Dotaz: nedari se zone transfer, spatne prava

[sranda]

Zdravim Vas, nedari se mi provest zone transfer mezi 10.0.0.20(master) a 10.0.0.21(slave). Na masteru mam v named.conf.options napsano
allow-transfer 10.0.0.21;,
konfigurace zon vypada na slave nasledovne:
zone "srandovo.doma" {
type slave;
file "/etc/bind/db.doma";
masters {10.0.0.20;};
};
Tam necekam, ze bude chyba... Nicmene logy pri pokusu o transfer rikaji:
Nov 16 11:18:04 ubuntu-sever named[5127]: transfer of 'srandovo.doma/IN' from 10.0.0.20#53: connected using 10.0.0.21#39686 Nov 16 11:18:04 ubuntu-sever named[5127]: dumping master file: /etc/bind/tmp-lQxjmfqMnZ: open: permission denied
Nov 16 11:18:04 ubuntu-sever named[5127]: transfer of 'srandovo.doma/IN' from 10.0.0.20#53: failed while receiving responses: permission denied
Nov 16 11:18:04 ubuntu-sever named[5127]: transfer of 'srandovo.doma/IN' from 10.0.0.20#53: end of transfer Nov 16 11:18:04 ubuntu-sever kernel: [ 3237.441406] audit(1226830684.569:25): type=1503 operation="inode_create" requested_mask="w::" denied_mask="w::" name="/etc/bind/tmp-lQxjmfqMnZ" pid=5128 profile="/usr/sbin/named" namespace="default"

Nemate prosimvas nekdo nejaky napad? Dekuji

---

---

Odpovědi

[linuxik]

Vypada to na problem s selinux. Zkus ho vypnout (asi budes muset restartovat) a uvidis.

[sranda]

Dekuju, nicmene tady bych problem nevidel. SELinux na masne ani nemam - soude dle faktu, ze /etc/selinux neexistuje

[hysterix]

Ucet, pod kterym bezi bind, musi mit prava ke konfiguracnim souborum.

[sranda]

Hehé, APPArmor byl na vine. Je treba si o tom neco precist. Kdybyste mel nekdo nejaky dobry odkaz na tuto problematiku, sem s nim.

Jinak diky za ochotu, pekny den

[Petr Maleček]

Sice oživuji staré téma, ale máte pravdu, byl to AppArmor. Stačí upravit soubor /etc/apparmor.d/usr.sbin.named, konkrétně rádek /etc/bind r, přepsat na /etc/bind/ rw,.

Nezapomeňte smazat soubor /etc/apparmor.d/cache/usr.sbin.named a restartovat apparmor.

Nad tímto jsem bloumal skoro 2 dny, díky tomuto postu vyřešeno Díky.

[Michal Kubeček]

Osobně bych v takovém případě ale doporučil začít tím, že oddělíte adresář pro zónové soubory master zón (které stačí číst) a slave zón (do kterých je potřeba i zapisovat).