IT pass HikiWiki - [Memo2014][ITPASS]bindのインストールと設定 Diff
- Added parts are displayed like this.
- Deleted parts are displayed
like this.
{{toc}}
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
= ビルドとインストール
* 配布サイト ((<URL:https://www.isc.org/>)) からソースのアーカイブを取得し, ビルドした
* 最新のバージョンを取得した
* インストール先は /usr/local/bind とした
# cd /usr/local/src
# wget ftp://ftp.isc.org/isc/bind9/9.10.1/bind-9.10.1.tar.gz
# tar zxfv bind-9.10.1.tar.gz
# cd bind-9.10.1
# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
* Bind をインストールした
# make
# make install
make, make install 後に以下のコマンドを実行して, 0 が表示される (すなわちエラーがない) ことを確認した.
# echo $?
* インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils を削除した
# apt-get remove bind9-host libbind9-0 dnsutils
libbind9-0 がないと表示された.
以下のコマンドでインストールされているパッケージから libbind を検索した.
# dpkg -l | grep libbind
libbind9-80 がインストールされていたので, 再度削除を行った.
# apt-get remove bind9-host libbind9-80 dnsutils
= 実行ファイルへのパスの設定
((<[ITPASS2012]パスの設定>))に従い, インストールされた Bind の実行ファイル群へパスを通した．
具体的には以下を追記した
== sh, bash
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
== csh, tcsh
# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif
== zsh
# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
export PATH="$PATH:/usr/local/bind/sbin"
fi
# delete duplicated path setting
typeset -U path
zsh の下 2 行に関してはここで設定する必要がないので, ((<[ITPASS2012]パスの設定>)) から削った方が良いと思われる.
= マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加した. 詳しくは ((<[ITPASS2012]パスの設定#man 関連のパスの設定>)) を参照のこと.
MANDATORY_MANPATH /usr/local/bind/man
MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man
MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man
MANDB_MAP /usr/local/bind/man /usr/local/bind/man
= ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成した.
ユーザ, グループ id は, 153 とした.
他と重複がないことは /etc/passwd，/etc/group を開いて確認した.
* vipw を実行して以下の行を追加した.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
* vipw -s を実行して以下の行を追加した.
bind:!:13749:0:99999:7:::
同様に bind グループを追加した.
* vigr を実行して以下の行を追加した.
bind:x:153:
* vigr -s を実行して以下の行を追加した.
bind:*::
= pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
= 各設定ファイルの編集
== ファイルの準備
* old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.
まず new に namedb というディレクトリがなかったので作成した．
# cd /usr/local/bind/etc/
# mkdir namedb
new の ssh の設定をパスワードログインができるように変更し ssh を再起動した
さらに, old 上で以下のコマンドを実行した.
# scp /usr/local/bind/etc/namedb/named.conf /usr/local/bind/etc/namedb/localhost.zone /usr/local/bind/etc/namedb/localhost.rev chikuwa1@133.30.109.21:
その後 new の ssh の設定を元に戻し, ssh を再起動した
ファイルを適切な場所に移動した.
# cd ./namedb
# cp ~chikuwa1/named.conf ~chikuwa1/localhost.zone ~chikuwa1/localhost.rev .
== named.conf
* ファイルが以下の内容であることを確認した.
acl my-network {
133.30.110.0/24;
133.30.109.0/25;
127.0.0.1;
};
options {
dump-file "/usr/local/bind/etc/cache_dump.db";
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network"; };
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
include "/usr/local/bind/etc/rndc.key";
== localhost.zone
* ファイル内の "old" という記述を "new" に変更する．
* Serial には作業当日の日付と更新回数を書く.
* 更新回数については何を書くのか良く分からなかったので, マニュアルの例通り日付のみとした
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. (
20141031 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
== localhost.rev
* ファイル内の "old" という記述を "new" に変更する．
* Serial には作業当日の日付と更新回数を書く.
