Différences

Ci-dessous, les différences entre deux révisions de la page.

--- bind9 [Le 24/11/2010, 14:48]
HacKurx Tuto pour une utilisation domestique de BIND + Simplification
+++ bind9 [Le 08/04/2024, 12:11] (Version actuelle)
163.5.23.2 [Serveurs Récursifs / Non récursifs] typo
@@ Ligne 1: / Ligne 1: @@
-{{tag>serveur réseau dns}}
+{{tag>Jammy serveur réseau dns}}
 ----
+====== BIND9 ======
-====== Présentation de BIND (Berkeley Internet Name Domain) ======
+Le service [[:dns|DNS]] (Domain Name System) est un service TCP/IP permettant la correspondance entre un nom de domaine qualifié (FQDN : Fully Qualified Domain Name) et une adresse IP, par exemple www.ubuntu-fr.org = 193.55.221.76. Ainsi, grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP.
-**BIND** est le serveur DNS le plus utilisé sur Internet, vous pouvez très bien l'utiliser sur votre réseau afin par exemple de vous affranchir du serveur [[https://secure.wikimedia.org/wikipedia/fr/wiki/Domain_Name_System|DNS]] fourni par votre fournisseur d'accès à internet ([[https://secure.wikimedia.org/wikipedia/fr/wiki/Fournisseur_d%27acc%C3%A8s_%C3%A0_Internet|FAI]]).
+Un serveur qui héberge le service DNS est appelé "serveur de noms".
-Pour faire simple, un **DNS** c’est le système de **noms de domaine**, c’est lui qui associe l’**adresse IP** au **nom du site**, exemple :
+Ubuntu est livré par défaut avec BIND (Berkley InternetNaming Daemon), le serveur DNS le plus utilisé sur Internet.
-[[http://94.23.116.155]] = [[http://ubuntu-fr.org]]
+Ce guide est destiné aux personnes désireuses d'apprendre comment __configurer et maintenir__ un serveur **DNS BIND9**.
+===== Pré-requis =====
-C'est ainsi plus facile de retenir l'adresse d'un site par son nom (ubuntu-fr.org) que par son adresse IP (94.23.116.155) LOL.
+  * Disposer des [[:sudo|droits d'administration]] sur le serveur.
+  * Disposer d'un réseau local.
+  * Connaître les bases de TCP/IP.
+  * Éventuellement disposer d'une connexion à Internet configurée et activée, pour faire les tests.
-===== Installation de BIND =====
+===== Installation =====
+BIND9 est disponible dans le dépôt principal. Aucun dépôt supplémentaire n'est nécessaire ;
-BIND est actuellement en version 9, la version 10 est actuellement en cours de développement.
+Pour installer le serveur BIND9, il suffit d'[[:tutoriel:comment_installer_un_paquet#installer_un_paquet_present_dans_les_depots_recommande|installer le paquet]] **[[apt>bind9|bind9]]**.
-Pour installer //BIND// sur Ubuntu, [[:tutoriel:comment_installer_un_paquet|installez les paquets]] **[[apt://bind9,bind9utils]]**
+Le paquet**[[apt>dnsutils|dnsutils]]** ( sudo apt-get install dnsutils ) fournit des outils très pratiques pour tester et débugger le service DNS.
+La documentation BIND9 peut également être trouvée dans le paquet**[[apt>bind9-doc|bind9-doc]]** ( sudo apt-get install bind9-doc ).
+configuration de DNS:
+#yum install bind
+===== Scénarios de configuration =====
-===== Configuration de BIND pour un seul ordinateur  =====
+BIND9 peut être utilisé de différente façons , les plus fréquentes sont :
+==== Serveur cache ====
-Cette configuration de BIND est destiné à un PC "domestique", vous devez éditer le fichier "**/etc/bind/named.conf.options**" afin de positionner l'option "**listen-on**" sur l'interface réseau interne "**127.0.0.1**". BIND ne sera donc pas accessible depuis l'extérieur.
+Dans cette configuration, BIND9 va effectuer les requêtes DNS et se rappeler de la réponse pour la prochaine requête. Cette méthode peut être utile pour une connexion internet lente. En mettant les réponses DNS en cache, on diminue l'utilisation de la bande passante et(encore plus important) on réduit également le temps de latence.
-[[:tutoriel:comment_modifier_un_fichier|Modifier]] donc la ligne 18 du fichier "**/etc/bind/named.conf.options**" qui ressemble à ceci :
+==== Serveur primaire ====
-   listen-on-v6 { any; };
-Afin qu'elle ressemble après à cela :
-   listen-on-v6 { 127.0.0.1; };
-Puis toujours dans ce même fichier, **commenter** l'option "**forwarders**", pour cela il suffit de mettre un # devant la ligne, comme ceci :
+Utilisé pour contenir les enregistrements DNS d'un nom de domaine enregistré. Un ensemble d'enregistrements DNS
-   #// forwarders {
+pour un nom de domaine est appelé une "zone". (Le nom de domaine peut être imaginaire si on est dans le cas d'un
-   #// 	0.0.0.0;
+réseau local fermé)
-   #// };
+==== Serveur secondaire ====
-Ensuite pour que que toutes les requêtes passe par BIND, vous devez enlever le # (décommenter) la ligne 20 du fichier "**/etc/dhcp3/dhclient.conf**" afin d'obtenir ceci :
+Un serveur secondaire est utilisé en complément à un serveur primaire, en servant de copie à la ou les zones configurées sur le serveur primaire. Les serveurs secondaires sont recommandés sur des gros réseaux. Ceux-ci assurent la disponibilité de la zone DNS, même si le serveur primaire est hors ligne.
