1.2.1   Internet DNS 規範

不過，在大部分應用 DNS 的情況下，是要與現有的 Internet DNS 或私有 DNS 相容的，也就是說，已經有一定的命名原則要遵守了。所以通常我們都不會自行定義 TLD，因為原有的 DNS 系統一定會有 TLD 定義。

以 Internet 來講，InterNIC [INTERNIC] 負責定義所有的 TLD，而 Internet TLD 分為兩種：global TLD 與 regional TLD。global TLD 至少有 3 個字元，是全球任何人士均可申請使用的，具有全球共通的性質，目前已有 .com .net .org 以及 .biz .museum, ... 等其它數個。InterNIC 把 global TLD 的註冊工作分包給全球許多個註冊單位 (registrar)，由 registrar 負責受理註冊者 (registrant) 的申請，而 InterNIC 本身不處理網域名稱的註冊作業。regional TLD 則都是 2 個字元，例如台灣的 .tw、大陸的 .cn，以及日本 .jp、英國 .uk、法國 .fr、美國 .us 等等。我們常常看到的 .ws .tv .cc .to ... 等，也都是某些國家/地區的 regional TLD。regional TLD 則由各國家/地區自行維護，視各國法規而有不同的管理辦法，以台灣而言，是由 twNIC [TWNIC] 負責管理域名的發放。

1.3.1   dig

dig (1) 是 bind 所建議使用的查詢工具。它的基本語法如下：

dig [@server] name [type]

其中 @server 表示欲查詢的伺服器 (可省略，即使用預設伺服器)；name 是要查詢的網域名稱 (不可省略)；dig 最常見的用法是以預設伺服器，查詢某一網域名稱所包含的 DNS 資料：

$ dig www.ntu.edu.tw

; <<>> DiG 9.2.2 <<>> www.ntu.edu.tw
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 59125
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 3, ADDITIONAL: 3

;; QUESTION SECTION:
;www.ntu.edu.tw.                        IN      A

;; ANSWER SECTION:
www.ntu.edu.tw.         86400   IN      CNAME   w3.cc.ntu.edu.tw.
w3.cc.ntu.edu.tw.       259200  IN      A       140.112.8.130

;; AUTHORITY SECTION:
cc.ntu.edu.tw.          259200  IN      NS      dns.ntu.edu.tw.
cc.ntu.edu.tw.          259200  IN      NS      ntu3.ntu.edu.tw.
cc.ntu.edu.tw.          259200  IN      NS      dns5.ntu.edu.tw.

;; ADDITIONAL SECTION:
dns.ntu.edu.tw.         86400   IN      A       140.112.254.4
ntu3.ntu.edu.tw.        604800  IN      A       140.112.2.2
dns5.ntu.edu.tw.        86400   IN      A       140.112.5.252

;; Query time: 30 msec
;; SERVER: 140.112.254.4#53(140.112.254.4)
;; WHEN: Sun Jan 25 21:20:11 2004
;; MSG SIZE  rcvd: 172

dig 不只傳回網域名稱$rightarrow$IP 的對應，它是把 DNS 裡有關於網域名稱的資料全都傳回來，所以你會發現資料有點多。不過這正好讓我們來觀察 DNS 裡到底有哪些資料。

上面這個例子是去查詢 "www.ntu.edu.tw" 的資料。以 ; 或 ;; 開頭的都是 dig 程式所輸出的註解說明，並不是 DNS 中的資料；沒有 ; 開頭的就是 DNS 中的資料了。首先你發現 dig 的輸出被分成數個節區 (SECTION)，如果我們都不管 AUTHORITY 和其它相關資訊，那麼第 13 與 14 行的 ANSWER SECTION 就是我們所關心的 IP 位址資料。