* 更新回数については何を書くのか良く分からなかったので, マニュアルの例通り日付のみとした
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. (
20141031 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
== named.root
* 最新のものを ((<URL:ftp://rs.internic.net/domain/named.root>)) からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した
# wget ftp://rs.internic.net/domain/named.root
= rndc の設定
rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.
* rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.
* 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
マニュアルには時間がかかるかもしれないと書いてあったが, 実際には一瞬で完了した.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
* rndc.conf の中身は下記の通り.
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "SZN/mCIMkFJmFJ/98jlcMQ==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-md5;
# secret "SZN/mCIMkFJmFJ/98jlcMQ==";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.
* rndc.conf のコメントアウトされている箇所のうち, key で始まる 4 行をコメントを外して /usr/local/bind/etc/rndc.key として保存した.
* 念のため, rndc.conf のコメントアウトされている箇所を削除した.
= 編集したファイルのパーミッション設定
* 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが,
現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
root@new:/usr/local/bind/etc# chgrp -R staff .
gate のインストールが終わった後に itpadmin へ変更した．
* 所有者やパーミッションは以下のように設定した.
root@new:/usr/local/bind/etc# chown bind rndc.key
root@new:/usr/local/bind/etc# chmod 600 rndc.key
root@new:/usr/local/bind/etc# chmod 640 rndc.conf
root@new:/usr/local/bind/etc# chown bind namedb/named.conf
root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
= 起動テスト
以下のコマンドを実行し, Bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
* /var/log/syslog を見て, 起動したことを確認した
* エラーがないことも確認した
* ps aux コマンドで走っていることを確認した
# ps aux | grep named
bind 476 0.0 0.1 150080 17492 ? Ssl 11:20 0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
= rndc のテスト
以下のコマンドを実行した．
root@new:/usr/local/bind/etc# rndc reload
server reload successful と表示された.
WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using ...
と出たが, マニュアルによれば特に問題ないとのことなのでそのままにした.
= ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
* name.conf の確認
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなかったので正常であるとした.
* ゾーンの確認
root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone
と実行したところ, localhost.zone が無いと言われた.
実際には namedb ディレクトリの下にあり, マニュアルが間違っていると思われる.
ディレクトリを移動したのち, 再度上記コマンドを実行した.
# cd /usr/local/bind/etc/namedb
# named-checkzone localhost localhost.zone
以下のように表示されたので正常であるとした．
zone localhost/IN: loaded serial 20141031
OK
= フルサービスリゾルバへ変更
new をフルサービスリゾルバにするために, ((<[ITPASS2012]OSのインストール>))で設定した DNS サーバを学術情報基盤センターから new 自身に変更した.
* /etc/network/interfaces の dns-nameservers を以下のように書き換えた.
dns-nameservers 133.30.109.21
* ネットワークを再起動した
# /etc/init.d/networking stop
# /etc/init.d/networking start
* /etc/resolv.conf が下記のような内容であることを確認した
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
# DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 133.30.109.21
search scitec.kobe-u.ac.jp
= 起動スクリプトの用意
サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
* Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, ((<bind|URL:../server/2012/bind/bind>))
から入手できる. このファイルを /etc/init.d/bind として保存した.
# cd /etc/init.d
# wget http://itpass.scitec.kobe-u.ac.jp/server/2012/bind/bind
* 所有者とパーミッションを以下のように設定した.
# chown root:root /etc/init.d/bind
# chmod 755 /etc/init.d/bind
* bind スクリプトの start, stop, restart の動作確認を行った.
# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart
コマンドごとに ps aux で動作を起動, 停止の動作をしていることを確認した.
実行時に以下のような警告が表示されたが, ika でも同じ表示になったので問題ないと判断した.
Stopping domain name service: namedWARNING: key file (/usr/local/bind/etc/rndc.key exists, but using default configuration file (/usr/local/bind/etc/rndc.conf)
rndc: connect failed: 127.0.0.1#953: connection refused
.
* ランレベルごとに bind の動作を設定する. 以下のコマンドを実行した.
