/usr/share/doc/HOWTO/fr-html/Chroot-BIND-HOWTO.html

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE html
  PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>Guide pratique d'utilisation de BIND en environnement restreint</title><link rel="stylesheet" type="text/css" href="style.css"/><meta name="generator" content="DocBook XSL Stylesheets V1.79.1"/><meta name="description" content="Ce document décrit l'installation du serveur de noms BIND 9 dans un environnement d'exécution restreint en tant qu'utilisateur non root. Cette configuration offre une meilleure sécurité et permet de limiter les effets potentiels d'une compromission. Ce document a été mis à jour pour la version 9 de BIND ; si vous utilisez toujours la version 8 de BIND, référez-vous plutôt au Guide pratique d'utilisation de BIND 8 en environnement restreint."/></head><body><div xml:lang="fr" class="article"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1"/>

Guide pratique d'utilisation de BIND en environnement restreint

</h2></div><div><h3 class="subtitle"><em>

Adaptation française du guide pratique <span class="foreignphrase"><em class="foreignphrase">Chroot-BIND
HOWTO</em></span>

</em></h3></div><div><div class="author"><h3 class="author"><span class="firstname">Scott</span> <span class="surname">Wunsch</span></h3><code class="email">&lt;<a class="email" href="mailto:scott CHEZ wunsch POINT org">scott CHEZ wunsch POINT org</a>&gt;</code></div></div><div><p class="othercredit"><span class="contrib">Adaptation française</span> : <span class="firstname">Vincent</span> <span class="surname">Loupien</span></p></div><div><p class="othercredit"><span class="contrib">Relecture de la version française</span> : <span class="firstname">Benoît</span> <span class="surname">Rouits</span>, <span class="firstname">Jean-Philippe</span> <span class="surname">Guérard</span></p></div><div/><div><p class="othercredit"><span class="contrib">Préparation de la publication de la v.f.</span> : <span class="firstname">Jean-Philippe</span> <span class="surname">Guérard</span></p></div><div><p class="releaseinfo">Version : 1.5.fr.1.0</p></div><div><p class="pubdate">20 juillet 2005</p></div><div><div class="revhistory"><table summary="Historique des versions"><tr><th align="left" valign="top" colspan="3"><strong>Historique des versions</strong></th></tr><tr><td align="left">Version 1.5.fr.1.0</td><td align="left">2005-07-30</td><td align="left">VL, BR, JPG</td></tr><tr><td align="left" colspan="3">
       
           Version française relue par Benoît Rouits.
           
       </td></tr><tr><td align="left">Version 1.5.fr.0.9</td><td align="left">2004-06-28</td><td align="left">VL, JPG</td></tr><tr><td align="left" colspan="3">
       
           Première version française (non relue).
           
       </td></tr><tr><td align="left">Version 1.5</td><td align="left">2001-12-01</td><td align="left">SW</td></tr></table></div></div><div><div class="abstract"><p class="title"><strong>Résumé</strong></p><p>

Ce document décrit l'installation du serveur de noms BIND 9 dans un 
environnement d'exécution restreint en tant qu'utilisateur non root. 
Cette configuration offre une meilleure sécurité et permet de limiter 
les effets potentiels d'une compromission. Ce document a été mis à jour 
pour la version 9 de BIND ; si vous utilisez toujours la 
version 8 de BIND, référez-vous plutôt au <span class="quote">« <span class="quote">Guide pratique 
d'utilisation de BIND 8 en environnement restreint</span> »</span>.

