[ITPASS2020]bindのインストールと設定

[[ITPASS2020]2020年度サーバ構築マニュアル へ戻る]

以下の記述において "OLD" は運用中のサーバ (現 ika) を表し, "NEW" は構築中のサーバ (現 tako) を表す.

既にインストールされている Bind 関係のパッケージの削除

下のように bind 関係パッケージの名前を確認する.

# apt search bind9 | grep bind9

WARNING: apt does not have a stable CLI interface. Use with caution in scripts.

bind9/stable,stable 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64
bind9-doc/stable,stable 1:9.11.5.P4+dfsg-5.1+deb10u2 all
bind9-dyndb-ldap/stable 11.1-5 amd64
bind9-host/stable,stable,now 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64 [installed]
bind9utils/stable,stable 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64
  GTK+ configuration tool for bind9
  GTK+ configuration tool for bind9 (debug)
libbind9-161/stable,stable,now 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64 
[installed,automatic]
  NSS module for using bind9's lwres as a naming service

これらのパッケージが実際にインストールされているかどうかを確認する.

# dpkg -l bind9 bind9-doc bind9-dyndb-ldap bind9-host bind9utils libbind9-161
dpkg-query: no packages found matching bind9
dpkg-query: no packages found matching bind9-doc
dpkg-query: no packages found matching bind9-dyndb-ldap
dpkg-query: no packages found matching bind9utils
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name               Version                      Architecture Description
+++-==================-============================-============-===============
ii  bind9-host         1:9.11.5.P4+dfsg-5.1+deb10u2 amd64        DNS lookup util
ii  libbind9-161:amd64 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64        BIND9 Shared Li

左端に ii と表示されればインストールされている.

インストールされている場合には, それらを削除する.

# apt remove [不要なパッケージ]

例えば bind9-host, libbind9-161 を削除するには下のようにする.

# apt remove bind9-host libbind9-161

2020 年度のサーバ再構築では, 依存関係によって gnome がアンインストールされてしまった. しかし, xeyes が動作するようなのでここでは良いことにした.

ビルドとインストール

  • 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを 取得し, ビルドする.
    • 2020 年度サーバ再構築時には最新のバージョン (9.16.7) を取得した.
    • 以下のバージョン番号は適宜最新のものに読み替えること
    • インストール先は /usr/local/bind とする.

      # cd /usr/local/src
      # wget https://downloads.isc.org/isc/bind9/9.16.7/bind-9.16.7.tar.xz
      # tar xvf bind-9.16.7.tar.xz
      # cd bind-9.16.7
      
      # mkdir /usr/local/bind
      # ./configure --prefix=/usr/local/bind
      # make
    • 配布サイトからアーカイブを取得できない場合は, OLD からソースをコピーしてビルドする
    • ビルドの際に OpenSSL についての警告が出た場合は以下を参照すること
      • OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
      • Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して バージョンの確認を無効にする
      • openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる

        # ./configure --prefix=/usr/local/bind --disable-openssl-version-check
        # make
  • インストール

Bind をインストールする.

# make install
  • make コマンドが見つからない場合にはインストールする.

    # apt install make
  • 再度, 上記コマンドを実行した後, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出るかもしれない. そのときには, libssl-dev をインストールし, 再度, 上記コマンドを実行する.

実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す. [ITPASS2020]パスの設定を参考にして各設定ファイルに以下の様に追記する.

sh, bash

/etc/bash.bashrc の末尾に以下を追記する.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

csh, tcsh

/etc/csh.cshrc の末尾に以下を追記する.

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

zsh

/etc/zsh/zshenv の末尾に以下を追記する.

# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2018]パスの設定 の 「man 関連のパスの設定」を参照.

/etc/manpath.config に以下の行を追記する.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

  • Bind の実行ユーザとして bind ユーザを作成

    bind ユーザを作成する. なお, 下に示すのは 2020 年サーバ再構築時の情報である. /etc/passwd,/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.