# insserv -d bind
警告が何も出なかったので問題ないとした.
* さらに, new を再起動してシステムの起動時に Bind が起動することを確認した.
# reboot
# ps aux | grep named
== DNS サーバ停止
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
DNS サーバ (bind) を停止した.
# /etc/init.d/bind stop
起動時に bind を起動しないようにした.
# insserv -f -r bind
サーバを再起動し, bind が起動していないことを確認した.
# ps aux | grep named
= 動作テスト
dig コマンド等を使って次の二点を確認する.
* 問い合わせの返答が返ってくるか
* 問い合わせ先が new 自身になっているか
$ dig @133.30.109.21 www.google.com
no servers could be reached と表示された.
上で Bind を止めたためだと思われるので, 一時的に Bind を起動して再度テストする.
# /etc/init.d/bind start
$ dig @133.30.109.21 www.google.com
問い合わせの返答が正しく返ってくることを確認した
再度 Bind を停止した.
# /etc/init.d/bind stop
= named.conf ファイルの修正
今までは,
acl my-network {
133.30.110.0/24;
133.30.109.0/25;
127.0.0.1;
};
であったが, 現在では 133.30.110.0/24 はつながっていないので, 削除した.
= localhost.zone と localhost.rev ファイルの設定について
localhost.zone と localhost.rev ファイルについて, Serial の値を更新回数を含めた形式に, メールアドレスを root から itpadmin へとそれぞれ修正した.
書き換え後の localhost.zone
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp. (
2014110300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
書き換え後の localhost.rev
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp. (
2014110300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
= rndc の設定
マニュアルに従って rndc.conf から rndc.key を作成して起動テストを行ったが,
WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using ...
という警告が出ていた. これは rndc.conf と rndc.key が両方あるために起こったものだった.
デフォルトでは rndc.conf を使うように設定されているので, rndc.conf を使うようにした.
さらに named.conf に rndc.conf と同じ鍵を貼り付けて, rndc.key ファイルを読み込んでいた include 以下の部分をコメントアウトした.
= 起動テスト
以下のコマンドを実行し, Bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
* /var/log/syslog を見て, 起動したことを確認した
* エラーがないことも確認した
= rndc のテスト
以下のコマンドを実行した．
root@new:/usr/local/bind/etc# rndc reload
server reload successful と表示された.
= ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
* name.conf の確認
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなかったので正常であるとした.
* ゾーンの確認
# cd /usr/local/bind/etc/namedb
# named-checkzone localhost localhost.zone
以下のように表示されたので正常であるとした．
zone localhost/IN: loaded serial 2014110300
OK
== bind の動作確認
設定ファイルを修正したので, bind スクリプトの動作確認を行った.
# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart
コマンドごとに ps aux で起動, 起動, 停止の動作をしていることを確認した.
= 動作テスト
dig コマンド等を使って次の二点を確認する.
* 問い合わせの返答が返ってくるか
* 問い合わせ先が new 自身になっているか
$ dig @133.30.109.21 www.google.com
問い合わせの返答が正しく返ってくることを確認した
= DNS サーバの停止
設定の修正のため動かしていた DNS サーバ (bind)を再び停止した.
# /etc/init.d/bind stop
起動時に bind を起動しないようにした.
# insserv -f -r bind
サーバを再起動し, bind が起動していないことを確認した.
# ps aux | grep named
= 参考文献
* ((<"＠IT：キャッシュ／逆引きDNSの構築と運用"|URL:http://www.atmarkit.co.jp/flinux/rensai/bind904/bind904a.html>))
* DNS の仕組み解説 (初学者向け)
* ((<3 Minutes Networking|URL:http://www5e.biglobe.ne.jp/~aji/3min/index.html>))
* ((<The BIND 9 Administrator Reference Manual|URL:https://kb.isc.org/article/AA-01031>))
* ((<rndcの仕組みと設定|URL:http://www.geocities.jp/yasasikukaitou/rndc.html>))
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
= ビルドとインストール
* 配布サイト ((<URL:https://www.isc.org/>)) からソースのアーカイブを取得し, ビルドした
* 最新のバージョンを取得した
* インストール先は /usr/local/bind とした
# cd /usr/local/src
# wget ftp://ftp.isc.org/isc/bind9/9.10.1/bind-9.10.1.tar.gz
# tar zxfv bind-9.10.1.tar.gz
# cd bind-9.10.1
# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
* Bind をインストールした
# make
# make install
make, make install 後に以下のコマンドを実行して, 0 が表示される (すなわちエラーがない) ことを確認した.
