2014 DNS 2nd 再構築ログ

BIOS の設定
入力機器の接続
Debian wheezy のインストール
日本語環境の設定
ssh インストール
作業用アカウントの作成
sudo のインストール
ssh の設定
余分なパッケージの削除
ntpdate の設定
/etc/inetd.conf の編集
bind9 のインストール
gate-toroku-system のインストール
syslog-ng のインストール
ログの圧縮
DHCP のインストール

入力機器の接続

マウス, キーボードの PS/2 端子を USB に変換するコネクタが kihada と blue で 1 つずつしかない. そのため一時的に繋ぎ替えて使用した.

日本語環境の設定

$ export LC_ALL=C
$ export LANG=C
$ export LANGUAGE=C

作業用アカウントの作成

コアマネとの相談で mondo*を決める

# adduser --uid 40008 mondo8

bind9 のインストール

# apt-get install bind9

bind が機能しているか確認

/etc/resolv.conf のバックアップと編集

# cp /etc/resolv.conf /etc/resolv.conf_bk

resolv.conf を以下のように書き直す. (前の内容は削除した上で書き直す)

search ep.sci.hokudai.ac.jp
nameserver 127.0.0.1

dig で挙動を調べる

$ dig ep.sci.hokudai.ac.jp any

; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> ep.sci.hokudai.ac.jp any ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45768 ;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 2, ADDITIONAL: 0

;; QUESTION SECTION: ;ep.sci.hokudai.ac.jp. IN ANY

;; ANSWER SECTION: ep.sci.hokudai.ac.jp. 86400 IN NS yellow.ep.sci.hokudai.ac.jp. ep.sci.hokudai.ac.jp. 86400 IN NS blue.ep.sci.hokudai.ac.jp. ep.sci.hokudai.ac.jp. 86400 IN MX 10 grey.ep.sci.hokudai.ac.jp. ep.sci.hokudai.ac.jp. 86400 IN MX 20 orange.ep.sci.hokudai.ac.jp. ep.sci.hokudai.ac.jp. 86400 IN SOA yellow.ep.sci.hokudai.ac.jp. postmaster.ep.sci.hokudai.ac.jp. 2013092540 10800 3600 604800 86400

;; AUTHORITY SECTION: ep.sci.hokudai.ac.jp. 86400 IN NS blue.ep.sci.hokudai.ac.jp. ep.sci.hokudai.ac.jp. 86400 IN NS yellow.ep.sci.hokudai.ac.jp.

;; Query time: 0 msec ;; SERVER: 127.0.0.1#53(127.0.0.1) ;; WHEN: Thu Oct 3 14:27:18 2014 ;; MSG SIZE rcvd: 197

ゾーンファイル

ep.zone local.rev local.zone named.root をblue から持ってくる

# scp ****@blue.ep.sci.hokudai.ac.jp:/var/named/* /var/cache/bind/

bind9 の設定ファイル

/etc/bind/named.conf.local の書き換え

以下の記述を追加する.

zone "ep.sci.hokudai.ac.jp" {
      type slave;
      file "/var/cache/bind/ep.zone";
      notify no;
      masters {133.87.45.70;};
};

yellow:/etc/bind/named.conf.option の書き換え

===== yellow での作業 yellow の /etc/bind/named.conf.option に以下の記述を追加して, aoi へのゾーンファイルの転送を許可する

allow-transfer { 133.87.45.66; 133.87.1.11; 133.87.45.136; };

この記述をしないと, ゾーンファイルの転送要請をすべて許可してしまう.

逆に, この記述を加えると明示的に許可していないところからの転送要請はすべて許可されなくなるので注意.

