名称
named.conf named(8) — 用の設定ファイル概要
BIND 8 は、以前のリリースと比べて遥かに設定可能なものになっています。 完全に新しい設定項目があります。例えばアクセス制御リストやカテゴリ別の ログなどです。以前はゾーンすべてに対して適用されていたオプションの多くが、 選択的に使えるようになっています。 こうした機能に加え、 将来必要とされる設定がどのようなものになるかをよく考えた結果、 新たに設定ファイルのフォーマットを作ることにしました。一般的な文法
BIND 8 の設定には、一般的な特徴が 2 つあります。 それは、ステートメントとコメントです。 ステートメントはすべてセミコロンで終わります。ステートメントの多くは サブステートメントを持っており、サブステートメントもセミコロンで終わります。- logging
- サーバが何をログに残すか、そしてどこにログメッセージを送るのかを指定します。
- options
- グローバルなサーバ設定オプションを制御し、 その他のステートメントに対するデフォルトを設定します。
- zone
- ゾーンを定義します。
- acl
- 名前つきの IP アドレスマッチングリストを定義します。これは、アクセス制御や その他の用途に使われます。
- key
- 認証と許可に使われる鍵情報を指定します。
- trusted-keys
- DNSSEC 鍵を定義します。これは、事前にサーバに設定されており、暗黙のうちに 信頼します。
- server
- 個々のリモートサーバ用の設定オプションを設定します。
- controls
- ndc ユーティリティが使用する制御チャネルを宣言します。
- include
- 他のファイルをインクルードします。
/*
(スラッシュと星印)
そして、 */
(星印とスラッシュ)
で終わります。
この形式のコメントは、これらの文字で完全に区切られるものであるので、
行の一部分のみでも複数行にまたがっても使用することができます。
*/
で終わってしまうからです。
/* この行はコメントの最初です。 この行もコメントの一部です。 /* この行は、間違えてコメントを入れ子にしようとしています。 */ この行は、もうコメント内部ではありません。 */
//
(スラッシュとスラッシュ)
そして、その行の終わりまでがコメントとして
続きます。この種類のコメントは、複数行にわたって続きません。意味としては
1
つだが複数行にまたがるようなコメントを書きたい場合は、各行に
//
を書かなくてはなりません。例えば、次のようにです
:
// この行は、コメントの始まりです。次の行は、 // 新しいコメントになります。たとえ、意味としては // 前の行のコメントの一部分であってもです。
#
(ハッシュとかポンドとか番号とかナンバ記号とかどう呼んでも良い)
そして、 C++
スタイルのコメントと同様に、その行の最後までコメントが続きます。
例えば、次のようにです
:
# この行は、コメントの始まりです。次の行は、 # 新しいコメントになります。たとえ、意味としては # 前の行のコメントの一部分であってもです。
BIND 4.9.x から変更する
BIND 4.9.x の設定ファイルは、 src/bin/named/named-bootconf という名前の、BIND 8.2.x のソースキットに同梱されている シェルスクリプトを使用することで新しいフォーマットに変換する ことができます。記述方法の定義
次から述べていることは、BIND 設定ファイルを記述する間使用される要素 についてです。1 つのステートメントとしか結びつかない要素は、その ステートメントについて述べているセクションにだけ記述があります。- acl_name
- acl ステートメントで定義される address_match_list の名称です。
- address_match_list
- ip_addr, ip_prefix, key_id, acl_name 要素が 1 つまたはそれ以上集まったリストです。これについては、 アドレスマッチリスト の項で述べます。
- dotted-decimal
- ドット (``.'')
だけで区切られた、 1
つまたはそれ以上の数の
0 から 255
までの整数です。
例えば、
123,45.67,89.123.45.67などです。 - domain_name
- DNS
名として使用される文字列をクォーテーションで囲んだものです。
例えば、
“
my.test.domain” のようにです。 - path_name
- パス名として使用される文字列をクォーテーションで囲んだものです。
例えば、
“
zones/master/my.test.domain” のようにです。 - ip_addr
- dotted-decimal 表記でちょうど 4 つの要素からなる IP アドレスです。
- ip_port
- IP ポートを表す
number です。
number は、
0から65535までの値に限定されており、そのうち 1024 以下の値は、 典型的には、所有者が root のプロセスのみに制限されています。 場合によっては、適当に大きな番号を選択するように、穴埋めとしてアスタリスク文字 (``*'') を使うことができます。 - ip_prefix
-
dotted-decimal
表記で指定された IP
ネットワークです。その後に、``/''
が続き、
そしてネットマスクのビット数が続きます。
例えば、
127/8は、 ネットワーク127.0.0.0で、ネットマスクは255.0.0.0です。1.2.3.0/28はネットワーク1.2.3.0で、ネットマスクは255.255.255.240です。 - key_name
- 共有鍵の名前を表した文字列です。 これはトランザクションセキュリティに使用します。
- number
- C 言語での符号つき整数 (32 ビット整数のマシンでは 2,147,483,647) の範囲全体をとる、非負整数です。 取り得る値の範囲は、 使用されるコンテキストによってさらに制限されるかもしれません。
- size_spec
-
number
または単語
unlimitedか単語defaultです。 size_spec の最大値は、マシンの符号なし long 型整数の最大値になります。unlimitedは、値を無制限に使用できるよう要求したり、 取り得る最大の値を要求したりするために使用します。defaultは、サーバが始動したときに有効だった制限が使われます。 number には、次のようなスケールファクタを続けることもできます :Kまたはkはキロバイトを、Mまたはmはメガバイトを、そしてGまたはgはギガバイトを表します。 これらはそれぞれ、 1024, 1024*1024, 1024*1024*1024 倍であることを表します。 スケールファクタの変換時に、整数値の格納場所でオーバフローが発生しても、 現状では黙って無視します。 その結果、期待した結果よりも小さな値、おそらくは負の値にさえなってしまいます。 本当に大きな値を安全に設定したいならunlimitedを使うのが最良の方法です。 - yes_or_no
-
yesまたはnoです。あるいはtrueとfalseという単語でも受け付けます。1と0という番号でも同様です。
アドレスマッチリスト
文法
address_match_list = 1*address_match_element
address_match_element = [ "!" ] ( address_match_list /
ip_address / ip_prefix /
acl_name / "key " key_id ) ";"
定義と使用法
アドレスマッチリストは、 主にいくつかのサーバの操作でのアクセス制御を決定するために使われます。 また、アドレスマッチリストは、他のネームサーバに問い合わせる際の優先順位や、 named が問い合わせを待つアドレスを決定するためにも使われます。 アドレスマッチリストを構成する要素は、次のうちのどれでもありえます :- ip-address ( dotted-decimal 表記
- ip-prefix ('/' での表記)
- key ステートメントで定義された key_id
- 先に acl ステートメントで定義されたアドレスマッチリスト名
- 別の address_match_list
any, none,
localhost, localnets
が前もって定義されています。リスト名に関してのさらなる情報は、
acl
ステートメントの説明のところにあります。
1.2.3/24; !1.2.3.13!1.2.3.13; 1.2.3/24logging ステートメント
文法
logging {
[ channel channel_name {
( file path_name
[ versions ( number | unlimited ) ]
[ size size_spec ]
| syslog ( kern | user | mail | daemon | auth | syslog | lpr |
news | uucp | cron | authpriv | ftp |
local0 | local1 | local2 | local3 |
local4 | local5 | local6 | local7 )
| null );
[ severity ( critical | error | warning | notice |
info | debug [ level ] | dynamic ); ]
[ print-category yes_or_no; ]
[ print-severity yes_or_no; ]
[ print-time yes_or_no; ]
}; ]
[ category category_name {
channel_name; [ channel_name; ... ]
}; ]
...
