[Memo2014][ITPASS]bindのインストールと設定

ビルドとインストール

  • 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドした
    • 最新のバージョンを取得した
    • インストール先は /usr/local/bind とした

      # cd /usr/local/src
      # wget  ftp://ftp.isc.org/isc/bind9/9.10.1/bind-9.10.1.tar.gz
      # tar zxfv bind-9.10.1.tar.gz
      # cd bind-9.10.1
      
      # mkdir /usr/local/bind
      # ./configure --prefix=/usr/local/bind
  • Bind をインストールした

    # make
    # make install

make, make install 後に以下のコマンドを実行して, 0 が表示される (すなわちエラーがない) ことを確認した.

# echo $?
  • インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-0, dnsutils を削除した

    # apt-get remove bind9-host libbind9-0 dnsutils

libbind9-0 がないと表示された. 以下のコマンドでインストールされているパッケージから libbind を検索した.

# dpkg -l | grep libbind

libbind9-80 がインストールされていたので, 再度削除を行った.

# apt-get remove bind9-host libbind9-80 dnsutils

実行ファイルへのパスの設定

[ITPASS2012]パスの設定に従い, インストールされた Bind の実行ファイル群へパスを通した.

具体的には以下を追記した

sh, bash

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

csh, tcsh

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

zsh

# add PATH for local installed softwares
  export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

# delete duplicated path setting
typeset -U path 

zsh の下 2 行に関してはここで設定する必要がないので, [ITPASS2012]パスの設定 から削った方が良いと思われる.

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加した. 詳しくは [ITPASS2012]パスの設定#man 関連のパスの設定 を参照のこと.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

Bind の実行ユーザとして bind ユーザを作成した. ユーザ, グループ id は, 153 とした. 他と重複がないことは /etc/passwd,/etc/group を開いて確認した.

  • vipw を実行して以下の行を追加した.

    bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
  • vipw -s を実行して以下の行を追加した.

    bind:!:13749:0:99999:7:::

同様に bind グループを追加した.

  • vigr を実行して以下の行を追加した.

    bind:x:153:
  • vigr -s を実行して以下の行を追加した.

    bind:*::

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

ファイルの準備

  • old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.

まず new に namedb というディレクトリがなかったので作成した.

# cd /usr/local/bind/etc/
# mkdir namedb

new の ssh の設定をパスワードログインができるように変更し ssh を再起動した

さらに, old 上で以下のコマンドを実行した.

# scp /usr/local/bind/etc/namedb/named.conf /usr/local/bind/etc/namedb/localhost.zone /usr/local/bind/etc/namedb/localhost.rev chikuwa1@133.30.109.21:

その後 new の ssh の設定を元に戻し, ssh を再起動した

ファイルを適切な場所に移動した.

# cd ./namedb
# cp ~chikuwa1/named.conf ~chikuwa1/localhost.zone ~chikuwa1/localhost.rev .

named.conf

  • ファイルが以下の内容であることを確認した.

    acl my-network {
            133.30.110.0/24;
            133.30.109.0/25;
            127.0.0.1;
    };
    
    options {
            dump-file "/usr/local/bind/etc/cache_dump.db";
            directory "/usr/local/bind/etc/namedb";
            pid-file "/usr/local/bind/var/run/named.pid";
            recursion yes;
            allow-query { "my-network"; };
    };
    
    zone "." {
            type hint;
            file "named.root";
    };
    
    zone "localhost" {
            type master;
            file "localhost.zone";
    };
    
    zone "0.0.127.in-addr.arpa" {
            type master;
            file "localhost.rev";
    };
    
    controls {
              inet 127.0.0.1 port 953
                       allow { 127.0.0.1; } keys { "rndc-key"; };
    };
    
    include "/usr/local/bind/etc/rndc.key";

localhost.zone

  • ファイル内の "old" という記述を "new" に変更する.
  • Serial には作業当日の日付と更新回数を書く.
    • 更新回数については何を書くのか良く分からなかったので, マニュアルの例通り日付のみとした
  • 書き換え後のファイルの中身は下記の通り.