在 DNS 的世界中，每一筆資料被稱為一個「資源紀錄」 (resource record)，簡稱 RR。在 dig 的輸出中，每一筆資料的第四列是 RR 的型態 (type)；例如第 13 行是一個 CNAME RR，而第 14 行是 A RR。RR 的型態有數十種之多，但常用的有 A, CNAME, SOA, NS, MX, PTR 等。此處我們看到的 CNAME 代表網域名稱的別名，而 A 代表網域名稱到 IP 位址的對應，所以第 13 行這個紀錄在說明 DNS 把 www.ntu.edu.tw 對應到 w3.ntu.edu.tw 去，而第 14 行再指定 w3.ntu.edu.tw 的 IP 位址為 140.112.8.130。最後的結果就是 www.ntu.edu.tw 也指到了 140.112.8.130 這個 IP 位址。

剛剛沒有說明 dig 的 [type] 參數，現在你知道，它就是用來指定查詢型態的，所以可能是 A, CNAME, SOA, NS, MX, PTR ldots 等等，如果用 ANY 的話，則會傳回所有取得的資料，不拘型態 (輸入時型態的大小寫不拘)。不指定 [type] 的話，預設是作 A 型態查詢。以下這個範例，乃是用 dig 來到 dns.ntu.edu.tw 這台 DNS 上對 ntu.edu.tw 這個 domain 作 type=any 的查詢⁵：

$ dig @dns.ntu.edu.tw ntu.edu.tw any

; <<>> DiG 9.2.2 <<>> @dns.ntu.edu.tw ntu.edu.tw any
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10428
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 8, AUTHORITY: 3, ADDITIONAL: 6

;; QUESTION SECTION:
;ntu.edu.tw.                    IN      ANY

;; ANSWER SECTION:
ntu.edu.tw.             14400   IN      MX      20
  ccsun46.cc.ntu.edu.tw.
ntu.edu.tw.             14400   IN      MX      0
  lab408-167.cc.ntu.edu.tw.
ntu.edu.tw.             14400   IN      MX      0
  relay3.tp1rc.edu.tw.
ntu.edu.tw.             86400   IN      A       140.112.254.4
ntu.edu.tw.             86400   IN      NS      dns.ntu.edu.tw.
ntu.edu.tw.             86400   IN      NS      ntu3.ntu.edu.tw.
ntu.edu.tw.             86400   IN      NS      dns5.ntu.edu.tw.
ntu.edu.tw.             86400   IN      SOA     dns.ntu.edu.tw.
  madeline.ccms.ntu.edu.tw. 2003112901 86400 3600 604800 172800

;; AUTHORITY SECTION:
ntu.edu.tw.             86400   IN      NS      dns.ntu.edu.tw.
ntu.edu.tw.             86400   IN      NS      ntu3.ntu.edu.tw.
ntu.edu.tw.             86400   IN      NS      dns5.ntu.edu.tw.

;; ADDITIONAL SECTION:
ccsun46.cc.ntu.edu.tw.  259200  IN      A       140.112.8.46
lab408-167.cc.ntu.edu.tw. 259200 IN     A       140.112.2.167
relay3.tp1rc.edu.tw.    22199   IN      A       163.28.16.33
dns.ntu.edu.tw.         86400   IN      A       140.112.254.4
ntu3.ntu.edu.tw.        604800  IN      A       140.112.2.2
dns5.ntu.edu.tw.        86400   IN      A       140.112.5.252

;; Query time: 44 msec
;; SERVER: 140.112.254.4#53(dns.ntu.edu.tw)
;; WHEN: Sat Nov 29 12:12:50 2003
;; MSG SIZE  rcvd: 371

這回的資訊比剛剛更多，而且不限於 A, CNAME 型態，剛剛提到的 SOA, NS, MX 都跑出來了。

因為 dig 可以直接從選項來控制查詢的方式，所以除了能從終端機直接下參數觀看傳回的資料外，更便於以外部程式呼叫後用 pipe 來處理結果。配合 scripting 的話，可以輕易地把許多 DNS 資料操作自動化。

