FrontPage  Index  Search  Changes  Login

IT pass HikiWiki - [Memo2009][ITPASS] tako 構築作業ログ(DNS)(村上(健), 古家, 井谷) Diff

  • Added parts are displayed like this.
  • Deleted parts are displayed like this.
{{toc}}

[((<ITPASSサーバ構築ドキュメント>)) へ戻る]

= 作業前の準備

(次回再構築時への覚書)

* DNS サーバの設定作業では, その時点で起動しているサーバ (2009年度であれば ika)の root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.

* また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.

= ビルドとインストール

  $ sudo -s
  # cd /usr/local/src

配布サイト ((<URL:https://www.isc.org/>))
からアーカイブを取得.

  # wget http://ftp.isc.org/isc/bind9/9.6.1-P1/bind-9.6.1-P1.tar.gz
  # tar zxfv bind-9.6.1-P1.tar.gz
  # cd bind-9.6.1-P1

  # mkdir /usr/local/bind
  # ./configure --prefix=/usr/local/bind

今回 OpenSSL についての警告は出なかったが, 以下の作業も行った.

#
#  以下は昨年度のログ.
#
#  OpenSSL のバージョンが古いのでセキュリティ脆弱性があると
#  警告が出るが,
#
#  Debian の場合はバージョン番号が古いままでもセキュリティパッチは
#  当たっているので, --disable-openssl-version-check を指定して
#  バージョンチェックを無視する.
#  なお, 具体的に修正された脆弱性一覧は
#  ((<URL:http://www.debian.org/security/>)) にある.
#  configure 時に指摘されている CAN-2002-0659, CAN-2006-4339,
#  CVE-2006-2937, CVE-2006-2940は全て対処されていることを確認.
#
#  openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある #  changelog.gz の中身から, パッチが当てられているか確認することができる.
#

  # ./configure --prefix=/usr/local/bind --disable-openssl-version-check

Bind をインストールする.

  # make
  # make install

インストールした Bind には host 等のコマンドも同梱されているため,
既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.

  # apt-get remove bind9-host libbind9-0 dnsutils


= インストールした実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す.

((<[EPA2008b]パスの設定>)) の((* <一般ユーザ用コマンドのパス> *))に ((*/usr/local/bind/bin*)) を, ((* <システム管理用コマンドのパス> *))に ((*/usr/local/bind/sbin*)) を追加する.


= インストールしたマニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する.
詳しくは ((<[EPA2008b]パスの設定#man 関連のパスの設定>)) を参照のこと.

  MANDATORY_MANPATH                          /usr/local/bind/man
  MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
  MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
  MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man


= ユーザとグループ追加

Bind の実行ユーザとして bind ユーザを作成する.
vipw を実行して以下の行を追加.

  bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false

vipw -s を実行して以下の行を追加.

  bind:!:13749:0:99999:7:::

同様に bind グループを追加する.
vigr を実行して以下の行を追加.

  bind:x:53:

vigr -s を実行して以下の行を追加.

  bind:*::


= pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

  # chown bind:bind /usr/local/bind/var/run/


= 各設定ファイルの編集

誤った作業
* 外部向け DNS サーバの構築
[((<tako 構築作業ログ (DNS) 1006>))]

== named.conf

ika より /usr/local/bind/etc/namedb/named.conf を /usr/local/bind/etc/namedb/ にコピー.
ファイル内の項目について, 下の内容に変更した.

  acl my-network {
          133.30.109.0/25;
          133.30.110.0/24;
          127.0.0.1;
  };
  
  options {
          directory "/usr/local/bind/etc/namedb";
          pid-file "/usr/local/bind/var/run/named.pid";
          recursion yes;
          allow-query { "my-network" ; } ;
  };
  zone "." {
          type hint;
          file "named.root";
  };
  
  zone "localhost" {
          type master;
          file "localhost.zone";
  };
  
  zone "0.0.127.in-addr.arpa" {
          type master;
          file "localhost.rev";
  };

== localhost.rev

* ika より /usr/local/bind/etc/namedb/localhost.rev を /usr/local/bind/etc/namedb/ にコピー.
* ファイル内の"ika.epa" という記述を "tako-itpass" に変更
* 内容は下記の通り

    $TTL    3600
    
    @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                                  20071025        ; Serial
                                  3600    ; Refresh
                                  900     ; Retry
                                  3600000 ; Expire
                                  3600 )  ; Minimum
            IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
    1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

== localhost.zone

* localhost.rev を localhost.zone という名前としてコピー.
* ファイル内の"ika.epa" という記述を "tako-itpass" に変更
* 内容は下記の通り

    $TTL    3600
    
    @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                                  20071025        ; Serial
                                  3600    ; Refresh
                                  900     ; Retry
                                  3600000 ; Expire
                                  3600 )  ; Minimum
            IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
            IN      A       127.0.0.1

== named.root

ika より /usr/local/bind/etc/namedb/named.root を /usr/local/bind/etc/namedb/ にコピー.


= 起動テスト

  # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

/var/log/syslog を見て, 起動したことを確認. ps(1) コマンドなどでも走っていることを確認.


