CoreDNS实战(一)-构建高性能、插件化的DNS服务器

1 概述

在企业高可用DNS架构部署方案中我们使用的是传统老牌DNS软件Bind, 但是现在不少企业内部流行容器化部署，所以也可以将Bind替换为 CoreDNS ，由于 CoreDNS 是 Kubernetes 的一个重要组件，稳定性不必担心，于此同时还可将K8S集群SVC解析加入到企业内部的私有的CoreDNS中。

2 CoreDNS 介绍

2.1 什么是CoreDNS?

CoreDNS 由 Go 语言编写是一个高度可扩展和灵活的( 插件式) DNS 服务器，可以在多平台环境上运行，来自 Cloud Native Computing Foundation（云原生基金会）的开源毕业项目，它的设计目标是易于使用且具有强大的功能。

除此之外，CoreDNS与其他DNS服务器不同，例如（所有优秀的）BIND，Knot，PowerDNS 和 Unbound（技术上是一个解析器，但仍然值得一提）。因为它非常灵活，几乎所有功能都外包到插件中，插件可以是独立的，也可以协同工作以执行“DNS功能”，这使得 CoreDNS 不仅可以用作传统的 DNS 服务器，还可以用作服务发现、负载均衡和其他用途。

  • coredns 官方文档：https://coredns.io/manual/toc/ 
  • coredns 发布版本: https://github.com/coredns/core

2.2 CoreDNS如何实现DNS功能？

CoreDNS 其目的是易于使用且具有强大的功能，官方将其定义为一个软件实现 CoreDNS 插件 API, 实现的功能可能会大相径庭,有本身不会创建响应（例如指标或缓存）但会添加功能的插件,然后有一些插件确实会生成一个回应。这些也可以做任何事情：有与 Kubernetes 通信以提供服务发现的插件，从中读取数据的插件 文件或数据库。

2.3 CoreDNS 核心特点

  • 插件架构（Plugins）：通过插件，可以轻松扩展 CoreDNS 的功能。插件可以用于处理 DNS 请求、转发请求、缓存结果、记录日志等。插件的使用和配置都非常简单。
  • 性能和可靠性：CoreDNS 使用 Go 语言编写，具有很高的性能。同时，它具有自动重试、健康检查和负载均衡等功能，以确保 DNS 服务的可靠性。
  • 易于配置：CoreDNS 使用名为 Caddyfile 的配置文件格式，这种格式简单易懂，易于编写和维护。
  • Kubernetes 集成：CoreDNS 可以与 Kubernetes 集成，作为集群内的 DNS 服务器。自 Kubernetes 1.11 版本起，CoreDNS 成为 Kubernetes 的默认 DNS 服务器，替代了之前的 kube-dns。

其实从功能角度来看，CoreDNS 更像是一个通用 DNS 方案（类似于 BIND），然后通过插件模式来极大地扩展自身功能，从而可以适用于不同的场景（比如 Kubernetes）。正如官方博客所说：CoreDNS is powered by plugins.

3 安装部署

CoreDNS安装有两种方式：

  • 二进制安装
  • 源码编译

部署信息：10.20.176.120

3.1  二进制安装

3.1.1 下载安装包

 安装包地址：Releases · coredns/coredns · GitHub

# 指定最新版本
$ COREDNS_VERSION="1.11.1"
# 官方下载
$ wget -O /tmp/coredns_${COREDNS_VERSION}_linux_amd64.tgz https://github.com/coredns/coredns/releases/download/v${COREDNS_VERSION}/coredns_${COREDNS_VERSION}_linux_amd64.tgz
# 代理下载
$ wget -O /tmp/coredns_${COREDNS_VERSION}_linux_amd64.tgz https://ghproxy.com/https://github.com/coredns/coredns/releases/download/v${COREDNS_VERSION}/coredns_${COREDNS_VERSION}_linux_amd64.tgz

3.1.2 解压安装

# 解压
$ tar xf /tmp/coredns_${COREDNS_VERSION}_linux_amd64.tgz -C /usr/local/bin
# 软连接设置
$ ln -s /usr/local/bin/coredns /usr/bin/coredns

3.1.3 配置

# 添加独立用户
$ useradd coredns -s /sbin/nologin# 创建配置目录文件及权限
$ mkdir -vp /etc/coredns/
$ touch /etc/coredns/Corefile
$ chown -R coredns /etc/coredns/Corefile

3.1.4 设置成系统服务

$ tee -a /usr/lib/systemd/system/coredns.service <<'EOF'
[Unit]
Description=CoreDNS DNS server
Documentation=https://coredns.io
After=network.target[Service]
LimitNOFILE=1048576
LimitNPROC=512
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_BIND_SERVICE
PermissionsStartOnly=true
NoNewPrivileges=true
WorkingDirectory=/etc/coredns
User=coredns
ExecStart=/usr/bin/coredns -conf=/etc/coredns/Corefile
ExecReload=/bin/kill -SIGUSR1 $MAINPID
Restart=on-failure[Install]
WantedBy=multi-user.target
EOF

3.1.5 系统加载

# Reload systemd manager configuration
$ systemctl daemon-reload                       # Auto Start Configuration
$ systemctl enable coredns

