后端網(wǎng)絡(luò)云原生【免費(fèi)下載鏈接】corednsCoreDNS is a DNS server that chains plugins項(xiàng)目地址https://gitcode.com/gh_mirrors/co/coredns點(diǎn)擊查看免費(fèi)下載CoreDNS 是一個(gè)用 Go 編寫的 DNS 服務(wù)器/轉(zhuǎn)發(fā)器其核心設(shè)計(jì)理念是“插件鏈”每一個(gè)插件完成一項(xiàng)特定的 DNS 功能通過(guò) Corefile 配置文件將它們串聯(lián)成完整的處理流水線。本文以官方 README 為主線結(jié)合當(dāng)前倉(cāng)庫(kù)源碼系統(tǒng)講解如何從源碼編譯 CoreDNS、編寫 Corefile 完成從“最小轉(zhuǎn)發(fā)器”到“權(quán)威區(qū)托管 多協(xié)議加密監(jiān)聽(tīng)”的實(shí)戰(zhàn)配置并深入剖析插件注冊(cè)機(jī)制、協(xié)議監(jiān)聽(tīng)實(shí)現(xiàn)與 JSON 結(jié)構(gòu)化日志等底層細(xì)節(jié)。讀完本文你將具備獨(dú)立構(gòu)建、定制插件集合、配置 UDP/TCP、DoT、DoH、DoH3、DoQ、gRPC 多種監(jiān)聽(tīng)方式并排查問(wèn)題的能力。CoreDNS 是什么以插件鏈為核心的 DNS 服務(wù)器CoreDNS 是 Cloud Native Computing FoundationCNCF的畢業(yè)項(xiàng)目是一個(gè)“快速且靈活”的 DNS 服務(wù)器其中關(guān)鍵能力是flexible靈活借助插件你可以對(duì) DNS 數(shù)據(jù)做任何想做的事如果開(kāi)箱功能不夠還可以通過(guò)編寫插件倉(cāng)庫(kù)根目錄的 plugin.md 提供了插件編寫指導(dǎo)來(lái)擴(kuò)展。插件機(jī)制在源碼層面有清晰體現(xiàn)plugin.cfg 定義了插件directive的注冊(cè)順序文件頭注釋明確指出“Ordering is VERY important”順序非常重要每個(gè)插件在請(qǐng)求處理中能感知到所有排在它之后下方的插件的影響但不應(yīng)關(guān)心排在其上的插件在做什么。當(dāng)前倉(cāng)庫(kù)默認(rèn)注冊(cè)了 root、metadata、geoip、cache、rewrite、dnssec、kubernetes、file、forward、whoami 等 60 余個(gè)插件。core/plugin/zplugin.go 是由directives_generate.go自動(dòng)生成的插件導(dǎo)入文件通過(guò)空白導(dǎo)入_ ...把所有樹(shù)內(nèi)插件鏈接進(jìn)二進(jìn)制。plugin/register.go 提供了Register(name, action)函數(shù)內(nèi)部調(diào)用caddy.RegisterPlugin并指定ServerType: dns這是每個(gè)插件向 CoreDNS 登記的標(biāo)準(zhǔn)入口。支持的監(jiān)聽(tīng)協(xié)議CoreDNS 可以監(jiān)聽(tīng)多種方式進(jìn)入的 DNS 請(qǐng)求協(xié)議說(shuō)明UDP/TCP傳統(tǒng) DNSTLSDoT基于 RFC 7858 的 DNS over TLSDNS over HTTP/2DoH基于 RFC 8484 的 DNS over HTTPSDNS over HTTP/3DoH3基于 HTTP/3 的 DoHDNS over QUICDoQ基于 RFC 9250 的 DNS over QUICgRPC非標(biāo)準(zhǔn)協(xié)議見(jiàn) plugin/grpc 與 plugin/grpc_server這些協(xié)議前綴的解析實(shí)現(xiàn)在 core/dnsserver/address.go 的zoneAddr結(jié)構(gòu)體中Transport字段取值正是dns、tls、grpc等SplitProtocolHostPort負(fù)責(zé)把dns://[::1]:53這類地址拆成協(xié)議、IP 與端口三部分。