source4/setup/named.txt

   1 # Additional informations for DNS setup using BIND
   2
   3 # If you are running a capable version of BIND and you wish to support
   4 # secure GSS-TSIG updates, you must make the following configuration
   5 # changes:
   6
   7 #
   8 # Steps for BIND 9.8.x and 9.9.x -----------------------------------------
   9 #
  10
  11 # 1. Insert following lines into the options {} section of your named.conf
  12 #    file:
  13 tkey-gssapi-keytab "${DNS_KEYTAB_ABS}";
  14
  15 #
  16 # Common Steps for BIND 9.x.x --------------------------------------------
  17 #
  18
  19 # 2. Set appropriate ownership and permissions on the ${DNS_KEYTAB} file.
  20 #    Note that the most distributions have BIND configured to run under a
  21 #    non-root user account.  For example, Fedora 9 runs BIND as the user
  22 #    "named" once the daemon relinquishes its rights.  Therefore, the file
  23 #    ${DNS_KEYTAB} must be readable by the user that BIND run as.  If BIND
  24 #    is running as a non-root user, the "${DNS_KEYTAB}" file must have its
  25 #    permissions altered to allow the daemon to read it.  Under Fedora 9,
  26 #    execute the following commands:
  27 chgrp named ${DNS_KEYTAB_ABS}
  28 chmod g+r ${DNS_KEYTAB_ABS}
  29
  30 # 3. Ensure the BIND zone file(s) that will be dynamically updated are in
  31 #    a directory where the BIND daemon can write.  When BIND performs
  32 #    dynamic updates, it not only needs to update the zone file itself but
  33 #    it must also create a journal (.jnl) file to track the dynamic updates
  34 #    as they occur.  Under Fedora 9, the /var/named directory can not be
  35 #    written to by the "named" user.  However, the directory /var/named/dynamic
  36 #    directory does provide write access.  Therefore the zone files were
  37 #    placed under the /var/named/dynamic directory.  The file directives in
  38 #    both example zone statements at the beginning of this file were changed
  39 #    by prepending the directory "dynamic/".
  40
  41 # 4. If SELinux is enabled, ensure that all files have the appropriate
  42 #    SELinux file contexts.  The ${DNS_KEYTAB} file must be accessible by the
  43 #    BIND daemon and should have a SELinux type of named_conf_t.  This can be
  44 #    set with the following command:
  45 chcon -t named_conf_t ${DNS_KEYTAB_ABS}