[Memo2017][ITPASS]bindのインストールと設定
ビルドとインストール
- 配布サイト <URL:https://www.isc.org/> からソースのアーカイブを
取得し, ビルド.
- 最新のバージョン (9.11.2) を取得.
インストール先は /usr/local/bind.
# cd /usr/local/src # wget ftp://ftp.isc.org/isc/bind9/9.11.2/bind-9.11.2.tar.gz # tar zxfv bind-9.11.2.tar.gz # cd bind-9.11.2 # mkdir /usr/local/bind # ./configure --prefix=/usr/local/bind
# make
Bind をインストール
# make install
既にインストールされている Bind 関係のパッケージを削除.
下のように関係パッケージを確認.
# apt-cache search bind9
表示された多数のパッケージから関係パッケージを抽出. ("bind9" という文字で検索すると良い)
- bind9
- bind9-doc
- bind9-host
- bind9utils
- libbind9-140
- bind9-dyndb-ldap
これらのパッケージが実際にインストールされているかどうかを確認.
# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap
この結果, bind9-host, libbind9-140 のみがインストールされていた.
# apt-get remove bind9-host libbind9-140
依存関係によって gnome がアンインストールされてしまった. しかし, startx で GUI が使えるようなのでここでは良いことにする.
さらに, 提案されるように以下を行った.
# apt autoremove
実行ファイルへのパスの設定
sh, bash
/etc/bash.bashrc の末尾に
# add PATH for local installed softwares PATH="${PATH}:/usr/local/bind/bin" # add PATH for local installed softwares (for root) if [ "`id -u`" -eq 0 ]; then PATH="${PATH}:/usr/local/bind/sbin" fi
を追記.
csh, tcsh
/etc/csh.cshrc の末尾に
# add PATH for local installed softwares set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin) # add PATH for local installed softwares (for root) if ( "`id -u`" == 0 ) then set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin) endif
を追記.
zsh
/etc/zsh/zshenv の末尾に
# add PATH for local installed softwares export PATH="$PATH:/usr/local/bind/bin" # add PATH for local installed softwares (for root) if [ "`id -u`" -eq 0 ]; then export PATH="$PATH:/usr/local/bind/sbin" fi
を追記.
マニュアルへのパスの設定
/etc/manpath.config に以下の行を追加.
MANDATORY_MANPATH /usr/local/bind/man MANPATH_MAP /usr/local/bind/bin /usr/local/bind/man MANPATH_MAP /usr/local/bind/sbin /usr/local/bind/man MANDB_MAP /usr/local/bind/man /usr/local/bind/man
ユーザとグループ追加
Bind の実行ユーザとして bind ユーザを作成
# export EDITOR=vi
vipw を実行して以下の行を追加.
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
vipw -s を実行して以下の行を追加.
bind:!:13749:0:99999:7:::
- 同様に bind グループを追加.
vigr を実行して以下の行を追加.
bind:x:153:
vigr -s を実行して以下の行を追加.
bind:*::
pid ファイル置場のパーミッション設定
pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.
# chown bind:bind /usr/local/bind/var/run/
各設定ファイルの編集
named.conf
old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.
new に namedb というディレクトリがないため, ディレクトリを作成.
# cd /usr/local/bind/etc # mkdir namadb
ファイルの内容はマニュアルとは異なり, 下のようであった.
- マニュアルにはない logging と key の項目があった.
- これらの項目は当面残しておくことにする.
acl my-network { 133.30.109.0/25; 127.0.0.1; }; options { dump-file "/usr/local/bind/etc/cache_dump.db"; directory "/usr/local/bind/etc/namedb"; pid-file "/usr/local/bind/var/run/named.pid"; recursion yes; allow-query { "my-network"; }; }; zone "." { type hint; file "named.root"; }; zone "localhost" { type master; file "localhost.zone"; }; zone "0.0.127.in-addr.arpa" { type master; file "localhost.rev"; }; controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; }; logging { channel "default-log" { file "/var/log/named/default.log" versions 5 size 10M; severity info; print-time yes; print-severity yes; print-category yes; }; category default { "default-log"; }; }; #include "/usr/local/bind/etc/rndc.key"; key "rndc-key" { algorithm hmac-md5; secret "Ye5uqqwpq1k8TH+ODuizwQ=="; };
- マニュアルにはない logging と key の項目があった.
