Configurando BIND 9 + chroot sem mistérios

marcolinux

Cansado de procurar como fazer uma coisa tão baba como esta e não encontrar? Acabou seu martírio, este artigo ensina como fazer configurar seu servidor DNS.

[ Hits: 370.049 ]

Por: Alexandre de Jesus Marcolino em 12/02/2003 | Blog: http://blog.marcolino.com.br/wordpress/

3 0

Denuncie Favoritos Indicar Impressora

Verificando as permissões dentro da gaiola

Agora que nós já criamos os arquivos necessários dentro da gaiola, precisamos garantir que as permissões de acesso e os donos dos arquivos estejam acertados para perfeito funcionamento dentro da gaiola. É possível fazer isto na mão, mas imagine: cada vez que você alterar alguma coisa vai ter que checar tudo de novo. Se esquecer apenas uma coisa, todo esforco irá pelo ralo.

Por causa disso, normalmente criamos um arquivo que contém as regras de permissões na raiz em /chroot para cada gaiola que criamos, assim fica menos fácil de errar alguma coisa. Em nosso caso, chamaremos o arquivo de named.perms e o colocaremos em /chroot.

Abaixo uma listagem com os comandos para manter nossa gaiola em dia.

#
# named.perms
#
# Configura os donos e as devidas permissões dentro do diretório named
#

cd /chroot/named

# Por padrão, root é o dono de tudo e apenas ele pode gravar, mas os diretórios
# tem execução para todos. Note que algumas plataformas usam como
# marcador/separador um ponto entre usuário/grupo nos parâmetros do chown}

chown -R root.named .

find . -type f -print | xargs chmod u=rw,og=r # regular files
find . -type d -print | xargs chmod u=rwx,og=rx # directories

# os arquivos named.conf e rndc.conf precisam ter suas chaves protegidas
chmod o= etc/*.conf

# o diretório secondaries cria arquivos dinamicamente a partir dos
# servidores de DNS Master e o daemon named precisa de poderes para gravar ali
# afim de criar os arquivos das zonas.

touch conf/secondaries/.empty # placeholder
find conf/secondaries/ -type f -print | xargs chown named.named
find conf/secondaries/ -type f -print | xargs chmod ug=r,o=

chown root.named conf/secondaries/
chmod ug=rwx,o= conf/secondaries/

# Garante que a criação do arquivo de PID em var/run seja efetivado
chown root.root var/
chmod u=rwx,og=x var/

chown root.named var/run/
chmod ug=rwx,o=rx var/run/

# Permite que o daemon named crie sossegado seus arquivos de log.
chown root.named logs/
chmod ug=rwx,o=rx logs/

Após gravar os arquivo, você deve executá-lo com a seguinte linha de comando:

sh -x /chroot/named.perms

A saída vai se parecer com isso :

+ cd /chroot/named
+ chown -R root.named .
+ find . -type f -print
+ xargs chmod u=rw,og=r
+ find . -type d -print
+ xargs chmod u=rwx,og=rx
+ chmod o= etc/named.conf etc/rndc.conf
+ touch conf/secondaries/.empty
+ find conf/secondaries/ -type f -print
+ xargs chown named.named
+ find conf/secondaries/ -type f -print
+ xargs chmod ug=r,o=
+ chown root.named conf/secondaries/
+ chmod ug=rwx,o= conf/secondaries/
+ chown root.root var/
+ chmod u=rwx,og=x var/
+ chown root.named var/run/
+ chmod ug=rwx,o=rx var/run/

Algumas considerações podem ser importantes:

Nós não estamos limpando os diretórios etc/ e conf/ pois acreditamos que fazer isso manualmente contribui para que você mantenha seu sistema mais seguro já que cada arquivo nestes diretórios merecem uma atenção especial.
O diretório conf/secondaries recebe arquivos gerados a partir do servidor de DNS MASTER e será constantemente alterado dinamicamente. Por isso ele possui direitos de gravação.

Agora o mais importante é que o nameserver não possa ter modificados seus arquivos master, pois se alguma vulnerabilidade existir com relação ao bind isto poderá ser FATAL!
Em etc/named.conf e etc/rndc.conf estão o segredo do servidor bind. É imprescindível que estes arquivos não possam ser alterados remotamente.

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. O ambiente
   3. Compilando o BIND
   4. Tudo instalado, agora vamos ENGAIOLAR !
   5. Construindo os arquivos de configuração
   6. Verificando as permissões dentro da gaiola
   7. Inicializando o servidor NAMED
   8. Controlando o daemon com rndc
   9. Inicializando o named quando a máquina da BOOT !!!
   10. Consideracões finais

Outros artigos deste autor

Gerando estatísticas do seu servidor de email utilizando o isoqlog

SOCKS - Acessando Hosts remotos via OpenSSH

Autenticando o Speedy Business automaticamente em firewalls Linux

Tutorial de Instalação do ClamAV - Anti-vírus open Source

Configurando um arquivo de zona

Leitura recomendada

Servidor de e-mail completo

Instalando e configurando um servidor DNS (Bind)

PHP 6.0 - Você está pronto?

