source4/setup/named.txt

   1 # Additional informations for DNS setup using BIND
   2
   3 # If you are running a capable version of BIND and you wish to support
   4 # secure GSS-TSIG updates, you must make the following configuration
   5 # changes:
   6
   7 #
   8 # Steps for BIND 9.7.x ---------------------------------------------------
   9 #
  10
  11 # 1a. Insert following lines into the options {} section of your named.conf
  12 #     file:
  13 tkey-gssapi-credential "DNS/${DNSNAME}";
  14 tkey-domain "${REALM}";
  15
  16 # 1b. Modify BIND init scripts to pass the location of the keytab file.
  17 #     Fedora 8 & later provide a variable named KEYTAB_FILE in
  18 #     /etc/sysconfig/named for this purpose:
  19 KEYTAB_FILE="${DNS_KEYTAB_ABS}"
  20 #     Note that the Fedora scripts translate KEYTAB_FILE behind the scenes
  21 #     into a variable named KRB5_KTNAME, which is ultimately passed to the
  22 #     BIND daemon.  If your distribution does not provide a variable like
  23 #     KEYTAB_FILE to pass a keytab file to the BIND daemon, a workaround is
  24 #     to place the following line in BIND's sysconfig file or in the init
  25 #     script for BIND:
  26 export KRB5_KTNAME="${DNS_KEYTAB_ABS}"
  27
  28 #
  29 # Steps for BIND 9.8.x ---------------------------------------------------
  30 #
  31
  32 # 1. Insert following lines into the options {} section of your named.conf
  33 #    file:
  34 tkey-gssapi-keytab "${DNS_KEYTAB_ABS}";
  35
  36 #
  37 # Common Steps for BIND 9.x.x --------------------------------------------
  38 #
  39
  40 # 2. Set appropriate ownership and permissions on the ${DNS_KEYTAB} file.
  41 #    Note that the most distributions have BIND configured to run under a
  42 #    non-root user account.  For example, Fedora 9 runs BIND as the user
  43 #    "named" once the daemon relinquishes its rights.  Therefore, the file
  44 #    ${DNS_KEYTAB} must be readable by the user that BIND run as.  If BIND
  45 #    is running as a non-root user, the "${DNS_KEYTAB}" file must have its
  46 #    permissions altered to allow the daemon to read it.  Under Fedora 9,
  47 #    execute the following commands:
  48 chgrp named ${DNS_KEYTAB_ABS}
  49 chmod g+r ${DNS_KEYTAB_ABS}
  50
  51 # 3. Ensure the BIND zone file(s) that will be dynamically updated are in
  52 #    a directory where the BIND daemon can write.  When BIND performs
  53 #    dynamic updates, it not only needs to update the zone file itself but
  54 #    it must also create a journal (.jnl) file to track the dynamic updates
  55 #    as they occur.  Under Fedora 9, the /var/named directory can not be
  56 #    written to by the "named" user.  However, the directory /var/named/dynamic
  57 #    directory does provide write access.  Therefore the zone files were
  58 #    placed under the /var/named/dynamic directory.  The file directives in
  59 #    both example zone statements at the beginning of this file were changed
  60 #    by prepending the directory "dynamic/".
  61
  62 # 4. If SELinux is enabled, ensure that all files have the appropriate
  63 #    SELinux file contexts.  The ${DNS_KEYTAB} file must be accessible by the
  64 #    BIND daemon and should have a SELinux type of named_conf_t.  This can be
  65 #    set with the following command:
  66 chcon -t named_conf_t ${DNS_KEYTAB_ABS}