[Memo2020][ITPASS]bindのインストールと設定

下のように関係パッケージを確認する.

# apt search bind9 | grep bind9

WARNING: apt does not have a stable CLI interface. Use with caution in scripts.

bind9/stable,stable 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64
bind9-doc/stable,stable 1:9.11.5.P4+dfsg-5.1+deb10u2 all
bind9-dyndb-ldap/stable 11.1-5 amd64
bind9-host/stable,stable,now 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64 [installed]
bind9utils/stable,stable 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64
  GTK+ configuration tool for bind9
  GTK+ configuration tool for bind9 (debug)
libbind9-161/stable,stable,now 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64 
[installed,automatic]
  NSS module for using bind9's lwres as a naming service

これらのパッケージが実際にインストールされているかどうかを確認した.

# dpkg -l bind9 bind9-doc bind9-dyndb-ldap bind9-host bind9utils libbind9-161
dpkg-query: no packages found matching bind9
dpkg-query: no packages found matching bind9-doc
dpkg-query: no packages found matching bind9-dyndb-ldap
dpkg-query: no packages found matching bind9utils
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name               Version                      Architecture Description
+++-==================-============================-============-===============
ii  bind9-host         1:9.11.5.P4+dfsg-5.1+deb10u2 amd64        DNS lookup util
ii  libbind9-161:amd64 1:9.11.5.P4+dfsg-5.1+deb10u2 amd64        BIND9 Shared Li

インストールされていた bind9-host と libbind9-161 を削除した.

# apt remove bind9-host libbind9-161

依存関係によって gnome がアンインストールされてしまった. しかし, xeyes が動作するようなのでここでは良いことにした.

ついでに不要なパッケージをアンインストールした.

# apt autoremove  

• 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを 取得し, ビルドする.

  # cd /usr/local/src
  # wget https://downloads.isc.org/isc/bind9/9.16.7/bind-9.16.7.tar.xz
  # tar xvf bind-9.16.7.tar.xz
  # cd bind-9.16.7
  
  # mkdir /usr/local/bind
  # ./configure --prefix=/usr/local/bind
  # make

• インストール

Bind をインストールした.

# make install

インストールされた Bind の実行ファイル群へパスを通す． [ITPASS2018]パスの設定を参考にして各設定ファイルに以下の様に追記した.

sh, bash

/etc/bash.bashrc の末尾に以下を追記した.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

csh, tcsh

/etc/csh.cshrc の末尾に以下を追記した.

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

zsh

/etc/zsh/zshenv の末尾に以下を追記した.

# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2018]パスの設定 の 「man 関連のパスの設定」を参照.

/etc/manpath.config に以下の行を追記した.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

• Bind の実行ユーザとして bind ユーザを作成

  bind ユーザを作成した.

  # export EDITOR=vi

  • vipw を実行して以下の行を追加した.

    bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false

  • vipw -s を実行して以下の行を追加した.

    bind:!:13749:0:99999:7:::

• 同様に bind グループを追加した.

  • vigr を実行して以下の行を追加した.

    bind:x:153:

  • vigr -s を実行して以下の行を追加した.

    bind:*::

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.

# chown bind:bind /usr/local/bind/var/run/

named.conf

• old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.

  • ただし new に namedb というディレクトリが無かったので, namedb を作成した.

  # cd /usr/local/bind/etc
  # mkdir namedb

• ファイルが下の内容であることを確認した.

  acl my-network {
          133.30.109.0/25;
          10.35.19.0/24;
          127.0.0.1;
  };
  
  options {
          dump-file "/usr/local/bind/etc/cache_dump.db";
          directory "/usr/local/bind/etc/namedb";
          pid-file "/usr/local/bind/var/run/named.pid";
          recursion yes;
          allow-query { "my-network"; };
  };
  
  zone "." {
          type hint;
          file "named.root";
  };
  
  zone "localhost" {
          type master;
          file "localhost.zone";
  };
  
  zone "0.0.127.in-addr.arpa" {
          type master;
          file "localhost.rev";
  };
  