# echo $?
* インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils を削除した
# apt-get remove bind9-host libbind9-0 dnsutils
libbind9-0 がないと表示された.
以下のコマンドでインストールされているパッケージから libbind を検索した.
# dpkg -l | grep libbind
libbind9-80 がインストールされていたので, 再度削除を行った.
# apt-get remove bind9-host libbind9-80 dnsutils
= 実行ファイルへのパスの設定
((<[ITPASS2012]パスの設定>))に従い, インストールされた Bind の実行ファイル群へパスを通した．
具体的には以下を追記した
== sh, bash
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
== csh, tcsh
# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif
== zsh
# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
export PATH="$PATH:/usr/local/bind/sbin"
fi
# delete duplicated path setting
typeset -U path
zsh の下 2 行に関してはここで設定する必要がないので, ((<[ITPASS2012]パスの設定>)) から削った方が良いと思われる.
= マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加した. 詳しくは ((<[ITPASS2012]パスの設定#man 関連のパスの設定>)) を参照のこと.
MANDATORY_MANPATH /usr/local/bind/man
MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man
MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man
MANDB_MAP /usr/local/bind/man /usr/local/bind/man
= ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成した.
ユーザ, グループ id は, 153 とした.
他と重複がないことは /etc/passwd，/etc/group を開いて確認した.
* vipw を実行して以下の行を追加した.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
* vipw -s を実行して以下の行を追加した.
bind:!:13749:0:99999:7:::
同様に bind グループを追加した.
* vigr を実行して以下の行を追加した.
bind:x:153:
* vigr -s を実行して以下の行を追加した.
bind:*::
= pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
= 各設定ファイルの編集
== ファイルの準備
* old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.
まず new に namedb というディレクトリがなかったので作成した．
# cd /usr/local/bind/etc/
# mkdir namedb
new の ssh の設定をパスワードログインができるように変更し ssh を再起動した
さらに, old 上で以下のコマンドを実行した.
# scp /usr/local/bind/etc/namedb/named.conf /usr/local/bind/etc/namedb/localhost.zone /usr/local/bind/etc/namedb/localhost.rev chikuwa1@133.30.109.21:
その後 new の ssh の設定を元に戻し, ssh を再起動した
ファイルを適切な場所に移動した.
# cd ./namedb
# cp ~chikuwa1/named.conf ~chikuwa1/localhost.zone ~chikuwa1/localhost.rev .
== named.conf
* ファイルが以下の内容であることを確認した.
acl my-network {
133.30.110.0/24;
133.30.109.0/25;
127.0.0.1;
};
options {
dump-file "/usr/local/bind/etc/cache_dump.db";
directory "/usr/local/bind/etc/namedb";
pid-file "/usr/local/bind/var/run/named.pid";
recursion yes;
allow-query { "my-network"; };
};
zone "." {
type hint;
file "named.root";
};
zone "localhost" {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
include "/usr/local/bind/etc/rndc.key";
== localhost.zone
* ファイル内の "old" という記述を "new" に変更する．
* Serial には作業当日の日付と更新回数を書く.
* 更新回数については何を書くのか良く分からなかったので, マニュアルの例通り日付のみとした
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. (
20141031 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
== localhost.rev
* ファイル内の "old" という記述を "new" に変更する．
* Serial には作業当日の日付と更新回数を書く.
