IT pass HikiWiki - [ITPASS2009]bindのインストールと設定 Diff
- Added parts are displayed like this.
- Deleted parts are displayed
like this.
{{toc}}
[((<ITPASSサーバ構築ドキュメント>)) へ戻る]
= 作業前の準備
* DNS サーバの設定作業では, その時点で起動しているサーバ (2009年度であれば ika)の root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.
* また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.
= ビルドとインストール
$ sudo -s
# cd /usr/local/src
配布サイト ((<URL:https://www.isc.org/>))
からアーカイブを取得(最新の version をインストール).
※以下の version 番号は適宜読み替えること.
# wget http://ftp.isc.org/isc/bind9/9.6.1-P1/bind-9.6.1-P1.tar.gz
# tar zxfv bind-9.6.1-P1.tar.gz
# cd bind-9.6.1-P1
# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
OpenSSL についての警告が出た場合は以下を参照
* OpenSSL の version が古いと, セキュリティ脆弱性があると警告が出る
* Debian の場合は version 番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して version check を無視する.
* なお, 具体的に修正された脆弱性一覧は ((<URL:http://www.debian.org/security/>)) にある.
* openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる.
# ./configure --prefix=/usr/local/bind --disable-openssl-version-check
Bind をインストールする.
# make
# make install
インストールした Bind には host 等のコマンドも同梱されているため,
既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.
# apt-get remove bind9-host libbind9-0 dnsutils
= インストールした実行ファイルへのパスの設定
インストールした Bind の実行ファイル群へパスを通す.
((<[ITPASS2009]パスの設定>)) の((* <一般ユーザ用コマンドのパス> *))に ((*/usr/local/bind/bin*)) を, ((* <システム管理用コマンドのパス> *))に ((*/usr/local/bind/sbin*)) を追加する.
= インストールしたマニュアルへのパスの設定
/etc/manpath.config に以下の行を追加する.
詳しくは ((<[ITPASS2009]パスの設定#man 関連のパスの設定>)) を参照のこと.
# リンク先を確認
MANDATORY_MANPATH /usr/local/bind/man
MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man
MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man
MANDB_MAP /usr/local/bind/man /usr/local/bind/man
= ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成する.
vipw を実行して以下の行を追加.
bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加.
bind:!:13749:0:99999:7:::
同様に bind グループを追加する.
vigr を実行して以下の行を追加.
bind:x:53:
vigr -s を実行して以下の行を追加.
bind:*::
= pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.
# chown bind:bind /usr/local/bind/var/run/
= 各設定ファイルの編集
== named.conf
* old より /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピー.
* ファイルが以下の内容であることを確認する.
acl my-network {
133.30.109.0/25;
133.30.110.0/24;
127.0.0.1;
};
options {
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network" ; } ;
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
include "/usr/local/bind/etc/rndc.key";
== localhost.zone
* old より /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピー.
* ファイル内の "old-itpass" という記述を "new-itpass" に変更.
* ファイルの内容は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp. (
XXXXXXXXXX ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
* Serial には作業当日の日付と更新回数を書く. (e.g. 2009103001)
== localhost.rev
* old より /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.
* ファイルの内容は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp. (
XXXXXXXXX ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
== named.root
* 最新のものを((<URL:ftp://rs.internic.net/domain/named.root>))からダウンロードする.
* /usr/local/bind/etc/namedb/ 以下に named.root として格納する.
= 起動テスト
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
/var/log/syslog を見て, 起動したことを確認. ps -ax コマンドなどで走っていることを確認.
= ファイルフォーマットチェック
named.conf とゾーン, 各々の整合性を確認する.
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなければ OK.
root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone
を実行し,
zone localhost/IN: loaded serial XXXXXXXXXX
OK
と表示されると OK.
* XXXXXXXXXX には Serial に書いた数字が表示される.
= rndc の設定
rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.
* まず, rndc-confgenを実行することで, 必要な設定ファイルの「もと」を生成する.
root@new:/usr/local/bind/etc/namedb# rndc-confgen
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "SZN/mCIMkFJmFJ/98jlcMQ==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-md5;
# secret "SZN/mCIMkFJmFJ/98jlcMQ==";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.したがって, ここに挙げているのは例であって, 実際の設定とは異なる.
* rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
* rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.
* 念のため, rndc.conf のコメントアウトされている箇所を削除する.