  controls {
            inet 127.0.0.1 port 953
                     allow { 127.0.0.1; } keys { "rndc-key"; };
  };
  
  logging {
          channel "default-log" {
                  file "/var/log/named/default.log" versions 5 size 10M;
                  severity info;
                  print-time yes;
                  print-severity yes;
                  print-category yes;
          };
  
          category default { "default-log"; };
  };
  
  include "/usr/local/bind/etc/rndc.key";

localhost.zone

• old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーした.
• ファイル内の "old" (=ika) という記述を "new" (=tako) に変更した．
• Serial には作業当日の日付と更新回数 (2 桁) を記述した.
• 書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp.  (
                            2020101400 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
        IN      A       127.0.0.1

localhost.rev

• old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーした.
• ファイル内の "old" (=ika) という記述を "new" (=tako) に変更した．
• Serial には作業当日の日付と更新回数 (2 桁) を記述した.
• 書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp.  (
                            2020101400 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

• 最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した.

# wget ftp://rs.internic.net/domain/named.root

rndc コマンドは, named の再起動, config ファイルの読み直しなどを行うコマンドである. rndc コマンドは, named への不正なアクセスを防ぐために秘密鍵を用いたアクセスを行うため, 設定が必要である.

• rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.

  • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.

    # /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf

  • rndc.conf の中身は下記の通り.
    • なお, 下の key の secret の項目は実際の値ではないことに注意すること.　(その値は秘密鍵であり, ここに記してはいけない. ログにも記してはいけない.)

# Start of rndc.conf
key "rndc-key" {
        algorithm hmac-sha256;
        secret "hogehoge";
};

options {
        default-key "rndc-key";
        default-server 127.0.0.1;
        default-port 953;
};
# End of rndc.conf

# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
#       algorithm hmac-sha256;
#       secret "hogehoge";
# };
#
# controls {
#       inet 127.0.0.1 port 953
#               allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf

• secret "hogehoge"; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.
• 念のため, rndc.conf のコメントアウトされている箇所を削除した.
• 生成した rndc-key の鍵の key ステートメントをコピーし, rndc.key (ファイル) に記述した.
  • rndc.key の絶対パスは /usr/local/bind/etc/rndc.key である.
  • rndc.key ファイルの中身は以下の通り.

key "rndc-key" {
        algorithm hmac-sha256;
        secret "hogehoge";
};

• rndc.key の所有者を bind:bind に変更した.

  # chown bind:bind /usr/local/bind/etc/rndc.key

• rndc.key のパーミッションを 400 とした.

  # chmod 400 /usr/local/bind/etc/rndc.key

• 本来, bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.

  # cd /usr/local/bind/etc
  # chgrp -R staff .

• 所有者やパーミッションは以下のように設定した.

  # chmod 640 rndc.conf
  
  # chown bind namedb/named.conf
  # chmod 640 namedb/named.conf

以下のコマンドを実行し, bind の起動テストを行う.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

• /var/log/syslog を見て, 起動したことを確認した.

以下で始まる行を確認した.

Oct 14 22:18:29 tako-itpass named[17048]:

以下のように表示されており, 起動に失敗していた.

Oct 14 22:18:29 tako-itpass named[17048]: loading configuration from '/usr/local/bind/etc/namedb/named.conf'
Oct 14 22:18:29 tako-itpass named[17048]: directory '/usr/local/bind/etc/namedb' is not writable
Oct 14 22:18:29 tako-itpass named[17048]: /usr/local/bind/etc/namedb/named.conf:9: parsing failed: permission denied
Oct 14 22:18:29 tako-itpass named[17048]: loading configuration: permission denied
Oct 14 22:18:29 tako-itpass named[17048]: exiting (due to fatal error)

• /usr/local/bind/etc/namedb ディレクトリの所有者を bind に変更.

  # chown bind /usr/local/bind/etc/namedb

• さらに /var/log/named ディレクトリがなかったので, 作成.

# mkdir /var/log/named
# chown bind:bind /var/log/named

• 再度, 起動テストを行い, 起動したことを確認した.

• ps aux コマンドで走っていることを確認した.

