BIND - 版の履歴

Kgx: /* 再帰を許可 */ 同期

2024-10-19T23:34:21Z

再帰を許可: 同期

← 古い版		2024年10月20日 (日) 08:34時点における版
126行目:		126行目:
	== 再帰を許可 ==		== 再帰を許可 ==

	自分の DNS サーバを動かしているなら、すべての DNS 検索に使うか、 [[RFC:7706]] に従って自分でルートゾーンをローカルに提供した方がよいでしょう。前者には、 ''再帰'' ルックアップを実行する機能が必要です。[https://www.us-cert.gov/ncas/alerts/TA13-088A DNS Amplification Attacks] を防ぐために、ほとんどのリゾルバで再帰はデフォルトでオフになっています。デフォルトの Arch {{ic\|/etc/named.conf}} ファイルでは、ループバックインターフェイスでのみ再帰が許可されます。		自分の DNS サーバを動かしているなら、すべての DNS 検索に使うか、[[RFC:7706]] に従って自分で [[#ルートゾーンをローカルで提供する\|ルートゾーンをローカルで提供した方がよいでしょう。]] 前者には、 ''再帰'' ルックアップを実行する機能が必要です。[https://www.us-cert.gov/ncas/alerts/TA13-088A DNS Amplification Attacks] を防ぐために、ほとんどのリゾルバで再帰はデフォルトでオフになっています。デフォルトの Arch {{ic\|/etc/named.conf}} ファイルでは、ループバックインターフェイスでのみ再帰が許可されます。

	allow-recursion { 127.0.0.1; };		allow-recursion { 127.0.0.1; };
134行目:		134行目:
	ローカルネットワークにネームサービスを提供する場合;たとえば、192.168.0.0/24 の場合、適切なIPアドレスの範囲を {{ic\|/etc/named.conf}} に追加する必要があります。		ローカルネットワークにネームサービスを提供する場合;たとえば、192.168.0.0/24 の場合、適切なIPアドレスの範囲を {{ic\|/etc/named.conf}} に追加する必要があります。

			{{bc\|
	allow-recursion { 192.168.0.0/24; 127.0.0.1; };
			allow-recursion {
			192.168.0.0/24;
			fd01:2345:6789::/64;
			127.0.0.1;
			::1;
			};
			}}

	== DNSSEC 署名ゾーンを処理するための BIND の設定 ==		== DNSSEC 署名ゾーンを処理するための BIND の設定 ==

Kgx: ルートゾーンをローカルで提供するを翻訳して追加

2024-10-19T23:30:00Z

ルートゾーンをローカルで提供するを翻訳して追加

@@ 211行目: / 211行目: @@
 そして systemd をリロード ({{ic|systemctl daemon-reload}}) してからサービスを起動 ({{ic|systemctl start named-chroot.service}}) してください。
 == 参照 ==
 * [https://www.isc.org/downloads/bind/doc/ BIND 9 Administrator Reference Manual]
 * [http://www.reedmedia.net/books/bind-dns/ BIND 9 DNS Administration Reference Book]

Kgx: /* DNSSEC 署名ゾーンを処理するための BIND の設定 */ 同期

2024-10-19T23:21:21Z

DNSSEC 署名ゾーンを処理するための BIND の設定: 同期

← 古い版		2024年10月20日 (日) 08:21時点における版
138行目:		138行目:
	== DNSSEC 署名ゾーンを処理するための BIND の設定 ==		== DNSSEC 署名ゾーンを処理するための BIND の設定 ==

	DNSSEC 検証はデフォルトで有効になっています。"edns" が無効になっていないことを必ず確認してください。		[[DNSSEC]] 検証はデフォルトで有効になっています。"edns" が無効になっていないことを必ず確認してください。

	マスター DNS サーバ:		マスター DNS サーバ:
157行目:		157行目:
	};		};

	これで BIND が自動的にゾーンに署名します。(この例では、必要なすべてのファイルが /var/named/master/ にあることを前提としています)		これで BIND が自動的にゾーンに署名します。(この例では、必要なすべてのファイルが {{ic\|/var/named/master/}} にあることを前提としています)

