IT pass HikiWiki - [Memo2017][ITPASS]bindのインストールと設定 Diff
- Added parts are displayed like this.
- Deleted parts are displayed
like this.
{{toc}}
[((<[ITPASS2017]2017年度サーバ構築ログ>)) へ戻る]
= ビルドとインストール
* 配布サイト ((<URL:https://www.isc.org/>)) からソースのアーカイブを
取得し, ビルド.
* 最新のバージョン (9.11.2) を取得.
# * 以下のバージョン番号は適宜最新のものに読み替えること
* インストール先は /usr/local/bind.
# cd /usr/local/src
# wget ftp://ftp.isc.org/isc/bind9/9.11.2/bind-9.11.2.tar.gz
# tar zxfv bind-9.11.2.tar.gz
# cd bind-9.11.2
# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
# * 配布サイトからアーカイブを取得できない場合は, old からソースをコピーしてビルド
#
# * ビルドの際に OpenSSL についての警告が出た場合は以下を参照
# * OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
# * Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して
# バージョンの確認を無効にする
# * 具体的に修正された脆弱性一覧は ((<URL:http://www.debian.org/security/>)) にある
# * openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる
#
# # ./configure --prefix=/usr/local/bind --disable-openssl-version-check
# make
* Bind をインストール
# make install
# * コマンドが見つからない場合, make をインストール.
# * 再度, 上記コマンドを実行した後, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出たら, libssl-dev をインストールし, 再度, 上記コマンドを実行.
* 既にインストールされている Bind 関係のパッケージを削除.
下のように関係パッケージを確認.
# apt-cache search bind9
表示された多数のパッケージから関係パッケージを抽出. ("bind9" という文字で検索すると良い)
* bind9
* bind9-doc
* bind9-host
* bind9utils
* libbind9-140
* bind9-dyndb-ldap
これらのパッケージが実際にインストールされているかどうかを確認.
# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap
この結果, bind9-host, libbind9-140 のみがインストールされていた.
# apt-get remove bind9-host libbind9-140
依存関係によって gnome がアンインストールされてしまった.
しかし, startx で GUI が使えるようなのでここでは良いことにする.
さらに, 提案されるように以下を行った.
# apt autoremove
= 実行ファイルへのパスの設定
#インストールされた Bind の実行ファイル群へパスを通す．
#((<[ITPASS2015]パスの設定>))を参考にして各設定ファイルに以下の様に追記する.
== sh, bash
/etc/bash.bashrc の末尾に
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
を追記.
== csh, tcsh
/etc/csh.cshrc の末尾に
# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif
を追記.
# * /etc/csh.cshrc がない場合は, csh をインストールする.
# * csh をインストールしても /etc/csh.cshrc がない場合は, これを新たに作成し, 追記する.
== zsh
/etc/zsh/zshenv の末尾に
# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
export PATH="$PATH:/usr/local/bind/sbin"
fi
を追記.
= マニュアルへのパスの設定
#/etc/manpath.config に以下の行を追加する. 詳しくは ((<[ITPASS2015]パスの設定>)) の 「man 関連のパスの設定」を参照.
/etc/manpath.config に以下の行を追加.
MANDATORY_MANPATH /usr/local/bind/man
MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man
MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man
MANDB_MAP /usr/local/bind/man /usr/local/bind/man
= ユーザとグループ追加
* Bind の実行ユーザとして bind ユーザを作成
# etc/passwd，/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.
# export EDITOR=vi
* vipw を実行して以下の行を追加.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
* vipw -s を実行して以下の行を追加.
bind:!:13749:0:99999:7:::
* 同様に bind グループを追加.
* vigr を実行して以下の行を追加.
bind:x:153:
* vigr -s を実行して以下の行を追加.
bind:*::
= pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
= 各設定ファイルの編集
== named.conf
* old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.