ログで DNS ゾーンファイルの読み込みを確認

bind の restart

# /etc/init.d/bind9 restart

/var/log/daemon.log を見る

/etc/resolv.conf に他の DNS サーバを書き加える

search ep.sci.hokudai.ac.jp
nameserver 127.0.0.1
nameserver 133.87.45.70
nameserver 133.87.1.11

とする．

gate-toroku-system のインストール

必要なパッケージのインストール

gcc
perl
libjcode-perl
libjcode-pm-perl
libperl4-corelibs-perl
libcrypt-passwdmd5-perl
make
rsync
inetutils-inetd

htroff_2.0-1

# wget http://www.gfd-dennou.org/arch/cc-env/htroff/htroff_2.0-1_all.deb
# dpkg -i htroff_2.0-1_all.deb

作業用アカウントの作成

# adduser --uid 500 --disabled-password gate

管理者の名前は Administrator of gate-toroku-system とした．

gate グループに gate 管理者を加える．

/etc/group を

gate:x:500:morikawa,mym,odakker,takahisa,michi

と編集．

ssh のノンパスワードログインに関する設定

.shosts の設定(各サーバ)

.shosts 認証を可能にする. /etc/ssh/sshd_config を以下のように編集する.

(変更前)
IgnoreRhosts yes
HostbasedAuthentication no

(変更後)
IgnoreRhosts no
HostbasedAuthentication yes

ファイル編集後, ssh を再起動する.

# /etc/init.d/ssh restart

gate ユーザになる.

$ sudo -u gate -s -H

/home/gate へ移動する.

$ cd /home/gate/

.shosts を作成する. ファイルに以下のように書きこむ.

orange.ep.sci.hokudai.ac.jp  gate

.shosts のパーミッションを変更し gate 以外のユーザが見れないようにする.

$ chmod 600 .shosts

.shosts の設定(www で行う)

/usr/bin/ssh, /usr/bin/ssh-keygen の s ビットを立てる.

www サーバ管理者に作業をお願いする.

.shosts 認証を有効にする.

/etc/ssh/ssh_config は既に

HostbasedAuthentication yes
PreferredAuthentications hostbased,publickey,password,keyboard-interactive

と設定されていたので変更しない．

公開鍵を新たに作り直す

各サーバで行う作業

gate ユーザになる.

$ sudo -u gate -s -H

orange の公開鍵が既に存在しているかを調べる.

$ grep orange /home/gate/.ssh/known_hosts

known_hosts 自体ないと言われた．

orange の公開鍵を取得する．アドレスはフルドメインで入力する.

$ ssh orange.ep.sci.hokudai.ac.jp

ここで公開鍵を作るかどうかを聞かれるので yes と入力する.

Ctrl + c で出る．

www での作業

gate ユーザになる.

$ sudo -u gate -s -H

.ssh/known_hosts にローカルホストの公開鍵が存在するかを確認し，あれば削除する．

$ grep aoi .ssh/known_hosts

公開鍵を取得する. (アドレスはフルドメインで入力する)

$ ssh aoi.ep.sci.hokudai.ac.jp

ここで公開鍵を作るかどうかを聞かれるので yes と入力する.

Ctrl + c で出る．

パッケージの取得と展開

パッケージの取得

$ sudo -u gate -s -H
$ cd /home/gate
$ scp hogehoge@orange.ep.sci.hokudai.ac.jp:/home/gate/gate-toroku-system.tar.gz ./

パッケージの展開

$ tar xvfz gate-toroku-system.tar.gz
$ cd gate-toroku-system

パッケージの設定 [www 以外]

/home/gate/gate-toroku-system/include/gate.conf の設定

##  本気モードとデバックモード
#
        $DEBUG_CONFIG = 1;              # 0: 本気モード, 1: デバッグモード

となっていることを確認. 入れ替え直前に本気モードに変える.

- ディレクトリ構成の設定
               $VAR_NAMED_DIR = /var/cache/bind';

がゾーンファイルの置き場所に対応していることを確認

パッケージのインストール

Config.mk の生成

$ exit (一般ユーザに戻る)
$ sudo -u gate -s -H
$ cd /home/gate/gate-toroku-system
$ perl ./config.pl

make によるコンパイル

$ make

インストール

$ exit (一般ユーザに戻る)
$ sudo -s (root ユーザになる)
# cd /home/gate/gate-toroku-system
# cp include/gate.conf /etc/gate.conf
# make install

インストール終了後, プログラムファイル (gate-ip-accept 等)が /usr/local/bin, /u\ sr/local/sbin, /usr/local/lib/gate にインストールされていることを確認する. また\ , /etc/passwd, /etc/shadow, /etc/group, /etc/sudoers が /ETC に存在していること\ を確認する.