Configurando o a1200i Motorola Motoming para acessar internet em seu Linux Slackware

Sistemas Operacionais Online

Comentários

[1] Comentário enviado por rsouza em 29/08/2003 - 13:11h

Meus parabéns o arquivo é muito BOM......

0 0

[2] Comentário enviado por gustavo_marcon em 04/09/2003 - 18:18h

configurei um server DNS master, mas p/ registrar dominios preciso de um master e no minimo um slave não é?
ñ posso configurar só c/ um né?

então como faço p/ criar um DNS secundário?

Preciso valida-lo em alguma organização??

0 0

[3] Comentário enviado por L1nuxer em 26/03/2004 - 12:16h

O cara explico uma configuracao de DNS de uma forma que nao precisa disso tudo, ja que explicou dessa forma explica-se detalhadamente. e mesmo assim explique de uma forma configurando um dominio, vamos dizer que 40% desse artigo e aproveitavel!

Gustavo_marcon sim vc precisa de outra maquina para fazer o slave que seria o secundario.

0 0

[4] Comentário enviado por crildo em 11/06/2004 - 15:11h

Muito bom o seu artigo...

0 0

[5] Comentário enviado por cmarcelo em 05/07/2004 - 22:58h

Muito útil o chroot!

Segui os passos e está funcionado legal

Porém estou com uma dúvida, qual a utilizade do diretório log, já que ele sempre está vazio?

Carlos Marcelo

1 0

[6] Comentário enviado por reimassupilami em 04/08/2004 - 11:20h

Olá, eu estava seguindo todos os passos mas me ferrei na hora de executar aquele script que trata das permissões. Nem root conseguia acessar mais nada, daí até a inicialização ferrou. Resumindo, tive q reinstalar o sistema. O que posso ter feito de errado?

0 0

[7] Comentário enviado por rbn_jesus em 19/11/2004 - 09:59h

Help!
cara estou seguindo o teu tutorial para o fedora 2, apos a configuração do bind tentei executar o ./make, entretanto apareceu o seguinte erro:

[root@localhost bind-9.2.1]# ./make
bash: ./make: is a directory

como posso contornar isto, já tentei executar o cdm make detro do diretorio make, e outras tentativas inuteis...

agradeço a compreenção

1 0

[8] Comentário enviado por ace rush em 24/11/2004 - 01:22h

Poutz muito bom!!!

mas eu achei que realmetne ia rolar um #chroot /chroot/named...

mas vi que se faz de oturo modo (setando permissoes).... e nao tem jeito se alguem der um buffer overflow e cair de shell ali dentro, de poder subir pro filesystem ?

0 0

[9] Comentário enviado por icasol em 17/01/2005 - 15:45h

Cara,

Le seu artigo...estou da pra vc mandar uma dica para do DNS secundario no Slakware 10....o DNS primario eu fiz usando seu DOC...muito bom...

Valew

Rubens Andrade

0 0

[10] Comentário enviado por jehpy em 05/04/2005 - 23:34h

Oi é o seguinte... tentei instalar o servidor conforme suas dicas, mas na hora de executar o named.start ele da um erro: bash: PATH: command not found.

Estou usando o CL10...

0 0

[11] Comentário enviado por leandroalmeida em 18/11/2005 - 11:20h

Excelente artigo...
mas quando executo o rndc status ele apresenta o seguinte erro..

rndc: Couldn't find server 'localhost': Name or service not known

outra pergunta de iniciante.. o dns server para resolucionar nomes? por exemplo
transformar 200.171.171.171 em www.meudominio.com.br?

0 0

[12] Comentário enviado por gustavo_marcon em 18/11/2005 - 15:26h

leandroalmeida, é ao contrário que o DNS funciona, ele transporma nome para ip e não ip para nome.

Ou seja ela faz vc ir de www.seudominio.com.br para 200.171.171.171 mas não ir de 200.171.171.171 para www.seudominio.com.br, até porque é por IP diretamente que a internet trabalha, então nem faria sentido essa ordem.

0 0

[13] Comentário enviado por julinhoramones em 16/03/2006 - 21:40h

Caro gustavo_marcon, o uso básico do DNS a priori é para realizar a resolução de nomes para endereços IP. Mas há casos onde necessitamos utilizar o servidor DNS para realizar resolução reversa, onde através do IP é possível obter o nome.
Sendo assim, você pode criar base de dados para resolução comum e reversa.

0 0

[14] Comentário enviado por Tyreon em 11/07/2006 - 19:29h

Vlw!! Me ajudou mto!!

0 0

[15] Comentário enviado por guga_osicom em 10/08/2006 - 13:06h

A configuração proposta pelo artigo foi implementada. Os resultados usando o nslookup foram aceitaveis. Porém quando uso o ping em outra máquina da rede para acessar o servidor DNS ele não encontra. Alguma sugestão será bem vinda.

