[Memo2012][ITPASS]bindのインストールと設定
[ITPASSサーバ構築・運用ドキュメント へ戻る]
ビルドとインストール
配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドした
- 最新のバージョン bind-9.9.1-P3 を取得した
インストール先は /usr/local/bind とした
# cd /usr/local/src # wget http://ftp.isc.org/isc/bind9/9.9.1-P3/bind-9.9.1-P3.tar.gz # tar zxfv bind-9.9.1-P3.tar.gz # cd bind-9.9.1-P3 # mkdir /usr/local/bind # ./configure --prefix=/usr/local/bind
- configure した際に以下のようなエラーが出たため,
configure: error: in `/usr/local/src/bind-9.9.1-P3': configure: error: no acceptable C compiler found in $PATH * 以下のコマンドを実行した. # apt-get install build-essentials # apt-get install libssl-dev
次にBind をインストールした
# make # make install
インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils を削除した.
# apt-get remove bind9-host libbind9-0 dnsutils
後日脆弱性を修正したバージョンの BIND が公開されたので
bind-9.9.2を取得しなおした.
実行ファイルへのパスの設定
インストールされた Bind の実行ファイル群へパスを通す．/etc/bash.bashrc の冒頭に以下のように追加した.
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/sbin"
fi
export PATH
マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加した.
MANDATORY_MANPATH /usr/local/bind/man MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man MANDB_MAP /usr/local/bind/man /usr/local/bind/man
ユーザとグループ追加
- Bind の実行ユーザとして bind ユーザを作成した.
vipw を実行して以下の行を追加した.
bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加した.
bind:!:13749:0:99999:7:::
- 同様に bind グループを追加した.
vigr を実行して以下の行を追加した.
bind:x:53:
vigr -s を実行して以下の行を追加した.
bind:*::
pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
各設定ファイルの編集
named.conf
- old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーする. new に namedb というディレクトリがもともと無かったので作成した．
ファイルが以下の内容であることを確認した.
acl my-network { 133.30.110.0/24; 133.30.109.0/25; 127.0.0.1; }; options { dump-file "/usr/local/bind/etc/cache_dump.db"; directory "/usr/local/bind/etc/namedb"; pid-file "/usr/local/bind/var/run/named.pid"; recursion yes; allow-query { "my-network"; }; }; zone "." { type hint; file "named.root"; }; zone "localhost" { type master; file "localhost.zone"; }; zone "0.0.127.in-addr.arpa" { type master; file "localhost.rev"; }; controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; }; include "/usr/local/bind/etc/rndc.key";
localhost.zone
- old の /usr/local/bind/etc/namedb/localhost.zone をnew の /usr/local/bind/etc/namedb/ にコピー.
- ファイル内の "old" という記述を "new" に変更した．
- Serial には作業当日の日付と更新回数を書く.
書き換え後のファイルの中身は下記の通り.
$TTL 3600 @ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako- itpass.scitec.kobe-u.ac.jp. ( 20121008 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS tako-itpass.scitec.kobe-u.ac.jp. IN A 127.0.0.1
localhost.rev
- old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.
- ファイル内の "old" という記述を "new" に変更した．
- Serial には作業当日の日付と更新回数を書く.
書き換え後のファイルの中身は下記の通り.
$TTL 3600 @ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. ( 20121008 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS tako-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
named.root
- 最新のものを <URL:http://www.internic.net/domain//named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として 保存した.
rndc の設定
rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.
- rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.
実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
- これはとてつもなく時間がかかった.
rndc.conf の中身は下記の通り.
# Start of rndc.conf key "rndc-key" { algorithm hmac-md5; secret "5hJU6EFFedEFlLKWVWRkLA=="; }; options { default-key "rndc-key"; default-server 127.0.0.1; default-port 953; }; # End of rndc.conf # Use with the following in named.conf, adjusting the allow list as needed: # key "rndc-key" { # algorithm hmac-md5; # secret "5hJU6EFFedEFlLKWVWRkLA=="; # }; # # controls { # inet 127.0.0.1 port 953 # allow { 127.0.0.1; } keys { "rndc-key"; }; # }; # End of named.conf
- rndc.conf のコメントアウトされている箇所のうち, key で始まる 4 行を /usr/local/bind/etc/rndc.key として保存した.