-   prepend domain-name-servers 127.0.0.1;
-**Si** vous n'utiliser pas le [[https://secure.wikimedia.org/wikipedia/fr/wiki/Dynamic_Host_Configuration_Protocol|DHCP]] (distribution automatique des adresses IP - utilisateur expérimenté généralement), modifier le fichier "**/etc/resolv.conf**" afin que toutes les requêtes passe par BIND. Ce fichier doit donc contenir :
+==== Serveurs  hybrides ====
-   nameserver 127.0.0.1
-Ensuite redémarrer bind :
+Un serveur BIND9 peut être configuré à la fois comme serveur cache et comme serveur primaire, comme serveur cache et serveur secondaire, ou même serveur cache, serveur primaire et secondaire. Il suffit de combiner les différentes configurations présentées dans les exemples.
-   sudo invoke-rc.d bind9 restart
-===== Configuration de BIND pour un réseau d'ordinateur =====
+==== Serveurs furtifs ====
-<note important>Il y a trop d'erreurs dans cette partie du tutoriel, bind9 peut ne pas fonctionner correctement !</note>
+Il existe deux autres configurations fréquentes pour un serveur DNS.
+Serveur furtif maître et serveur furtif esclave. Ils sont identiques aux serveurs maître et esclave, mais avec une organisation légèrement différente : ils ne sont visibles qu'à l'intérieur du domaine.
-=== Le fichier de configuration générale ===
+Par exemple, vous disposez de 3 serveurs DNS : A, B et C.
-La configuration principale de BIND se fait dans le fichier ''/etc/bind/named.conf''.
+A est un serveur maître, B et C sont des esclaves.
-Si vous voulez ajouter vos propres zones, il faut le faire dans le fichier ''/etc/bind/named.conf.local''
+Si votre domaine est configuré pour utiliser A et B comme serveurs de noms, alors C est un serveur furtif esclave. Il fait toujours office de serveur esclave, mais il ne sera pas interrogé depuis Internet.
-Dans ce fichier, on définit un certain nombre de //zones//. Une //zone// correspond soit à une plage IP d'un réseau ou à un nom de domaine. Les deux zones qui nous intéressent ici sont ''192.168.251.*'' et ''bureau.lan''.
+Si votre domaine est configuré pour utiliser B et C comme serveurs de noms, alors A est un serveur furtif maître. Toute édition de la zone ou ajout est fait sur A, mais les ordinateurs depuis internet interrogeront seulement B et C.
-On définit deux zones pour avoir la résolution de nom dans les deux sens. C'est-à-dire que l'on peut obtenir une adresse IP à partir d'un nom d'hôte mais également, que l'on peut obtenir un nom d'hôte à partir d'une adresse IP.
+Dans les deux cas, le serveur passif n'est pas interrogé depuis internet. Il peut ainsi être réservé pour une utilisation locale.
-Une zone avec un nom de domaine se définit comme ceci :
+==== Serveurs Récursifs / Non récursifs ====
-<file>
+Les serveurs BIND9 peuvent être récursifs, c’est-à-dire interroger tour à tour les serveurs DNS nécessaires jusqu'à obtenir la réponse, et la transmettre à leur client.
-zone "bureau.lan" {
-        type master;
-        file "/etc/bind/db.bureau.lan";
-};
-</file>
-<note tip>Attention à ne pas oublier le **;** à la fin ...</note>
+Dans le cas contraire (par défaut), le serveur DNS délègue la résolution du nom de domaine à un autre serveur DNS.
-On indique tout d'abord le nom de la zone que l'on connaît avec le mot clé ''zone'' suivi du nom de domaine (dans notre cas, ''"bureau.lan"''. On indique que c'est le DNS maître (en effet, on peut avoir un ou des DNS de backups qui sont aussi appelés des DNS secondaires) en indiquant ''type master''. Et enfin, on indique dans quel fichier se trouvent les informations de résolution concernant cette zone. En général, on place ces fichiers dans ''/etc/bind/'' et on préfixe le nom de la zone par ''db.''.
+Pour activer la récursivité, modifier **/etc/bind/named.conf.options**
-Nous définissons également la zone de plage IP pour la résolution inverse. Pour se faire, nous utilisons les mêmes paramètres. Cependant, le nom de la zone s'écrit avec la plage réseau **inversée** suivi de ''.in-addr.arpa''. L'entrée de zone pour notre réseau ''192.168.251.*'' s'écrit comme ceci :
+<code>
+allow-recursion { any; };
+</code>
-<file>
+===== Enregistrements DNS =====
-zone "251.168.192.in-addr.arpa" {
-        type master;
-        file "/etc/bind/db.192.168.251";
-};
-</file>
-Nous en avons fini avec le fichier de configuration générale. Voyons maintenant comment définir les noms des machines présentes dans une zone.
+Il existe de nombreux type d'enregistrements DNS, mais certains sont plus communs :
-=== Les fichiers zones ===
+==== Enregistrement de type A (Address) ====
-Comme vous vous en doutez, nous avons un fichier par zone. Les fichiers zones contiennent toutes les entrées comme une table de traduction pour les noms des machines d'une même zone.
+C'est le type le plus courant. Cet enregistrement fait correspondre une adresse IP à un nom de machine.
-Un fichier zone commence toujours par un champ ''SOA'', ce champ SOA se compose comme suit :
+<code>
+www      IN    A      1.2.3.4
+</code>
-<file>
+==== Enregistrement de type CNAME (Alias) ====
-$TTL 3h
-@       IN      SOA     ns.bureau.lan. hostmaster.bureau.lan. (
-                                2005090201
-H
-H
-W
-D )
-</file>
-Le symbole ''@'' désigne la zone décrite par le fichier de configuration (ici, ''bureau.lan''). A la place de ''@'', vous auriez très bien pu indiquer ''bureau.lan.'' (//n'oubliez pas le "." à la fin !!!//).
