[Memo2015][ITPASS]bindのインストールと設定
ビルドとインストール
- 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルドした.
- 最新のバージョンを取得した.
インストール先は /usr/local/bind とした.
# cd /usr/local/src # wget ftp://ftp.isc.org/isc/bind9/9.10.3/bind-9.10.3.tar.gz # tar zxfv bind-9.10.3.tar.gz # cd bind-9.10.3 # mkdir /usr/local/bind # ./configure --prefix=/usr/local/bind
openssl が debian パッケージであるので, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認した.
# ./configure --prefix=/usr/local/bind
- 実行したが, C 言語のコンパイラがないと返ってきたので, GCC をインストールした.
- 再度, 上記コマンドを実行した. 正常に完了した.
Bind をインストールした
# make * 上記のように実行したが, コマンドが見つからなかったので make をインストールした. * 再度, 上記コマンドを実行すると, ' fatal error : openssl/evp.h: そのようなファイルやディレクトリはありません' とエラーが出た. * libssl-dev をインストールし, 再度, 上記コマンドを実行した. 正常に完了した. # make install
インストールした Bind には host 等のコマンドも同梱されているため, 既にインストールされている bind9-host, libbind9-90, dnsutils を削除した.
# apt-get remove bind9-host libbind9-90 dnsutils
実行ファイルへのパスの設定
インストールされた Bind の実行ファイル群へパスを通した．
sh, bash
/etc/bash.bashrc の冒頭に
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/bind/sbin"
fi
を追記した.
csh, tcsh
/etc/csh.cshrc の冒頭に
# add PATH for local installed softwares set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin) # add PATH for local installed softwares (for root) if ( "`id -u`" == 0 ) then set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin) endif
を追記を試みた.
- 上記のように実行したが, /etc/csh.cshrc がなかったので, csh をインストールした.
- しかし, /etc/csh.cshrc がなかったので, これを新たに作成し, 追記した.
zsh
/etc/zsh/zshenv の冒頭に
# add PATH for local installed softwares export PATH="$PATH:/usr/local/bind/bin" # add PATH for local installed softwares (for root) if [ "`id -u`" -eq 0 ]; then export PATH="$PATH:/usr/local/bind/sbin" fi
を追記した.
マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加した.
MANDATORY_MANPATH /usr/local/bind/man MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man MANDB_MAP /usr/local/bind/man /usr/local/bind/man
ユーザとグループ追加
- Bind の実行ユーザとして bind ユーザを作成した.
vipw を実行して以下の行を追加した.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加した.
bind:!:13749:0:99999:7:::
- 同様に bind グループを追加した.
vigr を実行して以下の行を追加した.
bind:x:153:
vigr -s を実行して以下の行を追加した.
bind:*::
pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
各設定ファイルの編集
named.conf
- ika の /usr/local/bind/etc/namedb/named.conf を tako の /usr/local/bind/etc/namedb/ にコピーした. ただし tako に namedb というディレクトリがもともと無いので, namadb を作成した.
ファイルが以下の内容であることを確認した.
acl my-network { 133.30.109.0/25; 127.0.0.1; }; options { dump-file "/usr/local/bind/etc/cache_dump.db"; directory "/usr/local/bind/etc/namedb"; pid-file "/usr/local/bind/var/run/named.pid"; recursion yes; allow-query { "my-network"; }; }; zone "." { type hint; file "named.root"; }; zone "localhost" { type master; file "localhost.zone"; }; zone "0.0.127.in-addr.arpa" { type master; file "localhost.rev"; }; controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; }; #include "/usr/local/bind/etc/rndc.key";
localhost.zone
- ika の /usr/local/bind/etc/namedb/localhost.zone を tako の /usr/local/bind/etc/namedb/ にコピーした.
- ファイル内の "ika" という記述を "tako" に変更した．
- Serial には作業当日の日付と更新回数を 2 桁で書いた.
書き換え後のファイルの中身は下記の通りである.
$TTL 3600 @ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. ( 2015100800 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS new-itpass.scitec.kobe-u.ac.jp. IN A 127.0.0.1
localhost.rev
- ika の /usr/local/bind/etc/namedb/localhost.rev を tako の /usr/local/bind/etc/namedb/ にコピーした.
