IT pass HikiWiki - [ITPASS2015]bindのインストールと設定 Diff

{{toc}}

[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]


= ビルドとインストール

* 配布サイト ((<URL:https://www.isc.org/>)) からソースのアーカイブを取得し, ビルドする.
  * 最新のバージョンを取得する.
    * 以下のバージョン番号は適宜最新のものに読み替えること
  * インストール先は /usr/local/bind とする.
  
      # cd /usr/local/src
      # wget  ftp://ftp.isc.org/isc/bind9/9.10.3/bind-9.10.3.tar.gz
      # tar zxfv bind-9.10.3.tar.gz
      # cd bind-9.10.3

      # mkdir /usr/local/bind
      # ./configure --prefix=/usr/local/bind


  * 配布サイトからアーカイブを取得できない場合は, old からソースをコピーしてビルドを行う

  * ビルドの際に OpenSSL についての警告が出た場合は以下を参照
    * OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
    * Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して
      バージョンの確認を無効にする
      * 具体的に修正された脆弱性一覧は ((<URL:http://www.debian.org/security/>)) にある
    * openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる

        # ./configure --prefix=/usr/local/bind --disable-openssl-version-check

* Bind をインストールする

    # make
    # make install

  * コマンドが見つからない場合, make をインストールする.
  * 再度, 上記コマンドを実行した後, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出たら, libssl-dev をインストールし, 再度, 上記コマンドを実行する.


* インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-90, dnsutils を削除する.

    # apt-get remove bind9-host libbind9-90 dnsutils


= 実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す．
((<[ITPASS2015]パスの設定>))を参考にして各設定ファイルに以下の様に追記する.


== sh, bash
/etc/bash.bashrc の冒頭に

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
   PATH="${PATH}:/usr/local/bind/sbin"
fi

を追記する.

== csh, tcsh
/etc/csh.cshrc の冒頭に

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
   set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

を追記する.

  * /etc/csh.cshrc がない場合は, csh をインストールする.
  * csh をインストールしても /etc/csh.cshrc がない場合は, これを新たに作成し, 追記する.

== zsh
/etc/zsh/zshenv の冒頭に

# add PATH for local installed softwares
   export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
   export PATH="$PATH:/usr/local/bind/sbin"
fi

を追記する.

= マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは ((<[ITPASS2015]パスの設定>)) の 「man 関連のパスの設定」を参照のこと.


/etc/manpath.config に以下の行を追加する.


  MANDATORY_MANPATH                          /usr/local/bind/man
  MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
  MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
  MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man


= ユーザとグループ追加

* Bind の実行ユーザとして bind ユーザを作成する. etc/passwd，/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.

  * vipw を実行して以下の行を追加する.

      bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
  
  * vipw -s を実行して以下の行を追加する.

      bind:!:13749:0:99999:7:::

* 同様に bind グループを追加する.
  
  * vigr を実行して以下の行を追加する.

      bind:x:153:

  * vigr -s を実行して以下の行を追加する.

      bind:*::


= pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

  # chown bind:bind /usr/local/bind/var/run/


= 各設定ファイルの編集

== named.conf

* old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーする.
  ただし new に namedb というディレクトリがもともと無いなら, namadb を作成する.


* ファイルが以下の内容であることを確認する.

   acl my-network {
           133.30.109.0/25;
           127.0.0.1;
   };

   options {
           dump-file "/usr/local/bind/etc/cache_dump.db";
           directory "/usr/local/bind/etc/namedb";
           pid-file "/usr/local/bind/var/run/named.pid";
           recursion yes;
           allow-query { "my-network"; };
   };

   zone "." {
           type hint;
           file "named.root";
   };

   zone "localhost" {
           type master;
           file "localhost.zone";
   };

   zone "0.0.127.in-addr.arpa" {
           type master;
           file "localhost.rev";
   };

   controls {
             inet 127.0.0.1 port 953
                      allow { 127.0.0.1; } keys { "rndc-key"; };
   };

   #include "/usr/local/bind/etc/rndc.key";

== localhost.zone

* old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーする.
* ファイル内の "old" という記述を "new" に変更する．
* Serial には作業当日の日付と更新回数を 2 桁で書く.
* 書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                               2015100800 ; Serial
                                  3600    ; Refresh
                                  900     ; Retry
                                  3600000 ; Expire
                                  3600 )  ; Minimum
           IN      NS      new-itpass.scitec.kobe-u.ac.jp.
           IN      A       127.0.0.1

== localhost.rev

* old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーする.
* ファイル内の "old" という記述を "new" に変更する．
* Serial には作業当日の日付と更新回数を 2 桁で書く.
* 書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                             2015100800 ; Serial
                                3600    ; Refresh
                                900     ; Retry
                                3600000 ; Expire
                                3600 )  ; Minimum
         IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.


== named.root

* 最新のものを ((<URL:ftp://rs.internic.net/domain/named.root>)) からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存する. 上記の URL が見つからない場合は http://www.internic.net/domain/ から name.root を取得する.

# wget ftp://rs.internic.net/domain/named.root

= rndc の設定

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

* rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
  * 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.

     # cd /usr/local/bind/bin
     # rndc-confgen > /usr/local/bind/etc/rndc.conf

  * rndc.conf の中身は下記の通り.

