[ITPASS2011a]bindのインストールと設定

作業前の準備

  • DNS サーバの設定作業では, old の root が所有する設定ファイルを参照することがある. あらかじめ old の root 権限を得ておくとスムーズに作業が行える.
  • また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.

ビルドとインストール

  • 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドする
    • 最新のバージョンを取得する
      • 以下のバージョン番号は適宜読み替えること
    • インストール先は /usr/local/bind とする

      # cd /usr/local/src
      # wget http://ftp.isc.org/isc/bind9/9.8.1/bind-9.8.1.tar.gz
      # tar zxfv bind-9.8.1.tar.gz
      # cd bind-9.8.1
      
      # mkdir /usr/local/bind
      # ./configure --prefix=/usr/local/bind
    • 配布サイトからアーカイブを取得できない場合は, old からソースをコピーしてビルドを行う
    • ビルドの際に OpenSSL についての警告が出た場合は以下を参照
      • OpenSSL のバージョンが古いと, セキュリティ脆弱性があると警告が出る
      • Debian の場合はバージョン番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して バージョンの確認を無効にする
      • openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる

        # ./configure --prefix=/usr/local/bind --disable-openssl-version-check
  • Bind をインストールする

    # make
    # make install
  • インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils を削除する

    # apt-get remove bind9-host libbind9-0 dnsutils

実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す./etc/bash.bashrc の冒頭に以下のように追加する.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/bin"
                                                        ^^^^^^^^^^^^^^^^^^^
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/sbin"
fi                                                         ^^^^^^^^^^^^^^^^^^^^

export PATH

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2011a]パスの設定#man 関連のパスの設定 を参照のこと.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

  • Bind の実行ユーザとして bind ユーザを作成する.
    • vipw を実行して以下の行を追加する.

      bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false
    • vipw -s を実行して以下の行を追加する.

      bind:!:13749:0:99999:7:::
  • 同様に bind グループを追加する.
    • vigr を実行して以下の行を追加する.

      bind:x:53:
    • vigr -s を実行して以下の行を追加する.

      bind:*::

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

named.conf

  • old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーする. ただし new に namedb というディレクトリがもともと無い場合は作成する.
  • ファイルが以下の内容であることを確認する.

    acl my-network {
            133.30.110.0/24;
            133.30.109.0/25;
            127.0.0.1;
    };
    
    options {
            dump-file "/usr/local/bind/etc/cache_dump.db";
            directory "/usr/local/bind/etc/namedb";
            pid-file "/usr/local/bind/var/run/named.pid";
            recursion yes;
            allow-query { "my-network"; };
    };
    
    zone "." {
            type hint;
            file "named.root";
    };
    
    zone "localhost" {
            type master;
            file "localhost.zone";
    };
    
    zone "0.0.127.in-addr.arpa" {
            type master;
            file "localhost.rev";
    };
    
    controls {
              inet 127.0.0.1 port 953
                       allow { 127.0.0.1; } keys { "rndc-key"; };
    };
    
    include "/usr/local/bind/etc/rndc.key";

localhost.zone

  • old の /usr/local/bind/etc/namedb/localhost.zone をnew の /usr/local/bind/etc/namedb/ にコピーする.
  • ファイル内の "old" という記述を "new" に変更する.
  • Serial には作業当日の日付と更新回数を書く.
  • 書き換え後のファイルの中身は下記の通り.

    $TTL    3600
    
    @       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. root.new- itpass.scitec.kobe-u.ac.jp.  (
                                20111018   ; Serial
                                   3600    ; Refresh
                                   900     ; Retry
                                   3600000 ; Expire
                                   3600 )  ; Minimum
            IN      NS      new-itpass.scitec.kobe-u.ac.jp.
            IN      A       127.0.0.1

localhost.rev

  • old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーする.
  • ファイル内の "old" という記述を "new" に変更する.
  • Serial には作業当日の日付と更新回数を書く.
  • 書き換え後のファイルの中身は下記の通り.

    $TTL    3600
    
    @       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp.  (
                                   20111018  ; Serial
                                   3600    ; Refresh
                                   900     ; Retry
                                   3600000 ; Expire
                                   3600 )  ; Minimum
            IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1         IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

rndc の設定

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

  • rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
    • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.