なお, 上の key の secret の項目は本当の値ではない.
localhost.zone
- old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーした.
- ファイル内の "old" という記述を "new" に変更した.
- 実際には "ika" を "tako" にした.
- Serial には作業当日の日付と更新回数 (2 桁) を書いた.
- 書き換え後のファイルの中身は下記の通り.
$TTL 3600 @ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. ( 2017102300 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS new-itpass.scitec.kobe-u.ac.jp. IN A 127.0.0.1
localhost.rev
- old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーした.
- ファイル内の "old" という記述を "new" に変更した.
- 実際には "ika" を "tako" にした.
- Serial には作業当日の日付と更新回数 (2 桁) を書いた.
- 書き換え後のファイルの中身は下記の通り.
$TTL 3600 @ IN SOA new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp. ( 2016102300 ; Serial 3600 ; Refresh 900 ; Retry 3600000 ; Expire 3600 ) ; Minimum IN NS new-itpass.scitec.kobe-u.ac.jp. 1 IN PTR localhost.scitec.kobe-u.ac.jp.
named.root
- 最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した.
# wget ftp://rs.internic.net/domain/named.root
rndc の設定
- rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
rndc.conf の中身は下記の通り.
# Start of rndc.conf key "rndc-key" { algorithm hmac-md5; secret "IPd2IeZIe8TM2i5LaBW04g=="; }; options { default-key "rndc-key"; default-server 127.0.0.1; default-port 953; }; # End of rndc.conf # Use with the following in named.conf, adjusting the allow list as needed: # key "rndc-key" { # algorithm hmac-md5; # secret "IPd2IeZIe8TM2i5LaBW04g=="; # }; # # controls { # inet 127.0.0.1 port 953 # allow { 127.0.0.1; } keys { "rndc-key"; }; # }; # End of named.conf
なお, 上の key の secret の項目は本当の値ではない.
- 念のため, rndc.conf のコメントアウトされている箇所を削除した.
生成した rndc-key の鍵の key ステートメントを named.conf のそれと置き換えた.
key "rndc-key" { algorithm hmac-md5; secret "Ye5uqqwpq1k8TH+ODuizwQ=="; };
を
key "rndc-key" { algorithm hmac-md5; secret "IPd2IeZIe8TM2i5LaBW04g=="; };
と置き換えた.
編集したファイルのパーミッション設定
本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
# chgrp -R staff .
所有者やパーミッションは以下のように設定した.
# chmod 640 rndc.conf # chown bind namedb/named.conf # chmod 640 namedb/named.conf
起動テスト
以下のコマンドを実行し, bind の起動テストを行った.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
- /var/log/syslog を見て, 起動したことを確認
/var/log/named ディレクトリがなかったので, 作成した.
# mkdir /var/log/named # chown bind:bind /var/log/named
- ps aux コマンドで走っていることを確認した.
rndc のテスト
以下のコマンドを実行した.
# ./rndc reload
server reload successful と表示されたので OK.
ファイルフォーマットのチェック
named.conf やゾーンの整合性を確認した.
name.conf の確認
# ./named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されず, 正常であることを確認した.
ゾーンの確認
# cd /usr/local/bind/etc/namedb # ../../sbin/named-checkzone localhost localhost.zone
以下のように表示され, 正常であることを確認した.
zone localhost/IN: loaded serial 2017102300 OK
ひとまず停止
ひとまず named を停止した.
ps aux で PID を調べて kill した.
