[Memo2015][ITPASS]bindのインストールと設定

ビルドとインストール

  • 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドした.
    • 最新のバージョンを取得した.
    • インストール先は /usr/local/bind とした.

      # cd /usr/local/src
      # wget  ftp://ftp.isc.org/isc/bind9/9.10.3/bind-9.10.3.tar.gz
      # tar zxfv bind-9.10.3.tar.gz
      # cd bind-9.10.3
      
      # mkdir /usr/local/bind
      # ./configure --prefix=/usr/local/bind
      • openssl が debian パッケージであるので, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認した.

        # ./configure --prefix=/usr/local/bind 
      • 実行したが, C 言語のコンパイラがないと返ってきたので, GCC をインストールした.
      • 再度, 上記コマンドを実行した. 正常に完了した.
  • Bind をインストールした

    # make
    
      * 上記のように実行したが, コマンドが見つからなかったので make をインストールした. 
      * 再度, 上記コマンドを実行すると, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出た.
      * libssl-dev をインストールし, 再度, 上記コマンドを実行した. 正常に完了した.
    
    # make install
  • インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-90, dnsutils を削除した.

    # apt-get remove bind9-host libbind9-90 dnsutils

実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通した.

sh, bash

/etc/bash.bashrc の冒頭に

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

を追記した.

csh, tcsh

/etc/csh.cshrc の冒頭に

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

を追記を試みた.

  • 上記のように実行したが, /etc/csh.cshrc がなかったので, csh をインストールした.
  • しかし, /etc/csh.cshrc がなかったので, これを新たに作成し, 追記した.

zsh

/etc/zsh/zshenv の冒頭に

# add PATH for local installed softwares
  export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

を追記した.

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加した.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

  • Bind の実行ユーザとして bind ユーザを作成した.
    • vipw を実行して以下の行を追加した.

      bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
    • vipw -s を実行して以下の行を追加した.

      bind:!:13749:0:99999:7:::
  • 同様に bind グループを追加した.
    • vigr を実行して以下の行を追加した.

      bind:x:153:
    • vigr -s を実行して以下の行を追加した.

      bind:*::

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

named.conf

  • ika の /usr/local/bind/etc/namedb/named.conf を tako の /usr/local/bind/etc/namedb/ にコピーした. ただし tako に namedb というディレクトリがもともと無いので, namadb を作成した.
  • ファイルが以下の内容であることを確認した.

    acl my-network {
            133.30.109.0/25;
            127.0.0.1;
    };
    
    options {
            dump-file "/usr/local/bind/etc/cache_dump.db";
            directory "/usr/local/bind/etc/namedb";
            pid-file "/usr/local/bind/var/run/named.pid";
            recursion yes;
            allow-query { "my-network"; };
    };
    
    zone "." {
            type hint;
            file "named.root";
    };
    
    zone "localhost" {
            type master;
            file "localhost.zone";
    };
    
    zone "0.0.127.in-addr.arpa" {
            type master;
            file "localhost.rev";
    };
    
    controls {
              inet 127.0.0.1 port 953
                       allow { 127.0.0.1; } keys { "rndc-key"; };
    };
    
    #include "/usr/local/bind/etc/rndc.key";

localhost.zone

  • ika の /usr/local/bind/etc/namedb/localhost.zone を tako の /usr/local/bind/etc/namedb/ にコピーした.
  • ファイル内の "ika" という記述を "tako" に変更した.
  • Serial には作業当日の日付と更新回数を 2 桁で書いた.
  • 書き換え後のファイルの中身は下記の通りである.

    $TTL    3600
    
    @       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                                2015100800 ; Serial
                                   3600    ; Refresh
                                   900     ; Retry
                                   3600000 ; Expire
                                   3600 )  ; Minimum
            IN      NS      new-itpass.scitec.kobe-u.ac.jp.
            IN      A       127.0.0.1

localhost.rev

  • ika の /usr/local/bind/etc/namedb/localhost.rev を tako の /usr/local/bind/etc/namedb/ にコピーした.
  • ファイル内の "old" という記述を "tako" に変更した.
  • Serial には作業当日の日付と更新回数を 2 桁で書いた.
  • 書き換え後のファイルの中身は下記の通りである.
$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                            2015100800 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

  • 最新のものを http://www.internic.net/domain/ から name.root を取得した.
# wget ftp://rs.internic.net/domain/named.root

rndc の設定

  • rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.
    • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
      • cd /usr/local/bind/bin を実行し, 以下のコマンドを実行した.

