[Memo2009][ITPASS] tako 構築作業ログ(DNS)(村上(健), 古家, 井谷)

作業前の準備

(次回再構築時への覚書)

  • DNS サーバの設定作業では, その時点で起動しているサーバ (2009年度であれば ika)の root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.
  • また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.

ビルドとインストール

$ sudo -s
# cd /usr/local/src

配布サイト <URL:https://www.isc.org/> からアーカイブを取得.

# wget http://ftp.isc.org/isc/bind9/9.6.1-P1/bind-9.6.1-P1.tar.gz
# tar zxfv bind-9.6.1-P1.tar.gz
# cd bind-9.6.1-P1

# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind

今回 OpenSSL についての警告は出なかったが, 以下の作業も行った.

# ./configure --prefix=/usr/local/bind --disable-openssl-version-check

Bind をインストールする.

# make
# make install

インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.

# apt-get remove bind9-host libbind9-0 dnsutils

インストールした実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す.

[EPA2008b]パスの設定 <一般ユーザ用コマンドのパス> /usr/local/bind/bin を, <システム管理用コマンドのパス> /usr/local/bind/sbin を追加する.

インストールしたマニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは [EPA2008b]パスの設定#man 関連のパスの設定 を参照のこと.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

Bind の実行ユーザとして bind ユーザを作成する. vipw を実行して以下の行を追加.

bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false

vipw -s を実行して以下の行を追加.

bind:!:13749:0:99999:7:::

同様に bind グループを追加する. vigr を実行して以下の行を追加.

bind:x:53:

vigr -s を実行して以下の行を追加.

bind:*::

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

誤った作業

  • 外部向け DNS サーバの構築

[tako 構築作業ログ (DNS) 1006]

named.conf

ika より /usr/local/bind/etc/namedb/named.conf を /usr/local/bind/etc/namedb/ にコピー. ファイル内の項目について, 下の内容に変更した.

acl my-network {
        133.30.109.0/25;
        133.30.110.0/24;
        127.0.0.1;
};

options {
        directory "/usr/local/bind/etc/namedb";
        pid-file "/usr/local/bind/var/run/named.pid";
        recursion yes;
        allow-query { "my-network" ; } ;
};
zone "." {
        type hint;
        file "named.root";
};

zone "localhost" {
        type master;
        file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" {
        type master;
        file "localhost.rev";
};

localhost.rev

  • ika より /usr/local/bind/etc/namedb/localhost.rev を /usr/local/bind/etc/namedb/ にコピー.
  • ファイル内の"ika.epa" という記述を "tako-itpass" に変更
  • 内容は下記の通り

    $TTL    3600
    
    @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                                  20071025        ; Serial
                                  3600    ; Refresh
                                  900     ; Retry
                                  3600000 ; Expire
                                  3600 )  ; Minimum
            IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
    1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

localhost.zone

  • localhost.rev を localhost.zone という名前としてコピー.
  • ファイル内の"ika.epa" という記述を "tako-itpass" に変更
  • 内容は下記の通り

    $TTL    3600
    
    @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                                  20071025        ; Serial
                                  3600    ; Refresh
                                  900     ; Retry
                                  3600000 ; Expire
                                  3600 )  ; Minimum
            IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
            IN      A       127.0.0.1

named.root

ika より /usr/local/bind/etc/namedb/named.root を /usr/local/bind/etc/namedb/ にコピー.

起動テスト

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

/var/log/syslog を見て, 起動したことを確認. ps(1) コマンドなどでも走っていることを確認.

ファイルフォーマットチェック

named.conf とゾーン, 各々の整合性を確認する.

root@tako:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

何も出力されないので OK.

root@tako:/usr/local/bind/etc# named-checkzone localhost localhost.zone
zone localhost/IN: loaded serial 20071025
OK

rndc の設定

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

  • まず, rndc-confgenを実行することで, 必要な設定ファイルの「もと」を生成する.

    root@tako:/usr/local/bind/etc/namedb# rndc-confgen
    
    # Start of rndc.conf
    key "rndc-key" {
            algorithm hmac-md5;
            secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    };
    
    options {
            default-key "rndc-key";
            default-server 127.0.0.1;
            default-port 953;
    };
    # End of rndc.conf
    
    # Use with the following in named.conf, adjusting the allow list as needed:
    # key "rndc-key" {
    #       algorithm hmac-md5;
    #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    # };
    #
    # controls {
    #       inet 127.0.0.1 port 953
    #               allow { 127.0.0.1; } keys { "rndc-key"; };
    # };
    # End of named.conf

secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.したがって, ここに挙げているのは例であって, 実際の設定とは異なる.

  • rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.

    # rndc-confgen > /usr/local/bind/etc/rndc.conf
  • 以下の記述を named.conf の末尾に追記.

    controls {
          inet 127.0.0.1 port 953
                  allow { 127.0.0.1; } keys { "rndc-key"; };
    };
    
    include "/usr/local/bind/etc/rndc.key";
  • rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.
  • 念のため, rndc.conf のコメントアウトされている箇所を削除する.
  • パーミッションを以下のように設定する.

    root@tako:/usr/local/bind/etc# chgrp -R itpadmin .

itpadmin グループを作っていないので設定できない. とりあえず root を使っているときにデフォルトの staff にしておく.

root@tako:/usr/local/bind/etc# chgrp -R staff .   # とりあえず

root@tako:/usr/local/bind/etc# chown bind rndc.key
root@tako:/usr/local/bind/etc# chmod 600 rndc.key

root@tako:/usr/local/bind/etc# chmod 640 rndc.conf

root@tako:/usr/local/bind/etc# chown bind namedb/named.conf
root@tako:/usr/local/bind/etc# chmod 640 namedb/named.conf

gate の設定待ち.

10/16 追記

gate で epaadmin を itpadmin に修正できたため, /usr/local/bind/etc/ 以下のパーミッションを変更した.

root@tako:/usr/local/bind/etc# chgrp -R itpadmin .

rndc のテスト

root@tako:/usr/local/bind/etc# rndc reload
server reload successful

成功.

起動スクリプトの用意

サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.

  • Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが bind から入手できる. このファイルを /etc/init.d/bind にダウンロードする.

    # cd /etc/init.d
    # wget http://itpass.scitec.kobe-u.ac.jp/~itpass/epa/bind/bind
  • 以下のように所有者とパーミッションを設定した.

    # chown root:root /etc/init.d/bind
    # chmod 755 /etc/init.d/bind
  • 念のため, bind スクリプトの start, stop, restart の動作確認を行う.
# bind start
# bind stop
# bind restart
  • ランレベルごとに bind の動作を設定する.

ここで bind スクリプトが LSB に準拠していないことが原因でエラーが発生したが, 下記の記述を追記することで解決した.

エラー内容

# update-rc.d bind defaults
update-rc.d: warning: /etc/init.d/bind missing LSB information
update-rc.d: see <http://wiki.debian.org/LSBInitScripts>
Adding system startup for /etc/init.d/bind ...
  /etc/rc0.d/K20bind -> ../init.d/bind
  /etc/rc1.d/K20bind -> ../init.d/bind
  /etc/rc6.d/K20bind -> ../init.d/bind
  /etc/rc2.d/S20bind -> ../init.d/bind
  /etc/rc3.d/S20bind -> ../init.d/bind
  /etc/rc4.d/S20bind -> ../init.d/bind
  /etc/rc5.d/S20bind -> ../init.d/bind

 bind に追記した内容     

 ### BEGIN INIT INFO
 # Provides:          bind9
 # Required-Start:    $remote_fs
 # Required-Stop:     $remote_fs
 # Should-Start:      $network $syslog
 # Should-Stop:       $network $syslog
 # Default-Start:     2 3 4 5
 # Default-Stop:      0 1 6
 # Short-Description: Start and stop bind9
 # Description:       bind9 is a Domain Name Server (DNS)
 #        which translates ip addresses to and from internet names
 ### END INIT INFO

  

  • さらに, tako を再起動し, 起動時に bind が起動することを確認した.

    # shutdown -r now

サーバ停止

このままの設定では, 何らかの原因で tako を DNS サーバとして参照してしまうと tako が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

DNS サーバ (bind) を停止.

# /etc/init.d/bind stop

起動時に bind を起動しないようにする.

# update-rc.d -f bind remove

サーバを再起動し, bind が起動していないことを確認した.