當(dāng)前版本的能力清單按 README 與插件目錄對(duì)照CoreDNS 目前能夠從文件提供區(qū)域數(shù)據(jù)zone data支持 DNSSEC僅 NSEC與普通 DNSfile與auto插件從主服務(wù)器獲取區(qū)域數(shù)據(jù)即作為輔助服務(wù)器僅 AXFRsecondary插件動(dòng)態(tài)on-the-fly簽署區(qū)域數(shù)據(jù)dnssec插件對(duì)響應(yīng)做負(fù)載均衡loadbalance插件允許區(qū)域傳輸即作為主服務(wù)器filetransfer插件自動(dòng)從磁盤加載區(qū)域文件auto插件緩存 DNS 響應(yīng)cache插件以 etcd 作為后端替代 SkyDNSetcd插件以 Kubernetes 作為后端kubernetes插件作為代理把查詢轉(zhuǎn)發(fā)給其他遞歸名稱服務(wù)器forward插件通過(guò) Prometheus 提供指標(biāo)prometheus對(duì)應(yīng) metrics 插件提供查詢log與錯(cuò)誤errors日志與云廠商集成route53、azure、clouddns插件支持 CH 類查詢version.bind等chaos插件支持 RFC 5001 的 DNS 名稱服務(wù)器標(biāo)識(shí)NSID選項(xiàng)nsid插件支持性能剖析pprof插件重寫查詢qtype、qclass、qnamerewrite與template插件屏蔽 ANY 查詢any插件提供 DNS64 IPv6 轉(zhuǎn)換dns64插件以及更多view、acl、dns64、siit、shed、timeouts、header、minimal、hosts、tsig、dynupdate、sign、reload、ready、health、trace 等插件均在 plugin.cfg 中可見(jiàn)每個(gè)插件都有自己的文檔見(jiàn)各插件目錄下的 README.md例如 plugin/cache/README.md、plugin/kubernetes/README.md。從源碼編譯 CoreDNS編譯 CoreDNS 的前提是有一個(gè)可用的 Go 環(huán)境。需要注意版本要求倉(cāng)庫(kù) go.mod 聲明go 1.26.0README 明確要求 Go 版本為 1.26.0 或更高因?yàn)樾枰猤o mod支持及其他 API倉(cāng)庫(kù)根目錄的 .go-version 文件被 Makefile 讀取用于設(shè)置GOTOOLCHAIN當(dāng)前為1.27.0。CoreDNS 遵循上游 Go 項(xiàng)目的支持策略僅支持最近兩個(gè) Go 版本。檢出項(xiàng)目后運(yùn)行make即可編譯出二進(jìn)制$ git clone https://gitcode.com/gh_mirrors/co/coredns $ cd coredns $ make注意構(gòu)建時(shí)可以通過(guò)設(shè)置COREDNS_PLUGINS環(huán)境變量來(lái)啟用額外的插件其值為逗號(hào)分隔的插件列表格式與 plugin.cfg 一致例如COREDNS_PLUGINSlog,forward這種插件名:包名形式。編譯完成后會(huì)得到一個(gè)coredns二進(jìn)制。從 Makefile 可以看到構(gòu)建細(xì)節(jié)默認(rèn)CGO_ENABLED0純靜態(tài)編譯、GOTAGSgrpcnotrace并通過(guò)-ldflags注入 GitCommit 版本信息make的 check 階段會(huì)先執(zhí)行g(shù)o generate coredns.go重新生成 core/plugin/zplugin.go 與 core/dnsserver/zdirectives.go保證插件列表與 plugin.cfg 同步——這正是“改 plugin.cfg 即可裁剪/增加插件”的機(jī)制所在。使用 Docker 編譯CoreDNS 需要 Go 才能編譯但如果你已經(jīng)安裝了 Docker、又不想搭建 Go 環(huán)境可以方便地構(gòu)建docker run --rm -i -t \ -v $PWD:/go/src/github.com/coredns/coredns -w /go/src/github.com/coredns/coredns \ golang:1.25 sh -c GOFLAGS-buildvcsfalse make gen GOFLAGS-buildvcsfalse make上面的命令單獨(dú)執(zhí)行即可生成coredns二進(jìn)制make gen先執(zhí)行代碼生成隨后make完成編譯-buildvcsfalse用于在非 git 檢出環(huán)境下關(guān)閉構(gòu)建時(shí)的 VCS 信息收集?？