1.5. BIND DNS サーバーでのゾーンの設定

手順

1. /etc/named.conf ファイルにゾーン定義を追加します。

   zone "example.com" {
       type master;
       file "example.com.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   Copy to Clipboard Toggle word wrap

   これらの設定により、次が定義されます。

   • このサーバーは、example.com ゾーンのプライマリーサーバー (type master) です。
   • /var/named/example.com.zone ファイルはゾーンファイルです。この例のように相対パスを設定すると、このパスは、options ステートメントの directory に設定したディレクトリーからの相対パスになります。
   • どのホストもこのゾーンにクエリーを実行できます。または、IP 範囲または BIND アクセス制御リスト (ACL) のニックネームを指定して、アクセスを制限します。
   • どのホストもゾーンを転送できません。ゾーン転送を許可するのは、セカンダリーサーバーをセットアップする際に限られ、セカンダリーサーバーの IP アドレスに対してのみ許可します。

2. /etc/named.conf ファイルの構文を確認します。

   # named-checkconf

   Copy to Clipboard Toggle word wrap

   コマンドが出力を表示しない場合は、構文に間違いがありません。

3. たとえば、次の内容で /var/named/example.com.zone ファイルを作成します。

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
                     IN MX   10 mail.example.com.
   
   www               IN A    192.0.2.30
   www               IN AAAA 2001:db8:1::30
   ns1               IN A    192.0.2.1
   ns1               IN AAAA 2001:db8:1::1
   mail              IN A    192.0.2.20
   mail              IN AAAA 2001:db8:1::20

   Copy to Clipboard Toggle word wrap

   このゾーンファイル:

   • リソースレコードのデフォルトの有効期限 (TTL) 値を 8 時間に設定します。時間の h などの時間接尾辞がない場合、BIND は値を秒として解釈します。
   • ゾーンに関する詳細を含む、必要な SOA リソースレコードが含まれています。
   • このゾーンの権威 DNS サーバーとして ns1.example.com を設定します。ゾーンを機能させるには、少なくとも 1 つのネームサーバー (NS) レコードが必要です。ただし、RFC 1912 に準拠するには、少なくとも 2 つのネームサーバーが必要です。
   • example.com ドメインのメールエクスチェンジャー (MX) として mail.example.com を設定します。ホスト名の前の数値は、レコードの優先度です。値が小さいエントリーほど優先度が高くなります。
   • www.example.com、mail.example.com、および ns1.example.com の IPv4 アドレスおよび IPv6 アドレスを設定します。

4. named グループだけがそれを読み取ることができるように、ゾーンファイルに安全なアクセス許可を設定します。

   # chown root:named /var/named/example.com.zone
   # chmod 640 /var/named/example.com.zone

   Copy to Clipboard Toggle word wrap

5. /var/named/example.com.zone ファイルの構文を確認します。

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022070601
   OK

   Copy to Clipboard Toggle word wrap

6. BIND をリロードします。

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

手順

1. /etc/named.conf ファイルにゾーン定義を追加します。

   zone "2.0.192.in-addr.arpa" {
       type master;
       file "2.0.192.in-addr.arpa.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   Copy to Clipboard Toggle word wrap

   これらの設定により、次が定義されます。

   • 2.0.192.in-addr.arpa 逆引きゾーンのプライマリーサーバー (type master) としてのこのサーバー。
   • /var/named/2.0.192.in-addr.arpa.zone ファイルはゾーンファイルです。この例のように相対パスを設定すると、このパスは、options ステートメントの directory に設定したディレクトリーからの相対パスになります。
   • どのホストもこのゾーンにクエリーを実行できます。または、IP 範囲または BIND アクセス制御リスト (ACL) のニックネームを指定して、アクセスを制限します。
   • どのホストもゾーンを転送できません。ゾーン転送を許可するのは、セカンダリーサーバーをセットアップする際に限られ、セカンダリーサーバーの IP アドレスに対してのみ許可します。