+Utilisé pour créer un alias depuis un enregistrement de type A. Il est possible de créer un enregistrement de type CNAME qui pointe vers un autre enregistrement CNAME, mais ceci double le nombre de requêtes qui seront faîtes au serveur de noms. Cette méthode est donc déconseillée.
-Ensuite, on indique ''IN'' qui signifie que l'on a affaire à une zone Internet; c'est pour ainsi dire toujours le cas (sauf quelques très rares exceptions). Enfin, toujours sur la première ligne, on indique le serveur DNS qui dispose du fichier zone de référence (important lorsque que l'on a des DNS secondaires) et l'adresse email de la personne responsable de la zone (le premier "." dans le champ d'email est considéré comme un "@").
+<code>
+mail     IN    CNAME  www
+www      IN    A      1.2.3.4
+</code>
-Dans notre cas, le serveur DNS primaire de la zone est ''ns.bureau.lan'' et l'adresse email de la personne responsable est ''hostmaster@bureau.lan''.
+==== Enregistrement MX (Mail Exchange) ====
-//Remarque :// Vous avez sans doute noté que le serveur DNS et l'adresse email sont ponctuées par un point ("."). Ce point est **indispensable**. Si vous l'omettez, par défaut, BIND rajoute le nom de la zone et dès lors ''ns.bureau.lan.'' renvoie ''ns.bureau.lan'' alors que ''ns.bureau.lan'' (sans point) renvoie ''ns.bureau.lan.bureau.lan''. Il s'agit d'une erreur très fréquente.
+Utilisé pour définir vers quel serveur de la zone un email à destination du domaine doit être envoyé, etavec quelle priorité. Cetenregistrement doit pointer vers un enregistrement de type A, etnon un alias CNAME. Il peut y avoir plusieurs enregistrements MX s'il existe plusieurs serveurs de messagerie sur le domaine. Le plus petit nombre a la plus grande priorité.
-Les valeurs qui suivent sont respectivement :
+<code>
-   * le numéro de série (souvent on met la date courante suivie d'un numéro d'ordre, celui-ci doit être modifié pour indiquer des modifications et ainsi les propager); ''AAAAMMJJxx''.
+;** ENREGISTREMENTS "MX"
-   * le temps de rafraichissement (''refresh''; ici, 8 heures); la valeur recommandée est de 24 heures.
-   * le temps entre deux essais (''retry''; ici, 2 heures); la valeur recommandée est de 2 heures.
-   * le temps d'expiration (''expire''; ici, 1 semaine); la valeur recommandée est de 1000 heures.
-   * la valeur TTL minimum (''minimum''; ici, 1 jour); la valeur recommandée est de 2 jours.
-En utilisant les valeurs que j'ai stipulées ci-dessus, tout devrait fonctionner. Pour plus d'informations, je vous renvoie à [[http://www.google.fr|Google]].
+@     IN    MX  10  mikvdw.ddns.net.
+@     IN    MX  20  audevdw.ddns.net.
+</code>
-Après le champ SOA, on indique le serveur de nom à consulter pour résoudre un nom d'hôte dans le domaine ''bureau.lan''. Nous faisons ça avec un champ ''NS'' de la manière suivante :
+==== Enregistrement NS (Name Server) ====
-<file>
+Utilisé pour définir quels serveurs répondent pour cette zone. Cet enregistrement doit pointer vers un enregistrement de type A, non pas vers un enregistrement de type CNAME.
-@       IN      NS      ns.bureau.lan.
-</file>
-Ensuite (ceci est facultatif), si vous avez un serveur de mail, vous pouvez indiquer au serveur DNS que les adresses de la forme ''*@bureau.lan'' sont gérées par un serveur de mail prédéfini; nous le faisons comme ceci :
+C'est ici que le serveur maître et les esclaves sont définis. Les serveurs furtifs sont intentionnellement omis.
-<file>
+<code>
-@       IN      MX      10      mail2.bureau.lan.
+        IN    NS     ns.ubuntu-fr.lan.
-</file>
+        [...]
+ns      IN    A      1.2.3.4
+</code>
-//Remarque :// La valeur ''10'' indique la priorité du serveur concerné. En indiquant plusieurs champs ''MX'' avec des valeurs différentes, vous pouvez indiquer des serveurs de mail secondaires.
+===== Configuration =====
-Enfin, nous terminons ce fichier zone avec //la table de traduction// des hôtes en adresse IP :
+Les fichiers de configuration de BIND9 sont stockés sous :
-<file>
+<code>
-ns              A       192.168.251.202
+/etc/bind/
-mail2           A       192.168.251.202
+</code>
-twin1           A       192.168.251.200
-twin2           A       192.168.251.201
-portable        A       192.168.251.205
-</file>
-Le fichier zone complet pour ''bureau.lan'' ressemble à ceci :
+La configuration principale de BIND9 est effectuée dans les fichiers suivant :
-<file>
+<code>
-$TTL 3h
+/etc/bind/named.conf
-@       IN      SOA     ns.bureau.lan. hostmaster.bureau.lan. (
+/etc/bind/named.conf.options
-                                2005090201
+/etc/bind/named.conf.local
-H
+</code>
-H
-W
-D )
-@       IN      NS      ns.bureau.lan.
+==== Configuration pour un seul ordinateur (PC Domestique) =====
-@       IN      MX      10      mail2.bureau.lan.
+Dans ce cas, BIND est configuré pour ne répondre qu'aux requêtes du PC sur lequel il est installé. Il se charge lui même de la résolution de noms, sans passer par les serveurs DNS de votre FAI.