3.1.6 设置防火墙规则 

# 设置防火墙允许DNS服务53端口网络通行
$ firewall-cmd --permanent --add-service=dns
$ firewall-cmd --reload

3.1.7 设置解析配置及host插件

# 使用 host 插件配置一个简单解析
$ tee -a /etc/coredns/Corefile <<'EOF'
.:53 {# 绑定所有接口bind 0.0.0.0# hosts 插件: https://coredns.io/plugins/hosts/hosts {# 自定义 weiyigeek.top 子域名解析# 因为解析的域名少我们这里直接用hosts插件即可完成需求# 如果有大量自定义域名解析那么建议用file插件使用 符合RFC 1035规范的DNS解析配置文件192.168.1.2 www.weiyigeek.top192.168.1.3 blog.weiyigeek.top192.168.1.250 gitlab.weiyigeek.top192.168.1.251 harbor.weiyigeek.top# ttlttl 60# 重载hosts配置reload 1m# 继续执行fallthrough}# file enables serving zone data from an RFC 1035-style master file.# 最后所有的都转发到系统配置的上游dns服务器去解析forward . 223.6.6.6# 缓存时间ttlcache 120# 自动加载配置文件的间隔时间reload 6s# 输出日志log# 输出错误errors
}
EOF

3.1.8 启动codns

# 启动并查看coredns服务
$ systemctl start coredns && systemctl status coredns# 查看监听端口服务
$ lsof -i :53# COMMAND  PID    USER   FD   TYPE DEVICE SIZE/OFF NODE NAME# coredns 4548 coredns    7u  IPv6  36174      0t0  TCP *:domain (LISTEN)# coredns 4548 coredns    8u  IPv6  36176      0t0  UDP *:domain

3.1.9 验证

3.1.9.1 在 Windows 中使用 nslookup 工具解析指定子域名
# 配置在coredns中的子域解析
[weiyigeek@localhost] C:\Users\WeiyiGeek $  nslookup -qt=a gitlab.weiyigeek.top 10.20.176.120
服务器:  UnKnown
Address:  10.20.176.120名称:    gitlab.weiyigeek.top
Address:  192.168.1.250# coredns 不存在的子域解析将转发给上游DNS服务器解析
[weiyigeek@localhost] C:\Users\WeiyiGeek $  nslookup -qt=a api.weiyigeek.top 10.20.176.120
服务器:  UnKnown
Address:  10.20.176.120非权威应答:
名称:    api.weiyigeek.top
Address:  82.156.18.253
3.1.9.2 在 Linux (redhat/centos/kylinos) 中 dig 工具解析指定子域名 
yum install bind-utils -y
dig harbor.weiyigeek.top @10.20.176.120
dig api.weiyigeek.top @10.20.176.120

3.2 源码安装

CoreDNS用Go编写，所以在编译之前确保已经安装了GO的开发环境

GO的版本需要大于1.17

从Github上面Check out下来项目，然后使用 make 编译项目：

$ git clone https://github.com/coredns/coredns
$ cd coredns
# 直接编译，需要go环境
$ make
# 使用docker镜像go环境编译
docker run --rm -i -t -v $PWD:/v -w /v golang:1.21 make

编译完成以后会生成一个二进制文件：coredns。

直接使用以下命令启动即可：

$ ./coredns

4 CoreDNS 配置

4.1 CoreDNS配置文件格式

通常情况下，一个典型的 Corefile 格式如下所示：

# ZONE : 定义 server 负责的 zone，PORT 是可选项，默认为 53；
ZONE:[PORT] {
# PLUGIN : 定义 server 所要加载的 plugin, 并且每个 plugin 可以有多个参数；[PLUGIN] ...
}

例如设置根域 . 的解析以及自定义域名的正向与反向解析。

# 根域, 监听 53 端口
.:53 {# whoami 插件：返回解析器的本地 IP 地址、端口和传输，且请求结束时下一个插件将不会被调用。whoami# .....
}# 定义 Server Zone （正向解析）
weiyigeek.top {whoami# 可使用 host 或者 file 方法指定解析记录。file db.weiyigeek.top}# 同一个 server 但是负责不同 zone 的解析，有不同插件链。
weiyigeek.cn {whoami# 使用 host 或者 file 方法指定解析记录。host db.weiyigeek.top
}# 定义 Reverse Zone （反向解析 IP 地址对应的域名）# 方式1
0.0.10.in-addr.arpa {whoami
}# 方式2
10.0.0.0/24 {whoami
}# CoreDNS 除了支持 DNS 协议，也支持 TLS 和 gRPC，即 DNS-over-TLS[3] 和 DNS-over-gRPC 模式
tls://example.org:1443 {#...
}

4.2 案例

假若CoreDNS 的 Corefile 配置文件的内容如下所示: 

coredns.io:5300 {file db.coredns.io
}example.io:53 {logerrorsfile db.example.io
}example.net:53 {file db.example.net
}.:53 {kubernetesproxy . 8.8.8.8loghealtherrorscache
}

从配置文件来看，我们定义了两个 server（尽管有 4 个区块），分别监听在 5300 和 53 端口, 每个进入到某个 server 的请求将按照 plugin.cfg 定义顺序执行其已经加载的插件。

其逻辑图可如下所示, 从图中我们需要注意尽管在 .:53 配置了 health 插件，但是它并为在上面的逻辑图中出现，其原因是，该插件并未参与请求相关的逻辑（即并没有在插件链上），只是修改了 server 配置。 一般地，我们可以将插件分为两种：Normal 插件(参与请求相关的逻辑，且插入到插件链中) 和 Other 插件 (不参与请求相关的逻辑，也不出现在插件链中，只是用于修改 server 的配置, 例如 health，tls 等插件.)

