服务器本地dns配置分两层：客户端解析配置（如修改/etc/resolv.conf指定nameserver）决定本机查询目标；本地dns服务配置（如bind9或dnsmasq）使本机对外提供解析服务，需分别配置监听、权限、区域及记录，并通过nslookup、dig等工具验证生效。
一、让服务器自己正确解析域名（/etc/resolv.conf）
这是最基础的配置，决定这台服务器“问谁”来查域名。编辑 /etc/resolv.conf，写入 nameserver 行：
- nameserver 127.0.0.1 —— 如果本机运行了 dnsmasq 或 unbound 等缓存服务，优先写它
- nameserver 8.8.8.8 —— Google 公共 DNS，稳定可用
- nameserver 114.114.114.114 —— 国内常用，延迟低
还可加控制参数：
- options timeout:2 attempts:2 —— 单次查询最多等 2 秒，失败重试 2 次
- options rotate —— 多个 nameserver 轮询使用，避免单点卡顿
⚠️ 注意：某些系统（如 systemd-resolved 或 NetworkManager）会自动覆盖该文件。若需固定配置，建议用 chattr +i /etc/resolv.conf 锁定，或改用其对应管理方式（如 resolvectl）。
二、让服务器对外提供 DNS 服务（以 Bind9 为例）
适用于搭建内网 DNS、权威解析或缓存转发服务。核心配置文件是 /etc/bind/named.conf.options：
-
listen-on port 53 { any; }; —— 监听所有 IP 的 53 端口（生产环境建议限定内网地址，如
{ 192.168.1.0/24; };） - allow-query { any; }; —— 允许哪些客户端查询（同样建议限制范围）
- recursion yes; —— 开启递归查询（做缓存服务器必须开）
- dnssec-validation auto; —— 启用 DNSSEC 验证，增强安全性
再在 /etc/bind/named.conf.local 中定义区域：
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 正向解析：
zone "example.com" { type master; file "/etc/bind/zones/db.example.com"; }; - 反向解析：
zone "1.168.192.in-addr.arpa" { type master; file "/etc/bind/zones/db.192.168.1"; };
区域文件（如 db.example.com）里要包含 SOA、NS、A、CNAME 等记录，且每条记录末尾带 . 表示绝对域名。
三、轻量级本地缓存（推荐用于开发/测试服务器）
不需复杂 Bind，用 dnsmasq 更简单：安装后编辑 /etc/dnsmasq.conf：
- listen-address=127.0.0.1,192.168.1.100 —— 绑定本机及内网 IP
- cache-size=1500 —— 缓存条目数，够日常用
- no-resolv —— 不读取 /etc/resolv.conf
- server=8.8.8.8 —— 明确指定上游 DNS
- address=/myapp.local/192.168.1.200 —— 实现静态域名映射（类似 hosts，但全网生效）
启用并启动：sudo systemctl enable --now dnsmasq，然后把本机 /etc/resolv.conf 的 nameserver 改为 127.0.0.1 即可享受本地缓存。
四、验证是否生效
别只看配置文件，动手验证：
-
nslookup example.com或dig example.com—— 查是否返回正确 IP -
systemd-resolve --status（若用 systemd-resolved）—— 查当前 DNS 设置来源 -
ss -tuln | grep :53—— 查 53 端口是否监听成功 -
journalctl -u dnsmasq -f或journalctl -u named -f—— 实时看服务日志