+<note warning>
+Cette configuration implique que vous vous chargiez directement de la résolution des noms de domaine. Vous ne profitez plus du cache DNS de votre fournisseur d'accès, etvous sollicitez du coup plus les serveurs racines, mais vous ne serez pas soumis au filtrage (ou parfois au DNS menteur) de votre fournisseur d'accès.
+</note>
-ns              A       192.168.251.202
+  * Afin de rendre BIND inaccessible depuis l'extérieur, éditer le fichier "**/etc/bind/named.conf.options**", positionner les options "**listen-on**" sur **127.0.0.1**" et"**listen-on-v6**" sur "**::1**" comme ceci :
-mail2           A       192.168.251.202
-twin1           A       192.168.251.200
-twin2           A       192.168.251.201
-portable        A       192.168.251.205
-</file>
-Avant de pouvoir utiliser notre serveur DNS, nous allons renseigner la zone pour la plage IP de notre réseau. La zone se décrit vaguement comme la précédente, à la différence près que l'on utilise le mot clé ''PTR'' au lieu de ''A'' dans la table de traduction.
+<code>
+listen-on { 127.0.0.1; };
+listen-on-v6 { ::1; };
+</code>
-Voici le fichier zone pour notre réseau 192.168.251.* d'exemple :
+  * Puis toujours dans ce même fichier, **commenter** l'option "**forwarders**". Il suffit de mettre un # devant chaque ligne :
-<file>
+<code>
-$TTL 3h
+   #// forwarders {
-@       IN      SOA     ns.bureau.lan. hostmaster.bureau.lan. (
+   #// 	0.0.0.0;
-                                2005090201
+   #// };
-H
+</code>
-H
-W
-D )
-@       IN      NS      ns.bureau.lan.
+  * Pour que toutes les requêtes passent par BIND :
-@       IN      MX      10      mail2.bureau.lan.
+Si votre carte réseau est configurée pour utiliser DHCP, décommenter la ligne 20 du fichier "**/etc/dhcp3/dhclient.conf**" :
-$ORIGIN 251.168.192.in-addr.arpa.
+<code>
-     IN      PTR     ns.bureau.lan.
+prepend domain-name-servers 127.0.0.1;
-     IN      PTR     mail2.bureau.lan.
+</code>
-     IN      PTR     twin1.bureau.lan.
-     IN      PTR     twin2.bureau.lan.
-     IN      PTR     portable.bureau.lan.
-</file>
-<note important>Si la ligne $ORIGIN 251.168.192.in-addr.arpa. vous crée une erreur (voir le fichier log /var/log/daemon.log après avoir redemarré bind9) vous pouvez la supprimer, cela fonctionne</note>
-==== Vérification de la configuration ====
+Si, au contraire, elle est configurée avec une adresse IP statique, modifier le fichier "**/etc/resolv.conf**" afin que toutes les requêtes passent par BIND. Ce fichier doit donc contenir :
-Pour vérifier le fonctionnement de notre serveur DNS, nous allons utiliser les utilitaires fournit avec BIND9 **named-checkconf named-checkzone**.
+<code>
+nameserver 127.0.0.1
+</code>
-=== Vérification de la configuration global named-checkconf===
+Redémarrer bind :
-Le programme named-checkconf sert à vérifier la syntaxe du fichier /etc/bind/named.conf.
+<code>
+sudo service bind9 restart
+</code>
-Version de named-checkconf :
+Redémarrer bind avec systemd :
-  named-checkconf -v
-Contrôle du fichier :
+<code>
-  named-checkconf /etc/bind/named.conf
+sudo systemctl restart bind9.service
+</code>
-=== Vérification de la configuration des zones named-checkzone ===
+==== Configuration pour un serveur cache ====
-Le programme named-checkzone vérifie la syntaxe et la cohérence d'un fichier de zone maître.
+Le serveur BIND9 est configuré par défaut en tant que serveur cache.
-  named-checkzone nom_zone fichier_de_zone
-Nous pouvons maintenant demander à notre serveur de prendre en compte nos modifications en rechargeant la configuration de bind :
+Il suffit simplement d'ajouter les serveurs DNS de votre prestataire Internet.
-  sudo /etc/init.d/bind9 reload
+Décommentez etéditez les lignes suivantes dans /etc/bind/named.conf.options :
-Nous pouvons maintenant passer à la phase de vérification.
+<code>
+        [...]
-Pour vérifier le fonctionnement de notre serveur DNS, nous allons lui adresser des requêtes directement via l'utilitaire ''nslookup'', pour l'utiliser, il suffit de taper ''nslookup'' dans un terminal.
+        forwarders {
+.2.3.4;
+.6.7.8;
+        };
-On doit lui indiquer le serveur DNS à vérifier via le mot clé ''server 127.0.0.1'' et ensuite, on lui donne un nom d'hôte et il doit nous répondre l'adresse IP.
+        [...]
+</code>
-**Voici la petite session de test que j'ai fait chez moi** :
+(ou 1.2.3.4 et5.6.7.8 sont les adresses IP des serveurs DNS de votre prestataire Internet.
-On commence par dire à nslookup quel serveur il doit interroger :
+Redémarrez le démon BIND9 :
-<file>
-nslookup
-> server 127.0.0.1
-Default server: 127.0.0.1
-Address: 127.0.0.1#53
-</file>
-Puis on l'interroge :
-<file>
-> mail2.bureau.lan
-Server:         127.0.0.1
-Address:        127.0.0.1#53
-Name:   mail2.bureau.lan
+<code>
-Address: 192.168.251.202
+sudo service bind9 restart
-> 192.168.251.201
+</code>
-Server:         127.0.0.1
-Address:        127.0.0.1#53
-.251.168.192.in-addr.arpa    name = twin2.bureau.lan.