1.3.2   host

host (1) 這個工具的特色是預設傳回的資料比 dig 少很多，適合於只想知道主機 IP 的時候：

$ host cheetah.ground
cheetah.ground              A       10.11.12.20

它用來作 IP 到域名的反查時更方便：

$ host 10.11.12.20
Name: cheetah.ground
Address: 10.11.12.20

所謂的反查，是指型態為 PTR 的 RR，PTR 只包含 IP 對應到網域名稱的資料。反查的 DNS 適合為一些靠篩選 IP 來源進行存取控制的程式來提供名稱服務。這樣在判斷來源 IP 時，可以不用把 IP 位址寫死在程式的設定檔內，而能把實際的 IP 範圍獨立出來放到 DNS 裡面，程式裡只需要判斷來源主機的網域名稱是否位於正確的網域內即可，可以提高程式設定的邏輯性。

host 在進行反查的時候會順便正查該域名的 IP (正查與反查常常不是一一對應的)。除了簡單的主機 IP 正反查之外，host 還有許多其它的功能，茲舉其大者：

• host name [server]

  name 是要正查或反查的域名或 IP。這是最簡單的正反查用法，之前已經舉過例子了。在 name 之後可以指定要查詢的 DNS，如果沒有指定的話，預設是利用 dcfg{/etc/resolve.conf} 所設定的 DNS。

• host -l zone [server]

  加上 -l 選項，host 就可以列出整個 zone (domain) 裡的所有域名。

• host -H zone

  -H 後以名稱指定 zone，會算出這個 zone 裡所有不同域名的總數。

• host -C zone

  -C 後以名稱指定 zone，則列出這個 zone 的 SOA 紀錄。

• host -A host

  -A 後面接的是主機，它會檢查這台主機域名的正反查資訊。如果正查與反查沒有一一對應，host 就會傳回不吻合的資訊，反之若已正確對應，則不會傳回任何訊息。

1.3.3   nslookup

nslookup (1) 是老牌的 DNS 查詢工具。在提示符號下輸入 nslookup，就會出現如下的 CLIfootnote{Command Line Interface 的簡寫；文字模式介面。}：

$ nslookup
Note:  nslookup is deprecated and may be removed from future releases.
Consider using the `dig' or `host' programs instead.  Run nslookup with
the `-sil[ent]' option to prevent this message from appearing.
>

nslookup 真的很老牌，老到 bind 已經在考慮丟掉這個工具，改以更新的 dig 來代替了，所以每次執行它都要告訴你一次。不過 nslookup -sil 可以關掉這個訊息 (當然不關掉也不會怎麼樣，不用擔心它不讓你用)⁶。

在 nslookup 的提示符號 > 後可以輸入指令。先試試輸入 server，出來的結果會像這樣：

> server
Default server: 127.0.0.1
Address: 127.0.0.1#53
Default server: 10.11.12.20
Address: 10.11.12.20#53
>

server 後面接伺服器名稱，就能把查詢主機換成設定的主機，例如：

> server 10.11.12.20
Default server: 10.11.12.20
Address: 10.11.12.20#53
>

換過去了。接下來，直接輸入 DN 就會開始查詢：

> cheetah.ground
Server:         10.11.12.20
Address:        10.11.12.20#53

Name:   cheetah.ground
Address: 10.11.12.20
> ground
Server:         10.11.12.20
Address:        10.11.12.20#53

Name:   ground
Address: 10.11.12.20
>

這裡查詢了 cheetah.ground 和 ground 兩個範例域名，都指到了範例伺服器 10.11.12.20。

set 指令可以用來設定 nslookup 對伺服器進行查詢的方式。set all 會顯示目前的設定：

> set all
Default server: 10.11.12.20
Address: 10.11.12.20#53

Set options:
  novc                  nodebug         nod2
  search                recurse
  timeout = 0           retry = 2       port = 53
  querytype = A         class = IN
  srchlist = leaf
>

可以設定的選項有很多，例如 class, domain, type ... 等等，最常用的可能是 set type=any：

> set type=any
>

set type=any 之後的查詢，會傳回該域名的所有 RR。

2.1.1   查詢的轉發

在 named.conf 的全域 options 區段中可以進行以下的設定：

• forwarders { ip_addr [port ip_port] ; ... }：

  forwarders 指定要轉發至的名稱伺服器位置，如果這台伺服器所有的 zone 都找不到要求的紀錄資料，就會依序把查詢要求轉發到 forwarders 所指定的名稱伺服器去。``forwarders`` 預設是空的，也就是不進行轉發的動作。