	次に、レジスター Web サイトを使用して、DS レコード (dsset-example.comから。ファイル) を親ゾーン所有者に渡す必要があります。親ゾーンを KSK で接続します。		次に、レジスター Web サイトを使用して、DS レコード ({{ic\|dsset-example.com}} から。) ファイルを親ゾーン所有者に渡す必要があります。親ゾーンを KSK で接続します。

	KSK (および対応する DS レコード) は、手動による介入が必要なため、変更しないでください。ZSK は、署名チェックを高速化するために通常はこのキーが短いため、頻繁に変更できます。		KSK (および対応する DS レコード) は、手動による介入が必要なため、変更しないでください。ZSK は、署名チェックを高速化するために通常はこのキーが短いため、頻繁に変更できます。
170行目:		170行目:
	Bind は適切なタイミングで自動的に新しい ZSK キーを使用します。		Bind は適切なタイミングで自動的に新しい ZSK キーを使用します。

			OpenDNSSEC のような、完全に自動化された鍵のロールオーバーが可能な外部メカニズムもあります。
	=== こちらも参照 ===

	* [https://www.dnssec.net/practical-documents DNSSEC]
	* [https://www.cymru.com/Documents/secure-bind-template.html a BIND configuration template]
	* [https://www.bind9.net/manuals man bind]
	* [https://www.bind9.net/BIND-FAQ bind FAQ]

	OpenDNSSEC などの外部メカニズムがあり、完全自動キーロールオーバーを使用できます。

	== 新しいインターフェイスに自動で接続 ==		== 新しいインターフェイスに自動で接続 ==

Kusanaginoturugi: ドメインネームシステムに変更

2024-08-17T23:54:23Z

ドメインネームシステムに変更

← 古い版		2024年8月18日 (日) 08:54時点における版
12行目:		12行目:
	{{Related\|PowerDNS}}		{{Related\|PowerDNS}}
	{{Related articles end}}		{{Related articles end}}
	Berkeley Internet Name Domain (BIND) は ~~Domain Name System~~(DNS) プロトコルのリファレンス実装です。		Berkeley Internet Name Domain (BIND) はドメインネームシステム (DNS) プロトコルのリファレンス実装です。

	{{Note\|BIND を開発している団体は Linux ディストリビューションよりも最大で4日間早く顧客にセキュリティ情報を提供しています [https://kb.isc.org/article/AA-00861/0/ISC-Software-Defect-and-Security-Vulnerability-Disclosure-Policy.html]。}}		{{Note\|BIND を開発している団体は Linux ディストリビューションよりも最大で4日間早く顧客にセキュリティ情報を提供しています [https://kb.isc.org/article/AA-00861/0/ISC-Software-Defect-and-Security-Vulnerability-Disclosure-Policy.html]。}}

Kusanaginoturugi: Category:ドメインネームシステム

2024-08-15T04:35:53Z

Category:ドメインネームシステム

← 古い版		2024年8月15日 (木) 13:35時点における版
1行目:		1行目:
	[[Category:~~Domain Name System~~]]		[[Category:ドメインネームシステム]]
	[[de:BIND]]		[[de:BIND]]
	[[en:BIND]]		[[en:BIND]]

Kgx: /* TLS または HTTPS で DNS を提供する */ typo

2023-02-04T21:47:04Z

TLS または HTTPS で DNS を提供する: typo

← 古い版		2023年2月5日 (日) 06:47時点における版
50行目:		50行目:
	=== TLS または HTTPS で DNS を提供する ===		=== TLS または HTTPS で DNS を提供する ===

