[Memo2009][ITPASS] tako 構築作業ログ(DNS)(村上(健), 古家, 井谷)
[ITPASSサーバ構築ドキュメント へ戻る]
作業前の準備
(次回再構築時への覚書)
- DNS サーバの設定作業では, その時点で起動しているサーバ (2009年度であれば ika)の root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.
- また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.
ビルドとインストール
$ sudo -s # cd /usr/local/src
配布サイト <URL:https://www.isc.org/> からアーカイブを取得.
# wget http://ftp.isc.org/isc/bind9/9.6.1-P1/bind-9.6.1-P1.tar.gz # tar zxfv bind-9.6.1-P1.tar.gz # cd bind-9.6.1-P1 # mkdir /usr/local/bind # ./configure --prefix=/usr/local/bind
今回 OpenSSL についての警告は出なかったが, 以下の作業も行った.
# ./configure --prefix=/usr/local/bind --disable-openssl-version-check
Bind をインストールする.
# make # make install
インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.
# apt-get remove bind9-host libbind9-0 dnsutils
インストールした実行ファイルへのパスの設定
インストールされた Bind の実行ファイル群へパスを通す.
[EPA2008b]パスの設定 の <一般ユーザ用コマンドのパス> に /usr/local/bind/bin を, <システム管理用コマンドのパス> に /usr/local/bind/sbin を追加する.
インストールしたマニュアルへのパスの設定
/etc/manpath.config に以下の行を追加する. 詳しくは [EPA2008b]パスの設定#man 関連のパスの設定 を参照のこと.
MANDATORY_MANPATH /usr/local/bind/man MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man MANDB_MAP /usr/local/bind/man /usr/local/bind/man
ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成する. vipw を実行して以下の行を追加.
bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加.
bind:!:13749:0:99999:7:::
同様に bind グループを追加する. vigr を実行して以下の行を追加.
bind:x:53:
vigr -s を実行して以下の行を追加.
bind:*::
pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.
# chown bind:bind /usr/local/bind/var/run/
各設定ファイルの編集
誤った作業
- 外部向け DNS サーバの構築
named.conf
ika より /usr/local/bind/etc/namedb/named.conf を /usr/local/bind/etc/namedb/ にコピー. ファイル内の項目について, 下の内容に変更した.
acl my-network {
133.30.109.0/25;
133.30.110.0/24;
127.0.0.1;
};
options {
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network" ; } ;
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
localhost.rev
- ika より /usr/local/bind/etc/namedb/localhost.rev を /usr/local/bind/etc/namedb/ にコピー.
- ファイル内の"ika.epa" という記述を "tako-itpass" に変更
内容は下記の通り
$TTL 3600 @ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. ( 20071025 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS tako-itpass.scitec.kobe-u.ac.jp. 1 IN PTR localhost.scitec.kobe-u.ac.jp.
localhost.zone
- localhost.rev を localhost.zone という名前としてコピー.
- ファイル内の"ika.epa" という記述を "tako-itpass" に変更
内容は下記の通り
$TTL 3600 @ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. ( 20071025 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS tako-itpass.scitec.kobe-u.ac.jp. IN A 127.0.0.1
named.root
ika より /usr/local/bind/etc/namedb/named.root を /usr/local/bind/etc/namedb/ にコピー.
起動テスト
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
/var/log/syslog を見て, 起動したことを確認. ps(1) コマンドなどでも走っていることを確認.
ファイルフォーマットチェック
named.conf とゾーン, 各々の整合性を確認する.
root@tako:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されないので OK.
root@tako:/usr/local/bind/etc# named-checkzone localhost localhost.zone zone localhost/IN: loaded serial 20071025 OK
rndc の設定
rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.
まず, rndc-confgenを実行することで, 必要な設定ファイルの「もと」を生成する.
root@tako:/usr/local/bind/etc/namedb# rndc-confgen # Start of rndc.conf key "rndc-key" { algorithm hmac-md5; secret "SZN/mCIMkFJmFJ/98jlcMQ=="; }; options { default-key "rndc-key"; default-server 127.0.0.1; default-port 953; }; # End of rndc.conf # Use with the following in named.conf, adjusting the allow list as needed: # key "rndc-key" { # algorithm hmac-md5; # secret "SZN/mCIMkFJmFJ/98jlcMQ=="; # }; # # controls { # inet 127.0.0.1 port 953 # allow { 127.0.0.1; } keys { "rndc-key"; }; # }; # End of named.conf
secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.したがって, ここに挙げているのは例であって, 実際の設定とは異なる.
rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
以下の記述を named.conf の末尾に追記.
controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; }; include "/usr/local/bind/etc/rndc.key";- rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.
