Bind-Chroot-Howto(Debian)
Versione 1.3
Autore:Falko Timme
Questo documento descrive come installare il server DNS Bind su Debian in modo che esaurisca un chrootjail per motivi di sicurezza.
Questo howto vuole essere una guida pratica; non copre le basi teoriche. Vengono trattati in molti altri documenti sul Web.
Questo documento viene fornito senza garanzie di alcun tipo!
Installa Bind AndCroot It
apt-getinstall bind9
Per motivi di sicurezza, vogliamo eseguire BIND in chroot, quindi dobbiamo eseguire i seguenti passaggi:
/etc/init.d/bind9 stop
Su Debian Sarge (3.1):
Modifica il file /etc/default/bind9 in modo che il demone venga eseguito come utente non privilegiato 'bind ', in chroot su /var/lib/named . Modifica la riga:OPTS=" -u bind " in modo che si legga OPTS="-u bind -t /var/lib/named" :
OPTIONS="-u bind -t /var/lib/named" |
Su Debian Woody (3.0):
Modifica lo script di avvio /etc/init.d/bind9 in modo che il demone venga eseguito come utente non privilegiato 'nessuno ', chrooted su /var/lib/named .Modifica la riga:OPTS="" in modo che si legga OPTS="-u Nobody-t /var/lib/named" :
#!/bin/sh PATH=/sbin:/bin:/usr/sbin:/usr/bin # for a chrooted server: "-u nobody -t /var/lib/named" OPTS="-u nobody -t /var/lib/named" test -x /usr/sbin/named || exit 0 case "$1" in start) echo -n "Starting domain name service: named" start-stop-daemon --start --quiet \ --pidfile /var/run/named.pid --exec /usr/sbin/named -- $OPTS echo "." ;; stop) echo -n "Stopping domain name service: named" /usr/sbin/rndc stop echo "." ;; reload) /usr/sbin/rndc reload ;; restart|force-reload) $0 stop sleep 2 $0 start ;; *) echo "Usage: /etc/init.d/bind {start|stop|reload|restart|force-reload}" >&2 exit 1 ;; esac exit 0 |
Crea le directory necessarie sotto /var/lib :
mkdir -p /var/lib/named/etc
mkdir /var/lib/named/dev
mkdir -p /var/lib/named/var/cache/bind
mkdir -p /var/lib/named/var/run/bind/run
Quindi sposta la directory di configurazione da /etc a /var/lib/named/etc :
mv /etc/bind /var/lib/named/etc
Crea un collegamento simbolico alla nuova directory di configurazione dalla vecchia posizione (per evitare problemi quando bind viene aggiornato in futuro):
ln -s /var/lib/named/etc/bind/etc/bind
Crea dispositivi nulli e casuali e correggi i permessi delle directory:
mknod /var/lib/named/dev/nullc 1 3
mknod /var/lib/named/dev /random c 1 8
chmod 666 /var/lib/named/dev/null /var/lib/named/dev/random
Su Debian Sarge (3.1):
chown -R bind:bind /var/lib/named/var/*
chown -R bind:bind /var/lib/named/etc/bind
Su Debian Woody (3.0):
chown -R nessuno:nogroup /var/lib/named/var/*
chown -R nessuno:nogroup /var/lib/named/etc/bind
Dobbiamo modificare lo script di avvio /etc/init.d/ log di sistema di sysklogd in modo che possiamo ancora ottenere messaggi importanti registrati nei registri di sistema. Modifica la riga: SYSLOGD="" in modo che si legga:SYSLOGD="-a/var/lib/named/dev/log" :
#! /bin/sh # /etc/init.d/sysklogd: start the system log daemon. PATH=/bin:/usr/bin:/sbin:/usr/sbin pidfile=/var/run/syslogd.pid binpath=/sbin/syslogd test -x $binpath || exit 0 # Options for start/restart the daemons # For remote UDP logging use SYSLOGD="-r" # SYSLOGD="-a /var/lib/named/dev/log" create_xconsole() { if [ ! -e /dev/xconsole ]; then mknod -m 640 /dev/xconsole p else chmod 0640 /dev/xconsole fi chown root.adm /dev/xconsole } running() { # No pidfile, probably no daemon present # if [ ! -f $pidfile ] then return 1 fi pid=`cat $pidfile` # No pid, probably no daemon present # if [ -z "$pid" ] then return 1 fi cmd=`cat /proc/$pid/cmdline | tr "\000" "\n"|head -1` # No syslogd? # if [ "$cmd" != "$binpath" ] then return 1 fi return 0 } case "$1" in start) echo -n "Starting system log daemon: syslogd" create_xconsole start-stop-daemon --start --quiet --exec $binpath -- $SYSLOGD echo "." ;; stop) echo -n "Stopping system log daemon: syslogd" start-stop-daemon --stop --quiet --exec $binpath --pidfile $pidfile echo "." ;; reload|force-reload) start-stop-daemon --stop --quiet --signal 1 --exec $binpath --pidfile $pidfile ;; restart) echo -n "Stopping system log daemon: syslogd" start-stop-daemon --stop --quiet --exec $binpath --pidfile $pidfile echo "." sleep 1 echo -n "Starting system log daemon: syslogd" start-stop-daemon --start --quiet --exec $binpath -- $SYSLOGD echo "." ;; reload-or-restart) if running then start-stop-daemon --stop --quiet --signal 1 --exec $binpath --pidfile $pidfile else start-stop-daemon --start --quiet --exec $binpath -- $SYSLOGD fi ;; *) echo "Usage: /etc/init.d/sysklogd {start|stop|reload|restart|force-reload|reload-or-restart}" exit 1 esac exit 0 |
Riavvia il loggingdaemon:
/etc/init.d/sysklogd restart
Avvia BIND e controlla /var/log/syslog per eventuali errori:
/etc/init.d/bind9 start
Buona fortuna!