• forward ( only | first )：

  這個選項在 forwarders 有東西時才有作用。預設是 forward first (只設定 forward 的情況下)，讓伺服器先把查詢要求轉發到 forwarders 所指定的名稱伺服器去，如果查無結果，才會從自己的 zone 裡找資料。另外如果設為 forward only``，則伺服器只會把查詢轉發到 ``forwarders 指定的名稱伺服器，不查詢本地的 zone。

  forward 選項會讓伺服器作用成以轉發動作為主，甚至只進行轉發動作的 caching-only DNS。

• recursion ( yes | no )' ：

  預設是 yes``，讓伺服器在接到查詢要求後會採行所有手段來完成查詢。如果設成 ``no``，則若伺服器自身的 zone 或快取內沒有所要求的資料時，就會直接回傳參考資訊。我們在設定 master-only 伺服器時，常常會設成 ``recursion no。

2.1.2   存取控制

在進行存取控制 (access control) 的設定前，要先於全域設定中指定客戶端來源位址的存取控制列表 (access control list)，也就是撰寫正確的 acl 陳述式：

acl acl-name {
    address_match_list
};

其中 acl-name 是該 acl 的名稱，而 address_match_list 為該 acl 所指定的來源位址列表。``address_match_list`` 的寫法為

ip_address/netmask; ...

例如

acl "localnet" {
  192.168.1.0/24;
  192.168.2.128/25;
};

者，將指定 "192.168.1.0/24" 這個 class C 和 "192.168.2.128/25" 這後半個 class C 子網路為 acl localnet。另外，bind9 預設有幾個 ACL：

• any：代表所有主機。
• none：代表空列表。
• localhost：代表任何一個 ipv4 本機位址。
• localnets：代表任何一個本機所在的 ipv4 子網路。

在 options 裡有幾個可以用來進行存取控制的 allow-* 指令，茲舉其大者：

• allow-notify { acl-name ; acl-name ; ... }：

  指定可以向 slave 伺服器發出 notify 訊息的主機。這個選項只對 slave 伺服器有意義。預設只允許該 zone 的 master 主機發出 notify。

• allow-query { acl-name ; acl-name ; ... }：

  指定可以對伺服器發出查詢的主機，預設是允許所有主機的查詢。通常我們會利用這個選項來管理伺服器要服務的對象。

• allow-recursion { acl-name ; acl-name ; ... }：

  指定可以對伺服器發出遞迴查詢的主機，預設是允許所有主機的遞迴查詢。不過即使主機不能發出遞迴查詢，仍可以取得伺服器已快取住的資料。

• allow-transfer { acl-name ; acl-name ; ... }：

  指定可以把伺服器 zone 資料轉移出來的主機，預設是允許所有主機進行 transfer。通常我們會對 zone transfer 作比較嚴格的限制。

• blackhole { acl-name ; acl-name ; ... }：

  被指定為 blockhole 的主機，所有的查詢要求都會被伺服器忽略，而不傳回任何訊息。預設是 none。

2.1.3   zone 的相關設定

在 named.conf 中全域的 options 都會應用到各個 zone 區段內，而一個有效的 zone，通常來說至少需要有：

• type ( master | slave )：

  用來定義該 zone 的型態；通常是 master 與 slave 這兩種，stub, forward 較少用到，而 delegation-only 則幾乎不會使用。

• file file-name-string：

  指定該 zone 的資料檔為 file-name-string 所示的檔案。

zone 陳述式本身的語法為

zone zone-name-string {
  type type-name;
  file file-name-string;
  [ options ... ];
  .
  .
};

zone-name-string 是一個字串，用來指定 zone 的名字。如果我們要為 ground 網域建立一個 zone，則 zone-name-string 就是 "ground"，陳述式寫為

zone "ground" {
  type master;
  file "db.ground";
};

像這樣，是一個正查的 master zone。如果我們想建立反查的 zone，就得照之前提過的格式指定 zone-name-string，以 192.168.1/24 這個子網路的反查為例，要用以下的設定：

zone "1.168.192.in-addr.arpa" {
  type master;
  file "db.192.168.1";
};

