BIND で検証用の DNS サーバを構築する

本検証環境では、SELinux のアクセス制御と firewalld サービスを無効化しています。

SELinux のアクセス制御の無効化手順は以下のとおりです。

# cp /etc/selinux/config /tmp
# vi /etc/selinux/config
# diff /tmp/config /etc/selinux/config
7c7
< SELINUX=enforcing
---
> SELINUX=permissive

firewalld サービスの無効化手順は以下のとおりです。

# systemctl stop firewalld
# systemctl disable firewalld
Removed /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.

※ firewalld を有効にする場合は適切なポートを解放してください。ゾーン転送は TCP で行われますので、そちらのポートについてもご注意ください。

本検証環境では、１台の VM で複数のドメイン（root、com、test.com）を管理するため、VM に複数の IP アドレスを割り当てています。

IP アドレスを追加するための方法はいくつかありますが、ここでは ifcfg ファイルを編集する方法と、nmcli コマンドによる方法を記載しておきます。

① ifcfg ファイルを編集する方法

インターフェース（enp0s3）に IP アドレスを追加するため ifcfg-enp0s3 ファイルを編集した後、システム再起動します。
以下に ifcfg-enp0s3 ファイルの編集前、編集後および編集前後の差分を示します。

編集前
※ VM 作成時には、10.0.2.50 のみを割り当て、IPv6 は無効化しています。

[root@dns-auth tmp]# cat /etc/sysconfig/network-scripts/ifcfg-enp0s3
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=none
DEFROUTE=yes
IPV4_FAILURE_FATAL=yes
IPV6INIT=no
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=eui64
NAME=enp0s3
UUID=503dbf9f-b024-4aaf-803f-241bcf59ff99
DEVICE=enp0s3
ONBOOT=yes
IPADDR=10.0.2.50
PREFIX=24
GATEWAY=10.0.2.1
DNS1=8.8.8.8
IPV6_DISABLED=yes
[root@dns-auth tmp]#

編集後

[root@dns-auth ~]# cat /etc/sysconfig/network-scripts/ifcfg-enp0s3
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=none
DEFROUTE=yes
IPV4_FAILURE_FATAL=yes
IPV6INIT=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=eui64
NAME=enp0s3
UUID=503dbf9f-b024-4aaf-803f-241bcf59ff99
DEVICE=enp0s3
ONBOOT=yes
IPADDR=10.0.2.50
PREFIX=24
GATEWAY=10.0.2.1
DNS1=8.8.8.8
IPADDR1=10.0.2.52
PREFIX1=24
IPADDR2=10.0.2.53
PREFIX2=24
IPADDR3=10.0.2.54
PREFIX3=24
IPADDR4=10.0.2.56
PREFIX4=24
IPADDR5=10.0.2.57
PREFIX5=24
IPADDR6=10.0.2.58
PREFIX6=24
IPADDR7=10.0.2.60
PREFIX7=24
IPADDR8=10.0.2.61
PREFIX8=24
IPADDR9=10.0.2.62
PREFIX9=24
IPV6_AUTOCONF=no
IPV6ADDR=fd00::34/64
IPV6ADDR_SECONDARIES="fd00::35/64 fd00::36/64 fd00::38/64 fd00::39/64 fd00::3a/64 fd00::3d/64 fd00::3e/64"
[root@dns-auth ~]#

編集前後の差分

[root@dns-auth ~]# diff /tmp/ifcfg-enp0s3 /etc/sysconfig/network-scripts/ifcfg-enp0s3
7c7
< IPV6INIT=no
---
> IPV6INIT=yes
19c19,39
< IPV6_DISABLED=yes
---
> IPADDR1=10.0.2.52
> PREFIX1=24
> IPADDR2=10.0.2.53
> PREFIX2=24
> IPADDR3=10.0.2.54
> PREFIX3=24
> IPADDR4=10.0.2.56
> PREFIX4=24
> IPADDR5=10.0.2.57
> PREFIX5=24
> IPADDR6=10.0.2.58
> PREFIX6=24
> IPADDR7=10.0.2.60
> PREFIX7=24
> IPADDR8=10.0.2.61
> PREFIX8=24
> IPADDR9=10.0.2.62
> PREFIX9=24
> IPV6_AUTOCONF=no
> IPV6ADDR=fd00::34/64
> IPV6ADDR_SECONDARIES="fd00::35/64 fd00::36/64 fd00::38/64 fd00::39/64 fd00::3a/64 fd00::3d/64 fd00::3e/64"
[root@dns-auth ~]#