5 CoreDNS 插件说明

5.1 插件分类

coredns官方对于插件的分类基本可以分为三种：Plugins(默认)、External Plugins和其他，其中Plugins一般都会被默认编译到coredns的预编译版本中，而External Plugins则不会，官方的文档对外部插件的定义有着明确的解释，主要要求大概是有用、高效、符合标准、文档齐全、通过测试等。

官方插件帮助文档: https://coredns.io/plugins/

通过官方的二进制部署的coredns可使用--plugins参数验证可用的coredns插件：

$ coredns -plugins
Server types:dns
Caddyfile loaders:flagdefault
Other plugins:dns.acldns.anydns.autodns.autopathdns.azuredns.binddns.bufsizedns.cachedns.canceldns.chaosdns.clouddnsdns.debugdns.dns64dns.dnssecdns.dnstapdns.erraticdns.errorsdns.etcddns.filedns.forwarddns.geoipdns.grpcdns.headerdns.healthdns.hostsdns.k8s_externaldns.kubernetesdns.loadbalancedns.localdns.logdns.loopdns.metadatadns.minimaldns.nsiddns.pprofdns.prometheusdns.readydns.reloaddns.rewritedns.rootdns.route53dns.secondarydns.signdns.templatedns.timeoutsdns.tlsdns.tracedns.transferdns.tsigdns.viewdns.whoamion

若所需的插件不存在，请自行下载插件源码到cordns源码的plugin目录，然后在plugin.cfg文件中添加下载的插件名称例如etcd:etcd，又或者直接指定Github中的插件地址他会自行下载，例如 dump:github.com/miekg/dump，最后手动编译coredns源码。

# plugin.cfg
.....
# 对于在plugin目录下已经存在的插件，则可以直接写成plugin中的目录名：
sign:sign
# 对于在plugin目录下不存在的插件
dump:github.com/miekg/dump# 需提前准备Golang环境
$ git clone -b v1.11.1 https://github.com/coredns/coredns
$ cd coredns
$ go get github.com/miekg/dump
$ go generate
$ go build && make

5.2 常用插件介绍

5.2.1 host 插件

此对于为文件中的区域提供服务很有用，但是仅支持 A、AAAA 和 PTR 记录，如果要在主机插件中没有匹配项的情况下将请求传递给插件链的其余部分，则必须指定该fallthrough选项,请注意每个块{}只能使用一次此插件。

插件参考: https://coredns.io/plugins/hosts/

反向查找的 PTR 记录由 CoreDNS 自动生成（基于hosts文件条目）

5.2.1.1 语法
hosts [FILE [ZONES...]] {# 条目的形式基于 IETF RFC 952 格式# IP_address canonical_hostname [aliases...][INLINE]# 生成的记录的 DNS TTL，默认 3600sttl SECONDS# 重载时间，若为0s表示不重载reload DURATION# 禁用生成反向解析  no_reverse# 如果区域匹配并且无法生成任何记录，请将请求传递给下一个插件。fallthrough [ZONES...]
}
5.2.1.2 案例
5.2.1.2.1 少量不同域名解析直接写在 Corefile 配置文件中。
.:53 {# 绑定interface ipbind 127.0.0.1# 先走本机的hostshosts {# 因为解析的域名少我们这里直接用hosts插件即可完成需求192.168.1.2 www.weiyigeek.top weiyigeek.top192.168.1.3 blog.weiyigeek.top# ttlttl 60# 重载hosts配置reload 1m# 继续执行fallthrough}# file enables serving zone data from an RFC 1035-style master file.# 最后所有的都转发到系统配置的上游dns服务器去解析forward . /etc/resolv.conf# 缓存时间ttlcache 120# 自动加载配置文件的间隔时间reload 6s# 输出日志log# 输出错误errors
}

 5.2.1.2.2 少量不同域名解析直接写在 Corefile 配置文件中

将解析写在独立的/etc/coredns/hosts文件中，也可以写在 /etc/hosts,看个人喜好。

$ tee /etc/coredns/Corefile <<'EOF'
.:53 {bind 10.20.176.120hosts /etc/coredns/hosts# 未配置解析的将转发到上游服务器。forward . 8.8.8.8:53# 缓存时间ttlcache 120# 自动加载配置文件的间隔时间reload 6s# 输出日志log# 输出错误errors
}
EOF$ tee /etc/coredns/hosts <<'EOF'
# weiyigeek.com
192.168.1.2 www.weiyigeek.com
192.168.1.3 blog.weiyigeek.com
# weiyigeek.top
192.168.1.250 gitlab.weiyigeek.top
192.168.1.251 harbor.weiyigeek.top
EOF

修改配置文件后重启coredns以便于验证解析:

[weiyigeek@localhost] C:\Users\WeiyiGeek $  nslookup -qt=a www.weiyigeek.com 10.20.176.120
服务器:  UnKnown
Address:  10.20.176.120名称:    www.weiyigeek.com
Address:  192.168.1.2[weiyigeek@localhost] C:\Users\WeiyiGeek $  nslookup -qt=a harbor.weiyigeek.top 10.20.176.120
服务器:  UnKnown
Address:  10.20.176.120名称:    harbor.weiyigeek.top

5.2.2 file 插件 （常用）

如果有大量自定义域名记录解析那么则建议使用file插件，配置需要符合RFC 1035规范的DNS解析配置文件，如果区域文件包含签名（即，使用 DNSSEC），返回正确的 DNSSEC 答案 。

5.2.2.1 参数
# DBFILE : 要读取和分析的数据库文件
# ZONES：它应该是权威的, 若为空则配置块中的区域被使用。
file DBFILE [ZONES...] {# 在 SOA 版本更改时执行区域重新加载的时间间隔reload DURATION
}
5.2.2.2 案例
5.2.2.2.1 使用file插件创建内部域名的正向以及反向解析
$ tee /etc/coredns/Corefile <<'EOF'
.:53 {forward . 223.6.6.6:53 114.114.114.114:53 /etc/resolv.conf  # 上面etcd未查询到的请求转发给设置的DNS服务器解析# 启用缓存，保持正高速缓存大小 5000 和 负高速缓存大小 2500.cache {success 5000denial 2500}logerrors
}# 正向解析
weiyigeek.top {file /etc/coredns/weiyigeek.top.confforward . 223.6.6.6:53 logerrors
}# 反向解析
20.10.in-addr.arpa {file /etc/coredns/db.20.10.conflogerrors
}
EOF# 正向解析配置文件，符合 RFC 1035 标准格式
$ tee /etc/coredns/weiyigeek.top.conf <<'EOF'
$TTL 86400
$ORIGIN weiyigeek.top.
@ 3600 IN  SOA  dns1.weiyigeek.top. master.weiyigeek.top. (20210313      ; Serial50400         ; Refresh86400         ; Retry604800         ; Expire86400 )       ; Negative Cache TTL
;; name servers - NS records
@ IN NS dns1
dns1 IN A 10.20.176.120; root server - A records
@ IN A 192.168.10.71; child server records
www IN A 192.168.10.71
blog IN A 192.168.10.70
EOF$ tee /etc/coredns/db.20.10.conf <<'EOF'
$TTL 86400
@ 3600 IN  SOA  20.10.in-addr.arpa. master.weiyigeek.top. (20210313      ; Serial50400         ; Refresh86400         ; Retry604800         ; Expire86400 )       ; Negative Cache TTL
;; name servers - NS records
@ IN NS dns1.weiyigeek.top.; PTR Records
120.176 IN PTR dns1.weiyigeek.top.
EOF

重启cordns服务验证服务: systemctl restart coredns && sleep 6 &&systemctl status coredns

$ nslookup -qt=a weiyigeek.top 10.20.176.120
$ nslookup -qt=ns weiyigeek.top 10.20.176.120
$ nslookup -qt=ptr weiyigeek.top 10.20.176.120

5.2.3 etcd 插件 

使用etcd插件可以将解析存入到etcd的解析记录进行读取，它可以实现了DNS服务发现，但是它不适合作为一个通用的DNS区域数据插件, 只实现了DNS记录类型的一个子集。 

5.2.3.1 语法
etcd [ZONES...] {fallthrough [ZONES...]path PATHendpoint ENDPOINT...credentials USERNAME PASSWORDtls CERT KEY CACERTstubzones
}# 参数解析
fallthrough: 如果区域匹配但没有记录可以生成，将请求传递给下一个插件
path: etcd中的路径，默认值/skydns
endpoint: etcd endpoint
credentials: etcd的用户名和密码
tls： CA
stubzones 启用存根区域功能
5.2.3.2 案例
5.2.3.2.1 使用etcd做服务发现
.:53 {forward . 223.6.6.6
}
weiyigeek.local {file weiyigeek.local { reload 30s }
}
etcd-weiyigeek.local:53 {etcd {stubzones # 启用存根区域功能,stubzone仅在位于指定的第一个区域下方的etcd树中完成path /rootendpoint http://172.22.50.98:2379   # 此处根据自己部署的etcd地址进行填写。fallthrough # 如果区域匹配但不能生成记录，则将请求传递给下一个插件}forward . 8.8.8.8:53 8.8.4.4:53 /etc/resolv.conf  # 上面etcd未查询到的请求转发给设置的DNS服务器解析cache 160loadbalance   # 开启DNS记录轮询策略log           # 打印日志
}

使用 etcd 插件利用目录结构查询相关条目，已上面的 etcd-weiyigeek.local 为例，配置的etcd的path为/root 。

# etcd-weiyigeek.local 的 A 记录 为 172.22.50.28 
$./etcdctl put /root/local/etcd-weiyigeek/ '{"host":"172.22.50.28","ttl":60}' 
# demo1.etcd-weiyigeek.local 的 A 记录 为 172.22.50.128 
$./etcdctl put /root/local/etcd-weiyigeek/demo1 '{"host":"172.22.50.128","ttl":60}' 
# demo2.etcd-weiyigeek.local 的 A 记录 为 172.22.50.228 
$./etcdctl put /root/local/etcd-weiyigeek/demo2 '{"host":"172.22.50.228","ttl":60}'

