BIND é o servidor DNS mais utilizado na Internet e um padrão de fato em sistemas Unix/Linux.

O DNS Recursivo é responsável pela resolução de nomes: recebe a consulta do cliente e percorre a hierarquia do DNS — servidores raiz → TLD (.br, .com) → autoritativo do domínio — até obter a resposta. O resultado fica armazenado em cache pelo tempo (TTL) definido pelo autoritativo do domínio consultado, o que reduz a latência das próximas consultas e o tráfego DNS saindo da sua rede.

Para um ISP, rodar recursivo próprio significa menor latência (o servidor está dentro do seu AS, próximo do cliente), controle total do serviço e independência de resolvers públicos como 8.8.8.8 e 1.1.1.1.

Atenção: este tutorial cobre apenas o Recursivo.
– DNS Autoritativo e Reverso estão na parte 2 (em breve)
– DNS anycast com FRR (alta disponibilidade) na parte 3 (em breve).

Usaremos o Debian 13 (Trixie) com BIND 9.20 — houve mudanças relevantes em relação aos tutoriais antigos com Debian 11/12.

Requisitos:
Debian 13 Trixie – Instalação Limpa

Leituras recomendadas:
Configurando interface de rede no Debian
Como melhorar a produtividade no seu Debian após instalação

Vire root com o comando correto!

$ su -

Pacotes recomendados:

# apt install vim wget unzip man-db htop tree mtr-tiny whois -y

Configurando a placa de Rede

Neste tutorial vou configurar a rede da forma simples e convencional (IP fixo na interface). Na parte 3 aprenderemos a configurar via roteamento (FRR), que é o cenário ideal para DNS anycast. Se quiser se aprofundar, veja também: Configurando interface de rede no Debian. Caso já tenha sua placa de rede configurada pule esta etapa.

Primeiro descubra o nome da sua interface:

# ip -br link

No meu caso o nome é ens18, o seu pode ser diferente (ens192, enp0s3, eno1, enp1s0…). Ajuste nos exemplos abaixo.

Edite o arquivo:

# vim /etc/network/interfaces

Seu arquivo deverá ficar assim (as linhas “source” e da interface de loopback “lo” já existem no arquivo, não duplique, apenas ajuste/adicione o bloco da sua interface):

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback

auto ens18
iface ens18 inet static
    address 255.9.0.2/28
    gateway 255.9.0.1

iface ens18 inet6 static
    address 2559:ffff:cafe::2/64
    gateway 2559:ffff:cafe::1  

Obs: substitua os IPs pelos endereços do seu bloco. Estou usando 255.9.0.2/28 e 2559:ffff:cafe::2/64 apenas como exemplo.

Obs 2: em servidor use “auto” em vez de “allow-hotplug”. O allow-hotplug só levanta a interface por evento de hotplug e pode deixar seu servidor sem rede no boot em algumas situações; o auto garante que a interface suba junto com o sistema.

Aplique a configuração:

# systemctl restart networking

ATENÇÃO: se você está acessando o servidor via SSH e errar algo aqui, vai perder o acesso. Se possível faça essa etapa pelo console (físico ou da VM).
Mas recomendo que você reinicie o servidor.

# reboot 

Acesse novamente o servidor pelo endereço de IP.
Valide se os IPs subiram e se há conectividade:

# ip -br address
# ip -c address
# ping -c3 8.8.8.8
# ping -c3 2001:4860:4860::8888

Instalação do Bind9

Instalação dos pacotes:

# apt install bind9 bind9-utils bind9-dnsutils

Obs: no Debian 13 o serviço agora se chama “named” (o nome “bind9” ainda funciona como atalho, mas nos comandos vou usar named que é o nome oficial).

Arquitetura de arquivos e diretórios do bind9 no Debian 13:

Estrutura de arquivos do BIND

Os principais arquivos do BIND ficam distribuídos nos seguintes diretórios:

/etc/bind/

Diretório principal de configuração do BIND.