</p></div></div></div><hr/></div><div class="toc"><p><strong>Table des matières</strong></p><dl class="toc"><dt><span class="section"><a href="#d0e101">1. Introduction</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e108">1.1. Objet de ce document</a></span></dt><dt><span class="section"><a href="#d0e127">1.2. Pourquoi ?</a></span></dt><dt><span class="section"><a href="#Ou">1.3. Où ?</a></span></dt><dt><span class="section"><a href="#d0e174">1.4. Comment ?</a></span></dt><dt><span class="section"><a href="#d0e181">1.5. Mise en garde</a></span></dt></dl></dd><dt><span class="section"><a href="#d0e193">2. Préparation de l'environnement restreint</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e196">2.1. Création d'un utilisateur</a></span></dt><dt><span class="section"><a href="#d0e227">2.2. Arborescence de répertoires</a></span></dt><dt><span class="section"><a href="#d0e244">2.3. Mise en place des données de BIND</a></span></dt><dt><span class="section"><a href="#d0e282">2.4. Fichiers de support système</a></span></dt><dt><span class="section"><a href="#logging">2.5. Journalisation des évènements</a></span></dt><dt><span class="section"><a href="#perm">2.6. Resserrer les permissions</a></span></dt></dl></dd><dt><span class="section"><a href="#compiling">3. Compiler et installer votre beau BIND tout neuf</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e498">3.1. Compiler</a></span></dt></dl></dd><dt><span class="section"><a href="#installing">4. Installer votre beau BIND tout neuf</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e536">4.1. Installer les binaires</a></span></dt><dt><span class="section"><a href="#d0e544">4.2. Mise en place du script d'init</a></span></dt><dt><span class="section"><a href="#d0e606">4.3. Changement de configuration</a></span></dt></dl></dd><dt><span class="section"><a href="#d0e627">5. Fin</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e630">5.1. Lancement de BIND</a></span></dt><dt><span class="section"><a href="#d0e639">5.2. Voilà !</a></span></dt></dl></dd><dt><span class="appendix"><a href="#d0e644">A. 

Annexes

</a></span></dt><dd><dl><dt><span class="section"><a href="#upgrading">1. Mises à jour ultérieures de BIND</a></span></dt><dt><span class="section"><a href="#thanks">2. Remerciements</a></span></dt><dt><span class="section"><a href="#legal">3. Politique de distribution de ce document</a></span></dt></dl></dd></dl></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e101"/>1. Introduction</h2></div></div></div><p>

Ce document est le guide pratique de BIND en environnement 
restreint ; reportez-vous à la <a class="xref" href="#Ou" title="1.3. Où ?">Section 1.3, « Où ? »</a> pour trouver la 
version la plus récente de ce document. Nous supposerons que vous savez 
déjà configurer et utiliser BIND (le serveur de Noms de Domaines 
Internet de Berkeley). Si ce n'est pas le cas, je vous recommande de 
commencer par lire le guide pratique du DNS (DNS HOWTO). Nous 
supposerons également que vous avez une connaissance suffisante de la 
compilation et de l'installation d'un logiciel sur un système de type 
Unix.

</p><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e108"/>1.1. Objet de ce document</h3></div></div></div><p>

Ce document présente quelques précautions de sécurité supplémentaires 
applicables lors de l'installation de BIND. Il explique comment 
configurer BIND de sorte qu'il réside dans un environnement restreint, 
ce qui signifie qu'il ne peut voir ou accéder aux fichiers à l'extérieur 
de sa propre arborescence. Nous le configurerons également pour 
s'exécuter en tant qu'utilisateur non root.

</p><p>

Le principe d'un environnement restreint est assez simple. Lorsque vous 
exécutez BIND (ou tout autre processus) dans un environnement restreint 
(c'est-à-dire en utilisant pour le système de fichier une racine 
différente — d'où le nom de la commande utilisée 
<span class="quote">« <span class="quote"><span class="foreignphrase"><em class="foreignphrase">chroot</em></span></span> »</span>, c'est-à-dire, en 
anglais, <span class="quote">« <span class="quote">changer la racine</span> »</span>), le processus ne peut tout 
simplement pas voir les autres parties du système de fichiers (situées 
hors de son environnement). Vous avez probablement déjà rencontré un 
environnement restreint auparavant, si vous avez déjà utilisé un client 
<span class="command"><strong>ftp</strong></span> pour vous connecter à un serveur de fichier 
public.

