BIND設定ファイル

/etc/named.conf

/etc/named.confファイルは、大かっこ{ }内に置かれたネストされたオプションを使用するステートメントの集まりです。サンプルの/etc/named.confファイルは、図14-2同様に設定されています。

<statement-1> ["<statement-1-name>"] [<statement-1-class>] {
   <option-1>;
   <option-2>;
   <option-N>;
};

<statement-2> ["<statement-2-name>"] [<statement-2-class>] {
   <option-1>;
   <option-2>;
   <option-N>;
};

<statement-N> ["<statement-N-name>"] [<statement-N-class>] {
   <option-1>;
   <option-2>;
   <option-N>;
};

"<statement-name>" は、acl、include、server、view、zoneステートメントだけで必要です。<statement-N-class> は、zoneステートメントだけで指定することができます。

コメントは、ネストしたC形式の文字/* */の中か、//文字か、#文字の後に記述することができます。

以下のステートメントは、/etc/named.confで使用することができます。

• acl <acl-name> あるnamedサービスが許可されるか、あるいは禁止されるIPアドレスのアクセス制御リストを設定します。たいていの場合、（10.0.1.0/24などの）個々のIPアドレスかIPネットワークの表記を使用して正確なIPを識別します。

  いくつかのアクセス制御リストはすでに定義されているので、aclステートメントを設定して、これらを定義する必要はありません。

  • any すべてのIPアドレスと一致。

  • localhost ローカルシステムによって使用されているIPアドレスと一致。

  • localnets ローカルシステムがそのインターフェイスで接続するネットワークのIPアドレスと一致。

  • none どのIPアドレスとも一致しない。

  aclステートメントを他の/etc/named.confステートメントとそのオプションとともに利用した場合、このステートメントは、ユーザーのBINDネームサーバーが正しく使用されていることを確認するのに役立ちます。図14-3の例を考えてみましょう。

  acl black-hats { 10.0.2.0/24; 192.168.0.0/24; }; acl red-hats { 10.0.1.0/24; }; options { blackhole { black-hats; }; allow-query { red-hats; }; allow-recursion { red-hats; }; }

  図 14-3. 使用中のaclステートメントの例

  named.confには、2つのアクセス制御リスト（black-hatsとred-hats）が含まれています。

• controls rndcコマンドを使ってnamedサービスを管理するのに必要なさまざまなセキュリティ要件を設定します。

  controlsステートメントが、このステートメントでしか使用することのできないさまざまなオプションとともにどのように表示されるかを知るには、/etc/named.conf項を参照してください。

• include "<file-name>" 現在の設定ファイル内にある指定されたファイルをインクルードして、（keysなどの）機密設定データを許可つきの別のファイルに置き、特権の与えられていないユーザーが読むのを防ぐことができます。

• key "<key-name>" 名前ごとに鍵を定義します。鍵は、安全な更新やrndcコマンドの使用などさまざまな動作を認証するものです。keyでは、2つのオプションを使用することができます。

  • algorithm <algorithm-name> 使用されるアルゴリズムのタイプ。dsaやhmac-md5など。

  • secret "<key-value>" 暗号鍵。

  keyステートメントの例については、図14-22を参照してください。

• logging チャンネルと呼ばれるいくつかのタイプのログの使用を許可します。loggingステートメント内でchannelオプションを使用することにより、独自のファイル名（ファイル）、サイズ制限（size）、バージョン（version）、重要度（severity）などを持つカスタマイズされたタイプのログを構築することができます。いったんカスタマイズされたチャンネルが定義されると、categoryオプションを使ってチャンネルを分類し、namedが再起動されたときにロギングを開始します。

  デフォルトでは、namedが標準メッセージをsyslogデーモンへログ出力します。syslogデーモンは、これをデフォルトとして/var/log/messagesに置きます。このようなことが行われるのは、情報ロギングメッセージを扱うチャンネル（default_syslog）や特にデバッグメッセージを扱うチャンネル（default_debug）などいくつかの標準チャンネルがさまざまな重大度レベルでBINDに構築されているためです。defaultと呼ばれるデフォルトカテゴリは内蔵チャンネルを使用して、特別の設定を行わずに通常のロギングを行います。

  ロギングプロセスのカスタマイズは非常に詳細なプロセスであり、この章の範囲を越えています。カスタムBINDログ作成の詳細については、BIND9管理者リファレンスマニュアルを参照してください。

• options フォワーダの使用、named作業ディレクトリの位置、さまざまなファイルの名前などの多種多様なオプションを割り当てます。

  もっとも一般的に利用されるオプションを以下に示します。

  • allow-query どのホストにこのネームサーバーへのクエリを許可するかを指定します。デフォルトでは、すべてのホストのクエリが許可されます。ここでアクセス制御リストやIPアドレス、あるいはネットワークの集まりを利用して、特定のホストだけにネームサーバーへのクエリを許可することができます。

