【DNS/BIND】家庭内LANの名前解決を行うDNSサーバーを設置する

2.1.1　bindパケージとbind-utilパッケージ

BINDのバイナリである“bind”パッケージと“bind-utils”パッケージは、
下に示すコマンドでインストールします。

bind-utilsは、“nslookup”、“dig”などの、DNS名前解決テスト用に使用する
コマンドパッケージです。

2.1.2　BINDをchange-root環境で実行する

“bind-chroot”は、BINDがアクセスできる範囲を制限するものです。
アクセスできる範囲を制限することによって、セキュリティを高めるものです。

必須ではないですが、インストールすることが推奨されています。

インストール直後のサンプルのBINDコンフィグファイル中のBINDルートディレクトリは、
“/”がデフォルトとして記述されているようです。

“/var/named/chroot”をルートディレクトリにchroot化することによって、
インストール直後のBINDコンフィグファイル中のファイルパス記述が
そのまま生かせるようになります。

bind-chrootは、以下のようにインストールします。

次に、bind-chrootインストールで生成された、
“setup-named-chroot.sh”のchroot化スクリプトを実行します。

これを実行することにより、 表2.1-1に示すように右列のディレクトリやファイルが、
左列に示すように“/etc”の下にマウントされます。

setup-named-chroot.shを使えば、
“named-chroot”プロセスをサービス化することは不要なようです。

2.2.1　DNSポートのオープン

名前解決のリクエストをDNSサーバー設置以外のローカルエリア内ホストからも受けられるよう、
下に示すDNSのポートを開きます。
ルーターのDNSポートを、開く必要はありません。

・ TCP: 53
・ UDP: 53

“firewall-config GUI”を使われているのなら、図2-2-1に示すように設定します。

ちなみに、firewall-config GUIは、次のようにインストールすることができます。

シェルからならば、一般的に“firewall-cmd”を使います。
ですが、firewall-cmdでDNSポートを開くようにするにはコマンド文字列が長くて面倒ですので、
本記事ではZONE XMLを直接編集する方法を示します。

ZONE XMLのファイルパスは、
ディレクトリが“/etc/firewalld/zones”の下の“<;使用ゾーン名>.xml”です。

“<service name="dns" />”の1行を追記します。

2.2.2　BINDのサービス化

下に示すコマンドで、BINDを起動しサービス化します。

listen-on-port



BINDが名前解決を受け付ける、NICインターフェースのIPアドレスを指定します。
 
上の設定例は、IPv4、IPv6とも、ローカルホストからの要求は受け付ける設定です。

version



BINDのバージョンを記載している箇所になります。
ここに正しいバージョン書くと外部からのBINDのバージョンを確認出来てしまい、
脆弱性をついた攻撃がされやすくなってしまいますので、“unknown”にして隠します。

directory



各種ファイルへの参照記述があります。
それらのカレントディレクトリをここで指定します。
 
今回の構成ではchroot構成なので、絶対パスは“/var/named/chroot/var/named”です。

allow-query



名前解決を受け付ける、DNSクライアントのIPアドレスを指定します。
“internal-networks-ip4”は、ACLステートメントで定義したものです。

recursion



yesにすると、自分自身で解決出来ない問い合わせに対して、
他のDNSサーバーへ再帰問い合わせをします。
 
noではしません。

forwarders



他のDNSへフォワードする際のIPアドレスを指定します。

DNSSEC



DNSSECという セキュリティ機能の仕様有無を指定します。
公開鍵暗号方式を使用してセキュィティ向上を図るようです。
 
今回は使用しません。

match-clientsとmatch-destinations



viewで処理するための条件をここで指定します。  
match-clientsでは、名前解決の要求元のIPアドレスを指定します。
自分自身と、内部ネットワークをview "internal"として定義します。
 