# ただし new に namedb というディレクトリがもともと無いなら, namadb を作成する.
new に namedb というディレクトリがないため, ディレクトリを作成.
# cd /usr/local/bind/etc
# mkdir namadb
#* ファイルが以下の内容であることを確認する.
* ファイルの内容はマニュアルとは異なり, 下のようであった.
* マニュアルにはない logging と key の項目があった.
* これらの項目は当面残しておくことにする.
acl my-network {
133.30.109.0/25;
127.0.0.1;
};
options {
dump-file "/usr/local/bind/etc/cache_dump.db";
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network"; };
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
logging {
channel "default-log" {
file "/var/log/named/default.log" versions 5 size 10M;
severity info;
print-time yes;
print-severity yes;
print-category yes;
};
category default { "default-log"; };
};
#include "/usr/local/bind/etc/rndc.key";
key "rndc-key" {
algorithm hmac-md5;
secret "Ye5uqqwpq1k8TH+ODuizwQ==";
};
なお, 上の key の secret の項目は本当の値ではない.
== localhost.zone
* old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーした.
* ファイル内の "old" という記述を "new" に変更した．
* 実際には "ika" を "tako" にした.
* Serial には作業当日の日付と更新回数 (2 桁) を書いた.
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2017102300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
== localhost.rev
* old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーした.
* ファイル内の "old" という記述を "new" に変更した．
* 実際には "ika" を "tako" にした.
* Serial には作業当日の日付と更新回数 (2 桁) を書いた.
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2016102300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
== named.root
* 最新のものを ((<URL:ftp://rs.internic.net/domain/named.root>)) からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した.
# 上記の URL が見つからない場合は http://www.internic.net/domain/ から name.root を取得する.
# wget ftp://rs.internic.net/domain/named.root
= rndc の設定
#rndc コマンドは, named の再起動, config ファイルの読み直しなどを行うコマンドである.
#rndc コマンドは, named への不正なアクセスを防ぐために秘密鍵を用いたアクセスを行うため, 設定が必要である.
* rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
* 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
* rndc.conf の中身は下記の通り.
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "IPd2IeZIe8TM2i5LaBW04g==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-md5;
# secret "IPd2IeZIe8TM2i5LaBW04g==";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
なお, 上の key の secret の項目は本当の値ではない.
# * secret "IPd2IeZIe8TM2i5LaBW04g=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.
* 念のため, rndc.conf のコメントアウトされている箇所を削除した.
#* 生成した rndc-key の鍵の中身を named.conf に貼り付ける.
* 生成した rndc-key の鍵の key ステートメントを named.conf のそれと置き換えた.
key "rndc-key" {
algorithm hmac-md5;
secret "Ye5uqqwpq1k8TH+ODuizwQ==";
};
を
key "rndc-key" {
algorithm hmac-md5;
secret "IPd2IeZIe8TM2i5LaBW04g==";
};
と置き換えた.
= 編集したファイルのパーミッション設定
* 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
# root@new:/usr/local/bind/etc# chgrp -R staff .
# chgrp -R staff .
* 所有者やパーミッションは以下のように設定した.
# root@new:/usr/local/bind/etc# chmod 640 rndc.conf
# chmod 640 rndc.conf
# root@new:/usr/local/bind/etc# chown bind namedb/named.conf
# root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
# chown bind namedb/named.conf
# chmod 640 namedb/named.conf
= 起動テスト
以下のコマンドを実行し, bind の起動テストを行った.
#以下で始まる行を確認
# Oct 23 16:58:13 tako-itpass named[16132]:
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
* /var/log/syslog を見て, 起動したことを確認
* /var/log/named ディレクトリがなかったので, 作成した.
# mkdir /var/log/named
# chown bind:bind /var/log/named
# * managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．
* ps aux コマンドで走っていることを確認した.
= rndc のテスト
以下のコマンドを実行した．
# root@new:/usr/local/bind/sbin# ./rndc reload
# ./rndc reload
#server reload successful と表示されれば OK.
server reload successful と表示されたので OK.
= ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
* name.conf の確認
# root@new:/usr/local/bind/sbin# named-checkconf /usr/local/bind/etc/namedb/named.conf
# ./named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されず, 正常であることを確認した.
* ゾーンの確認
# root@new:/usr/local/bind/etc/namedb# named-checkzone localhost localhost.zone
# cd /usr/local/bind/etc/namedb
# ../../sbin/named-checkzone localhost localhost.zone
以下のように表示され, 正常であることを確認した．
# zone localhost/IN: loaded serial XXXXXXXXXX
# OK
#
# なお, XXXXXXXXXX には Serial に書いた数字が表示される.
zone localhost/IN: loaded serial 2017102300
OK
* ひとまず停止
ひとまず named を停止した.
ps aux で PID を調べて kill した.
= フルサービスリゾルバへ変更
new をフルサービスリゾルバにするために, ((<[ITPASS2017]OSのインストール>))で設定した DNS サーバを学術情報基盤センターから new 自身に変更する.
#((*(注意)*))
#/etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされるため, /etc/resolv.conf ではなく #/etc/network/interfaces を編集すること, と 2014 年度のマニュアルには書かれていたが,
#
# /etc/network/interfaces の中を見ると,
#
# # This file describes the network interfaces available on your system
# # and how to activate them. For more information, see interfaces(5).
#
# source /etc/network/interfaces.d/*
#
# # The loopback network interface
# auto lo
# iface lo inet loopback
#
#となっており, dns-nameservers という項目がないかもしれない.
#
#
#* /etc/resolv.conf を確認したが,下記のような内容にはなっていないはずである.
#
# # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
# # DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
# nameserver 133.30.109.21
# search scitec.kobe-u.ac.jp
/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
ここでは, このまま bind の動作を確認して, 正しく名前解決されるか確認する.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
下のように表示されたので, 成功のようだ.
; <<>> DiG 9.11.2 <<>> @133.30.109.21 www.google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45815
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: c4ccda1c5f52ccece157ecdb59eda997a80203fda2249494 (good)
;; QUESTION SECTION:
;www.google.com. IN A
;; ANSWER SECTION:
www.google.com. 300 IN A 216.58.197.4
;; AUTHORITY SECTION:
google.com. 172800 IN NS ns4.google.com.
google.com. 172800 IN NS ns3.google.com.
google.com. 172800 IN NS ns1.google.com.
google.com. 172800 IN NS ns2.google.com.
;; Query time: 1161 msec
;; SERVER: 133.30.109.21#53(133.30.109.21)
;; WHEN: Mon Oct 23 17:34:31 JST 2017
;; MSG SIZE rcvd: 159
* ログを確認した.
# lv /var/log/named/default.log
# * より詳しいログを出力するためには,/usr/local/bind/etc/namedb/named.conf 内の "info" を"debug" に変更すればよい(一度変えてみて, 確認してみるとよい).ただし, ログファイルのサイズを節約するために, "info" にする.
= 起動スクリプトの用意
* サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
* old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とする.
bind9.service の中身は以下です.
[Unit]
Description=BIND Domain Name Server
Documentation=man:named(8)
After=network.target
[Service]
ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
ExecReload=/usr/local/bind/sbin/rndc reload
ExecStop=/usr/local/bind/sbin/rndc stop
[Install]
WantedBy=multi-user.target
* named が立ち上がっていたので, 停止した.
* ps aux で PID を確認して kill した.
* bind9.service の起動テストを行った.
# systemctl start bind9.service
* bind9.service 起動の確認をした.
# systemctl
より詳しくは
# systemctl status bind9.service
ここで, 下の warning が出ていることに気づいた.
10月 23 17:59:05 tako-itpass named[16529]: the working directory is not writable
さらに調べたところ, これは直さなくてよいとの記述あり.