- ファイル内の "old" という記述を "tako" に変更した．
- Serial には作業当日の日付と更新回数を 2 桁で書いた.
- 書き換え後のファイルの中身は下記の通りである.
$TTL 3600
@ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. (
2015100800 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS new-itpass.scitec.kobe-u.ac.jp.
1 IN PTR localhost.scitec.kobe-u.ac.jp.
named.root
- 最新のものを http://www.internic.net/domain/ から name.root を取得した.
# wget ftp://rs.internic.net/domain/named.root
rndc の設定
- rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成した.
- 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
cd /usr/local/bind/bin を実行し, 以下のコマンドを実行した.
# rndc-confgen > /usr/local/bind/etc/rndc.conf
rndc.conf の中身は下記の通りである.
# Start of rndc.conf key "rndc-key" { algorithm hmac-md5; secret "SZN/mCIMkFJmFJ/98jlcMQ=="; }; options { default-key "rndc-key"; default-server 127.0.0.1; default-port 953; }; # End of rndc.conf # Use with the following in named.conf, adjusting the allow list as needed: # key "rndc-key" { # algorithm hmac-md5; # secret "SZN/mCIMkFJmFJ/98jlcMQ=="; # }; # # controls { # inet 127.0.0.1 port 953 # allow { 127.0.0.1; } keys { "rndc-key"; }; # }; # End of named.conf
- 実行時の出力を /usr/local/bind/etc/rndc.conf として保存した.
- 念のため, rndc.conf のコメントアウトされている箇所を削除した.
- 生成した rndc-key の鍵の中身を named.conf に貼り付けた.
編集したファイルのパーミッション設定
現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff としておいた.
root@tako:/usr/local/bind/etc# chgrp -R staff .
所有者やパーミッションは以下のように設定した.
root@tako:/usr/local/bind/etc# chmod 640 rndc.conf root@tako:/usr/local/bind/etc# chown bind namedb/named.conf root@tako:/usr/local/bind/etc# chmod 640 namedb/named.conf
起動テスト
以下のコマンドを実行し, Bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
- /var/log/syslog を見て, 起動したことを確認した
- managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に，managed-keys.bind という空のファイルを作成する．
- ps aux コマンドなどで走っていることを確認した.
rndc のテスト
以下のコマンドを実行した．
root@tako:/usr/local/bind/etc# rndc reload
ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
name.conf の確認
root@tako:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなければ正常であった.
ゾーンの確認
root@tako:/usr/local/bind/etc/namedb# named-checkzone localhost localhost.zone
以下のように表示されれば正常であった．
zone localhost/IN: loaded serial XXXXXXXXXX OK
なお, XXXXXXXXXX には Serial に書いた数字が表示される.
フルサービスリゾルバへ変更
tako をフルサービスリゾルバにするために, [ITPASS2014]OSのインストールで設定した DNS サーバを学術情報基盤センターから tako 自身に変更する.
/etc/network/interfaces の中を見ると,
# This file describes the network interfaces available on your system # and how to activate them. For more information, see interfaces(5). source /etc/network/interfaces.d/* # The loopback network interface auto lo iface lo inet loopback
となっており, dns-nameservers という項目がなかった.
- [メモ] 次回の構築からは OS インストール直後に networkmanager を停止させたほうが良いだろう.
サーバー運用上, NetworkManager では Network の詳細な設定が難しいと考えられるため, NetworkManager を停止して従来の方法で Network の設定を行うことにした. 以下のように NetworkManager を停止させた.
# systemctl
を打って, NetworkManager のユニット名を確認した.
起動時に NetworkManager が立ち上がらないようにした.
# systemctl disable NetworkManager.service
NetworkManager が停止しているか確認したが, 停止していなかった.
# systemctl stop NetworkManager.service
再起動を行った.
# systemctl start networking.service
networking.service がつながっていない可能性があるので, networking.service をスタートさせた.
# systemctl # systemctl status networking.service
networking.service が正常に動いているか確認した.