};
定義と使用法
logging ステートメントは、ネームサーバに対する様々な種類のログ用オプションを 設定します。 その中の channel フレーズでは、出力方法とフォーマットオプションと重大度を 名前と結びつけます。 この名前は後で category フレーズで使用し、様々なメッセージクラスをどのようにログに落すかを選択します。
logging {
category default { default_syslog; default_debug; };
category panic { default_syslog; default_stderr; };
category packet { default_debug; };
category eventlib { default_debug; };
};
チャネルフレーズ
ログの出力はすべて、1 つまたはそれ以上の「チャネル」へと渡ります。 チャネルは好きなだけ作ることができます。info
です)。また、
named
が生成するタイムスタンプと、
カテゴリ名と、重大度を含めるかどうかを制限することもできます。
デフォルトでは、この
3
つのいずれも含めないようになっています。
null
という単語を使用すると、そのチャネルに送られるメッセージはすべて
捨てられるようになります。チャネルに対するその他のオプションは意味が
ありません。
unlimited
キーワードは、現在の
BIND のリリースでは
99
と同義です。size および
versions
オプションの使用例は次の通りです
:
channel an_example_level {
file "lamers.log" versions 3 size 20m;
print-time yes;
print-category yes;
};
daemon および
debug
に定義しているが、
syslog.conf では
daemon.warning
しかログに落とさないようにしている場合、
info および
notice
の重大度を持ったメッセージは捨てられてしまいます。
状況が逆になり、
named が warning
かそれ以上の重大度を持ったメッセージしか書きださないように
なっている場合、
syslogd
は、そのチャネルから受け取ったメッセージをすべて書き出すことでしょう。
SIGUSR1
シグナルを送る
(例えば、 ndc trace
を使って)
ことによって設定します。
全体でのデバッグレベルは
0
にも設定でき、このときは、デバッグモードは
無効になります。この状態には、サーバに
SIGUSR2
シグナルを送る (
ndc notrace を使って)
ことによってもできます。
サーバでのデバッグメッセージにはすべてデバッグレベルがあります。
そして、デバッグレベルが高いほどより詳細な出力になっています。
例えば、特定のデバッグ重大度を次のように指定したチャネル
では、サーバがデバッグモードであればいつでも、レベル
3 または
それ以下のレベルのデバッグ出力が得られます。
channel specific_debug_level {
file "foo";
severity debug 3;
};
dynamic
重大度を指定したチャネルでは、どのメッセージを出力するかを
決めるためにサーバ全体のデバッグレベルを使用します。
28-Apr-1997 15:05:32.863 default: notice: Ready to answer queries.
channel default_syslog {
syslog daemon; # syslog の daemon ファシリティに送る
severity info; # 優先度が info およびそれ以上のものだけ送る
};
channel default_debug {
file "named.run"; # 作業ディレクトリ内の named.run ファイルに
# 書き込む
# 注 : サーバが -f オプションつきで開始されている
# 場合は、"named.run" の代わりに標準エラー
# 出力が使われます。
severity dynamic; # サーバの現在のデバッグレベルをログに落とす
};
channel default_stderr { # 標準エラー出力に書き出す
file "<stderr>"; # ここでは、見えるように書いただけです。現在、
# 内部のファイルディスクリプタを設定ファイルの
# 文中に記述する方法はありません。
severity info; # 優先度が info およびそれ以上のものだけ送る
};
channel null {
null; # このチャネルに送られたメッセージはみなはじく
};
category フレーズ
カテゴリはたくさんあります。そのため、見たいと思うログをどこへでも送る ことができ、見たくないログは見ないですますことができます。カテゴリに対して チャネルのリストを指定しなかった場合は、代わりにdefault
カテゴリにログが送られます。
default
カテゴリを指定しなかった場合、次のような「デフォルトの
default
カテゴリ」が使われます
:
category default { default_syslog; default_debug; };
channel my_security_channel {
file "my_security_file";
severity info;
};
category security { my_security_channel;
default_syslog; default_debug; };
null
チャネルを指定してください
:
category lame-servers { null; };
category cname { null; };
- default
- すべて捕まえます。多くのメッセージがまだカテゴリ分けされておらず、
すべてここで捕まります。さらに、カテゴリに対して何のチャネルも
指定しなかった場合、代わりに
default
カテゴリが使われます。default
カテゴリを指定しなかった場合、次のような定義が使われます
:
category default { default_syslog; default_debug; }; - config
- ハイレベルの設定ファイル処理です。
- parser
- ローレベルの設定ファイル処理です。
- queries
- サーバが受け取った問い合わせそれぞれに対して、短いログメッセージを生成します。
- lame-servers
- ``Lame server on ...'' というようなメッセージです。
- statistics
- 統計です。
- panic
- サーバ内部の問題でサーバ自体がシャットダウンしなくてはならなくなると、
問題の起きた元のカテゴリとこのカテゴリの両方に、
問題をログとして書きこみます。
panic
カテゴリを定義していない場合には、次のような定義が使われます
:
category panic { default_syslog; default_stderr; }; - update
- 動的な更新です。
- ncache
- ネガティブキャッシングです。
- xfer-in
- サーバが受け取っているゾーン転送です。
- xfer-out
- サーバが送っているゾーン転送です。
- db
- すべてのデータベースの操作です。
- eventlib
- イベントシステムからのデバッグ情報です。このカテゴリには、ただ
1 つの
チャネルが指定でき、そのチャネルはファイルチャネルでなくてはなりません。
eventlib
カテゴリを指定しない場合は、次のような定義が使われます
:
category eventlib { default_debug; }; - packet
- 受け取ったパケットおよび送ったパケットのダンプです。このカテゴリには、
ただ 1
つのチャネルが指定でき、そのチャネルはファイルチャネルでなくては
なりません。packet