5.2.4 kubernetes 插件

kubernetes 插件允许从kubernetes集群读取区域数据,

插件地址: kubernetes

5.2.4.1 语法
kubernetes [ZONES...] {endpoint URLtls CERT KEY CACERTkubeconfig KUBECONFIG [CONTEXT]namespaces NAMESPACE...labels EXPRESSIONpods POD-MODEendpoint_pod_namesttl TTLnoendpointsfallthrough [ZONES...]ignore empty_service
}
5.2.4.2 案例
5.2.4.2.1 在 K8S 集群中的 Pod 内的 DNS 域名解析配置文件为/etc/resolv.conf
#定义 DNS 服务器的 IP 地址。
nameserver xx.xx.0.10 # 设置域名的查找后缀规则，查找配置越多，说明域名解析查找匹配次数越多。
# Kubernetes 集群匹配有 kube-system.svc.cluster.local、svc.cluster.local、cluster.local 3 个后缀，最多进行 8 次查询才能得到正确解析结果。
search kube-system.svc.cluster.local svc.cluster.local cluster.local #定义域名解析配置文件选项，例如该参数设置成 ndots:5，说明如果访问的域名字符串内的点字符数量超过 ndots 值，则认为是完整域名，并被直接解析；如果不足 ndots 值，则追加 search 段后缀再进行查询。
options ndots:5

CoreDNS 配置:

$ kubectl get cm -n kube-system coredns  -o yaml
.....
Corefile: |.:53 {errors  # 输出错误信息，若需调试请设置为debuglog     # 输出客户端请求解析信息health { # 健康检查配置lameduck 15s # 关闭延迟时间}ready # CoreDNS 插件，一般用来做可读性检查，可以通过 http://localhost:8181/ready 读取。# CoreDNS Kubernetes 插件，提供集群内服务解析能力。kubernetes {{.ClusterDomain}} in-addr.arpa ip6.arpa {pods verifiedfallthrough in-addr.arpa ip6.arpa}# 添加自定义 hosts。hosts {192.168.1.41  www.weiyigeek.top192.168.1.40  harbor.weiyigeek.topfallthrough in-addr.arpa ip6.arpa}prometheus :9153 # CoreDNS 自身 metrics 数据接口。# 当域名不在 Kubernetes 域时，将请求转发到预定义的解析器。forward . /etc/resolv.conf { max_concurrent 1000}cache 30 # DNS 查询缓存。loop  #环路检测，如果检测到环路，则停止 CoreDNS。reload #允许自动重新加载已更改的 Corefile, 编辑 ConfigMap 配置后，请等待两分钟以使更改生效。loadbalance #循环 DNS 负载均衡器，可以在答案中随机 A、AAAA、MX 记录的顺序。}

5.2.5 dnssec 插件

DNSSEC 支持对服务的数据进行动态 DNSSEC 签名，每个服务器块只能使用此插件一次。

插件地址: dnssec

5.2.5.1 语法
dnssec [ZONES... ] {# 指定读取的Key文件key file KEY...# 使用缓存来存储 RRSIGs，缺省值为 10000cache_capacity CAPACITY
}
5.2.5.2 案例
$ mkdir -vp /etc/coredns/dnssec && cd /etc/coredns/dnssec
# 使用 dnssec-keygen 工具生成密钥文件
$ dnssec-keygen -a ECDSAP256SHA256 -f KSK weiyigeek.topGenerating key pair.# 生成的密钥的基本名称Kweiyigeek.top.+013+29388# 生成的 public key 与 private key
$ ls
Kweiyigeek.top.+013+29388.key  Kweiyigeek.top.+013+29388.private # 配置文件 Corefile 示例
$ cat /etc/coredns/Corefile
.:53 {forward . 223.6.6.6:53logerrors
}# 正向解析
weiyigeek.top {file /etc/coredns/db.weiyigeek.top.confdnssec {key file /etc/coredns/dnssec/Kweiyigeek.top.+013+29388.key}logerrors
}

使用dnssec-keygen生成DNSSEC密钥对，您需要按照以下步骤操作：

1）打开命令行工具，并确保您的计算机上已经安装了BIND软件包，该软件包通常包含在DNS服务器软件包中。

2）运行以下命令来生成DNSSEC密钥对：dnssec-keygen -a <algorithm> -b <bits> -n <type> -f KSK/ZSK <domain>

3）参数说明：

  • <algorithm>：选择用于生成密钥对的加密算法，常见的算法有RSA、DSA、ECDSA等。
  • <bits>：指定密钥的位数，一般为1024、2048、4096等。
  • <type>：指定密钥的类型，可以是KSK（Key Signing Key）或ZSK（Zone Signing Key）。
  • <domain>：指定域名，生成的密钥对将与该域名相关联。