# ifup eth1
networking.service がつながっていなかったのでつなげた.
# ping 133.30.109.23
そして, 上記のように行い, 再起動を行った. 結果, 問題なかった.
/etc/network/interface の dns-nameservers を以下のように書き換えた.
dns-nameservers 133.30.109.21
ネットワークを再起動した
# /etc/init.d/networking stop # /etc/init.d/networking start
今回は上記のようにしたが,
# systemctl stop networking.service # systemc
tl start networking.service
のようにした方が良かったかもしれない.
/etc/resolv.conf を確認したが,下記のような内容にはなっていなかった.
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8) # DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN nameserver 133.30.109.21 search scitec.kobe-u.ac.jp
ここでは, このまま bind の動作を確認してみた.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf $ dig @133.30.109.21 www.google.com
と打つと, 正しく返答された.
- bind のログが確認できないため, ログを出力するように設定した.
/usr/local/bind/etc/namedb/named.conf に下の設定を追加した.
logging {
channel "default-log" {
file "/var/log/named/default.log" versions 5 size 10M;
severity info;
print-time yes;
print-severity yes;
print-category yes;
};
category default { "default-log"; };
};
ログファイル用のディレクトリを用意した.
# mkdir /var/log/named/ # chown bind:bind /var/log/named/
bind を再起動した.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
bind の動作を確認した.
# dig @133.30.109.21 www.google.com
正しく返答された (IP アドレスが表示された).
ログの確認を行った.
# lv /var/log/named/default.log
良くわからなかったので, より詳しいログを出力するために, /usr/local/bind/etc/namedb/named.conf 内の "info" を "debug" に変更した.
bind を再起動した.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
bind の動作を確認した.
# dig @133.30.109.21 www.google.com
名前解決できた (IP アドレスが表示された).
ログの確認を行った.
# lv /var/log/named/default.log
ログファイルの中に google の文字を確認した.
ログファイルのサイズを節約するために, /usr/local/bind/etc/namedb/named.conf の "debug" を "info" に変更した.
起動スクリプトの用意
- サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
Debian の bind9 パッケージから, systemd 用の設定ファイルをコピーして用いることにした. 具体的には, 情報実験機の一台( joho 07 )にパッケージの bind9 をインストールし, 設定ファイルを取り出した.
joho07 # apt-get install bind9 joho07 # systemctl joho07 # systemctl status bind9.service
systemctl によって bind9 のユニット名を確認し, systemctl status bind9.service によって設定ファイルを確認した. /lib/systemd/system/bind9.service を tako にコピーして使用した.
bind9.service 内のパスなどを適宜書き換え, tako の /etc/systemd/system に置いた. なお, 書き換え後の bind9.service はbind.
bind の起動テストを行った.
# systemctl start bind9.service
起動の確認をしたが,
# systemctl
failed になっており, 起動に失敗していた. (なお, systemctl が文字化けしていたため, $ export PAGER=less によって 環境変数 PAGER を変更した.)
bind9.service の内容に間違いを発見したため修正した.
# systemctl daemon-reload
bind が起動した.
起動の確認をした.
$ dig @133.30.109.21 www.google.com
名前解決できた (IP アドレスが表示された).
システム起動時に自動的に bind が立ち上がるか確認するために tako を再起動した.
再起動後に systemctl で確認したところ, bind は立ち上がっていなかった.
システム起動時に bind が立ち上がるようにするために追加設定を行った.
# systemctl enable bind9.service
bind を立ち上げた.
# systemctl start bind9.service
起動の確認をした.
# systemctl
起動していた.
名前解決の確認
$ dig @133.30.109.21 www.google.com
名前解決できた (IP アドレスが表示された).
- システム起動時に自動的に bind が立ち上がるか確認するために tako を 再起動した.
再起動後に systemctl で確認したところ, bind は立ち上がっており, 名前解決できた (IP アドレスが表示された).
最後の作業
インストールが終了したので, システム起動時に自動的に bind が 立ち上がらないようにした.
# systemctl disable bind9.service
Keyword(s):
References:[[ITPASS2015]2015年度サーバ構築ログ]