カテゴリを指定しない場合は、次のような定義が使われます
:
category packet { default_debug; }; - notify
- NOTIFY プロトコルです。
- cname
- ``... points to a CNAME'' のようなメッセージです。
- security
- 許可された / 許可されなかったリクエストです。
- os
- オペレーティングシステムの問題です。
- insist
- 内部の整合性チェックの失敗です。
- maintenance
- 定期的に行われるメンテナンスのイベントです。
- load
- ゾーンへのロードメッセージです。
- response-checks
- 応答のチェックから発生するメッセージです。例えば、 ``Malformed response ...'', ``wrong ans. name ...'', ``unrelated additional info ...'', ``invalid RR type ...'', ``bad referral ...'' といったものです。
options ステートメント
文法
options {
[ version version_string; ]
[ directory path_name; ]
[ named-xfer path_name; ]
[ dump-file path_name; ]
[ memstatistics-file path_name; ]
[ pid-file path_name; ]
[ statistics-file path_name; ]
[ auth-nxdomain yes_or_no; ]
[ deallocate-on-exit yes_or_no; ]
[ dialup yes_or_no; ]
[ fake-iquery yes_or_no; ]
[ fetch-glue yes_or_no; ]
[ has-old-clients yes_or_no; ]
[ host-statistics yes_or_no; ]
[ host-statistics-max number; ]
[ multiple-cnames yes_or_no; ]
[ notify yes_or_no; ]
[ recursion yes_or_no; ]
[ rfc2308-type1 yes_or_no; ]
[ use-id-pool yes_or_no; ]
[ treat-cr-as-space yes_or_no; ]
[ also-notify yes_or_no; ]
[ forward ( only | first ); ]
[ forwarders { [ in_addr ; [ in_addr ; ... ] ] }; ]
[ check-names ( master | slave | response ) ( warn | fail | ignore); ]
[ allow-query { address_match_list }; ]
[ allow-recursion { address_match_list }; ]
[ allow-transfer { address_match_list }; ]
[ blackhole { address_match_list }; ]
[ listen-on [ port ip_port ] { address_match_list }; ]
[ query-source [ address ( ip_addr | * ) ]
[ port ( ip_port | * ) ] ; ]
[ lame-ttl number; ]
[ max-transfer-time-in number; ]
[ max-ncache-ttl number; ]
[ min-roots number; ]
[ serial-queries number; ]
[ transfer-format ( one-answer | many-answers ); ]
[ transfers-in number; ]
[ transfers-out number; ]
[ transfers-per-ns number; ]
[ transfer-source ip_addr; ]
[ maintain-ixfr-base yes_or_no; ]
[ max-ixfr-log-size number; ]
[ coresize size_spec ; ]
[ datasize size_spec ; ]
[ files size_spec ; ]
[ stacksize size_spec ; ]
[ cleaning-interval number; ]
[ heartbeat-interval number; ]
[ interface-interval number; ]
[ statistics-interval number; ]
[ topology { address_match_list }; ]
[ sortlist { address_match_list|fR }; ]
[ rrset-order { order_spec ; [ order_spec ; ... [ [ };
};
定義および使用法
options ステートメントは BIND で使われるグローバルオプションを 設定します。このステートメントは、設定ファイル中で 1 度だけ出現できます。 もし複数のステートメントが出現した場合は、最初に出現したステートメントが 実際に使用されるオプションを決定し、警告が行われます。options ステートメントが 存在しない場合は、各オプションがデフォルトに設定された options ブロックが 使われます。パス名
- version
- ndc コマンドの問い合わせや chaos クラスの version.bind 名の問い合わせを通してサーバがレポートするべきバージョンです。 デフォルトではサーバの本当のバージョン番号になっていますが、 サーバのオペレータの中にはこの文字列の方が好みという人もいます ( もちろん冗談に決まっていますが )。
- directory
- サーバの作業ディレクトリです。設定ファイル中の絶対パスでない パス名は、どんなものでもこのディレクトリからの相対パスと受け取られます。 大部分のサーバの出力ファイル (例えば、 named.run) のデフォルトの置き場所は、このディレクトリです。もし、ディレクトリの指定が なければ、作業ディレクトリはデフォルトで ~. になります。このディレクトリは、サーバが起動したディレクトリです。 指定されたディレクトリは絶対パスでなくてはいけません。
- named-xfer
- 内部へのゾーン転送用にサーバが使用する named-xfer プログラムへのパス名です。 指定されていない場合のデフォルトは、システム依存です (例えば、 /usr/sbin/named-xfer です)。
- dump-file
-
SIGINTシグナルをサーバが受け取ったとき ( ndc dumpdb が送った場合のように) に、 データベースのダンプを落とすファイルへのパス名です。 指定されていない場合のデフォルトは、 named_dump.db です。 - memstatistics-file
-
deallocate-on-exit
が
yesになっている場合に、 サーバが終了時にメモリ使用統計を書き出すファイルへのパス名です。 指定されていない場合のデフォルトは、 named.memstats です。 - pid-file
- サーバが自分のプロセス ID を書き出すファイルへのパス名です。 指定されていない場合のデフォルトは、オペレーティングシステムに 依存しますが、通常は、 /var/run/named.pid あるいは /etc/named.pid です。 pid-file は、 ndc のような、動作しているネームサーバにシグナルを送りたい プログラムが使用します。
- statistics-file
- サーバが
