见字如面，大家好，我是小斐，书接上文，前面介绍了关于bind 9的基础搭建和模块说明，一般情况下可以对bind 9有个初步认识并且可以自行搭建一套Local DNS使用起来；虽然bind 9如泰山一般稳定，但功能强大、也伴随着很复杂，配置文件设计不够人性化，初步预测后续肯定有对bind 9做重构或者使用新的语言和配置方式进行重新开发，命名为最新的bind 10，当然这个时间肯定会很长，5年内估计是出不来，所以大家对bind 9的学习还是可以深入一些。
今天我将针对PowerDNS做个简单介绍和搭建，最主要的还是了解内部配置文件的含义，搭建都是很简单的，要想掌握还是需要针对配置文件的每个场景使用有所领悟。
PowerDNS介绍
简介
PowerDNS 成立于1990年代后期，是开源DNS软件，服务和支持的主要供应商。2015成为了Open-Xchange的一部分，它可以作为权威与递归DNS。
三大组件：
权威服务器-PowerDNS Authoritative Server
递归服务器-PowerDNS Recursor
DNS分发器-dnsdist (docs)
权威服务器有时候也被人称为托管服务器，递归服务器被人称为缓存服务器，DNS分发器也可称为DNS负载均衡器。
特性
权威服务器和递归服务器以及DNS分发器有几个共同点：
- 高性能
- IPv4/IPv6 UDP/TCP的支持
- 图形化界面显示可轮询的统计数据
- 其中权威服务器和递归服务器都支持Prometheus监控
- Lua脚本支持
权威服务器：
支持普通bind区域解析文件，同时也支持数据库解析记录，包括但不限于 MySQL、PostgreSQL、SQLite3、Microsoft SQL Server、LDAP、纯文本文件和许多其他通过 ODBC 的 SQL 数据库。数据库的主从复制(replication)也是支持的。
Tips：bind 9也是支持数据库解析记录数据的，需要搭配DLZ+MySQL或者LDAP，又或者DynDB+LDAP
DNSSEC和TSIG支持，zone2sql迁移工具，本地和远程访问的API等多种特性。可直接查看官方网站：
递归服务器：
先进的反欺诈功能，支持普通bind区域文件，本地和远程访问的API等多种特性。可直接查看官方网站：
负载均衡器：
动态路由、流量过滤、NXDOMAIN域名重定向等多种特性。可直接查看官方网站：
PowerDNS安装
环境介绍
IP | 系统 | 组件 | 功能 |
192.168.10.120 | Ubuntu 22.04.1 LTS | PowerDNS Authoritative Server + MySQL | 权威解析服务器，RR放在MySQL数据库中 |
192.168.10.110 | Ubuntu 22.04.1 LTS | PowerDNS Recursor | 递归解析服务器，分流外网解析递归到外部公共DNS |
192.168.10.10 | Ubuntu 22.04.1 LTS | dnsdist | 负载均衡器和分流器 |
上图是一个简单的PowerDNS服务的搭建示意图，其中PDNS-Admin是PowerDNS权威服务器的Web界面管理程序，主要是方便在Web界面进行RR记录的增删改查；其中PDNS-Admin的程序也部署在权威服务器所在的宿主机中192.168.10.120中部署，官方文档：
安装部署
PowerDNS Authoritative Server安装：
源码编译看文档说明：
本次安装都是基于稳定版本，而不是最新开发版本，系统Ubuntu 22.04.1 LTS，使用官方存储库安装，使用请注意区分：2022年12月9日PowerDNS Authoritative Server最新稳定版 4.7.3
# 创建官方提供的repo源文件，从官方仓库安装，路径：/etc/apt/sources.list.d/pdns.list
cat >/etc/apt/sources.list.d/pdns.list</etc/apt/preferences.d/pdns< PowerDNS Recursor安装：
2022年11月25日PowerDNS Recursor最新稳定版 4.7.4
源码编译看文档说明：
# 创建官方提供的repo源文件，从官方仓库安装，路径：/etc/apt/sources.list.d/pdns.list
cat >/etc/apt/sources.list.d/pdns.list</etc/apt/preferences.d/pdns< dnsdist安装：
2022年11月25日dnsdist最新稳定版 1.7.3
源码编译看文档说明：
# 创建官方提供的repo源文件，从官方仓库安装，路径：/etc/apt/sources.list.d/pdns.list
cat >/etc/apt/sources.list.d/pdns.list</etc/apt/preferences.d/pdns< 官方存储库：
配置说明
dnsdist
查看官方文档：
配置文件默认路径：
# 执行命令查看状态和启停
systemctl status dnsdist.service
systemctl stop dnsdist.service
systemctl start dnsdist.service
# 配置文件默认在 /etc/dnsdist/dnsdist.conf 示例配置文件：/usr/share/doc/dnsdist/examples/
cat /etc/dnsdist/dnsdist.conf
# -- 设置dnsdist监听套接字
addLocal("127.0.0.1:53")
# -- 允许访问的子网
setACL({'192.168.0.0/16', '2001:DB8:1::/56'})
# -- 监听控制台连接 dnsdist 可以通过加密的 tcp 连接公开命令行控制台，以控制它、调试 DNS 问题和检索统计信息
controlSocket("127.0.0.1:5900")
# -- 设置监听控制台连接密钥
setKey("XXXXX")
# -- 允许哪些地址可以连接访问控制台
setConsoleACL('192.168.10.0/24')
# -- 开启dnsdist的Web服务
webserver("127.0.0.1:8083")
# -- 允许192.168.10.0/24子网的Web访问，不允许192.168.10.1的地址Web访问
setWebserverConfig({password="supersecretpassword", apiKey="supersecretAPIkey", acl="192.168.10.0/24, !192.168.10.1"})
# -- DNS加密
addDNSCryptBind("127.0.0.1:8443", "2.provider.name", "DNSCryptResolver.cert", "DNSCryptResolver.key")
