Bind testen und in Betrieb nehmen

Posted by DH op Friday, 7 February 2014

Bevor unser DNS-Server den Betrieb aufnehmen kann, müssen wir sicherstellen, daß nicht versehentlich die falsche Version aufgerufen wird. Dazu ergänzen wir die globale Pfad-Umgebungsvariable in der Datei /etc/profile:

cp /etc/profile /etc/profile.bak
sed 's#^\(export PATH\)$#PATH="/usr/local/bind9/sbin:/usr/local/bind9/bin:$PATH"\n\1#'\
  /etc/profile > /tmp/profile.tmp
mv -f /tmp/profile.tmp /etc/profile

Hinweis

Nach erfolgreichem Bearbeiten sieht die Datei /etc/profile in etwa so aus:

# /etc/profile: system-wide .profile file for the Bourne shell (sh(1))

# and Bourne compatible shells (bash(1), ksh(1), ash(1), ...).

if [ "`id -u`" -eq 0 ]; then

  PATH="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

else

  PATH="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/games:/usr/games"

fi

PATH="/usr/local/bind9/sbin:/usr/local/bind9/bin:$PATH"

export PATH

if [ "$PS1" ]; then

  if [ "$BASH" ] && [ "$BASH" != "/bin/sh" ]; then

    # The file bash.bashrc already sets the default PS1.

    # PS1='\h:\w\$ '

    if [ -f /etc/bash.bashrc ]; then

      . /etc/bash.bashrc

    fi

  else

    if [ "`id -u`" -eq 0 ]; then

      PS1='# '

    else

      PS1='$ '

    fi

  fi

fi

# The default umask is now handled by pam_umask.

# See pam_umask(8) and /etc/login.defs.

if [ -d /etc/profile.d ]; then

  for i in /etc/profile.d/*.sh; do

    if [ -r $i ]; then

      . $i

    fi

  done

  unset i

fi

Startskript modifizieren

Die Pfade im Debian-Bind-Init-Script sind hartkodiert und zeigen auf die „offizielle“ Version. Wir klonen das Script deshalb – direkt mit mit ein paar kleinen Änderungen – in eine neue Datei:

cd /etc/init.d
sed 's#/usr/sbin#/usr/local/bind9/sbin#g' bind9\
  | sed 's#^PATH=#PATH=/usr/local/bind9/sbin:/usr/local/bind9/bin:#'\
  | sed -r 's~^(test -f /etc/default/bind9)~#\1~'\
  | sed 's#/etc/init.d/bind9#/etc/init.d/bind9custom#g'\
  | sed 's#/var/run/named/#/usr/local/bind9/var/run/named/#g' \
  - > bind9custom
chmod a+x bind9custom

Hinweis

Mit dieser sed-Orgie ändern wir die Pfade im Skript zugunsten unserer Bind-Installation und deaktivieren den chroot-Modus, da die Interaktion mit Samba sonst nicht funktioniert.

Das vollständige neue Init-Script, das nun unter /etc/init.d/bind9custom abgelegt ist, sieht etwa so aus:

#!/bin/sh -e

### BEGIN INIT INFO

# Provides:          bind9

# Required-Start:    $remote_fs

# Required-Stop:     $remote_fs

# Should-Start:      $network $syslog

# Should-Stop:       $network $syslog

# Default-Start:     2 3 4 5

# Default-Stop:      0 1 6

# Short-Description: Start and stop bind9

# Description:       bind9 is a Domain Name Server (DNS)

#        which translates ip addresses to and from internet names

### END INIT INFO

PATH=/usr/local/bind9/sbin:/usr/local/bind9/bin:/sbin:/bin:/usr/sbin:/usr/bin

# for a chrooted server: "-u bind -t /var/lib/named"

# Don't modify this line, change or create /etc/default/bind9.

OPTIONS=""

RESOLVCONF=no

#test -f /etc/default/bind9 && . /etc/default/bind9

test -x /usr/local/bind9/sbin/rndc || exit 0

. /lib/lsb/init-functions

PIDFILE=/usr/local/bind9/var/run/named/named.pid

check_network() {

    if [ -x /usr/bin/uname ] && [ "X$(/usr/bin/uname -o)" = XSolaris ]; then

	IFCONFIG_OPTS="-au"

    else

	IFCONFIG_OPTS=""

    fi

    if [ -z "$(/sbin/ifconfig $IFCONFIG_OPTS)" ]; then

       #log_action_msg "No networks configured."

       return 1

    fi

    return 0

}

case "$1" in

    start)

	log_daemon_msg "Starting domain name service..." "bind9"

	modprobe capability >/dev/null 2>&1 || true

	# dirs under /var/run can go away on reboots.

	mkdir -p /var/run/named

	chmod 775 /var/run/named

	chown root:bind /var/run/named >/dev/null 2>&1 || true

	if [ ! -x /usr/local/bind9/sbin/named ]; then

	    log_action_msg "named binary missing - not starting"

	    log_end_msg 1

	fi

	if ! check_network; then

	    log_action_msg "no networks configured"

	    log_end_msg 1

	fi

	if start-stop-daemon --start --oknodo --quiet --exec /usr/local/bind9/sbin/named \