0 0

[16] Comentário enviado por scristina4 em 24/09/2006 - 16:07h

Gostaria de ler o artigo, mas não consegui ainda, preciso dele para efetuar um trabalho de faculdade, sou novata na área de rede principalmente preciso configurar o servidor DNS linux mas não encontrei nenhum material apropriado, tipo passo a passo, porque em linux sou leiga, sei pouca coisa. Então depois faço meus comentários sobre o artigo.
Atenciosamente,
Sogeamfe

0 0

[17] Comentário enviado por alexandrecorrea em 25/09/2006 - 03:19h

gustavo_marcon:

o bind/named converte tanto nome.com.br para ip e ip para nome.com.br !!

veja um exemplo de ip para nome:

supondo que temos o bloco 200.200.200.1.0/24

named.conf

zone "1.200.200.in-addr.arpa" IN {
type master;
notify yes;
file "reverso.200.200.200.1.zone";
};

arquivo reverso.200.200.200.1.zone

$TTL 14400
$ORIGIN 1.200.200.IN-ADDR.ARPA.
@ 14440 IN SOA ns1.dominio.com.br. hostmaster.dominio.com.br. (
2006061404
1H
15M
1W
20M
)

@ 7200 IN NS ns1.dominio.com.br.
@ 7200 IN NS ns2.dominio.com.br.

1 7200 IN PTR ip01.dominio.com.br.
2 7200 IN PTR ip02.dominio.com.br.

$GENERATE 10-254 $ PTR ip$.dominio.com.br.

-------

esse ultimo ai.. $GENERATE gera automaticamente.... do 10 ao 254 :)

0 0

[18] Comentário enviado por maickelpc em 26/11/2007 - 17:36h

bacana...enfim conclui meu dns

0 0

[19] Comentário enviado por peace em 04/12/2007 - 16:56h

show de bola o artigo. Botei meu dns pra rodar rapidinho. como é útil, vou linkar o aritigo no meu blog, ok?

abraço.

Tiago Lima

0 0

[20] Comentário enviado por edivaldocaj em 19/12/2007 - 15:39h

parabéns, otimo tutorial...

0 0

[21] Comentário enviado por linuxss em 25/06/2008 - 22:05h

Quando configuro este script e mando executar o teste através do comando descrito acima, sou informado que os paramentros:

[root@localhost chroot]# sh -x /chroot/named.perms
+ cd /chroot/named
+ chown -R root.named
chown: operando em falta apÃ³s `root.named'
Tente `chown --help' para mais informaÃ§Ã£o.
+ find .-type f -print
+ xargs chmod u=rw,og=r
find: .-type: Arquivo ou diretÃ³rio nÃ£o encontrado
find: f: Arquivo ou diretÃ³rio nÃ£o encontrado
chmod: operando em falta apÃ³s `u=rw,og=r'
Tente `chmod --help' para mais informaÃ§Ã£o.
+ find .-type d -print
find: .-type: Arquivo ou diretÃ³rio nÃ£o encontrado
find: d: Arquivo ou diretÃ³rio nÃ£o encontrado
++ u=rwx,og=rx
+ xargs chmod
chmod: operando em falta
Tente `chmod --help' para mais informaÃ§Ã£o.
+ chmod 'o=etc/*.conf'
chmod: operando em falta apÃ³s `o=etc/*.conf'
Tente `chmod --help' para mais informaÃ§Ã£o.
+ touch conf/secondaries/.empty
+ find conf/secondaries/ -type f -print
+ xargs chown named.named
+ find conf/secondaries/ -type f -print
+ xargs chmod ug=r,o=
+ chown root.named conf/secondaries/
++ ug=rwx,o
+ chmod = conf/secondaries/
+ chown root.root var/
+ chmod u=rwx,og=x var/
+ chown root.named var/run/
+ chmod ug=rwx,o=rx var/run/
+ chown root.named logs/
+ chmod ug=rwx,o=rx logs/

Ja tentei colocar aspas de todas as maneiras mas naum funciona, por favor preciso de ajuda obrigado.

0 0

[22] Comentário enviado por aurelio.silva em 30/06/2008 - 15:21h

Se tenho um server com dois IPs, como posso fazer o master e slave na mesma maquina?

0 0

[23] Comentário enviado por cpaynes em 22/07/2009 - 16:03h

velhoo .. bom tutorial ...
so to com uma duvida ..
eu tenhu um servidor dhcp rodando ..
o que eu coloco na linha option domain-name-servers ???
e no resolv ... ???
abracos ..

0 0

[24] Comentário enviado por rcorrea em 28/10/2009 - 20:40h

Estou configurando o DNS numa maquina com Ubuntu Jaunty 9.04 kernel 2.6.28.16.
Quando tento criar o arquivo db.rootcache ocorre falha de permissao, veja abaixo:
"sudo +tcp dig @a.root-servers.net . ns > /chroot/named/conf/db.rootcache"
bash: /chroot/named/conf/db.rootcache: Permissão negada

o revolv.conf aparentemente esta ok.

o que pode estar errado?

0 0

[25] Comentário enviado por DiegocostaJ em 17/10/2018 - 03:50h

Para mim não funcionou, estou utilizando o Centos. Os script de inicialização acho que estão errados. Eu fiz conforme o KB porém sem sucesso.

0 0