[Memo2018][ITPASS]bindのインストールと設定

ビルドとインストール

  • 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを 取得し, ビルドする.
    • 最新のバージョン (9.12.3) を取得した.
    • インストール先は /usr/local/bind とした.

      # cd /usr/local/src
      # wget  ftp://ftp.isc.org/isc/bind9/9.12.3/bind-9.12.3.tar.gz
      # tar zxfv bind-9.12.3.tar.gz
      # cd bind-9.12.3
      
      # mkdir /usr/local/bind
      # ./configure --prefix=/usr/local/bind
      # make
  • インストール

Bind をインストールした.

# make install
  • 既にインストールされている Bind 関係のパッケージの削除

下のように関係パッケージを確認した.

# apt-cache search bind9

表示された多数のパッケージから関係パッケージを抽出した.

  • bind9
  • bind9-doc
  • bind9-host
  • bind9utils
  • libbind9-140
  • bind9-dyndb-ldap

これらのパッケージが実際にインストールされているかどうかを確認した.

# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap

ここで, bind9-host, libbind9-140 のみがインストールされていたため, 下のように削除した.

# apt-get remove bind9-host libbind9-140

なお, 依存関係によって gnome がアンインストールされてしまった. しかし, startx で GUI が使えるようなのでここでは良いことにした.

提案された通りに以下を実行した.

# apt autoremove  

実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通した. [ITPASS2018]パスの設定を参考にして各設定ファイルに以下の様に追記した.

sh, bash

/etc/bash.bashrc の末尾に以下を追記した.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

csh, tcsh

/etc/csh.cshrc の末尾に以下を追記した.

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

zsh

/etc/zsh/zshenv の末尾に以下を追記した.

# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加した.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

  • Bind の実行ユーザとして bind ユーザを作成

    # export EDITOR=vi

    • vipw を実行して以下の行を追加した.

      bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
    • vipw -s を実行して以下の行を追加した.

      bind:!:13749:0:99999:7:::
  • 同様に bind グループを追加する.
    • vigr を実行して以下の行を追加した.

      bind:x:153:
    • vigr -s を実行して以下の行を追加した.

      bind:*::

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

named.conf

  • old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピー.

    # cd /usr/local/bind/etc
    # mkdir namedb
  • ファイルが下の内容であることを確認した.

    acl my-network {
            133.30.109.0/25;
            10.35.19.0/24;
            127.0.0.1;
    };
    
    options {
            dump-file "/usr/local/bind/etc/cache_dump.db";
            directory "/usr/local/bind/etc/namedb";
            pid-file "/usr/local/bind/var/run/named.pid";
            recursion yes;
            allow-query { "my-network"; };
    };
    
    zone "." {
            type hint;
            file "named.root";
    };
    
    zone "localhost" {
            type master;
            file "localhost.zone";
    };
    
    zone "0.0.127.in-addr.arpa" {
            type master;
            file "localhost.rev";
    };
    
    controls {
              inet 127.0.0.1 port 953
                       allow { 127.0.0.1; } keys { "rndc-key"; };
    };
    
    logging {
            channel "default-log" {
                    file "/var/log/named/default.log" versions 5 size 10M;
                    severity info;
                    print-time yes;
                    print-severity yes;
                    print-category yes;
            };
    
            category default { "default-log"; };
    };
    
    include "/usr/local/bind/etc/rndc.key";

localhost.zone

  • old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピー.
  • ファイル内の "old" (=ika) という記述を "new" (=tako) に変更した.
  • Serial には作業当日の日付と更新回数 (2 桁) を記述した.
  • 書き換え後のファイルの中身は下記の通り.
$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                              2018103000 ; Serial
                                 3600    ; Refresh
                                 900     ; Retry
                                 3600000 ; Expire
                                 3600 )  ; Minimum
          IN      NS      new-itpass.scitec.kobe-u.ac.jp.
          IN      A       127.0.0.1

localhost.rev

  • old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.
  • ファイル内の "old" (=ika) という記述を "new" (=tako) に変更した.
  • Serial には作業当日の日付と更新回数 (2 桁) を記述した.
  • 書き換え後のファイルの中身は下記の通り.
$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                            2018103000 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

# wget ftp://rs.internic.net/domain/named.root

rndc の設定

  • rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成.
    • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.