= ファイルフォーマットチェック

named.conf とゾーン, 各々の整合性を確認する.

  root@tako:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されないので OK.

  root@tako:/usr/local/bind/etc# named-checkzone localhost localhost.zone
  zone localhost/IN: loaded serial 20071025
  OK



= rndc の設定

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

* まず, rndc-confgenを実行することで, 必要な設定ファイルの「もと」を生成する.

    root@tako:/usr/local/bind/etc/namedb# rndc-confgen

    # Start of rndc.conf
    key "rndc-key" {
            algorithm hmac-md5;
            secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    };

    options {
            default-key "rndc-key";
            default-server 127.0.0.1;
            default-port 953;
    };
    # End of rndc.conf

    # Use with the following in named.conf, adjusting the allow list as needed:
    # key "rndc-key" {
    #       algorithm hmac-md5;
    #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    # };
    #
    # controls {
    #       inet 127.0.0.1 port 953
    #               allow { 127.0.0.1; } keys { "rndc-key"; };
    # };
    # End of named.conf

secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.したがって, ここに挙げているのは例であって, 実際の設定とは異なる.


* rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.

   # rndc-confgen > /usr/local/bind/etc/rndc.conf

* 以下の記述を named.conf の末尾に追記.

    controls {
          inet 127.0.0.1 port 953
                  allow { 127.0.0.1; } keys { "rndc-key"; };
    };

    include "/usr/local/bind/etc/rndc.key";



* rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.

* 念のため, rndc.conf のコメントアウトされている箇所を削除する.

* パーミッションを以下のように設定する.

   root@tako:/usr/local/bind/etc# chgrp -R itpadmin .

itpadmin グループを作っていないので設定できない.
とりあえず root を使っているときにデフォルトの staff にしておく.

  root@tako:/usr/local/bind/etc# chgrp -R staff .   # とりあえず

  root@tako:/usr/local/bind/etc# chown bind rndc.key
  root@tako:/usr/local/bind/etc# chmod 600 rndc.key

  root@tako:/usr/local/bind/etc# chmod 640 rndc.conf

  root@tako:/usr/local/bind/etc# chown bind namedb/named.conf
  root@tako:/usr/local/bind/etc# chmod 640 namedb/named.conf

gate の設定待ち.

=== 10/16 追記

gate で epaadmin を itpadmin に修正できたため, /usr/local/bind/etc/ 以下のパーミッションを変更した.

  root@tako:/usr/local/bind/etc# chgrp -R itpadmin .


== rndc のテスト

  root@tako:/usr/local/bind/etc# rndc reload
  server reload successful

成功.

= 起動スクリプトの用意

サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.

* Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが ((<bind|URL:../epa/bind/bind>)) から入手できる. このファイルを /etc/init.d/bind にダウンロードする.

    # cd /etc/init.d
    # wget http://itpass.scitec.kobe-u.ac.jp/~itpass/epa/bind/bind

* 以下のように所有者とパーミッションを設定した.

    # chown root:root /etc/init.d/bind
    # chmod 755 /etc/init.d/bind


* 念のため, bind スクリプトの start, stop, restart の動作確認を行う.

# bind start
# bind stop
# bind restart


* ランレベルごとに bind の動作を設定する.


ここで bind スクリプトが LSB に準拠していないことが原因でエラーが発生したが, 下記の記述を追記することで解決した.

    エラー内容

    # update-rc.d bind defaults
    update-rc.d: warning: /etc/init.d/bind missing LSB information
    update-rc.d: see <http://wiki.debian.org/LSBInitScripts>
    Adding system startup for /etc/init.d/bind ...
      /etc/rc0.d/K20bind -> ../init.d/bind
      /etc/rc1.d/K20bind -> ../init.d/bind
      /etc/rc6.d/K20bind -> ../init.d/bind
      /etc/rc2.d/S20bind -> ../init.d/bind
      /etc/rc3.d/S20bind -> ../init.d/bind
      /etc/rc4.d/S20bind -> ../init.d/bind
      /etc/rc5.d/S20bind -> ../init.d/bind

     bind に追記した内容    

     ### BEGIN INIT INFO
     # Provides:          bind9
     # Required-Start:    $remote_fs
     # Required-Stop:     $remote_fs
     # Should-Start:      $network $syslog
     # Should-Stop:       $network $syslog
     # Default-Start:     2 3 4 5
     # Default-Stop:      0 1 6
     # Short-Description: Start and stop bind9
     # Description:       bind9 is a Domain Name Server (DNS)
     #        which translates ip addresses to and from internet names
     ### END INIT INFO

　　
* さらに, tako を再起動し, 起動時に bind が起動することを確認した.

     # shutdown -r now


== サーバ停止

このままの設定では, 何らかの原因で tako を DNS サーバとして参照してしまうと tako が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

DNS サーバ (bind) を停止.

  # /etc/init.d/bind stop

起動時に bind を起動しないようにする.

  # update-rc.d -f bind remove

サーバを再起動し, bind が起動していないことを確認した.


= 参考文献

* ((<"＠IT：キャッシュ／逆引きDNSの構築と運用"|URL:http://www.atmarkit.co.jp/flinux/rensai/bind904/bind904a.html>))

* DNS の仕組み解説 (初学者向け)
  * ((<3 Minutes Networking|URL:http://www5e.biglobe.ne.jp/~aji/3min/index.html>))

最近の更新

2024-11-20
2024-11-13
2024-11-12
2024-11-08
2024-11-06
2024-11-05
2024-10-30

Generated by Hiki 2.0.0.pre1 (2014-08-13).
Powered by Ruby 2.7.4-p191 (2021-07-07).
Founded by IT pass members.