[ITPASS2014]bindのインストールと設定

[ITPASSサーバ構築・運用ドキュメント へ戻る]

• DNS サーバの設定作業では, old の root が所有する設定ファイルを参照することがある. あらかじめ old の root 権限を得ておくとスムーズに作業が行える.
• また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.

• 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドする
  • 最新のバージョンを取得する
    • 以下のバージョン番号は適宜最新のものに読み替えること

  • インストール先は /usr/local/bind とする

    # cd /usr/local/src
    # wget  ftp://ftp.isc.org/isc/bind9/9.10.1/bind-9.10.1.tar.gz
    # tar zxfv bind-9.10.1.tar.gz
    # cd bind-9.10.1
    
    # mkdir /usr/local/bind
    # ./configure --prefix=/usr/local/bind

  • 配布サイトからアーカイブを取得できない場合は, old からソースをコピーしてビルドを行う
  • ビルドの際に OpenSSL についての警告が出た場合は以下を参照
    • OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
    • Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して バージョンの確認を無効にする
      • 具体的に修正された脆弱性一覧は <URL:http://www.debian.org/security/> にある

    • openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる

      # ./configure --prefix=/usr/local/bind --disable-openssl-version-check

• Bind をインストールする

  # make
  # make install

• インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-80, dnsutils を削除する

  # apt-get remove bind9-host libbind9-80 dnsutils

インストールされた Bind の実行ファイル群へパスを通す． [ITPASS2014]パスの設定を参考にして各設定ファイルに以下の様に追記する.

sh, bash

/etc/bash.bashrc の冒頭に

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

を追記する.

csh, tcsh

/etc/csh.cshrc の冒頭に

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

を追記する.

zsh

/etc/zsh/zshenv の冒頭に

# add PATH for local installed softwares
  export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

を追記する.

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2014]パスの設定 の 「man 関連のパスの設定」を参照のこと.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

• Bind の実行ユーザとして bind ユーザを作成する. /etc/passwd，/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.

  • vipw を実行して以下の行を追加する.

    bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false

  • vipw -s を実行して以下の行を追加する.

    bind:!:13749:0:99999:7:::

• 同様に bind グループを追加する.

  • vigr を実行して以下の行を追加する.

    bind:x:153:

  • vigr -s を実行して以下の行を追加する.

    bind:*::

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

# chown bind:bind /usr/local/bind/var/run/

named.conf

• old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーする. ただし new に namedb というディレクトリがもともと無い場合は作成する．

• ファイルが以下の内容であることを確認する.

  acl my-network {
          133.30.109.0/25;
          127.0.0.1;
  };
  
  options {
          dump-file "/usr/local/bind/etc/cache_dump.db";
          directory "/usr/local/bind/etc/namedb";
          pid-file "/usr/local/bind/var/run/named.pid";
          recursion yes;
          allow-query { "my-network"; };
  };
  
  zone "." {
          type hint;
          file "named.root";
  };
  
  zone "localhost" {
          type master;
          file "localhost.zone";
  };
  
  zone "0.0.127.in-addr.arpa" {
          type master;
          file "localhost.rev";
  };
  
  controls {
            inet 127.0.0.1 port 953
                     allow { 127.0.0.1; } keys { "rndc-key"; };
  };
  
  #include "/usr/local/bind/etc/rndc.key";

localhost.zone

• old の /usr/local/bind/etc/namedb/localhost.zone をnew の /usr/local/bind/etc/namedb/ にコピーする.
• ファイル内の "old" という記述を "new" に変更する．
• Serial には作業当日の日付と更新回数を 2 桁で書く.

• 書き換え後のファイルの中身は下記の通り.

  $TTL    3600
  
  @       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                              2014103100 ; Serial
                                 3600    ; Refresh
                                 900     ; Retry
                                 3600000 ; Expire
                                 3600 )  ; Minimum
          IN      NS      new-itpass.scitec.kobe-u.ac.jp.
          IN      A       127.0.0.1

localhost.rev

• old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーする.
• ファイル内の "old" という記述を "new" に変更する．
• Serial には作業当日の日付と更新回数を 2 桁で書く.
• 書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                            2014103100 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

• 最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存する.上記の URL が見つからない場合はhttp://www.internic.net/domain/ から name.root を取得する.

# wget ftp://rs.internic.net/domain/named.root

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

• rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.

  • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.これはとてつもなく時間がかかることがあるので気長に待つこと.

    # rndc-confgen > /usr/local/bind/etc/rndc.conf

  • rndc.conf の中身は下記の通り.

    # Start of rndc.conf
    key "rndc-key" {
            algorithm hmac-md5;
            secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    };
    
    options {
            default-key "rndc-key";
            default-server 127.0.0.1;
            default-port 953;
    };
    # End of rndc.conf
    
    # Use with the following in named.conf, adjusting the allow list as needed:
    # key "rndc-key" {
    #       algorithm hmac-md5;
    #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    # };
    #
    # controls {
    #       inet 127.0.0.1 port 953
    #               allow { 127.0.0.1; } keys { "rndc-key"; };
    # };
    # End of named.conf

    secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.

• 念のため, rndc.conf のコメントアウトされている箇所を削除する.
• 生成した rndc-key の鍵の中身を named.conf に貼り付ける.

• 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておく.

  root@new:/usr/local/bind/etc# chgrp -R staff .

  gate のインストールが終わった後に itpadmin へ変更すること．

• 所有者やパーミッションは以下のように設定する

  root@new:/usr/local/bind/etc# chmod 640 rndc.conf
  
  root@new:/usr/local/bind/etc# chown bind namedb/named.conf
  root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

以下のコマンドを実行し, Bind の起動テストを行う.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

• /var/log/syslog を見て, 起動したことを確認
  • managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．
• ps aux コマンドなどで走っていることを確認する.

以下のコマンドを実行する．

root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示されれば OK.

named.conf やゾーンの整合性を確認する.

• name.conf の確認

  root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

  何も出力されなければ正常である.

• ゾーンの確認

  root@new:/usr/local/bind/etc/namedb# named-checkzone localhost localhost.zone

  以下のように表示されれば正常である．

  zone localhost/IN: loaded serial XXXXXXXXXX
  OK

  なお, XXXXXXXXXX には Serial に書いた数字が表示される.

new をフルサービスリゾルバにするために, [ITPASS2014]OSのインストールで設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

(注意) /etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされる. そのため, /etc/resolv.conf ではなく /etc/network/interfaces を編集すること.

• /etc/network/interfaces の dns-nameservers を以下のように書き換える.

  dns-nameservers 133.30.109.21

• ネットワークを再起動する

  # /etc/init.d/networking stop
  # /etc/init.d/networking start 

• /etc/resolv.conf が下記のような内容であることを確認する

  # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
  #     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
  nameserver 133.30.109.21
  search scitec.kobe-u.ac.jp

サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.

• Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, bind から入手できる. このファイルを /etc/init.d/bind として保存する.

  # cd /etc/init.d
  # wget http://itpass.scitec.kobe-u.ac.jp/server/2014/bind/bind

• 所有者とパーミッションを以下のように設定する.

  # chown root:root /etc/init.d/bind
  # chmod 755 /etc/init.d/bind

• bind スクリプトの start, stop, restart の動作確認を行う.

bind というコマンドが別に存在するため，絶対パスで bind ファイルを指定しなければならない．

# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart

コマンドごとに ps aux で動作を確認すること.

• ランレベルごとに bind の動作を設定する. 実行するコマンドと出力内容は以下のようになる.

  # insserv -d bind

  警告が何も出なければ問題ない.

• さらに, new を再起動してシステムの起動時に Bind が起動することを確認する.

  # reboot

dig コマンド等を使って次の二点を確認する.

• 問い合わせの返答が返ってくるか
• 問い合わせ先が new 自身になっているか

コマンド例:

$ dig @133.30.109.21 www.google.com

出力結果の見方については man や web ページ等で調べること.

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

DNS サーバ (bind) を停止.

# /etc/init.d/bind stop

起動時に bind を起動しないようにする.

# insserv -f -r bind

サーバを再起動し, bind が起動していないことを確認する.

今後 bind のバージョンが上がった場合（脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む）は [ITPASS2014]bind のアップデート を参考に作業する．

• ＠IT：キャッシュ／逆引きDNSの構築と運用
• DNS の仕組み解説 (初学者向け)
  • 3 Minutes Networking
• The BIND 9 Administrator Reference Manual
• rndcの仕組みと設定

[ITPASSサーバ構築・運用ドキュメント へ戻る]