match-destinationsの指定は、BINDサーバーのインターフェースのIPアドレスを指定します。

ルートDNSの指定



DNSのルートドメインの指定です。
 
typeでhintと指定しているので、ルートドメイン用の定義になります。
fileで指定しているのが、他のファイルへの参照を表しています。
 
optionステートメントのdirectoryでカレントディレクトリを指定していますので、
“/var/named/chroot/var/named/named.ca”のファイルを参照してください、
という意味になります。
chroot環境なので、注意が必要です。
 
named.caファイルは、インストール時にデフォルトで生成されます。

正引きゾーン



正引き用のゾーンの指定です。
 
zoneでDNSのサフィックスを定義できます。
 
typeでmasterと指定しているので、DNSプライマリサーバーであることを表しています。
slaveと指定すると、セカンダリサーバーとなります。 
 
fileで正引き用のゾーンファイルを指定しています。
“/var/named/chroot/var/named/home-local.zone”を参照します。

逆引き用ゾーン



逆引き用のゾーンの指定です。
zoneの指定方法が特殊ですが、それ以外は正引き用と変わりません。
 
IPv4アドレス・オクテットを逆順に記載するのと、
末尾に“.in-addr.arpa”を追加する必要があります。
“.in-addr.arpa”を付与することで、正引きと同じ機能を使って逆引きを出来るようにします。 

他のファイルのインクルード



named.confファイルは、includeを使用して、
外部にあるファイルから定義を引用することが出来ます。
 
ローカルホストの定義や、ルートドメイン用のファイルは、
それぞれのBINDで定義するよりも一個のファイルを流用したほうが整理しやすくなります。

4.1.1　TTL

“Time To Live”の略。

BINDではゾーンファイルの先頭に、デフォルトTTLの指定の後に書くことになっています。

DNSにおいて、リソースレコードをキャッシュに保持してもよい時間を
秒単位で示す31ビットに符号化された整数で、
ゼロまたは正の値（0から2147483647の値）を取ります。

先に示した例の3600は、3600秒間(1時間)このゾーンの内容が、
他のDNSサーバーにキャッシュされることを表しています。 この値が使われることが多いかと思います。

4.1.2　SOAレコード

ドメイン名のツリー構造は委任によってゾーンに分割され、分散管理されています。
SOAレコードは、これらの分割されたゾーンそれぞれのオーソリティ情報が記されている
レコードです。
SOAはStart Of Authorityの略で、「権威の開始」という意味になります。

また、SOAは委任に関するオーソリティ情報を記すものであり、
各ゾーンの委任されたドメイン名に関連付けられます。

SOA(Start Of Authority)レコードの書式を下に示します。

4.1.3　Aレコード、AAAAレコード

Aレコードは、ホスト名とIPv4アドレスを関連づけるものです。
AAAAレコードは、ホスト名とIPv6アドレスを関連づけるものです。

どちらもシンプルな書式で見ていただければすぐにお分かりになると思いますので、
説明は省略します。

4.1.4　NSレコード

NSは「ネームサーバー」を指し、
NSレコードは、どのDNSサーバーがそのドメインの権威サーバーであるか
（すなわち、どのサーバーに実際のDNSレコードがあるか）を示します。

基本的にNSレコードは、
どこに行けばドメインのIPアドレスを見つけられるかをインターネットに知らせるものです。
 
ドメインには、多くの場合、複数のNSレコードがあり、
これらは、ドメインのプライマリネームサーバーとセカンダリネームサーバーを指します。

【設定例】

4.2.1　SOAレコード

4.1.2項で既に説明しました。

4.2.2　PTRレコード

PTRレコードは、以下の書式に従って記述します。

  <IPアドレスの逆引き用表記>とは、
IPアドレスを逆引き用の手順に従って変換した表記のことで、
下に示す手順に従って変換します。

  【例: 192.168.1.1の場合】

① IPアドレスの各オクテットを逆順に並べる。
 
  192.168.1.1 → 1.1.168.192
 
② IPアドレスがIPv4形式の場合は、後ろに“.in-addr.arpa.”を付与します。
   IPv6形式の場合は、“.in-addr.arpa.”を付与します。