• named.conf: arquivo principal, responsável por incluir os demais arquivos de configuração.
• named.conf.local: usado para declarar zonas locais, autoritativas ou configurações específicas do servidor.
• named.conf.options: contém opções globais, como recursão, encaminhadores, interfaces e controles de acesso.
• named.conf.root-hints: referência aos servidores raiz do DNS.
• rndc.key: chave utilizada para comunicação segura entre o comando rndc e o serviço named.

/usr/share/dns/

Contém arquivos de referência relacionados à raiz do DNS.

• root.hints: lista dos servidores raiz do DNS.
• root.key: chave de confiança utilizada na validação DNSSEC.
• root.ds: registro DS da zona raiz utilizado como referência para DNSSEC.

/var/cache/bind/

Diretório de trabalho do BIND.
Nele ficam arquivos gerados ou atualizados pelo próprio serviço, como zonas dinâmicas, journals e chaves gerenciadas pelo DNSSEC.

• managed-keys.bind: armazena chaves DNSSEC gerenciadas automaticamente pelo BIND.
• managed-keys.bind.jnl: arquivo de journal utilizado para registrar alterações dessas chaves.

/run/named/

Contém arquivos temporários criados enquanto o serviço está em execução.

• named.pid: armazena o PID do processo named.
• session.key: chave temporária utilizada em operações de atualização dinâmica local.

Configuração do Recursivo

Alteramos o DNS do servidor fazendo com que ele consulte em si próprio, através dos IPs de loopback. Essa alteração deve ser feita no arquivo /etc/resolv.conf.

# echo "nameserver 127.0.0.1" > /etc/resolv.conf
# echo "nameserver ::1" >> /etc/resolv.conf

Neste ponto, o servidor já deve estar resolvendo nomes localmente. Agora utilize a ferramenta dig para realizar alguns testes:

# dig @localhost google.com.br A
# dig @localhost google.com.br AAAA
# dig @localhost google.com.br A +trace

Agora vamos ajustar o BIND para funcionar como servidor DNS recursivo, permitindo consultas somente das redes autorizadas.

# vim /etc/bind/named.conf.options

acl autorizados {
        127.0.0.1;
        ::1;
        10.0.0.0/8;
        172.16.0.0/12;
        192.168.0.0/16;
        100.64.0.0/10;
        fc00::/7;
        fe80::/10;

        // Prefixos da sua rede
        255.9.0.0/22;
        2559:ffff::/32;
};

options {
        directory "/var/cache/bind";

        dnssec-validation auto;

        listen-on { any; };
        listen-on-v6 { any; };

        minimal-responses yes;

        max-ncache-ttl 300;
        min-cache-ttl 90;

        allow-recursion { autorizados; };
        allow-query-cache { autorizados; };
        allow-query { autorizados; };

        version "RR DNS Server - Do good";
};

Atenção: substitua 255.9.0.0/22 e 2559:ffff::/32 pelos prefixos IPv4 e IPv6 da sua rede.

Entendendo as opções

acl autorizados
Lista os endereços que podem utilizar o servidor recursivo. Inclui localhost, redes privadas, CGNAT, IPv6 interno e os prefixos da sua rede. Clientes fora dessa lista recebem REFUSED.

directory “/var/cache/bind”;
Define o diretório de trabalho do BIND.

dnssec-validation auto;
Ativa a validação DNSSEC para verificar a autenticidade das respostas.

listen-on / listen-on-v6
Define em quais endereços IPv4 e IPv6 o BIND escutará. O valor any significa todos os endereços do servidor.

minimal-responses yes;
Reduz o tamanho das respostas, enviando somente as informações necessárias.

max-ncache-ttl 300;
Mantém respostas negativas, como NXDOMAIN, no cache por no máximo 5 minutos.

min-cache-ttl 90;
Mantém respostas positivas no cache por pelo menos 90 segundos, mesmo quando o domínio informa um TTL menor.

allow-recursion
Define quem pode realizar consultas recursivas.

allow-query-cache
Define quem pode receber respostas armazenadas no cache.

allow-query
Define quem pode consultar o servidor. Como este servidor é somente recursivo, restringimos o acesso à ACL.

version “RR DNS Server – Do good”;
Oculta a versão real do BIND em consultas simples. Não substitui atualizações e boas práticas de segurança.

