[Memo2021][ITPASS]bindのインストールと設定
[[ITPASS2020]2020年度サーバ構築マニュアル へ戻る]
以下の記述において "OLD" は運用中のサーバ (現 ika) を表し, "NEW" は構築中のサーバ (現 tako) を表す.
既にインストールされている Bind 関係のパッケージの削除
下のように bind 関係パッケージの名前を確認する.
# apt search bind9 | grep bind9 WARNING: apt does not have a stable CLI interface. Use with caution in scripts. bind9/stable 1:9.16.15-1 amd64 bind9-dev/stable 1:9.16.15-1 amd64 bind9-dnsutils/stable,now 1:9.16.15-1 amd64 [インストール済み] bind9-doc/stable 1:9.16.15-1 all bind9-dyndb-ldap/stable 11.6-3 amd64 bind9-host/stable,now 1:9.16.15-1 amd64 [インストール済み] bind9-libs/stable,now 1:9.16.15-1 amd64 [インストール済み、自動] bind9-utils/stable 1:9.16.15-1 amd64 bind9utils/stable 1:9.16.15-1 all Transitional package for bind9-utils Plug-in for bind9 that uses LDAP data to fulfill ENUM requests bind9-dnsutils への移行用パッケージ bind9 向け GTK+ 版設定ツール bind9 向け GTK+ 版設定ツール (デバッグ) libbind9-161/stable 1:9.11.19+dfsg-2.1 amd64
これらのパッケージが実際にインストールされているかどうかを確認する.
# dpkg -l bind9 bind9-doc bind9-dyndb-ldap bind9-host bind9utils libbind9-161 dpkg-query: bind9 に一致するパッケージが見つかりません dpkg-query: bind9-doc に一致するパッケージが見つかりません dpkg-query: bind9-dyndb-ldap に一致するパッケージが見つかりません dpkg-query: bind9utils に一致するパッケージが見つかりません dpkg-query: libbind9-161 に一致するパッケージが見つかりません 要望=(U)不明/(I)インストール/(R)削除/(P)完全削除/(H)保持 | 状態=(N)無/(I)インストール済/(C)設定/(U)展開/(F)設定失敗/(H)半インストール/(W> |/ エラー?=(空欄)無/(R)要再インストール (状態,エラーの大文字=異常) ||/ 名前 バージョン アーキテクチ 説明 +++-==============-============-============- ================================= ii bind9-host 1:9.16.15-1 amd64 DNS Lookup Utility
左端に ii と表示されればインストールされている.
インストールされている場合には, それらを削除する.
# apt remove [不要なパッケージ]
例えば bind9-host を削除するには下のようにする.
# apt remove bind9-host libnss-mdns:amd64 (0.14.1-2) を削除しています ... gnome (1:3.38+3) を削除しています ... bind9-dnsutils (1:9.16.15-1) を削除しています ... task-gnome-desktop (3.68) を削除しています ... ipp-usb (0.9.17-3+b4) を削除しています ... gnome-core (1:3.38+3) を削除しています ... gnome-user-share (3.34.0-2) を削除しています ... libapache2-mod-dnssd (0.6-3.2) を削除しています ... avahi-daemon (0.8-5) を削除しています ... Created symlink /run/systemd/system/avahi-daemon.service → /dev/null. Removed /run/systemd/system/avahi-daemon.service. bind9-host (1:9.16.15-1) を削除しています ... gnome-menus (3.36.0-1) のトリガを処理しています ... libglib2.0-0:amd64 (2.66.8-1) のトリガを処理しています ... libc-bin (2.31-13) のトリガを処理しています ... man-db (2.9.4-2) のトリガを処理しています ... dbus (1.12.20-2) のトリガを処理しています ... mailcap (3.69) のトリガを処理しています ... desktop-file-utils (0.26-1) のトリガを処理しています ...
2021 年度のサーバ再構築では, 依存関係によって gnome がアンインストールされてしまった. しかし, xeyes が動作するようなのでここでは良いことにした.
ビルドとインストール
- 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを
取得し, ビルドする.
- 2021 年度サーバ再構築時には最新のバージョン (9.16.21) を取得した.
- 以下のバージョン番号は適宜最新のものに読み替えること
インストール先は /usr/local/bind とする.
