Configuratieprotocols 4 – DNS (3 – BIND)

Op het ogenblik dat ik deze tekst schrijf, is de laatste versie van BIND v9.3.1 en je kunt een uitvoerbare versie voor Windows downloaden op de site van het ISC. Bij deze link staat vermeld dat deze versie geschikt is voor Windows NT 4.0 en Windows 2000 zonder dat andere varianten vermeld worden, maar je kunt gerust ook werken met Windows XP en Windows 2003 servers.
Na het uitpakken van het archief in een directory zie je een heleboel HTML-bestanden en een uitvoerbaar bestand BINDInstall. Dat laatste voert inderdaad de initiële installatie uit en moet je eerst starten. Om BIND veiliger te maken onder Windows, vereist de software vanaf versie 9.3.1 dat er een gebruiker met beperkte rechten aangemaakt wordt voor het draaien van BIND. Het installatieprogramma kan dat voor je doen, maar het maakt dan een gebruiker named (de naam kun je zelf kiezen) aan met als enige recht dat deze een dienst onder Windows (een service) kan draaien. Je moet deze nieuwe gebruiker dan zelf nog rechten geven voor toegang tot de directory waarin BIND geïnstalleerd is.
In principe heeft BIND leestoegang nodig voor het bestand named.conf (waarin de eigenlijke configuratie van je domain opgeslagen staat) en lees- en schrijftoegang tot het pid-bestand (waarin het taakindentifactienummer van een gestarte dienst opgeslagen wordt) en eventuele zonebestanden die bijgewerkt worden via dynamische updates (op dynamische DNS komen we in een volgend artikel terug).
Voor deze oefening kun je ook je eigen gebruikersnaam opgeven. BINDInstall zal vragen of je dat zeker weet vermits deze gebruiker veel te veel rechten heeft en je kunt dat bevestigen zodat hij verder gaat met deze gebruiker. Dat is niet veilig, maar het speelt geen rol als je niet van plan bent DNS-diensten aan derden te verlenen.
BINDInstall installeert alles in de juiste directory’s (o.a. WindowsSystem32DNS) en zorgt ook voor de nodige registerinschrijvingen. Journaalbijdragen vanwege BIND komen in het applicatiejournaal van Windows terecht. Nu is BIND geïnstalleerd. De volgende stap is het configureren van de DNS-dienst en ten slotte de naamserver starten en uitproberen.

Configuratie
De naamserverdienst van BIND heet named (‘name daemon’). Die beheer je met behulp van een speciaal beheerprogramma dat RNDC (‘remote name daemon control’) heet. Dat kun je ook vanop afstand gebruiken en om ervoor te zorgen dat alleen de juiste systeembeheerder de DNS-dienst kan configureren, werkt RNDC met een beveiliging: hij heeft een veilige sleutel nodig voordat hij je toestaat BIND te configureren. Daar gaan we nu niet op in.