程序员 mysql 开源 google php wordpress Windows java Ubuntu Firefox nginx centos 微软 Python linux shell Android linux命令 HTML5 apache

智能DNS:Bind dlz 在企业中的应用和部署

编者按:在大众网,智能DNS被用在绝大部分二级域名和一些非大众网域名上,一年多来运行的相当稳定。晓辉本次总结了过去一年来部署使用智能DNS过程中的操作步骤和一些经验心得,跟大家分享。

去年因为二级域名大量增加、bind下管理不便的关系,在公司部署了智能DNS(Bind dlz),当时写过一篇部署文档进行了记录。不过在过去一年的使用当中,发现了其中不少的错误,所以本次发布该文档的第二版,对这些错误进行修正。更新内容包括:

  1. 修正web界面中对新建域名ns 域名是自身的严重bug。
  2. 修正web界面中线路为 电信 网通 移动。
  3. 取消A、CNAME、MX、AAAA记录最多只能添加10条的限制。
  4. 修正ip库到最新。
  5. 使用CentOS 5.7版本。

智能dns工作示意图

智能dns工作示意图

一、Bind-dlz简介

全世界范围内标准DNS服务器是BIND。尽管被流传了许多年,经过多次修改,BIND的基本功能保持不变。遗憾的是,有一些不好的缺陷。

  • BIND从文本文件中获取数据,这样容易因为编辑错误出现问题。
  • BIND需要将数据加载到内存中,如果域或者记录较多,会消耗大量的内存。
  • BIND启动时解析Zone文件,对于一个记录较多的DNS来说,会耽误更多的时间。
  • 如果最近修改一条记录,那么要重新加载或者重启BIND才能生效,可能会影响客户端查询。

bind-dlz主要解决上述缺陷而诞生,在mysql存储zone的记录,比在文本中好管理的多。

智能DNS的原理:

在用户解析一个域名的时候,判断一下用户的IP,然后跟DNS服务器内部的IP表匹配一下,看看用户是电信还是网通用户,然后给用户返回对应的IP地址。

适用范围:

网站要有三线路接入或者在电信、联通、移动部署有服务器,这样智能dns才能派上用场。

二、智能DNS系统服务规划

1、NameServer服务器设置(到新网或者万网后台添加)

ns1.zjyxh.com  192.19.13.15
ns2.zjyxh.com  192.19.11.3

NS1是master ,NS2是slave。两者数据通过mysql来同步。

2、测试NS记录是否生效

# dig ns www.zjyxh.com
# dig www.zjyxh.com +trace

3、Bind-View规划

www.zjyxh.com 网通 (CNC)  124.133.11.78
www.zjyxh.com 电信(TELECOM) 58.56.11.153 
www.zjyxh.com 移动(ANY) 120.192.11.13

三、在CentOS 5.7上安装MySQL Replication

因为Bind-dlz是使用MySQL作为存储zone的载体,这样就可以用PHP来操作MySQL。特别注意:智能dns最少部署两台NameServer,主从关系。主从同步利用mysql的复制来实现主从同步。

首先下载mysql的最新版并解压:

# wget http://mirrors.sohu.com/mysql/MySQL-5.1/mysql-5.1.60.tar.gz
# tar zxf mysql-5.1.60.tar.gz
# cd mysql-5.1.60
# ./configure --prefix=/usr/local/mysql --enable-assembler --with-server-suffix=-DZWWW --enable-thread-safe-client --enable-local-infile --enable-thread-safe-client  --with-big-tables --with-charset=utf8 --with-client-ldflags=-all-static  -with-collation=utf8_general_ci --with-extra-charsets=all --with-mysqld-ldflags=-all-static --with-mysqld-ldflags=-ltcmalloc  --with-mysqld-user=mysql -with-plugins=partition,myisammrg --with-pthread --with-unix-socket-path=/tmp/mysql.sock --without-ndb-debug
make && make install

