IT pass HikiWiki - [ITPASS2017]bindのインストールと設定

ビルドとインストール

配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドする.
- 最新のバージョン (9.11.2) を取得.
  - 以下のバージョン番号は適宜最新のものに読み替えること
- インストール先は /usr/local/bind である.
```
# cd /usr/local/src
# wget  ftp://ftp.isc.org/isc/bind9/9.11.2/bind-9.11.2.tar.gz
# tar zxfv bind-9.11.2.tar.gz
# cd bind-9.11.2

# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind
```
- 配布サイトからアーカイブを取得できない場合は, old からソースをコピーしてビルドする
- ビルドの際に OpenSSL についての警告が出た場合は以下を参照すること
  - OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
  - Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定してバージョンの確認を無効にする
    - 具体的に修正された脆弱性一覧は <URL:http://www.debian.org/security/> にある
  - openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる
```
# ./configure --prefix=/usr/local/bind --disable-openssl-version-check
# make
```
インストール

Bind をインストールする.

# make install

make コマンドが見つからない場合にはインストールする.
```
# apt-get install make
```
再度, 上記コマンドを実行した後, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出るかもしれない. そのときには, libssl-dev をインストールし, 再度, 上記コマンドを実行する.

既にインストールされている Bind 関係のパッケージの削除

下のように関係パッケージを確認する.

# apt-cache search bind9

表示された多数のパッケージから関係パッケージを抽出する. ("bind9" という文字で検索すると良い)
- bind9
- bind9-doc
- bind9-host
- bind9utils
- libbind9-140
- bind9-dyndb-ldap
これらのパッケージが実際にインストールされているかどうかを確認する.

# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap

インストールされている場合には, それらを削除する.

実際, 2017 年サーバ再構築時には, bind9-host, libbind9-140 のみがインストールされていたため, 下のように削除した.

# apt-get remove bind9-host libbind9-140

なお, 2017 年サーバ再構築時には, 依存関係によって gnome がアンインストールされてしまった. しかし, startx で GUI が使えるようなのでここでは良いことにした.

実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す． [ITPASS2017]パスの設定を参考にして各設定ファイルに以下の様に追記する.

sh, bash

/etc/bash.bashrc の末尾に以下を追記する.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

csh, tcsh

/etc/csh.cshrc の末尾に以下を追記する.

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif


 * /etc/csh.cshrc がない場合は, csh をインストールする.
 * csh をインストールしても /etc/csh.cshrc がない場合は, これを新たに作成し, 追記する.

zsh

/etc/zsh/zshenv の末尾に以下を追記する.

# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2017]パスの設定の「man 関連のパスの設定」を参照.

/etc/manpath.config に以下の行を追加する.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

Bind の実行ユーザとして bind ユーザを作成

bind ユーザを作成する. なお, 下に示すのは 2017 年サーバ再構築時の情報である. /etc/passwd，/etc/group を確認して他と重複しないユーザ, グループ id を適宜設定すること.

# export EDITOR=vi
- vipw を実行して以下の行を追加する.
```
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
```
- vipw -s を実行して以下の行を追加する.
```
bind:!:13749:0:99999:7:::
```
同様に bind グループを追加する.
- vigr を実行して以下の行を追加する.
```
bind:x:153:
```
- vigr -s を実行して以下の行を追加する.
```
bind:*::
```

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

named.conf

old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーする. ただし new に namedb というディレクトリが無いならば, namadb を作成する.
```
# cd /usr/local/bind/etc
# mkdir namadb
```

ファイルが下の内容であることを確認する.

acl my-network {
        133.30.109.0/25;
        10.35.19.0/24;
        127.0.0.1;
};

options {
        dump-file "/usr/local/bind/etc/cache_dump.db";
        directory "/usr/local/bind/etc/namedb";
        pid-file "/usr/local/bind/var/run/named.pid";
        recursion yes;
        allow-query { "my-network"; };
};

zone "." {
        type hint;
        file "named.root";
};

zone "localhost" {
        type master;
        file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" {
        type master;
        file "localhost.rev";
};

controls {
          inet 127.0.0.1 port 953
                   allow { 127.0.0.1; } keys { "rndc-key"; };
};

logging {
        channel "default-log" {
                file "/var/log/named/default.log" versions 5 size 10M;
                severity info;
                print-time yes;
                print-severity yes;
                print-category yes;
        };

        category default { "default-log"; };
};

include "/usr/local/bind/etc/rndc.key";

localhost.zone

old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーする.
ファイル内の "old" (=ika) という記述を "new" (=tako) に変更する．
Serial には作業当日の日付と更新回数 (2 桁) を書く.
書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                              2017102300 ; Serial
                                 3600    ; Refresh
                                 900     ; Retry
                                 3600000 ; Expire
                                 3600 )  ; Minimum
          IN      NS      new-itpass.scitec.kobe-u.ac.jp.
          IN      A       127.0.0.1

localhost.rev

old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーする.
ファイル内の "old" (=ika) という記述を "new" (=tako) に変更する．
Serial には作業当日の日付と更新回数 (2 桁) を書く.
書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                            2016102300 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存する.
- 上記の URL が見つからない場合は http://www.internic.net/domain/ から name.root を取得する.