</p><p>

Étant donné que le processus d'exécution en environnement restreint est 
beaucoup plus simple avec BIND 9, j'ai commencé à développer 
légèrement ce document, pour y inclure des astuces plus générales sur la 
manière de sécuriser une installation BIND. Néanmoins, ce document n'est 
pas (et ne souhaite pas devenir) une référence complète pour la 
sécurisation de BIND. Faire uniquement ce qui est décrit dans ce 
document ne suffit pas à sécuriser un serveur de nom !

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e127"/>1.2. Pourquoi ?</h3></div></div></div><p>

Le principe de l'exécution de BIND en environnement restreint est de 
limiter le degré d'accès dont pourrait bénéficier un individu 
malveillant en exploitant une des vulnérabilités de BIND. C'est pour la 
même raison que nous exécutons BIND en tant qu'utilisateur non root.

</p><p>

Ceci devrait être considéré comme un supplément aux précautions normales 
de sécurité (exécution de la dernière version, utilisation des listes de 
contrôle d'accès, et cætera), et non comme une solution de remplacement 
à ces dernières.

</p><p>

Si la sécurité du DNS vous intéresse, quelques autres produits 
pourraient également vous intéresser. Compiler BIND avec <a class="ulink" href="http://www.immunix.org/stackguard.html" target="_top">StackGuard</a> peut 
être une bonne idée pour assurer une plus grande protection. Son 
utilisation est simple ; elle équivaut à utiliser un gcc standard. 
Il existe aussi une alternative sécurisée à BIND, <a class="ulink" href="http://cr.yp.to/dnscache.html" target="_top">DNScache</a>, écrit par Dan 
Bernstein. Dan est l'auteur de qmail et DNScache semble en suivre la même 
philosophie.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="Ou"/>1.3. Où ?</h3></div></div></div><p>

La dernière version française de ce document est toujours disponible sur
le site du projet <a class="ulink" href="http://www.traduc.org" target="_top">Traduc.org</a> :
<a class="ulink" href="http://www.traduc.org/docs/howto/lecture/Chroot-BIND8-HOWTO.html" target="_top">http://www.traduc.org/docs/howto/lecture/Chroot-BIND8-HOWTO.html</a>.

</p><p>

La dernière version originale de ce document est toujours disponible à 
partir du site Web des Utilisateurs de Linux et de logiciels libres de 
Regina, Sask. : <a class="ulink" href="http://www.losurs.org/docs/howto/Chroot-BIND.html" target="_top">http://www.losurs.org/docs/howto/Chroot-BIND.html</a>.

</p><p>

Il existe maintenant une traduction japonaise de ce document, maintenue 
par

<code class="email">&lt;<a class="email" href="mailto:nakano CHEZ apm POINT seikei POINT ac POINT jp">nakano CHEZ apm POINT seikei POINT ac POINT jp</a>&gt;</code>.

Elle est disponible à l'adresse <a class="ulink" href="http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html" target="_top">http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html</a>. BIND 
est disponible à l'adresse de l'<a class="ulink" href="http://www.isc.org/" target="_top">Internet Software Consortium</a> à 
l'adresse <a class="ulink" href="http://www.isc.org/bind.html" target="_top">http://www.isc.org/bind.html</a>. Au moment de la 
publication de ce document, la version courante de BIND 9 est la 
version 9.2.0. La version  9 de BIND est sortie depuis 
longtemps et est déjà largement employée en production. Néanmoins, 
nombre de traditionalistes préfèrent encore utiliser BIND 8. Si 
c'est votre cas, reportez-vous à mon <span class="quote">« <span class="quote">Guide pratique de 
l'utilisation de BIND 8 en environnement restreint</span> »</span> 
(disponible au même endroit) qui vous expliquera comment l'exécuter en 
environnement restreint. Cependant, soyez conscient que BIND 8 est 
plus difficilement exécutable en environnement restreint. Gardez à 
l'esprit qu'il existe des trous de sécurité <span class="emphasis"><em>connus</em></span> 
sur toutes les versions de BIND. Assurez-vous que vous exécutez bien la 
dernière version !