((<URL:https://superuser.com/questions/1097407/named-the-working-directory-is-not-writable>))
今回はこのまま置いておくことにする.
# (なお, systemctl が文字化けする場合は,
#
# $ export PAGER=less
#
# によって 環境変数 PAGER を変更するとよい.)
* bind の動作の確認した
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
* システム起動時に自動的に bind が立ち上がるようにするために追加設定.
# systemctl enable bind9.service
* システム起動時に自動的に bind が立ち上がるか確認するために new を再起動.
* 再起動後に systemctl での確認と, 名前解決できるかの確認.
= 最後の作業
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
* インストールが終了したので, システム起動時に自動的に bind が立ち上がらないようにした.
# systemctl disable bind9.service
# * なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.
また, DNS サーバを止めたので,
/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21
* 再起動.
* named が動いていないことを確認.
* 名前が引けることを確認.
* 例えば下のようにして応答が返ってくれば良い.
$ ping dennou-k.gfd-dennou.org
= named.conf の変更
上の設定では, /usr/local/bind/etc/namedb/named.conf に rndc の key を
書いていたが, これを別ファイルにすることにする.
* /usr/local/bind/etc/namedb/named.conf の編集
* named.conf の中の key ステートメントを削除
* named.conf に下の分を追記 (実際には, コメントアウトされて書かれていたもののコメントを外す)
include "/usr/local/bind/etc/rndc.key";
* /usr/local/bind/etc/rndc.key の作成
* /usr/local/bind/etc/rndc.conf の中の key ステートメントを /usr/local/bind/etc/rndc.key に書く.
* /usr/local/bind/etc/rndc.key の所有者は bind:bind.
* /usr/local/bind/etc/rndc.key のパーミッションは 400 (でも問題ない)
来年度以降はこの方針にしよう.
#= bind のアップデート
#
#今後 bind のバージョンが上がった場合（脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む）は
#((<[ITPASS2016]bind のアップデート>)) を参考に作業する．
[((<[ITPASS2017]2017年度サーバ構築ログ>)) へ戻る]
[((<[ITPASS2017]2017年度サーバ構築ログ>)) へ戻る]
= ビルドとインストール
* 配布サイト ((<URL:https://www.isc.org/>)) からソースのアーカイブを
取得し, ビルド.
* 最新のバージョン (9.11.2) を取得.
# * 以下のバージョン番号は適宜最新のものに読み替えること
* インストール先は /usr/local/bind.
# cd /usr/local/src
# wget ftp://ftp.isc.org/isc/bind9/9.11.2/bind-9.11.2.tar.gz
# tar zxfv bind-9.11.2.tar.gz
# cd bind-9.11.2
# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
# * 配布サイトからアーカイブを取得できない場合は, old からソースをコピーしてビルド
#
# * ビルドの際に OpenSSL についての警告が出た場合は以下を参照
# * OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
# * Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して
# バージョンの確認を無効にする
# * 具体的に修正された脆弱性一覧は ((<URL:http://www.debian.org/security/>)) にある
# * openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる
#
# # ./configure --prefix=/usr/local/bind --disable-openssl-version-check
# make
* Bind をインストール
# make install
# * コマンドが見つからない場合, make をインストール.
# * 再度, 上記コマンドを実行した後, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出たら, libssl-dev をインストールし, 再度, 上記コマンドを実行.
* 既にインストールされている Bind 関係のパッケージを削除.
下のように関係パッケージを確認.
# apt-cache search bind9
表示された多数のパッケージから関係パッケージを抽出. ("bind9" という文字で検索すると良い)
* bind9
* bind9-doc
* bind9-host
* bind9utils
* libbind9-140
* bind9-dyndb-ldap
これらのパッケージが実際にインストールされているかどうかを確認.
# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap
この結果, bind9-host, libbind9-140 のみがインストールされていた.
# apt-get remove bind9-host libbind9-140
依存関係によって gnome がアンインストールされてしまった.
