ＤＮＳのレプリケーション設定と運用

検証環境

• 以下のソフトウェアの利用を前提に検証を実施した。いずれも現時点で最新のリリースに基づいて検証しているが、ある程度古い環境、より新しい環境でも問題無いと思われる。
  • ＯＳ： FreeBSD 11.2-R
  • ＤＮＳコンテンツサーバー： BIND9 9.13.3
• 上記以外の環境では、以下の点に相違が発生する。当該環境に応じて読み替えたし。
  • インストール方法
  • インストールされるディレクトリ
• 逆に以下の点は参考にできる。
  • 設定パラメータとその意味
  • 運用事例

検証内容

• ＤＮＳコンテンツサーバーの構築。以下の３台のＤＮＳサーバーを構築する。
  • マスターＤＮＳサーバー ns0.example.jp
  • スレーブＤＮＳサーバー ns1.example.jp
  • スレーブＤＮＳサーバー ns2.example.jp
• 構成に当り、以下の機能を使用してゾーン転送（レプリケーション）を行う。
  • ＡＦＸＲ／ＩＦＸＲによるゾーン転送。
  • ＴＳＩＧキーによるマスター／スレーブの認証。
  • カタログゾーン機能による、スレーブＤＮＳサーバーの設定フリー（たぶん）。

レプリケーションについて

• この手の設定を調べてみるとあまり「レプリケーション」って話は出ない。
• じゃあ何かというと「セカンダリＤＮＳサーバー」「ゾーン転送」辺り。
• 言わんとすることわかるけど、レプリケーションじゃないかなぁということで、ここではそれで統一。
• マスター・スレイブ、プライマリ・セカンダリ、権威サーバー・コンテンツサーバー、キャッシュサーバー・フルリゾルバ、色々と表現あるけど、適度な使い分けで。。

マスターＤＮＳコンテンツサーバーの基本設定

• ＤＮＳサーバーとして ports/dns/bind913 をインストールする。

• ここでは特にカスタムする要素は無いので、デフォルトのままとする。
• 説明のため、稼働に必要な最低限の設定とする。

/etc/rc.conf

以下の設定を追加する。

named_enable="YES"
named_chrootdir="/var/named"
altlog_proglist="named"

※altlog_proglist が既に設定済みの場合、「 named」を追加する。

/usr/local/etc/namedb/named.conf

   1 --- /usr/local/etc/namedb/named.conf.sample     2018-09-13 22:12:15.847935000 +0900
   2 +++ /usr/local/etc/namedb/named.conf    2018-09-13 22:46:26.048986000 +0900
   3 @@ -16,15 +16,20 @@
   4         dump-file       "/var/dump/named_dump.db";
   5         statistics-file "/var/stats/named.stats";
   6 
   7 +       recursion       no;
   8 +       allow-query       { any; };
   9 +       allow-recursion   { none; };
  10 +       allow-query-cache { none; };
  11 +
  12  // If named is being used only as a local resolver, this is a safe default.
  13  // For named to be accessible to the network, comment this option, specify
  14  // the proper IP address, or delete this option.
  15 -       listen-on       { 127.0.0.1; };
  16 +       listen-on       { any; };
  17 
  18  // If you have IPv6 enabled on this system, uncomment this option for
  19  // use as a local resolver.  To give access to the network, specify
  20  // an IPv6 address, or the keyword "any".
  21 -//     listen-on-v6    { ::1; };
  22 +       listen-on-v6    { any; };
  23 
  24  // These zones are already covered by the empty zones listed below.
  25  // If you remove the related empty zones below, comment these lines out.

• ＤＮＳコンテンツサーバーとして、以下の設定を行うものとする。
  • ＩＰｖ４／ＩＰｖ６問わず、全てのクエリを受け付ける。
  • 再帰問い合わせには答えないものとする。
  • よって本設定が行われているゾーン情報のみクエリに対して答える（ルートゾーンを含む）。
• ＤＮＳＳＥＣ設定／運用、ログ出力設定、ビュー設定、アクセス制御といった機能については説明しない。

参考文献

• A short introduction to Catalog Zones

• implement a Catalog zones