[Memo2012][ITPASS]bindのインストールと設定

[ITPASSサーバ構築・運用ドキュメント へ戻る]

• 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドした

  • 最新のバージョン bind-9.9.1-P3 を取得した

  • インストール先は /usr/local/bind とした

    # cd /usr/local/src
    # wget http://ftp.isc.org/isc/bind9/9.9.1-P3/bind-9.9.1-P3.tar.gz
    # tar zxfv bind-9.9.1-P3.tar.gz
    # cd bind-9.9.1-P3
    
    # mkdir /usr/local/bind
    # ./configure --prefix=/usr/local/bind

  • configure した際に以下のようなエラーが出たため,

  configure: error: in `/usr/local/src/bind-9.9.1-P3':
  configure: error: no acceptable C compiler found in $PATH
  
  
  * 以下のコマンドを実行した.
  
  
     # apt-get install build-essentials
     # apt-get install libssl-dev

• 次にBind をインストールした

  # make
  # make install

• インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils を削除した.

  # apt-get remove bind9-host libbind9-0 dnsutils

• 後日脆弱性を修正したバージョンの BIND が公開されたので

  bind-9.9.2を取得しなおした.

インストールされた Bind の実行ファイル群へパスを通す．/etc/bash.bashrc の冒頭に以下のように追加した.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/sbin"
fi                                                         

export PATH

/etc/manpath.config に以下の行を追加した.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

• Bind の実行ユーザとして bind ユーザを作成した.

  • vipw を実行して以下の行を追加した.

    bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false

  • vipw -s を実行して以下の行を追加した.

    bind:!:13749:0:99999:7:::

• 同様に bind グループを追加した.

  • vigr を実行して以下の行を追加した.

    bind:x:53:

  • vigr -s を実行して以下の行を追加した.

    bind:*::

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.

# chown bind:bind /usr/local/bind/var/run/

named.conf

• old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーする. new に namedb というディレクトリがもともと無かったので作成した．

• ファイルが以下の内容であることを確認した.

  acl my-network {
          133.30.110.0/24;
          133.30.109.0/25;
          127.0.0.1;
  };
  
  options {
          dump-file "/usr/local/bind/etc/cache_dump.db";
          directory "/usr/local/bind/etc/namedb";
          pid-file "/usr/local/bind/var/run/named.pid";
          recursion yes;
          allow-query { "my-network"; };
  };
  
  zone "." {
          type hint;
          file "named.root";
  };
  
  zone "localhost" {
          type master;
          file "localhost.zone";
  };
  
  zone "0.0.127.in-addr.arpa" {
          type master;
          file "localhost.rev";
  };
  
  controls {
            inet 127.0.0.1 port 953
                     allow { 127.0.0.1; } keys { "rndc-key"; };
  };
  
  include "/usr/local/bind/etc/rndc.key";

localhost.zone

• old の /usr/local/bind/etc/namedb/localhost.zone をnew の /usr/local/bind/etc/namedb/ にコピー.
• ファイル内の "old" という記述を "new" に変更した．
• Serial には作業当日の日付と更新回数を書く.

• 書き換え後のファイルの中身は下記の通り.

  $TTL    3600
  
  @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako- itpass.scitec.kobe-u.ac.jp.  (
                              20121008   ; Serial
                                 3600    ; Refresh
                                 900     ; Retry
                                 3600000 ; Expire
                                 3600 )  ; Minimum
          IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
          IN      A       127.0.0.1

localhost.rev

• old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピー.
• ファイル内の "old" という記述を "new" に変更した．
• Serial には作業当日の日付と更新回数を書く.

• 書き換え後のファイルの中身は下記の通り.

  $TTL    3600
  
  @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                                 20121008  ; Serial
                                 3600    ; Refresh
                                 900     ; Retry
                                 3600000 ; Expire
                                 3600 )  ; Minimum
          IN      NS      tako-itpass.scitec.kobe-u.ac.jp.

1         IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

• 最新のものを <URL:http://www.internic.net/domain//named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として 保存した.

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

• rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.

  • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.

    # rndc-confgen > /usr/local/bind/etc/rndc.conf

  • これはとてつもなく時間がかかった.

  • rndc.conf の中身は下記の通り.