- 念のため, rndc.conf のコメントアウトされている箇所を削除する.
パーミッションを以下のように設定する.
root@tako:/usr/local/bind/etc# chgrp -R itpadmin .
itpadmin グループを作っていないので設定できない. とりあえず root を使っているときにデフォルトの staff にしておく.
root@tako:/usr/local/bind/etc# chgrp -R staff . # とりあえず root@tako:/usr/local/bind/etc# chown bind rndc.key root@tako:/usr/local/bind/etc# chmod 600 rndc.key root@tako:/usr/local/bind/etc# chmod 640 rndc.conf root@tako:/usr/local/bind/etc# chown bind namedb/named.conf root@tako:/usr/local/bind/etc# chmod 640 namedb/named.conf
gate の設定待ち.
10/16 追記
gate で epaadmin を itpadmin に修正できたため, /usr/local/bind/etc/ 以下のパーミッションを変更した.
root@tako:/usr/local/bind/etc# chgrp -R itpadmin .
rndc のテスト
root@tako:/usr/local/bind/etc# rndc reload server reload successful
成功.
起動スクリプトの用意
サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.
Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが bind から入手できる. このファイルを /etc/init.d/bind にダウンロードする.
# cd /etc/init.d # wget http://itpass.scitec.kobe-u.ac.jp/~itpass/epa/bind/bind
以下のように所有者とパーミッションを設定した.
# chown root:root /etc/init.d/bind # chmod 755 /etc/init.d/bind
- 念のため, bind スクリプトの start, stop, restart の動作確認を行う.
# bind start # bind stop # bind restart
- ランレベルごとに bind の動作を設定する.
ここで bind スクリプトが LSB に準拠していないことが原因でエラーが発生したが, 下記の記述を追記することで解決した.
エラー内容 # update-rc.d bind defaults update-rc.d: warning: /etc/init.d/bind missing LSB information update-rc.d: see <http://wiki.debian.org/LSBInitScripts> Adding system startup for /etc/init.d/bind ... /etc/rc0.d/K20bind -> ../init.d/bind /etc/rc1.d/K20bind -> ../init.d/bind /etc/rc6.d/K20bind -> ../init.d/bind /etc/rc2.d/S20bind -> ../init.d/bind /etc/rc3.d/S20bind -> ../init.d/bind /etc/rc4.d/S20bind -> ../init.d/bind /etc/rc5.d/S20bind -> ../init.d/bind bind に追記した内容 ### BEGIN INIT INFO # Provides: bind9 # Required-Start: $remote_fs # Required-Stop: $remote_fs # Should-Start: $network $syslog # Should-Stop: $network $syslog # Default-Start: 2 3 4 5 # Default-Stop: 0 1 6 # Short-Description: Start and stop bind9 # Description: bind9 is a Domain Name Server (DNS) # which translates ip addresses to and from internet names ### END INIT INFO
さらに, tako を再起動し, 起動時に bind が起動することを確認した.
# shutdown -r now
サーバ停止
このままの設定では, 何らかの原因で tako を DNS サーバとして参照してしまうと tako が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
DNS サーバ (bind) を停止.
# /etc/init.d/bind stop
起動時に bind を起動しないようにする.
# update-rc.d -f bind remove
サーバを再起動し, bind が起動していないことを確認した.
参考文献
- ＠IT：キャッシュ／逆引きDNSの構築と運用
- DNS の仕組み解説 (初学者向け)
Keyword(s):
References:[[ITPASS2009]2009年度サーバ構築ログ] [[Memo2010][ITPASS]サーバ交換作業] [[Memo2010][ITPASS]サーバ交換作業(DNS, gate)] [[Memo2011][ITPASS] ika 構築作業ログ 4 (WWW2)] [tako 構築作業ログ (DNS) 1006]