使用Bind/Named配置本地域名黑洞：Include指令位置确认求助

嘿，我来帮你梳理一下这个问题——首先得明确：只要dig @127.0.0.1能正确返回127.0.0.1，说明Bind的域名解析配置本身是生效的，ping异常大概率和系统DNS优先级或者本地缓存有关，但我们先聚焦你关心的Include指令位置问题。

正确的Include指令放置位置 #

Bind的主配置文件（通常是/etc/named.conf）里，Include指令的位置分两种场景，得根据你的配置结构来：

1. 全局生效的黑名单（没用到视图功能）

如果你没配置Bind的视图（view），Include应该放在全局区域，也就是options块之后、其他zone配置之前，比如：

options {
    // 你的全局配置，比如监听地址、缓存目录这些
    listen-on port 53 { 127.0.0.1; };
    directory "/var/named";
    dump-file "/var/named/data/cache_dump.db";
    // ...其他杂项配置
};

// 就在这里放Include，加载黑名单的zone配置
include "/etc/named/blackhole.zones";

// 然后是系统默认的zone，比如根域、localhost这些
zone "." IN {
    type hint;
    file "named.ca";
};

zone "localhost" IN {
    type master;
    file "named.localhost";
    allow-update { none; };
};

你的黑名单配置文件blackhole.zones应该是每个要拦截的域名单独一个zone，比如：

zone "bad-domain.com" IN {
    type master;
    file "blackhole.zone";
    allow-update { none; };
};

zone "another-bad-domain.net" IN {
    type master;
    file "blackhole.zone";
    allow-update { none; };
};

而blackhole.zone这个模板文件要这么写，确保域名和子域名都指向127.0.0.1：

$TTL 86400
@   IN  SOA localhost. root.localhost. (
            2024052001  ; 序列号，每次修改要递增
            3600        ; 刷新间隔
            1800        ; 重试间隔
            604800      ; 过期时间
            86400       ; 最小TTL
    )
    IN  NS  localhost.
    IN  A   127.0.0.1
*   IN  A   127.0.0.1

2. 基于视图的黑名单（比如分内网/外网解析）

如果你用了Bind的视图功能（比如内网和外网用不同的解析规则），那Include必须放在对应视图的内部，不能放在全局区域，不然视图会覆盖全局的zone配置，比如：

options {
    // 全局配置...
};

view "internal" {
    match-clients { 192.168.1.0/24; 127.0.0.1; };
    // 内网视图里加载内网生效的黑名单
    include "/etc/named/internal-blackhole.zones";

    zone "." IN {
        type hint;
        file "named.ca";
    };
    // 其他内网专用zone...
};

view "external" {
    match-clients { any; };
    // 外网视图里加载外网生效的黑名单（如果需要的话）
    include "/etc/named/external-blackhole.zones";

    zone "." IN {
        type hint;
        file "named.ca";
    };
    // 其他外网zone...
};

为什么dig正常但ping异常？ #

既然dig @127.0.0.1 bad-domain.com能返回127.0.0.1，说明Bind的配置是没问题的，ping出问题大概率是这几个原因：

• 系统默认DNS不是127.0.0.1：检查/etc/resolv.conf，确保nameserver 127.0.0.1排在最前面，不然系统会优先用其他DNS服务器解析
• 本地DNS缓存没清：Linux下可以用systemd-resolve --flush-caches或者rndc flush清缓存；Windows用ipconfig /flushdns
• ping用了IPv6：如果你的黑名单zone没配置AAAA记录，ping可能会尝试IPv6解析导致异常，可以在blackhole.zone里加一行* IN AAAA ::1，或者临时禁用系统IPv6测试

快速验证Include位置是否正确的方法 #

1. 看named启动日志：journalctl -u named，如果日志里有类似loaded serial 2024052001 for zone 'bad-domain.com'的内容，说明这个黑名单zone被正确加载了
2. 用rndc dumpdb -zones导出zone列表，然后查看/var/named/data/cache_dump.db，确认黑名单域名的zone存在且配置正确

内容的提问来源于stack exchange，提问作者JsEveryDay