# cd /usr/local/src # wget https://downloads.isc.org/isc/bind9/9.16.21/bind-9.16.21.tar.xz # tar xvf bind-9.16.21.tar.xz # cd bind-9.16.21 # mkdir /usr/local/bind # ./configure --prefix=/usr/local/bind # make
- 配布サイトからアーカイブを取得できない場合は, OLD からソースをコピーしてビルドする
- ビルドの際に OpenSSL についての警告が出た場合は以下を参照すること
- OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
- Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して
バージョンの確認を無効にする
- 具体的に修正された脆弱性一覧は <URL:http://www.debian.org/security/> にある
openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる
# ./configure --prefix=/usr/local/bind --disable-openssl-version-check # make
インストール
Bind をインストールする.
# make install
make コマンドが見つからない場合にはインストールする.
# apt install make
- 再度, 上記コマンドを実行した後, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出るかもしれない. そのときには, libssl-dev をインストールし, 再度, 上記コマンドを実行する.
- 再度, ' ./configure --prefix=/usr/local/bind ' を実行した後, 以下のようなエラーメッセージが出た場合, それに応じたコンパイラやライブラリをインストールする
C 言語のコンパイラ
configure: error: in `/usr/local/src/bind-9.16.21': configure: error: no acceptable C compiler found in $PATH # apt install gcc
Pyhton 及び python-ply
configure: error: Python >= 2.7 or >= 3.2 and the PLY package are required for dnssec-keymgr and other Python-based tools. PLY may be available from your OS package manager as python-ply or python3-ply; it can also be installed via pip. To build without Python/PLY, use --without-python. # apt install python # apt install python-ply
libuv
configure: error: libuv not found # apt install libuv1-dev
libssl
configure: error: in `/usr/local/src/bind-9.16.21': configure: error: OpenSSL/LibreSSL not found See `config.log' for more details # apt install libssl-dev
libcap
configure: error: sys/capability.h header is required for Linux capabilities support. Either install libcap or use --disable-linux-caps. # apt install libcap-dev
実行ファイルへのパスの設定
インストールされた Bind の実行ファイル群へパスを通す． [ITPASS2020]パスの設定を参考にして各設定ファイルに以下の様に追記する.
sh, bash
/etc/bash.bashrc の末尾に以下を追記する.
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
csh, tcsh
/etc/csh.cshrc の末尾に以下を追記する.
# add PATH for local installed softwares set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin) # add PATH for local installed softwares (for root) if ( "`id -u`" == 0 ) then set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin) endif
zsh
/etc/zsh/zshenv の末尾に以下を追記する.
# add PATH for local installed softwares export PATH="$PATH:/usr/local/bind/bin" # add PATH for local installed softwares (for root) if [ "`id -u`" -eq 0 ]; then export PATH="$PATH:/usr/local/bind/sbin" fi
マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2018]パスの設定 の 「man 関連のパスの設定」を参照.
/etc/manpath.config に末尾に以下の行を追記する.
MANDATORY_MANPATH /usr/local/bind/man MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man MANDB_MAP /usr/local/bind/man /usr/local/bind/man
ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成
bind ユーザを作成する. なお, 下に示すのは 2020 年サーバ再構築時の情報である. /etc/passwd，/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.
# export EDITOR=vi
vipw を実行して以下の行を追加する.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加する.
bind:!:13749:0:99999:7:::
- 同様に bind グループを追加する.
vigr を実行して以下の行を追加する.
bind:x:153:
vigr -s を実行して以下の行を追加する.
bind:*::
pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.
# chown bind:bind /usr/local/bind/var/run/
ディレクトリが存在しない場合作成する.
# cd /usr/local/bind # mkdir var # cd var # mkdir run
各設定ファイルの編集
named.conf
OLD の /usr/local/bind/etc/namedb/named.conf を NEW の /usr/local/bind/etc/namedb/ にコピーした.
- ただし NEW に namedb というディレクトリが無いならば, namedb を作成する.
# cd /usr/local/bind/etc # mkdir namedb
ファイルが下の内容であることを確認する.
acl my-network { 133.30.109.0/25; 10.35.19.0/24; 127.0.0.1; }; options { dump-file "/usr/local/bind/etc/cache_dump.db"; directory "/usr/local/bind/etc/namedb"; pid-file "/usr/local/bind/var/run/named.pid"; recursion yes; allow-query { "my-network"; }; }; zone "." { type hint; file "named.root"; }; zone "localhost" { type master; file "localhost.zone"; }; zone "0.0.127.in-addr.arpa" { type master; file "localhost.rev"; }; controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; }; logging { channel "default-log" { file "/var/log/named/default.log" versions 5 size 10M; severity info; print-time yes; print-severity yes; print-category yes; }; category default { "default-log"; }; }; include "/usr/local/bind/etc/rndc.key";
localhost.zone
- OLD の /usr/local/bind/etc/namedb/localhost.zone を NEW の /usr/local/bind/etc/namedb/ にコピーする.
