Come detto, dunque, utilizzeremo BIND9 in chroot. Ciò vuol dire che tale software verrà avviato all'interno di un'apposita directory e sarà confinato lì, avendo accesso alle sole risorse di cui ha bisogno per il suo funzionamento, e non potendo dunque accedere a file che non gli appartengono. In questo modo si riesce a garantire una maggiore sicurezza in caso di attacchi, che nel caso colpissero proprio BIND9 non risulterebbero dannosi come nel caso in cui l'applicazione sia avviata normalmente.
Per avviare BIND9 in chroot, è necessario come prima operazione creare la struttura delle directory che andrà a formare il nostro ambiente di chroot:
$ sudo mkdir -p /chroot/named $ cd /chroot/named $ sudo mkdir -p dev etc/namedb/slave var/run
Configuriamo, quindi, i permessi di accesso a tale ambiente:
$ sudo chown root:root /chroot $ sudo chmod 700 /chroot $ sudo chown bind:bind /chroot/named $ sudo chmod 700 /chroot/named
Creiamo il file di configurazione di BIND9 nella nuova directory
$ sudo mkdir /chroot/named/etc $ sudo touch /chroot/named/etc/named.conf
e diamo all'utente bind l'accesso alle directory slave e run
$ sudo chown bind:bind /chroot/named/etc/namedb/slave $ sudo chown bind:bind /chroot/named/etc/var/run
Creiamo, infine, i dispositivi di cui BIND9 ha bisogno:
$ sudo mknod /chroot/named/dev/null c 1 3 $ sudo mknod /chroot/named/dev/random c 1 8
Adesso andiamo a modificare il file /etc/default/bind9 con nano
$ sudo nano /etc/default/bind9
sostituendo la riga
OPTIONS="-u bind"con
OPTIONS="-u bind -t /var/named -t /chroot/named -c /etc/named.conf"e, infine, andiamo ad aggiungere al file /chroot/named/etc/named.conf le seguenti righe
options {
directory "/etc/namedb";
pid-file "/var/run/named.pid";
statistics-file "/var/run/named.stats";
};Avviando adesso BIND9 con
$ sudo /etc/init.d/bind9 start
questo verrà avviato in ambiente chroot.
Passiamo adesso alla realizzazione di un DNS Caching Server e di un Primary Master Server. Per la prima operazione, è sufficiente aggiungere alla fine del file named.conf le seguenti righe:
forwarders {
208.67.220.220;
208.67.222.222
}Le sequenze di numeri 208.67.220.220 208.67.222.222 sono gli IP dei DNS Server di OpenDNS: è possibile modificarli a piacere, scegliendo il proprio servizio di DNS preferito.
Per impostare BIND9 come Primary Master Server, invece le operazioni da eseguire sono le seguenti: copiamo il file named.conf.local nell'ambiente chroot
$ sudo cp /etc/bind/named.conf.local /chroot/named/etc/bind/named.conf.local
aggiungiamo le righe
zone "dominio.com" {
type master;
file "/etc/bind/db.dominio.com";
};dove dominio.com è il nome a dominio che vogliamo gestire. Adesso, utilizziamo un template già fatto come base per creare il file di zona:
$ sudo cp /etc/bind/db.local /chroot/named/bind/db.dominio.com
e andiamo a modificarlo secondo i parametri più consoni alle nostre necessità. Tramite questo file è possibile creare record A, MX, CNAME e così via: se non si è molto pratici di gestione di DNS, è consigliata prima una lettura alla pagina di Wikipedia sul Domain Name System, così da avere un quadro della situazione più chiaro.
Infine, dobbiamo creare un file per il reverse della zona. All'interno del file named.conf.local aggiungiamo le righe
zone "192.168.1.in-addr.arpa" {
type master;
notify no;
file "/etc/bind/db.192";
};dove 192.168.1 sono le prime tre terne di numeri della rete locale, personalizzabili a seconda delle impostazioni di rete che si hanno. Adesso, creiamo un file db.192
$ sudo nano /chroot/named/etc/bind/db.192
e aggiungiamo le stesse opzioni che abbiamo inserito nel file db.esempio.com. Per ogni record A creato in tale file, va creato un record PTR nel file db.192. Ricordiamo, infine, che ad ogni modifica della zona va incrementato di 1 la riga relativa al seriale.