4）运行命令后，将会生成两个密钥文件，一个是私钥文件（以".private"结尾），另一个是公钥文件（以".key"结尾）。

请注意，生成的密钥对需要妥善保管，私钥文件应保密，而公钥文件需要添加到您的域名的DNS记录中。接下来，我们将讨论如何将公钥添加到DNS记录中。

5.2.6 sign 插件

sign 插件用于对区域进行签名并 将 DNSSEC 记录添加到区域文件。

插件地址: ​​​​​​​sign

5.2.6.1 语法
# DBFILE 读取和分析的区域数据库文件, 即符合 RFC 1035 标准格式文件
sign DBFILE [ZONES...] {# 指定用于对区域进行签名的密钥（可以有多个）key file|directory KEY...|DIR...# 指定 CoreDNS 应在其中保存已签名区域的 DIR，默认为 /var/lib/coredns 目录（需要自行验证）directory DIR
}
5.2.6.2 案例 
1）使用 dnssec-keygen 生成 KSK 类型的 密钥
$ cd /etc/coredns/dnssec/
$ dnssec-keygen -a ECDSAP256SHA256 -f KSK weiyigeek.top# Generating key pair.# Kweiyigeek.top.+013+04352
$ ls# Kweiyigeek.top.+013+04352.key  Kweiyigeek.top.+013+04352.private2）创建已签名区域的 DIR 目录 /var/lib/coredns 
mkdir -vp /var/lib/coredns 3）Corefile 配置示例文件
$ cat /etc/coredns/Corefile
# 正向解析
weiyigeek.top {file /etc/coredns/db.weiyigeek.top.confsign /etc/coredns/db.weiyigeek.top.conf {key file /etc/coredns/dnssec/Kweiyigeek.top.+013+29388.key}
}4）运行后生成的signd文件
cat /var/lib/coredns/db.weiyigeek.top.signed

5.2.7 tsig 插件 

tsig 定义 TSIG 密钥，验证传入的 TSIG 签名请求并签署响应。

插件地址:tsig

对于 Secondary 主从区域传输暂不支持此插件，希望后续官方完善。

5.2.7.1 语法
tsig [ZONE...] {# 显式的设置密钥的名称 以及 TSIG 密钥secret NAME KEY# 使用文件方式的加载TSIG 密钥（推荐）secrets FILE# 指定用于的查询类型，例如 `AXFR IXFR`require [QTYPE...]
}
5.2.7.1 案例
1）使用 tsig-keygen 工具生成TSIG 密钥
tsig-keygen -a hmac-sha256 dns-tsig-keygen. >  /etc/coredns/dnssec/dns-tsig-keygen.secrets
cat /etc/coredns/dnssec/dns-tsig-keygen.secrets
# key "dns-tsig-keygen." {
#   algorithm hmac-sha256;
#   secret "ec5onpRjGTIaOBZa+zGl2VJbwdJl1qlzj+NZNHrhhk4=";
# };2）Corefile 配置文件示例
# 要求 TSIG 签名的事务才能发出 AXFR IXFR
weiyigeek.top {file /etc/coredns/db.weiyigeek.top.conftsig {secrets /etc/coredns/dnssec/dns-tsig-keygen.secretsrequire AXFR IXFR}transfer {to *}
}# 要求 TSIG 签名的事务才能发出所有请求
auth.zone {tsig {secret auth.zone.key. NoTCJU+DMqFWywaPyxSijrDEA/eC3nK0xi3AMEZuPVk=require all}forward . 10.1.0.2
}

6 coredns日志处理

coredns的日志输出并不如nginx那么完善（并不能在配置文件中指定输出的文件目录，但是可以指定日志的格式），默认情况下不论是log插件还是error插件都会把所有的相关日志输出到程序的standard output中。使用systemd来管理coredns之后，默认情况下基本就是由rsyslog和systemd-journald这两个服务来管理日志。

6.1 StandardOutput

根据网上的参考资料我们可以得知较新版本的systemd是可以直接在systemd的unit文件里面配置StandardOutput和StandardError两个参数来将相关运行日志输出到指定的文件中。

因此对于centos8等较新的系统，我们的unit文件可以这样编写： 

[Unit]
Description=CoreDNS
Documentation=https://coredns.io/manual/toc/
After=network.target
# StartLimit这两个相关参数也是centos8等systemd版本较新的系统才支持的
StartLimitBurst=1
StartLimitIntervalSec=15s[Service]
# Type设置为notify时，服务会不断重启
Type=simple
User=root
# 指定运行端口和读取的配置文件
ExecStart=/home/coredns/coredns -dns.port=53 -conf /home/coredns/Corefile
# append类型可以在原有文件末尾继续追加内容，而file类型则是重新打开一个新文件
# 两者的区别类似于 echo >> 和 echo >
StandardOutput=append:/home/coredns/logs/coredns.log
StandardError=append:/home/coredns/logs/coredns_error.log
Restart=on-failure[Install]
WantedBy=multi-user.target

参考链接：systemd.exec (www.freedesktop.org)

The file:*path* option may be used to connect a specific file system object to standard output. The semantics are similar to the same option of StandardInput=, see above. If path refers to a regular file on the filesystem, it is opened (created if it doesn't exist yet) for writing at the beginning of the file, but without truncating it. If standard input and output are directed to the same file path, it is opened only once, for reading as well as writing and duplicated. This is particularly useful when the specified path refers to an AF_UNIX socket in the file system, as in that case only a single stream connection is created for both input and output.

append:*path* is similar to file:*path* above, but it opens the file in append mode.

