BIND9 DNS 서버 구축 — 권한 있는 네임서버 운영 완전 가이드

# Debian/Ubuntu
sudo apt install -y bind9 bind9utils bind9-dnsutils

# RHEL/Rocky
sudo dnf install -y bind bind-utils

named -v          # 버전 확인

// /etc/bind/named.conf.options
options {
    directory "/var/cache/bind";

    listen-on { any; };
    listen-on-v6 { any; };

    // 권한 있는 서버이므로 재귀 비활성화
    recursion no;
    allow-query { any; };

    // 존 전송은 슬레이브에게만 허용
    allow-transfer { none; };

    dnssec-validation auto;
    version "not disclosed";       // 버전 노출 방지
};

// /etc/bind/named.conf.local
zone "example.com" {
    type master;
    file "/etc/bind/zones/db.example.com";
    allow-transfer { 192.0.2.53; };   // 슬레이브 IP
    also-notify { 192.0.2.53; };
};

; /etc/bind/zones/db.example.com
$TTL    86400
@       IN      SOA     ns1.example.com. admin.example.com. (
                        2026061801      ; Serial (YYYYMMDDnn)
                        3600            ; Refresh
                        1800            ; Retry
                        1209600         ; Expire
                        86400 )         ; Negative Cache TTL

; 네임서버
@       IN      NS      ns1.example.com.
@       IN      NS      ns2.example.com.

; A 레코드
@       IN      A       192.0.2.10
ns1     IN      A       192.0.2.53
ns2     IN      A       192.0.2.54
www     IN      A       192.0.2.10

; 메일
@       IN      MX  10  mail.example.com.
mail    IN      A       192.0.2.20

; 기타
@       IN      TXT     "v=spf1 mx -all"
ftp     IN      CNAME   www

// named.conf.local
zone "2.0.192.in-addr.arpa" {
    type master;
    file "/etc/bind/zones/db.192.0.2";
};

; /etc/bind/zones/db.192.0.2
$TTL    86400
@       IN      SOA     ns1.example.com. admin.example.com. (
                        2026061801 3600 1800 1209600 86400 )
@       IN      NS      ns1.example.com.

10      IN      PTR     example.com.
20      IN      PTR     mail.example.com.

# 전역 설정 문법 검사
sudo named-checkconf

# 존 파일 검사 (존 이름, 파일경로)
sudo named-checkzone example.com /etc/bind/zones/db.example.com
sudo named-checkzone 2.0.192.in-addr.arpa /etc/bind/zones/db.192.0.2

# 무중단 리로드
sudo rndc reload
# 특정 존만
sudo rndc reload example.com

zone "example.com" {
    type slave;
    masters { 192.0.2.53; };          // 마스터 IP
    file "/var/cache/bind/db.example.com";
};

# TSIG 키 생성
tsig-keygen -a hmac-sha256 transfer-key

# 자기 서버에 직접 질의 (권한 응답인지 aa 플래그 확인)
dig @192.0.2.53 example.com SOA +norecurse
dig @192.0.2.53 www.example.com A
dig @192.0.2.53 -x 192.0.2.10           # 역방향 PTR

# 존 전송 테스트 (allow-transfer 허용된 곳에서)
dig @192.0.2.53 example.com AXFR

zone "example.com" {
    type master;
    file "/etc/bind/zones/db.example.com";
    dnssec-policy default;            // 자동 키 관리·서명
    inline-signing yes;
};