  • allow-recursion allow-queryと似ていますが、これは繰り返しクエリに適用されます。デフォルトでは、すべてのホストにネームサーバーへの繰り返しクエリを行うことが許可されます。

  • directory named作業ディレクトリをデフォルトの/var/named以外のディレクトリに変更します。

  • forward forwardersオプションに要求の送付先を指定した有効なIPアドレスが含まれる場合に、転送方法を管理します。

    firstオプションが使用されると、forwardersオプションに指定されるネームサーバーにまずクエリが行われます。そのネームサーバーが情報を持っていない場合、namedは、自分自身でこれを解決しようとします。

    onlyオプションが使用されると、フォワーダがうまくいかなかった場合、namedは自分自身でこれを解決しようとしません。

  • forwarders 解決を求めて要求を転送するネームサーバーの一覧を指定します。

  • listen-on namedがクエリがないかどうかを調べるのに使用するネットワークインターフェイスを指定します。デフォルトでは、すべてのインターフェイスが利用されます。

    このオプションは、ユーザーが複数のインターフェイスネットワークを持っており、ネームサーバーの要求を行うことのできるシステムを制限したい場合に役に立ちます。たとえば、ユーザーがゲートウェイやネームサーバーとして機能しているマシンを持っており、プライベートネットワークからの要求以外は閉め出したい場合、listen-onオプションを、図14-4のように設定すればよいのです。

    options { listen-on { 10.0.1.1; }; };

    図 14-4. listen-onオプションの例

    このようにすると、プライベートネットワーク用ネットワークインターフェイスから到着した要求（10.0.1.1）だけが受け付けられます。

  • notify ゾーンが更新されたときに、namedがスレーブサーバーに更新を通知するかどうかを制御します。デフォルトは、yesですが、これをnoに設定してスレーブには通知されないようにしたり、explicitに設定してalso-notify一覧のサーバーだけに通知することもできます。

  • pid-file このオプションにより、起動時にnamedによって作成されたプロセスIDファイルの場所を指定することができます。

  • statistics-file このオプションにより、統計ファイルが書かれている場所を指定することができます。デフォルトでは、named統計は、/var/named/named.statsに保存されています。

  まだたくさんのオプションが利用可能ですが、その多くは相互に依存することにより適切に動作します。詳細については、BIND9管理者リファレンスマニュアルを参照してください。

• server 特に通知とゾーン転送についてnamedのリモートネームサーバーに対する動作に影響を与えるオプションを指定します。

  transfer-formatオプションは、1つのリソースレコードが各メッセージとともに送られるか（one-answer）、あるいは複数のリソースレコードが各メッセージとともに送られるか（many-answers）を指定します。many-answersの方が効率的ですが、より新しいBINDネームサーバーしか理解することができません。

• trusted-keys DNSSECに使用される多種多様な公開鍵が含まれています。BINDセキュリティの概要については、セキュリティ項を参照してください。

• view "<view-name>" ネームサーバーと連結するホストにより、特定のタイプの情報で応答する特別のビューを作成します。このオプションを利用すれば、あるホストがある特定のゾーンについて1つの回答を受け取り、他のホストがまったく異なった回答を受け取ることができます。また、あるゾーンは特定の信頼されているホストだけが利用することができ、他のゾーンについては信頼されていないホストでも今までどおりクエリを行えるようにすることができます。

  名前が一意的なものでさえあれば複数のビューを使用することができます。match-clientsオプションは、特定のビューに適用されるIPアドレスを指定します。ビュー内ではどのoptionステートメントも利用することができるので、namedにすでに設定されたグローバルオプションは無効になります。ほとんどのviewステートメントには、match-clients一覧に適用される複数のzoneステートメントが含まれています。ある特定のクライアントのIPアドレスに一致する最初のviewステートメントが使用されるため、viewステートメントを一覧に表示する順番は重要です。

  viewステートメントの詳細については、複数ビュー項を参照してください。

• zone "<zone-name>" このネームサーバーが権限を持つゾーンを指定します。zoneステートメントは、主にそのゾーンの設定を含むファイルを指定したり、そのゾーンについての情報を/etc/named.confで使用される他のグローバルoptionステートメントを無効にするnamedに渡したりするのに使用されます。

  ゾーンの名前は重要です。なぜなら、ゾーンの名前はゾーンファイルで使用される$ORIGINディレクティブに割り当てられるデフォルト値であり、この名前が非FQDNの後に付けられるためです。したがって、たとえばこのzoneステートメントがネーム空間をdomain.comと定義した場合、<zone-name>としてdomain.comを使用しなくてはなりません。そうすれば、この名前がゾーンファイルで使用されるホスト名の最後に置かれます。

  もっとも一般的なzoneステートメントには以下のようなものがあります。

  • allow-query このゾーンについての情報を要求することのできるクライアントを指定します。デフォルトは、すべてのクエリ要求を許可することです。

  • allow-transfer ゾーン情報の転送を要求することが許可されたスレーブサーバーを指定します。デフォルトは、すべての転送要求を許可することです。

  • allow-update ゾーン内の情報を動的に更新することのできるホストを指定します。デフォルトは、すべての動的更新要求を拒否することです。

    	重要
    	ホストがゾーン情報を更新するのを許可する場合には注意が必要です。指定されたホストが完全に信頼されていない場合には、このオプションを有効にしないでください。もし可能であれば管理者に手動でゾーンのレコードを更新してもらい、namedサービスをリロードするのがよいでしょう。