  # ps aux | grep bind

以下のコマンドを実行する．

# cd /usr/local/bind/sbin
# ./rndc reload

named.conf やゾーンの整合性を確認した.

• named.conf の確認

  # cd /usr/local/bind/sbin
  # ./named-checkconf /usr/local/bind/etc/namedb/named.conf

  何も出力されず, 正常であることを確認した.

• ゾーンの確認

  # cd /usr/local/bind/etc/namedb
  # ../../sbin/named-checkzone localhost localhost.zone

  以下のように表示され, 正常であることを確認した.

  zone localhost/IN: loaded serial 2020101400
  OK

• ひとまず停止

  ひとまず named を停止する.

  ps aux で PID を調べて kill した.

new をフルサービスリゾルバにするために, [ITPASS2018]OSのインストールで設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.

• 名前解決できるかを確認した.

  # dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2

  dns-nameservers 133.30.109.21

bind によって正しく名前解決されるか確認する.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

下のように表示された.

; <<>> DiG 9.16.7 <<>> @133.30.109.21 www.google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11416
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 339527d3d1389fbe010000005f86fe59b9804320cf1c7083 (good)
;; QUESTION SECTION:
;www.google.com.                        IN      A

;; ANSWER SECTION:
www.google.com.         300     IN      A       216.58.199.228

;; Query time: 404 msec
;; SERVER: 133.30.109.21#53(133.30.109.21)
;; WHEN: Wed Oct 14 22:34:17 JST 2020
;; MSG SIZE  rcvd: 87

• ログを確認した.

  # lv /var/log/named/default.log

以下のようなログが大量に残されていた. このようなログは IPv6 対応だが IPv6 で外部と通信出来ない時に良く出るらしい.

14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:503:d2d::30#53
14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:503:83eb::30#53
14-Oct-2020 22:34:17.652 lame-servers: info: network unreachable resolving 'google.com/DS/IN': 2001:501:b1f9::30#53

named の起動時に -4 オプションを付けると上記のメッセージは出なくなる. (IPv4 専用モードで起動するため.)

• サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.
  • old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とする.

    • ただし, -4 オプションを付けることにした.

      bind9.service の中身は以下の通り.

      [Unit]
      Description=BIND Domain Name Server
      Documentation=man:named(8)
      After=network.target
      
      [Service]
      ExecStart=/usr/local/bind/sbin/named -4 -f -u bind -c /usr/local/bind/etc/namedb/named.conf
      ExecReload=/usr/local/bind/sbin/rndc reload
      ExecStop=/usr/local/bind/sbin/rndc stop
      
      [Install]
      WantedBy=multi-user.target

  • named を一度停止した.
    • ps aux で PID を確認して kill した.

  • bind9.service の起動テストを行った.

    # systemctl start bind9.service

  • bind9.service 起動の確認した.

    # systemctl status bind9.service

  • 名前解決できるかを確認した.

    $ export PAGER=less

]: automatic empty zone: 8.B.D.0.1.0.0.2.IP6.ARPA 3 10月 31 14:57:48 tako-itpass named[18795]: command channel listening on 127.0.0.1#953 conf ファイル内の options で max-cache-size を指定することができるらしいが, 適切な値がわからない.

• bind の動作を確認.

  $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

• システム起動時に自動的に bind が立ち上がるようにするために追加設定した.

  # systemctl enable bind9.service

• システム起動時に自動的に bind が立ち上がることを確認するために new を再起動した.

  # reboot

• 再起動後に, systemctl での起動していることを確認した.

• 上の方法に基づいて名前解決できるかを確認する.

  $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

• システム起動時に自動的に bind が立ち上がらないようにした.

  # systemctl disable bind9.service

  • なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.

    # systemctl stop bind9.service

また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換えた. 具体的には,

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
      dns-nameservers 133.30.109.21

を

dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2

#      dns-nameservers 133.30.109.21

に書き換えた.

• 再起動する.
• named が動いていないことを確認した.

# systemctl status bind9.service

• 名前が引けることを確認する.

  • 例えば下のようにして応答が返ってきたので問題ない.

    $ ping dennou-k.gfd-dennou.org