SIGILLシグナルを ( ndc stats から) 受け取った場合に、統計を追加書き込みするファイルへのパス名です。 指定されていない場合のデフォルトは、 named.stats です。
ブール値のオプション
- auth-nxdomain
- これが
yesの場合、AAビットは、常にNXDOMAINの応答にセットされます。たとえサーバが実際には信頼できるものでは なくてもです。 デフォルトでは、yesになっています。 古くからあるソフトウェアが嫌うので、 自分のしていることに確信が持てないでいるのであれば、 auth-nxdomain をオフにしてはいけません。 - deallocate-on-exit
- これが
yesの場合には、サーバは、終了時に自分が確保したオブジェクトを 徹底して開放して、 memstatistics-file にメモリ使用レポートを書き出します。 デフォルトでは、noになっています。なぜなら、オペレーティングシステムにクリーンアップを やらせたほうが高速だからです。 deallocate-on-exit は、メモリリークを検出するために便利です。 - dialup
- これが
yesの場合には、サーバは、すべてのゾーンを、 要求時ダイヤルによるダイヤルアップリンクを通して ゾーン転送を行っているかのように扱います。 このダイヤルアップリンクは、このサーバから通信が始まった場合に 立ち上げられるものです。 これは、ゾーンの種類によって異なる効果をもたらし、ゾーンの保守に 専念できるようになります。これによって、 heartbeat-interval ごとに 1 度、願わくは、1 回の呼び出しの間という短い間隔で ゾーンの保守を行えるようになります。 このオプションはまた、通常のゾーン保守にかかるトラフィックを いくらか抑えることもできます。 デフォルトは、noです。 dialup オプションは、 zone ステートメント中でも指定することができます。この場合は、 options dialup ステートメントは上書きされます。 ゾーンが master である場合、 サーバは、すべてのスレーブに対してNOTIFYリクエストを送信するようになります。 これによって、スレーブをチェックし、呼び出しが生きている間に スレーブがゾーンを検証できるようにすることで、 ゾーンを最新のものにする契機ができます (サーバがNOTIFYをサポートする場合です)。 ゾーンが slave もしくは stub である場合、 サーバは、通常のゾーンのアップデート問い合わせを抑制し、 heartbeat-interval が時間切れになったときだけ問い合わせるようにします。 - fake-iquery
- これが
yesの場合、 サーバは、IQUERYという、もう古くなって使われていない DNS 問い合わせをシミュレーション します。 デフォルトはnoです。 - fetch-glue
- これが
yesの場合 (デフォルトではそうです)、サーバは、追加の応答用データセクションを 作る際には持っていない「糊」となるリソースレコードを取得します。 サーバのキャッシュが大きくなったり、破壊されたりしないようにするため (こうなると、クライアントからもっと多くの仕事を要求されるという 代償を払うことになります)、 fetch-glue no は、 recursion no と一緒に使用できます。 - has-old-clients
- このオプションを
yesに設定することと、次の 3 つのオプションを設定することとは等価です : auth-nxdomain yes ;, maintain-ixfr-base yes ;, rfc2308-type1 no; has-old-clients を auth-nxdomain, maintain-ixfr-base, rfc2308-type1 と一緒に使用することで起こることは、指定の順番によります。 - host-statistics
- これが
yesである場合、 ネームサーバと相互に作用する各ホストに対して統計が保持されます。 デフォルトではnoです。 注: host-statistics をオンにすると、膨大な量のメモリを消費する可能性があります。 - IC host-statistics-max
- 保持する最大のホストレコード数です。 この限界に達っすると、ホストの統計情報に新規ホストは追加されません。 0 に設定すると、限界はありません。 デフォルト値は 0 です。
- maintain-ixfr-base
- これが
yesの場合、すべての動的に更新されるゾーンに対して、 単一の IXFR データベースファイルが保持されます。 これを有効にすると、 ゾーン転送を非常に高速化可能な IXFR 問い合わせに、サーバは答えます。 デフォルトはnoです。 - multiple-cnames
- これが
yesである場合、 1 つのドメイン名について複数の CNAME リソースレコードか許可されます。 デフォルトはnoです。複数の CNAME レコードを許可するということは、標準からは 外れており、推奨されることではありません。 以前のバージョンの BIND が複数の CNAME レコードを持つことを許しており、 このレコードがいくつかのサイトでは負荷のバランスを取るために 使用されていたことから、複数の CNAME のサポートを利用できるということです。 - notify
- これが
yesである場合 (それがデフォルトです)、 変更を行うためにゾーンサーバが信頼できる場合に DNS NOTIFY メッセージを 送るようになります。 NOTIFY を使用すると、マスタサーバとそのスレーブとの間の収束が 早まります。NOTIFY メッセージを受け取り、理解するスレーブサーバは そのゾーン用にマスタサーバに接続し、ゾーン転送を行う必要があるかを 点検します。そして、必要がある場合は直ちにゾーン転送を開始します。 notify オプションは zone ステートメント内でも指定できます。この場合は、 options notify ステートメントは上書きされます。 - recursion
- これが
yesであり、 DNS の問い合わせが再帰処理を要求している場合、 サーバはその問い合わせに答えるために必要な仕事をすべて行おうとします。 recursion がオンになっていない場合、サーバが答えを 知らない場合は、サーバはクライアントに照会を返します。デフォルトでは、yesです。前述の fetch-glue も参照してください。 - rfc2308-type1
- これが
yesであれば、サーバは、否定応答用に SOA レコードと一緒に NS レコードを 送ります。もし、古い BIND サーバを持っていて、 SOA と NS の両方を含んだ否定応答を理解しないフォワード用サーバとして使用して いる場合や、古いバージョンの sendmail を持っている場合は、この オプションを no に設定する必要があります。正しい解決策は、 そういう壊れたサーバや sendmail を使用しないことです。デフォルトでは、 このオプションはnoです。 - use-id-pool
- これが
yesであれば、サーバは自分自身の未解決の問い合わせ ID を追跡して、 重複を避け、ランダム性を高めるようにします。これによって、 サーバが 128 KB も多くメモリを消費するようになります。 デフォルトはnoです。 - treat-cr-as-space
- これが
yesの場合、 サーバは、スペースやタブを扱うのと同じ方法で CR 文字を扱うように なります。NT あるいは DOS マシンで生成したゾーンファイルを UNIX システム上にロードするときに、このオプションは必要でしょう。 デフォルトでは、このオプションはnoです。
Also-Notify
also-notifyフォワード