Opções adicionais

max-cache-ttl
Define o tempo máximo das respostas positivas no cache. O padrão é 7 dias.

max-cache-ttl 86400;
O exemplo acima limita o cache a 24 horas.

max-cache-size
Define quanto de memória o cache pode utilizar.

max-cache-size 2G;
Limita a 2 GB a memória RAM que o BIND pode usar para armazenar respostas DNS em cache.

Validando a configuração

# named-checkconf

Se nenhum erro for exibido:

# systemctl restart named
# systemctl status named --no-pager

Refaça os testes para ver se ainda está resolvendo nomes:

# dig @localhost google.com A

Algumas coisas que você precisa saber, da saída dig:

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> @localhost google.com A
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42819
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 9afef403caa37261010000006a5680455e2f7c3f211ca5b7 (good)
;; QUESTION SECTION:
;google.com.			IN	A

;; ANSWER SECTION:
google.com.		31	IN	A	172.217.29.206

;; Query time: 0 msec
;; SERVER: ::1#53(localhost) (UDP)
;; WHEN: Tue Jul 14 15:30:29 -03 2026
;; MSG SIZE  rcvd: 83

HEADER: Ela contém diversas informações a respeito da consulta.

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49083
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 9

- status indica o tratamento de erro nas consultas, sendo eles:
-- NOERROR: Nenhum erro encontrado, ou seja, sucesso.
-- SERVFAIL: Houve algum problema com o servidor, que não conseguiu processar a query.
-- NXDOMAIN: Significa que o domínio pesquisado não existe.
-- REFUSED: O servidor rejeitou a solicitação.
-flags: indicador das opções de recursividade e de autoridade, em resumo este conjunto de “letrinhas” (aa, rd, ra, etc), indica o estado ligado/desligado RFC1035
-- qr: se a mensagem é uma query (0) ou uma resposta (1). Como estamos avaliando somente as respostas, este bit sempre estará ligado (consequentemente, sempre veremos a string “qr” no campo “flags“).
-- aa: que o servidor que respondeu à solicitação é autoritativo do domínio.
-- rd: indica que o cliente solicitou recursão ao servidor DNS.
-- ra: que o servidor que respondeu à requisição suporta consultas recursivas.
-- tc: que a mensagem de resposta está truncada.
-- z: reservado para uso futuro.
- contadores: na mesma linha das flags, encontramos quantos registros foram retornados em cada seção.

QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 9

QUESTION
Replica a query que foi enviada para consulta, quando o tipo não é informado, o dig utiliza o registro A por padrão.

;; QUESTION SECTION:
;google.com.br.                 IN      A

Outros exemplos:

# dig @localhost google.com.br AAAA
# dig @localhost google.com.br MX
# dig @localhost google.com.br NS
# dig @localhost google.com.br TXT
# dig @localhost google.com.br ANY

ANSWER
Contém a resposta para a consulta que foi enviada.

;; ANSWER SECTION:
google.com.br.          86400   IN      CAA     0 issue "pki.goog"
google.com.br.          60      IN      SOA     ns1.google.com. dns-admin.google.com. 405356128 900 900 1800 60
google.com.br.          300     IN      AAAA    2800:3f0:4001:819::2003
google.com.br.          300     IN      A       172.217.173.67
google.com.br.          300     IN      MX      0 smtp.google.com.
google.com.br.          300     IN      TXT     "v=spf1 -all"
google.com.br.          2774    IN      NS      ns4.google.com.
google.com.br.          2774    IN      NS      ns2.google.com.
google.com.br.          2774    IN      NS      ns1.google.com.
google.com.br.          2774    IN      NS      ns3.google.com.

AUTHORITY
Servidores que respondem com “autoridade” pelo domínio (os NS)

;; AUTHORITY SECTION:
google.com.br.          3599    IN      NS      ns1.google.com.
google.com.br.          3599    IN      NS      ns4.google.com.
google.com.br.          3599    IN      NS      ns3.google.com.
google.com.br.          3599    IN      NS      ns2.google.com.