修改完成之后我们再重启服务就可以看到日志已经被重定向输出到我们指定的文件中

[root@tiny-server coredns]# systemctl daemon-reload
[root@tiny-server coredns]# systemctl restart coredns.service

6.2 rsyslog

对于centos7等系统而言，是不支持上面的append和file两个参数的，那么在开启了rsyslog.service服务的情况下，日志就会输出到/var/log/messages文件中，或者可以使用journalctl -u coredns命令来查看全部的日志。

如果想要将coredns的日志全部集中到一个文件进行统一管理，我们可以对负责管理systemd的日志的rsyslog服务的配置进行修改：

# vim /etc/rsyslog.conf
if $programname == 'coredns' then /home/coredns/logs/coredns.log
& stop[root@tiny-server coredns]# systemctl restart rsyslog.service

从上图我们可以看到两种方式打出来的日志稍微有些不同，对于StandardOutput这种方式输出的日志缺少了前面的时间和主机名等信息，相对而言还是修改rsyslog的方式要更加的可靠。 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/197742.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

智能优化算法应用：基于社会群体算法无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于社会群体算法无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用&#xff1a;基于社会群体算法无线传感器网络(WSN)覆盖优化 - 附代码 文章目录 智能优化算法应用&#xff1a;基于社会群体算法无线传感器网络(WSN)覆盖优化 - 附代码1.无线传感网络节点模型2.覆盖数学模型及分析3.社会群体算法4.实验参数设定5.算法结果6.参考…
阅读更多...
【unity3D】unity中如何查找和获取游戏物体

【unity3D】unity中如何查找和获取游戏物体

&#x1f497; 未来的游戏开发程序媛&#xff0c;现在的努力学习菜鸡 &#x1f4a6;本专栏是我关于游戏开发的学习笔记 &#x1f236;本篇是unity中游戏物体的查找与获取 这里写自定义目录标题 获取当前物体的基本属性查找其它物体- 通过名称查找其它物体- 通过标签查找- 通过类…
阅读更多...
使用UART和USART在STM32上进行双向通信

使用UART和USART在STM32上进行双向通信

在本文中&#xff0c;我们将深入了解如何在STM32上使用UART&#xff08;通用异步收发传输器&#xff09;和USART&#xff08;通用同步异步收发传输器&#xff09;实现双向通信。UART和USART是常见的串口通信协议&#xff0c;通常用于与其他设备进行数据传输。我们将重点介绍如何…
阅读更多...
基于PaddleSeg开发的人像抠图web api接口

基于PaddleSeg开发的人像抠图web api接口

前言 基于PaddleSeg开发的人像抠图web api接口&#xff0c;提取官方代码&#xff0c;适配各种系统&#xff0c;通过api的接口进行访问。 环境要求 1、Python3.7以上 2、源码&#xff08;文章最后下载&#xff09; 源码结构 测试module.py中添加如下代码&#xff1a; if __na…
阅读更多...
字符串函数strlen的用法详解及其相关题目

字符串函数strlen的用法详解及其相关题目

strlne函数的使用 一.strlen函数的声明二.strlen函数的头文件三.相关题目代码1代码2题目1题目2题目3题目4题目5题目6 一.strlen函数的声明 size_t strlen ( const char * str );二.strlen函数的头文件 使用strlen函数我们需要使用以下头文件 #include <string.h>三.相…
阅读更多...
Powercli常用命令

Powercli常用命令

背景 vcenter web界面不如命令行快&#xff0c;且不能批量操作。 根据实际需求逐步补充使用到的powercli 命令。 00 通过bat脚本配置terminal标签页 在WindowsTerminal上配置新的标签页&#xff0c;实现打开标签页即默认连接vcenter。 脚本内容如下&#xff1a; echo off p…
阅读更多...
Unity中C#使用协程控制Shader材质变化

Unity中C#使用协程控制Shader材质变化

文章目录 前言一、协程是什么二、在Unity中使用协程1、我们在 Start 中测试一下协程的执行顺序2、我们实现一个点击按钮实现角色受击效果 三、协程中的动画过渡1、首先&#xff0c;在协程内实现中毒并且消散的效果2、在 OnGUI 内&#xff0c;给一个新按钮使用刚刚定义的协程 四…
阅读更多...
STM32通用定时器

STM32通用定时器

本文实践&#xff1a;实现通过TIM14_CH1输出PWM&#xff0c;外部显示为呼吸灯。 通用定时器简介 拥有TIM2~TIM5、TIM9~TIM14 一共10个定时器&#xff0c;具有4路独立通道&#xff0c;可用于输入捕获、输出比 较&#xff0c;同时包含了基本定时去的所有功能。 通用定时器的结…
阅读更多...
深入分析爬虫中time.sleep和Request的并发影响

深入分析爬虫中time.sleep和Request的并发影响

背景介绍 在编写Python爬虫程序时&#xff0c;我们经常会遇到需要控制爬取速度以及处理并发请求的情况。本文将深入探讨Python爬虫中使用time.sleep()和请求对象时可能出现的并发影响&#xff0c;并提供解决方案。 time.sleep()介绍 首先&#xff0c;让我们来了解一下time.s…
阅读更多...
前端——html拖拽原理