* パーミッションの設定
* gate の設定ができていないので, グループは仮に staff としておく.
root@new:/usr/local/bind/etc# chgrp -R staff
root@new:/usr/local/bind/etc# chown bind rndc.key
root@new:/usr/local/bind/etc# chmod 600 rndc.key
root@new:/usr/local/bind/etc# chmod 640 rndc.conf
root@new:/usr/local/bind/etc# chown bind namedb/named.conf
root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
* パーミッションの変更(gate の設定後に作業すること)
root@new:/usr/local/bind/etc# chgrp -R itpadmin .
== rndc のテスト
以下のコマンドを実行する.
root@new:/usr/local/bind/etc# rndc reload
server reload successfulと表示されれば成功.
= 起動スクリプトの用意
サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.
* Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが ((<bind|URL:../epa/bind/bind>)) から入手できる. このファイルを new の /etc/init.d/bind にダウンロードする.
# cd /etc/init.d
# wget http://itpass.scitec.kobe-u.ac.jp/~itpass/epa/bind/bind
* 以下のように所有者とパーミッションを設定する.
# chown root:root /etc/init.d/bind
# chmod 755 /etc/init.d/bind
* 念のため, bind スクリプトの start, stop, restart の動作確認を行う.
# bind start
# bind stop
# bind restart
* ランレベルごとに bind の動作を設定する.
# update-rc.d bind defaults
Adding system startup for /etc/init.d/bind ...
/etc/rc0.d/K20bind -> ../init.d/bind
/etc/rc1.d/K20bind -> ../init.d/bind
/etc/rc6.d/K20bind -> ../init.d/bind
/etc/rc2.d/S20bind -> ../init.d/bind
/etc/rc3.d/S20bind -> ../init.d/bind
/etc/rc4.d/S20bind -> ../init.d/bind
/etc/rc5.d/S20bind -> ../init.d/bind
* さらに, new を再起動し, 起動時に bind が起動することを確認する.
# reboot
== サーバ停止
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代時まで停止する.
DNS サーバ (bind) を停止.
# /etc/init.d/bind stop
起動時に bind を起動しないようにする.
# update-rc.d -f bind remove
サーバを再起動し, bind が起動していないことを確認する.
= 参考文献
* ((<"＠IT：キャッシュ／逆引きDNSの構築と運用"|URL:http://www.atmarkit.co.jp/flinux/rensai/bind904/bind904a.html>))
* DNS の仕組み解説 (初学者向け)
* ((<3 Minutes Networking|URL:http://www5e.biglobe.ne.jp/~aji/3min/index.html>))
[((<ITPASSサーバ構築ドキュメント>)) へ戻る]
= 作業前の準備
* DNS サーバの設定作業では, その時点で起動しているサーバ (2009年度であれば ika)の root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.
* また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.
= ビルドとインストール
$ sudo -s
# cd /usr/local/src
配布サイト ((<URL:https://www.isc.org/>))
からアーカイブを取得(最新の version をインストール).
※以下の version 番号は適宜読み替えること.
# wget http://ftp.isc.org/isc/bind9/9.6.1-P1/bind-9.6.1-P1.tar.gz
# tar zxfv bind-9.6.1-P1.tar.gz
# cd bind-9.6.1-P1
# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
OpenSSL についての警告が出た場合は以下を参照
* OpenSSL の version が古いと, セキュリティ脆弱性があると警告が出る
* Debian の場合は version 番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して version check を無視する.
* なお, 具体的に修正された脆弱性一覧は ((<URL:http://www.debian.org/security/>)) にある.
* openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる.
# ./configure --prefix=/usr/local/bind --disable-openssl-version-check
Bind をインストールする.
# make
# make install
インストールした Bind には host 等のコマンドも同梱されているため,
既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.
# apt-get remove bind9-host libbind9-0 dnsutils
= インストールした実行ファイルへのパスの設定
インストールした Bind の実行ファイル群へパスを通す.
((<[ITPASS2009]パスの設定>)) の((* <一般ユーザ用コマンドのパス> *))に ((*/usr/local/bind/bin*)) を, ((* <システム管理用コマンドのパス> *))に ((*/usr/local/bind/sbin*)) を追加する.
= インストールしたマニュアルへのパスの設定
/etc/manpath.config に以下の行を追加する.
詳しくは ((<[ITPASS2009]パスの設定#man 関連のパスの設定>)) を参照のこと.
# リンク先を確認
MANDATORY_MANPATH /usr/local/bind/man
MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man
MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man
MANDB_MAP /usr/local/bind/man /usr/local/bind/man
= ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成する.
vipw を実行して以下の行を追加.
bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加.
bind:!:13749:0:99999:7:::
同様に bind グループを追加する.
vigr を実行して以下の行を追加.
bind:x:53:
vigr -s を実行して以下の行を追加.
bind:*::
= pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.
