DNS(BIND)の設定(外向き)

■しかくDNS(BIND)の設定

• example.comという新規のドメインを追加する。
• 既存ドメイン(example.zive.net)と同様に内向きにもこのドメインを適用するが、既存ドメイン(example.zive.net)があり逆引きは一意に決まってしまうため、このドメインはサーバにのみに適用する。
  
  

◆だいやまーくnamed.confの設定

// generated by named-bootconf.pl
acl localnet{ // 'localnet'名でアクセス制御リストを定義
 192.168.0.0/24; // サーバゾーンの定義
 192.168.1.0/24; // おやじ宅内のゾーンの定義
 127.0.0.1; // ローカルホストの定義
};
options {
 directory "/var/named"; // DNSのデータベースディレクトリ
 allow-transfer { localnet; }; // 転送先制限(localnetのみ可)
 allow-query { localnet; }; // 問合せ元制限(localnetのみ可)
};
// rndcで制御可能なホストを指定(localhostのみ可)
controls {
 inet 127.0.0.1 allow { localhost; } keys { rndckey; };
};
// rndc秘密鍵の読込みパスを指定
include "/etc/rndc.key";
// ログ関係の設定
logging {
 channel default-log {
 file "/var/log/named/named.log" versions 5 size 1m;
 severity info;
 print-time yes;
 print-category yes;
 }; 
 category lame-servers { null; };
 category default { default-log; }; 
};
// 内向きDNSの設定
view "lan" {
 match-clients {
 localnet;
 };
 // ルートのゾーン設定
 zone "." IN { 
 type hint;
 file "named.ca";
 };
 // 逆引きのループバックのゾーン設定
 zone "0.0.127.in-addr.arpa" IN { 
 type master;
 file "named.local";
 };
 // 正引きのおやじ宅内のゾーン設定
 zone "example.zive.net" IN { 
 type master;
 file "example.zive.net.zone";
 };
 // 逆引きのおやじ宅内ゾーンの設定
 zone "0.168.192.in-addr.arpa" IN {
 type master;
 file "192.168.0.rev";
 };
 // 逆引きのサーバゾーンの設定
 zone "1.168.192.in-addr.arpa" IN {
 type master;
 file "192.168.1.rev";
 };
 // example.comの正引きのゾーン設定
 zone "example.com" IN {
 type master;
 file "example.com.local";
 };
};
// 外向きDNSの設定
view "wan" {
 match-clients {
 any;
 };
 recursion no; // 再帰的検索の禁止
 
 // example.comの正引きのゾーン設定
 zone "example.com" IN {
 type master;
 file "example.com.zone";
 allow-transfer { yyy.yyy.yyy.yyy; }; // セカンダリDNSのIPアドレスを記述(セカンダリDNSのみに転送)
 allow-query { any; }; // 問合せは全て可
 notify yes; // このzone設定に変化があったらnsで定義された
 }; // dnsにnotify通知。
};

1. directoryは、デフォルトのまま。ここで指定したディレクトリに、各zoneファイルを置く。
   
   
2. acl(名前:localnetは任意)で、家庭内とローカルホストのアドレスを定義。
   
   
3. optionsのallow-query・allow-trasferで、デフォルトでは設定情報を外部に出さないように設定。
   外向きの情報は、外向きゾーン設定のところで開放。(optionsでの設定より優先される)
   
   
4. rndc関係は、次項参照。
   
   
5. ログ関係は、/var/log/named配下にnamed.logという名前で作成。(ディレクトリはどこでもいいが、あらかじめ作成しておきオーナをnamedにしておくこと。)
   
   

   # cd /var/log
   # mkdir named
   # chown named:named named

   
   versions 5 size 1mは、1Mbyteのログファイルを 5世代保存するという設定。
   severity info は、最低限のレベルのログ内容を出力する設定。ある程度詳細に採取したければ infoをnoticeに、動作検証時などで非常に詳細なログ内容を出力したければ debugにすればよい。デバッグにすると膨大なログが出力されるので、注意が必要。通常はinfoで十分である。
   print-time yes; print-category yes; でログに時間とカテゴリを出力する。
   category lame-servers { null; } で逆引きのエラーログは捨てる。(apacheで逆引きしており、逆引きに失敗して非常に多くの「lame server ・・・・」ログが出るので設定した。)
   