前端——html拖拽原理

文章目录 ⭐前言⭐draggable属性&#x1f496; api&#x1f496; 单向拖动示例&#x1f496; 双向拖动示例 ⭐总结⭐结束 ⭐前言 大家好&#xff0c;我是yma16&#xff0c;本文分享关于 前端——html拖拽原理。 vue3系列相关文章&#xff1a; vue3 fastapi 实现选择目录所有文…
阅读更多...
根据已有安装的cuda配置合适的pytorch环境

根据已有安装的cuda配置合适的pytorch环境

目前网络上根据电脑配置安装合适的深度学习环境的帖子已经很多了&#xff0c;但是现实中会出现很久之前已经安装了对应的cuda&#xff0c;但是现在忘记了当时安装的是什么版本。本文针对这一问题展开攻略。 1 cuda安装版本查询 我们在查询自己应该安装什么版本的cuda时&#…
阅读更多...
【模电】直流通路与交流通路

【模电】直流通路与交流通路

直流通路与交流通路 通常&#xff0c;在放大电路中&#xff0c;直流电源的作用和交流信号的作用总是共存的&#xff0c;即静态电流、电压和动态电流、电压总是共存的。但是由于电容、电感等电抗元件的存在&#xff0c;直流量所流经的通路与交流信号所流经的通路不完全相同。因此…
阅读更多...
【设计模式】职责链模式设计在线文档帮助系统

【设计模式】职责链模式设计在线文档帮助系统

职责链模式设计在线文档帮助系统 任务三&#xff1a;使用职责链模式设计在线文档帮助系统 某公司欲开发一个软件系统的在线文档帮助系统&#xff0c;用户可以在任何一个查询环境中输入查询关键字&#xff0c;如果当前查询环境下没有相关内容&#xff0c;则系统会将查询按照一定…
阅读更多...
获取Spring容器Bean工具类

获取Spring容器Bean工具类

获取Spring容器Bean工具类 1、创建SpringUtils工具类2、注册 SpringUtils工具类3、如果打包的是War方式&#xff0c;可能上面两个注册工具类的方法都没用 1、创建SpringUtils工具类 public class SpringUtils implements ApplicationContextAware {private static Application…
阅读更多...
【鸿蒙应用开发】开发环境搭建及IDE安装使用

【鸿蒙应用开发】开发环境搭建及IDE安装使用

1.下载安装包 安装包下载地址&#xff1a; 点击跳转下载页面 可以根据自己的操作系统选择对应版本下载。 本文以Windows安装为例&#xff0c;Mac安装方式相同 2. 安装 下载好后&#xff0c;打开安装包&#xff0c;进入安装界面&#xff1a; 点击Next&#xff0c;进入安…
阅读更多...
【Vue】使用 Vue CLI 脚手架创建 Vue 项目（使用命令行创建）

【Vue】使用 Vue CLI 脚手架创建 Vue 项目（使用命令行创建）

前言 在开始使用Vue进行开发之前&#xff0c;我们需要先创建一个Vue项目。Vue CLI&#xff08;Command Line Interface&#xff09;是一个官方提供的脚手架工具&#xff0c;可以帮助我们快速创建Vue项目。 步骤 打开终端或命令行工具&#xff0c;运行以下命令&#xff1a; vu…
阅读更多...
蔚碳科技联合中投会发布国内首个 ESG 尽职调查服务标准

蔚碳科技联合中投会发布国内首个 ESG 尽职调查服务标准

11 月 26 日&#xff0c;蔚碳&#xff08;上海&#xff09;科技有限公司&#xff08;以下简称“蔚碳科技”&#xff09;受邀出席由深圳市人民政府主办&#xff0c;深圳市发展和改革委员会、深圳市生态环境局、龙岗区人民政府共同承办的 2023 碳达峰碳中和论坛暨深圳国际低碳城论…
阅读更多...
手机升级到iOS15.8后无法在xcode(14.2)上真机调试

手机升级到iOS15.8后无法在xcode(14.2)上真机调试

之前手机是iOS14.2的系统,在xcode上进行真机测试运行良好&#xff0c;因为想要使用Xcode的Instruments功能&#xff0c;今天将系统更新到了iOS15.8 &#xff0c;结果崩了 说是Xcode和手机系统不兼容不能进行真机测试。在网上查不好些方法&#xff0c;靠谱的就是下载相关版本的…
阅读更多...
05、pytest断言确定的异常

05、pytest断言确定的异常

官方用例 # content of test_sysexit.py import pytestdef f():raise SystemExit(1)def test_mytest():with pytest.raises(SystemExit):f()解读与实操 ​ 标准python raise函数可产生异常。pytest.raises可以断言某个异常会发现。异常发生了&#xff0c;用例执行成功&#x…
阅读更多...
常见的几种计算机编码格式

常见的几种计算机编码格式

前言&#xff1a; 计算机编码是指将字符、数字和符号等信息转换为计算机可识别的二进制数的过程&#xff0c;正因如此&#xff0c;计算机才能识别中英文等各类字符。计算机中有多种编码格式用于表示和存储文本、字符和数据&#xff0c;实际走到最后都是二进制&#xff0c;本质一…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023