      # /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
    • rndc.conf の中身は下記の通り.
      • なお, 下の key の secret の項目は実際の値ではないことに注意すること.
# Start of rndc.conf
key "rndc-key" {
        algorithm hmac-sha256;
        secret "hogehoge=";
}; 

options {
        default-key "rndc-key";
        default-server 127.0.0.1;
        default-port 953;
};
# End of rndc.conf 

# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
#       algorithm hmac-sha256;
#       secret "hogehoge=";
# };
#
# controls {
#       inet 127.0.0.1 port 953
#               allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
  • 念のため, rndc.conf のコメントアウトされている箇所を削除した.
  • 生成した rndc-key の鍵の key ステートメントをコピーし, rndc.key (ファイル) に記述した.
    • rndc.key ファイルの中身は以下の通り.
key "rndc-key" {
        algorithm hmac-sha256;
        secret "hogehoge=";
};
  • rndc.key の所有者を bind:bind に変更した.

    # chown bind:bind rndc.key
  • rndc.key のパーミッションを 400 とした.

    # chmod 400 rndc.key

編集したファイルのパーミッション設定

  • 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.

    root@new:/usr/local/bind/etc# chgrp -R staff .
  • 所有者やパーミッションは以下のように設定した.

    root@new:/usr/local/bind/etc# chmod 640 rndc.conf
    
    root@new:/usr/local/bind/etc# chown bind namedb/named.conf
    root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

起動テスト

以下のコマンドを実行し, bind の起動テストを行う.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • /var/log/syslog を見て, 起動したことを確認.
    • 確認したところ起動に失敗した. /usr/local/bind/etc/namedb ディレクトリの所有者を bind に変更

      # chown bind /usr/local/bind/etc/namedb
    • /var/log/named ディレクトリがなかったので, 作成した.

      # mkdir /var/log/named # chown bind:bind /var/log/named

    • 再度, 起動テストを行い, 起動したことを確認した.
    • managed-keys-zone に関するエラーが出たので, /usr/local/bind/etc/namedb の下に,managed-keys.bind という空のファイルを作成した.

      # cd /usr/local/bind/etc/namedb
      # touch managed-keys.bind
  • ps aux コマンドで走っていることを確認した.

    # ps aux | grep bind

rndc のテスト

以下のコマンドを実行した.

root@new:/usr/local/bind/sbin# ./rndc reload

WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using default configuration file (/usr/local/bind/etc/rndc.conf)

と表示されたが, server reload successful と表示されたので先に進む. rndc.key は不要なのかもしれない.

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認する.

  • named.conf の確認

    root@new:/usr/local/bind/sbin# ./named-checkconf /usr/local/bind/etc/namedb/named.conf

    何も出力されず, 正常であることを確認した.

  • ゾーンの確認

    # cd /usr/local/bind/etc/namedb
    # ../../sbin/named-checkzone localhost localhost.zone

    以下のように表示され, 正常であることを確認した.

    zone localhost/IN: loaded serial 2018103000
    OK
  • ひとまず停止

ps aux で PID を調べて kill した.

# ps aux | grep bind

root       521  0.0  0.0  49872  3496 ?        Ss   13:54   0:00 /sbin/rpcbind -f -w
bind     16558  0.0  0.2 516844 33976 ?        Ssl  16:09   0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

# kill 16558

フルサービスリゾルバへ変更

/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
      dns-nameservers 133.30.109.21

bind によって正しく名前解決されるか確認.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

下のように表示された.