	BIND 9.18で DNS over TLS または HTTPS のサービスを有効にするには、証明書を指定して [https://downloads.isc.org/isc/bind9/9.18.0/doc/arm/html/reference.html#tls tls] ブロックを定義し、DNS over TLS および HTTPS リスナー (標準 DNS リスナーと同様) を有効にする[https://downloads.isc.org/isc/bind9/9.18.0/doc/arm/html/reference.html#interfaces listen-on] を追加してください。		BIND 9.18で DNS over TLS または HTTPS のサービスを有効にするには、証明書を指定して [https://downloads.isc.org/isc/bind9/9.18.0/doc/arm/html/reference.html#tls tls] ブロックを定義し、DNS over TLS および HTTPS リスナー (標準 DNS リスナーと同様) を有効にする [https://downloads.isc.org/isc/bind9/9.18.0/doc/arm/html/reference.html#interfaces listen-on] を追加してください。

	{{hc\|/etc/named.conf\|<nowiki>		{{hc\|/etc/named.conf\|<nowiki>

Kgx: /* 設定 */ TLS または HTTPS で DNS を提供するを翻訳して追加

2023-02-04T21:46:24Z

設定: TLS または HTTPS で DNS を提供するを翻訳して追加

← 古い版		2023年2月5日 (日) 06:46時点における版
47行目:		47行目:

	forwarders {8.8.8.8;8.8.4.4;};		forwarders {8.8.8.8;8.8.4.4;};

			=== TLS または HTTPS で DNS を提供する ===

			BIND 9.18で DNS over TLS または HTTPS のサービスを有効にするには、証明書を指定して [https://downloads.isc.org/isc/bind9/9.18.0/doc/arm/html/reference.html#tls tls] ブロックを定義し、DNS over TLS および HTTPS リスナー (標準 DNS リスナーと同様) を有効にする[https://downloads.isc.org/isc/bind9/9.18.0/doc/arm/html/reference.html#interfaces listen-on] を追加してください。

			{{hc\|/etc/named.conf\|<nowiki>
			tls mycert {
			cert-file "<path>.crt";
			key-file "<path>.key";
			};

			options {
			// Standard port 53 listeners need to be re-added explicitly
			listen-on { any; };
			listen-on-v6 { any; };

			// Add a DNS over TLS listener on standard port 853
			listen-on tls mycert { any; };
			listen-on-v6 tls mycert { any; };

			// Add a DNS over HTTPS listener on custom port
			listen-on port 9443 tls mycert http default { any; };
			listen-on-v6 port 9443 tls mycert http default { any; };

			// If needed, add a cleartext HTTP listener for a reverse proxy
			//listen-on port 8443 tls none http default { 127.0.0.1; };
			//listen-on-v6 port 8443 tls none http default { ::1; };
			};
			...</nowiki>}}

			{{ic\|tls{}<nowiki/>}} はトップレベルで定義されており、{{ic\|options{}<nowiki/>}} ブロック内では定義されていないことに注意してください。

	== デーモンを実行するための設定テンプレート ==		== デーモンを実行するための設定テンプレート ==

Kgx: /* デーモンを実行するための設定テンプレート */ 項目を英語版と同期して削除

2021-07-13T19:03:16Z

デーモンを実行するための設定テンプレート: 項目を英語版と同期して削除

← 古い版		2021年7月14日 (水) 04:03時点における版
92行目:		92行目:

	完了したらデーモンを再起動してください。		完了したらデーモンを再起動してください。

	=== 3. デフォルトの DNS サーバーに設定 ===

	DNS サーバーを動かしている場合、全ての DNS ルックアップでそのサーバーを使ってみたいと思うかもしれません。これには ''recursive'' なルックアップをできるようにする必要があります。[https://www.us-cert.gov/ncas/alerts/TA13-088A DNS 増幅攻撃] をふせぐため、ほとんどのリゾルバでは recursion はデフォルトでオフになっています。デフォルトの Arch の {{ic\|/etc/named.conf}} ファイルではループバックデバイスでだけ recursion を許可しています:

	allow-recursion { 127.0.0.1; };

	そのため、ホストから一般的な DNS ルックアップを使えるようにするには、{{ic\|/etc/resolv.conf}} ファイルに次の行を記述する必要があります:

	nameserver 127.0.0.1

	{{ic\|/etc/resolv.conf}} は生成されるファイルなので、{{ic\|/etc/resolvconf.conf}} を編集して次の行をアンコメントしてください:
	# name_servers=127.0.0.1
	{{ic\|/etc/resolvconf.conf}} は再起動時に適当に設定されます。