    # export EDITOR=vi

    • vipw を実行して以下の行を追加する.

      bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
    • vipw -s を実行して以下の行を追加する.

      bind:!:13749:0:99999:7:::
  • 同様に bind グループを追加する.
    • vigr を実行して以下の行を追加する.

      bind:x:153:
    • vigr -s を実行して以下の行を追加する.

      bind:*::

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

named.conf

  • OLD の /usr/local/bind/etc/namedb/named.conf を NEW の /usr/local/bind/etc/namedb/ にコピーした.

    • ただし NEW に namedb というディレクトリが無いならば, namedb を作成する.
    # cd /usr/local/bind/etc
    # mkdir namedb
  • ファイルが下の内容であることを確認する.

    acl my-network {
            133.30.109.0/25;
            10.35.19.0/24;
            127.0.0.1;
    };
    
    options {
            dump-file "/usr/local/bind/etc/cache_dump.db";
            directory "/usr/local/bind/etc/namedb";
            pid-file "/usr/local/bind/var/run/named.pid";
            recursion yes;
            allow-query { "my-network"; };
    };
    
    zone "." {
            type hint;
            file "named.root";
    };
    
    zone "localhost" {
            type master;
            file "localhost.zone";
    };
    
    zone "0.0.127.in-addr.arpa" {
            type master;
            file "localhost.rev";
    };
    
    controls {
              inet 127.0.0.1 port 953
                       allow { 127.0.0.1; } keys { "rndc-key"; };
    };
    
    logging {
            channel "default-log" {
                    file "/var/log/named/default.log" versions 5 size 10M;
                    severity info;
                    print-time yes;
                    print-severity yes;
                    print-category yes;
            };
    
            category default { "default-log"; };
    };
    
    include "/usr/local/bind/etc/rndc.key";

localhost.zone

  • OLD の /usr/local/bind/etc/namedb/localhost.zone を NEW の /usr/local/bind/etc/namedb/ にコピーする.
  • ファイル内の "OLD" (=ika) という記述を "NEW" (=tako) に変更する.
  • Serial には作業当日の日付と更新回数 (2 桁) を記述する.
  • 書き換え後のファイルの中身は下記の通り.
$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp.  (
                            2020101400 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
        IN      A       127.0.0.1

localhost.rev

  • OLD の /usr/local/bind/etc/namedb/localhost.rev を NEW の /usr/local/bind/etc/namedb/ にコピーする.
  • ファイル内の "OLD" (=ika) という記述を "NEW" (=tako) に変更する.
  • Serial には作業当日の日付と更新回数 (2 桁) を記述する.
  • 書き換え後のファイルの中身は下記の通り.
$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp.  (
                            2020101400 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

  • 最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存する.
    • 上記の URL が見つからない場合は http://www.internic.net/domain/ から name.root を取得する.
# wget ftp://rs.internic.net/domain/named.root

rndc の設定

rndc コマンドは, named の再起動, config ファイルの読み直しなどを行うコマンドである. rndc コマンドは, named への不正なアクセスを防ぐために秘密鍵を用いたアクセスを行うため, 設定が必要である.

  • rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
    • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.

      # /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
    • rndc.conf の中身は下記の通り.
      • なお, 下の key の secret の項目は実際の値ではないことに注意すること. (その値は秘密鍵であり, ここに記してはいけない. ログにも記してはいけない.)
# Start of rndc.conf
key "rndc-key" {
        algorithm hmac-sha256;
        secret "hogehoge";
};

options {
        default-key "rndc-key";
        default-server 127.0.0.1;
        default-port 953;
};
# End of rndc.conf

# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
#       algorithm hmac-sha256;
#       secret "hogehoge";
# };
#
# controls {
#       inet 127.0.0.1 port 953
#               allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
  • secret "hogehoge"; は認証に用いる共通鍵(パスワード)を表す. ここに挙げているのは例であって, 実際の設定とは異なる.
  • 念のため, rndc.conf のコメントアウトされている箇所を削除する.
  • 生成した rndc-key の鍵の key ステートメントをコピーし, rndc.key (ファイル) に記述する.
    • rndc.key の絶対パスは /usr/local/bind/etc/rndc.key である.
    • rndc.key ファイルがなければ作成する.
    • rndc.key ファイルの中身は以下の通り.
key "rndc-key" {
        algorithm hmac-sha256;
        secret "hogehoge";
};
  • rndc.key の所有者を bind:bind に変更する.