システムを再起動します。

[root@dns-auth ~]# systemctl reboot

② nmcli コマンドによる方法

nmcli コマンドでインターフェースへの IP アドレスの割り当てを指定します。コマンドの結果は ifcfg ファイルに反映されます。この方法ではシステム再起動なしに、追加の IP アドレスがシステムに反映されます。（念のため再起動もしていますが）
上記と同様の設定を nmcli コマンドで実施している例を以下に示します。

[root@dns-auth ~]# nmcli con mod enp0s3 ipv4.method manual ipv4.addresses 10.0.2.50/24,10.0.2.52/24,10.0.2.53/24,10.0.2.54/24,10.0.2.56/24,10.0.2.57/24,10.0.2.58/24,10.0.2.60/24,10.0.2.61/24,10.0.2.62/24
[root@dns-auth ~]# nmcli con mod enp0s3 ipv6.method manual ipv6.addresses fd00::34/64,fd00::35/64,fd00::36/64,fd00::38/64,fd00::39/64,fd00::3a/64,fd00::3d/64,fd00::3e/64
[root@dns-auth ~]# nmcli con up enp0s3
接続が正常にアクティベートされました (D-Bus アクティブパス: /org/freedesktop/NetworkManager/ActiveConnection/2)
[root@dns-auth ~]#

IP アドレス追加前後に確認したインターフェースの状態を以下に示します。

IP アドレス追加前

[root@dns-auth ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:f5:45:dc brd ff:ff:ff:ff:ff:ff
    inet 10.0.2.50/24 brd 10.0.2.255 scope global noprefixroute enp0s3
       valid_lft forever preferred_lft forever
[root@dns-auth ~]#

IP アドレス追加後

[root@dns-auth ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:f5:45:dc brd ff:ff:ff:ff:ff:ff
    inet 10.0.2.50/24 brd 10.0.2.255 scope global noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.52/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.53/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.54/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.56/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.57/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.58/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.60/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.61/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet 10.0.2.62/24 brd 10.0.2.255 scope global secondary noprefixroute enp0s3
       valid_lft forever preferred_lft forever
    inet6 fd00::3e/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::3d/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::3a/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::39/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::38/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::36/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::35/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fd00::34/64 scope global noprefixroute
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fef5:45dc/64 scope link noprefixroute
       valid_lft forever preferred_lft forever
[root@dns-auth ~]#

補足．

以下のコマンドでも追加可能ですが、永続化されません（システム再起動で設定が揮発します）。検証のため一時的に追加したい場合には使えると思います。

ip addr add 10.0.2.52/24 dev enp0s3
ip addr add 10.0.2.53/24 dev enp0s3
  ：

ip addr add fd00::34/64 dev enp0s3
ip addr add fd00::35/64 dev enp0s3
  ：

本検証環境では dnf で BIND をインストールしています。
※ 下記例では bind と bind-utils のパッケージをインストールしていますが、bind-utils は既にインストールされていたためスキップされています。

[root@dns-auth ~]# dnf install bind bind-utils -y

<snip>

インストール済み:
  bind-32:9.11.36-16.el8_10.6.x86_64

完了しました!
[root@dns-auth ~]#

インストール状況の確認は以下のとおりです。

[root@dns-auth ~]# rpm -qa | grep bind
bind-utils-9.11.36-16.el8_10.6.x86_64
bind-license-9.11.36-16.el8_10.6.noarch
bind-9.11.36-16.el8_10.6.x86_64          ＜＜ 追加したパッケージ
python3-bind-9.11.36-16.el8_10.6.noarch
bind-libs-9.11.36-16.el8_10.6.x86_64
bind-libs-lite-9.11.36-16.el8_10.6.x86_64
[root@dns-auth ~]#

[root@dns-auth ~]# named -v
BIND 9.11.36-RedHat-9.11.36-16.el8_10.6 (Extended Support Version) <id:68dbd5b>
[root@dns-auth ~]#

サービス（named）の起動状況の確認は以下のとおりです。
※下記例ではサービス停止中ですが、自動起動設定（enable）と起動（start）は BIND の設定後に行う予定のため、このままにしておきます。

[root@dns-auth ~]# systemctl status named
● named.service - Berkeley Internet Name Domain (DNS)
   Loaded: loaded (/usr/lib/systemd/system/named.service; disabled; vendor preset: disabled)
   Active: inactive (dead)
[root@dns-auth ~]