        # rndc-confgen > /usr/local/bind/etc/rndc.conf

    • rndc.conf の中身は下記の通りである.

      # Start of rndc.conf
      key "rndc-key" {
              algorithm hmac-md5;
              secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      };
      
      options {
              default-key "rndc-key";
              default-server 127.0.0.1;
              default-port 953;
      };
      # End of rndc.conf
      
      # Use with the following in named.conf, adjusting the allow list as needed:
      # key "rndc-key" {
      #       algorithm hmac-md5;
      #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      # };
      #
      # controls {
      #       inet 127.0.0.1 port 953
      #               allow { 127.0.0.1; } keys { "rndc-key"; };
      # };
      # End of named.conf
  • 念のため, rndc.conf のコメントアウトされている箇所を削除した.
  • 生成した rndc-key の鍵の中身を named.conf に貼り付けた.

編集したファイルのパーミッション設定

  • 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておいた.

    root@tako:/usr/local/bind/etc# chgrp -R staff .
  • 所有者やパーミッションは以下のように設定した.

    root@tako:/usr/local/bind/etc# chmod 640 rndc.conf
    
    root@tako:/usr/local/bind/etc# chown bind namedb/named.conf
    root@tako:/usr/local/bind/etc# chmod 640 namedb/named.conf

起動テスト

以下のコマンドを実行し, Bind の起動テストを行った.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • /var/log/syslog を見て, 起動したことを確認した
    • managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に,managed-keys.bind という空のファイルを作成する.
  • ps aux コマンドなどで走っていることを確認した.

rndc のテスト

以下のコマンドを実行した.

root@tako:/usr/local/bind/etc# rndc reload

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認した.

  • name.conf の確認

    root@tako:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

    何も出力されなければ正常であった.

  • ゾーンの確認

    root@tako:/usr/local/bind/etc/namedb# named-checkzone localhost localhost.zone

    以下のように表示されれば正常であった.

    zone localhost/IN: loaded serial XXXXXXXXXX
    OK

    なお, XXXXXXXXXX には Serial に書いた数字が表示される.

フルサービスリゾルバへ変更

tako をフルサービスリゾルバにするために, [ITPASS2014]OSのインストールで設定した DNS サーバを学術情報基盤センターから tako 自身に変更する.

  • /etc/network/interfaces の中を見ると,

    # This file describes the network interfaces available on your system
    # and how to activate them. For more information, see interfaces(5).
    
    source /etc/network/interfaces.d/*
    
    # The loopback network interface
    auto lo
    iface lo inet loopback

となっており, dns-nameservers という項目がなかった.

  • [メモ] 次回の構築からは OS インストール直後に networkmanager を停止させたほうが良いだろう.

サーバー運用上, NetworkManager では Network の詳細な設定が難しいと考えられるため, NetworkManager を停止して従来の方法で Network の設定を行うことにした. 以下のように NetworkManager を停止させた.

# systemctl 

を打って, NetworkManager のユニット名を確認した.

起動時に NetworkManager が立ち上がらないようにした.

# systemctl disable NetworkManager.service

NetworkManager が停止しているか確認したが, 停止していなかった.

# systemctl stop NetworkManager.service

再起動を行った.

# systemctl start networking.service

networking.service がつながっていない可能性があるので, networking.service をスタートさせた.

# systemctl
# systemctl status networking.service

networking.service が正常に動いているか確認した.

# ifup eth1

networking.service がつながっていなかったのでつなげた.

# ping 133.30.109.23

そして, 上記のように行い, 再起動を行った. 結果, 問題なかった.

