deteque/bind-rpz

bind-rpz 镜像文档

镜像概述与主要用途

bind-rpz是一个基于Bind DNS服务器和Deteque响应策略区域(RPZ)构建的DNS防火墙解决方案。它通过RPZ技术实现DNS请求过滤，可根据预定义的策略区域对DNS查询进行控制，适用于网络安全防护场景，如***域名拦截、内容过滤等。

核心功能与特性

• 基于Bind DNS服务器构建，稳定性高且兼容性强
• 集成Deteque RPZ响应策略区域，支持动态更新的策略规则
• 支持递归DNS解析功能，需配置根缓存文件(root.cache)
• 通过访问控制列表(ACL)限制查询来源，防止成为开放递归服务器
• 配置文件外部挂载，支持持久化存储和灵活定制

安装准备

创建必要目录

在服务器上创建两个目录，用于存储配置文件、日志和RPZ区域文件：

bash
mkdir -p /etc/namedb/zonefiles

• /etc/namedb: 主要用于存储日志文件和配置文件
• /etc/namedb/zonefiles: 用于存储RPZ区域文件和日志文件

这些目录将在运行容器时通过bind mount方式挂载到容器内部。

创建root.cache文件

作为递归DNS服务器，需要根缓存文件(root.cache)。该文件需放置在/etc/namedb目录下，可通过以下命令下载最新版本：

bash
/usr/bin/wget --user=ftp --password=ftp ftp://ftp.rs.internic.net/domain/db.cache -O /etc/namedb/root.cache

创建rndc.conf文件

Bind需要rndc密钥文件进行远程控制。容器内/etc/rndc.conf通过符号链接指向/etc/namedb/rndc.conf，因此需在宿主机的/etc/namedb目录下创建该文件。

生成rndc.conf

可通过rndc-confgen命令生成（可在其他系统或容器内执行）。若需在容器内生成，执行：

bash
docker run -it --rm deteque/bind-rpz bash

rndc.conf文件格式

生成的文件内容应类似如下（需确保权限为600，仅root可读写）：

# Start of rndc.conf
key "rndc-key" {
  algorithm hmac-sha256;
  secret "aBUOt4cFNES7mmpMIEU/5BN5wqFfVeL/Z7itjlb4jjc=";
};

options {
  default-key "rndc-key";
  default-server 127.0.0.1;
  default-port 953;
};

创建named.conf文件

named.conf是Bind的主配置文件，容器内/etc/named.conf符号链接指向/etc/namedb/named.conf。容器内/root/bind/named.conf提供了基础模板，需根据实际环境修改以下内容：

同步rndc密钥

将/etc/namedb/rndc.conf中的密钥（secret）和算法（algorithm）复制到named.conf模板中对应的key "rndc-key"部分，确保两者完全一致。

配置RPZ源服务器地址

在named.conf顶部的masters DISTRIBUTION-SERVERS区块中添加提供RPZ区域的DNS服务器地址，每个地址以分号结尾。示例：

masters DISTRIBUTION-SERVERS {
  1.1.1.1;
  2.2.2.2;
};

注意：Deteque商业客户将获得专用的源服务器地址；使用其他供应商的RPZ源时，需同时修改区域名称以匹配供应商配置。

更新Bind访问控制列表(ACLs)

为防止服务器成为开放递归DNS，默认ACL仅允许RFC-1918私有地址段查询。若服务器使用公网IP，需修改ACL以包含允许的客户端地址。默认配置如下：

acl LOCAL {
  ::1;
  127.0.0.0/8;
  10.0.0.0/8;
  172.16.0.0/12;
  192.168.0.0/16;
};

启动bind-rpz服务

推荐启动命令

对于双栈(IPv4/IPv6)服务器，建议使用host网络模式以确保日志中记录正确的源IP：

bash
docker run \
  --rm \
  --detach \
  --name bind \
  --volume /etc/namedb:/etc/namedb \
  --network host \
  deteque/bind-rpz

说明：--volume /etc/namedb:/etc/namedb将宿主机的配置目录挂载到容器内，确保配置文件持久化和容器可访问。