備忘録としてバージョン等の確認方法を記載しておきます。

Window OS バージョン確認

> systeminfo

VirtualBox バージョン確認

VirtualBox マネージャーの[ヘルプ] ＞ [VirtualBox について]

仮想マシン OS 情報確認

# hostnamectl

BIND バージョン確認

# named -v
# rpm -qa | grep bind

named が含まれるパッケージ確認

# rpm -qf `which named`

dig が含まれるパッケージ確認

# rpm -qf `which dig`

インターネットで定義されている、ルートと com の NS レコードを確認する例を以下に示します。

[root@dns-auth ~]# dig @8.8.8.8 com. a +trace | grep -w NS | grep -v RRSIG
.                       87203   IN      NS      c.root-servers.net.
.                       87203   IN      NS      k.root-servers.net.
.                       87203   IN      NS      h.root-servers.net.
.                       87203   IN      NS      e.root-servers.net.
.                       87203   IN      NS      b.root-servers.net.
.                       87203   IN      NS      i.root-servers.net.
.                       87203   IN      NS      j.root-servers.net.
.                       87203   IN      NS      a.root-servers.net.
.                       87203   IN      NS      l.root-servers.net.
.                       87203   IN      NS      m.root-servers.net.
.                       87203   IN      NS      g.root-servers.net.
.                       87203   IN      NS      f.root-servers.net.
.                       87203   IN      NS      d.root-servers.net.
com.                    172800  IN      NS      l.gtld-servers.net.
com.                    172800  IN      NS      j.gtld-servers.net.
com.                    172800  IN      NS      h.gtld-servers.net.
com.                    172800  IN      NS      d.gtld-servers.net.
com.                    172800  IN      NS      b.gtld-servers.net.
com.                    172800  IN      NS      f.gtld-servers.net.
com.                    172800  IN      NS      k.gtld-servers.net.
com.                    172800  IN      NS      m.gtld-servers.net.
com.                    172800  IN      NS      i.gtld-servers.net.
com.                    172800  IN      NS      g.gtld-servers.net.
com.                    172800  IN      NS      a.gtld-servers.net.
com.                    172800  IN      NS      c.gtld-servers.net.
com.                    172800  IN      NS      e.gtld-servers.net.
[root@dns-auth ~]#

ゾーン転送は、「セカンダリ（スレーブ）が起点として開始されるゾーン転送」と「プライマリ（マスタ）が起点として開始されるゾーン転送」があります。
流れはそれぞれ以下のとおりです。

・セカンダリ（スレーブ）が起点として開始されるゾーン転送

①セカンダリは定期的にプライマリに対し、SOA レコードを請求する。
②受け取った SOA のシリアル番号がセカンダリより大きい場合、更新があったものと判断し、セカンダリはプライマリにゾーンデータを要求する。
③プライマリはセカンダリにゾーンデータを送信する。

・プライマリ（マスタ）が起点として開始されるゾーン転送

①プライマリはゾーンデータに変更があったことをセカンダリに通知する（NOTIFY）。
②NOTIFY に含まれるシリアル番号がセカンダリより大きい場合、セカンダリはプライマリにゾーンデータを要求する。
③プライマリはセカンダリにゾーンデータを送信する。

test.com 関連の view ステートメントには、上記処理に必要な通信相手のアドレスや通信許可に関する設定を行います。

// NSサーバのアドレスもしくはアドレス範囲に対し、ACLで別名をつけます。
// ルートドメインおよび comドメインのNSサーバは複数台想定のため、サブネット（30および126ビットマスクでアドレス４つ）で定義しています。
// ただし、ルートドメインおよび comドメインのNSサーバは各３台を予定しており、未使用アドレスが各１つづつ発生します。
// 未使用アドレスについては、VMのインターフェースには割り当てないことで、同アドレス宛のクエリがBINDまで届かないようにします 。
acl root_v4         { 10.0.2.52/30; }; //52-55
acl root_v6         { fd00::34/126; }; //34-37
acl com_v4          { 10.0.2.56/30; }; //56-59
acl com_v6          { fd00::38/126; }; //38-3b
acl testcom_prim_v4 { 10.0.2.60/32; };
acl testcom_sec1_v4 { 10.0.2.61/32; };
acl testcom_sec1_v6 { fd00::3d/128; };
acl testcom_sec2_v4 { 10.0.2.62/32; };
acl testcom_sec2_v6 { fd00::3e/128; };