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e174"/>1.4. Comment ?</h3></div></div></div><p>

J'ai écrit ce document en me basant sur mon expérience du paramétrage de 
BIND dans un environnement restreint. Dans mon cas, j'avais déjà un BIND 
en exploitation sous la forme d'un paquet fourni par de ma distribution 
Linux. Je suppose que beaucoup d'entre-vous êtes dans la même situation, 
que vous allez juste récupérer et modifier les fichiers de configuration 
provenant de votre installation actuelle de BIND, puis désinstaller 
l'ancien paquet avant d'installer le nouveau. Ne désinstallez pas le 
paquet tout de suite ; nous pourrions avoir besoin d'y récupérer 
quelques fichiers.

</p><p>

Si vous n'êtes pas dans ce cas, vous devriez néanmoins être capable de 
comprendre ce document. La seule différence est que, lorsque je parle de 
copier un fichier existant, vous devrez d'abord le créer vous-même. Le 
guide pratique du DNS pourra vous être utile pour cela.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e181"/>1.5. Mise en garde</h3></div></div></div><p>

Cette procédure a fonctionné pour moi, sur mon système. Vous pourriez 
avoir à la modifier. Ce n'est qu'une façon d'aborder la 
question ; il y a d'autres moyens d'arriver à la même solution 
(cependant l'approche restera la même). Il s'est juste trouvé que ma 
première tentative a fonctionné, et j'ai donc tout noté.

</p><p>

À ce jour, mon expérience de BIND se limite à l'installation sur des 
serveurs Linux. Cependant, la plupart des instructions de ce document 
devraient être facilement applicables à d'autres saveurs d'UNIX et 
j'essaierai d'indiquer les éventuelles différences dont j'aurais 
connaissance. J'ai également reçu des suggestions de personnes utilisant 
d'autres distributions et d'autres plates-formes, et j'ai essayé 
d'incorporer leurs commentaires lorsque cela était possible.

</p><p>

Si vous utilisez Linux, vous devez être sûr d'utiliser un noyau 2.4 
avant d'essayer ceci. Le paramètre <code class="literal">-u</code> (exécution par 
un utilisateur non root) requiert cette version du noyau.

</p></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e193"/>2. Préparation de l'environnement restreint</h2></div></div></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e196"/>2.1. Création d'un utilisateur</h3></div></div></div><p>

Comme cela est mentionné dans l'introduction, il n'est pas conseillé de 
faire fonctionner BIND sous le compte root. Ainsi, avant de commencer, 
créons un utilisateur spécifique pour BIND. Notez que vous ne devez 
jamais employer un utilisateur générique comme <code class="literal">nobody</code> 
pour cela. Ainsi, quelques distributions, comme SuSE et Mandrake Linux 
ont commencé à fournir un utilisateur spécifique (généralement appelé 
<code class="literal">named</code>) ; si vous le souhaitez, vous pouvez 
tout simplement adapter cet utilisateur à nos desseins. Ceci exige 
l'ajout d'une ligne comme celle qui suit dans 
<code class="filename">/etc/passwd</code> :

</p><pre class="screen">
named:x:200:200:Serveur de noms:/chroot/named:/bin/false
</pre><p>

Et d'une ligne de ce type dans <code class="filename">/etc/group</code> :

</p><pre class="screen">
named:x:200:
</pre><p>

Ceci crée pour BIND un utilisateur et un groupe appelés 
<code class="literal">named</code>. Assurez-vous que l'UID et le GID (tous deux 
valant 200 dans cet exemple) sont uniques sur votre système. 
L'interpréteur de commande est mis à <code class="literal">/bin/false</code> car 
cet utilisateur n'aura jamais besoin de se connecter.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e227"/>2.2. Arborescence de répertoires</h3></div></div></div><p>

Nous devons maintenant mettre en place l'arborescence de répertoires que 
nous allons utiliser pour l'environnement restreint d'exécution de BIND. 
Elle peut se situer n'importe où dans votre système de fichiers ; 
si vous êtes vraiment paranoïaque, vous pourrez même la placer dans un 
volume séparé. Je supposerai que vous allez employer <code class="filename">/chroot/named</code>. Commençons en créant 
l'arborescence de répertoires suivante :