フォワード機能は、少数のサーバ上で大きなサイト単位のキャッシュを作成する ために使用することができます。これによって、外部のネームサーバへの リンクを越えたトラフィックを軽減できます。フォワード機能は、直接 インターネットに接続できないが、ともかく外部のホスト名を見つけ出したい というサーバの問い合わせを許可するためにも使用できます。 フォワードが発生するのは、そうした問い合わせに対してサーバが 権限を持たず、キャッシュにその応答が入っていない場合だけです。- forward
- このオプションは、
forwarders
リストが空でない場合にだけ意味があります。
firstという値がデフォルトですが、このときサーバは、まずフォワードを行うサーバに 問い合わせを行い、フォワードを行うサーバが要求に対して応答しない場合、 自分で応答を探します。onlyが指定された場合、サーバは、ただフォワードを行うサーバに問い合わせを 行うだけです。 - forwarders
- フォワードを行うために使用される IP アドレスを指定します。デフォルトでは、 これは空のリストです (フォワードを行いません)。
ネームチェック
サーバは、期待するクライアントの関係に基づいてドメイン名をチェックできます。 例えば、ホスト名として使用されるドメイン名は、正当なホスト名を 定義している RFC に準拠するかという点でチェックされます。- ignore
- 何のチェックも行われません。
- warn
- 期待するクライアントの関係から名前をチェックします。不正な名前は ログに書かれますが、処理は普通に継続します。
- fail
- 期待するクライアントの関係から名前をチェックします。不正な名前は ログに書かれ、ルールに合わないデータは拒否されます。
REFUSED
応答コードをクライアントに送ります。
check-names master fail;
check-names slave warn;
check-names response ignore;
アクセス制御
サーバへのアクセスは、アクセスを要求したシステムの IP アドレス または共有秘密鍵に基づいて制限することができます。 アクセス基準をどのように指定するかについての詳細は、 アドレスマッチリスト を参照してください。- allow-query
- どのホストが通常の問い合せをすることができるかを指定します。
allow-query は、
zone
ステートメントでも指定できます。この場合、
options allow-query
ステートメントを上書きします。もし、allow-query
オプションが
指定されていない場合は、デフォルトは、
すべてのホストからの問い合わせを許可します。
- allow-recursion
- どのホストが再帰的な問い合わせが可能かを指定します。 指定されていない場合は、 デフォルトでは全てのホストから再帰的な問い合わせができます。
- allow-transfer
- どのホストがゾーン転送をサーバから受け取ることを許可されるかを 指定します。 allow-transfer は、 zone ステートメントでも指定できます。その場合、 options allow-transfer ステートメントは上書きされます。もし、allow-transfer オプションが 指定されていない場合は、デフォルトでは、 すべてのホストからの転送を許可します。
- blackhole
- サーバが問い合わせを受け取らないようになったり、問い合わせを解決するために 使用しないようになるアドレスのリストを指定します。これらのアドレスからの 問い合わせは、応答されることはありません。
インタフェース
サーバが問い合わせに答えるインタフェースならびにポートは、 listen-on オプションを使って指定することができます。 listen-on は、オプションのポートおよびアドレスマッチリストを取ります。 サーバは、アドレスマッチリストで許可されたインタフェース全てで待機します。 ポートを指定しない場合は、53 番ポートが使われます。
listen-on { 5.6.7.8; };
listen-on port 1234 { !1.2.3.4; 1.2/16; };
問い合わせアドレス
サーバが問い合わせに対する答を知らない場合、そのサーバは、他の ネームサーバに問い合わせを行います。 query-source は、こうした問い合わせに使用されるアドレスおよびポートを指定します。 address が*
だったり、省略されている場合、ワイルドカード
IP アドレス (
INADDR_ANY )
が使用されます。
port が *
だったり、省略されている場合、特権のいらないポートがランダムに
使用されます。デフォルトでは
query-source address * port *;ゾーン転送
- max-transfer-time-in
- ここで指定された時間より長く動作している内部へのゾーン転送 ( named-xfer プロセス) を終了します。 デフォルトでは、120 分 (2 時間) です。
- transfer-format
- サーバは 2
種類のゾーン転送方法をサポートしています。
one-answer転送されるリソースレコードそれぞれについて 1 つの DNS メッセージを使用します。many-answersできるだけ多くのリソースレコードを 1 つのメッセージに押し込みます。many-answersの方が効率的ではありますが、BIND 8.1 および、パッチの当たった BIND 4.9.5 でのみ 理解されるものです。デフォルトでは、one-answerになります。 transfer-format は、 server ステートメントを使用してサーバ単位で上書きすることができます。 - transfers-in
- 同時に動作させることのできる内部へのゾーン転送の最大値です。 デフォルトは 10 です。 transfers-in の数を増やすと、スレーブのゾーンの収束が早まりますが、ローカルシステムの負荷も 上がってしまう恐れがあります。
- transfers-out
- このオプションは、将来、 同時に動作する外部へのゾーン転送数を制限するために使用する 予定です。現在、文法はチェックしていますが、それ以上のことは無視しています。
- transfers-per-ns
- あるリモートのネームサーバから同時に実行できる内部へのゾーン転送 ( named-xfer プロセス) の最大値です。デフォルトは 2 です。 transfers-per-ns の数を増やすと、スレーブゾーンの収束は早まりますが、リモートのネームサーバの 負荷が上がってしまう恐れがあります。 transfers-per-ns は、 server ステートメントの transfers フレーズを使用してサーバ単位で上書きすることができます。
- transfer-source
- transfer-source は、サーバが内部に転送するゾーンをすべて取得するために使用される TCP コネクションと どのローカルアドレスとが結びつけられるかを決定します。 これが設定されていない場合、 システムが制御しているデフォルト値に設定されます。 この値は、通常、 リモート側の終端に「最も近い」インタフェースのアドレスになります。 このアドレスは、もし指定されているのなら、リモート側の終端の転送ゾーン用の allow-transfer オプションで登場していなくてはなりません。 このステートメントは、すべてのゾーンの transfer-source を設定しますが、設定ファイル中のゾーンブロック内に transfer-source ステートメントを含めることでゾーン単位で上書きすることができます。
リソースの制限
多種のシステムリソースをサーバがどこまで使用してよいか制限可能です。 オペレーティングシステムによっては、 この制限をいくつかサポートしていないものもあります。 そうしたシステムでは、サポートされていない制限を使用すると警告が発生します。 また、オペレーティングシステムによっては、 リソース制限自体をサポートしていないものも あります。そうしたシステムでは、cannot set resource limits on this system
