[Memo2018][ITPASS]bindのインストールと設定
ビルドとインストール
- 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを
取得し, ビルドする.
- 最新のバージョン (9.12.3) を取得した.
インストール先は /usr/local/bind とした.
# cd /usr/local/src # wget ftp://ftp.isc.org/isc/bind9/9.12.3/bind-9.12.3.tar.gz # tar zxfv bind-9.12.3.tar.gz # cd bind-9.12.3 # mkdir /usr/local/bind # ./configure --prefix=/usr/local/bind # make
- インストール
Bind をインストールした.
# make install
- 既にインストールされている Bind 関係のパッケージの削除
下のように関係パッケージを確認した.
# apt-cache search bind9
表示された多数のパッケージから関係パッケージを抽出した.
- bind9
- bind9-doc
- bind9-host
- bind9utils
- libbind9-140
- bind9-dyndb-ldap
これらのパッケージが実際にインストールされているかどうかを確認した.
# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap
ここで, bind9-host, libbind9-140 のみがインストールされていたため, 下のように削除した.
# apt-get remove bind9-host libbind9-140
なお, 依存関係によって gnome がアンインストールされてしまった. しかし, startx で GUI が使えるようなのでここでは良いことにした.
提案された通りに以下を実行した.
# apt autoremove
実行ファイルへのパスの設定
インストールされた Bind の実行ファイル群へパスを通した． [ITPASS2018]パスの設定を参考にして各設定ファイルに以下の様に追記した.
sh, bash
/etc/bash.bashrc の末尾に以下を追記した.
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
csh, tcsh
/etc/csh.cshrc の末尾に以下を追記した.
# add PATH for local installed softwares set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin) # add PATH for local installed softwares (for root) if ( "`id -u`" == 0 ) then set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin) endif
zsh
/etc/zsh/zshenv の末尾に以下を追記した.
# add PATH for local installed softwares export PATH="$PATH:/usr/local/bind/bin" # add PATH for local installed softwares (for root) if [ "`id -u`" -eq 0 ]; then export PATH="$PATH:/usr/local/bind/sbin" fi
マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加した.
MANDATORY_MANPATH /usr/local/bind/man MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man MANDB_MAP /usr/local/bind/man /usr/local/bind/man
ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成
# export EDITOR=vi
vipw を実行して以下の行を追加した.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加した.
bind:!:13749:0:99999:7:::
- 同様に bind グループを追加する.
vigr を実行して以下の行を追加した.
bind:x:153:
vigr -s を実行して以下の行を追加した.
bind:*::
pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
各設定ファイルの編集
named.conf
old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピー.
# cd /usr/local/bind/etc # mkdir namedb
ファイルが下の内容であることを確認した.
acl my-network { 133.30.109.0/25; 10.35.19.0/24; 127.0.0.1; }; options { dump-file "/usr/local/bind/etc/cache_dump.db"; directory "/usr/local/bind/etc/namedb"; pid-file "/usr/local/bind/var/run/named.pid"; recursion yes; allow-query { "my-network"; }; }; zone "." { type hint; file "named.root"; }; zone "localhost" { type master; file "localhost.zone"; }; zone "0.0.127.in-addr.arpa" { type master; file "localhost.rev"; }; controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; }; logging { channel "default-log" { file "/var/log/named/default.log" versions 5 size 10M; severity info; print-time yes; print-severity yes; print-category yes; }; category default { "default-log"; }; }; include "/usr/local/bind/etc/rndc.key";
localhost.zone
- old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピー.
- ファイル内の "old" (=ika) という記述を "new" (=tako) に変更した．
- Serial には作業当日の日付と更新回数 (2 桁) を記述した.
- 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2018103000 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
IN A 127.0.0.1
localhost.rev
- old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.
- ファイル内の "old" (=ika) という記述を "new" (=tako) に変更した．
- Serial には作業当日の日付と更新回数 (2 桁) を記述した.
- 書き換え後のファイルの中身は下記の通り.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2018103000 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
named.root
- 最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した.
# wget ftp://rs.internic.net/domain/named.root
rndc の設定
- rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成.
実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
- rndc.conf の中身は下記の通り.
- なお, 下の key の secret の項目は実際の値ではないことに注意すること.
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-sha256;
secret "hogehoge=";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
# algorithm hmac-sha256;
# secret "hogehoge=";
# };
#
# controls {
# inet 127.0.0.1 port 953
# allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
- 念のため, rndc.conf のコメントアウトされている箇所を削除した.
- 生成した rndc-key の鍵の key ステートメントをコピーし, rndc.key (ファイル) に記述した.
- rndc.key ファイルの中身は以下の通り.
key "rndc-key" {
algorithm hmac-sha256;
secret "hogehoge=";
};
rndc.key の所有者を bind:bind に変更した.
# chown bind:bind rndc.key
rndc.key のパーミッションを 400 とした.
# chmod 400 rndc.key
編集したファイルのパーミッション設定
本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
root@new:/usr/local/bind/etc# chgrp -R staff .
所有者やパーミッションは以下のように設定した.
root@new:/usr/local/bind/etc# chmod 640 rndc.conf root@new:/usr/local/bind/etc# chown bind namedb/named.conf root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf
起動テスト
以下のコマンドを実行し, bind の起動テストを行う.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
- /var/log/syslog を見て, 起動したことを確認.
確認したところ起動に失敗した. /usr/local/bind/etc/namedb ディレクトリの所有者を bind に変更
# chown bind /usr/local/bind/etc/namedb
/var/log/named ディレクトリがなかったので, 作成した.