	ローカルネットワーク 192.168.0 などにネームサービスを提供したい場合、IP アドレスの適当な範囲を {{ic\|/etc/named.conf}} に追加してください:

	allow-recursion { 192.168.0.0/24; 127.0.0.1; };

	== 再帰を許可 ==		== 再帰を許可 ==

Kgx: /* BIND を DNSSEC に対応させる */ 項目を英語版と同期して情報を更新

2021-07-13T19:00:42Z

BIND を DNSSEC に対応させる: 項目を英語版と同期して情報を更新

← 古い版		2021年7月14日 (水) 04:00時点における版
123行目:		123行目:
	allow-recursion { 192.168.0.0/24; 127.0.0.1; };		allow-recursion { 192.168.0.0/24; 127.0.0.1; };

			== DNSSEC 署名ゾーンを処理するための BIND の設定 ==
	== BIND を DNSSEC に対応させる==

⚫	* ~~http~~://www.dnssec.net/practical-documents
			DNSSEC 検証はデフォルトで有効になっています。"edns" が無効になっていないことを必ず確認してください。
⚫	** ~~http~~://www.cymru.com/Documents/secure-bind-template.html ~~(設定テンプレート)~~

⚫	** ~~http~~://www.bind9.net/manuals
			マスター DNS サーバ:
⚫	** ~~http~~://www.bind9.net/BIND-FAQ
			* KSK キーと ZSK キーを生成する
	* もしくは OpenDNSSEC (自動キーロールオーバー) などを使ってください。

			$ dnssec-keygen -a NSEC3RSASHA1 -b 2048 -n ZONE example.com
			$ dnssec-keygen -f KSK -a NSEC3RSASHA1 -b 4096 -n ZONE example.com

			* ゾーン構成を変更します。

			zone "example.com" {
			type master;
			allow-transfer { ... };
			auto-dnssec maintain;
			inline-signing yes;
			key-directory "master/";
			file "master/example.com.zone";
			};

			これで BIND が自動的にゾーンに署名します。(この例では、必要なすべてのファイルが /var/named/master/ にあることを前提としています)

			次に、レジスター Web サイトを使用して、DS レコード (dsset-example.comから。ファイル) を親ゾーン所有者に渡す必要があります。親ゾーンを KSK で接続します。

			KSK (および対応する DS レコード) は、手動による介入が必要なため、変更しないでください。ZSK は、署名チェックを高速化するために通常はこのキーが短いため、頻繁に変更できます。

			以下を使用して、古い ZSK キーの有効期限をスケジュールし、新しい有効期限を生成できます。

			$ dnssec-settime -I +172800 -D +345600 Kexample.com.+000+111111.key
			$ dnssec-keygen -S Kexample.com.+000+111111.key -i 152800

			Bind は適切なタイミングで自動的に新しい ZSK キーを使用します。

			=== こちらも参照 ===

		⚫	* [https://www.dnssec.net/practical-documents DNSSEC]
		⚫	* [https://www.cymru.com/Documents/secure-bind-template.html a BIND configuration template]
		⚫	* [https://www.bind9.net/manuals man bind]
		⚫	* [https://www.bind9.net/BIND-FAQ bind FAQ]

			OpenDNSSEC などの外部メカニズムがあり、完全自動キーロールオーバーを使用できます。

	== 新しいインターフェイスに自動で接続 ==		== 新しいインターフェイスに自動で接続 ==

Kgx: chroot 環境で実行するの項目を英語版と同期して移動

2021-07-13T18:48:33Z

chroot 環境で実行するの項目を英語版と同期して移動

@@ 122行目: / 122行目: @@
  allow-recursion { 192.168.0.0/24; 127.0.0.1; };
 == chroot 環境で実行する ==
@@ 154行目: / 169行目: @@
 そして systemd をリロード ({{ic|systemctl daemon-reload}}) してからサービスを起動 ({{ic|systemctl start named-chroot.service}}) してください。
 == 参照 ==