デーモンの設定

デーモンモードで起動するための確認

/etc/gate.conf は
```
$USE_DAEMON = 1 ;
```

となっていた．

gate-toroku-system 用のポートの作成

/etc/inetd.conf に以下の行を追加(1 行で書く)

gate stream tcp nowait root /usr/sbin/tcpd /usr/local/lib/gate/gate-daily -N

gate 用に 8888 番ポートを割り当てる. /etc/services に以下の行を追加する.

gate   8888/tcp

/etc/inetd を起動する.

# /etc/init.d/inetutils-inetd start

TCPWrapper によるセキュリティ強化

gate のポートには登録サーバである orange 以外のホストはアクセスできないようにす\ る. /etc/hosts.deny を以下のように編集して全てのホストに対して gate ポートへの\\ アクセスを禁止する.

gate-daily: ALL [改行]

/etc/hosts.allow を以下のように編集して orange に対して gate ポートへのアクセス\ を許可する.

gate-daily: orange.ep.sci.hokudai.ac.jp [改行]

アクセスの確認

# tcpdmatch gate-daily [orange.ep.sci.hokudai.ac.jp 以外のホスト名]

access: denied と表示された．

# tcpdmatch gate-daily orange.ep.sci.hokudai.ac.jp

access: granted と表示された.

安全の確保

重要ファイルのバックアップ

# cp /etc/passwd ~/
# cp /etc/shadow ~/
# cp /etc/group ~/
# cp /etc/sudoers ~/

# chmod 400 passwd shadow group sudoers

root になった端末を残しておく

万一端末が動かなくなった時に作業ができるように root になった端末をもう一つ確保\\ しておく.

動作確認

テストのため, /etc/gate.conf を一度以下のように書き換える

##  本気モードとデバックモード
#
        $DEBUG_CONFIG = 0;              # 0: 本気モード, 1: デバッグモード

www サーバ (orange) から aoi の gate ポートに接続する.

$ ssh orange.ep.sci.hokudai.ac.jp
$ telnet aoi.ep.sci.hokudai.ac.jp 8888

正常に接続できたかを確認するには /etc/passwd, /etc/shadow などのファイルのタイ\\ ムスタンプを確認する.

(各サーバでチェック [www でじゃないよ!!])
$ date (現在時刻の確認)
$ ls -l /etc/passwd /etc/shadow

また, /etc/passwd の中身がユーザ ID の順番に並び変えられていればよい.

動作確認終了後/etc/gate.conf の設定を元に戻す

##  本気モードとデバックモード
#
        $DEBUG_CONFIG = 1;              # 0: 本気モード, 1: デバッグモード

syslog-ng のインストール

パッケージのインストール

$ apt-get install syslog-ng

パッケージリストを読み込んでいます... 完了
依存関係ツリーを作成しています                
状態情報を読み取っています... 完了
以下の特別パッケージがインストールされます:
  libdbi1 libevtlog0 libffi5 libglib2.0-0 libglib2.0-data libjson0 
  libmongo-client0 libnet1 libsyslog-ng-3.3.5 libsystemd-daemon0 
  shared-mime-info syslog-ng-core syslog-ng-mod-json 
  syslog-ng-mod-mongodb syslog-ng-mod-sql
提案パッケージ:
  mongodb-server libdbd-mysql libdbd-pgsql libdbd-sqlite3
以下のパッケージは「削除」されます:
  rsyslog
以下のパッケージが新たにインストールされます:
  libdbi1 libevtlog0 libffi5 libglib2.0-0 libglib2.0-data libjson0 
  libmongo-client0 libnet1 libsyslog-ng-3.3.5 libsystemd-daemon0 
  shared-mime-info syslog-ng syslog-ng-core syslog-ng-mod-json 
  syslog-ng-mod-mongodb syslog-ng-mod-sql
アップグレード: 0 個、新規インストール: 16 個、削除: 1 個、保留: 0 個。
4,770 kB のアーカイブを取得する必要があります。
この操作後に追加で 17.0 MB のディスク容量が消費されます。
続行しますか [Y/n]?