    # Start of rndc.conf
    key "rndc-key" {
            algorithm hmac-md5;
            secret "5hJU6EFFedEFlLKWVWRkLA==";
    };
    
    options {
            default-key "rndc-key";
            default-server 127.0.0.1;
            default-port 953;
    };
    # End of rndc.conf
    
    # Use with the following in named.conf, adjusting the allow list as needed:
    # key "rndc-key" {
    #       algorithm hmac-md5;
    #       secret "5hJU6EFFedEFlLKWVWRkLA==";
    # };
    #
    # controls {
    #       inet 127.0.0.1 port 953
    #               allow { 127.0.0.1; } keys { "rndc-key"; };
    # };
    # End of named.conf

• rndc.conf のコメントアウトされている箇所のうち, key で始まる 4 行を /usr/local/bind/etc/rndc.key として保存した.
• 念のため, rndc.conf のコメントアウトされている箇所を削除した.

• 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておく.

  root@new:/usr/local/bind/etc# chgrp -R staff .

• 所有者やパーミッションは以下のように設定した

  root@new:/usr/local/bind/etc# chown bind rndc.key
  root@new:/usr/local/bind/etc# chmod 600 rndc.key
  
  root@new:/usr/local/bind/etc# chmod 640 rndc.conf
  
  root@new:/usr/local/bind/etc# chown bind namedb/named.conf
  root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

以下のコマンドを実行する．

root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示されれば成功だが,

WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using   
default configuration file (/usr/local/bind/etc/rndc.conf)
rndc: connect failed: 127.0.0.1#953: connection refused

というエラーが出た.

named.conf の中に key 情報や option 情報を書き込んだり, include 文をコメントアウトしてみたが同じエラーが出た.

rndc.confのファイル名を変えてみると WARNING は消えたが 3 行目は消えなかった.

去年の作業ログを参考にrndc.key, rndc.confのインデントをスペースでなくタブに変更や再起動してみたが

エラーメッセージは消えず, エラーの原因がわからない.

後日 作業を最後まですると reload できた. BIND を立ち上げるのを先にする方がよいと思われる.

以下のコマンドを実行し, Bind の起動テストを行った.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

• /var/log/syslog を見て, 起動したことを確認した.
• ps -ax コマンドなどで走っていることを確認.

named.conf やゾーンの整合性を確認.

• name.conf の確認

  root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

  何も出力されず正常.

• ゾーンの確認

  root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone

  以下のように表示されれば正常である．

  zone localhost/IN: loaded serial XXXXXXXXXX
  OK

なお, XXXXXXXXXX には Serial に書いた数字が表示される. しかし

zone localhost/IN: loading from master file localhost.zone failed: file  not found
zone localhost/IN: not loaded due to errors.

というエラーが出たが原因は不明.

new をフルサービスリゾルバにするために, [ITPASS2011a]OS のインストール で設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

• /etc/network/interfaces の dns-nameservers を以下のように書き換えた.

  dns-nameservers 133.30.109.21

• ネットワークを再起動した

  # /etc/init.d/networking stop
  # /etc/init.d/networking start 

• /etc/resolv.conf が下記のような内容であることを確認.

  # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
  #     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
  nameserver 133.30.109.21
  search scitec.kobe-u.ac.jp

サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.

• Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, bind から入手できる. このファイルを /etc/init.d/bind として保存した.

  # cd /etc/init.d
  # wget http://itpass.scitec.kobe-u.ac.jp/server/2011/bind/bind

• 所有者とパーミッションを以下のように設定した.

  # chown root:root /etc/init.d/bind
  # chmod 755 /etc/init.d/bind

• bind スクリプトの start, stop, restart の動作確認を行った.

  # /etc/init.d/bind start
  # /etc/init.d/bind stop
  # /etc/init.d/bind restart

  コマンドごとに ps ax で動作を確認した.

• ランレベルごとに bind の動作を設定した. 実行するコマンドと出力内容は以下のようになる.

  # update-rc.d bind defaults
  update-rc.d: using dependency based boot sequencing

  警告が何も出なければ問題ない. 警告は出ず問題なし.

• さらに, new を再起動してシステムの起動時に Bind が起動することを確認した.

  # reboot

dig コマンド等を使って次の二点を確認した.

• 問い合わせの返答が返ってくるか
• 問い合わせ先が new 自身になっているか

コマンド例:

$ dig @133.30.109.21 www.google.com

今後 bind のバージョンが上がった場合（脆弱性が見つかり,パッチを当てたバージョン (P1,P2などがついたもの) に上がった場合も含む）は [ITPASS2011a]bind のアップデート を参考に作業する．

• ＠IT：キャッシュ／逆引きDNSの構築と運用
• DNS の仕組み解説 (初学者向け)
  • 3 Minutes Networking

[ITPASSサーバ構築・運用ドキュメント へ戻る]