このサイトは、もともと作者の自分用メモとして書き始めたものです。書いてあることが全て正しいとは限りません。他の文献、オフィシャルなサイトも確認して、自己責任にて利用してください。

BIND 9

方針：

• インストールは、rpm でまったく問題ないので、ここでは触れない。
• ローカルネットワーク (192.168.0.0/24) 内で参照するための、キャッシュ DNS サーバとして構築する。独自ドメイン "hoge.cxm" を取得済みと仮定し、ドメイン内ホストの名前解決を主目的とする。
• 外の世界の名前解決も必要だが、その役目はプロバイダの DNS サーバに委任 (forward) する。
• まず最初に基本的なファイルレイアウトで正常動作を確認し、その後、セキュリティ強化のため chroot環境 に移行する。
• BIND は DNS サーバのデファクトスタンダードではあるが、安定性やセキュリティの面で信頼性に問題があるといわれる。重要な役目を担うDNSサーバを本格的に運用したいなら、djbdns など、他の DNS サーバを勧める。ここでも、基本的には named を疑ってかかり、「厳しい」設定を行う。

Table of Contents

• 基本レイアウトでの設定
  • ファイル構成
  • 主設定ファイル named.conf
    • 設定例
    • 設定ディレクティブ/用語解説
  • ゾーンファイル
    • 主なレコードタイプ
    • SOAレコード
    • SOA以外のレコード
    • リソースレコード全般で使用されるその他の記述
      • 特殊記号
      • 特別なディレクティブ
    • ゾーンファイルの設定例
      • named.ca
      • localhost.zone
      • localhost.rev
      • hoge.cxm.zone
      • hoge.cxm.rev
  • named の起動オプション
  • ログファイルとPIDファイルの整備
  • rndc ユーティリティ
    • rndc のアクセス制限
      • /etc/rndc.conf
      • /etc/rndc.key
    • rndc のコマンド
• chroot 環境への移行
  • ファイル構成
  • デバイスファイルの作成
    • null と random
    • localtime
  • named の起動をchroot化
  • syslog のための手当て

基本レイアウトでの設定

ファイル構成

/etc/
    named.conf         named.named 600    主設定ファイル
    named.custom       named.named 600    主設定の一部を分割記述するファイル(RedHat系特有？)
    rndc.conf          root.root   600    rndcツール設定
    rndc.key           root.root   600    namedに接続する際のキー定義
    named.key          named.named 600    rndcから接続される際のキー定義
    sysconfig/named    root.root   644    rcスクリプトのオプション
/var/
    named/             named.named 700 
        named.ca       named.named 600    ルートゾーンファイル
        localhost.zone named.named 600    localhostゾーン正引き
        localhost.rev  named.named 600    localhostゾーン逆引き
        hoge.cxm.zone  named.named 600    自ドメインゾーン正引き
        hoge.cxm.rev   named.named 600    自ドメインゾーン逆引き
    log/named/         named.named 700 
        named_custom.log  named.named 644    カスタムログファイル
        named.log      named.named 644    syslogを通すログのログファイル
    run/named/         named.named 700 
        named.pid      named.named 644    PIDファイル

log と run ディレクトリにわざわざ named ディレクトリを挟むのは、named は log/ と run/ に直接書き込みを行う権限がないから。ただし BIND のログを常に syslog を通じて記録するならそんな必要はない。 log/ や run/ 自体のパーミションを変更するのは御法度 (認証フレームワーク PAM に怒られる) ！

以下、各ファイルの説明。

主設定ファイル named.conf

RedHat系では、 BIND コンフィギュレーションユーティリティでサポートされていない設定項目だけは named.custom という別ファイルに分割する。そういう項目は BIND-Conf で変更して保存すると消されてしまう可能性があるからだ。下記の設定例の中で、現在の system-config-bind でサポートされていないのは logging セクション (loggingセクションの説明を参照のこと)。

設定ファイルにコメントを記述する場合、 Cスタイル (/* コメント */)、 C++スタイル (// コメント)、シェルスタイル (# コメント) が使用できる。しかしゾーンファイルではコメント記述方法が異なるので注意。

