BIND 構築 (スレーブ)
概要
目的：BINDのスレーブサーバを構築して、BINDの冗長化をはかる
前提条件：マスターサーバにBINDは構築済みの事
構築方法は以下を参照
ex-lab内：BIND構築
マスターサーバ：192.168.24.100
スレーブサーバ：192.168.24.101
マスター側の操作
（１）共有鍵作成
# dnssec-keygen -a HMAC-MD5 -b 512 -n HOST example.jp
※ コマンド 補足
-a アルゴリズム
-b 鍵長
-n 所有者タイプ
引数は、鍵の名前
（２）鍵が作成されている事を確認
# ls Kexample.jp.+157+02769.key Kexample.jp.+157+02769.private
（３）共有秘密鍵を確認
# cat Kexample.jp.+157+02769.key example.jp. IN KEY 512 3 157 lTHmpkaiQjx2lyNXCn35r1wJqPozqQYJjDqSRSkj RLc1w0UQz7BGNPv3 hwZka1YwdAXGmYp44P9GyvG1EzbXLw==
※ lTHmpkaiQjx2lyNXC…(省略) の部分が共有秘密鍵
（４）named.conf を編集
# cp -p /var/named/chroot/etc/named.conf /var/named/chroot/etc/named.conf.201007010
# vi /var/named/chroot/etc/named.conf
変更箇所のみ追記
key "example.jp" {
algorithm hmac-md5;
secret "lTHmpkaiQjx2lyNXCn35r1wJqPozqQYJjDqSRSkjRLc1w0UQz7BGNPv3 hwZka1YwdAXGmYp44P9GyvG1EzbXLw==";
};
view "internal" {
match-clients { localnets; };
match-destinations { localnets; };
include "/etc/named.rfc1912.zones";
zone "example.jp" {
type master;
file "example.jp.zone";
allow-transfer {
key exampl.jp;
# スレーブのIPアドレス
192.168.24.101;
};
notify yes;
# スレーブのIPアドレス
also-notify { 192.168.24.101; };
};
};
スレーブ側の操作
（１）bind,bind-chroot, caching-nameserverインストール
# yum -y install bind bind-chroot caching-nameserver
（２）マスター側から named.conf をコピー
マスター側から、必要なファイル(named.conf, XXXX.zone)などをコピーする。
自分の環境では、SCPを利用してファイルを転送しています。
+ マスター側で実施
# scp /var/named/chroot/etc/named.conf ex-adm@ex-ns2:/var/tmp # scp /var/named/chroot/var/named/example.jp.zone ex-adm@ex-ns2:/var/tmp
+ スレーブ側で実施
# cp /var/tmp/named.conf /var/named/chroot/etc/named.conf # cp /var/tmp/example.jp.zone /var/named/chroot/var/named/example.jp.zone
（３）ルートゾーン最新化
# dig . ns @198.41.0.4 > /var/named/chroot/var/named/named.ca
（４）named.conf を編集
# cp -p /var/named/chroot/etc/named.conf /var/named/chroot/etc/named.conf.201007010
# vi /var/named/chroot/etc/named.conf
変更箇所のみ追記
key "example.jp" {
algorithm hmac-md5;
secret "lTHmpkaiQjx2lyNXCn35r1wJqPozqQYJjDqSRSkjRLc1w0UQz7BGNPv3 hwZka1YwdAXGmYp44P9GyvG1EzbXLw==";
};
# マスター側のIPアドレス
server 192.168.24.100 {
keys "example.jp";
};
view "internal" {
match-clients { localnets; };
match-destinations { localnets; };
include "/etc/named.rfc1912.zones";
zone "example.jp" {
type slave;
# マスター側のIPアドレス
masters { 192.168.24.100; };
file "example.jp.zone";
};
};
（５）BIND自動起動設定
# chkconfig named on
（６）BIND自動起動設定確認
# chkconfig --list named named 0:off 1:off 2:on 3:on 4:on 5:on 6:off
（７）設定ファイルのパーミッション変更
# chown -R named:named /var/named/chroot/etc/* # chown -R named:named /var/named/chroot/var/named/*
マスター・スレーブ 共通
（１）BIND起動
# /etc/init.d/named restart named を停止中: [ OK ] named を起動中: [ OK ]
エラーの対処
以下のように、failed while receiving responses: permission denied …. と表示され、スレーブ側で同期ができない場合は、以下の対処方法で解決
# tail /var/log/messages Jul 10 20:03:01 localhost named[12585]: zone example.jp/IN/internal: Transfer started. Jul 10 20:03:01 localhost named[12585]: transfer of 'example.jp/IN' from 192.168.24.100#53: connected using 192.168.24.101#49775 Jul 10 20:03:01 localhost named[12585]: dumping master file: tmp-IogzPeUwuX: open: permission denied Jul 10 20:03:01 localhost named[12585]: transfer of 'example.jp/IN' from 192.168.24.100#53: failed while receiving responses: permission denied Jul 10 20:03:01 localhost named[12585]: transfer of 'example.jp/IN' from 192.168.24.100#53: end of transfer
（１）スレーブ側でパーミッションを変更
パーミッションは変更しているが、念のため再実行
# chown named:named /var/named/chroot/var/named/
（２）マスターサーバ側で対象の zone ファイルのシリアル値を上げる
zone ファイルを再読込
# /usr/sbin/rndc reload
再読込を実施すると、ログから、permission denied は消えます
# tail /var/log/messages Jul 10 20:18:46 localhoex-ns2 named[12585]: zone example.jp/IN/internal: Transfer started. Jul 10 20:18:46 localhoex-ns2 named[12585]: transfer of 'example.jp/IN' from 192.168.24.100#53: connected using 192.168.24.101#42342 Jul 10 20:18:46 localhoex-ns2 named[12585]: zone example.jp/IN/internal: transferred serial 2010071005: TSIG 'example.jp' Jul 10 20:18:46 localhoex-ns2 named[12585]: transfer of 'example.jp/IN' from 192.168.24.100#53: end of transfer Jul 10 20:18:46 localhoex-ns2 named[12585]: zone example.jp/IN/internal: sending notifies (serial 2010071005) Jul 10 20:18:46 localhoex-ns2 named[12585]: client 192.168.24.101#16785: view localhost_resolver: received notify for zone 'example.jp': not authoritative