IT pass HikiWiki - [Memo2017][ITPASS]bindのインストールと設定

[[ITPASS2017]2017年度サーバ構築ログへ戻る]

ビルドとインストール

配布サイト <URL:https://www.isc.org/> からソースのアーカイブを取得し, ビルド.

最新のバージョン (9.11.2) を取得.

インストール先は /usr/local/bind.

# cd /usr/local/src
# wget  ftp://ftp.isc.org/isc/bind9/9.11.2/bind-9.11.2.tar.gz
# tar zxfv bind-9.11.2.tar.gz
# cd bind-9.11.2

# mkdir /usr/local/bind
# ./configure --prefix=/usr/local/bind

# make

Bind をインストール
```
# make install
```
既にインストールされている Bind 関係のパッケージを削除.

下のように関係パッケージを確認.

# apt-cache search bind9

表示された多数のパッケージから関係パッケージを抽出. ("bind9" という文字で検索すると良い)
- bind9
- bind9-doc
- bind9-host
- bind9utils
- libbind9-140
- bind9-dyndb-ldap
これらのパッケージが実際にインストールされているかどうかを確認.

# dpkg -l bind9 bind9-doc bind9-host bind9utils libbind9-140 bind9-dyndb-ldap

この結果, bind9-host, libbind9-140 のみがインストールされていた.

# apt-get remove bind9-host libbind9-140

依存関係によって gnome がアンインストールされてしまった. しかし, startx で GUI が使えるようなのでここでは良いことにする.

さらに, 提案されるように以下を行った.

# apt autoremove

実行ファイルへのパスの設定

sh, bash

/etc/bash.bashrc の末尾に

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/bind/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  PATH="${PATH}:/usr/local/bind/sbin"
fi

を追記.

csh, tcsh

/etc/csh.cshrc の末尾に

# add PATH for local installed softwares
set path = ($path /usr/local/bin /usr/bin /bin /usr/local/bind/bin)
# add PATH for local installed softwares (for root)
if ( "`id -u`" == 0 ) then
  set path = ($path /usr/local/sbin /usr/sbin /sbin /usr/local/bind/sbin)
endif

を追記.

zsh

/etc/zsh/zshenv の末尾に

# add PATH for local installed softwares
export PATH="$PATH:/usr/local/bind/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
  export PATH="$PATH:/usr/local/bind/sbin"
fi

を追記.

マニュアルへのパスの設定

/etc/manpath.config に以下の行を追加.

MANDATORY_MANPATH                          /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man

ユーザとグループ追加

Bind の実行ユーザとして bind ユーザを作成

# export EDITOR=vi
- vipw を実行して以下の行を追加.
```
bind:x:153:153:Bind Sandbox:/usr/local/bind/var:/bin/false
```
- vipw -s を実行して以下の行を追加.
```
bind:!:13749:0:99999:7:::
```
同様に bind グループを追加.
- vigr を実行して以下の行を追加.
```
bind:x:153:
```
- vigr -s を実行して以下の行を追加.
```
bind:*::
```

pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にした.

# chown bind:bind /usr/local/bind/var/run/

各設定ファイルの編集

named.conf

old の /usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピーした.

new に namedb というディレクトリがないため, ディレクトリを作成.

# cd /usr/local/bind/etc # mkdir namadb

ファイルの内容はマニュアルとは異なり, 下のようであった.

マニュアルにはない logging と key の項目があった.
- これらの項目は当面残しておくことにする.

acl my-network {
        133.30.109.0/25;
        127.0.0.1;
};

options {
        dump-file "/usr/local/bind/etc/cache_dump.db";
        directory "/usr/local/bind/etc/namedb";
        pid-file "/usr/local/bind/var/run/named.pid";
        recursion yes;
        allow-query { "my-network"; };
};

zone "." {
        type hint;
        file "named.root";
};

zone "localhost" {
        type master;
        file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" {
        type master;
        file "localhost.rev";
};

controls {
          inet 127.0.0.1 port 953
                   allow { 127.0.0.1; } keys { "rndc-key"; };
};

logging {
        channel "default-log" {
                file "/var/log/named/default.log" versions 5 size 10M;
                severity info;
                print-time yes;
                print-severity yes;
                print-category yes;
        };

        category default { "default-log"; };
};

#include "/usr/local/bind/etc/rndc.key";
key "rndc-key" {
        algorithm hmac-md5;
        secret "Ye5uqqwpq1k8TH+ODuizwQ==";
};

なお, 上の key の secret の項目は本当の値ではない.