      # Start of rndc.conf
      key "rndc-key" {
              algorithm hmac-md5;
              secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      };

      options {
              default-key "rndc-key";
              default-server 127.0.0.1;
              default-port 953;
      };
      # End of rndc.conf

      # Use with the following in named.conf, adjusting the allow list as needed:
      # key "rndc-key" {
      #       algorithm hmac-md5;
      #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      # };
      #
      # controls {
      #       inet 127.0.0.1 port 953
      #               allow { 127.0.0.1; } keys { "rndc-key"; };
      # };
      # End of named.conf

    * secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.

* 念のため, rndc.conf のコメントアウトされている箇所を削除する.

* 生成した rndc-key の鍵の中身を named.conf に貼り付ける.

= 編集したファイルのパーミッション設定

* 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておく.

    root@new:/usr/local/bind/etc# chgrp -R staff .

* 所有者やパーミッションは以下のように設定する.

    root@new:/usr/local/bind/etc# chmod 640 rndc.conf
  
    root@new:/usr/local/bind/etc# chown bind namedb/named.conf
    root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

= 起動テスト

以下のコマンドを実行し, Bind の起動テストを行う.

  # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

* /var/log/syslog を見て, 起動したことを確認
  * managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．

* ps aux コマンドなどで走っていることを確認する.


= rndc のテスト

以下のコマンドを実行する．

root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示されれば OK.

= ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認する.

* name.conf の確認

   root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

  何も出力されなければ正常である.

* ゾーンの確認

   root@new:/usr/local/bind/etc/namedb# named-checkzone localhost localhost.zone

  以下のように表示されれば正常である．

    zone localhost/IN: loaded serial XXXXXXXXXX
    OK

  なお, XXXXXXXXXX には Serial に書いた数字が表示される.



= フルサービスリゾルバへ変更

new をフルサービスリゾルバにするために, ((<[ITPASS2015]OSのインストール>))で設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

((*(注意)*))
/etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされるため, /etc/resolv.conf ではなく /etc/network/interfaces を編集すること, と 2014 年度のマニュアルには書かれていたが,

/etc/network/interfaces の中を見ると,

   # This file describes the network interfaces available on your system
   # and how to activate them. For more information, see interfaces(5).

   source /etc/network/interfaces.d/*

   # The loopback network interface
   auto lo
   iface lo inet loopback

となっており, dns-nameservers という項目がないかもしれない.


* /etc/resolv.conf を確認したが,下記のような内容にはなっていないはずである.

   # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
   #     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
   nameserver 133.30.109.21
   search scitec.kobe-u.ac.jp

ここでは, このまま bind の動作を確認して, 正しく名前解決されるか確認する.

   # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
   $ dig @133.30.109.21 www.google.com

* bind のログが確認できないため, ログを出力するように設定する.

  * /usr/local/bind/etc/namedb/named.conf に下の設定を追加する.

   logging {
         channel "default-log" {
                 file "/var/log/named/default.log" versions 5 size 10M;
                 severity info;
                 print-time yes;
                 print-severity yes;
                 print-category yes;
         };

         category default { "default-log"; };
   };

  * ログファイル用のディレクトリを用意する.

      # mkdir /var/log/named/
      # chown bind:bind /var/log/named/

  * bind を再起動する.

      # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

  * bind の動作を確認する.

      # dig @133.30.109.21 www.google.com

  * ログの確認を行う.

      # lv /var/log/named/default.log  

  * より詳しいログを出力するためには,/usr/local/bind/etc/namedb/named.conf 内の "info" を"debug" に変更すればよい(一度変えてみて, 確認してみるとよい).ただし, ログファイルのサイズを節約するために, "info" にする.

= 起動スクリプトの用意

* サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.

  * Debian の bind9 パッケージから, systemd 用の設定ファイルをコピーして用いることにする.
具体的には, 適当な情報実験機の一台(仮に johoXX )にパッケージの bind9 をインストールし, 設定ファイルを取り出す.

      johoXX # apt-get install bind9
      johoXX # systemctl
      johoXX # systemctl status bind9.service

systemctl によって bind9 のユニット名を確認し, systemctl status
bind9.service によって設定ファイルを確認する.
/lib/systemd/system/bind9.service を new にコピーして使用する.

  * bind9.service 内のパスなどを適宜書き換え, new の
/etc/systemd/system に置く.
なお, 書き換え後の bind9.service は((<bind|URL:../server/2015/bind/bind>))である.

  * bind9.service の起動テストを行う.

      # systemctl start bind9.service

  * bind9.service 起動の確認をする.

      # systemctl

(なお, systemctl が文字化けする場合は,
$ export PAGER=less
によって 環境変数 PAGER を変更するとよい.)

  * bind の起動の確認をする.

      $ dig @133.30.109.21 www.google.com

  * システム起動時に自動的に bind が立ち上がるようにするために追加設定を行う.

      # systemctl enable bind9.service

  * システム起動時に自動的に bind が立ち上がるか確認するために new を再起動する.

  * 再起動後に systemctl で確認する際, bind は立ち上がっており, 名前解決できるか確認する.

= 最後の作業

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

* インストールが終了したので, システム起動時に自動的に bind が立ち上がらないようにする.

   # systemctl disable bind9.service

  * なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.

= bind のアップデート

今後 bind のバージョンが上がった場合（脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む）は
((<[ITPASS2014]bind ((<[ITPASS2015]bind のアップデート>)) を参考に作業する．


[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]