masters testcom_prim { 10.0.2.60; };
masters testcom_sec  { 10.0.2.61; 10.0.2.62; };

options {
  // listen対象のポートとアドレスを指定します。
  listen-on port 53 {
//    any; 127.0.0.1;
    root_v4;
    com_v4;
    testcom_prim_v4;
    testcom_sec1_v4;
    testcom_sec2_v4;
  };
  listen-on-v6 port 53 {
//    any; ::1;
    root_v6;
    com_v6;
    testcom_sec1_v6;
    testcom_sec2_v6;
  };

  directory          "/var/named";
  dump-file          "/var/named/data/cache_dump.db";
  statistics-file    "/var/named/data/named_stats.txt";
  memstatistics-file "/var/named/data/named_mem_stats.txt";

  // 全てのリゾルバのIPアドレスからのクエリに応答します。
  allow-query { any; };

  // 権威サーバなので非再帰問合せ（反復問い合わせ）は行いません。
  recursion       no;
  allow-recursion { none; };

  // 権威サーバなのでキャッシュでの応答はしません。
  allow-query-cache { none; };

  // DNSSECの有効／無効の設定です。本検証環境では無効とします。
  dnssec-enable     no;
  dnssec-validation no;

  // 自身のゾーンデータの転送を許可するかどうかの設定ですが、ゾーンごとに異なるためデフォルト不許可としています。
  // 許可が必要な場合、viewステートメントのブロック内で個別に設定します。
  allow-transfer { none; };

  // Dynamic DNSの設定ですが、本検証環境では未対応とします。
  allow-update { none; };

  /* Path to ISC DLV key */
  bindkeys-file "/etc/named.iscdlv.key";

  managed-keys-directory "/var/named/dynamic";

  pid-file "/run/named/named.pid";
  session-keyfile "/run/named/session.key";
};

// ルートドメインのNSサーバに関する定義
view "ROOT" {
  // 送信元は無制限（any）、送信先はルートドメインのNSサーバ宛（root_v[4,6]）の通信を受け付けます。
  // 送信先にサブネットを指定することで、ルートドメインのNSサーバが複数台存在するかのように見せています。
  match-clients      { any; };
  match-destinations { root_v4; root_v6; };

  zone "." IN {
    // デフォルトでは、zone "." ステートメントには、キャッシュサーバがルートドメインのNSサーバへ接続するためのルートヒントが定義されています。（hint と named.ca）
    // 本検証環境では、ルートへの参照をローカル環境内で完結させるため、このステートメントを通常のゾーン管理と同様の設定に書き換えています。

//    type hint;
//    file "named.ca";

    // NSサーバがゾーンのマスタであることを示します。
    // ゾーン転送の際はゾーンデータの送信側になりますが、master だからといってゾーン転送が必須というわけではありません。
    type master;

    // ゾーンデータが登録されているファイルです。directory ステートメントに指定されているパスからの相対パスです。
    file "root.zone";
  };

  include "/etc/named.rfc1912.zones";
};

// com ドメインのNSサーバに関する定義
view "COM" {
  // 送信元は無制限（any）、送信先はcomドメインのNSサーバ宛（com_v[4,6]）の通信を受け付けます。
  // 送信先にサブネットを指定することで、comドメインのNSサーバが複数台存在するかのように見せています。
  match-clients      { any; };
  match-destinations { com_v4; com_v6; };

  zone "com" IN {
    type master;
    file "com.zone";
  };

  include "/etc/named.rfc1912.zones";
};

// test.com ドメインのプライマリサーバに関する定義
view "TESTCOM-PRIM" {
  // 送信元はtest.comドメインのセカンダリ（testcom_sec[1,2]_v4）、送信先はプライマリ宛（testcom_prim_v4）の通信を受け付けます。
  // プライマリでは問い合わせ対応は行いませんが、ゾーン転送に必要なセカンダリからのアクセスを許可します。
  match-clients      { testcom_sec1_v4; testcom_sec2_v4; };
  match-destinations { testcom_prim_v4; };

  zone "test.com" IN {
    type master;

    // ゾーン転送をセカンダリに対して許可します。
    allow-transfer { testcom_sec1_v4; testcom_sec2_v4; };