    $TTL    3600
    
    @       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                                20141031   ; Serial
                                   3600    ; Refresh
                                   900     ; Retry
                                   3600000 ; Expire
                                   3600 )  ; Minimum
            IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
            IN      A       127.0.0.1

localhost.rev

  • ファイル内の "old" という記述を "new" に変更する.
  • Serial には作業当日の日付と更新回数を書く.
    • 更新回数については何を書くのか良く分からなかったので, マニュアルの例通り日付のみとした
  • 書き換え後のファイルの中身は下記の通り.
$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. root.tako-itpass.scitec.kobe-u.ac.jp.  (
                             20141031  ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

rndc の設定

rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

  • rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.

    • 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.

    マニュアルには時間がかかるかもしれないと書いてあったが, 実際には一瞬で完了した.

    # rndc-confgen > /usr/local/bind/etc/rndc.conf
    • rndc.conf の中身は下記の通り.

      # Start of rndc.conf
      key "rndc-key" {
              algorithm hmac-md5;
              secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      };
      
      options {
              default-key "rndc-key";
              default-server 127.0.0.1;
              default-port 953;
      };
      # End of rndc.conf
      
      # Use with the following in named.conf, adjusting the allow list as needed:
      # key "rndc-key" {
      #       algorithm hmac-md5;
      #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
      # };
      #
      # controls {
      #       inet 127.0.0.1 port 953
      #               allow { 127.0.0.1; } keys { "rndc-key"; };
      # };
      # End of named.conf

      secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.

  • rndc.conf のコメントアウトされている箇所のうち, key で始まる 4 行をコメントを外して /usr/local/bind/etc/rndc.key として保存した.
  • 念のため, rndc.conf のコメントアウトされている箇所を削除した.

編集したファイルのパーミッション設定

  • 本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.

    root@new:/usr/local/bind/etc# chgrp -R staff .

    gate のインストールが終わった後に itpadmin へ変更した.

  • 所有者やパーミッションは以下のように設定した.

    root@new:/usr/local/bind/etc# chown bind rndc.key
    root@new:/usr/local/bind/etc# chmod 600 rndc.key
    
    root@new:/usr/local/bind/etc# chmod 640 rndc.conf
    
    root@new:/usr/local/bind/etc# chown bind namedb/named.conf
    root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

起動テスト

以下のコマンドを実行し, Bind の起動テストを行った.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • /var/log/syslog を見て, 起動したことを確認した
    • エラーがないことも確認した
  • ps aux コマンドで走っていることを確認した # ps aux | grep named bind 476 0.0 0.1 150080 17492 ? Ssl 11:20 0:00 /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

rndc のテスト

以下のコマンドを実行した.

root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示された.

WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using ...

と出たが, マニュアルによれば特に問題ないとのことなのでそのままにした.

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認した.

  • name.conf の確認

    root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

    何も出力されなかったので正常であるとした.

  • ゾーンの確認

    root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone

と実行したところ, localhost.zone が無いと言われた. 実際には namedb ディレクトリの下にあり, マニュアルが間違っていると思われる. ディレクトリを移動したのち, 再度上記コマンドを実行した.

# cd /usr/local/bind/etc/namedb
# named-checkzone localhost localhost.zone


以下のように表示されたので正常であるとした.

  zone localhost/IN: loaded serial 20141031
  OK

フルサービスリゾルバへ変更

new をフルサービスリゾルバにするために, [ITPASS2012]OSのインストールで設定した DNS サーバを学術情報基盤センターから new 自身に変更した.

  • /etc/network/interfaces の dns-nameservers を以下のように書き換えた.

    dns-nameservers 133.30.109.21
  • ネットワークを再起動した

    # /etc/init.d/networking stop
    # /etc/init.d/networking start 
  • /etc/resolv.conf が下記のような内容であることを確認した

    # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
    #     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
    nameserver 133.30.109.21
    search scitec.kobe-u.ac.jp

起動スクリプトの用意

サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.

  • Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に書き換えたものが, bind から入手できる. このファイルを /etc/init.d/bind として保存した.

    # cd /etc/init.d
    # wget http://itpass.scitec.kobe-u.ac.jp/server/2012/bind/bind
  • 所有者とパーミッションを以下のように設定した.

    # chown root:root /etc/init.d/bind
    # chmod 755 /etc/init.d/bind
  • bind スクリプトの start, stop, restart の動作確認を行った.

    # /etc/init.d/bind start
    # /etc/init.d/bind stop
    # /etc/init.d/bind restart

    コマンドごとに ps aux で動作を起動, 停止の動作をしていることを確認した.