将my.cnf放到/etc下,并安装系统数据库。

# wget http://autolemp.googlecode.com/files/my.cnf
# cp support-*/mysql.server /etc/init.d/mysqld
# cp my.cnf /etc/
# chmod 744 /etc/init.d/mysqld
# cd /usr/local/mysql
# chown -R mysql:mysql .
# rm -rf sql-bench mysql-test
# mkdir -p /data0/mysql/relaylog/
# mkdir -p /data0/mysql/binlog/
# chown -R mysql.mysql /data0/mysql
# /usr/local/mysql/bin/mysql_install_db --user=mysql --basedir=/usr/local/mysql --datadir=/data0/mysql/data

默认脚本会启动MySQL。如果报错,会在数据库目录里有错误日志。

MySQL replication配置

1、MySQL安全设置

mysqladmin命令来改root用户口令

# mysqladmin -uroot password 51cto.com

设置MySQL管理操作用户root的密码为51cto.com

用setpassword修改口令:

mysql> set password for root@localhost=password('51cto.com); 

直接修改user表的root用户口令

mysql> use mysql; 
mysql> update user set password=password('51cto.com') where user='root';
mysql> flush privileges; 

2、删除默认的数据库和用户。

我们的数据库是在本地,并且也只需要本地的php脚本对mysql进行读取,所以很多用户都不需要。mysql初始化后会自动生成空用户和test库,这会对数据库构成威胁,我们全部删除。

mysql> drop database test;
mysql> use mysql;
mysql> delete from db; 
mysql> delete from user where not(host="localhost" anduser="root"); 
mysql> flush privileges;

3、Master 机器设置权限,赋予Slave机器file及Replication Slave权利,并打包要同步的数据库结构。

Master# ./mysql -u root -p 51cto.com
Enter password: 
Welcome to the MySQL monitor. Commands end with ; or g.
Your MySQL connection id is 2 to server version: 5.1.60
type 'help;'or 'h' for help. Type 'c' to clear the buffer. 
mysql> GRANT FILE ON*.* TO slaverep@172.19.1.3 IDENTIFIEDBY ‘slaverep’; 
mysql> GRANT REPLICATION SLAVE ON *.* TO slaverep@172.19.1.3 IDENTIFIEDBY ‘51cto.com’; 
mysql> Flush privilege;

赋予192.19.11.3也就是Slave 机器有File权限, 这个5.1.60版对replication的权限好像做了调整,只赋予Slave机器有File权限还不行,还要给它REPLICATION SLAVE的权限才可以。

Master 导入CDN。Sql文件建立CDN数据结构

# mysql -uroot -p 51cto.com 
mysql> create database cdn;
mysql> q
# mysql cdn -uroot -p 51cto.com < cdn.sql #cdn.sql文件所在的位置

这样master 就有了CDN库的数据结构。

Slave一样。这样不再重复。

然后,设置主服务器Master的my.cnf,启动Mysql服务

Master# vi /etc/my.cnf 

在[mysqld]添加或修改以下的内容:

[mysqld]
log-bin=/home/data/mysql/data/binlog/binlog #打开logbin选项以能写到slave的 I/O线程;
server-id=1 #表示是本机的序号为1,一般来讲就是master的意思.
binlog-do-db=cdn #表示同步cdn数据库; 

然后把Master主服务器的MySQL重启。

Master# service mysqld restart

4、修改Slave服务器的my.cnf

Slave# vi /etc/my.cnf 

在[mysqld]添加或修改以下的内容:

[mysqld]
master-host=192.19.13.15
master-user=slaverep
master-password=51cto.com
master-port=3306
server-id=10
master-connect-retry=60
replicate-do-db=cdn [要更新的数据库]
log-slave-updates 

5、删除Slave端数据库目录中的master.info

Slave# rm -f master.info 

6、重启动Slave的MySQL服务。

Slave# service mysqld restart

7、测试

先检测两个MySQL数据库中的cdn是否正常。正常情况应该是Master和Slave 中的MySQL都有相同的cdn数据库,并且里面的数据都一样。然后测试replication功能是否起用。在Master中的reptest数据库添加一笔数据:

Master# mysql -u root -p 
Enter password: 
Welcome to the MySQL monitor. Commands end with ; or g.
Your MySQL connection id is 12 to server version: 5.1.60
Type 'help;'or 'h' for help. Type 'c' to clear the buffer. 
mysql> use cdn;
Database changed
mysql> INSERT INTO rep_table VALUES ('test1', '4321', 'T',24);
Query OK, 1 row affected (0.00 sec)
mysql> 

然后查看Slave机器的reptest数据库:

Slave# mysql -u root -p 
Enter password: 
Welcome to the MySQL monitor. Commands end with ; or g.
Your MySQL connection id is 12 to server version: 5.1.49
Type 'help;'or 'h' for help. Type 'c' to clear the buffer. 
mysql> use cdn;
Database changed
mysql>select * from reptable; 
+------+------+------+------+
| id | name| sex | age | 
+------+------+------+------+
| test1|4321 | T | 24 | 
+------+------+------+------+
1 row in set(0.00 sec) 
mysql> source /root/etc/cdn.sql #导入压缩包中的cdn.sql

这样就ok了。接下来是一些性能方面的调优。

为MySQL添加TCMalloc库降低系统负载

TCMalloc(Thread-CachingMalloc)是google开发的开源工具──“google-perftools”中的成员。与标准的glibc库的malloc相比,TCMalloc在内存的分配上效率和速度要高得多,可以在很大程度上提高MySQL服务器在高并发情况下的性能,降低系统负载。

1、64位操作系统请先安装libunwind库,32位操作系统不要安装。libunwind库为基于64位CPU和操作系统的程序提供了基本的堆栈辗转开解功能,其中包括用于输出堆栈跟踪的API、用于以编程方式辗转开解堆栈的API以及支持C++异常处理机制的API。

wget http://download.savannah.gnu.org/releases/libunwind/libunwind-0.99.tar.gz
tar zxvf libunwind-0.99.tar.gz
cd libunwind-0.99/
CFLAGS=-fPIC ./configure
make CFLAGS=-fPIC
make CFLAGS=-fPIC install

2、安装google-perftools:

wget http://google-perftools.googlecode.com/files/google-perftools-1.6.tar.gz
tar zxvf google-perftools-1.6.tar.gz
cd google-perftools-1.6/
./configure
make && make install
echo "/usr/local/lib" >/etc/ld.so.conf.d/usr_local_lib.conf
/sbin/ldconfig

3、修改MySQL启动脚本(根据你的MySQL安装位置而定):

vi /usr/local/mysql/bin/mysqld_safe

在# executingmysqld_safe的下一行,加上:

export LD_PRELOAD=/usr/local/lib/libtcmalloc.so

保存后退出,然后重启MySQL服务。

4、使用lsof命令查看tcmalloc是否起效:

lsof -n | grep tcmalloc

如果出现以下信息,说明tcmalloc已经起效:

mysqld 10847 mysql mem REG 8,5 1203756 20484960/usr/local/lib/libtcmalloc.so.0.0.0

MySQL部分配置到此完毕,下面可以进入正题了:安装配置Bind-dlz。

四、安装配置Bind-DLZ 及相关脚本

1、安装bind

#mkdir /usr/local/src/bind-dlz
#cd /usr/local/src/bind-dlz 
#wget http://ftp.isc.org/isc/bind9/9.6.0-P1/bind-9.6.0-P1.tar.gz
#tar zxvf bind-9.6.0-P1.tar.gz
#cd bind-9.6.0-P1
#./configure --with-dlz-mysql --enable-largefile --enable-threads=no--prefix=/usr/local/bind 
#make -j4 && make install

2、创建相关配置文件

cd /usr/local/bind/etc
../sbin/rndc-confgen >rndc.conf
tail -n10 rndc.conf | head -n9 | sed -e s/#//g >named.conf
# vilocalhost.zone 
ttl 86400
@ IN SOA localhost. root.localhost. (
1997022700 ; Serial
28800 ; Refresh
14400 ; Retry
3600000 ; Expire
86400 ) ; Minimum
IN NS localhost.
1 IN PTR localhost.
# dig >named.root

编辑named.conf:

# vi named.conf

最下面加入:

include"/usr/local/bind/etc/cnc_acl.conf"; //网通ACL
include "/usr/local/bind/etc/telecom_acl.conf"; //电信ACL
include "/usr/local/bind/etc/view.conf"; //DLZ相关的配

3、配置DNSTSIG

使用dnssec-keygenfunction 产生加密密钥,一个为public key,另一个为private key,本文假设应用服务器存在CNC,TELECOM,EDU,ANY

(1)产生加密金钥

#cd /usr/local/bind/sbin 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST cnc 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST telecom 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST edu 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST any

(2)查看生成的密钥文件

# cat Kcnc.+157+24406.private //以网通为例.
Private-key-format: v1.2 
Algorithm: 157 (HMAC_MD5) 
Key: YTjTOw00PzeEaasA16/Rvw== 
Bits: AAA= 

将 YTjTOw00PzeEaasA16/Rvw== 加入到named.conf,其它同例。

详细请参照named.conf配置文件

配置named.conf

#vi /usr/local/bind/etc/named.conf 
key "rndc-key" { 
algorithm hmac-md5; 
secret "5PubnjGuAWeH9F2dIUYd6g=="; 
}; 
controls { 
inet 127.0.0.1 port 953 
allow { 127.0.0.1; } keys {"rndc-key"; }; 
}; 
options { 
directory "/usr/local/bind/etc"; 
pid-file "named.pid"; 
}; 
#TSIG-key 
key "cnc" { 
algorithm hmac-md5; 
secret "YTjTOw00PzeEaasA16/Rvw=="; 
}; 
key "telecom" { 
algorithm hmac-md5; 
secret"pUcQGLpSH2tQgVZ9ZHU6Yg=="; 
}; 
key "edu"{ 
algorithm hmac-md5; 
secret"Bzo6MTzrzbRFQbONYTS1Cw=="; 
}; 
key "any"{ 
algorithm hmac-md5; 
secret"DHpPfGJdMLv91OygBf9H6w=="; 
}; 
#acl 
acl"dns-ip-list"{ 
172.19.3.15; #masterDNS IP 
172.19.1.3; #slaveDNS IP 
}; 
#acl include 
include"/usr/local/bind/etc/cnc_acl.conf"; //网通ACL 
include"/usr/local/bind/etc/telecom_acl.conf"; //电信 ACL
include"/usr/local/bind/etc/edu_acl.conf"; //教育网ACL 
include"/usr/local/bind/etc/view.conf"; //bind-view部分

3、Bind启动脚本

#!/bin/bash
# chkconfig: 345 71 71 
# description:bind daemondcase"$1" in 
start)
if [ -x/usr/local/bind/sbin/named ]; then
/usr/local/bind/sbin/named -c /usr/local/bind/etc/named.conf -u bind
echo "BIND9-named server started"
fi
;;
stop)
kill `cat/usr/local/bind/etc/named.pid` && echo . && echo 'BIND9 serverstopped'
;;
restart)
echo .
echo "Restart BIND9 server"
$0 stop
sleep 10
$0 start
;;
reload)
/usr/local/bind/sbin/rndcreload
;;
status)
/usr/local/bind/sbin/rndcstatus
;;
*)
echo"$0 start | stop | restart |reload |status"
;;
esac
chkconfig --add bind9
service bind9 start#启动bind
service bind9 reload# 重载bind
service bind9 restart# 重启bind

剩余文档见这个文件:etc.tar,里面很详细。部署master时候用tar zxf etc.tar.gz -C /usr/local/bind/etc覆盖即可,剩下的slave在部署bind还是将配置文件解压到/usr/local/bind/etc/即可,将rndc-key 和dnssec重新配置一遍就可以用了!

另外,web管理界面可以在这里下载(下载之后解压缩,然后上传到你的NameServer下即可):http://down.51cto.com/data/296744

注意事项

部署DNS,防火墙和路由器要设置清楚,我部署的时候就是因为硬防没有对master和slave服务器开放tcp和udp53端口,造成不能解析域名。需要大家切记!

转自:http://coralzd.blog.51cto.com/90341/729847

延伸阅读

评论