</p><pre class="screen">
/chroot
  +-- named
       +-- dev
       +-- etc
       |    +-- namedb
       |         +-- slave
       +-- var
            +-- run
</pre><p>

Si vous utilisez la commande GNU <span class="command"><strong>mkdir</strong></span> (tel que 
présente sur les systèmes Linux), vous pourrez créer l'arborescence de 
répertoires ainsi :

</p><pre class="screen">
# mkdir -p /chroot/named
# cd /chroot/named
# mkdir -p dev etc/namedb/slave var/run
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e244"/>2.3. Mise en place des données de BIND</h3></div></div></div><p>

Si vous avez déjà fait une installation conventionnelle de BIND et si 
vous l'utilisez, votre fichier <code class="filename">named.conf</code> et vos 
fichiers de zones existent déjà. Ces fichiers doivent être déplacés (ou 
copiés pour plus de sûreté) dans l'environnement restreint, de sorte que 
BIND puisse les atteindre. <code class="filename">named.conf</code> ira dans 
<code class="filename">/chroot/named/etc</code>, et les fichiers de zone pourront 
aller dans <code class="filename">/chroot/named/etc/namedb</code>. Par 
exemple :

</p><pre class="screen">
# cp -p /etc/named.conf /chroot/named/etc/
# cp -a /var/named/* /chroot/named/etc/namedb/
</pre><p>

BIND a normalement besoin d'écrire dans le répertoire 
<code class="filename">namedb</code>, mais pour renforcer la sécurité, nous ne 
l'autoriserons pas à le faire. Si votre serveur de nom est esclave pour 
une zone quelconque, il aura besoin de mettre à jour ces fichiers de 
zones, ce qui veut dire nous devrons les enregistrer dans un répertoire 
séparé, auquel BIND aura accès.

</p><pre class="screen">
# chown -R named:named /chroot/named/etc/namedb/slave
</pre><p>
Gardez à l'esprit que vous devrez déplacer toutes vos zones esclaves 
dans ce répertoire et que vous devez mettre à jour votre 
<code class="filename">named.conf</code> en conséquence.

</p><p>

BIND aura aussi besoin d'écrire dans le répertoire 
<code class="filename">/var/run</code>, pour y mettre ses fichiers pid et ses 
fichiers de statistiques, donc permettons-lui de le faire :

</p><pre class="screen">
# chown named:named /chroot/named/var/run
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e282"/>2.4. Fichiers de support système</h3></div></div></div><p>

Lorsque BIND s'exécute dans l'environnement restreint, il ne peut plus 
<span class="emphasis"><em>du tout</em></span> accéder aux fichiers situés hors de 
celui-ci. Cependant, il a besoin d'accéder à quelques fichiers clefs, 
bien que leur nombre soit bien moindre que ce dont BIND 8 avait 
besoin.

</p><p>

Un fichier dont BIND aura besoin à l'intérieur de sa prison est le bon 
vieux <code class="filename">/dev/null</code>. Notez que la 
commande exacte nécessaire pour créer ce fichier spécial peut varier de 
système à système ; vérifiez le script 
<code class="filename">/dev/MAKEDEV</code> pour vous en assurer. Quelques 
systèmes peuvent également exiger <code class="filename">/dev/zero</code>, que 
nous pourrons créer de la même façon. Il a été mentionné que les version 
préliminaires de BIND 9.2.0 ont maintenant également besoin de 
<code class="filename">/dev/random</code>. Pour la plupart des systèmes Linux, 
nous pourrons employer les commandes suivantes :

</p><pre class="screen">
# mknod /chroot/named/dev/null c 1 3
# mknod /chroot/named/dev/random c 1 8
# chmod 666 /chroot/named/dev/{null,random}
</pre><p>

Pour FreeBSD 4.3, ce sera :