ADDITIONAL
Informações auxiliares ou adicionais à pesquisa, no exemplo IPs dos servidores DNS

;; ADDITIONAL SECTION:
ns1.google.com.         172800  IN      AAAA    2001:4860:4802:32::a
ns2.google.com.         172800  IN      AAAA    2001:4860:4802:34::a
ns3.google.com.         172800  IN      AAAA    2001:4860:4802:36::a
ns4.google.com.         172800  IN      AAAA    2001:4860:4802:38::a
ns1.google.com.         172800  IN      A       216.239.32.10
ns2.google.com.         172800  IN      A       216.239.34.10
ns3.google.com.         172800  IN      A       216.239.36.10
ns4.google.com.         172800  IN      A       216.239.38.10

Na última parte da saída encontramos mais quatro informações:

;; Query time: 10 msec
;; SERVER: ::1#53(localhost) (UDP)
;; WHEN: Tue Jul 14 15:30:29 -03 2026
;; MSG SIZE  rcvd: 83

- QUERY TIME: informa quanto tempo a consulta levou. Um resultado de 0 ms significa que ela foi concluída em menos de 1 ms, geralmente por ter sido respondida localmente ou pelo cache.
- SERVER: Qual servidor ele realizou a consulta
- WHEN: data e hora em que a consulta foi realizada. O horário exibido é o do próprio servidor, e o valor -03 indica o fuso horário (UTC-3, horário de Brasília).
- MSG SIZE: tamanho do pacote

Leitura recomendada: https://bind9.readthedocs.io/en/stable/reference.html

Comandos do dia a dia

Para verificar se seu arquivo tem algum erro use o comando named-checkconf (se não retornar nada, está tudo certo):

# named-checkconf /etc/bind/named.conf
# named-checkconf /etc/bind/named.conf.options

Imprime todas as configurações (bem útil para mandar suas conf quando estiver com algum problema lá no grupo do Telegram):

# named-checkconf -p

Reinicie o serviço para que as novas configurações sejam carregadas, e verifique se o mesmo subiu sem erros:

# systemctl restart named
# systemctl status named

Atualização dos Root Servers

Não é comum servidores raiz terem alteração, mas pode acontecer, como em 2023. Então caso um dia precise atualizá-los, faça isso:

# mv /usr/share/dns/root.hints /usr/share/dns/root.hints.`date +%Y%m%d`
# wget https://www.internic.net/domain/named.root -O /usr/share/dns/root.hints

Para visualizar a diferença entre os arquivos:

# diff /usr/share/dns/root.hints.`date +%Y%m%d` /usr/share/dns/root.hints

Desativar IPv6 do bind

Se por algum motivo precisar desabilitar, faça:

# vim /etc/default/named

Altere OPTIONS="-u bind" para:

OPTIONS="-4 -u bind"

# vim /etc/bind/named.conf.options

Altere listen-on-v6 { any; }; para:

listen-on-v6 { none; };

Reinicie o serviço:

# systemctl restart named

Configurando encaminhadores DNS (forwarders)

Em alguns casos você pode estar com problema em relação aos servidores raiz, e então querer configurar forwarders.
Com essa configuração, o BIND não consulta diretamente os servidores raiz: ele encaminha todas as consultas para os servidores DNS definidos em forwarders e mantém as respostas no cache local.

# vim /etc/bind/named.conf.options

Adicione dentro do bloco options { ... };:

...
recursion yes;
forward only;
forwarders {
        // Cloudflare
        1.1.1.1;
        1.0.0.1;
        2606:4700:4700::1111;
        2606:4700:4700::1001;

        // Google
        8.8.8.8;
        8.8.4.4;
        2001:4860:4860::8888;
        2001:4860:4860::8844;
};
...

recursion yes; habilita a resolução recursiva, permitindo que o BIND busque a resposta completa em nome do cliente.
forward only, caso todos os encaminhadores falhem, o BIND não tentará resolver a consulta diretamente pelos servidores raiz.

Protegendo o servidor

Seu DNS recursivo já está configurado. Como este servidor será utilizado apenas para esse serviço, vamos aplicar regras no nftables para restringir o acesso às portas expostas, principalmente à porta 53.

# vim /etc/nftables.conf

Na seção elements, substitua os endereços de exemplo pelos IPs e prefixos que terão permissão de acesso. O modelo também inclui regras de proteção para o SSH e para o agente do Zabbix.