- ファイル内の "OLD" (=ika) という記述を "NEW" (=tako) に変更する．
- Serial には作業当日の日付と更新回数 (2 桁) を記述する.
- 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp. (
2021101100 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
localhost.rev
- OLD の /usr/local/bind/etc/namedb/localhost.rev を NEW の /usr/local/bind/etc/namedb/ にコピーする.
- ファイル内の "OLD" (=ika) という記述を "NEW" (=tako) に変更する．
- Serial には作業当日の日付と更新回数 (2 桁) を記述する.
- 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp. (
2021101100 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
named.root
- 最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存する.
- 上記の URL が見つからない場合は http://www.internic.net/domain/ から name.root を取得する.
# wget ftp://rs.internic.net/domain/named.root
rndc の設定
rndc コマンドは, named の再起動, config ファイルの読み直しなどを行うコマンドである. rndc コマンドは, named への不正なアクセスを防ぐために秘密鍵を用いたアクセスを行うため, 設定が必要である.
- rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
- rndc.conf の中身は下記の通り.
- なお, 下の key の secret の項目は実際の値ではないことに注意すること. (その値は秘密鍵であり, ここに記してはいけない. ログにも記してはいけない.)
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-sha256;
secret "hogehoge";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-sha256;
# secret "hogehoge";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
- secret "hogehoge"; は認証に用いる共通鍵(パスワード)を表す. ここに挙げているのは例であって, 実際の設定とは異なる.
- 念のため, rndc.conf のコメントアウトされている箇所を削除する.
生成した rndc-key の鍵の key ステートメントをコピーし, rndc.key (ファイル) に記述する.
# cp rndc.conf rndc.key
で全体をコピーしその後必要な箇所(key ステートメント) のみを残した．
- rndc.key の絶対パスは /usr/local/bind/etc/rndc.key である.
- rndc.key ファイルがなければ作成する.
- rndc.key ファイルの中身は以下の通り.
key "rndc-key" {
algorithm hmac-sha256;
secret "hogehoge";
};
rndc.key の所有者を bind:bind に変更する.
# chown bind:bind /usr/local/bind/etc/rndc.key
rndc.key のパーミッションを 400 とした.
# chmod 400 /usr/local/bind/etc/rndc.key
編集したファイルのパーミッション設定
本来, bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とする.
# cd /usr/local/bind/etc # chgrp -R staff .
所有者やパーミッションは以下のように設定する.
# chmod 640 rndc.conf # chown bind namedb/named.conf # chmod 640 namedb/named.conf
起動テスト
以下のコマンドを実行し, bind の起動テストを行う.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
ps aux コマンドで走っていることを確認する.
# ps aux | grep bind
このコマンドにより, 下のような行が表示されれば, bind が動作していることを示している.
bind 16558 0.0 0.1 318676 27204 ? Ssl 16:09 0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
さらに, /var/log/syslog を見て, 起動したことを確認する.
以下で始まる行を確認する.
Oct 14 22:18:29 tako-itpass named[17048]:
例えば, 起動に失敗すると下のように表示される.
Oct 14 22:18:29 tako-itpass named[17048]: loading configuration from '/usr/local/bind/etc/namedb/named.conf' Oct 14 22:18:29 tako-itpass named[17048]: directory '/usr/local/bind/etc/namedb' is not writable Oct 14 22:18:29 tako-itpass named[17048]: /usr/local/bind/etc/namedb/named.conf:9: parsing failed: permission denied Oct 14 22:18:29 tako-itpass named[17048]: loading configuration: permission denied Oct 14 22:18:29 tako-itpass named[17048]: exiting (due to fatal error)
- 2020 年度のサーバ再構築時に起動に失敗したときには下のようにして対処した.
- 2021 年度のサーバ再構築時も 2020 年度と同様の理由で起動が失敗したので同様に対処した.
/usr/local/bind/etc/namedb ディレクトリの所有者を bind に変更.
# chown bind /usr/local/bind/etc/namedb
さらに /var/log/named ディレクトリがなかったので, 作成.