    // ゾーンデータの更新通知に関する設定です。
    // explicit を指定した場合、also-notifyに指定したNSサーバに対してのみに通知されます。
    // yes を指定した場合、also-notifyに指定したNSサーバ ＋ ゾーンデータのNSレコードに定義されているNSサーバへ通知されます。
    notify explicit;
    also-notify { testcom_sec; };

    // ゾーンデータの更新通知をプライマリサーバのアドレスから送信するための設定です。
    // 本検証環境の権威サーバ（VM）には複数のアドレスが割り当てられているため、この設定がないとプライマリサーバ以外のアドレスから送信されてしまう可能性があります。
    // （notify-source でのアドレス指定にはACLは使えないようです。）
    notify-source 10.0.2.60;

    file "test.com.zone";
  };

  include "/etc/named.rfc1912.zones";
//  include "/etc/named.root.key";
};

// test.com ドメインのセカンダリサーバ１に関する定義
view "TESTCOM-SEC1" {
  // 送信元は無制限（any）、送信先はtest.comドメインのセカンダリ１宛（testcom_sec1_v[4,6]）の通信を受け付けます。
  match-clients      { any; };
  match-destinations { testcom_sec1_v4; testcom_sec1_v6; };

  zone "test.com" IN {
    // NSサーバがゾーンのスレーブ（ゾーン転送における受信側）であることを指定します。
    type slave;

    // ゾーン転送のマスタ（プライマリサーバ）を指定します。
    masters { testcom_prim; };

    // ゾーンデータの更新通知の送信元を指定します。
    allow-notify { testcom_prim_v4; };

    // ゾーン転送の要求をセカンダリ１のアドレスから送信するための設定です。
    // 本検証環境の権威サーバ（VM）には複数のアドレスが割り当てられているため、この設定がないとセカンダリ１以外のアドレスから送信されてしまう可能性があります。
    // （transfer-source でのアドレス指定にはACLは使えないようです。）
    transfer-source 10.0.2.61;

    // ゾーン転送で受け取るゾーンファイルは、デフォルトでは RAW 形式（バイナリ）です。
    // text を指定するとテキスト形式で受信します。本設定ではゾーン転送後の確認のため text を指定します。
    // （RAW 形式に比べテキスト形式はパフォーマンスが落ちるようです）
    masterfile-format text;

    // プライマリから送信されてくるゾーンデータを格納するファイルの指定です。ゾーン転送で勝手に作られるので手動で編集することはありません。
    file "test.com.sec1.zone";
  };

  include "/etc/named.rfc1912.zones";
//  include "/etc/named.root.key";
};

// test.com ドメインのセカンダリサーバ２に関する定義
// ※セカンダリサーバ１と同様の設定なので説明は割愛します。
view "TESTCOM-SEC2" {
  match-clients { any; };
  match-destinations { testcom_sec2_v4; testcom_sec2_v6; };

  zone "test.com" IN {
    type slave;
    masters { testcom_prim; };
    allow-notify { testcom_prim_v4; };
    transfer-source 10.0.2.62;
    masterfile-format text;

    file "test.com.sec2.zone";
  };

  include "/etc/named.rfc1912.zones";
//  include "/etc/named.root.key";
};

named.conf のチェックで以下のメッセージが出力されました。

[root@dns-auth etc]# named-checkconf
/etc/named.conf:125: unable to find masters list 'testcom_sec1_v4'
/etc/named.conf:125: unable to find masters list 'testcom_sec2_v4'
/etc/named.conf:150: unable to find masters list 'testcom_prim_v4'
/etc/named.conf:181: unable to find masters list 'testcom_prim_v4'
[root@dns-auth etc]#

以下のステートメント（ゾーン転送の通知関連の定義）でのアドレス指定に ACL を使用していたのが原因のようです。

also-notify
masters

ネットで調べるといづれも ACL は使用可能らしいのですが、メッセージに従い以下の masters list を定義し、上記ステートメントに指定することでワーニング（？）を解消しました。

masters testcom_prim { 10.0.2.60; };
masters testcom_sec  { 10.0.2.61; 10.0.2.62; };

$ORIGIN .
$TTL 87203
@ IN SOA x.root-servers.net. root. (
  0000000000    ; serial
          1D    ; refresh
          1H    ; retry
          1W    ; expire
          3H )  ; minimum