しかし, startx で GUI が使えるようなのでここでは良いことにする.
さらに, 提案されるように以下を行った.
# apt autoremove
= 実行ファイルへのパスの設定
#インストールされた Bind の実行ファイル群へパスを通す．
#((<[ITPASS2015]パスの設定>))を参考にして各設定ファイルに以下の様に追記する.
== sh, bash
/etc/bash.bashrc の末尾に
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
を追記.
== csh, tcsh
/etc/csh.cshrc の末尾に
# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif
を追記.
# * /etc/csh.cshrc がない場合は, csh をインストールする.
# * csh をインストールしても /etc/csh.cshrc がない場合は, これを新たに作成し, 追記する.
== zsh
/etc/zsh/zshenv の末尾に
# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
export PATH="$PATH:/usr/local/bind/sbin"
fi
を追記.
= マニュアルへのパスの設定
#/etc/manpath.config に以下の行を追加する. 詳しくは ((<[ITPASS2015]パスの設定>)) の 「man 関連のパスの設定」を参照.
/etc/manpath.config に以下の行を追加.
MANDATORY_MANPATH /usr/local/bind/man
MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man
MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man
MANDB_MAP /usr/local/bind/man /usr/local/bind/man
= ユーザとグループ追加
* Bind の実行ユーザとして bind ユーザを作成
# etc/passwd，/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.
# export EDITOR=vi
* vipw を実行して以下の行を追加.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
* vipw -s を実行して以下の行を追加.
bind:!:13749:0:99999:7:::
* 同様に bind グループを追加.
* vigr を実行して以下の行を追加.
bind:x:153:
* vigr -s を実行して以下の行を追加.
bind:*::
= pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
= 各設定ファイルの編集
== named.conf
* old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.
# ただし new に namedb というディレクトリがもともと無いなら, namadb を作成する.
new に namedb というディレクトリがないため, ディレクトリを作成.
# cd /usr/local/bind/etc
# mkdir namadb
#* ファイルが以下の内容であることを確認する.
* ファイルの内容はマニュアルとは異なり, 下のようであった.
* マニュアルにはない logging と key の項目があった.
* これらの項目は当面残しておくことにする.
acl my-network {
133.30.109.0/25;
127.0.0.1;
};
options {
dump-file "/usr/local/bind/etc/cache_dump.db";
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network"; };
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
logging {
channel "default-log" {
file "/var/log/named/default.log" versions 5 size 10M;
severity info;
print-time yes;
print-severity yes;
print-category yes;
};
category default { "default-log"; };
};
#include "/usr/local/bind/etc/rndc.key";
key "rndc-key" {
algorithm hmac-md5;
secret "Ye5uqqwpq1k8TH+ODuizwQ==";
};
なお, 上の key の secret の項目は本当の値ではない.
== localhost.zone
* old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーした.
* ファイル内の "old" という記述を "new" に変更した．
* 実際には "ika" を "tako" にした.
* Serial には作業当日の日付と更新回数 (2 桁) を書いた.
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2017102300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
== localhost.rev
* old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーした.
* ファイル内の "old" という記述を "new" に変更した．
* 実際には "ika" を "tako" にした.
* Serial には作業当日の日付と更新回数 (2 桁) を書いた.
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2016102300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
== named.root
* 最新のものを ((<URL:ftp://rs.internic.net/domain/named.root>)) からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した.
# 上記の URL が見つからない場合は http://www.internic.net/domain/ から name.root を取得する.
# wget ftp://rs.internic.net/domain/named.root
= rndc の設定
#rndc コマンドは, named の再起動, config ファイルの読み直しなどを行うコマンドである.
#rndc コマンドは, named への不正なアクセスを防ぐために秘密鍵を用いたアクセスを行うため, 設定が必要である.
* rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
* 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
* rndc.conf の中身は下記の通り.