焖匍_(kāi)始第一個(gè) Corefile創(chuàng)建一個(gè)最小化的 Corefilecat Corefile EOF .:53 { forward . 8.8.8.8 log } EOF運(yùn)行 CoreDNS$ ./coredns -conf Corefile測(cè)試解析$ dig 127.0.0.1 google.com這個(gè)配置的含義是在.:53匹配所有域名的根區(qū)端口 53上啟動(dòng)服務(wù)器forward . 8.8.8.8把所有查詢轉(zhuǎn)發(fā)到上游 8.8.8.8log插件把每次查詢打到標(biāo)準(zhǔn)輸出。其底層行為可以對(duì)照 plugin/forward/README.md 與 plugin/log/README.md 印證forward插件復(fù)用已打開(kāi)的到上游的 socket支持 UDP、TCP、DoT、DoH并使用帶內(nèi)健康檢查健康檢查以0.5s間隔循環(huán)進(jìn)行通過(guò)遞歸查詢. IN NS判斷上游是否健康max_fails默認(rèn) 2當(dāng)所有上游都不可用時(shí)會(huì)嘗試連接一個(gè)隨機(jī)上游log插件把查詢及響應(yīng)部分輸出到標(biāo)準(zhǔn)輸出默認(rèn)使用通用日志格式Common Log Format可通過(guò)class選項(xiàng)按success、denial、error、all分類過(guò)濾。配置進(jìn)階Corefile 的加載與常用指令默認(rèn)加載行為與啟動(dòng)參數(shù)CoreDNS 的配置通過(guò)名為Corefile的文件完成。啟動(dòng)時(shí) CoreDNS 會(huì)從當(dāng)前工作目錄查找Corefile。相關(guān)啟動(dòng)參數(shù)在 coremain/run.go 中注冊(cè)包括參數(shù)默認(rèn)值說(shuō)明-confCorefile指定要加載的 Corefile 路徑-dns.port/-p53默認(rèn)監(jiān)聽(tīng)端口-log-formattext日志格式text或json-plugins—列出已安裝的插件-version—顯示版本-quiet—安靜模式不輸出初始化信息-pidfile—寫入 pid 文件的路徑注意程序入口 coredns.go 中通過(guò)//go:generate注解觸發(fā) directives_generate.go 與 owners_generate.go 的自動(dòng)生成隨后調(diào)用coremain.Run()啟動(dòng)整個(gè)服務(wù)。無(wú)配置啟動(dòng)與 whoami當(dāng)不帶任何配置啟動(dòng) CoreDNS 時(shí)它會(huì)加載whoami與log插件并監(jiān)聽(tīng) 53 端口可用-dns.port覆蓋啟動(dòng)輸出大致如下.:53 CoreDNS-1.6.6 linux/amd64, go1.16.10, aa8c32此時(shí)可用以下命令查詢正在運(yùn)行的 CoreDNSdig 127.0.0.1 -p 53 www.example.com發(fā)往 53 端口的任意查詢都會(huì)返回一些信息——你的發(fā)送地址、端口和使用的協(xié)議查詢也會(huì)被記錄到標(biāo)準(zhǔn)輸出。這是因?yàn)閣hoami插件會(huì)如實(shí)回顯請(qǐng)求方的地址、端口與協(xié)議信息實(shí)現(xiàn)見(jiàn) plugin/whoami。一個(gè)監(jiān)聽(tīng) 53 端口并啟用 whoami 插件的 Corefile 是.:53 { whoami }修改端口有時(shí) 53 端口被系統(tǒng)進(jìn)程占用可以修改 Corefile 讓 CoreDNS 從 1053 端口啟動(dòng).:1053 { whoami }如果 Corefile 中沒(méi)有指定端口默認(rèn)使用 53也可以通過(guò)-dns.port標(biāo)志覆蓋例如coredns -dns.port 1053在 1053 端口運(yùn)行。import 指令可以使用import指令把其他文本文件引入 Corefile并支持用 glob 一次匹配多個(gè)文件.:53 { import example1.txt } import example2.txt環(huán)境變量可以在 Corefile 中使用環(huán)境變量語(yǔ)法為{$VARIABLE}。