IT pass HikiWiki - [ITPASS2011]bindのインストールと設定 Diff

  • Added parts are displayed like this.
  • Deleted parts are displayed like this.

{{toc}}

[((<ITPASSサーバ構築ドキュメント>)) へ戻る]


=作業前の準備

* DNS サーバの設定作業では, その時点で起動しているサーバの root が所有する設定ファイルを参照することがある. あらかじめそのサーバの root 権限を得ておくとスムーズに作業が行える.

* また, 研究室や研究科などの組織の変更の影響を受けやすいので, 前年の設定ファイルをそのまま引き継げないことがある. 予め ITPASS ミーティングなどで変更内容を確認しておくとよい.

= ビルドとインストール

  $ sudo -s
  # cd /usr/local/src

配布サイト ((<URL:https://www.isc.org/>))
からアーカイブを取得(最新の version をインストール)
※ 以下の version 番号は適宜読み替えること.

  # wget http://ftp.isc.org/isc/bind9/9.8.1/bind-9.8.1.tar.gz
  # tar zxfv bind-9.8.1.tar.gz
  # cd bind-9.8.1

  # mkdir /usr/local/bind
  # ./configure --prefix=/usr/local/bind

*なお, 配布サイトからアーカイブを取得できない場合は, old からソースをコピーして, 以下を実行する.

  # ./configure --prefix=/usr/local/bind

OpenSSL についての警告が出た場合は以下を参照

  * OpenSSL の version が古いと, セキュリティ脆弱性があると警告が出る

    * Debian の場合は version 番号が古いままでもセキュリティパッチは当たっているので, オプションに --disable-openssl-version-check を指定して version check を無視する.
    * なお, 具体的に修正された脆弱性一覧は ((<URL:http://www.debian.org/security/>)) にある.

    * openssl が debian パッケージであれば, /usr/share/doc/openssl 以下にある changelog.gz の中身から, パッチが当てられているか確認することができる.

        # ./configure --prefix=/usr/local/bind --disable-openssl-version-check


Bind をインストールする.

  # make
  # make install

インストールした Bind には host 等のコマンドも同梱されているため,
既にインストールされている bind9-host, libbind9-0, dnsutils は削除する.

  # apt-get remove bind9-host libbind9-0 dnsutils


= インストールした実行ファイルへのパスの設定

インストールされた Bind の実行ファイル群へパスを通す./etc/bash.bashrc の冒頭に以下のように追加する.

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/bin"
                                      ^^^^^^^^^^^^^^^^^^^
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
   PATH="${PATH}:/usr/local/apache2/bin:/usr/local/bind/sbin"
fi                                     ^^^^^^^^^^^^^^^^^^^^

export PATH

= インストールしたマニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは ((<[ITPASS2011]パスの設定#man 関連のパスの設定>)) を参照のこと.

# リンク先を確認

  MANDATORY_MANPATH                          /usr/local/bind/man
  MANPATH_MAP        /usr/local/bind/bin     /usr/local/bind/man
  MANPATH_MAP        /usr/local/bind/sbin    /usr/local/bind/man
  MANDB_MAP          /usr/local/bind/man     /usr/local/bind/man


= ユーザとグループ追加

Bind の実行ユーザとして bind ユーザを作成する.
vipw を実行して以下の行を追加する.

  bind:x:53:53:Bind Sandbox:/usr/local/bind/var:/bin/false

vipw -s を実行して以下の行を追加する.

  bind:!:13749:0:99999:7:::

同様に bind グループを追加する.
vigr を実行して以下の行を追加する.

  bind:x:53:

vigr -s を実行して以下の行を追加する.

  bind:*::


= pid ファイル置場のパーミッション設定

pid ファイル置場である, /usr/local/bind/var/run/ を bind 所有にする.