</p><pre class="screen">
# mknod /chroot/named/dev/null c 2 2
# mknod /chroot/named/dev/random c 2 3
# chmod 666 /chroot/named/dev/{null,random}
</pre><p>

Vous aurez besoin de disposer d'un autre fichier dans le répertoire 
<code class="filename">/etc</code> de l'environnement restreint. Vous devrez 
copier <code class="filename">/etc/localtime</code> (nommé 
<code class="filename">/usr/lib/zoneinfo/localtime</code> sur certains systèmes), 
afin que BIND puisse enregistrer les évènements avec un horodatage 
correct. La commande suivante s'en chargera :

</p><pre class="screen">
# cp /etc/localtime /chroot/named/etc/
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="logging"/>2.5. Journalisation des évènements</h3></div></div></div><p>

BIND a beau être prisonnier de son environnement restreint, 
contrairement à un prisonnier ordinaire, il ne peut écrire son journal 
sur les murs de sa cellule <code class="literal">:-)</code> Normalement, BIND 
enregistre un journal des évènements grâce à 
<span class="application">syslogd</span>, le démon de journalisation système. 
Cependant, ce type de journalisation est effectué en envoyant les 
enregistrements d'évènements vers le connecteur (<span xml:lang="en" class="foreignphrase"><em xml:lang="en" class="foreignphrase">socket</em></span>) spécial 
<code class="filename">/dev/log</code>. Puisqu'elle se trouve désormais à 
l'extérieur de l'environnement restreint, BIND ne peut plus l'employer. 
Heureusement, il existe quelques solutions pour contourner le problème.

</p><div class="section"><div class="titlepage"><div><div><h4 class="title"><a id="d0e340"/>2.5.1. La solution idéale</h4></div></div></div><p>

La solution idéale de ce dilemme exige une version raisonnablement 
récente de <span class="application">syslogd</span> qui prenne en charge le 
paramètre <code class="option">-a</code> introduit par OpenBSD. Reportez-vous à la 
page de manuel de votre

<span class="citerefentry"><span class="refentrytitle">syslogd</span>(8)</span>

pour vérifier si elle offre cette option. Si c'est la cas, la seule 
chose que vous ayez à faire est d'ajouter le paramètre 
<span class="quote">« <span class="quote"><code class="literal">-a /chroot/named/dev/log</code></span> »</span> à la ligne de 
commande utilisée pour lancer <span class="application">syslogd</span>. Sur 
les systèmes qui utilisent un init SysV complet (ce qui inclut la 
plupart des distributions Linux), vous pouvez faire cela en modifiant le 
fichier <code class="filename">/etc/rc.d/init.d/syslog</code>. Par exemple, sur 
mon système Linux Red Hat, j'ai changé la ligne

</p><pre class="screen">
daemon syslogd -m 0
</pre><p>

en

</p><pre class="screen">
daemon syslogd -m 0 -a /chroot/named/dev/log
</pre><p>

Il est intéressant de noter qu'à partir de la Red Hat 7.2, Red Hat a 
apparemment rendu ce processus plus facile. Il y a maintenant un fichier 
appelé <code class="filename">/etc/sysconfig/syslog</code> dans lequel on peut 
définit des paramètres supplémentaires pour syslogd. Les systèmes 
OpenLinux de Caldera utilisent un démon de lancement appelé 
<span class="application">ssd</span>, qui lit la configuration depuis 
<code class="filename">/etc/sysconfig/daemons/syslog</code>. Il vous suffit de 
modifier la ligne d'options pour qu'elle ressemble à ceci :

</p><pre class="screen">
OPTIONS_SYSLOGD="-m 0 -a /chroot/named/dev/log"
</pre><p>

De la même façon sur les systèmes SuSE, il m'a été indiqué que le 
meilleur endroit pour ajouter ce paramètre est le fichier 
<code class="filename">/etc/rc.config</code>. Changez la ligne