+Redémarrer bind avec systemd :
-> set q=mx
-> bureau.lan
-Server:         127.0.0.1
-Address:        127.0.0.1#53
-bureau.lan    mail exchanger = 10 mail2.bureau.lan.
-> exit
-</file>
-Si tout se déroule normalement, vous pouvez configurer vos clients et utiliser votre serveur DNS.
+<code>
+sudo systemctl restart bind9.service
+</code>
-==== Configuration avancée ====
+=== Tests ===
-=== Configuration d'un serveur DNS secondaire ===
+Si le package dnsutils a été installé, il est possible de tester la nouvelle configuration en utilisant dig :
-Dans cette section, nous allons envisager la configuration d'un serveur DNS secondaire qui se synchronise avec le serveur DNS principal que nous avons défini ci-dessus.
+<code>
+dig -x 127.0.0.1
+</code>
-== Le serveur DNS secondaire proprement dit ==
+Si tout fonctionne bien, vous devriez voir apparaître une sortie similaire à :
-Pour configurer le serveur secondaire, nous devons simplement indiquer à BIND les zones qu'il doit traiter en mode esclave. Sur base de la configuration ci-dessus, nous configurons le fichier ''/etc/bind/named.conf'' de serveur DNS secondaire de la manière suivante :
+<code>
+; <<>> DiG 9.4.1-P1 <<>> -x 127.0.0.1
+;; global options:  printcmd
+;; Got answer:
+;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 13427
+;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1
-<file>
+[...]
-zone "bureau.lan" {
-        type slave;
-        masters {192.168.251.202;} ;
-        file "/etc/bind/db.bureau.lan";
-};
-zone "251.168.192.in-addr.arpa" {
+;; Query time: 1 msec
-        type slave;
+;; SERVER: 127.0.0.1#53(127.0.0.1)
-        masters {192.168.251.202;} ;
+;; WHEN: Mon Nov 26 23:22:53 2007
-        file "/etc/bind/db.192.168.251";
+;; MSG SIZE  rcvd: 93
-};
-</file>
-En faisant cela, il est inutile d'indiquer les fichiers zones (fichier ''db.'') sur le serveur DNS secondaire. Les fichiers proviendront d'une synchronisation avec le DNS primaire.
+</code>
-//Remarque :// L'utilisateur faisant fonctionner le serveur DNS doit avoir les droits d'écriture sur les fichiers zones renseignés dans la configuration ci-dessus.
+La commande dig peut aussi être utilisée pour interroger d'autres domaines, comme par exemple :
-<note important>Si AppArmor est installé (c'est le cas par défaut depuis Ubuntu 7.10), il empêche de toute manière bind d'écrire dans le dossier /etc/bind en configuration ''type slave''. Dans ce cas il faut utiliser le répertoire ''**/var/cache/bind**'' :
+<code>
-<file>
+dig ubuntu-fr.org
-...
+</code>
-        file "/var/cache/bind/db.bureau.lan";
-...
-        file "/var/cache/bind/db.192.168.251";
-...
-</file></note>
-== Modification de la configuration du serveur DNS primaire ==
+Si vous "diggez" un même domaine plusieurs fois, vous devriez voir apparaître une énorme diminution du temps mis par la requête (Query time) , entre la première etla deuxième requête. Ceci est possible parce que le serveur a déjà mis en cache la réponse de la requête.
-Nous devons renseigner dans les fichiers zones le deuxième serveur DNS, et pour se faire, on ajoute la ligne suivante au fichier ''/etc/bind/db.bureau.lan'' :
+==== Configuration Serveur Maître ====
-<file>
+BIND9 va être configuré comme serveur maître pour le domaine ubuntu-fr.lan. Remplacez simplement ubuntu-fr.lan par votre propre nom de domaine.
-@       IN      NS      ns2.bureau.lan.
-</file>
-et nous devons également renseigner l'adresse IP de ''ns2.bureau.lan'' (n'oubliez pas de mettre à jour le fichier de zone pour le sous-réseau IP également avec le mot clé ''PTR'' !) :
+=== Fichier de zone ===
+Pour ajouter une zone, etfaire de BIND9 un serveur maître :
+  * Editer le fichier named.conf.local :
 <file>
-ns2             IN      A       192.168.251.250
+        [...]
+        zone "ubuntu-fr.lan" IN {
+             type master;
+             file "/etc/bind/db.ubuntu-fr.lan";
+        };
+        [...]
 </file>
+  * Utiliser le fichier d'une zone existante comme modèle :
+<code>
+sudo cp /etc/bind/db.local /etc/bind/db.ubuntu-fr.lan
+</code>
+  * Editer le nouveau fichier pour la zone (/etc/bind/db.ubuntu-fr.lan),
+  * Changer localhost par le FQDN de votre serveur, en laissant le point "." supplémentaire à la fin.
+  * Changer 127.0.0.1 par l'adresse IP du serveur de nom et root.localhost par une adresse email valide, mais avec un point "." à la place de l'arobase "@". Laisser également le point à la fin.
+  * Créer un enregistrement de type hôte A pour le serveur de nom ns.ubuntu-fr.lan :
 <file>
-             IN      PTR     ns2.bureau.lan.
+;
+; BIND data file for local loopback interface
+;
+$TTL    604800
+@       IN      SOA     ns.ubuntu-fr.lan. admin.ubuntu-fr.lan. (
+         ; Serial
+         ; Refresh
+         ; Retry
+                        2419200         ; Expire
+)       ; Negative Cache TTL
+;
+@       IN      NS      ns.ubuntu-fr.lan.