というメッセージがログに記録されます。
1G を 1073741824
の代わりに使用することができます。
unlimited
は、無制限にリソースを使用する、
つまり、利用可能な最大の量のリソースを要求します。
default
は、サーバが開始したときに有効だった制限値を使用します。
詳細については、
記述方法の定義
のセクションの
size_spec
の項を参照してください。
- coresize
- コアダンプの最大サイズです。デフォルト値は
defaultです。 - datasize
- サーバが使用できるデータメモリの最大領域です。デフォルト値は
defaultです。 - files
- サーバが同時にオープンできるファイルの最大数です。デフォルト値は
unlimitedです。オペレーティングシステムによっては、unlimited という値を設定できず、 カーネルがサポートできるオープンするファイルの最大値を 決定できないものがあることに 注意してください。こうしたシステムでは、unlimitedを選択すると、サーバが getrlimit(RLIMIT_NOFILE) から得られる rlim_max の値よりも大きなファイル数を扱ってしまい、 sysconf(_SC_OPEN_MAX) を返してしまうことになります。 実際のカーネルの制限値がこの値よりも大きい場合は、 limit files を使用して、明示的に制限値を指定してください。 - max-ixfr-log-size
-
max-ixfr-log-sizeは、将来のサーバのリリースでは、インクリメンタルゾーン転送用に保持しておく トランザクションログの大きさに制限を設けるために使用する予定です。 - stacksize
- サーバが使用できるスタックメモリの最大量です。デフォルト値は
defaultです。
定期的なタスクの間隔
- cleaning-interval
- サーバは、 cleaning-interval 分ごとに期限の切れたリソースレコードをキャッシュから削除します。 デフォルトは 60 分です。これが 0 に設定されているときは、 定期的にキャッシュがクリーニングされることはありません。
- heartbeat-interval
- サーバは、この間隔が過ぎればいつでも dialup yes の印のついたゾーンすべてに対してゾーン管理タスクを実行します。 デフォルトでは 60 分です。適切な値は 1 日 (1440 分) までです。 この値が 0 に設定されている場合、 これらのゾーンに対するゾーン管理は実行されません。
- interface-interval
- サーバは、 interface-interval 分ごとにネットワークインタフェースリストをスキャンします。 デフォルトでは 60 分です。 この値が 0 に設定されている場合、 インタフェースのスキャンを行うのは、設定ファイルが ロードされたときだけです。スキャンした後、待機タスク (listener) は、どの 新しいインタフェース上でも始動します (そのタスクが listen-on の設定がされていて許可されている場合です)。 取り除かれたインタフェース上で動作している待機タスクは、消去されます。
- statistics-interval
- ネームサーバの統計が statistics-interval 分ごとにログに記録されます。デフォルトは 60 です。 この値が 0 に設定されている場合、 何の統計も記録されません。
トポロジ
ネームサーバのリストから問い合わせ先のネームサーバをサーバが 1 つ選ぶとき、 他の点ではすべて対等である場合、このサーバは、 自分自身からトポロジ的に最も近いものを選びます。 topology ステートメントは、アドレスマッチリストをとり、 特別な方法でそのリストを解釈します。 それぞれの一番上のリスト要素は距離が割り当てられています。 無効にされていない要素は、リスト中の位置に基づいて距離を取得します。ここで、 リストの先頭にマッチした地点が近ければ近いほど、サーバと要素との距離が 近いことになります。 無効にされているマッチには、サーバからの距離の最大が割り当てられます。 マッチするものがない場合は、そのアドレスは、無効にされていないリストの要素の どれよりも遠い距離を取得します。例えば、
topology {
10/8;
!1.2.3/24;
{ 1.2/16; 3/8; };
};
topology { localhost; localnets;
};リソースレコードのソート
複数の RR (訳注: リソースレコード) が返ってくると、通常ネームサーバは、 ラウンドロビン でそれらを返します。 すなわち、各要求の後に、最初の RR がリストの最後に置かれます。 RR の順番が決まっていないので、これで問題ありません。
sortlist {
{ localhost; // もし ローカルホストなら
{ localnets; // 次のネット上で
192.168.1/24; // 最初にフィットしたものにする
{ 192,168.2/24; 192.168.3/24; }; }; };
{ 192.168.1/24; // もし クラス C 192.168.1 上なら
{ 192.168.1/24; // .1 あるいは、.2 か .3 を使用する
{ 192.168.2/24; 192.168.3/24; }; }; };
{ 192.168.2/24; // もし クラス C 192.168.2 上なら
{ 192.168.2/24; // .2 あるいは、.1 か .3 を使用する
{ 192.168.1/24; 192.168.3/24; }; }; };
{ 192.168.3/24; // もし クラス C 192.168.3 上なら
{ 192.168.3/24; // .3 あるいは、.1 か .2 を使用する
{ 192.168.1/24; 192.168.2/24; }; }; };
{ { 192.168.4/24; 192.168.5/24; }; // .4 か .5 なら
}; // そのネットを優先する
};
sortlist {
{ localhost; localnets; };
{ localnets; };
};
RRset の順番付け
応答中に複数のレコードが返されている場合、 その応答中にレコードがどの順番で置かれるかを 設定するのが有益なことがあります。 例えば、あるゾーンに対するレコードは、ゾーンファイルで 定義された順番で常に返されるように設定されるかもしれません。 あるいは、 レコードが返されるときにランダムにシャッフルされるようにしたいということも あるでしょう。 rrset-order ステートメントを使用すると、 複数レコードが含まれる応答中のレコードの順番を 設定することができます。順番が定義されていない場合、デフォルトでは、巡回順 (ラウンドロビン) になります[ class class_name ][ type type_name ][ name "FQDN" ] order ordering
Ictype
が指定されていない場合、デフォルトは
ANY です。
名前が指定されていない場合、デフォルトは
"*" です。
fixed
レコードは、ゾーンファイルで定義された順番で返されます。
random
レコードは、ある種のランダムな順番で返されます。
cyclic
レコードは、ラウンドロビンに返されます。
例えば、
rrset-order {
class IN type A name "rc.vix.com" order random;
order cyclic;
};
rrset-order { class ANY type ANY name "*" order cyclic ; };
チューニング
- lame-ttl
- 不完全なサーバの指示をキャッシュしておく秒数を設定します。 0 の場合、キャッシュしません。 デフォルトは 600 (10 分) です。最大値は 1800 (30 分) です。