# chown bind:bind /usr/local/bind/var/run/
= 各設定ファイルの編集
== named.conf
* old より /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピー.
* ファイルが以下の内容であることを確認する.
acl my-network {
133.30.109.0/25;
133.30.110.0/24;
127.0.0.1;
};
options {
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network" ; } ;
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
include "/usr/local/bind/etc/rndc.key";
== localhost.zone
* old より /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピー.
* ファイル内の "old-itpass" という記述を "new-itpass" に変更.
* ファイルの内容は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp. (
XXXXXXXXXX ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
* Serial には作業当日の日付と更新回数を書く. (e.g. 2009103001)
== localhost.rev
* old より /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.
* ファイルの内容は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp. (
XXXXXXXXX ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
== named.root
* 最新のものを((<URL:ftp://rs.internic.net/domain/named.root>))からダウンロードする.
* /usr/local/bind/etc/namedb/ 以下に named.root として格納する.
= 起動テスト
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
/var/log/syslog を見て, 起動したことを確認. ps -ax コマンドなどで走っていることを確認.
= ファイルフォーマットチェック
named.conf とゾーン, 各々の整合性を確認する.
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなければ OK.
root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone
を実行し,
zone localhost/IN: loaded serial XXXXXXXXXX
OK
と表示されると OK.
* XXXXXXXXXX には Serial に書いた数字が表示される.
= rndc の設定
rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.
* まず, rndc-confgenを実行することで, 必要な設定ファイルの「もと」を生成する.
root@new:/usr/local/bind/etc/namedb# rndc-confgen
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "SZN/mCIMkFJmFJ/98jlcMQ==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-md5;
# secret "SZN/mCIMkFJmFJ/98jlcMQ==";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.したがって, ここに挙げているのは例であって, 実際の設定とは異なる.
* rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
* rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.
* 念のため, rndc.conf のコメントアウトされている箇所を削除する.
* パーミッションの設定
* gate の設定ができていないので, グループは仮に staff としておく.
root@new:/usr/local/bind/etc# chgrp -R staff
root@new:/usr/local/bind/etc# chown bind rndc.key
root@new:/usr/local/bind/etc# chmod 600 rndc.key
root@new:/usr/local/bind/etc# chmod 640 rndc.conf
root@new:/usr/local/bind/etc# chown bind namedb/named.conf
root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
* パーミッションの変更(gate の設定後に作業すること)
root@new:/usr/local/bind/etc# chgrp -R itpadmin .
== rndc のテスト
以下のコマンドを実行する.
root@new:/usr/local/bind/etc# rndc reload
server reload successfulと表示されれば成功.
= 起動スクリプトの用意
サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.
* Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが ((<bind|URL:../epa/bind/bind>)) から入手できる. このファイルを new の /etc/init.d/bind にダウンロードする.
# cd /etc/init.d
# wget http://itpass.scitec.kobe-u.ac.jp/~itpass/epa/bind/bind
* 以下のように所有者とパーミッションを設定する.
# chown root:root /etc/init.d/bind
# chmod 755 /etc/init.d/bind
* 念のため, bind スクリプトの start, stop, restart の動作確認を行う.
# bind start
# bind stop
# bind restart
* ランレベルごとに bind の動作を設定する.
# update-rc.d bind defaults
Adding system startup for /etc/init.d/bind ...
/etc/rc0.d/K20bind -> ../init.d/bind
/etc/rc1.d/K20bind -> ../init.d/bind
/etc/rc6.d/K20bind -> ../init.d/bind
/etc/rc2.d/S20bind -> ../init.d/bind
/etc/rc3.d/S20bind -> ../init.d/bind
/etc/rc4.d/S20bind -> ../init.d/bind
/etc/rc5.d/S20bind -> ../init.d/bind
* さらに, new を再起動し, 起動時に bind が起動することを確認する.
# reboot
== サーバ停止
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代時まで停止する.
DNS サーバ (bind) を停止.
# /etc/init.d/bind stop
起動時に bind を起動しないようにする.
# update-rc.d -f bind remove
サーバを再起動し, bind が起動していないことを確認する.
= 参考文献
* ((<"＠IT：キャッシュ／逆引きDNSの構築と運用"|URL:http://www.atmarkit.co.jp/flinux/rensai/bind904/bind904a.html>))
* DNS の仕組み解説 (初学者向け)
* ((<3 Minutes Networking|URL:http://www5e.biglobe.ne.jp/~aji/3min/index.html>))