+NS      IN      A       10.10.10.10
+box     IN      A       192.168.1.10
 </file>
-Après avoir modifié les zones et de ce fait, dévoilé ''ns2'', nous pouvons maintenant indiquer au serveur DNS maître que le serveur DNS secondaire peut accéder aux données de zones.
+Le numéro de série doit être incrémenté à chaque changement dans le fichier de zone. En cas de multiples changements, une seule incrémentation suffit.
+<note>
+Il est fréquent d'utiliser la date d'édition de la zone comme numéro de série, au format américain.
+Exemple : 2010122710 = incrémentation 10 du 27 décembre 2010).
+</note>
+Il est maintenant possible d'ajouter des enregistrements DNS à la suite de la zone .
+Une fois les changements dans le fichier de zone effectués, il faut redémarrer BIND9 pour qu'ils prennent effet:
+<code>
+sudo service bind9 restart
+</code>
+Redémarrer bind avec systemd :
+<code>
+sudo systemctl restart bind9.service
+</code>
+=== Zone de recherche inversée ===
+Maintenant que notre fichier de zone est configuré et que les adresses IP sont résolues, une zone de recherche inversée est requise. Une zone de recherche inversée permet au DNS de convertir une adresse en nom.
-Pour ce faire, les informations concernant les zones qui nous intéressent (dans le fichier ''/etc/bind/named.conf'' du serveur maître) deviennent ceci :
+  * Editer /etc/bind/named.conf.local etajouter les lignes suivantes :
 <file>
-zone "bureau.lan" {
+zone "1.168.192.in-addr.arpa" {
         type master;
-        notify yes;
+        notify no;
-        allow-transfer {192.168.251.250;} ;
+        file "/etc/bind/db.192";
-        file "/etc/bind/db.bureau.lan";
 };
+</file>
-zone "251.168.192.in-addr.arpa" {
+<note>
-        type master;
+Remplacer 1.168.192 par les trois premiers octets (si vous êtes en classe C) de votre réseau dans l'ordre inversé. Remplacer également le nom du fichier de zone db.192 par le nom approprié.
-        notify yes;
+</note>
-        allow-transfer {192.168.251.250;} ;
-        file "/etc/bind/db.192.168.251";
+  * Créer maintenant le fichier db.192 depuis un fichier existant :
-};
+<code>
+sudo cp /etc/bind/db.127 /etc/bind/db.192
+</code>
+  * Editer le fichier /etc/bind/db.192 etchanger comme nous l'avons fait précédemment le nom de domaine et l'adresse email :
+<file>
+;
+; BIND reverse data file for local loopback interface
+;
+$TTL    604800
+@       IN      SOA     ns.ubuntu-fr.lan. admin.ubuntu-fr.lan. (
+         ; Serial
+         ; Refresh
+         ; Retry
+                        2419200         ; Expire
+)       ; Negative Cache TTL
+;
+@       IN      NS      ns.ubuntu-fr.lan.
+      IN      PTR     ns.ubuntu-fr.lan.
 </file>
-Après toutes ces modifications, demandez au service BIND de recharger la configuration :
+Le numéro de série de la zone de recherche inversée nécessite d'être incrémenté à chaque changement. Pour chaque enregistrement A ajouté dans /etc/bind/db.ubuntu-fr.lan, il faut créer un enregistrement PTR dans /etc/bind/db.192.
+Après avoir créé le fichier de la zone de recherche inversée, redémarrez BIND9 :
 <code>
-sudo /etc/init.d/bind9 reload
+sudo service bind9 restart
 </code>
-Et surtout, n'hésitez pas à re-tester votre configuration (sur les deux serveurs).
+Redémarrer bind avec systemd :
-==== Erreurs possibles ====
+<code>
+sudo systemctl restart bind9.service
+</code>
-Il est possible que vous rencontriez des logs de ce genre lors d'une mise à niveau (l'auteur les a rencontrés lors de la mise à niveau vers Karmic Koala) :
+=== Tests ===
-<file>
+Il doit maintenant être possible de faire un ping sur ubuntu-fr.lan etla requête doit être résolue :
-Dec 21 10:37:47 einstein kernel: [322348.978172] type=1503 audit(1261388267.711:216): operation="inode_permission"
-requested_mask="::r" denied_mask="::r" fsuid=113 name="/etc/ssl/openssl.cnf" pid=7039 profile="/usr/sbin/named"
-</file>
-On voit là qu'il y a une erreur de permissions qui empêche le serveur de s'auto-authentifier (rôle du protocole rdnc, appelé par named) et qu'il y aura donc une erreur comme ceci au redemarrage du service bind9 :
+<code>
+ping ns.ubuntu-fr.lan
+</code>
+L'utilitaire named-checkzone (inclus dans le package BIND9) peut également être utilisé :
 <code>
-stephane@einstein:/etc/ssl$ sudo service bind9 restart
+named-checkzone ubuntu-fr.lan /etc/bind/db.ubuntu-fr.lan
- * Stopping domain name service... bind9
-rndc: connect failed: 127.0.0.1#953: connection refused
-                                                                                           [ OK ]
- * Starting domain name service... bind9                                                   [fail]
 </code>
-Cette erreur est due à une mauvaise configuration des profils Apparmor. Rendez vous dans le dossier d'apparmor :
+et
-''/etc/apparmor.d/''
+<code>
+named-checkzone 1.168.192.in-addr.arpa /etc/bind/db.192
+</code>
+Utiliser cetutilitaire est un bon moyen de s'assurer de l'absence d'erreurs avant le redémarrage de bind.