- 念のため, rndc.conf のコメントアウトされている箇所を削除した.
編集したファイルのパーミッション設定
本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておく.
root@new:/usr/local/bind/etc# chgrp -R staff .
所有者やパーミッションは以下のように設定した
root@new:/usr/local/bind/etc# chown bind rndc.key root@new:/usr/local/bind/etc# chmod 600 rndc.key root@new:/usr/local/bind/etc# chmod 640 rndc.conf root@new:/usr/local/bind/etc# chown bind namedb/named.conf root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
rndc のテスト
以下のコマンドを実行する．
root@new:/usr/local/bind/etc# rndc reload
server reload successful と表示されれば成功だが,
WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using default configuration file (/usr/local/bind/etc/rndc.conf) rndc: connect failed: 127.0.0.1#953: connection refused
というエラーが出た.
named.conf の中に key 情報や option 情報を書き込んだり, include 文をコメントアウトしてみたが同じエラーが出た.
rndc.confのファイル名を変えてみると WARNING は消えたが 3 行目は消えなかった.
去年の作業ログを参考にrndc.key, rndc.confのインデントをスペースでなくタブに変更や再起動してみたが
エラーメッセージは消えず, エラーの原因がわからない.
後日 作業を最後まですると reload できた. BIND を立ち上げるのを先にする方がよいと思われる.
起動テスト
以下のコマンドを実行し, Bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
- /var/log/syslog を見て, 起動したことを確認した.
- ps -ax コマンドなどで走っていることを確認.
ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認.
name.conf の確認
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されず正常.
ゾーンの確認
root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone
以下のように表示されれば正常である．
zone localhost/IN: loaded serial XXXXXXXXXX OK
なお, XXXXXXXXXX には Serial に書いた数字が表示される. しかし
zone localhost/IN: loading from master file localhost.zone failed: file not found zone localhost/IN: not loaded due to errors.
というエラーが出たが原因は不明.
フルサービスリゾルバへ変更
new をフルサービスリゾルバにするために, [ITPASS2011a]OS のインストール で設定した DNS サーバを学術情報基盤センターから new 自身に変更する.
/etc/network/interfaces の dns-nameservers を以下のように書き換えた.
dns-nameservers 133.30.109.21
ネットワークを再起動した
# /etc/init.d/networking stop # /etc/init.d/networking start
/etc/resolv.conf が下記のような内容であることを確認.
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8) # DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN nameserver 133.30.109.21 search scitec.kobe-u.ac.jp
起動スクリプトの用意
サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, bind から入手できる. このファイルを /etc/init.d/bind として保存した.
# cd /etc/init.d # wget http://itpass.scitec.kobe-u.ac.jp/server/2011/bind/bind
所有者とパーミッションを以下のように設定した.
# chown root:root /etc/init.d/bind # chmod 755 /etc/init.d/bind
bind スクリプトの start, stop, restart の動作確認を行った.
# /etc/init.d/bind start # /etc/init.d/bind stop # /etc/init.d/bind restart
コマンドごとに ps ax で動作を確認した.
ランレベルごとに bind の動作を設定した. 実行するコマンドと出力内容は以下のようになる.
# update-rc.d bind defaults update-rc.d: using dependency based boot sequencing
警告が何も出なければ問題ない. 警告は出ず問題なし.
さらに, new を再起動してシステムの起動時に Bind が起動することを確認した.
# reboot
動作テスト
dig コマンド等を使って次の二点を確認した.
- 問い合わせの返答が返ってくるか
- 問い合わせ先が new 自身になっているか
コマンド例:
$ dig @133.30.109.21 www.google.com
bind のアップデート
今後 bind のバージョンが上がった場合（脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む）は [ITPASS2011a]bind のアップデート を参考に作業する．
参考文献
- ＠IT：キャッシュ／逆引きDNSの構築と運用
- DNS の仕組み解説 (初学者向け)
[ITPASSサーバ構築・運用ドキュメント へ戻る]
Keyword(s):
References:[[ITPASS2012]2012年度サーバ構築ログ]