注意每個(gè)環(huán)境變量作為單個(gè) token被插入 Corefile例如一個(gè)含空格的環(huán)境變量會(huì)被當(dāng)作一個(gè) token 處理而不是被拆成兩個(gè) token。.:53 { {$ENV_VAR} }多 Server Block權(quán)威區(qū) 轉(zhuǎn)發(fā)一個(gè)把任意查詢轉(zhuǎn)發(fā)到上游 DNS如 8.8.8.8的 Corefile.:53 { forward . 8.8.8.8:53 log }啟動(dòng)后查詢 53 端口查詢會(huì)被轉(zhuǎn)發(fā)到 8.8.8.8 并返回響應(yīng)每次查詢也會(huì)出現(xiàn)在標(biāo)準(zhǔn)輸出的日志中。在 1053 端口提供NSECDNSSEC 簽名的example.org區(qū)域錯(cuò)誤與日志輸出到標(biāo)準(zhǔn)輸出允許所有人做區(qū)域傳輸同時(shí)顯式寫明 1 個(gè) IP 地址以便 CoreDNS 向它發(fā)送 notify 通知example.org:1053 { file /var/lib/coredns/example.org.signed transfer { to * 2001:500:8f::53 } errors log }在 1053 端口提供example.org同時(shí)把所有不匹配example.org的查詢轉(zhuǎn)發(fā)給遞歸名稱服務(wù)器并把 ANY 查詢重寫成 HINFOexample.org:1053 { file /var/lib/coredns/example.org.signed transfer { to * 2001:500:8f::53 } errors log } . { any forward . 8.8.8.8:53 errors log }第二個(gè) server block 中的any插件會(huì)把 ANY 查詢重寫為 HINFO 查詢見(jiàn) plugin/any/README.mdforward負(fù)責(zé)轉(zhuǎn)發(fā)其余查詢。IP 地址與反向區(qū)自動(dòng)轉(zhuǎn)換IP 地址也可以直接作為 zone 使用它們會(huì)被自動(dòng)轉(zhuǎn)換為反向區(qū)10.0.0.0/24 { whoami }這表示你對(duì)0.0.10.in-addr.arpa.具有權(quán)威。IPv6 地址同樣適用。如果出于某種原因想服務(wù)一個(gè)名為10.0.0.0/24的 zone加上結(jié)尾點(diǎn)10.0.0.0/24.即可阻止自動(dòng)轉(zhuǎn)換。甚至支持 CIDR見(jiàn) RFC 1518 與 RFC 1519地址例如10.0.0.0/25CoreDNS 會(huì)檢查in-addr請(qǐng)求是否落在正確的范圍內(nèi)相關(guān)過(guò)濾邏輯由 core/dnsserver/config.go 中的FilterFuncs承載例如限制對(duì)非字節(jié)邊界反向區(qū)的訪問(wèn)。多協(xié)議監(jiān)聽(tīng)DoT、gRPC、DoQ、DoH 與 DoH3Corefile 中通過(guò)協(xié)議前綴聲明監(jiān)聽(tīng)方式。同時(shí)監(jiān)聽(tīng) TLSDoT與 gRPCtls://example.org grpc://example.org { whoami }類似地QUICDoQquic://example.org { whoami tls mycert mykey }DNS over HTTP/2DoHhttps://example.org { whoami tls mycert mykey }在這種配置下TLS 終止由 CoreDNS 自己負(fù)責(zé)。也可以讓 CoreDNS 以明文 HTTP 提供 DoH不做 TLS 終止但注意此時(shí) CoreDNS 實(shí)例之前必須有一個(gè) TLS 終止代理來(lái)轉(zhuǎn)發(fā) DNS 請(qǐng)求否則客戶端無(wú)法通過(guò) DoH 與服務(wù)器通信https://example.org { whoami }指定端口的方式相同grpc://example.org:1443 https://example.org:1444 { # ... }DNS over HTTP/3DoH3https3://example.org { whoami tls mycert mykey }同樣此配置下 TLS 終止由 CoreDNS 負(fù)責(zé)。當(dāng)未指定傳輸協(xié)議時(shí)默認(rèn)使用dns://。