ventz/bind

ISC BIND9容器（稳定版：9.16.15_xx）基于Alpine构建

最后更新：2021年5月20日

最新稳定Docker标签：9.16.15-r0

注意：“最后更新”指DockerHub上最新构建的日期。

该容器是超小体积（拉取压缩包约5MB，解压后仅约9MB）的完整ISC BIND9版本，适用于极安全、快速的主（权威服务器）、从服务器、递归解析器/转发缓存、RPZ“DNS防火墙”或其他任何BIND适用场景。

一、安全特性——始终保持最新稳定版BIND！

此容器将始终更新至最新稳定+补丁版本，通常在Alpine提供该版本后24小时内完成更新。事实上，迄今为止大多数BIND漏洞都是由我向Alpine开发者报告的。

二、如何部署BIND（DNS）服务器？

该容器包含运行权威服务器或递归解析器/转发缓存所需的所有配置基础，但默认配置仅允许来自127.0.0.1的查询和递归——这在实际使用中不太有用:) 因此建议您通过挂载覆盖/etc/bind（配置）和/var/cache/bind（区域数据）目录。

三、必需的“DATA”目录——用于配置和区域数据

容器假设您有一个/DATA文件夹存放容器特定数据（可根据需要修改文件夹、子文件夹和文件路径，但需更新运行时的-v挂载参数）。具体需包含以下目录/路径：

1. [ *必需* ]
在您的`/DATA/etc/bind`目录下，需有一个`named.conf`文件作为配置入口点。可参考默认配置和提供的示例配置。

2. [ *必需* ]
`/DATA/var/cache/bind`目录用于所有主或从区域数据。若为从区域，该目录会自动填充，可留空。

四、如何运行BIND（“named”）Docker容器？

默认示例（仅测试用）

默认仅允许自身（127.0.0.1）查询，实际使用价值有限：

bash
docker run --name=dns-test \
-it -d \
--dns=8.8.8.8 --dns=8.8.4.4 \
-p 53:53/udp -p 53:53 \
ventz/bind

自定义权威主服务器示例

编辑named.conf.local添加至少一个正向区域，并在/var/cache/bind/$yourdomain.tld创建对应文件：

bash
docker run --name=dns-master \
-it -d \
--dns=8.8.8.8 --dns=8.8.4.4 \
-p 53:53/udp -p 53:53 \
-v /DATA/etc/bind:/etc/bind \
-v /DATA/var/cache/bind:/var/cache/bind \
ventz/bind

自定义递归解析器/缓存示例

编辑named.conf.options，修改allow-recursion和allow-query为您的子网：

bash
docker run --name=dns-resolver \
-it -d \
--dns=8.8.8.8 --dns=8.8.4.4 \
-p 53:53/udp -p 53:53 \
-v /DATA/etc/bind:/etc/bind \
-v /DATA/var/cache/bind:/var/cache/bind \
ventz/bind

可通过OPTIONS参数向BIND守护进程传递额外选项： docker run --env OPTIONS='...'

五、常见问题（FAQs）

如何生成RNDC密钥？

bash
docker run -it --rm --entrypoint "/usr/sbin/rndc-confgen" ventz/bind

将如下部分保存到/etc/bind/rndc.key：

# Start of rndc.conf
key "rndc-key" {
    algorithm hmac-sha256;
    # 注意：密钥会不同，此处仅为示例
    secret "zjVC59ehGxbbB6OhYhGaqUTIXu8Imcg3VKzvoMwIMzY=";
};

入门需要哪些配置文件？

若您有此疑问，建议深入学习BIND相关知识。以下是一些有用资源：

• [***]
• [***]
• [***]
• [***]
• [***]

根据您的需求（递归、权威等），至少需要以下文件（容器configs文件夹中已提供）：

1. 主配置：/etc/bind/named.conf
2. 选项：/etc/bind/named.conf.options（注：递归场景有合理安全默认值！若用于权威服务，至少需关闭递归！）
3. 本地区域：/etc/bind/named.conf.local（用于权威/从服务器等的区域配置）
4. 可选：/etc/bind/named.conf.rfc1918（RFC1918“私有IP”区域定义——可选，推荐使用，若不使用可注释named.conf.local最后一行）
5. 可选：/etc/bind/default-zones（RFC1918定义文件夹——若不使用named.conf.rfc1918则无需）

如何记录所有日志？

1. 在named.conf中添加：

...
include "/etc/bind/named.conf.logging";
...

2. 创建named.conf.logging文件：

logging {
    channel stdout {
        stderr;
        severity info;
        print-category no;
        print-severity no;
        print-time yes;
    };
    # 根据需要自定义类别，至少保留"default"以记录所有日志
    category security { stdout; };
    category queries  { stdout; };
    category dnssec   { stdout; };
    category xfer-in  { stdout; };
    category xfer-out { stdout; };
    category default  { stdout; };
};

更多信息见：[***]

如何将BIND的STDERR日志改为STDOUT？

现在有BIND_LOG环境变量用于日志配置：

• "-g" =（默认）前台运行服务器，强制所有日志输出到stderr
• "-f" = 前台运行服务器

默认值为"-g"，可通过-e "BIND_LOG=-f"传递给docker run以覆盖为"-f"。