   
6. view "lan"/view "wan"で、内向きと外向きを分離して設定する。「lan」/「wan」という名称は何でもかまわないので、自分が分かり易い名前をつければよい。但し、問い合わせを受けたとき、viewの記載順にmatch-client で定義されたアドレスとアクセス元アドレスが一致したviewの設定に基づいて返答するので、アドレスが固定できる内向きのviewを必ず先に記述すること。
   match-client は、内向きは2項で設定した「localnet」を、外向きは「any」とする。これにより、家庭内からのアクセス以外は全て外向きのviewが使用される。
   
   
7. 外向きデータは、recursion noとして再帰的な検索を禁止する。yesとするとキャッシュデータ等も検索される。
   
   
8. 外向きゾーンの、allow-transfer { yyy.yyy.yyy.yyy; }; では、セカンダリDNSのみにゾーン転送するよう、セカンダリDNSのIPアドレスを記述する。
   allow-query { any; }; で、 問合せは全てから許可する。これら2つは、optionsでデフォルトはlocalnetのみしか応答しないようにしているため、外部からの問い合わせ等に答えないので、ここで個別に指定する。
   
   
9. 外向きゾーンの、notify yes; は、このzone情報に変化があったことをnsで定義されたdnsにnotify通知するためのもので、これにより、セカンダリへのzoneデータの変更が速やかに行われる。デフォルトでyesなので記述しなくても、マスタでzone設定を変更して再起動すれば、すぐにセカンダリに反映される。(serial番号の変化で見ているので、内容を変更した場合は必ずserial番号を上げることを忘れずに。)
   
   

◆だいやまーくrndc関連の設定

1. rndcを使用するためには、named.confファイルにcontrolsステートメントが必要。(上記参照)下記のように記述することにより、ローカルホストから rndcが接続できるようになる。<key-name> は、3項で作成するkeyステートメントファイル内の名称と合わせる必要があり、デフォルトは下記のとおり「rndckey」である。
   
   

   controls {
    inet 127.0.0.1 allow { localhost; } keys { <key-name>; };
   };
   [例]
   controls {
    inet 127.0.0.1 allow { localhost; } keys { rndckey; };
   };

   
   

2. named.confは、すべてが読み込めるファイルであるため、 keyステートメントを別のファイルの中に置いて、includeステートメントを使用して参照するほうが良い。keyステートメントファイルは、次項の操作で、「/etc」ディレクトリ配下にrndc.keyという名前で作成されるので、<key-file-name>は、「rndc.key」とする。もちろん、整合性をとればどんな名前でもいいので、必要なら変更すればよい。
   
   

   include "/etc/<key-file-name>";
   [例]
   include "/etc/rndc.key";

   
   

3. BINDに付属する以下のコマンド(rndc-confgen)を使用してHMAC-MD5鍵が書かれたkeyステートメントファイルを生成する。今回は、HMAC-MD5鍵の最大長の512bitで作成した。
   
   

   # rndc-confgen -a -b <bit-length> -k <key-name>
   
   [例]
   # rndc-confgen -a -b 512 -k rndckey

   上記により、「/etc」ディレクトリ配下にrndc.keyという名前でkeyステートメントファイルが作成される。作成されるkeyステートメントファイルは以下のようなものであり、<key-name> は、named.confに記述したものと同じ名前であることを確認しておく。
   

   key "<key-name>" {
    algorithm hmac-md5;
    secret "<key-value>";
   };
   [例]
   key "rndckey" {
    algorithm hmac-md5;
    secret "***********************************";
   };

4. なお、上記ではrndc.keyが作成されるだけなので、デフォルトのrndc.confにrndc.keyからキーをコピーしておく。
   
   

   /* $Id: rndc.conf,v 1.7 2001年01月09日 21:40:45 bwelling Exp $ */
   /*
    * Sample rndc configuration file.
    */
   options {
    default-server localhost;
    default-key "rndckey";
   };
   server localhost {
    key "rndckey";
   };
   key "rndckey" {
    algorithm hmac-md5;
    secret "***********************************"; // rndc.keyからコピー
   };

   
   

◆だいやまーくnamed.caの設定(ルートゾーン: /var/named/named.ca)