這些協(xié)議前綴的解析與端口組合邏輯在 core/dnsserver/address.go 的SplitProtocolHostPort與zoneAddr.String()中實(shí)現(xiàn)而各協(xié)議對(duì)應(yīng)的服務(wù)器實(shí)現(xiàn)分別位于 core/dnsserver/server_tls.go、core/dnsserver/server_grpc.go、core/dnsserver/server_https.go、core/dnsserver/server_https3.go 與 core/dnsserver/server_quic.go。JSON 結(jié)構(gòu)化日志-log-formatjson使用-log-formatjson啟動(dòng) CoreDNS可以把整個(gè)進(jìn)程的運(yùn)行日志輸出為單行 JSON。默認(rèn)的-log-formattext保留原有文本輸出。該格式作用于整個(gè)進(jìn)程包含所有 server block并且在 Corefile 重載后依然保持。注意查詢?nèi)罩救孕枰猯og插件-log-format只是進(jìn)程級(jí)運(yùn)行日志的格式開(kāi)關(guān)。./coredns -conf Corefile -log-formatjson記錄的字段包含timeRFC3339 格式、帶小數(shù)秒的時(shí)間levelDEBUG、INFO、WARN、ERROR或FATALmsg消息內(nèi)容。命名插件日志器還會(huì)額外帶上plugin字段。消息內(nèi)容包括內(nèi)嵌換行與 DNS 轉(zhuǎn)義會(huì)按 JSON 編碼而不是被拼進(jìn) JSON 模板里。調(diào)試輸出仍然需要debug插件。查詢?nèi)罩镜淖侄握f(shuō)明見(jiàn) plugin/log/README.md 的 JSON Output 一節(jié)其中定義了如下類型化字段字段類型含義client_ipstring客戶端地址IPv6 不帶括號(hào)client_portnumber客戶端端口qnamestring小寫、全限定的查詢名DNS 展示格式qtype、qclassstring查詢類型與類別未知值用數(shù)字形式protocolstringudp或tcpid、opcodenumber查詢 ID 與 opcoderequest_sizenumber請(qǐng)求字節(jié)數(shù)dnssec_okboolean查詢的 DNSSEC OK 位bufsizenumber有效響應(yīng)緩沖區(qū)大小rcodestring 或 null響應(yīng) RCODE未記錄到 DNS 響應(yīng)時(shí)為 nullresponse_sizenumber記錄的響應(yīng)字節(jié)數(shù)duration_secondsnumber處理耗時(shí)秒日志格式開(kāi)關(guān)在 coremain/run.go 中注冊(cè)flag.StringVar(logFormat, log-format, text, ...)并在Run()中通過(guò)clog.Configure(logFormat, os.Stdout)生效。標(biāo)準(zhǔn)庫(kù)的默認(rèn) logger包括 Caddy 的生命周期消息也會(huì)以INFO級(jí)別路由到同一后端原始消息得以保留、不做文本解析猜測(cè)。獨(dú)立配置的第三方 logger、直接寫 stdout/stderr 的輸出以及 Go 運(yùn)行時(shí)診斷不會(huì)被攔截。命令行幫助、flag 解析錯(cuò)誤、-version與-plugins輸出保持人類可讀。正常啟動(dòng)信息、Corefile 錯(cuò)誤以及查詢/錯(cuò)誤插件日志使用所選格式輸出。社區(qū)、貢獻(xiàn)、部署與安全參與貢獻(xiàn)想為 CoreDNS 貢獻(xiàn)代碼請(qǐng)先閱讀倉(cāng)庫(kù)內(nèi)的貢獻(xiàn)指南其中涵蓋 bug 報(bào)告、測(cè)試補(bǔ)充、新功能與新插件的提交流程新插件通常約 1000 行 Go 代碼含測(cè)試建議先從插件自己的README.md開(kāi)始它能確定插件的正確名稱與配置項(xiàng)再依次實(shí)現(xiàn)setup.go、ServeDNShandler 等所有提交需附帶 Developer Certificate of Origingit commit -s。部署參考systemd 及其他使用場(chǎng)景的部署示例存放在獨(dú)立的 deployment 倉(cāng)庫(kù)中README 已給出指引Kubernetes 場(chǎng)景可參考 plugin/kubernetes/README.md 與 plugin/k8s_external/README.md。