# 定义下游服务器 负载均衡主要配置
newServer("192.0.2.1")
newServer({address="192.0.2.1:5300", pool="abuse"})如下所示，是一个常规负载均衡的配置：
# 配置 在114.114.114.114和223.5.5.5之间负载 默认内置负载策略 leastOutstanding
dnsdist -l 130.161.252.29 -a 130.161.0.0/16 114.114.114.114 223.5.5.5 2620:0:ccc::2 2620:0:ccd::2
setLocal("130.161.252.29:53")
setACL("130.161.0.0/16")
newServer("114.114.114.114")
newServer("223.5.5.5")
newServer("2620:0:ccc::2")
newServer("2620:0:0ccd::2")复杂平衡策略查看：
重点说明下使用Prometheus获取指标并监控：
首先需要开启内置web服务
# -- 开启dnsdist的Web服务
webserver("192.168.10.10:8083")
# -- 允许192.168.10.0/24子网的Web访问，不允许192.168.10.1的地址Web访问
setWebserverConfig({password="supersecretpassword", apiKey="supersecretAPIkey", acl="192.168.10.0/24, !192.168.10.1"})获取Prometheus指标数据：
http://192.168.10.10:8083/metrics 可以查看统计指标数据
job_name: dnsdist
scrape_interval: 10s
scrape_timeout: 2s
metrics_path: /metrics
basic_auth:
username: dontcare
password: yoursecretPowerDNS Recursor
查看官方文档：
默认文件路径：
# 状态和启停
systemctl status pdns-recursor.service
systemctl stop pdns-recursor.service
systemctl start pdns-recursor.service
# 默认配置文件 /etc/powerdns/recursor.conf
# 要监听 192.0.2.53 并允许 192.0.2.0/24 子网递归，并在后台运行，请执行：
pdns_recursor --local-address=192.0.2.53 --allow-from=192.0.2.0/24 --daemon
# 要手动停止递归服务器，请运行：
rec_control quit
# 允许哪些子网可以访问递归服务器
allow-from=127.0.0.0/8, 10.0.0.0/8, ::1/128, fc00::/7, fe80::/10
# 转发域名
forward-zones=xxxx.com.=10.0.x.x:53;10.0.x.x:53, xxxxx.edu.cn.=10.0.x.x:53;10.0.x.x:53, 10.in-addr.arpa.=10.0.x.x:53;10.0.x.x:53
# 转发域名单独配置在某个文件，给配置文件清晰可读
forward-zones-file=
# 从此文件名加载根提示
hint-file=
# 根域转发到某个权威或者递归服务器 允许递归
forward-zones-recurse=.=x.x.x.x:53
# 监听地址
local-address=0.0.0.0
# 监听端口
local-port=53
# 启用web服务器
webserver
# 用于侦听web服务器的地址 默认 127.0.0.1 也是为了Prometheus监控指标
webserver-address 127.0.0.1
# 用于侦听 web服务器端口 默认8082
webserver-port 8082 官方配置说明：
PowerDNS Authoritative Server
查看官方文档：
默认文件路径：
# 查看状态和启停
systemctl status pdns.service
systemctl stop pdns.service
systemctl start pdns.service
# 默认配置文件 /etc/powerdns/pdns.conf
# 主服务器配置
primary=yes
# 从服务器配置
secondary=yes
# Authoritative Server Settings# 查看状态和启停
systemctl status pdns.service
systemctl stop pdns.service
systemctl start pdns.service
# 默认配置文件 /etc/powerdns/pdns.conf
# 主服务器配置
primary=yes
# 从服务器配置
secondary=yes
# 启用API
api=yes
api-key=changeme
# web服务开启
webserver=yes
# web服务监听地址
webserver-address=192.168.10.120
# web服务器日志等级
webserver-loglevel=detailed
# web服务监听端口
webserver-port=8081
# webserver-allow-from指定允许访问webserver和API的IP白名单，多个IP可以使用英文逗号隔开
webserver-allow-from=192.168.10.0/24
# pdns服务监听的地址，多个IP可以使用英文逗号隔开
local-address=192.168.10.120
query-local-address=192.168.10.120官方配置说明：
在这简单介绍PowerDNS相关配置和说明，上文中只是简单示例，在实际的生产环境中，架构可能就会有所变化，一般会启用主从服务器和后端主从数据库，以及Web界面管理权威服务器增删改查等等，下面我给出一份简单的生产环境架构图：
?
上图中，把负载均衡器和递归器放在同一个主机上部署安装，更改进程端口不相同即可，数据库采用MySQL做主从，数据进行主从同步，主数据库设置可读性，从服务器设置可读，这才是生产环境中比较合适的架构。当然如果是那种大型的DNS以及要服务多地，甚至是服务区域性质的，故障冗余设置DHCP的多个DNS还是不够的，应该要结合BGP+IP Anycast和ECMP来保证高可用和多点部署，dnsdist可以根据不同负载策略选择最适合自身的业务场景，同时还可以配置权重解析。
后续看情况，对某些具体的配置和业务场景做具体分析，加深使用，敬请期待。
微信公众号：网络小斐