# mkdir /var/log/named # chown bind:bind /var/log/named
- 再度, 起動テストを行い, 起動したことを確認した.
managed-keys-zone に関するエラーが出たので, /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成した．
# cd /usr/local/bind/etc/namedb # touch managed-keys.bind
ps aux コマンドで走っていることを確認した.
# ps aux | grep bind
rndc のテスト
以下のコマンドを実行した．
root@new:/usr/local/bind/sbin# ./rndc reload WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using default configuration file (/usr/local/bind/etc/rndc.conf)
と表示されたが, server reload successful と表示されたので先に進む. rndc.key は不要なのかもしれない.
ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認する.
named.conf の確認
root@new:/usr/local/bind/sbin# ./named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されず, 正常であることを確認した.
ゾーンの確認
# cd /usr/local/bind/etc/namedb # ../../sbin/named-checkzone localhost localhost.zone
以下のように表示され, 正常であることを確認した.
zone localhost/IN: loaded serial 2018103000 OK
- ひとまず停止
ps aux で PID を調べて kill した.
# ps aux | grep bind root 521 0.0 0.0 49872 3496 ? Ss 13:54 0:00 /sbin/rpcbind -f -w bind 16558 0.0 0.2 516844 33976 ? Ssl 16:09 0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf # kill 16558
フルサービスリゾルバへ変更
/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
dns-nameservers 133.30.109.21
bind によって正しく名前解決されるか確認.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
下のように表示された.
; <<>> DiG 9.12.3 <<>> @133.30.109.21 www.google.com ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12928 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ; COOKIE: b41a9a64af6ec493dbb3fead5bd8088f5dfa92bee065dd9e (good) ;; QUESTION SECTION: ;www.google.com. IN A ;; ANSWER SECTION: www.google.com. 300 IN A 172.217.11.132 ;; Query time: 1009 msec ;; SERVER: 133.30.109.21#53(133.30.109.21) ;; WHEN: Tue Oct 30 16:30:23 JST 2018 ;; MSG SIZE rcvd: 87
AUTHORITY SECTION の項目がなかったが, 先に進む.
ログを確認した.
# lv /var/log/named/default.log
確認したところ, 以下のようなログが大量に残されていた. このようなログは IPv6 対応だが IPv6 で外部と通信出来ない時に良く出るらしい.
30-Oct-2018 16:30:22.848 lame-servers: info: network unreachable resolving 'www.google.com/A/IN': 2001
- ["500:1::53#53"]
- 30-Oct-2018 16:30:22.848 lame-servers: info: network unreachable resolving './NS/IN': 2001:500:1::53#5
3
起動スクリプトの用意
- サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.
old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とした.
bind9.service の中身は以下.
[Unit] Description=BIND Domain Name Server Documentation=man:named(8) After=network.target [Service] ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf ExecReload=/usr/local/bind/sbin/rndc reload ExecStop=/usr/local/bind/sbin/rndc stop [Install] WantedBy=multi-user.target
- named が立ち上がっていたので, 停止.
- ps aux で PID を確認して kill した.
bind9.service の起動テストを行った.
# systemctl start bind9.service
bind9.service 起動の確認した.
# systemctl status bind9.service
- 確認したところ, bind9.service は起動していたが, /var/log/syslog に以下のログが残されていた.
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: D.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: 8.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: 9.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: A.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: B.E.F.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: 8.B.D.0.1.0.0.2.IP6.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: EMPTY.AS112.ARPA
10月 31 14:57:48 tako-itpass named[18795]: automatic empty zone: HOME.ARPA
10月 31 14:57:48 tako-itpass named[18795]: none:103: 'max-cache-size 90%' - setting to 14443MB (out of 16048MB)
10月 31 14:57:48 tako-itpass named[18795]: command channel listening on 127.0.0.1#953
* bind の動作を確認.
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
* システム起動時に自動的に bind が立ち上がるようにするために追加設定した.
# systemctl enable bind9.service
* システム起動時に自動的に bind が立ち上がることを確認するために new を再起動した.
# reboot
* 再起動後に, systemctl での起動していることを確認した. が, しかし, やはり /var/log/syslog には以下のログが残っていた.
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: D.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: 8.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: 9.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: A.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: B.E.F.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: 8.B.D.0.1.0.0.2.IP6.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: EMPTY.AS112.ARPA
10月 31 16:59:48 tako-itpass named[687]: automatic empty zone: HOME.ARPA
10月 31 16:59:48 tako-itpass named[687]: none:103: 'max-cache-size 90%' - setting to 14443MB (out of 16048MB)
10月 31 16:59:48 tako-itpass named[687]: command channel listening on 127.0.0.1#953
「automatic empty zone」については IPv6 対応できていないことによるものであると思われる.
「none:103 (以下略)」については, デフォルトではキャッシュに利用するメモリが無制限であることによるものと思われる. named.conf ファイル内の options で max-cache-size を指定することができるらしいが, 適切な値がわからない.
「command channel (以下略)」の意味は rndc で BIND が起動されたとして、その起動直後の (BIND の) ログで, BIND は 127.0.0.1 のポート 953 を listen して rndc からの接続に備える, ということであった.
名前解決できるかを確認した.
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
最後の作業
システム起動時に自動的に bind が立ち上がらないようにした.
# systemctl disable bind9.service # systemctl stop bind9.service
また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21
- 再起動した.
- named が動いていないことを確認した.
# systemctl status bind9.service
名前が引けることを確認した.
$ ping dennou-k.gfd-dennou.org
Keyword(s):
References:[[ITPASS2018]2018年度サーバ構築ログ]