно подключаться к устройствам	nas.home.local, router.home.local

Продвинутые возможности

После базовой настройки можно добавить более сложные функции:

Split DNS — разные ответы для внутренних и внешних клиентов
Dynamic DNS — автоматическое обновление записей
Secondary DNS — резервный DNS-сервер
DNS over HTTPS/TLS — шифрование DNS-запросов

Пример настройки вторичного DNS-сервера в named.conf.local:

zone "internal.local" {
    type slave;
    file "/var/cache/bind/db.internal.local";
    masters { 192.168.1.10; };
};

Автоматизация и скрипты

Для автоматизации управления DNS-записями можно использовать скрипты. Вот простой bash-скрипт для добавления A-записи:

#!/bin/bash
# add-dns-record.sh

ZONE_FILE="/etc/bind/zones/db.internal.local"
HOSTNAME=$1
IP=$2

if [[ -z "$HOSTNAME" || -z "$IP" ]]; then
    echo "Usage: $0  "
    exit 1
fi

# Обновляем серийный номер
SERIAL=$(date +%Y%m%d%H)
sed -i "s/[0-9]\{10\}/$SERIAL/" $ZONE_FILE

# Добавляем запись
echo "$HOSTNAME    IN      A       $IP" >> $ZONE_FILE

# Перезагружаем зону
sudo systemctl reload bind9

echo "Added $HOSTNAME -> $IP"

Для более сложных случаев можно использовать nsupdate для динамических обновлений или интегрировать с системами управления конфигурацией типа Ansible.

Сравнение с альтернативами

Решение	Плюсы	Минусы	Подходит для
BIND	Стандарт де-факто, много возможностей	Сложная настройка, много параметров	Серьёзные инсталляции, enterprise
Unbound	Простой, быстрый, безопасный	Меньше возможностей	Простые установки, рекурсивный DNS
PowerDNS	Современный, API, много бэкендов	Менее популярен	Автоматизация, интеграция с БД
CoreDNS	Легковесный, плагины	Ограниченные возможности	Kubernetes, контейнеры

Мониторинг и отладка

Для мониторинга работы DNS-сервера используйте:

# Логи BIND
sudo journalctl -u bind9 -f

# Статистика запросов
sudo rndc stats
cat /var/cache/bind/named.stats

# Проверка состояния зон
sudo rndc status

Полезные команды для отладки:

# Очистка кэша
sudo rndc flush

# Перезагрузка конфигурации
sudo rndc reload

# Дамп кэша
sudo rndc dumpdb -cache

Безопасность

Важные аспекты безопасности BIND:

Ограничивайте доступ к рекурсивным запросам
Отключайте трансферы зон для внешних клиентов
Используйте TSIG для аутентификации обновлений
Регулярно обновляйте BIND до последней версии
Настройте rate limiting для защиты от DDoS

Пример настройки rate limiting в named.conf.options:

rate-limit {
    responses-per-second 10;
    window 5;
};

Интеграция с другими системами

BIND отлично интегрируется с:

DHCP — автоматическое создание DNS-записей для выданных IP
Ansible/Puppet — автоматизация управления зонами
Kubernetes — резолюция сервисов и подов
Nagios/Zabbix — мониторинг состояния DNS
Fail2ban — защита от брутфорса

Пример интеграции с DHCP (ISC DHCP):

# В dhcpd.conf
ddns-updates on;
ddns-update-style interim;
update-static-leases on;

zone internal.local. {
    primary 192.168.1.10;
    key "ddns-key";
}

Заключение и рекомендации

Настройка собственного DNS-сервера на базе BIND — это мощный инструмент для управления сетевой инфраструктурой. Он особенно полезен в следующих случаях:

Используйте для: частных сетей, корпоративных инсталляций, домашних лабораторий, тестовых сред
Не используйте для: простых домашних сетей с 2-3 устройствами, где достаточно /etc/hosts
Обязательно настройте: мониторинг, резервирование, безопасность

Начните с простой конфигурации, как в этой статье, а затем постепенно добавляйте расширенные возможности по мере необходимости. BIND — это инструмент, который растёт вместе с вашими потребностями, от простого внутреннего DNS до сложных корпоративных решений.

Помните: DNS — это критически важная служба, поэтому всегда имейте план восстановления и резервные копии конфигурации. И не забывайте регулярно обновлять серийные номера в зонах при изменении записей!

В этой статье собрана информация и материалы из различных интернет-источников. Мы признаем и ценим работу всех оригинальных авторов, издателей и веб-сайтов. Несмотря на то, что были приложены все усилия для надлежащего указания исходного материала, любая непреднамеренная оплошность или упущение не являются нарушением авторских прав. Все упомянутые товарные знаки, логотипы и изображения являются собственностью соответствующих владельцев. Если вы считаете, что какой-либо контент, использованный в этой статье, нарушает ваши авторские права, немедленно свяжитесь с нами для рассмотрения и принятия оперативных мер.

Данная статья предназначена исключительно для ознакомительных и образовательных целей и не ущемляет права правообладателей. Если какой-либо материал, защищенный авторским правом, был использован без должного упоминания или с нарушением законов об авторском праве, это непреднамеренно, и мы исправим это незамедлительно после уведомления. Обратите внимание, что переиздание, распространение или воспроизведение части или всего содержимого в любой форме запрещено без письменного разрешения автора и владельца веб-сайта. Для получения разрешений или дополнительных запросов, пожалуйста, свяжитесь с нами.