服务器本地 DNS 配置如何写

服务器本地DNS配置分两层：客户端解析配置（如修改/etc/resolv.conf指定nameserver）决定本机查询目标；本地DNS服务配置（如Bind9或dnsmasq）使本机对外提供解析服务，需分别配置监听、权限、区域及记录，并通过nslookup、dig等工具验证生效。

服务器本地 DNS 配置主要分两层：**客户端解析配置**（让本机知道去哪查域名）和**本地 DNS 服务配置**（让本机自己提供 DNS 服务）。两者目的不同，不能混用。下面按实际用途拆解：

一、让服务器自己正确解析域名（/etc/resolv.conf）

这是最基础的配置，决定这台服务器“问谁”来查域名。

编辑 /etc/resolv.conf，写入 nameserver 行：

1. nameserver 127.0.0.1 —— 如果本机运行了 dnsmasq 或 unbound 等缓存服务，优先写它
2. nameserver 8.8.8.8 —— Google 公共 DNS，稳定可用
3. nameserver 114.114.114.114 —— 国内常用，延迟低

还可加控制参数：

1. options timeout:2 attempts:2 —— 单次查询最多等 2 秒，失败重试 2 次
2. options rotate —— 多个 nameserver 轮询使用，避免单点卡顿

⚠️ 注意：某些系统（如 systemd-resolved 或 NetworkManager）会自动覆盖该文件。若需固定配置，建议用 chattr +i /etc/resolv.conf 锁定，或改用其对应管理方式（如 resolvectl）。

二、让服务器对外提供 DNS 服务（以 Bind9 为例）

适用于搭建内网 DNS、权威解析或缓存转发服务。

核心配置文件是 /etc/bind/named.conf.options：

1. listen-on port 53 { any; }; —— 监听所有 IP 的 53 端口（生产环境建议限定内网地址，如 { 192.168.1.0/24; };）
2. allow-query { any; }; —— 允许哪些客户端查询（同样建议限制范围）
3. recursion yes; —— 开启递归查询（做缓存服务器必须开）
4. dnssec-validation auto; —— 启用 DNSSEC 验证，增强安全性

再在 /etc/bind/named.conf.local 中定义区域：

1. 正向解析：zone "example.com" { type master; file "/etc/bind/zones/db.example.com"; };
2. 反向解析：zone "1.168.192.in-addr.arpa" { type master; file "/etc/bind/zones/db.192.168.1"; };

区域文件（如 db.example.com）里要包含 SOA、NS、A、CNAME 等记录，且每条记录末尾带 . 表示绝对域名。

三、轻量级本地缓存（推荐用于开发/测试服务器）

不需复杂 Bind，用 dnsmasq 更简单：

安装后编辑 /etc/dnsmasq.conf：

1. listen-address=127.0.0.1,192.168.1.100 —— 绑定本机及内网 IP
2. cache-size=1500 —— 缓存条目数，够日常用
3. no-resolv —— 不读取 /etc/resolv.conf
4. server=8.8.8.8 —— 明确指定上游 DNS
5. address=/myapp.local/192.168.1.200 —— 实现静态域名映射（类似 hosts，但全网生效）

启用并启动：sudo systemctl enable --now dnsmasq，然后把本机 /etc/resolv.conf 的 nameserver 改为 127.0.0.1 即可享受本地缓存。

四、验证是否生效

别只看配置文件，动手验证：

1. nslookup example.com 或 dig example.com —— 查是否返回正确 IP
2. systemd-resolve --status（若用 systemd-resolved）—— 查当前 DNS 设置来源
3. ss -tuln | grep :53 —— 查 53 端口是否监听成功
4. journalctl -u dnsmasq -f 或 journalctl -u named -f —— 实时看服务日志