内网核心服务搭建 - 运维技术服务中心

← 返回主页

案例 01

企业内网 DNS 主从架构搭建（BIND）

背景描述

某公司 500 台机器靠 /etc/hosts 维护域名解析，新增服务器需手动同步到每台机器。需搭建内部 DNS 服务，统一管理内网域名解析。

解决方案

搭建 BIND 主从 DNS 架构：Master 负责区域数据管理，2 台 Slave 负责查询负载和容灾。正向解析（A 记录）+ 反向解析（PTR 记录）。配置转发器加速外网域名解析。

技术要点

Master 配置 allow-transfer 仅允许 Slave IP 区域传输
Slave 配置 type slave，masters 指向 Master IP
启用 DNSSEC 签名防止 DNS 劫持
ACL 限制递归查询来源（仅内网 IP）

# named.conf Master 配置
acl "internal" { 192.168.0.0/16; 10.0.0.0/8; };
options {
    listen-on port 53 { any; };
    allow-query { internal; };
    allow-recursion { internal; };
    forwarders { 223.5.5.5; 8.8.8.8; };
    dnssec-validation auto;
};

zone "corp.internal" {
    type master;
    file "/var/named/corp.internal.zone";
    allow-transfer { 192.168.1.12; 192.168.1.13; };
};

# 正向区域文件 corp.internal.zone
$TTL 3600
@   IN SOA ns1.corp.internal. admin.corp.internal. (
    2026062401  ; Serial
    3600        ; Refresh
    900         ; Retry
    604800      ; Expire
    86400 )     ; Minimum TTL
@       IN NS  ns1.corp.internal.
@       IN NS  ns2.corp.internal.
ns1     IN A   192.168.1.11
ns2     IN A   192.168.1.12
k8s-api IN A   192.168.10.10
harbor  IN A   192.168.10.11
gitlab  IN A   192.168.10.12

# Slave 配置
zone "corp.internal" {
    type slave;
    file "slaves/corp.internal.zone";
    masters { 192.168.1.11; };
};

案例 02

DHCP 服务搭建与 IP 地址统一管理

背景描述

某办公楼 3 层共 300 台办公电脑，IP 地址手工配置，经常出现 IP 冲突。新增访客 Wi-Fi 后更是乱象频出。需搭建 DHCP 服务实现统一 IP 地址分配。

解决方案

部署 ISC DHCP Server（双节点主备），按楼层划分不同子网。办公区绑定 MAC 地址分配固定 IP，访客区分配动态 IP + 短租约（2 小时）。配置 DHCP Relay 跨 VLAN 分配。

技术要点

双节点 DHCP Failover：primary + secondary，分担负载、故障自动接管
MAC 绑定：重要设备（打印机、考勤机）分配固定 IP
DHCP Option 推送：DNS 服务器、默认网关、NTP 服务器
租约时间分级：办公区 12h，访客区 2h，服务器区 7d

# dhcpd.conf 主节点配置
failover peer "dhcp-failover" {
    primary;
    address 192.168.1.21;
    port 647;
    peer address 192.168.1.22;
    peer port 647;
    max-response-delay 60;
    max-unacked-updates 10;
    load balance max seconds 3;
    mclt 1800;
    split 128;
}

# 办公区子网
subnet 192.168.10.0 netmask 255.255.255.0 {
    option routers 192.168.10.1;
    option domain-name-servers 192.168.1.11, 192.168.1.12;
    option ntp-servers 192.168.1.11;
    option domain-name "corp.internal";
    default-lease-time 43200;
    max-lease-time 86400;
    range 192.168.10.100 192.168.10.250;
}

# MAC 绑定固定 IP
host printer-3f {
    hardware ethernet 00:1A:2B:3C:4D:5E;
    fixed-address 192.168.10.50;
}

案例 03

NFS 高性能共享存储搭建与优化

背景描述

某 AI 团队 20 名算法工程师需共享训练数据集（约 5TB），原来各自拷贝到本地，版本混乱且浪费磁盘空间。需搭建高性能 NFS 共享存储。

解决方案

部署 NFS Server（SSD RAID10 + 万兆网卡），NFSv4 协议。客户端配置 async 挂载、加大 rsize/wsize。通过 autofs 实现按需挂载，避免开机慢和挂载僵死。

技术要点

NFSv4 使用单一端口 2049，安全性优于 v3（集成 Kerberos）
exportfs 导出选项：rw,sync,no_subtree_check,no_root_squash
性能优化：rsize=1048576,wsize=1048576（1MB）匹配万兆带宽
autofs 按需挂载，5 分钟无访问自动卸载

# NFS Server /etc/exports
/data/datasets  192.168.0.0/16(rw,sync,no_subtree_check,no_root_squash)
/data/models     192.168.0.0/16(rw,sync,no_subtree_check)
/data/logs       192.168.0.0/16(rw,sync,no_subtree_check)

# 启动 NFS Server
systemctl enable nfs-server rpcbind --now
exportfs -rav   # 重新加载导出配置
showmount -e localhost  # 验证导出

# 客户端挂载（性能优化）
mount -t nfs4 -o rw,hard,intr,rsize=1048576,wsize=1048576,noatime \
  nfs-server.corp.internal:/data/datasets /mnt/datasets

# autofs 配置（按需挂载，自动卸载）
# /etc/auto.master
/mnt/data  /etc/auto.nfs --timeout=300

# /etc/auto.nfs
datasets  -rw,hard,intr,rsize=1048576,wsize=1048576  nfs-server.corp.internal:/data/datasets
models    -rw,hard,intr,rsize=1048576,wsize=1048576  nfs-server.corp.internal:/data/models