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "IPd2IeZIe8TM2i5LaBW04g==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-md5;
# secret "IPd2IeZIe8TM2i5LaBW04g==";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
なお, 上の key の secret の項目は本当の値ではない.
# * secret "IPd2IeZIe8TM2i5LaBW04g=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.
* 念のため, rndc.conf のコメントアウトされている箇所を削除した.
#* 生成した rndc-key の鍵の中身を named.conf に貼り付ける.
* 生成した rndc-key の鍵の key ステートメントを named.conf のそれと置き換えた.
key "rndc-key" {
algorithm hmac-md5;
secret "Ye5uqqwpq1k8TH+ODuizwQ==";
};
を
key "rndc-key" {
algorithm hmac-md5;
secret "IPd2IeZIe8TM2i5LaBW04g==";
};
と置き換えた.
= 編集したファイルのパーミッション設定
* 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
# root@new:/usr/local/bind/etc# chgrp -R staff .
# chgrp -R staff .
* 所有者やパーミッションは以下のように設定した.
# root@new:/usr/local/bind/etc# chmod 640 rndc.conf
# chmod 640 rndc.conf
# root@new:/usr/local/bind/etc# chown bind namedb/named.conf
# root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
# chown bind namedb/named.conf
# chmod 640 namedb/named.conf
= 起動テスト
以下のコマンドを実行し, bind の起動テストを行った.
#以下で始まる行を確認
# Oct 23 16:58:13 tako-itpass named[16132]:
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
* /var/log/syslog を見て, 起動したことを確認
* /var/log/named ディレクトリがなかったので, 作成した.
# mkdir /var/log/named
# chown bind:bind /var/log/named
# * managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．
* ps aux コマンドで走っていることを確認した.
= rndc のテスト
以下のコマンドを実行した．
# root@new:/usr/local/bind/sbin# ./rndc reload
# ./rndc reload
#server reload successful と表示されれば OK.
server reload successful と表示されたので OK.
= ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
* name.conf の確認
# root@new:/usr/local/bind/sbin# named-checkconf /usr/local/bind/etc/namedb/named.conf
# ./named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されず, 正常であることを確認した.
* ゾーンの確認
# root@new:/usr/local/bind/etc/namedb# named-checkzone localhost localhost.zone
# cd /usr/local/bind/etc/namedb
# ../../sbin/named-checkzone localhost localhost.zone
以下のように表示され, 正常であることを確認した．
# zone localhost/IN: loaded serial XXXXXXXXXX
# OK
#
# なお, XXXXXXXXXX には Serial に書いた数字が表示される.
zone localhost/IN: loaded serial 2017102300
OK
* ひとまず停止
ひとまず named を停止した.
ps aux で PID を調べて kill した.
= フルサービスリゾルバへ変更
new をフルサービスリゾルバにするために, ((<[ITPASS2017]OSのインストール>))で設定した DNS サーバを学術情報基盤センターから new 自身に変更する.
#((*(注意)*))
#/etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされるため, /etc/resolv.conf ではなく #/etc/network/interfaces を編集すること, と 2014 年度のマニュアルには書かれていたが,
#
# /etc/network/interfaces の中を見ると,
#
# # This file describes the network interfaces available on your system
# # and how to activate them. For more information, see interfaces(5).
#
# source /etc/network/interfaces.d/*
#
# # The loopback network interface
# auto lo
# iface lo inet loopback
#
#となっており, dns-nameservers という項目がないかもしれない.
#
#
#* /etc/resolv.conf を確認したが,下記のような内容にはなっていないはずである.
#
# # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
# # DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
# nameserver 133.30.109.21
# search scitec.kobe-u.ac.jp
/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
ここでは, このまま bind の動作を確認して, 正しく名前解決されるか確認する.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
下のように表示されたので, 成功のようだ.