</p><pre class="screen">
SYSLOGD_paraMS=""
</pre><p>

en

</p><pre class="screen">
SYSLOGD_paraMS="-a /chroot/named/dev/log"
</pre><p>

devrait faire l'affaire. Enfin, le dernier mais non le moindre, 
pour FreeBSD 4.3, il suffit apparemment de modifier le fichier 
<code class="filename">rc.conf</code> et d'y ajouter :

</p><pre class="screen">
syslogd_flags="-s -l /chroot/named/dev/log"
</pre><p>

Le <code class="option">-s</code> est là pour des raisons de sécurité, et fait 
partie des paramètres par défaut. Le <code class="option">-l</code> doit être suivi 
d'un chemin local, dans lequel on souhaite placer une autre interface de 
journalisation. Une fois que vous avez compris comment faire cette 
modification sur votre système, il vous suffira de redémarrer 
<span class="application">syslogd</span>, que cela soit en le tuant (avec un 
<span class="command"><strong>kill</strong></span>) et en le relançant (avec les paramètres 
supplémentaires) ou en employant le script d'init SysV qui le fera pour 
vous :

</p><pre class="screen">
# /etc/rc.d/init.d/syslog stop
# /etc/rc.d/init.d/syslog start
</pre><p>

Une fois redémarré, vous devriez voir dans 
<code class="filename">/chroot/named/dev</code> une entrée appelée 
<code class="filename">log</code> qui ressemble à ceci :

</p><pre class="screen">
srw-rw-rw-   1 root     root            0 Mar 13 20:58 log
</pre></div><div class="section"><div class="titlepage"><div><div><h4 class="title"><a id="d0e430"/>2.5.2. L'autre solution</h4></div></div></div><p>

Si vous avez un ancien <span class="application">syslogd</span>, vous devrez 
trouver une autre façon d'écrire dans le journal des évènements. Il 
existe quelques programmes pour cela, comme 
<span class="application">holelogd</span>, qui est conçu pour agir comme un 
serveur mandataire en acceptant les entrées d'évènements du BIND en 
environnement restreint pour les passer au véritable connecteur 
<code class="filename">/dev/log</code>. Vous pouvez aussi tout simplement 
configurer BIND pour journaliser les évènements dans un fichier au lieu 
de les passer à syslog. Reportez-vous à la documentation de BIND pour 
plus d'informations si vous choisissez d'utiliser cette méthode.

</p></div></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="perm"/>2.6. Resserrer les permissions</h3></div></div></div><p>

Tout d'abord, n'hésitez à restreindre à l'utilisateur 
<code class="literal">root</code> l'accès à la totalité du répertoire 
<code class="filename">/chroot</code>. Bien sur, tout le monde ne voudra pas 
faire cela, particulièrement si cela indisposait d'autres logiciels 
installés dans la même arborescence.

</p><pre class="screen">
# chown root /chroot
# chmod 700 /chroot
</pre><p>

Vous pouvez aussi sans danger restreindre l'accès de
<code class="filename">/chroot/named</code> à l'utilisateur
<code class="literal">named</code>.

</p><pre class="screen">
# chown named:named /chroot/named
# chmod 700 /chroot/named
</pre><p>

Pour renforcer un peu plus la sécurité, sur les systèmes Linux utilisant 
le système de fichier ext2, nous pouvons rendre certains fichiers et 
répertoires immuables, en utilisant l'utilitaire 
<code class="literal">chattr</code>.

</p><pre class="screen">
# cd /chroot/named
# chattr +i etc etc/localtime var
</pre><p>

De même, sur FreeBSD 4.3, <span class="command"><strong>chflags</strong></span> est l'outil à 
examiner pour rendre certains fichiers immuables. À titre d'exemple, ce 
qui suit devrait rendre immuable le contenu du répertoire 
<code class="filename">/chroot/named/etc</code> :

</p><pre class="screen">
# chflags schg /chroot/named/etc/*(*).
</pre><p>

Il serait pratique de pouvoir faire la même chose sur le répertoire 
<code class="filename">dev</code>, mais malheureusement cela empêcherait 
<span class="application">syslogd</span> de créer son connecteur 
<code class="filename">dev/log</code>. Vous pourrez aussi choisir de positionner 
le bit immuable sur d'autres fichiers de votre prison, comme par exemple 
vos fichiers de zone primaire, à condition qu'ils ne soient pas supposés 
changer.

