セキュリティに配慮しつつ、外部から正常にアクセスできるようにします

「前回」に続いて「GMO VPSを契約してWordPressを安定動作させるまでのサーバ設定方法」第二弾。

このページではドメインとIPの関連付けを行うためにBINDを設定し、合わせて各種ネットワークの設定や脆弱性への対応も済ませます。

今回の解説で利用したVPSはこちら

---

目次

• BINDのインストールと設定
• ルートネームサーバの情報を取得
• 正引きのゾーンファイルの作成
• BINDの設定
• ドメインのレジストリ・レジストラの登録
• hostsファイルを編集
• ipv6を無効にする
• DNSクライアントを設定
• ネットワークの設定
• NTPサーバーの脆弱性に対応

---

BINDのインストールと設定

前回に続いてBIND DNSをインストールして名前解決できるようにします。

# yum install bind
（省略）
Dependencies Resolved

================================================================================
 Package          Arch        Version                        Repository    Size
================================================================================
Installing:
 bind             x86_64      32:9.8.2-0.23.rc1.el6_5.1      updates      4.0 M
Installing for dependencies:
 bind-libs        x86_64      32:9.8.2-0.23.rc1.el6_5.1      updates      879 k
 portreserve      x86_64      0.0.4-9.el6                    base          23 k

Transaction Summary
================================================================================
（省略）

---

ルートネームサーバの情報を取得

/etcディレクトリにルートネームサーバの情報をダウンロードしておきます。

# cd /etc
# wget ftp://ftp.nic.ad.jp/internet/rs.internic.net/domain/named.cache
# mv named.cache db.cache

---

正引きのゾーンファイルの作成

今回は便宜上ドメイン名を「example.com」、IPを「192.168.0.1」で設定します。
設定するのは以下のとおり。

	ドメイン	IP
プライマリネームサーバー	ns.example.com	192.168.0.1
メールサーバ	mail.example.com	192.168.0.1
web用エイリアス	www.example.com	192.168.0.1
ftp用エイリアス	ftp.example.com	192.168.0.1

ドメインを管理するレジストラにネームサーバの情報を登録しますが、「.com」などはプライマリネームサーバにくわえて、セカンダリネームサーバも設定する必要があります。

プライマリネームサーバはこのサーバが担当しますが、このままではセカンダリネームサーバの設定ができません。
そこでセカンダリネームサーバを「無料のセカンダリDNS マイハマネット」で代用します。
ありがたいことに無料で利用できます。

今回取得したマイハマネットのセカンダリネームサーバのドメインは以下のとおりです。

	ドメイン	IP
セカンダリネームサーバー1	ns2.maihama-net.com	198.104.58.211
セカンダリネームサーバー2	ns3.maihama-net.com	153.120.38.37

example.comの正引き用ファイルの作成

# vi /var/named/example.com.hosts

$ttl 38400
example.com.	IN	SOA	ns.example.com.	info.example.com. (
		2015012100			; シリアル番号
		10800				; リフレッシュ間隔
		3600				; リトライ間隔
		604800				; ゾーンの有効期
		38400 )				; ネガティブキャッシュ有効期間
example.com.	IN	NS	ns.example.com.		; このゾーンのプライマリマスタ
example.com.	IN	NS	ns2.maihama-net.com.	; マイハマnetのセカンダリマスタ
example.com.	IN	NS	ns3.maihama-net.com.	; マイハマnetのセカンダリマスタ
example.com.	IN	MX	10 mail.example.com.	; メール用
ns.example.com.	IN	A	192.168.0.1
example.com.	IN	A	192.168.0.1
ns2.maihama-net.com.	IN	A	198.104.58.211
ns3.maihama-net.com.	IN	A	153.120.38.37
mail.example.com.	IN	A	192.168.0.1
www.example.com.	IN	CNAME	example.com.		; web用エイリアス
ftp.example.com.	IN	CNAME	example.com.		; ftp用エイリアス

シリアル番号は「年+月+日+設定番号」で管理すると更新忘れが防げるのでお勧めです。

また、他にもドメインがある場合は同じようにドメイン名のhostsファイルを作成しておいてください。

逆引きの設定はGMO VPS契約時に設定したと思うので、ここでは省略します。設定していない場合はコントロールパネルから設定しておいてください。

---

BINDの設定

正引き用のファイルを作成したのでBINDで指定します。

# cp /etc/named.conf /etc/named.conf.org
# vi /etc/named.conf

//ルートネームサーバのパス
zone "." {
	type hint;
	file "/etc/db.cache";
};

acl my-network {
	# 問い合わせを許可するアドレスの指定
	192.168.0.1;
};

options {
	# キャッシュサーバの場合yes
	recursion yes ;

	# 定義したネットワークからのアクセスを許可
	allow-query {
		localhost;
		my-network;
	};

    # セカンダリネームサーバ用（マイハマネット用）
    allow-transfer {
            153.120.38.37;
            198.104.58.211;
    };

    # IPV6の機能を停止
    listen-on-v6 { none; };

    # namedデーモンのワークディレクトリを指定
    directory "/var/named";

    # PIDファイルの指定
    pid-file "/var/run/named/named.pid";

    # キャッシュポイズニング対策でDNSSEC対応
    dnssec-validation auto;
};

zone "example.com" {
	type master;
	file "/var/named/example.com.hosts";
	# optionsで拒否しているのでこのゾーンファイルに関しては外部からのアクセスを許可する設定
	allow-query { any; };
        allow-transfer {
                153.120.38.37;
                198.104.58.211;
        };
};