# mkdir /var/log/named # chown bind:bind /var/log/named
- 再度, 起動テストを行い, 起動したことを確認した.
managed-keys-zone に関するエラーが出るかもしれない. その際には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．
# cd /usr/local/bind/etc/namedb # touch managed-keys.bind
rndc のテスト
以下のコマンドを実行する．
# cd /usr/local/bind/sbin # ./rndc reload
すると警告文が表示されたが
WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using default configuration file (/usr/local/bind/etc/rndc.conf) server reload successful
server reload succeseful とも表示されたので先に進んだ．
ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認する.
named.conf の確認
# cd /usr/local/bind/sbin # ./named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなければ正常である.
ゾーンの確認
# cd /usr/local/bind/etc/namedb # ../../sbin/named-checkzone localhost localhost.zone
以下のように表示され, 正常であることを確認する.
zone localhost/IN: loaded serial 2021101100 OK
ひとまず停止
ひとまず named を停止する.
ps aux で PID を調べて kill する.
例えば下のように,
ps aux で PID を調べて kill する.
# ps aux | grep bind bind 564781 0.0 0.4 737276 145352 ? Ssl 14:57 0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf root 570330 0.0 0.0 3180 664 pts/0 S+ 15:12 0:00 grep bind # kill 564781
フルサービスリゾルバへ変更
NEW をフルサービスリゾルバにするために, [ITPASS2020]OSのインストールで設定した DNS サーバを学術情報基盤センターから NEW 自身に変更する.
(注意) /etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされるため, /etc/resolv.conf ではなく /etc/network/interfaces を編集すること.
/etc/network/interfaces の dns-nameservers の項目を下のように書き換える.
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
名前解決できるかを確認する.
bind によって正しく名前解決されるか確認する.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
下のように表示された.
; <<>> DiG 9.16.21 <<>> @133.30.109.21 www.google.com ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11192 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 1232 ; COOKIE: bd0877b639d5883c0100000061678260d6ce545bdb6ba0d8 (good) ;; QUESTION SECTION: ;www.google.com. IN A ;; ANSWER SECTION: www.google.com. 300 IN A 142.250.76.132 ;; Query time: 779 msec ;; SERVER: 133.30.109.21#53(133.30.109.21) ;; WHEN: Thu Oct 14 10:05:36 JST 2021 ;; MSG SIZE rcvd: 87
ログを確認する.
# lv /var/log/named/default.log
- より詳しいログを出力するためには,/usr/local/bind/etc/namedb/named.conf 内の "info" を"debug" に変更すればよい(一度変えてみて, 確認してみるとよい).ただし, ログファイルのサイズを節約するために, "info" にする.
2018 年度, 2020 年度サーバ再構築時には,
以下のようなログが大量に残されていた. このようなログは IPv6 対応だが IPv6 で外部と通信出来ない時に良く出るらしい.
14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:503:d2d::30#53 14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:503:83eb::30#53 14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:501:b1f9::30#53
named の起動時に -4 オプションを付けると上記のメッセージは出なくなる. (IPv4 専用モードで起動するため.)
起動スクリプトの用意
- サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.
OLD の /etc/systemd/system/bind9.service をコピーして NEW の /etc/systemd/system/bind9.service とする.
bind9.service の中身は以下の通り. [Unit] Description=BIND Domain Name Server Documentation=man:named(8) After=network.target [Service] ExecStart=/usr/local/bind/sbin/named -4 -f -u bind -c /usr/local/bind/etc/namedb/named.conf ExecReload=/usr/local/bind/sbin/rndc reload ExecStop=/usr/local/bind/sbin/rndc stop [Install] WantedBy=multi-user.target
- named が立ち上がっていたら, 停止する.
- ps aux で PID を確認して kill する.
bind9.service の起動テストを行う.
# systemctl start bind9.service
bind9.service 起動の確認する.
# systemctl status bind9.service
bind の動作を確認.
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
システム起動時に自動的に bind が立ち上がるようにするために追加設定する.
# systemctl enable bind9.service
システム起動時に自動的に bind が立ち上がることを確認するために NEW を再起動する.
# reboot
- 再起動後に, systemctl での起動していることを確認する.
上の方法に基づいて名前解決できるかを改めて確認する.
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
最後の作業
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと NEW が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
システム起動時に自動的に bind が立ち上がらないようにする.
# systemctl disable bind9.service
なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.
# systemctl stop bind9.service
また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換える. 具体的には,
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
を
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21
に書き換える.
- 再起動する.
- named が動いていないことを確認する.
# systemctl status bind9.service
- 名前が引けることを確認する.
下のようにして応答が返ってくれば問題ない.
$ ping dennou-k.gfd-dennou.org
Keyword(s):
References:[[ITPASS2021]2021年度サーバ構築ログ]