在 zone 區段中，之前提到的某些全域設定也可以使用，如 forwarders, forward, allow-notify, allow-query, allow-recursion, allow-transfer 等 (acl 則仍需在全域的 options 外設定)。如果同樣的設定同時出現在全域與 zone 區段內，則區段內的設定會覆蓋掉全域設定。通常同一個伺服器在服務多個 zone 時，都會視需要對不同的 zone 設定個別的存取控制。

zone 中有專用的存取控制選項，最常見的專門選項是用於動態更新：

• allow-update { ip_address/netmask ; ... }：

  指定允許進行 dynamic DNS 更新的來源主機，預設值是禁止任何動態更新。

• update-policy：

  這是 bind9 的新功能，允許伺服器使用公開金鑰系統來驗證客戶端是否有權進行動態更新。

這兩個選項是互斥的，不能同時出現。

一般來說，zone 區段中只要有基本的型態與檔案名稱設定，最多再加上常用的存取控制選項，就足供大部分的環境使用了。一個 named.conf 有了全域 options 與 zone 區段的設定 ，就可以開始對網域服務。至於像 slave zone、DNSSEC (DNS 安全性) 等進階的主題，容後再議。

2.2.1   SOA

除了 $TTL 之外，SOA (Start of a zone Of Authority) 是 master zone 必備的 RR，它一定要是第一個 RR，格式是

@    IN    SOA    admin-host    email (
     serial;
     refresh;
     retry;
     expire;
     negative-cache-TTL; )

其中第一個 "@" 代表 zone 所關聯的網域本身，而 admin-host 是該網域的管理主機；email 為管理員郵件位址。在這些資料的後面，會再由一對括號包起來五個整數值，分別代表

• serial：序號；當其它伺服器在快取這個 zone 時，會依照這個值判斷所取得資料是否比已快取的資料更新，所以當 zone file 內容有改變時，要讓序號至少比原來大 1。

  序號值是一個 32 位元有號整數。有人設定序號的習慣是 yyyymmddnn，總共 10 碼的數字，首四碼是西元年，次二碼是月、再次二碼是日，末二碼為當日序號。

• refresh：DNS 伺服器更新快取的時間，單位為秒，一般設為 7 天。

• retry：DNS 在更新 zone 失敗時，嚐試重新更新的間隔。單位為秒。一般設為 1 天。

• expire：zone data 在 DNS 內失效的時間，單位為秒。一般設為 28 天。

• negative-cache-TTL：這個值是設定其它 DNS 多久會從你這裡取得 no such domain (NXDOMAIN) 的訊息，單位為秒。一般設為 1 天。

我們仍然舉 ground 這個網域的 zone file 為例：

@    IN     SOA     cheetah.ground.   root.cheetah.ground. (
     2003122501 ;
     604800     ;
     86400      ;
     2419200    ;
     86400   )

注意到我們在設定 "admin-host" 的時候，在尾巴加上了一個 "."，這是因為在 zone file 中，如果網域名稱沒有加上 "." 的話，伺服器會自動在後面加上該 zone 所關聯的網域名稱。所以，"cheetah.ground" 這個名稱在 zone file 裡面代表的其實是 "cheetah.ground.ground" 這個網域名稱，如果我們要指定 "cheetah.ground" 這個名稱的話，一定要在後面加上 "." 才可以，(也就是寫成 "cheetah.ground.")。另外，因為 "@" 在 zone file 中特別代表與 zone 關聯的網域，所以在設定 "email`` 的時候得用 "." 來代替 "@"。