    # chown bind:bind /usr/local/bind/etc/rndc.key
  • rndc.key のパーミッションを 400 とした.

    # chmod 400 /usr/local/bind/etc/rndc.key

編集したファイルのパーミッション設定

  • 本来, bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とする.

    # cd /usr/local/bind/etc
    # chgrp -R staff .
  • 所有者やパーミッションは以下のように設定する.

    # chmod 640 rndc.conf
    
    # chown bind namedb/named.conf
    # chmod 640 namedb/named.conf

起動テスト

以下のコマンドを実行し, bind の起動テストを行う.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • ps aux コマンドで走っていることを確認する.

    # ps aux | grep bind
    • このコマンドにより, 下のような行が表示されれば, bind が動作していることを示している.

      bind     16558  0.0  0.1 318676 27204 ?        Ssl  16:09   0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • さらに, /var/log/syslog を見て, 起動したことを確認する.

    以下で始まる行を確認する.

    Oct 14 22:18:29 tako-itpass named[17048]:

    例えば, 起動に失敗すると下のように表示される.

    Oct 14 22:18:29 tako-itpass named[17048]: loading configuration from '/usr/local/bind/etc/namedb/named.conf'
    Oct 14 22:18:29 tako-itpass named[17048]: directory '/usr/local/bind/etc/namedb' is not writable
    Oct 14 22:18:29 tako-itpass named[17048]: /usr/local/bind/etc/namedb/named.conf:9: parsing failed: permission denied
    Oct 14 22:18:29 tako-itpass named[17048]: loading configuration: permission denied
    Oct 14 22:18:29 tako-itpass named[17048]: exiting (due to fatal error)
    • 2020 年度のサーバ再構築時に起動に失敗したときには下のようにして対処した.
      • /usr/local/bind/etc/namedb ディレクトリの所有者を bind に変更.

        # chown bind /usr/local/bind/etc/namedb
      • さらに /var/log/named ディレクトリがなかったので, 作成.

        # mkdir /var/log/named
        # chown bind:bind /var/log/named
      • 再度, 起動テストを行い, 起動したことを確認した.
    • managed-keys-zone に関するエラーが出るかもしれない. その際には /usr/local/bind/etc/namedb の下に,managed-keys.bind という空のファイルを作成する.

      # cd /usr/local/bind/etc/namedb
      # touch managed-keys.bind

rndc のテスト

以下のコマンドを実行する.

# cd /usr/local/bind/sbin
# ./rndc reload

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認する.

  • named.conf の確認

    # cd /usr/local/bind/sbin
    # ./named-checkconf /usr/local/bind/etc/namedb/named.conf

    何も出力されなければ正常である.

  • ゾーンの確認

    # cd /usr/local/bind/etc/namedb
    # ../../sbin/named-checkzone localhost localhost.zone

    以下のように表示され, 正常であることを確認する.

    zone localhost/IN: loaded serial 2020101400
    OK
  • ひとまず停止

    ひとまず named を停止する.

    ps aux で PID を調べて kill する.

    例えば下のように,

    ps aux で PID を調べて kill する.

    # ps aux | grep bind
    
    root       521  0.0  0.0  49872  3496 ?        Ss   13:54   0:00 /sbin/rpcbind -f -w
    bind     16558  0.0  0.2 516844 33976 ?        Ssl  16:09   0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
    
    # kill 16558

フルサービスリゾルバへ変更

NEW をフルサービスリゾルバにするために, [ITPASS2020]OSのインストールで設定した DNS サーバを学術情報基盤センターから NEW 自身に変更する.