棄用策略Deprecation Policy當(dāng) CoreDNS 出現(xiàn)不向后兼容的變更時(shí)遵循以下流程版本 x.y.z發(fā)布公告聲明下一個(gè)版本將做出不向后兼容的變更版本 x.y1.0增加次版本號(hào)并把補(bǔ)丁版本置 0做出變更但允許舊配置被解析——即 CoreDNS 可以從未改動(dòng)的 Corefile 啟動(dòng)保留寬松解析版本 x.y1.1補(bǔ)丁版本升到 1移除寬松解析此時(shí)若仍使用舊特性CoreDNS 將無(wú)法啟動(dòng)。例如1.3.1 發(fā)布公告1.4.0 發(fā)布帶變更但兼容舊配置的新版本1.4.1 移除配置兼容性 workaround。安全策略第三方安全審計(jì)分別于 2018 年 3 月Cure53與 2022 年 3 月Trail of Bits進(jìn)行。如果發(fā)現(xiàn)安全漏洞或任何安全相關(guān)問(wèn)題請(qǐng)不要提交公開(kāi) issue而是私下發(fā)送報(bào)告到securitycoredns.io。項(xiàng)目維護(hù)者會(huì)公開(kāi)致謝。詳細(xì)的漏洞披露、修復(fù)與發(fā)布流程含 Product Security Team 組織方式、私有披露流程、Fix Team 協(xié)作、CVSS 評(píng)估、私有發(fā)行商名單與禁運(yùn)政策等見(jiàn)倉(cāng)庫(kù)內(nèi)的安全文檔。CoreDNS 還提供面向發(fā)行商的私有通告郵件列表coredns-distributors-announcelists.cncf.io加入該列表需要滿足活躍發(fā)行商、有公開(kāi)可驗(yàn)證的安全修復(fù)記錄等條件。小結(jié)CoreDNS 的價(jià)值在于用一套簡(jiǎn)潔的 Corefile 語(yǔ)法把可插拔的插件鏈組織成任意形態(tài)的 DNS 服務(wù)從單行forward的最小轉(zhuǎn)發(fā)器到filetransfer的權(quán)威區(qū)托管再到tls://、https://、https3://、quic://、grpc://的多協(xié)議加密監(jiān)聽(tīng)都可以通過(guò)修改配置文件即時(shí)切換。理解 plugin.cfg 的插件順序、core/plugin/zplugin.go 的生成機(jī)制以及 coremain/run.go 中的啟動(dòng)參數(shù)你就能按需裁剪構(gòu)建、定制日志格式并借助-log-formatjson與 Prometheus 指標(biāo)見(jiàn) plugin/metrics/README.md在生產(chǎn)環(huán)境中高效運(yùn)維。贊分享后端網(wǎng)絡(luò)云原生【免費(fèi)下載鏈接】corednsCoreDNS is a DNS server that chains plugins項(xiàng)目地址https://gitcode.com/gh_mirrors/co/coredns點(diǎn)擊查看免費(fèi)下載相關(guān)推薦終極CoreDNS插件系統(tǒng)完全指南構(gòu)建靈活DNS服務(wù)鏈的10個(gè)核心技巧終極CoreDNS插件系統(tǒng)完全指南構(gòu)建靈活DNS服務(wù)鏈的10個(gè)核心技巧 CoreDNS是一個(gè)用Go語(yǔ)言編寫的高性能DNS服務(wù)器采用插件鏈架構(gòu)設(shè)計(jì)能夠通過(guò)靈后端網(wǎng)絡(luò)云原生CoreDNS tls 插件完全指南為 DoT / gRPC / DoH 服務(wù)器配置 TLS 與 ACME 自動(dòng)證書(shū)CoreDNS tls 插件完全指南為 DoT / gRPC / DoH 服務(wù)器配置 TLS 與 ACME 自動(dòng)證書(shū) 導(dǎo)讀 tls 插件是 CoreDNS 中后端網(wǎng)絡(luò)云原生CoreDNS grpc_server 插件詳解DNS-over-gRPC 服務(wù)的并發(fā)與安全限制配置CoreDNS grpc_server 插件詳解DNS over gRPC 服務(wù)的并發(fā)與安全限制配置 grpc_server 是 CoreDNS 中用于配置后端網(wǎng)絡(luò)云原生創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考