- max-ncache-ttl
- ネットワークの負荷を軽減しパフォーマンスを上げるために、 サーバが否定応答を蓄えます。 max-ncache-ttl は、サーバで、このような応答の最大保存時間を設定するために使います。 秒単位です。 デフォルトの max-ncache-ttl は 10800 秒 (3 時間) です。 max-ncache-ttl 通常の (肯定) 応答に対しては、最大保存時間を超えてはいけません (7 日)。 もし、この値が 7 日以上に設定されていた場合、 黙って 7 日に切り詰めてしまうでしょう。
- min-roots
- ルートサーバに対する要求を受け取るために必要なルートサーバの最小値です。 デフォルトは 2 です。
zone ステートメント
文法
zone domain_name [ ( in | hs | hesiod | chaos ) ] {
type master;
file path_name;
[ check-names ( warn | fail | ignore ); ]
[ allow-update { address_match_list }; ]
[ allow-query { address_match_list }; ]
[ allow-transfer { address_match_list }; ]
[ forward ( only | first ); ]
[ forwarders { [ ip_addr ; [ ip_addr ; ... ] ] }; ]
[ dialup yes_or_no; ]
[ notify yes_or_no; ]
[ also-notify { ip_addr; [ ip_addr; ... ] };
[ pubkey number number number string; ]
};
zone domain_name [ ( in | hs | hesiod | chaos ) ] {
type ( slave | stub );
[ file path_name; ]
masters [ port ip_port ] { ip_addr; [ ip_addr; ... ] };
[ check-names ( warn | fail | ignore ); ]
[ allow-update { address_match_list }; ]
[ allow-query { address_match_list }; ]
[ allow-transfer { address_match_list }; ]
[ forward ( only | first ); ]
[ forwarders { [ ip_addr ; [ ip_addr ; ... ] ] }; ]
[ transfer-source ip_addr; ]
[ max-transfer-time-in number; ]
[ notify yes_or_no; ]
[ also-notify { ip_addr; [ ip_addr; ... ] };
[ pubkey number number number string; ]
};
zone domain_name [ ( in | hs | hesiod | chaos ) ] {
type forward;
[ forward ( only | first ); ]
[ forwarders { [ ip_addr ; [ ip_addr ; ... ] ] }; ]
[ check-names ( warn | fail | ignore ); ]
};
zone "." [ ( in | hs | hesiod | chaos ) ] {
type hint;
file path_name;
[ check-names ( warn | fail | ignore ); ]
};
定義と使用法
zone ステートメントは、 特定の DNS ゾーンがサーバにどのように管理されるかを指定するために 使われます。ゾーンには 5 つの種類があります。- master
- サーバは、 そのゾーン用データのマスタコピーを持っていて、ゾーンに対して信頼できる 応答を提供できます。
- slave
- slave ゾーンはマスタゾーンの複製です。 masters リストは、ゾーンの複製を更新するためにスレーブサーバが通信を行う 1 つ以上の IP アドレスを指定します。 port が指定されている場合、このポートに対し、 ゾーンが現在使用されているものであることの確認と、 ゾーン転送が行われます。 file が指定されている場合、 指定されたファイルへゾーンの複製が書き出されます。 file 節を使用することを強く勧めます。 なぜなら、大体においてサーバの起動を早めますし、 通信回線を無駄に使用することを防いでくれるからです。
- stub
- stub ゾーンは slave ゾーンのようなものですが、ゾーン全体を複製するのではなく、 マスタゾーンの NS レコードのみを複製するという点が違います。
- forward
- forward ゾーンは、自分に向けられた問い合わせを他のサーバに振り分けるために使用します。 このことは、 option ステートメント のセクションで説明しています。これらのゾーンでのオプション仕様は、 options ステートメントで宣言されたグローバルオプションを上書きします。 forwarders 節が zone ステートメント中に存在しないか、もしくは、 forwarders に対して空リストが与えられている場合は、 そのゾーンに対してフォワードは行われず、 options ステートメント中の forwarders は、すべて効力を失います。そのため、使用されるサーバではなく、グローバルの forward オプションの挙動を変更するためだけにこの種類のゾーンを使用したいのであれば、 グローバルの forwarders 節も指定しなおす必要があります。
- hint
- ルートネームサーバの初期集合は、 hint ゾーンを使用して指定されます。サーバが起動する際に、ルートヒントを使用して ルートネームサーバを見つけ、ルートネームサーバの最新リストを取得します。
クラス
ゾーン名には、オプションでクラスを続けることができます。 もし、クラスが指定されていない場合は、 in クラス (「インターネット」用) であると仮定されます。これは、大半の場合正しいです。オプション
- check-names
- options ステートメント の ネームチェック に関するサブセクションを参照してください。
- allow-query
- options ステートメント の アクセス制御 サブセクションの中の allow-query に関する説明を参照してください。
- allow-update
- どのホストが動的な DNS の更新をサーバに提出するかを指定します。デフォルトは、 どのホストからも更新を許可しないというものです。
- allow-transfer
- options ステートメント の アクセス制御 サブセクションの中の allow-transfer に関する説明を参照してください。
- transfer-source
- transfer-source どのローカルアドレスが、 このゾーンを取得するために使用される TCP 接続と結びつけられるかを 指定します。 これが設定されていない場合は、システムが制御する値がデフォルトになります。 この値は、通常は、リモート側の終端に「最も近い」インタフェースのアドレスです。 このアドレスは、 もし指定されているのであれば、このゾーンに対するリモート側の終端の allow-transfer オプション中に出てこなくてはなりません。
- max-transfer-time-in
- options ステートメント の ゾーン転送 サブセクション中の max-transfer-time-in の説明を参照してください。
- dialup