+Pour tester la recherche inversée, l'utilitaire dig peut être utilisé :
+<code>
+dig -x 192.168.1.10
+</code>
+Vous devriez voir en sortie  console la résolution de 1.168.192.in-addr.arpa. par votre serveur de nom.
+==== Configuration en serveur esclave ====
+Maintenant qu'un serveur maître a été configuré, un serveur esclave peut être configuré pour assurer une disponibilité du domaine en cas de panne du serveur maître.
+Dans un premier temps, le serveur maître doit être configuré pour permettre le transfert de zone. Ajoutez l'option //allow-transfer// dans les définitions des zones principales etinversées du fichier /etc/bind/named.conf.local :
+<file>
+        [...]
+        zone "ubuntu-fr.lan" {
+             type master;
+             file "/etc/bind/db.ubuntu-fr.lan";
+             allow-transfer { @ip_esclave; };
+        };
+        [...]
-[[:tutoriel:comment_modifier_un_fichier|Éditez le fichier]] **usr.sbin.named** et ajoutez les permissions d'écriture à ssl :
+        zone "1.168.192.in-addr.arpa" {
+             type master;
+             notify no;
+             file "/etc/bind/db.192";
+             allow-transfer { @ip_esclave; };
+        };
-<file>/etc/ssl/openssl.cnf rw,
+       [...]
 </file>
-Ne touchez à rien d'autre, enregistrez, puis relancez apparmor et ensuite bind9 :
+<note>
+Remplacez @ip_esclave par l'adresse IP du serveur esclave.
+</note>
-<code>sudo service apparmor restart
+Ensuite, sur le serveur esclave, installez le package BIND9, de la même manière que pour le serveur maître. Editez le fichier /etc/bind/named.conf.local, etajoutez les lignes suivantes pour la zone principale etinversée :
-sudo service bind9 restart</code>
+<file>
+        [...]
-===== Configuration des clients =====
+        zone "ubuntu-fr.lan" {
+             type slave;
+             file "/var/cache/bind/db.ubuntu-fr.lan";
+             masters { @ip_maitre; };
+        };
-La configuration de la résolution de nom pour les machines Linux se fait dans le fichier ''/etc/resolv.conf''. Dans ce fichier, vous pouvez ajouter le domaine de recherche via la ligne suivante (en premier dans le fichier) :
+        [...]
+        zone "1.168.192.in-addr.arpa" {
+             type slave;
+             file "/var/cache/bind/db.192";
+             masters { @ip_maitre; };
+        };
+        [...]
+</file>
+<note>
+Remplacez @ip_maitre par l'adresse IP du serveur maître. Le fichier de zone doit être dans /var/cache/bind/, car par défaut, AppArmor ne permetl'accès en écriture que dans ce répertoire (voir la configuration de AppArmor dans /etc/apparmor.d/usr.sbin.named).
+</note>
+Redémarrez le serveur, etdans /var/log/syslog, vous devriez voir apparaître des informations similaires :
 <code>
-search bureau.lan
+syslog.5.gz:Dec 27 23:33:53 ubuntu named[5064]: zone ubuntu-fr.lan/IN: transferred serial 2010122701
+syslog.5.gz:Dec 27 23:33:53 ubuntu named[5064]: transfer of 'ubuntu-fr.lan/IN' from 10.0.0.202#53: end of transfer
+syslog.5.gz:Dec 27 23:33:35 ubuntu named[5064]: slave zone "1.168.192.in-addr.arpa" (IN) loaded (serial 2010122701)
 </code>
-Et ensuite, les adresses de vos serveurs de noms (primaire interne, autres internes, puis ceux de votre fournisseur d'accès par exemple) de la manière suivante :
+<note>
+Une zone n'est transférée que si son numéro de série sur le serveur maître est supérieur à celui du serveur esclave
+</note>
+=== Tests ===
+Vous pouvez tester le serveur esclave de la même façon que pour le serveur maître. Il est possible d'arrêter BIND9 sur le serveur maître etessayer de faire un ping sur ubuntu-fr.lan. depuis un poste configuré pour utiliser le serveur esclave comme le serveur maître pour sa résolution de nom. Si tout ce passe bien, le serveur esclave devrait résoudre ubuntu-fr.lan.
+===== Chrooter BIND9 =====
+Configurer BIND9 pour être chrooté est une sécurité recommandée si AppArmor n'est pas installé. Dans un environnement chrooté, BIND9 n'a accès qu'aux fichiers etmatériels dont il a besoin, etest incapable d'accèder à autre chose. AppArmor est installé par défaut dans les versions récentes d'Ubuntu. A moins d'avoir désactivé explicitement AppArmor, chrooter BIND9 n'est pas nécessaire. Si malgré tout, vous désirez continuer en désactivant AppArmor eten chrootant BIND9, vous trouverez les informations nécessaires sur cette page (EN) : [[https://help.ubuntu.com/community/BIND9ServerHowto#Chrooting%20BIND9|Ubuntu Bind9 Howto]]
+===== Logging =====
+BIND9 dispose d'une large variété de configurations possibles pour le logging. Il existe deux options principales, l'option Channel configure où vont les logs, etl'option Category détermine ce qui doit être loggé.
+Les options par défauts de logging sont :
 <file>
-nameserver 192.168.251.202
+logging {
+     category default { default_syslog; default_debug; };
+     category unmatched { null; };
+};
 </file>
-L'ordre dans lequel vous indiquez les lignes est important. Voici le fichier tel qu'il est chez moi :
+Nous allons configurer BIND9 pour envoyer les messages de débuggage relatifs aux requêtes DNS dans un fichier séparé.