      # rndc-confgen > /usr/local/bind/etc/rndc.conf
    • rndc.conf の中身は下記の通り.

      # Start of rndc.conf
      key "rndc-key" {
              algorithm hmac-md5;
              secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      };
      
      options {
              default-key "rndc-key";
              default-server 127.0.0.1;
              default-port 953;
      };
      # End of rndc.conf
      
      # Use with the following in named.conf, adjusting the allow list as needed:
      # key "rndc-key" {
      #       algorithm hmac-md5;
      #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      # };
      #
      # controls {
      #       inet 127.0.0.1 port 953
      #               allow { 127.0.0.1; } keys { "rndc-key"; };
      # };
      # End of named.conf

      secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.

  • rndc.conf のコメントアウトされている箇所のうち, key で始まる 4 行を /usr/local/bind/etc/rndc.key として保存する.
  • 念のため, rndc.conf のコメントアウトされている箇所を削除する.

編集したファイルのパーミッション設定

  • 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておく.

    root@new:/usr/local/bind/etc# chgrp -R staff .

    gate のインストールが終わった後に itpadmin へ変更すること.

  • 所有者やパーミッションは以下のように設定する

    root@new:/usr/local/bind/etc# chown bind rndc.key
    root@new:/usr/local/bind/etc# chmod 600 rndc.key
    
    root@new:/usr/local/bind/etc# chmod 640 rndc.conf
    
    root@new:/usr/local/bind/etc# chown bind namedb/named.conf
    root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

rndc のテスト

以下のコマンドを実行する.

root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示されれば成功.

起動テスト

以下のコマンドを実行し, Bind の起動テストを行う.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • /var/log/syslog を見て, 起動したことを確認
    • managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に,managed-keys.bind という空のファイルを作成する.
  • ps -ax コマンドなどで走っていることを確認

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認する.

  • name.conf の確認

    root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

    何も出力されなければ正常である.

  • ゾーンの確認

    root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone

    以下のように表示されれば正常である.

    zone localhost/IN: loaded serial XXXXXXXXXX
    OK

なお, XXXXXXXXXX には Serial に書いた数字が表示される.

フルサービスリゾルバへ変更

new をフルサービスリゾルバにするために, [ITPASS2011a]OS のインストール で設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

(注意) /etc/resolv.conf を直接書き換えても, ネットワークの起動時に /etc/network/interfaces に書かれた設定で上書きされる. そのため, /etc/resolv.conf ではなく /etc/network/interfaces を編集すること.

  • /etc/network/interfaces の dns-nameservers を以下のように書き換える.

    dns-nameservers 133.30.109.21
  • ネットワークを再起動する

    # /etc/init.d/networking stop
    # /etc/init.d/networking start 
  • /etc/resolv.conf が下記のような内容であることを確認する

    # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
    #     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
    nameserver 133.30.109.21
    search scitec.kobe-u.ac.jp

起動スクリプトの用意

サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意する.

  • Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, bind から入手できる. このファイルを /etc/init.d/bind として保存する.

    # cd /etc/init.d
    # wget http://itpass.scitec.kobe-u.ac.jp/server/2011/bind/bind
  • 所有者とパーミッションを以下のように設定する.

    # chown root:root /etc/init.d/bind
    # chmod 755 /etc/init.d/bind
  • bind スクリプトの start, stop, restart の動作確認を行う. bind というコマンドが別に存在するため,絶対パスで bind ファイルを指定しなければならない.

    # /etc/init.d/bind start
    # /etc/init.d/bind stop
    # /etc/init.d/bind restart

    コマンドごとに ps ax で動作を確認すること.

  • ランレベルごとに bind の動作を設定する. 実行するコマンドと出力内容は以下のようになる.

    # update-rc.d bind defaults
    update-rc.d: using dependency based boot sequencing

    警告が何も出なければ問題ない.

  • さらに, new を再起動してシステムの起動時に Bind が起動することを確認する.

    # reboot

動作テスト

dig コマンド等を使って次の二点を確認する.

  • 問い合わせの返答が返ってくるか
  • 問い合わせ先が new 自身になっているか

コマンド例:

$ dig @133.30.109.21 www.google.com

出力結果の見方については man や web ページ等で調べること.

bind のアップデート

今後 bind のバージョンが上がった場合(脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む)は [ITPASS2011a]bind のアップデート を参考に作業する.