BIND

Название расшифровывается как Berkeley Internet Name Domain: первую версию написали в Калифорнийском университете в Беркли в начале восьмидесятых. Сейчас проект развивает некоммерческая организация ISC, актуальная ветка — BIND 9. Многие привычные вещи в DNS пришли именно отсюда: формат файлов зон, который часто так и называют «форматом BIND», утилиты dig и nslookup, сама манера описывать домены текстом.

Основной процесс называется named, его главный конфигурационный файл — named.conf. В Debian и Ubuntu программа ставится пакетом bind9, а настройки лежат в каталоге /etc/bind. В конфигурации описывают зоны, для которых сервер авторитетен, правила рекурсии, списки доступа и параметры передачи зон вторичным серверам.

Повседневные команды

named-checkconf /etc/bind/named.conf
named-checkzone example.com /etc/bind/db.example.com
rndc reload example.com
dig @127.0.0.1 example.com SOA +short

Первые две команды проверяют синтаксис конфигурации и зоны до перезагрузки, третья применяет изменения без остановки сервера, четвёртая показывает, какой серийный номер теперь отдаётся.

Где ошибаются при настройке

• Правят записи, но не увеличивают серийный номер в SOA-записи — вторичные серверы не узнают об изменениях.
• Оставляют рекурсию открытой для всего интернета. Такой сервер становится усилителем в DDoS-атаках с подменой адреса отправителя.
• Разрешают передачу зоны всем, и список поддоменов утекает наружу.
• Не обновляют пакет: у BIND регулярно выходят исправления уязвимостей.

Нужен ли BIND владельцу сайта

В большинстве случаев нет. DNS-записи удобнее и надёжнее держать у регистратора, хостинга или специализированного DNS-провайдера: там уже есть несколько серверов в разных сетях. Собственный BIND на VDS имеет смысл для внутренних зон компании, лабораторных стендов или когда нужна нестандартная логика. Из альтернатив чаще всего встречаются PowerDNS, Knot DNS и NSD для авторитетных зон, Unbound — для резолвера.