  • /etc/network/interface の dns-nameservers を以下のように書き換えた.

    dns-nameservers 133.30.109.21
  • ネットワークを再起動した

    # /etc/init.d/networking stop
    # /etc/init.d/networking start 

今回は上記のようにしたが,

# systemctl stop networking.service
# systemc

tl start networking.service

のようにした方が良かったかもしれない.

  • /etc/resolv.conf を確認したが,下記のような内容にはなっていなかった.

    # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
    #     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
    nameserver 133.30.109.21
    search scitec.kobe-u.ac.jp

ここでは, このまま bind の動作を確認してみた.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ dig @133.30.109.21 www.google.com

と打つと, 正しく返答された.

  • bind のログが確認できないため, ログを出力するように設定した.

/usr/local/bind/etc/namedb/named.conf に下の設定を追加した.

logging {
      channel "default-log" {
              file "/var/log/named/default.log" versions 5 size 10M;
              severity info;
              print-time yes;
              print-severity yes;
              print-category yes;
      };

      category default { "default-log"; };
};

ログファイル用のディレクトリを用意した.

# mkdir /var/log/named/
# chown bind:bind /var/log/named/

bind を再起動した.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf 

bind の動作を確認した.

# dig @133.30.109.21 www.google.com

正しく返答された (IP アドレスが表示された).

ログの確認を行った.

# lv /var/log/named/default.log

良くわからなかったので, より詳しいログを出力するために, /usr/local/bind/etc/namedb/named.conf 内の "info" を "debug" に変更した.

bind を再起動した.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

bind の動作を確認した.

# dig @133.30.109.21 www.google.com

名前解決できた (IP アドレスが表示された).

ログの確認を行った.

# lv /var/log/named/default.log

ログファイルの中に google の文字を確認した.

ログファイルのサイズを節約するために, /usr/local/bind/etc/namedb/named.conf の "debug" を "info" に変更した.

起動スクリプトの用意

  • サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.

Debian の bind9 パッケージから, systemd 用の設定ファイルをコピーして用いることにした. 具体的には, 情報実験機の一台( joho 07 )にパッケージの bind9 をインストールし, 設定ファイルを取り出した.

joho07 # apt-get install bind9
joho07 # systemctl
joho07 # systemctl status bind9.service

systemctl によって bind9 のユニット名を確認し, systemctl status bind9.service によって設定ファイルを確認した. /lib/systemd/system/bind9.service を tako にコピーして使用した.

bind9.service 内のパスなどを適宜書き換え, tako の /etc/systemd/system に置いた. なお, 書き換え後の bind9.service はbind.

bind の起動テストを行った.

# systemctl start bind9.service

起動の確認をしたが,

# systemctl

failed になっており, 起動に失敗していた. (なお, systemctl が文字化けしていたため, $ export PAGER=less によって 環境変数 PAGER を変更した.)

bind9.service の内容に間違いを発見したため修正した.

# systemctl daemon-reload

bind が起動した.

起動の確認をした.

$ dig @133.30.109.21 www.google.com

名前解決できた (IP アドレスが表示された).

システム起動時に自動的に bind が立ち上がるか確認するために tako を再起動した.

再起動後に systemctl で確認したところ, bind は立ち上がっていなかった.

システム起動時に bind が立ち上がるようにするために追加設定を行った.

# systemctl enable bind9.service

bind を立ち上げた.

# systemctl start bind9.service

起動の確認をした.

# systemctl

起動していた.

名前解決の確認

$ dig @133.30.109.21 www.google.com

名前解決できた (IP アドレスが表示された).

  • システム起動時に自動的に bind が立ち上がるか確認するために tako を 再起動した.

再起動後に systemctl で確認したところ, bind は立ち上がっており, 名前解決できた (IP アドレスが表示された).

最後の作業

インストールが終了したので, システム起動時に自動的に bind が 立ち上がらないようにした.

# systemctl disable bind9.service
Last modified:2015/12/18 12:15:24
Keyword(s):
References:[[ITPASS2015]2015年度サーバ構築ログ]