localhost.zone

old の /usr/local/bind/etc/namedb/localhost.zone を new の /usr/local/bind/etc/namedb/ にコピーした.
ファイル内の "old" という記述を "new" に変更した．
- 実際には "ika" を "tako" にした.
Serial には作業当日の日付と更新回数 (2 桁) を書いた.
書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                              2017102300 ; Serial
                                 3600    ; Refresh
                                 900     ; Retry
                                 3600000 ; Expire
                                 3600 )  ; Minimum
          IN      NS      new-itpass.scitec.kobe-u.ac.jp.
          IN      A       127.0.0.1

localhost.rev

old の /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーした.
ファイル内の "old" という記述を "new" に変更した．
- 実際には "ika" を "tako" にした.
Serial には作業当日の日付と更新回数 (2 桁) を書いた.
書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. itpadmin.new-itpass.scitec.kobe-u.ac.jp.  (
                            2016102300 ; Serial
                               3600    ; Refresh
                               900     ; Retry
                               3600000 ; Expire
                               3600 )  ; Minimum
        IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.

named.root

最新のものを <URL:ftp://rs.internic.net/domain/named.root> からダウンロードし, /usr/local/bind/etc/namedb/ に named.root として保存した.

# wget ftp://rs.internic.net/domain/named.root

rndc の設定

rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.

実行時の出力を /usr/local/bind/etc/rndc.conf として保存する.
```
# /usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
```

rndc.conf の中身は下記の通り.

# Start of rndc.conf
key "rndc-key" {
        algorithm hmac-md5;
        secret "IPd2IeZIe8TM2i5LaBW04g==";
};

options {
        default-key "rndc-key";
        default-server 127.0.0.1;
        default-port 953;
};
# End of rndc.conf

# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
#       algorithm hmac-md5;
#       secret "IPd2IeZIe8TM2i5LaBW04g==";
# };
#
# controls {
#       inet 127.0.0.1 port 953
#               allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf

なお, 上の key の secret の項目は本当の値ではない.

念のため, rndc.conf のコメントアウトされている箇所を削除した.

生成した rndc-key の鍵の key ステートメントを named.conf のそれと置き換えた.

key "rndc-key" {
        algorithm hmac-md5;
        secret "Ye5uqqwpq1k8TH+ODuizwQ==";
};

を

key "rndc-key" {
        algorithm hmac-md5;
        secret "IPd2IeZIe8TM2i5LaBW04g==";
};

と置き換えた.

編集したファイルのパーミッション設定

本来, Bind 関連のファイルの所有グループは ITPASS サーバの管理者グループである itpadmin にするのだが, 現時点ではユーザ管理システム (gate-toroku-system) のインストールを行っていないため, 仮に staff とした.
```
# chgrp -R staff .
```

所有者やパーミッションは以下のように設定した.

# chmod 640 rndc.conf

# chown bind namedb/named.conf
# chmod 640 namedb/named.conf

起動テスト

以下のコマンドを実行し, bind の起動テストを行った.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

/var/log/syslog を見て, 起動したことを確認
- /var/log/named ディレクトリがなかったので, 作成した.
```
# mkdir /var/log/named
# chown bind:bind /var/log/named
```
ps aux コマンドで走っていることを確認した.

rndc のテスト

以下のコマンドを実行した．

# ./rndc reload

server reload successful と表示されたので OK.

ファイルフォーマットのチェック

named.conf やゾーンの整合性を確認した.

name.conf の確認
```
# ./named-checkconf /usr/local/bind/etc/namedb/named.conf
```
何も出力されず, 正常であることを確認した.

ゾーンの確認

# cd /usr/local/bind/etc/namedb
# ../../sbin/named-checkzone localhost localhost.zone

以下のように表示され, 正常であることを確認した．

zone localhost/IN: loaded serial 2017102300
OK

ひとまず停止

ひとまず named を停止した.

ps aux で PID を調べて kill した.

フルサービスリゾルバへ変更

new をフルサービスリゾルバにするために, [ITPASS2017]OSのインストールで設定した DNS サーバを学術情報基盤センターから new 自身に変更する.

/etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.

dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2

#       dns-nameservers 133.30.109.21

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
        dns-nameservers 133.30.109.21

ここでは, このまま bind の動作を確認して, 正しく名前解決されるか確認する.

# /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com

下のように表示されたので, 成功のようだ.

; <<>> DiG 9.11.2 <<>> @133.30.109.21 www.google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45815
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: c4ccda1c5f52ccece157ecdb59eda997a80203fda2249494 (good)
;; QUESTION SECTION:
;www.google.com.                        IN      A

;; ANSWER SECTION:
www.google.com.         300     IN      A       216.58.197.4

;; AUTHORITY SECTION:
google.com.             172800  IN      NS      ns4.google.com.
google.com.             172800  IN      NS      ns3.google.com.
google.com.             172800  IN      NS      ns1.google.com.
google.com.             172800  IN      NS      ns2.google.com.