(注意) /etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされるため, /etc/resolv.conf ではなく /etc/network/interfaces を編集すること.

/etc/network/interfaces の dns-nameservers の項目を下のように書き換える.

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
      dns-nameservers 133.30.109.21
  • 名前解決できるかを確認する.

    bind によって正しく名前解決されるか確認する.

    # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
    $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

    下のように表示された.

    ; <<>> DiG 9.16.7 <<>> @133.30.109.21 www.google.com
    ; (1 server found)
    ;; global options: +cmd
    ;; Got answer:
    ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11416
    ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
    
    ;; OPT PSEUDOSECTION:
    ; EDNS: version: 0, flags:; udp: 4096
    ; COOKIE: 339527d3d1389fbe010000005f86fe59b9804320cf1c7083 (good)
    ;; QUESTION SECTION:
    ;www.google.com.                        IN      A
    
    ;; ANSWER SECTION:
    www.google.com.         300     IN      A       216.58.199.228
    
    ;; Query time: 404 msec
    ;; SERVER: 133.30.109.21#53(133.30.109.21)
    ;; WHEN: Wed Oct 14 22:34:17 JST 2020
    ;; MSG SIZE  rcvd: 87
  • ログを確認する.

    # lv /var/log/named/default.log
    • より詳しいログを出力するためには,/usr/local/bind/etc/namedb/named.conf 内の "info" を"debug" に変更すればよい(一度変えてみて, 確認してみるとよい).ただし, ログファイルのサイズを節約するために, "info" にする.

    2018 年度, 2020 年度サーバ再構築時には,

    以下のようなログが大量に残されていた. このようなログは IPv6 対応だが IPv6 で外部と通信出来ない時に良く出るらしい.

    14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:503:d2d::30#53
    14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:503:83eb::30#53
    14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:501:b1f9::30#53

    named の起動時に -4 オプションを付けると上記のメッセージは出なくなる. (IPv4 専用モードで起動するため.)

起動スクリプトの用意

  • サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.
    • OLD の /etc/systemd/system/bind9.service をコピーして NEW の /etc/systemd/system/bind9.service とする.

      bind9.service の中身は以下の通り.
      
       [Unit]
       Description=BIND Domain Name Server
       Documentation=man:named(8)
       After=network.target
      
       [Service]
       ExecStart=/usr/local/bind/sbin/named -4 -f -u bind -c /usr/local/bind/etc/namedb/named.conf
       ExecReload=/usr/local/bind/sbin/rndc reload
       ExecStop=/usr/local/bind/sbin/rndc stop
      
       [Install]
       WantedBy=multi-user.target
    • named が立ち上がっていたら, 停止する.
      • ps aux で PID を確認して kill する.
    • bind9.service の起動テストを行う.

      # systemctl start bind9.service
    • bind9.service 起動の確認する.

      # systemctl status bind9.service
    • bind の動作を確認.

      $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
    • システム起動時に自動的に bind が立ち上がるようにするために追加設定する.

      # systemctl enable bind9.service
    • システム起動時に自動的に bind が立ち上がることを確認するために NEW を再起動する.

      # reboot
    • 再起動後に, systemctl での起動していることを確認する.
    • 上の方法に基づいて名前解決できるかを改めて確認する.

      $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

最後の作業

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと NEW が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

  • システム起動時に自動的に bind が立ち上がらないようにする.

    # systemctl disable bind9.service
    • なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.

      # systemctl stop bind9.service

また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換える. 具体的には,

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
      dns-nameservers 133.30.109.21

dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
#      dns-nameservers 133.30.109.21

に書き換える.

  • 再起動する.
  • named が動いていないことを確認する.
# systemctl status bind9.service
  • 名前が引けることを確認する.
    • 例えば下のようにして応答が返ってくれば問題ない.

      $ ping dennou-k.gfd-dennou.org

[[ITPASS2020]2020年度サーバ構築マニュアル へ戻る]