と表示される. Y を押してつぎに進む

受信の設定

/etc/syslog-ng/syslog-ng.conf に，

source s_lemon {
       #   - UDP 514 番を使う。
       udp(ip("133.87.45.136") port(514));
};


destination d_lemon_log {
       # lemon から受信したログは /var/log/lemon_log に保存する。
       file("/var/log/lemon_log");
};


filter f_lemon_log {
       host(133.87.45.154) and level(info..emerg);
};


log {
       source(s_lemon);
       filter(f_lemon_log);
       destination(d_lemon_log);
};

を追加．

# /etc/init.d/syslog-ng restart

で syslog-ng を再起動し，設定を有効にする．

ログの圧縮

# nano /etc/logrotate.conf

以下の記述を追加する

/var/log/lemon_log {
    weekly
    rotate 10
    compress
 }

DHCP のインストール

パッケージのインストール

# aptitude install dhcp3-server

dhcp3-sserver ではなく, isc-dhcp-server がインストールされたインストール途中で

[FAIL] Starting ISC DHCP server: dhcpd[....] check syslog for diagnostics. ... failed!
 failed!
invoke-rc.d: initscript isc-dhcp-server, action "start" failed.

と出た．

$ dpkg -l | grep isc-dhcp-*

すると， ii isc-dhcp-client 4.2.2.dfsg.1-5+deb70u6 amd64 ISC DHCP client ii isc-dhcp-common 4.2.2.dfsg.1-5+deb70u6 amd64 common files used by all the isc-dhcp* packages ii isc-dhcp-server 4.2.2.dfsg.1-5+deb70u6 amd64 ISC DHCP server for automatic IP address assignment

となっていて，インストールはされた模様．

設定ファイルの編集

設定ファイルの場所は /etc/dhcp/dhcpd.conf である．

/etc/dhcpd.confのバックアップと編集

# cd /etc/dhcp/
# cp dhcpd.conf dhcpd.conf.org

dhcpd.conf の中身をすべて消して以下のものを書き込む.

# dhcpd.conf
#
# This is dhcpd.conf, generated by gate-db-to-dhcpd.
# If you are to edit this file, do not edit it directly.
#
# General Configuration

default-lease-time 6000;
max-lease-time 72000;
option routers 192.168.16.1;
option subnet-mask 255.255.255.0;
option broadcast-address 192.168.16.255;
option domain-name "ep.sci.hokudai.ac.jp";
option domain-name-servers 133.87.45.70, 133.87.45.66, 133.87.1.11;

subnet 192.168.16.0 netmask 255.255.255.0 {
    range 192.168.16.130 192.168.16.254;
}

DHCPのネットワークインターフェイスの指定

/etc/network/interfaces の編集

auto eth1
iface eth1 inet static
        address 192.168.16.2
        netmask 255.255.255.0
        broadcast 192.168.16.255

と書き加える

同じIPを持っているマシンが存在するので, 聞かれたときに同じネットワーク内でしか答えないようにする

注意これを行わないと現在運用中のDHCPが機能しなくなるので注意

/etc/sysctl.conf に以下の記述を書き加える

net.ipv4.conf.eth0.arp_ignore = 1
net.ipv4.conf.eth1.arp_ignore = 1

/etc/default/isc-dhcp-server の編集

INTERFACES="eth1"

とした

/etc/gate.confの書き換え

- DHCP に関する設定
       $DHCPD_FILE = "$ETCDIR/dhcp/dhcpd.conf";
       $DHCP_INIT = 'isc-dhcp-server';

となっていることを確認

実行ファイルの編集

特に行わない．