2.2.2   A

A 可以指定網域名稱到 IP 的對應，格式為

name     IN     A     ip-address

以 ground 網域中的 cheetah.ground 為例

cheetah     IN     A     10.11.12.20

會把 cheetah.ground 指到 10.11.12.20。

基本上，A 紀錄應該是 zone file 裡最常用的紀錄型態，所有的網域名稱到 IP 的對應都是用 A 紀錄指定的。此外，@ 也可以用在 A 記錄裡面，如

@     IN     A     10.11.12.20

就會為 zone 關聯網域指定 IP 10.11.12.20。

2.2.3   CNAME

CNAME 中的 C 是指 Canonical，可以當作是 DNS 中的別名設定。格式為

name     IN     CNAME     alias

假設我們要在 ground 網域內新建一個名稱 predator.ground，設定為 cheetah.ground 的別名：

predator     IN     CNAME     cheetah

那麼客戶端在查詢 predator.ground 時，會先查到它是 cheetah.ground 的 CNAME``，再進一步查詢 ``cheetah.ground 時，就能取得其 IP (如同第 1 節查詢 www.ntu.edu.tw 時的狀況)。

2.2.4   NS

NS 會指定網域的名稱伺服器，格式為

name    IN    NS    name-server

name 是被指定的網域，而 name-server 則為名稱伺服器。名稱伺服器可以用 IP，也可以用網域名稱來指定，如果用 IP 的話，會像

ground.    IN    NS    10.11.12.20

而如果用網域名稱的話，還要配合 A 紀錄，才能讓客戶端查到名稱伺服器的 IP：

ground.    IN    NS    ns.ground.
ns.ground. IN    A     10.11.12.20

在 zone file 裡指定關聯網域的 NS 時，通常我們會用上 @：

@          IN    NS    ns
ns         IN    A     10.11.12.20

這兩筆紀錄不見得要擺在一起，分開放有時候反而可以加強 zone file 的結構。

2.2.5   MX

MX 紀錄用來設定網域名稱的郵件交換主機 (MX 為 Mail eXchanger 之意)，格式為

name     IN     MX     proirity     mail-exchanger

name 是網域名稱；priority 為此 MX 的優先度，乃一 16 位元整數，數字愈小優先度愈高；mail-exchanger 為郵件交換主機，通常是另一個網域名稱。

假設我們要為 ground 網域設定 MX：

@     IN     MX     10     cheetah
@     IN     MX     20     horse

這會把 cheetah.ground 設為 ground 的第一台郵件交換主機，而把 horse.ground 設為第二台郵件交換主機。一般來說，我們習慣以 10 的間隔來設定優先度 (而不會連續設定)，最優先的主機設為 10，第二台主機之後再依次增加優先數值。如此一來才可以保留其它主機的優先度空間。

2.2.6   TXT

TXT 紀錄是網域名稱的說明，格式為

name     IN     TXT     text

name 為網域名稱，而 text 為該網域的說明文字。假設我們要為 ground 網域設定 this is ground domain. 這樣的說明文字，可以如此設定：

@     IN     TXT     "this is ground domain."

2.2.7   正查 zone

對 zone file 裡的 RR 有了概念之後，我們就要開始了解一般的正查 master zone 裡需要哪些 RR。基本上正查 zone 裡最少需要 SOA, NS 和 A 這三種紀錄，所以再舉 ground 作例子，這一個 zone 若要正常運作，至少會有以下的設定：

$TTL     86400
@        IN     SOA   cheetah.ground.   root.cheetah.ground. (
                     2003122501 ;
                     604800     ;
                     86400      ;
                     2419200    ;
                     86400      ;  );
@        IN     A      10.11.12.20
@        IN     NS     cheetah

cheetah  IN     A      10.11.12.20

在這個最簡單的例子裡，ground 本身會被指向 10.11.12.20，而 ground 網域的名稱伺服器則由第 9 行的 NS 紀錄指定為 cheetah.ground 主機，最後在第 11 行再把 cheetah.ground 這個名稱指向 10.11.12.20。

對一般的小型網路來說，網域本身的 IP 常常會和其它網路服務主機的 IP 重疊，亦即同一個主機上提供多種網路服務。在稍有規模的網路上，則通常會用不同的主機提供不同的服務，以免造成主機過重的負擔，影響服務的品質與穩定性。但無論如何，這些組態上的問題都要依據整體網路服務的規畫，沒有絕對的作法。

CNAME 也是正查 master zone 的常用 RR。假設我們的 ground 網域現在需要 WWW 伺服器、email 伺服器、ftp 伺服器，而且希望用一般的 www.ground, mail.ground, ftp.ground 等名稱。那麼我們可以這樣寫：