  # chown bind:bind /usr/local/bind/var/run/


= 各設定ファイルの編集

== named.conf

* old より/usr/local/bind/etc/namedb/named.conf を new の /usr/local/bind/etc/namedb/ にコピー. ただし new に namedb というディレクトリがもともと無い場合は作成する.
* ファイルが以下の内容であることを確認する.

acl my-network {
         133.30.110.0/24;
         133.30.109.0/25;
         127.0.0.1;
};

options {
         dump-file "/usr/local/bind/etc/cache_dump.db";
         directory "/usr/local/bind/etc/namedb";
         pid-file "/usr/local/bind/var/run/named.pid";
         recursion yes;
         allow-query { "my-network"; };
};

zone "." {
         type hint;
         file "named.root";
};

zone "localhost" {
         type master;
         file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" {
         type master;
         file "localhost.rev";
};

controls {
           inet 127.0.0.1 port 953
                    allow { 127.0.0.1; } keys { "rndc-key"; };
};

include "/usr/local/bind/etc/rndc.key";


== localhost.zone

* old より /usr/local/bind/etc/namedb/localhost.zone をnew の /usr/local/bind/etc/namedb/ にコピーする.
* ファイル内の"old" という記述を "new" に変更する.
* Serial には作業当日の日付と更新回数を書く.
* 書き換え後のファイルの中身は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp.  (
                             20111018   ; Serial
                                3600    ; Refresh
                                900     ; Retry
                                3600000 ; Expire
                                3600 )  ; Minimum
         IN      NS      new-itpass.scitec.kobe-u.ac.jp.
         IN      A       127.0.0.1

== localhost.rev

* old より /usr/local/bind/etc/namedb/localhost.rev を new の /usr/local/bind/etc/namedb/ にコピーする.
* ファイル内の"old" という記述を "new" に変更する.書き換え後のファイルの内容は下記の通り.

$TTL    3600

@       IN      SOA     new-itpass.scitec.kobe-u.ac.jp. root.new-itpass.scitec.kobe-u.ac.jp.  (
                              20111018  ; Serial
                                3600    ; Refresh
                                900     ; Retry
                                3600000 ; Expire
                                3600 )  ; Minimum
         IN      NS      new-itpass.scitec.kobe-u.ac.jp.
1       IN      PTR     localhost.scitec.kobe-u.ac.jp.


== named.root

* 最新のものを((<URL:ftp://rs.internic.net/domain/named.root>))からダウンロードする.
* /usr/local/bind/etc/namedb/ 以下に named.root として格納する.

= rndc の設定


rndcコマンドは, 再起動, config ファイルの読み直しなどを行うコマンドである.

* rndc-confgen を実行し, 必要な設定ファイルの「もと」を生成する.
* rndc-confgen の出力を /usr/local/bind/etc/rndc.conf として保存する.

# rndc-confgen > /usr/local/bind/etc/rndc.conf

rndc.conf の中身は下記の通り.

    # Start of rndc.conf
    key "rndc-key" {
            algorithm hmac-md5;
            secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    };

    options {
            default-key "rndc-key";
            default-server 127.0.0.1;
            default-port 953;
    };
    # End of rndc.conf

    # Use with the following in named.conf, adjusting the allow list as needed:
    # key "rndc-key" {
    #       algorithm hmac-md5;
    #       secret "SZN/mCIMkFJmFJ/98jlcMQ==";
    # };
    #
    # controls {
    #       inet 127.0.0.1 port 953
    #               allow { 127.0.0.1; } keys { "rndc-key"; };
    # };
    # End of named.conf

secret "SZN/mCIMkFJmFJ/98jlcMQ=="; は認証に用いる共通鍵(パスワード)を表す.ここに挙げているのは例であって, 実際の設定とは異なる.
  * rndc.conf のコメントアウトされている箇所のうち, key で始まる4行を /usr/local/bind/etc/rndc.key として保存する.
  
  * 念のため, rndc.conf のコメントアウトされている箇所を削除する.