    実行時に以下のような警告が表示されたが, ika でも同じ表示になったので問題ないと判断した.

    Stopping domain name service: namedWARNING: key file (/usr/local/bind/etc/rndc.key exists, but using default configuration file (/usr/local/bind/etc/rndc.conf)
    rndc: connect failed: 127.0.0.1#953: connection refused

.

  • ランレベルごとに bind の動作を設定する. 以下のコマンドを実行した.

    # insserv -d bind

    警告が何も出なかったので問題ないとした.

  • さらに, new を再起動してシステムの起動時に Bind が起動することを確認した.

    # reboot
    # ps aux | grep named

DNS サーバ停止

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

DNS サーバ (bind) を停止した.

# /etc/init.d/bind stop

起動時に bind を起動しないようにした.

# insserv -f -r bind

サーバを再起動し, bind が起動していないことを確認した.

# ps aux | grep named

動作テスト

dig コマンド等を使って次の二点を確認する.

  • 問い合わせの返答が返ってくるか
  • 問い合わせ先が new 自身になっているか
$ dig @133.30.109.21 www.google.com

no servers could be reached と表示された.

上で Bind を止めたためだと思われるので, 一時的に Bind を起動して再度テストする.

# /etc/init.d/bind start
$ dig @133.30.109.21 www.google.com

問い合わせの返答が正しく返ってくることを確認した

再度 Bind を停止した.

# /etc/init.d/bind stop

named.conf ファイルの修正

今までは,

acl my-network {
         133.30.110.0/24;
         133.30.109.0/25;
         127.0.0.1;
 };

であったが, 現在では 133.30.110.0/24 はつながっていないので, 削除した.

localhost.zone と localhost.rev ファイルの設定について

localhost.zone と localhost.rev ファイルについて, Serial の値を更新回数を含めた形式に, メールアドレスを root から itpadmin へとそれぞれ修正した.

書き換え後の localhost.zone

$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp.  (
                            2014110300 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
        IN      A       127.0.0.1

書き換え後の localhost.rev

$TTL    3600

@       IN      SOA     tako-itpass.scitec.kobe-u.ac.jp. itpadmin.tako-itpass.scitec.kobe-u.ac.jp.  (
                            2014110300 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      tako-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

rndc の設定

マニュアルに従って rndc.conf から rndc.key を作成して起動テストを行ったが,

WARNING: key file (/usr/local/bind/etc/rndc.key) exists, but using ...

という警告が出ていた. これは rndc.conf と rndc.key が両方あるために起こったものだった.

デフォルトでは rndc.conf を使うように設定されているので, rndc.conf を使うようにした. さらに named.conf に rndc.conf と同じ鍵を貼り付けて, rndc.key ファイルを読み込んでいた include 以下の部分をコメントアウトした.

起動テスト

以下のコマンドを実行し, Bind の起動テストを行った.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
  • /var/log/syslog を見て, 起動したことを確認した
    • エラーがないことも確認した

rndc のテスト

以下のコマンドを実行した.

root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示された.

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認した.

  • name.conf の確認

    root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf

    何も出力されなかったので正常であるとした.

  • ゾーンの確認

    # cd /usr/local/bind/etc/namedb # named-checkzone localhost localhost.zone

    以下のように表示されたので正常であるとした.

    zone localhost/IN: loaded serial 2014110300
    OK

bind の動作確認

設定ファイルを修正したので, bind スクリプトの動作確認を行った.

# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart

コマンドごとに ps aux で起動, 起動, 停止の動作をしていることを確認した.

動作テスト

dig コマンド等を使って次の二点を確認する.

  • 問い合わせの返答が返ってくるか
  • 問い合わせ先が new 自身になっているか
$ dig @133.30.109.21 www.google.com

問い合わせの返答が正しく返ってくることを確認した

DNS サーバの停止

設定の修正のため動かしていた DNS サーバ (bind)を再び停止した.

# /etc/init.d/bind stop

起動時に bind を起動しないようにした.

# insserv -f -r bind

サーバを再起動し, bind が起動していないことを確認した.

# ps aux | grep named
Last modified:2014/11/12 14:26:11
Keyword(s):
References:[[ITPASS2014]2014年度サーバ構築ログ]