#!/usr/sbin/nft -f

flush ruleset

# Portas acessíveis somente pelas redes do NOC 22 SSH / 10050 Zabbix
define PORTAS_RESTRITAS_TCP = { 22, 10050 }

# Porta do serviço DNS
define PORTA_DNS = 53

table inet filter {

    # Redes do NOC: acesso administrativo, ping e DNS
    set REDE_NOC4 {
        type ipv4_addr;
        flags interval;
        elements = { 192.168.0.0/24, 255.9.0.0/26 };
    }

    set REDE_NOC6 {
        type ipv6_addr;
        flags interval;
        elements = { 2559:ffff:f0da::/48 };
    }

    # Redes autorizadas a utilizar o DNS
    set REDE_CLIENTES4 {
        type ipv4_addr;
        flags interval;
        elements = {
            10.0.0.0/8,
            172.16.0.0/12,
            192.168.0.0/16,
            100.64.0.0/10,
            255.9.0.0/22
        };
    }

    set REDE_CLIENTES6 {
        type ipv6_addr;
        flags interval;
        elements = {
            fc00::/7,
            fe80::/10,
            2559:ffff::/32
        };
    }

    chain input {
        type filter hook input priority 0;
        policy drop;

        # Descarta pacotes inválidos
        ct state invalid counter drop

        # Permite conexões já estabelecidas ou relacionadas
        ct state established,related counter accept

        # Permite a comunicação interna do próprio servidor
        iifname "lo" counter accept

        # ICMPv4 necessário para erros e PMTU
        meta l4proto icmp icmp type {
            destination-unreachable,
            time-exceeded,
            parameter-problem
        } counter accept

        # Ping IPv4 somente pelas redes do NOC e CLIENTES
        ip saddr @REDE_NOC4 meta l4proto icmp icmp type echo-request counter accept
        ip saddr @REDE_CLIENTES4 meta l4proto icmp icmp type echo-request counter accept

        # ICMPv6 essencial para NDP, RA, PMTU e erros IPv6
        meta l4proto ipv6-icmp icmpv6 type {
            destination-unreachable,
            packet-too-big,
            time-exceeded,
            parameter-problem,
            echo-reply,
            nd-router-solicit,
            nd-router-advert,
            nd-neighbor-solicit,
            nd-neighbor-advert
        } counter accept

        # Ping IPv6 somente pelas redes do NOC e CLIENTES
        ip6 saddr @REDE_NOC6 meta l4proto ipv6-icmp icmpv6 type echo-request counter accept
        ip6 saddr @REDE_CLIENTES6 meta l4proto ipv6-icmp icmpv6 type echo-request counter accept

        # SSH e Zabbix Agent somente pelas redes do NOC
        ip saddr @REDE_NOC4 tcp dport $PORTAS_RESTRITAS_TCP counter accept
        ip6 saddr @REDE_NOC6 tcp dport $PORTAS_RESTRITAS_TCP counter accept

        # DNS TCP e UDP somente para as redes autorizadas
        ip saddr @REDE_CLIENTES4 meta l4proto { tcp, udp } th dport $PORTA_DNS counter accept
        ip6 saddr @REDE_CLIENTES6 meta l4proto { tcp, udp } th dport $PORTA_DNS counter accept
    }

    chain forward {
        type filter hook forward priority 0;
        policy drop;
    }

    chain output {
        type filter hook output priority 0;
        policy accept;
    }
}

Teste:

# nft -c -f /etc/nftables.conf

Se nenhum erro for exibido, reinicie o serviço para aplicar as regras.

Ative o nftables para iniciar automaticamente junto com o sistema e reinicie o serviço para aplicar as regras:

# systemctl enable nftables
# systemctl restart nftables

Atenção: antes de reiniciar o firewall, tenha acesso ao console do servidor. Se perder o acesso, alguma regra foi configurada incorretamente.

Para verificar se as regras foram carregadas corretamente, execute:

# nft list ruleset

O post Servidor DNS #1 – Recursivo com BIND 9.20 no Debian 13 (Trixie) apareceu primeiro em Remontti.