  * パーミッションの設定
    * gate の設定ができていないので, グループは仮に staff としておく.

     root@new:/usr/local/bind/etc# chgrp -R staff .
     root@new:/usr/local/bind/etc# chown bind rndc.key
     root@new:/usr/local/bind/etc# chmod 600 rndc.key
     root@new:/usr/local/bind/etc# chmod 640 rndc.conf
     root@new:/usr/local/bind/etc# chown bind namedb/named.conf
     root@new:/usr/local/bind/etc# chmod 640 namedb/named.conf

    * ただし,gate の設定が終わった後にパーミッションを変更する.
     root@new:/usr/local/bind/etc# chgrp -R itpadmin .

== rndc のテスト

以下のコマンドを実行する.
root@new:/usr/local/bind/etc# rndc reload

server reload successful と表示されれば成功.

= 起動テスト

以下のコマンドを実行し, 起動テストを行う.

  # /usr/local/bind/sbin/named -u bind -c /usr/local/bind/etc/namedb/named.conf

* /var/log/syslog を見て, 起動したことを確認

  managed-keys-zone に関するエラーが出る場合には /usr/local/bind/etc/namedb の下に,managed-keys.bind という空のファイルを作成する.

* ps -ax コマンドなどで走っていることを確認

= ファイルフォーマットチェック

named.conf とゾーン, 各々の整合性を確認する.

  root@new:/usr/local/bind/etc# named-checkconf /usr/local/bind/etc/namedb/named.conf
何も出力されなければ正常である.

さらに以下を実行する.
root@new:/usr/local/bind/etc# named-checkzone localhost localhost.zone

以下のように表示されれば正常である.
zone localhost/IN: loaded serial XXXXXXXXXX
OK

* XXXXXXXXXX には Serial に書いた数字が表示される.

= 起動スクリプトの用意

サーバの起動時に自動的に起動させるため, bind の起動スクリプトを用意する.

* Debian の bind パッケージに含まれる/etc/init.d/bind を元に起動スクリプトを bind 用に多少書き換えたものが, ((<bind|URL:../server/2011/bind/bind>)) から入手できる. このファイルを /etc/init.d/bind にダウンロードする.

    # cd /etc/init.d
    # wget http://itpass.scitec.kobe-u.ac.jp/server/2011/bind/bind
    

* 以下のように所有者とパーミッションを設定する.

    # chown root:root /etc/init.d/bind
    # chmod 755 /etc/init.d/bind

* 念のため, bind スクリプトの start, stop, restart の動作確認を行う. bind というコマンドが別に存在するため,絶対パスで bind ファイルを指定しなければならない.

# /etc/init.d/bind start
# /etc/init.d/bind stop
# /etc/init.d/bind restart

コマンドごとに ps ax で動作を確認する.

* ランレベルごとに bind の動作を設定する. 表示内容は以下のようになる.
# update-rc.d bind defaults

# update-rc.d: using dependency based boot sequencing

と表示される. 何も警告が出なければ問題ない.

* さらに, new を再起動し, 起動時に bind が起動することを確認する.

# reboot

== サーバ停止

このままの設定では, 何らかの原因で new を DNS サーバとして参照してしまうと new が itpass.scitec.kobe-u.ac.jp であるとなりすましてしまう不具合が発生するので, DNS サーバは ITPASS サーバ交代の時まで停止する.

DNS サーバ (bind) を停止.

  # /etc/init.d/bind stop

起動時に bind を起動しないようにする.

  # update-rc.d -f bind remove

サーバを再起動し, bind が起動していないことを確認する.

= bind のアップデート

今後 bind のバージョンが上がった場合(脆弱性が見つかり,パッチを当てたバージョン(P1,P2などがついたもの)に上がった場合も含む)は ((<[ITPASS2009]bind のアップデート>))を参考にして作業する.

ただし最後は

/etc/init.d/bind restart

と打つ.

= 参考文献

* ((<"@IT:キャッシュ/逆引きDNSの構築と運用"|URL:http://www.atmarkit.co.jp/flinux/rensai/bind904/bind904a.html>))

* DNS の仕組み解説 (初学者向け)
  * ((<3 Minutes Networking|URL:http://www5e.biglobe.ne.jp/~aji/3min/index.html>))



[((<ITPASSサーバ構築ドキュメント>)) へ戻る]