Dotaz: BIND9 na Ubuntu 9.10

[petka]

Zdravim , na netu jsme si cetl o chroot kvuli bezpecnosti , ale pak se dozvidam ze chroot neni az tak spravna volba . Tak nevim cim to zabezpecit . Navic jsem chroot sice spustil na svem serveru a i chodi , ale kdyz se snazim server vypnout nebo restartovat tak se to sekne na chybove chlasce o klici , ktery nemuze najit .

Odpovědi

[vrx]

odkázal by som ťa na návod, ktorý bol kedysi na nic.cz, kde to bolo veľmi krásne popísané.

môžem len poradiť, že je potrebné nastaviť kľúče do súboru named.conf a rndc.conf, kľúč ti vygeneruje nejaký program k bindu (nepamätám si ho)

//
// named.conf for Red Hat caching-nameserver 
//

options {
	directory "/var/named";
//	forwarders {
//		IP adresa;
//
//		};
//	forward only;
	dump-file "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
	/*
	 * If there is a firewall between you and nameservers you want
	 * to talk to, you might need to uncomment the query-source
	 * directive below.  Previous versions of BIND always asked
	 * questions using port 53, but BIND 8.1 uses an unprivileged
	 * port by default.
	 */
	 // query-source address * port 53;
};

// 
// a caching only nameserver config
// 

zone "." IN {
	type hint;
	file "named.ca";
};

zone "domena.sk" IN {
	type master;
	file "rajnet.zone";
// povolené rozsahy na dotazovanie
	allow-query { 192.168.66.0/24; 192.168.68.0/24; 192.168.69.0/24; };
	allow-update { none; };
};

zone "localhost" IN {
	type master;
	file "localhost.zone";
	allow-update { none; };
};
zone "0.0.127.in-addr.arpa" IN {
	type master;
	file "named.local";
};

zone "69.168.192.in-addr.arpa" IN {
	type master;
	file "192-168-66.zone";
	allow-update { none; };
};

controls {
    inet 127.0.0.1 allow { localhost; } keys { "rndckey"; };
};

key "rndckey" {
	algorithm hmac-md5;
	secret "lkwV2OGykQK2rUMEkBMrdQ==";
};

a ešte rndc.conf

key "rndckey" {
	algorithm hmac-md5;
	secret "lkwV2OGykQK2rUMEkBMrdQ==";
};

options {
	default-key "rndckey";
	default-server 127.0.0.1;
	default-port 953;
};

nepamätám, si ako som generoval ten súbor, bolo to pred tromi rokmi odvtedy len aktualizujem rootdns, verím, že ti pomôže obsah aby ťa napr. aj google donavigoval

[petka]

Diky , ale me neslo o nastaveni dns serveru , ale o jeho bezpecnost . Otazka jestli je nutny chroot . Nebo mozna nahrada chroot . Taky jsem cetl o apache pod chrootem .