BINDのpid用ディレクトリを作成

オプションで指定したpidファイル用のディレクトリを作成
（カーネル2.4.xでは/var/run/named.pidが作れるので問題ないが、2.2.xだとpidが作れずエラーになるため）

# mkdir /var/run/named/
# chown named.named /var/run/named/

rndc用の共通鍵の作成

BIND付属のrndc-confgenコマンドで作成。
rndc-confgenについては詳しくはmanで見てもらうとして、以下のコマンドでは新規ファイルを鍵長512bitでランダムファイルで「/dev/urandom」を利用して作成しています。

# rndc-confgen -a -b 512 -r /dev/urandom

BINDの再起動

# /etc/init.d/named restart

BINDの自動起動設定

調べて3がONでないならonにする。

# chkconfig --list named
# chkconfig named on

正しく起動しているかログの確認

# vi /var/log/messages

---

ドメインのレジストリ・レジストラの登録

ネームサーバの設定を移管する。
これはレジストラによって異なる。「ムームードメインの場合はこちら」で解説した通り。

自分で作ったプライマリネームサーバのIPとドメインを関連付け、合わせてセカンダリ用のマイハマnetのドメインも設定すること。

最終的には正しく名前解決できているかは「DNSの設定チェック」で調べることができる。
（初回に設定したばかりだと反映されていない場合があるので数日待つべし）

---

hostsファイルを編集

サーバ内では外部へ問い合わせる必要は無いのでhostsファイルを編集する。
(192.168.0.1の部分は自分のサーバのIPアドレスに。)

# vi /etc/hosts

127.0.0.1       localhost
192.168.0.1  example.com ns.example.com 2nd.example.com mail.example.com ftp.example.com

---

ipv6を無効にする

# vi /etc/modprobe.d/disable-ipv6.conf

alias net-pf-10 off
alias ipv6 off

自動起動のチェック。3がonならoffにする。

# chkconfig --list ip6tables
# chkconfig ip6tables off

ネットワークの再起動（サーバの再起動しないとダメな場合あり）

# service network restart

---

DNSクライアントを設定

# vi /etc/nsswitch.conf

hostsの項目を編集

hosts:      files dns
↓
hosts: files nisplus nis dns

---

ネットワークの設定

# vi /etc/sysctl.conf

このファイルは値の後に#してコメントすると正常に設定されないので注意。
またアクティブ100程度の小規模サイトを想定しています。

# TIME_WAIT状態の軽減
# net.ipv4.tcp_tw_recycle = 1 携帯やロードバランサ導入時に問題になる可能性あり
net.ipv4.tcp_tw_reuse = 1

# 30にしていたが、600位上でてるため更に半分の15秒に変更。
net.ipv4.tcp_fin_timeout = 15

# コネクションのタイムアウト時間の設定。デフォルト7200
net.ipv4.tcp_keepalive_time = 100
# 検査の回数。デフォルト9
net.ipv4.tcp_keepalive_probes = 2
# 次の検査を実行するときの待ち時間。デフォルト75
net.ipv4.tcp_keepalive_intvl = 3

# RFC1337に準拠させる。TIME_WAIT状態のときにRSTを受信した場合、TIME_WAIT期間の終了を待たずにそのソケットをクローズする
net.ipv4.tcp_rfc1337 = 1

# nmapなどでuptime(システムの連続稼働時間)を探られるのを防ぐ。
net.ipv4.tcp_timestamps = 0

# ipv6を無効
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

以下はコメントアウト。

# Disable netfilter on bridges.
net.bridge.bridge-nf-call-ip6tables = 0
net.bridge.bridge-nf-call-iptables = 0
net.bridge.bridge-nf-call-arptables = 0
↓
# Disable netfilter on bridges.
# net.bridge.bridge-nf-call-ip6tables = 0
# net.bridge.bridge-nf-call-iptables = 0
# net.bridge.bridge-nf-call-arptables = 0

設定の反映。

# /sbin/sysctl -p

---

NTPサーバーの脆弱性に対応

詳しくは「NTPを利用したNTPリフレクション攻撃の概略と対策」をご覧ください。

# vi /etc/ntp.conf

NICT公開NTPサービスを利用する。

server 0.centos.pool.ntp.org iburst
server 1.centos.pool.ntp.org iburst
server 2.centos.pool.ntp.org iburst
server 3.centos.pool.ntp.org iburst
↓
# server 0.centos.pool.ntp.org iburst
# server 1.centos.pool.ntp.org iburst
# server 2.centos.pool.ntp.org iburst
# server 3.centos.pool.ntp.org iburst
server -4 ntp.nict.jp iburst
server -4 ntp.nict.jp iburst
server -4 ntp.nict.jp iburst

最終行に追加。

# NTP Dos攻撃対策
disable monitor

再起動して設定を反映。

# /etc/init.d/ntpd restart

---

今回の解説で利用したVPSはこちら
「GMOクラウドのVPS」

これでBINDとネットワーク関連の調整は完了です。
次は「iptablesの設定とログファイルのローテーション」です。