		--pidfile ${PIDFILE} -- $OPTIONS; then

	    if [ "X$RESOLVCONF" != "Xno" ] && [ -x /sbin/resolvconf ] ; then

		echo "nameserver 127.0.0.1" | /sbin/resolvconf -a lo.named

	    fi

	    log_end_msg 0

	else

	    log_end_msg 1

	fi

    ;;

    stop)

	log_daemon_msg "Stopping domain name service..." "bind9"

	if ! check_network; then

	    log_action_msg "no networks configured"

	    log_end_msg 1

	fi

	if [ "X$RESOLVCONF" != "Xno" ] && [ -x /sbin/resolvconf ] ; then

	    /sbin/resolvconf -d lo.named

	fi

	pid=$(/usr/local/bind9/sbin/rndc stop -p | awk '/^pid:/ {print $2}') || true

	if [ -z "$pid" ]; then		# no pid found, so either not running, or error

	    pid=$(pgrep -f ^/usr/local/bind9/sbin/named) || true

	    start-stop-daemon --stop --oknodo --quiet --exec /usr/local/bind9/sbin/named \

		    --pidfile ${PIDFILE} -- $OPTIONS

	fi

	if [ -n $pid ]; then

	    sig=0

	    n=1

	    while kill -$sig $pid 2>/dev/null; do

		if [ $n -eq 1 ]; then

		    echo "waiting for pid $pid to die"

		fi

		if [ $n -eq 11 ]; then

		    echo "giving up on pid $pid with kill -0; trying -9"

		    sig=9

		fi

		if [ $n -gt 20 ]; then

		    echo "giving up on pid $pid"

		    break

		fi

		n=$(($n+1))

		sleep 1

	    done

	fi

	log_end_msg 0

    ;;

    reload|force-reload)

	log_daemon_msg "Reloading domain name service..." "bind9"

	if ! check_network; then

	    log_action_msg "no networks configured"

	    log_end_msg 1

	fi

	/usr/local/bind9/sbin/rndc reload >/dev/null && log_end_msg 0 || log_end_msg 1

    ;;

    restart)

	if ! check_network; then

	    log_action_msg "no networks configured"

	    exit 1

	fi

	$0 stop

	$0 start

    ;;

    status)

    	ret=0

	status_of_proc -p ${PIDFILE} /usr/local/bind9/sbin/named bind9 2>/dev/null || ret=$?

	exit $ret

	;;

    *)

	log_action_msg "Usage: /etc/init.d/bind9custom {start|stop|reload|restart|force-reload|status}"

	exit 1

    ;;

esac

exit 0

Konfigurationsdateien übernehmen

Bei unserer manuellen Bind-Installation wurden keine Konfigurationsdateien erstellt. Wir kopieren deshalb einfach die der vorherigen Installation und machen sie für den Benutzer root und die Gruppe bind lesbar. Der symbolische Link auf /usr erleichtert uns dabei die Anpassung der Pfade aus den existierenden Skripten:

cp -u /etc/bind/* /usr/local/bind9/etc
chown -R root:bind /usr/local/bind9/etc
ln -s /usr/local/bind9 /usr/local/bind9/usr

Hinweis

Falls die einzurichtende Domäne auch bisher schon existiert, müssen wir sie ggf. aus der DNS-Konfigurationsdatei /usr/local/bind9/etc/named.conf.local entfernten. Die zugehörige Zonendatei (z. B. /var/lib/bind/ad.example.com.hosts) muss nicht gelöscht werden und kann später als Vorlage beim (Wieder-)einrichten der AD-Zone dienen.

AppArmor anpassen

Unser neuer Bind-Server muss jetzt noch in die Anwendungssicherheitskonfiguration integriert werden. Auch hier können wir auf die schon existierende alte Version zurückgreifen:

cd /etc/apparmor.d
sed 's#/etc/bind/\*\*#/usr/local/bind9/etc/**#g' usr.sbin.named \
  | sed 's#/usr/sbin/named#/usr/local/bind9/usr/sbin/named#g' \
  | sed 's#/{,var/}run/named/#/usr/local/bind9/{,var/}run/named/#g' \
  - > usr.local.bind9.sbin.named

Debian-Bind deaktivieren

Die nicht mehr benötigte Version stoppen und deaktivieren wir jetzt, um Konflikte zu vermeiden. Das alte Init-Script archivieren wir im Home-Verzeichnis als bind9.bak um. Danach aktivieren wir die neue Version und starten den Pi neu:

service bind9 stop
update-rc.d -f bind9 remove
mv /etc/init.d/bind9 ~/bind9.bak
update-rc.d bind9custom defaults
reboot

Neue Konfiguration prüfen

Nach dem Neustart können wir prüfen, ob alles nach Wunsch funktioniert und jetzt der „richtige“ Bind in Betrieb ist:

which named; named -V; service bind9custom status

Das sollte in etwa folgende Ausgabe erzeugen:

Webmin anpassen

Um Bind auch mit Webmin administrieren zu können, öffnen wir das entsprechende Modul unter Server > BIND DNS Server:

Hinweis

Falls das Bind-Modul nicht in der Webmin-Menükategorie Server zu finden ist, liegt es unter Unused Modules. Nach dem Anpassen der Modulkonfiguration muss dann einmal auf Aktualisiere Module geklickt werden, um das Menü neu aufzubauen.

In der Modulkonfiguration passen wir die Pfade entsprechend unser neuen Konfiguration an:

Abschließend bitte das Speichern nicht vergessen!

Raspbian

DNS