  • file ゾーンの設定データが記載されたnamed作業ディレクトリ（デフォルトでは/var/named）にあるファイルの名前を指定します。

  • masters ゾーンがスレーブtypeとして定義されている場合に使用されます。mastersオプションは、スレーブのnamedに権限のあるゾーン情報を要求するためのIPアドレスを知らせます。

  • notify optionステートメントで使用されるnotifyオプションと同じように動作します。

  • type ゾーンのタイプを定義します。以下のタイプが利用できます。

    • forward ネームサーバーにこのゾーンの情報を求めるすべての要求を転送するよう要求します。

    • hint ルートネームサーバーをポイントするのに使用される特別なタイプのゾーンです。ルートネームサーバーは、他の方法ではあるゾーンのことがわからない場合に、クエリを解決するために利用されるものです。/etc/named.confのデフォルトを越えてヒントゾーンを設定する必要はありません。

    • master このネームサーバーをこのゾーンについて権限をもつネームサーバーとして指定します。このシステムにゾーンの設定ファイルがある場合、そのゾーンはmasterタイプとして設定しなくてはなりません。

    • slave このネームサーバーをこのゾーンのスレーブサーバーとして指定します。namedには、このゾーンのマスターネームサーバーのIPアドレスからこのゾーンの設定ファイルを要求するよう命令します。

  • zone-statistics namedにこのゾーンについての統計を保持するよう命令し、デフォルト位置（/var/named/named.stats）か、あるいはserverステートメントのstatistics-fileオプションによって特に指定された場所にこれを書きこみます。

zone "domain.com" IN {
  type master;
  file "domain.com.zone";
  allow-update { none; };
};

zone "domain.com" {
  type slave;
  file "domain.com.zone";
  masters { 192.168.0.1; };
};

ゾーンファイル

特定のネーム空間についての情報が記載されているゾーンファイルは、named作業ディレクトリに保存されます。デフォルトは、/var/namedです。各ゾーンファイル名は、zoneステートメントのfileオプションデータに従い、通常はexample.com.zoneなどのように、該当するドメインに関係し、ゾーンデータが記載されているアプリケーションファイルが識別できるような名前が付けられます。

各ゾーンファイルには、ディレクティブとリソースレコードが含まれている場合があります。ディレクティブは、ネームサーバーに対して、あることを実行したり、ゾーンに特別の設定を適用したりするよう命令するものです。リソースレコードは、ゾーンのパラメータを定義し、ゾーンのネーム空間内でのアイデンティティを特定のシステムに割り当てるものです。ディレクティブはオプションですが、リソースレコードはネームサービスをそのゾーンに提供するため必須です。すべてのディレクティブとリソースレコードは、定められた行に記載されなくてはなりません。

コメントは、ゾーンファイルのセミコロン（;）の後に置かれます。

$ORIGIN domain.com.
$TTL 86400
@     IN     SOA    dns1.domain.com.     hostmaster.domain.com. (
                    2001062501 ; serial
                    21600      ; refresh after 6 hours
                    3600       ; retry after 1 hour
                    604800     ; expire after 1 week
                    86400 )    ; minimum TTL of 1 day

      IN     NS     dns1.domain.com.
      IN     NS     dns2.domain.com.

      IN     MX     10     mail.domain.com.
      IN     MX     20     mail2.domain.com.

             IN     A       10.0.1.5

server1      IN     A       10.0.1.5
server2      IN     A       10.0.1.7
dns1         IN     A       10.0.1.2
dns2         IN     A       10.0.1.3

ftp          IN     CNAME   server1
mail         IN     CNAME   server1
mail2        IN     CNAME   server2
www          IN     CNAME   server2

<last-IP-digit>      IN     PTR    <FQDN-of-system>

$ORIGIN 1.0.10.in-addr.arpa.
$TTL 86400
@     IN     SOA    dns1.domain.com.     hostmaster.domain.com. (
                    2001062501 ; serial
                    21600      ; refresh after 6 hours
                    3600       ; retry after 1 hour
                    604800     ; expire after 1 week
                    86400 )    ; minimum TTL of 1 day

      IN     NS     dns1.domain.com.
      IN     NS     dns2.domain.com.

20    IN     PTR    alice.domain.com.
21    IN     PTR    betty.domain.com.
22    IN     PTR    charlie.domain.com.
23    IN     PTR    doug.domain.com.
24    IN     PTR    ernest.domain.com.
25    IN     PTR    fanny.domain.com.

zone "1.0.10.in-addr.arpa" IN {
  type master;
  file "domain.com.rr.zone";
  allow-update { none; };
};