;; Query time: 1161 msec
;; SERVER: 133.30.109.21#53(133.30.109.21)
;; WHEN: Mon Oct 23 17:34:31 JST 2017
;; MSG SIZE  rcvd: 159

* ログを確認した.

    # lv /var/log/named/default.log

起動スクリプトの用意

サーバの起動時に自動的に Bind を起動させるための起動スクリプトを用意した.
- old の /etc/systemd/system/bind9.service をコピーして new の /etc/systemd/system/bind9.service とする.
  
  bind9.service の中身は以下です.
```
[Unit]
Description=BIND Domain Name Server
Documentation=man:named(8)
After=network.target

[Service]
ExecStart=/usr/local/bind/sbin/named -f -u bind -c /usr/local/bind/etc/namedb/named.conf
ExecReload=/usr/local/bind/sbin/rndc reload
ExecStop=/usr/local/bind/sbin/rndc stop

[Install]
WantedBy=multi-user.target
```
- named が立ち上がっていたので, 停止した.
  - ps aux で PID を確認して kill した.
- bind9.service の起動テストを行った.
```
# systemctl start bind9.service
```
- bind9.service 起動の確認をした.
```
# systemctl
```
  より詳しくは
```
# systemctl status bind9.service
```
  ここで, 下の warning が出ていることに気づいた.
```
10月 23 17:59:05 tako-itpass named[16529]: the working directory is not writable
```
  さらに調べたところ, これは直さなくてよいとの記述あり. <URL:https://superuser.com/questions/1097407/named-the-working-directory-is-not-writable> 今回はこのまま置いておくことにする.
- bind の動作の確認した
```
$ /usr/local/bind/bin/dig @133.30.109.21 www.google.com
```
- システム起動時に自動的に bind が立ち上がるようにするために追加設定.
```
# systemctl enable bind9.service
```
- システム起動時に自動的に bind が立ち上がるか確認するために new を再起動.
- 再起動後に systemctl での確認と, 名前解決できるかの確認.

最後の作業

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

インストールが終了したので, システム起動時に自動的に bind が立ち上がらないようにした.
```
# systemctl disable bind9.service
```

また, DNS サーバを止めたので, /etc/network/interfaces の dns-nameservers の項目を下のように書き換えた.

#      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
      dns-nameservers 133.30.109.21

      dns-nameservers 133.30.14.2 133.30.14.3 133.30.8.2
#      dns-nameservers 133.30.109.21

再起動.
named が動いていないことを確認.
名前が引けることを確認.
- 例えば下のようにして応答が返ってくれば良い.
  
  $ ping dennou-k.gfd-dennou.org

named.conf の変更

上の設定では, /usr/local/bind/etc/namedb/named.conf に rndc の key を書いていたが, これを別ファイルにすることにする.

/usr/local/bind/etc/namedb/named.conf の編集
- named.conf の中の key ステートメントを削除
- named.conf に下の分を追記 (実際には, コメントアウトされて書かれていたもののコメントを外す)
```
include "/usr/local/bind/etc/rndc.key";
```
/usr/local/bind/etc/rndc.key の作成
- /usr/local/bind/etc/rndc.conf の中の key ステートメントを /usr/local/bind/etc/rndc.key に書く.
- /usr/local/bind/etc/rndc.key の所有者は bind:bind.
- /usr/local/bind/etc/rndc.key のパーミッションは 400 (でも問題ない)

来年度以降はこの方針にしよう.

[[ITPASS2017]2017年度サーバ構築ログへ戻る]

Last modified:2017/11/06 13:58:57
Keyword(s):
References:[[ITPASS2017]2017年度サーバ構築ログ]

[Memo2017][ITPASS]bindのインストールと設定

ビルドとインストール

実行ファイルへのパスの設定

sh, bash

csh, tcsh

zsh

マニュアルへのパスの設定

ユーザとグループ追加

pid ファイル置場のパーミッション設定

各設定ファイルの編集

named.conf

localhost.zone

localhost.rev

named.root

rndc の設定

編集したファイルのパーミッション設定

起動テスト

rndc のテスト

ファイルフォーマットのチェック

フルサービスリゾルバへ変更

起動スクリプトの用意

最後の作業

named.conf の変更

最近の更新

2024-04-09

2024-04-08

2023-10-04

2023-08-16

2023-08-09

2023-08-08

2023-08-07

2023-08-06

2023-08-05

2023-08-04