; <<>> DiG 9.11.2 <<>> @133.30.109.21 www.google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45815
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: c4ccda1c5f52ccece157ecdb59eda997a80203fda2249494 (good)
;; QUESTION SECTION:
;www.google.com. IN A
;; ANSWER SECTION:
www.google.com. 300 IN A 216.58.197.4
;; AUTHORITY SECTION:
google.com. 172800 IN NS ns4.google.com.
google.com. 172800 IN NS ns3.google.com.
google.com. 172800 IN NS ns1.google.com.
google.com. 172800 IN NS ns2.google.com.
;; Query time: 1161 msec
;; SERVER: 133.30.109.21#53(133.30.109.21)
;; WHEN: Mon Oct 23 17:34:31 JST 2017
;; MSG SIZE rcvd: 159
* ログを確認した.
# lv /var/log/named/default.log
# * より詳しいログを出力するためには,/usr/local/bind/etc/namedb/named.conf 内の "info" を"debug" に変更すればよい(一度変えてみて, 確認してみるとよい).ただし, ログファイルのサイズを節約するために, "info" にする.
= 起動スクリプトの用意
* サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
* old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とする.
bind9.service の中身は以下です.
[Unit]
Description=BIND Domain Name Server
Documentation=man:named(8)
After=network.target
[Service]
ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
ExecReload=/usr/local/bind/sbin/rndc reload
ExecStop=/usr/local/bind/sbin/rndc stop
[Install]
WantedBy=multi-user.target
* named が立ち上がっていたので, 停止した.
* ps aux で PID を確認して kill した.
* bind9.service の起動テストを行った.
# systemctl start bind9.service
* bind9.service 起動の確認をした.
# systemctl
より詳しくは
# systemctl status bind9.service
ここで, 下の warning が出ていることに気づいた.
10月 23 17:59:05 tako-itpass named[16529]: the working directory is not writable
さらに調べたところ, これは直さなくてよいとの記述あり.
((<URL:https://superuser.com/questions/1097407/named-the-working-directory-is-not-writable>))
今回はこのまま置いておくことにする.
# (なお, systemctl が文字化けする場合は,
#
# $ export PAGER=less
#
# によって 環境変数 PAGER を変更するとよい.)
* bind の動作の確認した
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
* システム起動時に自動的に bind が立ち上がるようにするために追加設定.
# systemctl enable bind9.service
* システム起動時に自動的に bind が立ち上がるか確認するために new を再起動.
* 再起動後に systemctl での確認と, 名前解決できるかの確認.
= 最後の作業
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
* インストールが終了したので, システム起動時に自動的に bind が立ち上がらないようにした.
# systemctl disable bind9.service
# * なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.
また, DNS サーバを止めたので,
/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21
* 再起動.
* named が動いていないことを確認.
* 名前が引けることを確認.
* 例えば下のようにして応答が返ってくれば良い.
$ ping dennou-k.gfd-dennou.org
= named.conf の変更
上の設定では, /usr/local/bind/etc/namedb/named.conf に rndc の key を
書いていたが, これを別ファイルにすることにする.
* /usr/local/bind/etc/namedb/named.conf の編集
* named.conf の中の key ステートメントを削除
* named.conf に下の分を追記 (実際には, コメントアウトされて書かれていたもののコメントを外す)
include "/usr/local/bind/etc/rndc.key";
* /usr/local/bind/etc/rndc.key の作成
* /usr/local/bind/etc/rndc.conf の中の key ステートメントを /usr/local/bind/etc/rndc.key に書く.
* /usr/local/bind/etc/rndc.key の所有者は bind:bind.
* /usr/local/bind/etc/rndc.key のパーミッションは 400 (でも問題ない)
来年度以降はこの方針にしよう.
#= bind のアップデート
#
#今後 bind のバージョンが上がった場合（脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む）は
#((<[ITPASS2016]bind のアップデート>)) を参考に作業する．
[((<[ITPASS2017]2017年度サーバ構築ログ>)) へ戻る]