; <<>> DiG 9.12.3 <<>> @133.30.109.21 www.google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12928
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: b41a9a64af6ec493dbb3fead5bd8088f5dfa92bee065dd9e (good)
;; QUESTION SECTION:
;www.google.com.                        IN      A

;; ANSWER SECTION:
www.google.com.         300     IN      A       172.217.11.132

;; Query time: 1009 msec
;; SERVER: 133.30.109.21#53(133.30.109.21)
;; WHEN: Tue Oct 30 16:30:23 JST 2018
;; MSG SIZE  rcvd: 87

AUTHORITY SECTION の項目がなかったが, 先に進む.

  • ログを確認した.

    # lv /var/log/named/default.log

確認したところ, 以下のようなログが大量に残されていた. このようなログは IPv6 対応だが IPv6 で外部と通信出来ない時に良く出るらしい.

30-Oct-2018 16:30:22.848 lame-servers: info: network unreachable resolving 'www.google.com/A/IN': 2001
["500:1::53#53"]
30-Oct-2018 16:30:22.848 lame-servers: info: network unreachable resolving './NS/IN': 2001:500:1::53#5

3

起動スクリプトの用意

  • サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.
    • old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とした.

      bind9.service の中身は以下.

      [Unit]
      Description=BIND Domain Name Server
      Documentation=man:named(8)
      After=network.target
      
      [Service]
      ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
      ExecReload=/usr/local/bind/sbin/rndc reload
      ExecStop=/usr/local/bind/sbin/rndc stop
      
      [Install]
      WantedBy=multi-user.target
    • named が立ち上がっていたので, 停止.
      • ps aux で PID を確認して kill した.
    • bind9.service の起動テストを行った.

      # systemctl start bind9.service
    • bind9.service 起動の確認した.

      # systemctl status bind9.service
    • 確認したところ, bind9.service は起動していたが, /var/log/syslog に以下のログが残されていた.
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: D.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: 8.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: 9.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: A.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: B.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: 8.B.D.0.1.0.0.2.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: EMPTY.AS112.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: HOME.ARPA
10月 31 14:57:48 tako-itpass named[18795]: none:103: 'max-cache-size 90%' - setting to 14443MB (out of 16048MB)
10月 31 14:57:48 tako-itpass named[18795]: command channel listening on 127.0.0.1#953

 * bind の動作を確認.

     $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

 * システム起動時に自動的に bind が立ち上がるようにするために追加設定した.

     # systemctl enable bind9.service

 * システム起動時に自動的に bind が立ち上がることを確認するために new を再起動した.

     # reboot

 * 再起動後に, systemctl での起動していることを確認した. が, しかし, やはり /var/log/syslog には以下のログが残っていた.

10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: D.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: 8.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: 9.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: A.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: B.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: 8.B.D.0.1.0.0.2.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: EMPTY.AS112.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: HOME.ARPA
10月 31 16:59:48 tako-itpass named[687]: none:103: 'max-cache-size 90%' - setting to 14443MB (out of 16048MB)
10月 31 16:59:48 tako-itpass named[687]: command channel listening on 127.0.0.1#953

「automatic empty zone」については IPv6 対応できていないことによるものであると思われる.

「none:103 (以下略)」については, デフォルトではキャッシュに利用するメモリが無制限であることによるものと思われる. named.conf ファイル内の options で max-cache-size を指定することができるらしいが, 適切な値がわからない.

「command channel (以下略)」の意味は rndc で BIND が起動されたとして、その起動直後の (BIND の) ログで, BIND は 127.0.0.1 のポート 953 を listen して rndc からの接続に備える, ということであった.

  • 名前解決できるかを確認した.

    $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

最後の作業

  • システム起動時に自動的に bind が立ち上がらないようにした.

    # systemctl disable bind9.service
    # systemctl stop bind9.service

また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.

dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
#      dns-nameservers 133.30.109.21
  • 再起動した.
  • named が動いていないことを確認した.
# systemctl status bind9.service
  • 名前が引けることを確認した.

    $ ping dennou-k.gfd-dennou.org

[[ITPASS2018]2018年度サーバ構築ログ へ戻る]

Last modified:2018/11/02 14:19:03
Keyword(s):
References:[[ITPASS2018]2018年度サーバ構築ログ]