ＤＮＳのレプリケーション設定と運用
目次
検証環境
- 以下のソフトウェアの利用を前提に検証を実施した。いずれも現時点で最新のリリースに基づいて検証しているが、ある程度古い環境、より新しい環境でも問題無いと思われる。
- ＯＳ： FreeBSD 11.2-R
- ＤＮＳコンテンツサーバー： BIND9 9.13.3
- 上記以外の環境では、以下の点に相違が発生する。当該環境に応じて読み替えたし。
- インストール方法
- インストールされるディレクトリ
- 逆に以下の点は参考にできる。
- 設定パラメータとその意味
- 運用事例
検証内容
- ＤＮＳコンテンツサーバーの構築。以下の３台のＤＮＳサーバーを構築する。
- マスターＤＮＳサーバー ns0.example.jp
- スレーブＤＮＳサーバー ns1.example.jp
- スレーブＤＮＳサーバー ns2.example.jp
- 構成に当り、以下の機能を使用してゾーン転送（レプリケーション）を行う。
- ＡＦＸＲ／ＩＦＸＲによるゾーン転送。
- ＴＳＩＧキーによるマスター／スレーブの認証。
- カタログゾーン機能による、スレーブＤＮＳサーバーの設定フリー（たぶん）。
- カタログゾーン機能はＢＩＮＤ９ ９．１１移行の機能であるため、それ未満のサーバー上では運用できない（残念）。
- 他の実装については今時点不明。現在ドラフト状態にあり、ＲＦＣに移行するかどうかと関わってくると思われる。
レプリケーションについて
- この手の設定を調べてみるとあまり「レプリケーション」って話は出ない。
- じゃあ何かというと「セカンダリＤＮＳサーバー」「ゾーン転送」辺り。
- 言わんとすることわかるけど、レプリケーションじゃないかなぁということで、ここではそれで統一。
- マスター・スレイブ、プライマリ・セカンダリ、権威サーバー・コンテンツサーバー、キャッシュサーバー・フルリゾルバ、色々と表現あるけど、適度な使い分けで。。
マスターＤＮＳコンテンツサーバーの基本設定
ＤＮＳサーバーとして ports/dns/bind913 をインストールする。
- ここでは特にカスタムする要素は無いので、デフォルトのままとする。
- 説明のため、稼働に必要な最低限の設定とする。
/etc/rc.conf
以下の設定を追加する。
named_enable="YES" named_chrootdir="/var/named" altlog_proglist="named"
※altlog_proglist が既に設定済みの場合、「 named」を追加する。
/usr/local/etc/namedb/named.conf
1 --- /usr/local/etc/namedb/named.conf.sample 2018-09-13 22:12:15.847935000 +0900
2 +++ /usr/local/etc/namedb/named.conf 2018-09-13 22:46:26.048986000 +0900
3 @@ -16,15 +16,20 @@
4 dump-file "/var/dump/named_dump.db";
5 statistics-file "/var/stats/named.stats";
6
7 + recursion no;
8 + allow-query { any; };
9 + allow-recursion { none; };
10 + allow-query-cache { none; };
11 +
12 // If named is being used only as a local resolver, this is a safe default.
13 // For named to be accessible to the network, comment this option, specify
14 // the proper IP address, or delete this option.
15 - listen-on { 127.0.0.1; };
16 + listen-on { any; };
17
18 // If you have IPv6 enabled on this system, uncomment this option for
19 // use as a local resolver. To give access to the network, specify
20 // an IPv6 address, or the keyword "any".
21 -// listen-on-v6 { ::1; };
22 + listen-on-v6 { any; };
23
24 // These zones are already covered by the empty zones listed below.
25 // If you remove the related empty zones below, comment these lines out.
- ＤＮＳコンテンツサーバーとして、以下の設定を行うものとする。
- ＩＰｖ４／ＩＰｖ６問わず、全てのクエリを受け付ける。
- 再帰問い合わせには答えないものとする。
- よって本設定が行われているゾーン情報のみクエリに対して答える（ルートゾーンを含む）。
- ＤＮＳＳＥＣ設定／運用、ログ出力設定、ビュー設定、アクセス制御といった機能については説明しない。