[ITPASS2009]bindのインストールと設定

[ITPASSサーバ構築ドキュメント へ戻る]

• DNS サーバの設定作業では, その時点で起動しているサーバ (2009年度であれば ika)の root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.
• また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.

$ sudo -s
# cd /usr/local/src

配布サイト <URL:https://www.isc.org/> からアーカイブを取得(最新の version をインストール). ※以下の version 番号は適宜読み替えること.

# wget http://ftp.isc.org/isc/bind9/9.6.1-P1/bind-9.6.1-P1.tar.gz
# tar zxfv bind-9.6.1-P1.tar.gz
# cd bind-9.6.1-P1

# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind

OpenSSL についての警告が出た場合は以下を参照

• OpenSSL の version が古いと, セキュリティ脆弱性があると警告が出る
  • Debian の場合は version 番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して version check を無視する.
  • なお, 具体的に修正された脆弱性一覧は <URL:http://www.debian.org/security/> にある.

  • openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる.

    # ./configure --prefix=/usr/local/bind --disable-openssl-version-check

Bind をインストールする.

# make
# make install

インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.

# apt-get remove bind9-host libbind9-0 dnsutils

インストールした Bind の実行ファイル群へパスを通す.

[ITPASS2009]パスの設定 の <一般ユーザ用コマンドのパス> に /usr/local/bind/bin を, <システム管理用コマンドのパス> に /usr/local/bind/sbin を追加する.

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2009]パスの設定#man 関連のパスの設定 を参照のこと.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

Bind の実行ユーザとして bind ユーザを作成する. vipw を実行して以下の行を追加.

bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false

vipw -s を実行して以下の行を追加.

bind:!:13749:0:99999:7:::

同様に bind グループを追加する. vigr を実行して以下の行を追加.

bind:x:53:

vigr -s を実行して以下の行を追加.

bind:*::

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

# chown bind:bind /usr/local/bind/var/run/

named.conf

• old より /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピー.

• ファイルが以下の内容であることを確認する.

  acl my-network {
          133.30.109.0/25;
          133.30.110.0/24;
          127.0.0.1;
  };
  
  options {
          directory "/usr/local/bind/etc/namedb";
          pid-file "/usr/local/bind/var/run/named.pid";
          recursion yes;
          allow-query { "my-network" ; } ;
  };
  zone "." {
          type hint;
          file "named.root";
  };
  
  zone "localhost" {
          type master;
          file "localhost.zone";
  };
  
  zone "0.0.127.in-addr.arpa" {
          type master;
          file "localhost.rev";
  };
  
  controls {
          inet 127.0.0.1 port 953
                  allow { 127.0.0.1; } keys { "rndc-key"; };
  };
  
  include "/usr/local/bind/etc/rndc.key";

localhost.zone

• old より /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピー.
• ファイル内の "old-itpass" という記述を "new-itpass" に変更.

• ファイルの内容は下記の通り.

  $TTL    3600
  
  @       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp.  (
                                XXXXXXXXXX        ; Serial
                                3600    ; Refresh
                                900     ; Retry
                                3600000 ; Expire
                                3600 )  ; Minimum
          IN      NS      new-itpass.scitec.kobe-u.ac.jp.
          IN      A       127.0.0.1

  • Serial には作業当日の日付と更新回数を書く. (e.g. 2009103001)

localhost.rev

• old より /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.

• ファイルの内容は下記の通り.

  $TTL    3600
  
  @       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp.  (
                                XXXXXXXXX        ; Serial
                                3600    ; Refresh
                                900     ; Retry
                                3600000 ; Expire
                                3600 )  ; Minimum
          IN      NS      new-itpass.scitec.kobe-u.ac.jp.
  1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

• 最新のものを<URL:ftp://rs.internic.net/domain/named.root>からダウンロードする.
• /usr/local/bind/etc/namedb/ 以下に named.root として格納する.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

/var/log/syslog を見て, 起動したことを確認. ps -ax コマンドなどで走っていることを確認.

named.conf とゾーン, 各々の整合性を確認する.

root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

何も出力されなければ OK.

root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone 

を実行し,

zone localhost/IN: loaded serial XXXXXXXXXX
OK

と表示されると OK.

• XXXXXXXXXX には Serial に書いた数字が表示される.

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

• まず, rndc-confgenを実行することで, 必要な設定ファイルの「もと」を生成する.

  root@new:/usr/local/bind/etc/namedb# rndc-confgen
  
  # Start of rndc.conf
  key "rndc-key" {
          algorithm hmac-md5;
          secret "SZN/mCIMkFJmFJ/98jlcMQ==";
  };
  
  options {
          default-key "rndc-key";
          default-server 127.0.0.1;
          default-port 953;
  };
  # End of rndc.conf
  
  # Use with the following in named.conf, adjusting the allow list as needed:
  # key "rndc-key" {
  #       algorithm hmac-md5;
  #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
  # };
  #
  # controls {
  #       inet 127.0.0.1 port 953
  #               allow { 127.0.0.1; } keys { "rndc-key"; };
  # };
  # End of named.conf

secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.したがって, ここに挙げているのは例であって, 実際の設定とは異なる.

• rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.

  # rndc-confgen > /usr/local/bind/etc/rndc.conf

  • rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.
  • 念のため, rndc.conf のコメントアウトされている箇所を削除する.
  • パーミッションの設定

    • gate の設定ができていないので, グループは仮に staff としておく.

      root@new:/usr/local/bind/etc# chgrp -R staff
      root@new:/usr/local/bind/etc# chown bind rndc.key
      root@new:/usr/local/bind/etc# chmod 600 rndc.key
      root@new:/usr/local/bind/etc# chmod 640 rndc.conf
      root@new:/usr/local/bind/etc# chown bind namedb/named.conf
      root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

    • パーミッションの変更(gate の設定後に作業すること)

      root@new:/usr/local/bind/etc# chgrp -R itpadmin .

rndc のテスト

以下のコマンドを実行する.

root@new:/usr/local/bind/etc# rndc reload

server reload successfulと表示されれば成功.

サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.

• Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが bind から入手できる. このファイルを new の /etc/init.d/bind にダウンロードする.

  # cd /etc/init.d
  # wget http://itpass.scitec.kobe-u.ac.jp/~itpass/epa/bind/bind

• 以下のように所有者とパーミッションを設定する.

  # chown root:root /etc/init.d/bind
  # chmod 755 /etc/init.d/bind

• 念のため, bind スクリプトの start, stop, restart の動作確認を行う.

# bind start
# bind stop
# bind restart

• ランレベルごとに bind の動作を設定する.

  # update-rc.d bind defaults
  Adding system startup for /etc/init.d/bind ...
    /etc/rc0.d/K20bind -> ../init.d/bind
    /etc/rc1.d/K20bind -> ../init.d/bind
    /etc/rc6.d/K20bind -> ../init.d/bind
    /etc/rc2.d/S20bind -> ../init.d/bind
    /etc/rc3.d/S20bind -> ../init.d/bind
    /etc/rc4.d/S20bind -> ../init.d/bind
    /etc/rc5.d/S20bind -> ../init.d/bind

• さらに, new を再起動し, 起動時に bind が起動することを確認する.

  # reboot

サーバ停止

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代時まで停止する.

DNS サーバ (bind) を停止.

# /etc/init.d/bind stop

起動時に bind を起動しないようにする.

# update-rc.d -f bind remove

サーバを再起動し, bind が起動していないことを確認する.

• ＠IT：キャッシュ／逆引きDNSの構築と運用
• DNS の仕組み解説 (初学者向け)
  • 3 Minutes Networking