# wget ftp://rs.internic.net/domain/named.root

rndc の設定

rndc コマンドは, named の再起動, config ファイルの読み直しなどを行うコマンドである. rndc コマンドは, named への不正なアクセスを防ぐために秘密鍵を用いたアクセスを行うため, 設定が必要である.

rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.

実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.
```
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
```

rndc.conf の中身は下記の通り.

# Start of rndc.conf
key "rndc-key" {
        algorithm hmac-md5;
        secret "IPd2IeZIe8TM2i5LaBW04g==";
};

options {
        default-key "rndc-key";
        default-server 127.0.0.1;
        default-port 953;
};
# End of rndc.conf

# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
#       algorithm hmac-md5;
#       secret "IPd2IeZIe8TM2i5LaBW04g==";
# };
#
# controls {
#       inet 127.0.0.1 port 953
#               allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf

なお, 下の key の secret の項目は実際の値ではないことに注意すること. (その値は秘密鍵であり, ここに記してはいけない. ログにも記してはいけない.)

secret "IPd2IeZIe8TM2i5LaBW04g=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.

念のため, rndc.conf のコメントアウトされている箇所を削除する.
生成した rndc-key の鍵の key ステートメントをコピーし, rndc.key (ファイル) に書く.
- rndc.key の絶対パスは /usr/local/bind/etc/rndc.key である.
- rndc.key ファイルがなければ作成する.
つまり, rndc.key ファイルの中身は下のようになる.
```
key "rndc-key" {
        algorithm hmac-md5;
        secret "IPd2IeZIe8TM2i5LaBW04g==";
};
```
rndc.key の所有者を bind:bind に変更する.
```
# chown bind:bind rndc.key
```
rndc.key のパーミッションを 400 とする
```
# chmod 400 rndc.key
```

編集したファイルのパーミッション設定

本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とする.
```
root@new:/usr/local/bind/etc# chgrp -R staff .
```

所有者やパーミッションは以下のように設定する.

root@new:/usr/local/bind/etc# chmod 640 rndc.conf

root@new:/usr/local/bind/etc# chown bind namedb/named.conf
root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

起動テスト

以下のコマンドを実行し, bind の起動テストを行う.

以下で始まる行を確認する

Oct 23 16:58:13 tako-itpass named[16132]:

 # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

/var/log/syslog を見て, 起動したことを確認する.
- 2017 年サーバ再構築時には, /var/log/named ディレクトリがなかったので, 作成した.
```
# mkdir /var/log/named
# chown bind:bind /var/log/named
```
- managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．
ps aux コマンドで走っていることを確認する.
```
# ps aux | grep bind
```
このコマンドにより, 下のような行が表示されれば, bind が動作していることを示している.
```
bind       666  0.0  0.2 656288 37344 ?        Ssl  12月05   0:10 /usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
```

rndc のテスト

以下のコマンドを実行した．

root@new:/usr/local/bind/sbin# ./rndc reload

server reload successful と表示されればよい.

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認する.

named.conf の確認

root@new:/usr/local/bind/sbin# named-checkconf /usr/local/bind/etc/namedb/named.conf

何も出力されなければ正常である.

ゾーンの確認

# cd /usr/local/bind/etc/namedb
# ../../sbin/named-checkzone localhost localhost.zone

以下のように表示されれば正常である.

zone localhost/IN: loaded serial 2017102300
OK

ひとまず停止

ひとまず named を停止する.

例えば下のように, ps aux で PID を調べて kill する.

# ps aux | grep bind
root       564  0.0  0.0  49872  3492 ?        Ss   12月05   0:00 /sbin/rpcbind -f -w
bind       666  0.0  0.2 656288 37344 ?        Ssl  12月05   0:10 /usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
# kill 666

フルサービスリゾルバへ変更

new をフルサービスリゾルバにするために, [ITPASS2017]OSのインストールで設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

(注意) /etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされるため, /etc/resolv.conf ではなく /etc/network/interfaces を編集すること.

/etc/network/interfaces の dns-nameservers の項目を下のように書き換える.

dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2

#       dns-nameservers 133.30.109.21

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
        dns-nameservers 133.30.109.21

bind によって正しく名前解決されるか確認する.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

下のように表示されれば成功である.