$TTL     86400
@        IN     SOA   cheetah.ground.   root.cheetah.ground. (
                     2003122501 ;
                     604800     ;
                     86400      ;
                     2419200    ;
                     86400      ;  );
@        IN     A      10.11.12.20
@        IN     NS     ns
@        IN     MX     10       mail

ns       IN     CNAME  cheetah
www      IN     CNAME  cheetah
mail     IN     CNAME  cheetah
ftp      IN     CNAME  cheetah

cheetah  IN     A      10.11.12.20

第 12 到第 15 行，我們設了 4 個 CNAME，分別把 ns, www, mail, ftp 等 4 個名稱指到 cheetah.ground 去，而在第 17 行才指定 cheetah.ground 的 IP。另外，我們在第 10 行的地方也順便設定了 ground 網域的 MX，如此一來，寄到 someone@ground 的電子郵件會直接送到 someone@mail.ground 去。

這種作法常常用在具有數種服務同時運作的網路上，並且具有許多好處。我們會發現，為 www, ftp 等這種常用的網路服務名稱指定別名之後，在 zone file 裡面就可以一目了然的看出網路中有提供哪些服務。其次，在邏輯上，網路服務可以和實際的 IP 位址分得更開；實際在組態網路時，我們可以為網路上的主機取比較具有規則的名稱，方便主機群的管理，需要提供服務的主機再 CNAME 就可以了。

正查 zone file 的設定一般來說並不複雜，多半只用了 SOA, NS, A, MX 和 CNAME 等幾種紀錄，只是一個真實網域裡的 A 紀錄通常不會像我們所舉的例子一樣那麼少，而有幾台主機，就會有幾個 A 紀錄。當我們在管理數十個甚或數百個 A 紀錄時，網域名稱間的邏輯關聯就相當重要了。所以我們可以這樣說，設定 zone file 的挑戰在於如何利用 DNS 重新定義主機名稱間邏輯關係的能力，找出最容易維護的網域名稱組態。

先求脫離 IP 位址的魔掌，再想進一步應用 DNS 的其它功能。

2.2.8   反查 zone

ip_address      IN     PTR      name

$TTL    604800
@       IN      SOA     cheetah.ground. root.cheetah.ground. (
                     2003122501 ;
                     604800     ;
                     86400      ;
                     2419200    ;
                     86400      ;  );
@       IN      NS      ns.ground.

20      IN      PTR     cheetah.ground.

2.2.9   子網域 (subdomain)

• ground
• troposphere
• stratosphere
• exosphere

當我們要在父網域中建立子網域時，必須要在父網域中儲存足夠的資訊，讓查詢者可以找到子網域的 DNS。所謂必要的資訊，就是子網域的 NS 紀錄和 DNS 主機的 A 紀錄，前者指定子網域的 DNS 主機，後者指定該主機的 IP。仍以 ground 網域為例，假設我們要在 ground 網域內建立一個 troposphere 子網域，則寫成

$TTL    604800
@       IN      SOA     cheetah.ground. root.cheetah.ground. (
                     2003122501 ;
                     604800     ;
                     86400      ;
                     2419200    ;
                     86400      ;  );
@     IN      A       10.11.12.20
@       IN      NS      ns
@     IN      MX      10      mail

ns       IN     CNAME  cheetah
www      IN     CNAME  cheetah
mail     IN     CNAME  cheetah
ftp      IN     CNAME  cheetah

cheetah  IN     A      10.11.12.20

troposphere   IN      NS      ns.troposphere
ns.troposphere        IN      A       10.11.13.10

就會建立 troposphere.ground 網域。

在設定子網域時，要注意該 zone 裡不可以有 forwarders``，所以最好在 ``named.conf 中該 zone 的區塊裡加上

forwarders {};

的設定。這樣可以防止伺服器在沒有查到子網域下的名稱時把查詢轉發給其它主機；如果查詢被轉發出去的話，伺服器就不會進行遞迴查詢，那麼子網域下的名稱是永遠也查不到的。