Две разные роли DNS-сервера

Авторитетный сервер отвечает за данные зоны: например, публичные A, MX или TXT-записи домена. Рекурсивный резолвер получает вопрос, опрашивает DNS-иерархию и кеширует ответ по TTL. Это разные функции. BIND 9 умеет выполнять обе, если правильно настроен.

В BIND демон named загружает настройки из named.conf и обслуживает зоны. Администратор задает файл записей и serial первичной зоны. Вторичный сервер получает ее копию разрешенным способом. Изменение строки не сразу видно всем клиентам: влияют serial, transfer, кеш и TTL.

Не запускайте открытый рекурсивный резолвер

Если разрешить рекурсию любому адресу в интернете, сервер может использоваться посторонними клиентами. Ограничьте рекурсивные запросы доверенной сетью, а публичные авторитетные ответы отделите от внутреннего DNS. Уточните, кто и откуда должен получать каждую зону.

Не копируйте весь пример named.conf из чужой версии. Сверьте include-файлы, listen-on, ACL, forwarders, allow-query и recursion с установленным BIND, затем валидируйте синтаксис через named-checkconf. Для файла зоны используйте named-checkzone с именем зоны и путем к файлу; команды проверки не применяют запись в production.

Если служба уже работает, сначала сохраните текущую конфигурацию. Проверка синтаксиса не гарантирует правильную сетевую доступность или безопасные ACL.

Что проверять при проблеме

Проверьте, что служба слушает нужный интерфейс и порт, зона загружена, serial обновлен и сервер отвечает снаружи ожидаемым содержимым. Сравните authoritative query к NS и recursive query через выбранный resolver. Если ответы различаются, проверьте кеш, делегацию NS/DS и DNSSEC.

BIND - это реализация DNS-сервера, не сам протокол DNS и не регистратор домена. Для соседних понятий смотрите DNS, TTL, MX-запись и DNS-проблемы. Официальный BIND 9 Administrator Reference Manual проверен 8 октября 2026 года: документация отображала версию 9.20.29; сервер не запускался.