* 更新回数については何を書くのか良く分からなかったので, マニュアルの例通り日付のみとした
* 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp. (
20141031 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
== named.root
* 最新のものを ((<URL:ftp://rs.internic.net/domain/named.root>)) からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した
# wget ftp://rs.internic.net/domain/named.root
= rndc の設定
rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.
* rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.
* 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
マニュアルには時間がかかるかもしれないと書いてあったが, 実際には一瞬で完了した.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
* rndc.conf の中身は下記の通り.
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "SZN/mCIMkFJmFJ/98jlcMQ==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-md5;
# secret "SZN/mCIMkFJmFJ/98jlcMQ==";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.
* rndc.conf のコメントアウトされている箇所のうち, key で始まる 4 行をコメントを外して /usr/local/bind/etc/rndc.key として保存した.
* 念のため, rndc.conf のコメントアウトされている箇所を削除した.
= 編集したファイルのパーミッション設定
* 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが,
現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
root@new:/usr/local/bind/etc# chgrp -R staff .
gate のインストールが終わった後に itpadmin へ変更した．
* 所有者やパーミッションは以下のように設定した.
root@new:/usr/local/bind/etc# chown bind rndc.key
root@new:/usr/local/bind/etc# chmod 600 rndc.key
root@new:/usr/local/bind/etc# chmod 640 rndc.conf
root@new:/usr/local/bind/etc# chown bind namedb/named.conf
root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
= 起動テスト
以下のコマンドを実行し, Bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
* /var/log/syslog を見て, 起動したことを確認した
* エラーがないことも確認した
* ps aux コマンドで走っていることを確認した
# ps aux | grep named
bind 476 0.0 0.1 150080 17492 ? Ssl 11:20 0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
= rndc のテスト
以下のコマンドを実行した．
root@new:/usr/local/bind/etc# rndc reload
server reload successful と表示された.
WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using ...
と出たが, マニュアルによれば特に問題ないとのことなのでそのままにした.
= ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
* name.conf の確認
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなかったので正常であるとした.
* ゾーンの確認
root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone
と実行したところ, localhost.zone が無いと言われた.
実際には namedb ディレクトリの下にあり, マニュアルが間違っていると思われる.
ディレクトリを移動したのち, 再度上記コマンドを実行した.
# cd /usr/local/bind/etc/namedb
# named-checkzone localhost localhost.zone
以下のように表示されたので正常であるとした．
zone localhost/IN: loaded serial 20141031
OK
= フルサービスリゾルバへ変更
new をフルサービスリゾルバにするために, ((<[ITPASS2012]OSのインストール>))で設定した DNS サーバを学術情報基盤センターから new 自身に変更した.
* /etc/network/interfaces の dns-nameservers を以下のように書き換えた.
dns-nameservers 133.30.109.21
* ネットワークを再起動した
# /etc/init.d/networking stop
# /etc/init.d/networking start
* /etc/resolv.conf が下記のような内容であることを確認した
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
# DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 133.30.109.21
search scitec.kobe-u.ac.jp
= 起動スクリプトの用意
サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
* Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, ((<bind|URL:../server/2012/bind/bind>))
から入手できる. このファイルを /etc/init.d/bind として保存した.
# cd /etc/init.d
# wget http://itpass.scitec.kobe-u.ac.jp/server/2012/bind/bind
* 所有者とパーミッションを以下のように設定した.
# chown root:root /etc/init.d/bind
# chmod 755 /etc/init.d/bind
* bind スクリプトの start, stop, restart の動作確認を行った.
# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart
コマンドごとに ps aux で動作を起動, 停止の動作をしていることを確認した.
実行時に以下のような警告が表示されたが, ika でも同じ表示になったので問題ないと判断した.
Stopping domain name service: namedWARNING: key file (/usr/local/bind/etc/rndc.key exists, but using default configuration file (/usr/local/bind/etc/rndc.conf)
rndc: connect failed: 127.0.0.1#953: connection refused
.
* ランレベルごとに bind の動作を設定する. 以下のコマンドを実行した.