+[[:Apparmor]] est, au moins depuis [[:lucid]], installé par défaut. Ce logiciel de sécurité ne permettra pas  à bind d'écrire son fichier de log où bon lui semble.  On peut voir dans le fichier de configuration d' apparmor pour bind: **/etc/apparmor.d/usr.sbin.named** que bind a par défaut les droits d'écriture dans le répertoire **/var/log/named/** . Il peut donc être judicieux de l'utiliser.
+==== Option Channel =====
+Dans un premier temps, nous devons configurer un channel pour spécifier dans quel fichier les messages seront enregistrés. Editez le fichier /etc/bind/named.conf.local etajoutez les lignes suivantes :
 <file>
-search bureau.lan
+logging {
-nameserver 192.168.251.202
+    channel query.log {
-nameserver 192.168.251.212
+        file "/var/log/named/query.log";
-nameserver 193.121.171.135
+        // Setthe severity to dynamic to see all the debug messages.
-nameserver 193.74.208.65
+        severity dynamic;
+    };
+};
 </file>
-Linux va essayer de résoudre un nom de la manière suivante (si une étape ne fonctionne pas, il essaye la suivante) :
+==== Option Category ====
-   * recherche du serveur de nom de ''bureau.lan'' et interrogation de ce serveur.
-   * interrogation du serveur DNS ''192.168.251.202'' qui est mon serveur DNS primaire (interne).
-   * interrogation du serveur DNS ''192.168.251.212'' qui est mon serveur DNS secondaire (interne).
-   * interrogation du serveur DNS ''193.121.171.135'' qui est le serveur DNS primaire de mon provider.
-   * interrogation du serveur DNS ''193.74.208.65'' qui est le serveur DNS secondaire de mon provider.
-==== Configuration DHCP équivalente ====
+Nous configurons ensuite une catégorie pour envoyer toutes les requêtes DNS dans le fichier de requêtes
-Si le fichier /etc/resolv.conf est généré (écrasé) automatiquement par dhclient, voici les lignes correspondantes à ajouter au fichier /etc/dhcp3/dhclient.conf (Configuration testée sur Ubuntu "hardy" 8.04.3 LTS) :
 <file>
-prepend domain-name-servers 192.168.251.202, 192.168.251.212;
+logging {
-append domain-name "bureau.lan.";
+    channel query.log {
+        file "/var/log/named/query.log";
+        // Setthe severity to dynamic to see all the debug messages.
+        severity debug 3;
+    };
+    category queries { query.log; };
+};
 </file>
-==== Configuration des clients Windows ====
+<note>
-Sans entrer dans les détails (ce n'est pas le but du site), il vous suffit d'introduire l'adresse IP de vos serveurs DNS primaire et secondaire dans les propriétés du protocole TCP/IP (accessible dans les connexions réseaux du panneau de configuration). Rajouter le suffixe DNS correspondant à votre domaine dans les propriétés réseaux de votre carte.
+L'option debug peut être un niveau allant de 1 à 3. Si aucun niveau n'est spécifié, le niveau 1 est utilisé par défaut.
+</note>
+Depuis que le daemon tourne en tant qu'utilisateur bind, le fichier **/var/log/named/query.log** doit être créé etle propriétaire changé :
+<code>
+sudo mkdir /var/log/named/
+sudo touch /var/log/named/query.log
+sudo chown -R bind /var/log/named/
+</code>
+Redémarrez BIND9 pour que les changements prennent effet:
+<code>
+sudo service bind9 restart
+</code>
+Redémarrer bind avec systemd :
+<code>
+sudo systemctl restart bind9.service
+</code>
+Vous devriez voir le fichier /var/log/named/query.log se remplir avec les logs de BIND9. Ceci n'est qu'un simple exemple des options possibles de logging. Allez voir le manuel sur le site [[http://bind9.net|bind9.net]] pour plus d'informations.
+===== Enregistrement dynamique des clients =====
+Voir la page [[:isc-dhcp-server|Serveur DHCP : dhcp3-server]]
+===== Autres possibilités =====
+Il est possible de monitorer l'utilisation du serveur en installant le package bindgraph, depuis le dépot Universe, etsuivre les détails de configurations dans le README de bindgraph.
+[[http://opentodo.net/2012/09/09/monitoring-dns-queries-with-bindgraph/|Tutoriel]] disponible sur le site [[http://opentodo.net/|opentodo.net]].
+===== Désinstallation =====
+Pour supprimer cette application, il suffit de [[:tutoriel:comment_supprimer_un_paquet|supprimer son paquet]]. Selon la méthode choisie, la configuration globale de l'application est conservée ou supprimée.
+===== Voir aussi =====
+  * **(fr)** [[http://www.commentcamarche.net/contents/internet/dns.php3]]
+  * **(fr)** [[http://www.linux-france.org/prj/edu/archinet/systeme/ch30.html]]
+  * **(fr)** [[http://www.afnic.fr/ext/dns/index.html|Autoformation au DNS de l'AFNIC]]
+  * **(fr)** [[http://www.it-connect.fr/dns-avec-bind-9%ef%bb%bf/|Mise en place d'un serveur DNS sous Linux]] sur IT-Connect
+  * **(fr)** [[http://www.it-connect.fr/securiser-dns-bind9-serveur-unique%ef%bb%bf/|Sécuriser un serveur DNS Bind autonome sous Linux]] sur IT-Connect
+  * **(fr)** [[http://actual-it.info/2013/bind9-serveur-dns/|Installer etconfigurer un serveur DNS Bind9]] - Actual-IT.info
 ----
+//Contributeurs principaux : [[:utilisateurs:lmrv]].//
+//Basé sur [[https://help.ubuntu.com/community/BIND9ServerHowto|«BIND9ServerHowto »]] par Auteur Original.//