2. /etc/named.conf ファイルの構文を確認します。

   # named-checkconf

   Copy to Clipboard Toggle word wrap

   コマンドが出力を表示しない場合は、構文に間違いがありません。

3. たとえば、次の内容で /var/named/2.0.192.in-addr.arpa.zone ファイルを作成します。

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
   
   1                 IN PTR  ns1.example.com.
   30                IN PTR  www.example.com.

   Copy to Clipboard Toggle word wrap

   このゾーンファイル:

   • リソースレコードのデフォルトの有効期限 (TTL) 値を 8 時間に設定します。時間の h などの時間接尾辞がない場合、BIND は値を秒として解釈します。
   • ゾーンに関する詳細を含む、必要な SOA リソースレコードが含まれています。
   • ns1.example.com をこの逆引きゾーンの権威 DNS サーバーとして設定します。ゾーンを機能させるには、少なくとも 1 つのネームサーバー (NS) レコードが必要です。ただし、RFC 1912 に準拠するには、少なくとも 2 つのネームサーバーが必要です。
   • 192.0.2.1 および 192.0.2.30 アドレスのポインター (PTR) レコードを設定します。

4. named グループのみがそれを読み取ることができるように、ゾーンファイルに安全なアクセス許可を設定します。

   # chown root:named /var/named/2.0.192.in-addr.arpa.zone
   # chmod 640 /var/named/2.0.192.in-addr.arpa.zone

   Copy to Clipboard Toggle word wrap

5. /var/named/2.0.192.in-addr.arpa.zone ファイルの構文を確認します。

   # named-checkzone 2.0.192.in-addr.arpa /var/named/2.0.192.in-addr.arpa.zone
   zone 2.0.192.in-addr.arpa/IN: loaded serial 2022070601
   OK

   Copy to Clipboard Toggle word wrap

6. BIND をリロードします。

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

手順

1. オプション: /etc/named.conf ファイル内のゾーンファイルへのパスを特定します。

   options {
       ...
       directory       "/var/named";
   }
   
   zone "example.com" {
       ...
       file "example.com.zone";
   };

   Copy to Clipboard Toggle word wrap

   ゾーンの定義の file ステートメントで、ゾーンファイルへのパスを見つけます。相対パスは、options ステートメントの directory に設定されたディレクトリーからの相対パスです。

2. ゾーンファイルを編集します。

   1. 必要な変更を行います。

   2. SOA (Start of Authority) レコードのシリアル番号を増やします。

      重要

      シリアル番号が以前の値以下の場合、セカンダリーサーバーはゾーンのコピーを更新しません。

3. ゾーンファイルの構文を確認します。

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022062802
   OK

   Copy to Clipboard Toggle word wrap

4. BIND をリロードします。

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

手順

1. /etc/named.conf ファイルを編集し、DNSSEC を有効にするゾーンに dnssec-policy default; を追加します。

   zone "example.com" {
       ...
       dnssec-policy default;
   };

   Copy to Clipboard Toggle word wrap

2. BIND をリロードします。

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

3. BIND は公開鍵を /var/named/K<zone_name>.+<algorithm>+<key_ID>.key ファイルに保存します。このファイルを使用して、親ゾーンが必要とする形式でゾーンの公開鍵を表示します。

   • DS レコード形式:

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key
     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

     Copy to Clipboard Toggle word wrap

   • DNSKEY 形式:

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key
     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

     Copy to Clipboard Toggle word wrap
4. ゾーンの公開鍵を親ゾーンに追加するように要求します。これを行う方法の詳細は、ドメインプロバイダーまたはレジストリーにお問い合わせください。

検証

1. DNSSEC 署名を有効にしたゾーンのレコードについて、独自の DNS サーバーにクエリーを実行します。

   # dig +dnssec +short @localhost A www.example.com
   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   Copy to Clipboard Toggle word wrap

   この例では、BIND が同じホストで実行し、localhost インターフェイスでクエリーに応答することを前提としています。

2. 公開鍵が親ゾーンに追加され、他のサーバーに伝播されたら、サーバーが署名付きゾーンへのクエリーで認証済みデータ (ad) フラグを設定することを確認します。

   #  dig @localhost example.com +dnssec
   ...
   ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...

   Copy to Clipboard Toggle word wrap