当前时区为 UTC + 8 小时



发表新帖 回复这个主题  [ 2 篇帖子 ] 
作者 内容
1 楼 
 文章标题 : 如何在Redhat 7.1下设置chroot DNS
帖子发表于 : 2009-05-05 18:09 

注册: 2008-11-07 21:26
帖子: 8
送出感谢: 0 次
接收感谢: 0 次
本文从雪息怨http://henxue.5d6d.com转载。
一 本文目的
本文主要是介绍在Redhat 7.1下使用最近的BIND版本9.1.3来设置一个在chroot
环境下运行的BIND服务程序,进一步加强BIND的安全。
何谓chroot? chroot就象匿名FTP,如果我们把bind chroot到/chnamed目录运行,
则named在运行时将认为/chnamed是实际的根目录,即使named有某种安全漏洞
被人攻破,也只能存取到该目录而已。

二 操作环境
Redhat Linux 7.1 ,BIND 9.1.3(从www.isc.org)下载,公司域名为domain.com,
专线接入internet,在防火墙上运行BIND为公司域名domain.com进行DNS解析。

三 操作步骤

1. 编译bind 9.1.3

下载最新的版本从www.isc.org,当前版本是9.1.3
cd /tmp
tar xvfz bind-9.1.3.tar.gz
cd bind-9.1.3
./configure
make
make install

经过上面的步骤,bind的各种后台程序默认被安装到/usr/local/bin
和/usr/local/sbin 。

2. 准备chroot环境

登录作为root, 创建下面的目录结构

/chnamed
+-- dev
+-- etc
| +-- named
+-- var
+-- run

# mknod /chnamed/dev/null c 1 3
# cp -a /etc/localtime /chnamed/etc

修改/etc/rc.d/init.d/syslog 中的 start部分改daemon为下面的行
daemon syslogd $SYSLOGD_OPTIONS -a /chnamed/dev/log

然后用/etc/rc.d/init.d/syslog restart重启syslogd后台。


3. 准备rndc 配置文件

rndc是BIND的管理程序,可以用来启动,停止和重新装入配置文件等等。我们用
下面的命令生成hmac-md5键。

# /usr/local/sbin/dnssec-keygen -a hmac-md5 -b 128 -n user rndc

这将生成两个包括密码的文件,把密钥串放入文件rndc.conf和named.conf中。

然后修改/etc/rndc.conf中相应部分成下面的

options {
default-server localhost;
default-key rndc_key;
};

server localhost {
key "rndc_key";
};

key rndc_key {
algorithm "hmac-md5";
secret

"c3Ryb25nIGVub3VnaCBmb3IgYSBtYW4gYnV0IG1hZGUgZm9yIGEgd29tYW4K";
};

4. 准备named.conf配置文件

用下面的配置文件,假如你的内部网络使用192.168.1.0/24。

acl ournets { 127.0.0.1;192.168.1.0/24 };

options {
directory "/etc/named";
pid-file "/var/run/named.pid";
statistics-file "/var/run/named.stats";
/*
* If there is a firewall between you and nameservers you want
* to talk to, you might need to uncomment the query-source
* directive below. Previous versions of BIND always asked
* questions using port 53, but BIND 8.1 uses an unprivileged
* port by default.
*/
// query-source address * port 53;

allow-recursion { ournets; };

};

controls {
inet 127.0.0.1 allow { localhost; } keys { rndc_key; };
};

//
zone "." IN {
type hint;
file "named.ca";
};

zone "localhost" IN {
type master;
file "localhost.zone";
allow-update { none; };
};

zone "0.0.127.in-addr.arpa" IN {
type master;
file "named.local";
allow-update { none; };
};
key "rndc_key" {
algorithm hmac-md5;
secret "c3Ryb25nIGVub3VnaCBmb3IgYSBtYW4gYnV0IG1hZGUgZm9yIGEgd29tYW4K";
};

zone "1.168.192.IN-ADDR.ARPA" {
type master;
file "192.168.1";
};

zone "domain.com" {
type master;
file "named.domain";
};

5. 准备启动named

放named.conf到/chnamed/etc/named.conf
放相应的数据文件到/chnamed/etc/named/

这意味着拷贝系统自身的几个文件/etc/named.conf,/var/named/* 和自己编辑的
两个文件到192.168.1和named.domain到上面的目录中。


运行命令/usr/sbin/ntsysv去掉自动启动的named前面的标记,然后放下面的行
到/etc/rc.d/rc.local

# /usr/local/sbin/named -u named -t /chnamed -c /etc/named.conf

6. 目录的属性和所有者权限

# chown named:named /chnamed/var/run

named后台需要写pid到上面的目录,所有需要设置目录权限给用户named.

# chown named:named /chnamed
# chmod 700 /chnamed

让其它用户不可以进入该目录。

7. 启动named

运行下面的命令启动named

# /usr/local/sbin/named -u named -t /chnamed -c /etc/named.conf
且你能用下面的各种管理命令

#/usr/local/sbin/rndc -s localhost reload #重装配置文件

#/usr/local/sbin/rndc -s localhost stop #停止named后台
#/usr/local/sbin/rndc -s localhost stats #倾倒统计文件

最后用ps ax和/usr/sbin/tcpdump port 53 -n检查你的named已处于服务状态中。


页首
 用户资料  
 
2 楼 
 文章标题 : Re: 如何在Redhat 7.1下设置chroot DNS
帖子发表于 : 2009-09-10 19:38 
头像

注册: 2009-07-17 20:57
帖子: 129
送出感谢: 0 次
接收感谢: 0 次
那ubuntu里面的安装的bind9怎么设置?目录路径完全不一样啊!


_________________
本科农民工:
钱少,事多,离家远....
位微,权轻,责任重....
新建的个人网站


页首
 用户资料  
 
显示帖子 :  排序  
发表新帖 回复这个主题  [ 2 篇帖子 ] 

当前时区为 UTC + 8 小时


在线用户

正在浏览此版面的用户:没有注册用户 和 4 位游客


不能 在这个版面发表主题
不能 在这个版面回复主题
不能 在这个版面编辑帖子
不能 在这个版面删除帖子
不能 在这个版面提交附件

前往 :  
本站点为公益性站点,用于推广开源自由软件,由 DiaHosting VPSBudgetVM VPS 提供服务。
我们认为:软件应可免费取得,软件工具在各种语言环境下皆可使用,且不会有任何功能上的差异;
人们应有定制和修改软件的自由,且方式不受限制,只要他们自认为合适。

Powered by phpBB © 2000, 2002, 2005, 2007 phpBB Group
简体中文语系由 王笑宇 翻译