設定例

logging {                                 # ロギングに関する設定ブロック
 channel "my_file" {                            # カスタムログチャネルmy_fileを定義
  file "/var/log/named/named_custom.log" versions 4 size 2m;
  severity dynamic;
  print-time yes;
  print-severity yes;
  print-category yes;
 };
 channel "secure_syslog" {                      # カスタムログチャネルsecure_syslogを定義
  syslog authpriv;
  severity info;
 };
 channel "default_syslog" {                     # 定義済みチャネルsecure_syslogを再定義
  syslog local1;
  severity dynamic;
 };

 category "security" {                          # ログカテゴリsecurityに対する取り扱いを指定
  "my_file";
  "default_syslog";
 };
 category "database" {                          # ログカテゴリdatabaseの取り扱い指定
  "my_file";
 };
 category "config" {                            # ログカテゴリconfigの取り扱い指定
  "my_file";
 };
 category "resolver" {                          # ログカテゴリresolverの取り扱い指定
  "my_file";
 };
 category "general" {                           # ログカテゴリgeneralの取り扱い指定
  "my_file";
 };
 category "client" {                            # ログカテゴリclientの取り扱い指定
  "my_file";
 };
 category "lame-servers" {                      # ログカテゴリlame-serversの取り扱い指定
  "null";
 };
 category "default" {                           # 「その他すべて」のログの取り扱い指定
  "default_syslog";
 };
};

acl "hoge-local" {                        # アクセスコントロールリストに関するブロック
 192.168.0/24;                                  # 以降の設定記述内でこれらのアドレスがニックネーム、
 127.0.0.1;                                     # hoge-localの一言で指し示せるようになる
};

options {                                 # オプションに関するブロック
 directory "/var/named";                        # namedの作業ディレクトリ
 max-cache-size 10485760;                       # DNSキャッシュを10MBに制限
 allow-query {
  "hoge-local";                                 # acl "hoge-local" からのDNSクエリのみ許可
 };

 allow-transfer {                               # acl "hoge-local" 内にあるスレーブDNSサーバからの
  "hoge-local";                                 # ゾーン転送要求のみを許可。今回はマスターのみなので
 };                                             # 本来は不要だが、不正な要求に答えないために設定

 allow-recursion {
  "hoge-local";                                 # 再起的名前解決を提供するのは
 };                                             # hoge-local からのクエリ時のみ

 auth-nxdomain yes;                             # 「そんなドメイン無いよ」の回答にもAAビットを立てる

 forward first;                                 # 外部DNSサーバに問い合わせを行う (委託)
 forwarders {
  xxx.xxx.xxx.xxx;                              # 委託する外部DNSを指定 (プロバイダのDNSなど)
  yyy.yyy.yyy.yyy;
 };
 version "8.0";                                 # バージョンを偽装。クラッカーへのささやかな用心
};

controls {                                      # rndcユーティリティからの接続に関する設定
 inet 127.0.0.1 allow {                         # ループバックアドレスのデフォルトポートTCP953で待機
 localhost;                                     # localhost からの接続のみ受け付ける
 } keys { "rndckey";                            # rndckeyという名前で定義された(ファイル名ではない)
 };                                             # キーを使って
};
include "/etc/named.key";                       # "rndckey"の定義は別ファイル"named.key"を読む

                                          # ゾーン定義に関するブロック
zone "." IN {                                   # ルートゾーンファイルの指定
 type hint;                                     # ファイル名のみで指定した場合、optionsブロック
 file "named.ca";                               # のdirectoryで定義したdirからの相対パスと
};                                              # 見なされる
zone "localhost" IN {                           # ローカルホストゾーンファイル (正引き) 指定
 type master;
 file "localhost.zone";
}
zone "0.0.127.in-addr.arpa" IN {                # ローカルホストゾーンファイル (逆引き) 指定
 type master;
 file "localhost.rev";
};
zone "hoge.cxm" IN {                             # hoge.cxmゾーンファイル (正引き) 指定
 type master;
 file "hoge.cxm.zone";
};
zone "0.168.192.in-addr.arpa" IN {               # hoge.cxmゾーンファイル (逆引き) 指定
 type master;
 file "hoge.cxm.rev";
};

設定ディレクティブ/用語解説

ここに網羅したのは全ディレクティブのほんの一部に過ぎない。とても説明しきれないので、詳しくは、google などでキーワード "BIND 9 Administrator Reference Manual" で検索するなどしてドキュメントを読むこと。

ゾーンファイル

Zone File またはResource Records (RR) と呼ばれる。ISC のオフィシャルドキュメントはこの文法に関して非常にわかりにくい。 CEPBAが載せているもの、SUNのDOC、BIND9.NET のほうが分かりやすい。それらを翻訳整理要約したのが下記。

まず、レコードは以下のように分類される。リソースレコードのうちでも SOA レコードとそれ以外ではフォーマットがかなり異なるので、区別しておく必要がある。

主なレコードタイプ：

SOAレコード

SOAレコード特有の書式：

name class SOA master_data_holder person_in_charge serial
 trans_refresh trans_retry trans_expire neg_ttl

パラメータが多くて人間には読みにくいため、一般的には、改行を無効にする ( ) を利用して次の様に書く。

name class SOA master_data_holder person_in_charge (
    serial
    trans_refresh
    trans_retry
    trans_expire
    neg_ttl )

SOA以外のレコード

リソースレコード (SOA以外) の書式

[name] [ttl] class type data

リソースレコード全般で使用されるその他の記述

特殊記号

特別なディレクティブ