フルサービスリゾルバへ変更
new をフルサービスリゾルバにするために, [ITPASS2017]OSのインストールで設定した DNS サーバを学術情報基盤センターから new 自身に変更する.
/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
# dns-nameservers 133.30.109.21 # dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2 dns-nameservers 133.30.109.21
ここでは, このまま bind の動作を確認して, 正しく名前解決されるか確認する.
# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf $ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
下のように表示されたので, 成功のようだ.
; <<>> DiG 9.11.2 <<>> @133.30.109.21 www.google.com ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45815 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ; COOKIE: c4ccda1c5f52ccece157ecdb59eda997a80203fda2249494 (good) ;; QUESTION SECTION: ;www.google.com. IN A ;; ANSWER SECTION: www.google.com. 300 IN A 216.58.197.4 ;; AUTHORITY SECTION: google.com. 172800 IN NS ns4.google.com. google.com. 172800 IN NS ns3.google.com. google.com. 172800 IN NS ns1.google.com. google.com. 172800 IN NS ns2.google.com. ;; Query time: 1161 msec ;; SERVER: 133.30.109.21#53(133.30.109.21) ;; WHEN: Mon Oct 23 17:34:31 JST 2017 ;; MSG SIZE rcvd: 159 * ログを確認した. # lv /var/log/named/default.log
起動スクリプトの用意
- サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とする.
bind9.service の中身は以下です.
[Unit] Description=BIND Domain Name Server Documentation=man:named(8) After=network.target [Service] ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf ExecReload=/usr/local/bind/sbin/rndc reload ExecStop=/usr/local/bind/sbin/rndc stop [Install] WantedBy=multi-user.target
- named が立ち上がっていたので, 停止した.
- ps aux で PID を確認して kill した.
bind9.service の起動テストを行った.
# systemctl start bind9.service
bind9.service 起動の確認をした.
# systemctl
より詳しくは
# systemctl status bind9.service
ここで, 下の warning が出ていることに気づいた.
10月 23 17:59:05 tako-itpass named[16529]: the working directory is not writable
さらに調べたところ, これは直さなくてよいとの記述あり. <URL:https://superuser.com/questions/1097407/named-the-working-directory-is-not-writable> 今回はこのまま置いておくことにする.
bind の動作の確認した
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
システム起動時に自動的に bind が立ち上がるようにするために追加設定.
# systemctl enable bind9.service
- システム起動時に自動的に bind が立ち上がるか確認するために new を再起動.
- 再起動後に systemctl での確認と, 名前解決できるかの確認.
最後の作業
このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.
インストールが終了したので, システム起動時に自動的に bind が立ち上がらないようにした.
# systemctl disable bind9.service
また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.
# dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2 dns-nameservers 133.30.109.21 dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2 # dns-nameservers 133.30.109.21
- 再起動.
- named が動いていないことを確認.
- 名前が引けることを確認.
例えば下のようにして応答が返ってくれば良い.
$ ping dennou-k.gfd-dennou.org
named.conf の変更
上の設定では, /usr/local/bind/etc/namedb/named.conf に rndc の key を 書いていたが, これを別ファイルにすることにする.
- /usr/local/bind/etc/namedb/named.conf の編集
- named.conf の中の key ステートメントを削除
named.conf に下の分を追記 (実際には, コメントアウトされて書かれていたもののコメントを外す)
include "/usr/local/bind/etc/rndc.key";
- /usr/local/bind/etc/rndc.key の作成
- /usr/local/bind/etc/rndc.conf の中の key ステートメントを /usr/local/bind/etc/rndc.key に書く.
- /usr/local/bind/etc/rndc.key の所有者は bind:bind.
- /usr/local/bind/etc/rndc.key のパーミッションは 400 (でも問題ない)
来年度以降はこの方針にしよう.
Keyword(s):
References:[[ITPASS2017]2017年度サーバ構築ログ]