; <<>> DiG 9.11.2 <<>> @133.30.109.21 www.google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45815
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: c4ccda1c5f52ccece157ecdb59eda997a80203fda2249494 (good)
;; QUESTION SECTION:
;www.google.com.                        IN      A

;; ANSWER SECTION:
www.google.com.         300     IN      A       216.58.197.4

;; AUTHORITY SECTION:
google.com.             172800  IN      NS      ns4.google.com.
google.com.             172800  IN      NS      ns3.google.com.
google.com.             172800  IN      NS      ns1.google.com.
google.com.             172800  IN      NS      ns2.google.com.

;; Query time: 1161 msec
;; SERVER: 133.30.109.21#53(133.30.109.21)
;; WHEN: Mon Oct 23 17:34:31 JST 2017
;; MSG SIZE  rcvd: 159

ログを確認する.
```
# lv /var/log/named/default.log
```
より詳しいログを出力するためには,/usr/local/bind/etc/namedb/named.conf 内の "info" を"debug" に変更すればよい(一度変えてみて, 確認してみるとよい).ただし, ログファイルのサイズを節約するために, "info" にする.

起動スクリプトの用意

サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.
- old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とする.
  
  bind9.service の中身は以下.
```
[Unit]
Description=BIND Domain Name Server
Documentation=man:named(8)
After=network.target

[Service]
ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
ExecReload=/usr/local/bind/sbin/rndc reload
ExecStop=/usr/local/bind/sbin/rndc stop

[Install]
WantedBy=multi-user.target
```
- named が立ち上がっていたので, 停止する.
  - ps aux で PID を確認して kill する.
- bind9.service の起動テストを行う.
```
# systemctl start bind9.service
```
- bind9.service 起動の確認する.
```
# systemctl
```
  より詳しくは
```
# systemctl status bind9.service
```
  とする. (なお, systemctl が文字化けする場合は,
```
$ export PAGER=less
```
  によって環境変数 PAGER を変更するとよい.)
  
  なお, 2017 年サーバ再構築時には, 下の warning が出ていることに気づいた.
```
10月 23 17:59:05 tako-itpass named[16529]: the working directory is not writable
```
  調べたところ, これは直さなくてよいとの記述あり. <URL:https://superuser.com/questions/1097407/named-the-working-directory-is-not-writable> 今回はこのまま置いておくことにした.
- bind の動作を確認する
```
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
```
- システム起動時に自動的に bind が立ち上がるようにするために追加設定する.
```
# systemctl enable bind9.service
```
- システム起動時に自動的に bind が立ち上がることを確認するために new を再起動する.
- 再起動後に, systemctl での起動していることを確認し, 上の方法に基づいて名前解決できるかことを確認する.

最後の作業

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

システム起動時に自動的に bind が立ち上がらないようにする.
```
# systemctl disable bind9.service
```
- なお, これだけでは, 現在立ち上がっている bind はまだ動いている. これを止めるには, shutdown するか, systemctl stop bind9.service を実行すればよい.

また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換える.

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
      dns-nameservers 133.30.109.21

      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
#      dns-nameservers 133.30.109.21

再起動する.
named が動いていないことを確認する.
名前が引けることを確認する.
- 例えば下のようにして応答が返ってくれば良い.
  
  $ ping dennou-k.gfd-dennou.org

[ITPASSサーバ構築・運用ドキュメントへ戻る]

Last modified:2018/06/09 13:53:55
Keyword(s):
References:[[ITPASS2017]2017年度サーバ構築マニュアル] [[ITPASS2017]gate-toroku-system のインストールと設定] [[ITPASS2018]gate-toroku-system のインストールと設定] [[ITPASS2021]gate-toroku-system のインストールと設定] [[Memo2018][ITPASS]gate-toroku-system のインストールと設定] [[Memo2020][ITPASS]gate-toroku-system のインストールと設定] [[Memo2021][ITPASS]gate-toroku-system のインストールと設定] [[Memo2022][ITPASS]gate-toroku-system のインストールと設定]

[ITPASS2017]bindのインストールと設定

ビルドとインストール

実行ファイルへのパスの設定

sh, bash

csh, tcsh

zsh

マニュアルへのパスの設定

ユーザとグループ追加

pid ファイル置場のパーミッション設定

各設定ファイルの編集

named.conf

localhost.zone

localhost.rev

named.root

rndc の設定

編集したファイルのパーミッション設定

起動テスト

rndc のテスト

ファイルフォーマットのチェック

フルサービスリゾルバへ変更

起動スクリプトの用意

最後の作業

最近の更新

2024-10-09

2024-10-08

2024-10-02

2024-09-27

2024-09-25

2024-09-24

2024-09-17

2024-09-09