DNSコンテンツサーバ構築【CentOS6.5+BIND】

2014年10月8日  カテゴリー:Linux  タグ: ,
Pocket
LINEで送る

DNSコンテンツサーバの構築メモです。

調べていて気付いたのですが、DNSコンテンツサーバは「権威DNSサーバ」とも呼ぶそうです。JPNICやIIJのサイトでは「権威DNSサーバ」と表記されていますので、もしかしたらこちらが正式な名称かもしれません。

コンテンツサーバとキャッシュサーバの違い

DNSサーバには「DNSコンテンツサーバ」と「DNSキャッシュサーバ」の2種類があり、どちらもインターネットの根幹を支える重要なサーバです。

DNSコンテンツサーバは、ドメイン名とIPアドレスを対応づけたドメイン情報を持っていますが、DNSキャッシュサーバはドメイン情報を持っていませんので、クライアントから問合せを受けると、別のDNSサーバに問合せを行い、結果をクライアントに返します。これを「再帰検索」といいます。DNSコンテンツサーバはこの「再帰検索」行わないのが特徴です。

設定次第では、DNSコンテンツサーバとDNSキャッシュサーバを同居させることも可能ですが、DNSキャッシュサーバはセキュリティ対策のため、組織単位でアクセスを制限するのが必須になっているのに対して、DNSコンテンツサーバは必ず全世界に公開しなければなりませんので、個別のサーバで運用することが求められます。

DNSコンテンツサーバの構成

今回は、VirtualBox上のCentOS6.5仮想マシンにインストールしましたので、IPアドレスがプライベートIPになっていますが、実際にはグローバルIPアドレスになりますので、ご自分の環境にあわせて読替えてください。

また、DNSコンテンツサーバのアドレスは、レジストラに登録してもらう必要があります。以前は申請書を提出したりと大変でしたが、最近ではレジストラが提供するWEBコンパネから、手軽にDNSコンテンツサーバのアドレスを登録できるところが増えているようです。

・プライマリ
ホスト名:ns1.apar.jp
IPアドレス:172.16.1.8

・セカンダリ
ホスト名:ns2.apar.jp
IPアドレス:172.16.1.9

本番ではプライマリとセカンダリのDNSコンテンツサーバは、まったく別のネットワークに配置することが必要です。 レジストラによってはセカンダリDNSを無料で提供していますので、そちらを利用するのも手かもしれません。

BINDのインストールと設定

インストール

DNSサーバソフトウェアのBINDをインストールします。サービス識別子は named になります。

 

設定

・BIND関連ファイルの場所
/etc/named.conf ・・・コンフィグファイル
/var/named/master/ ・・・ゾーンデータファイル
/var/named/chroot/var/log/named.log ・・・ログファイル
/etc/rndc.key ・・・rndn鍵
設定の前に、念のためオリジナルのコンフィグをキープしておきます。

 

rndn鍵の作成とオーナー変更

 

named.conf の作成
vi /etc/named.conf

 

ログの出力先へのリンク作成

 

ゾーンファイルの保存場所作成

 

ゾーンファイルの作成
vi /var/named/master/apar.jp

 

ゾーンファイルのパーミッション設定

 

IPv6の無効設定
vi /etc/sysconfig/named 下記を最終行に追加します。

 

作成したコンフィグにエラーがないか確認

何も表示されなければOKです。
 

最後に named を起動します。

 

正常に問合せできることを確認します。
dig @172.16.1.8 www.apar.jp

上の例ではゾーンファイル14行目のAレコードが、正しく問合せできています。

BINDの設定確認

DNSサーバの設定ミスは、セキュリティ攻撃を受ける脆弱性につながります。必ず確認しましょう。

namedのバージョン非表示確認
dig @172.16.1.8 chaos txt version.bind

バージョンが「unknown」と表示されていればOKです。
 

再起検索要求を拒否するか確認
dig @172.16.1.8 www.yahoo.co.jp

IPアドレスを返さなければOK
 

セカンダリ以外にゾーン転送しないことを確認
dig @172.16.1.8 apar.jp axfr

転送失敗(4行目)となっていればOKです。
 

最近ではレジストラ等のDNSサーバサービスが充実しているので、DNSコンテンツサーバを構築する機会も少なくなってきていると思いますが、WEBインフラのしくみを理解するのにはDNSの理解は必須です。多少のリスクはありますが、もし機会があったらDNSコンテンツサーバを構築してみるのもよいかと思います。

スポンサーリンク
Pocket
LINEで送る

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です