                    IN NS   x.root-servers.net.
                    IN NS   y.root-servers.net.
                    IN NS   z.root-servers.net.
x.root-servers.net. IN A    10.0.2.52
y.root-servers.net. IN A    10.0.2.53
z.root-servers.net. IN A    10.0.2.54
x.root-servers.net. IN AAAA fd00::34
y.root-servers.net. IN AAAA fd00::35
z.root-servers.net. IN AAAA fd00::36

com.                IN NS   x.gtld-servers.net.
com.                IN NS   y.gtld-servers.net.
com.                IN NS   z.gtld-servers.net.
x.gtld-servers.net. IN A    10.0.2.56
y.gtld-servers.net. IN A    10.0.2.57
z.gtld-servers.net. IN A    10.0.2.58
x.gtld-servers.net. IN AAAA fd00::38
y.gtld-servers.net. IN AAAA fd00::39
z.gtld-servers.net. IN AAAA fd00::3a

$ORIGIN com.
$TTL 172800
@ IN SOA x.gtld-servers.net. root.com. (
  0000000000    ; serial
          1D    ; refresh
          1H    ; retry
          1W    ; expire
     2000000 )  ; minimum

                    IN NS   x.gtld-servers.net.
                    IN NS   y.gtld-servers.net.
                    IN NS   z.gtld-servers.net.
x.gtld-servers.net. IN A    10.0.2.56
y.gtld-servers.net. IN A    10.0.2.57
z.gtld-servers.net. IN A    10.0.2.58
x.gtld-servers.net. IN AAAA fd00::38
y.gtld-servers.net. IN AAAA fd00::39
z.gtld-servers.net. IN AAAA fd00::3a

test.com.           IN NS   ns1.test.com.
test.com.           IN NS   ns2.test.com.
ns1.test.com.       IN A    10.0.2.61
ns2.test.com.       IN A    10.0.2.62
ns1.test.com.       IN AAAA fd00::3d
ns2.test.com.       IN AAAA fd00::3e

$ORIGIN test.com.
$TTL 604800

; SOAのNSサーバには、セカンダリサーバ１のホスト名(ns1)を指定しています。プライマリサーバは外部に公開しないためこのような設定にしています。
@ IN SOA ns1.test.com. root.test.com. (
  0000000001    ; serial
          1D    ; refresh
          1H    ; retry
          1W    ; expire
     2000000 )  ; minimum

               IN NS   ns1.test.com.
               IN NS   ns2.test.com.
ns1.test.com.  IN A    10.0.2.61
ns2.test.com.  IN A    10.0.2.62
ns1.test.com.  IN AAAA fd00::3d
ns2.test.com.  IN AAAA fd00::3e

www            IN A    3.4.5.6

// アクセス元のアドレス範囲（キャッシュサーバ自身および検証環境内のIPアドレス）に対し、ACLで別名をつけます。
acl "MySubnet" { 127.0.0.1; 10.0.2.0/24; ::1; fd00::0/64; };

options {
  listen-on port 53    { any; 127.0.0.1; };
  listen-on-v6 port 53 { any; ::1; };

  directory          "/var/named";
  dump-file          "/var/named/data/cache_dump.db";
  statistics-file    "/var/named/data/named_stats.txt";
  memstatistics-file "/var/named/data/named_mem_stats.txt";

  // 検証環境内のIPアドレスからのクエリに応答します。
  allow-query       { MySubnet; };

  // キャッシュサーバなのでスタブリゾルバからの再帰問合せに応じ、権威サーバへの非再帰問合せ（反復問い合わせ）を行います。
  recursion         yes;
  allow-recursion   { MySubnet; };

  // キャッシュサーバなのでキャッシュでの応答に対応します。
  allow-query-cache { MySubnet; };

  // DNSSECの有効／無効の設定です。本検証環境では無効とします。
  dnssec-enable     no;
  dnssec-validation no;

  /* Path to ISC DLV key */
  bindkeys-file "/etc/named.iscdlv.key";

  managed-keys-directory "/var/named/dynamic";

  pid-file "/run/named/named.pid";
  session-keyfile "/run/named/session.key";
};

zone "." IN {
  // ルートヒントをインターネットのルートドメイン接続情報から、検証環境内のルートドメイン接続情報へ変更します。
  type hint;
//  file "named.ca";
  file "localhints.ca";
};

include "/etc/named.rfc1912.zones";
//include "/etc/named.root.key";

rndc は bind パッケージに含まれるツールです。

[root@dns-cache named]# rpm -qf `which rndc`
bind-9.11.36-16.el8_10.6.x86_64
[root@dns-cache named]#