- options ステートメント の ブール値オプション サブセクション中の dialup の説明を参照してください。
- notify
- options ステートメント の ブール値オプション サブセクション中の notify の説明を参照してください。
- also-notify
- notify がこのゾーンに対してアクティブである場合のみ also-notify は意味を持ちます。 このゾーンに対する DNS NOTIFY メッセージを受け取るマシン群は、 そのゾーン用にリストされた すべてのネームサーバ (プライマリマスタを除く) と、 also-notify で指定された IP アドレスからなっています。 also-notify は stub ゾーンに対しては意味を持ちません。デフォルトでは、これは空のリストです。
- forward
- forward は、そのゾーンが forwarders リストを持っている場合のみ意味を持ちます。 only 値は、先に forwarders を試し、応答がなかった場合に検索を失敗させます。 それに対し、 first は、通常の検索を許可します。
- forwarders
- ゾーン中で forwarders オプションを使用すると、グローバルの forwarders リストが上書きされます。 forward タイプのゾーン中でこれが指定されていなかった場合は、 このゾーンに対しては 何の フォワードも行いません。グローバルのオプションは使われないということです。
- pubkey
- DNSSEC のフラグ、プロトコル、アルゴリズムと、 base-64 でエンコードされた鍵を表す文字列を指定します。
acl ステートメント
文法
acl name {
address_match_list
};
定義と使用法
acl ステートメントは、名前のついたアドレスマッチリストを生成します。 このステートメントは、プライマリで使用しているアドレスマッチリスト、つまり、 アクセス制御リスト (ACL) からその名前を取得します。- any
- すべてのホストを許可します。
- none
- すべてのホストを拒否します。
- localhost
- システム上のすべてのインタフェースの IP アドレスを許可します。
- localnets
- システムがインタフェースを持ったネットワーク上のすべてのホストを許可します。
key ステートメント
文法
key key_id {
algorithm algorithm_id;
secret secret_string;
};
定義と使用法
key ステートメントは、鍵の ID を指定します。この ID は、 server ステートメントで使用され、単純な IP アドレスでのマッチングよりも厳格な 特定のネームサーバと認証方法とを関連づけます。 鍵の ID は、 server の定義やアドレスマッチリスト中で使用される前に key ステートメントを使用して作成されていなくてはなりません。trusted-keys ステートメント
文法
trusted-keys {
[ domain_name flags protocol algorithm key; ]
};
定義と使用法
trusted-keys ステートメントは、もともと、RFC 2065 で仕様が決められている DNSSEC スタイルの セキュリティとともに使用されます。DNSSEC は、 3 つの異なったサービスを提供するものです : それは、鍵の配布、データの発生元の認証、 そして、トランザクションおよび要求の認証です。DNSSEC についての完全な説明と このドキュメントの範囲を超えた使い方を知りたい場合、 そして、読者がさらなる情報に 興味がある場合は、まず、RFC2065 を読むことから始めてください。そして、 http://www.ietf.org/ids.by.wg/dnssec.html から入手できるインターネット ドラフトへと続いてください。server ステートメント
文法
server ip_addr {
[ bogus yes_or_no; ]
[ transfers number; ]
[ transfer-format ( one-answer | many-answers ); ]
[ keys { key_id [ key_id ... ] }; ]
};
定義と使用法
server ステートメントは、リモートのネームサーバに関連付けられる 特徴を定義します。no です。
サーバに bogus
の印を付けると、当該サーバのアドレスを名前で検索してマッチしたときに、
当該サーバに対する他のアドレスもすべて
bogus
の印を付けます。
controls ステートメント
文法
controls {
[ inet ip_addr
port ip_port
allow { address_match_list; }; ]
[ unix path_name
perm number
owner number
group number; ]
};
定義と使用法
controls ステートメントは、 システム管理者がローカルのネームサーバの操作に影響を与えるために 使用する制御チャネルを宣言します。制御チャネルは、 ndc ユーティリティが、ネームサーバにコマンドを送り、 DNS 以外の結果を受け取るために 使用します。0
がついていることです。そのため、数字は
8
進数として解釈されます。
さらに注意することは、
owner および
group
として指定されるユーザおよびグループの所有者情報は、数字で与えなくては
ならないということです。名前ではありません。
このパーミッションは、管理者のみに制限することを勧めます。
そうしないと、このシステム上のユーザなら誰でもローカルネームサーバを
操作できてしまいます。
include ステートメント
文法
include path_name;
定義と使用法
include ステートメントは、そのステートメントが現れた地点に、指定された ファイルを挿入します。ただし、他のステートメント内で使用することは できません。ですので、acl internal_hosts { include
internal_hosts.acl; };include "/etc/security/keys.bind"; include "/etc/acls.bind";
使用例
実際に使用する場面でも実用的で、最も単純な設定ファイルは、 ただ単にルートサーバファイルへのフルパスを持ったヒントゾーンを 定義したものです。
zone "." in {
type hint;
file "/var/named/root.cache";
};
/*
* 単純な BIND 8 の設定
*/
logging {
category lame-servers { null; };
category cname { null; };
};
options {
directory "/var/named";
};
controls {
inet * port 52 allow { any; }; // これは良くない
unix "/var/run/ndc" perm 0600 owner 0 group 0; // デフォルト
};
zone "isc.org" in {
type master;
file "master/isc.org";
};
zone "vix.com" in {
type slave;
file "slave/vix.com";
masters { 10.0.0.53; };
};
zone "0.0.127.in-addr.arpa" in {
type master;
file "master/127.0.0";
};
zone "." in {
type hint;
file "root.cache";
};
ファイル
- /etc/namedb/named.conf
- BIND 8 named 設定ファイル
関連項目
named(8), ndc(8)| January 7, 1999 | BSD 4 |