# insserv -d bind
警告が何も出なかったので問題ないとした.
* さらに, new を再起動してシステムの起動時に Bind が起動することを確認した.
# reboot
# ps aux | grep named
== DNS サーバ停止
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
DNS サーバ (bind) を停止した.
# /etc/init.d/bind stop
起動時に bind を起動しないようにした.
# insserv -f -r bind
サーバを再起動し, bind が起動していないことを確認した.
# ps aux | grep named
= 動作テスト
dig コマンド等を使って次の二点を確認する.
* 問い合わせの返答が返ってくるか
* 問い合わせ先が new 自身になっているか
$ dig @133.30.109.21 www.google.com
no servers could be reached と表示された.
上で Bind を止めたためだと思われるので, 一時的に Bind を起動して再度テストする.
# /etc/init.d/bind start
$ dig @133.30.109.21 www.google.com
問い合わせの返答が正しく返ってくることを確認した
再度 Bind を停止した.
# /etc/init.d/bind stop
= named.conf ファイルの修正
今までは,
acl my-network {
133.30.110.0/24;
133.30.109.0/25;
127.0.0.1;
};
であったが, 現在では 133.30.110.0/24 はつながっていないので, 削除した.
= localhost.zone と localhost.rev ファイルの設定について
localhost.zone と localhost.rev ファイルについて, Serial の値を更新回数を含めた形式に, メールアドレスを root から itpadmin へとそれぞれ修正した.
書き換え後の localhost.zone
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp. (
2014110300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
書き換え後の localhost.rev
$TTL 3600
@ IN SOA tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp. (
2014110300 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS tako-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
= rndc の設定
マニュアルに従って rndc.conf から rndc.key を作成して起動テストを行ったが,
WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using ...
という警告が出ていた. これは rndc.conf と rndc.key が両方あるために起こったものだった.
デフォルトでは rndc.conf を使うように設定されているので, rndc.conf を使うようにした.
さらに named.conf に rndc.conf と同じ鍵を貼り付けて, rndc.key ファイルを読み込んでいた include 以下の部分をコメントアウトした.
= 起動テスト
以下のコマンドを実行し, Bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
* /var/log/syslog を見て, 起動したことを確認した
* エラーがないことも確認した
= rndc のテスト
以下のコマンドを実行した．
root@new:/usr/local/bind/etc# rndc reload
server reload successful と表示された.
= ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
* name.conf の確認
root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなかったので正常であるとした.
* ゾーンの確認
# cd /usr/local/bind/etc/namedb
# named-checkzone localhost localhost.zone
以下のように表示されたので正常であるとした．
zone localhost/IN: loaded serial 2014110300
OK
== bind の動作確認
設定ファイルを修正したので, bind スクリプトの動作確認を行った.
# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart
コマンドごとに ps aux で起動, 起動, 停止の動作をしていることを確認した.
= 動作テスト
dig コマンド等を使って次の二点を確認する.
* 問い合わせの返答が返ってくるか
* 問い合わせ先が new 自身になっているか
$ dig @133.30.109.21 www.google.com
問い合わせの返答が正しく返ってくることを確認した
= DNS サーバの停止
設定の修正のため動かしていた DNS サーバ (bind)を再び停止した.
# /etc/init.d/bind stop
起動時に bind を起動しないようにした.
# insserv -f -r bind
サーバを再起動し, bind が起動していないことを確認した.
# ps aux | grep named
= 参考文献
* ((<"＠IT：キャッシュ／逆引きDNSの構築と運用"|URL:http://www.atmarkit.co.jp/flinux/rensai/bind904/bind904a.html>))
* DNS の仕組み解説 (初学者向け)
* ((<3 Minutes Networking|URL:http://www5e.biglobe.ne.jp/~aji/3min/index.html>))
* ((<The BIND 9 Administrator Reference Manual|URL:https://kb.isc.org/article/AA-01031>))
* ((<rndcの仕組みと設定|URL:http://www.geocities.jp/yasasikukaitou/rndc.html>))
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]