</p></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="compiling"/>3. Compiler et installer votre beau BIND tout neuf</h2></div></div></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e498"/>3.1. Compiler</h3></div></div></div><p>

Compiler BIND 9 pour l'utiliser dans un environnement restreint est 
une expérience plus plaisante que cela ne l'était avec BIND 8. En 
fait, vous n'avez rien de spécial à faire ; le classique 
<strong class="userinput"><code>./configure &amp;&amp; make</code></strong> suffira. 
Gardez à l'esprit que, sur des systèmes Linux, si vous voulez activer la 
compatibilité IPv6 de BIND (<code class="option">--enable-ipv6</code>), vous devrez 
disposer de versions correspondantes du noyau et de la bibliothèque 
glibc. Si vous avez un noyau 2.2, vous aurez besoin de la 
glibc 2.1. Si vous avez un noyau 2.4, vous avez besoin de la 
glibc 2.2. BIND est plutôt pointilleux à ce propos.

</p></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="installing"/>4. Installer votre beau BIND tout neuf</h2></div></div></div><p>

Vous devez aussi savoir que, si vous avez déjà installé BIND, par 
exemple en utilisant un paquet RPM, vous devrez probablement le 
désinstaller avant d'installer votre nouvelle version. Sur un système 
Red Hat, cela implique probablement de désinstaller les paquets 
<code class="literal">bind</code> et <code class="literal">bind-utils</code>, et peut-être 
aussi <code class="literal">bind-devel</code> et 
<code class="literal">caching-nameserver</code>, si vous les avez.

</p><p>

Vous devriez sauvegarder une copie du script d'init (en général 
<code class="literal">/etc/rc.d/init.d/named</code>), s'il y a en un, avant la 
désinstallation ; ce sera utile plus tard.

</p><p>

Si vous réalisez une mise à jour depuis une ancienne version de BIND, 
tel que BIND 8, vous devriez lire le document de migration contenu 
dans le fichier <code class="filename">doc/misc/migration</code> du paquet source 
de BIND. Ce document ne traite pas du tout de la migration ; il 
part simplement de l'hypothèse que vous remplacez une installation 
existante et fonctionnelle de BIND 9.

</p><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e536"/>4.1. Installer les binaires</h3></div></div></div><p>

C'est la partie facile :-) Lancez juste <strong class="userinput"><code>make 
install</code></strong> et laissez-le tout faire pour vous. Et voilà, c'est 
aussi simple que cela.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e544"/>4.2. Mise en place du script d'init</h3></div></div></div><p>

Si vous avez un script d'init provenant de votre distribution, le mieux 
serait probablement de simplement le modifier pour exécuter le nouveau 
binaire, avec les paramètres appropriés. Les paramètres sont… 
<span class="emphasis"><em>(roulement de tambour s'il vous plaît…)</em></span>

</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>

<code class="option">-u named</code>, pour exécuter BIND avec l'utilisateur 
<code class="literal">named</code> , plutôt que <code class="literal">root</code>.

</p></li><li class="listitem"><p>

<code class="option">-t /chroot/named</code>, pour que BIND s'exécute dans 
l'environnement restreint que nous avons mis en place.

</p></li><li class="listitem"><p>

<code class="option">-c /etc/named.conf</code>, pour que BIND trouve
sa configuration à l'intérieur de la prison.

</p></li></ul></div><p>

Ce qui suit est le script d'init que j'utilise avec mon système Red Hat 
6.0. Comme vous pouvez voir, il est presque identique à celui livré par 
Red Hat. Je n'ai pas encore essayé la commande <span class="command"><strong>rndc</strong></span>, 
mais je ne vois pas pour quelle raison elle ne fonctionnerait pas.

</p><pre class="programlisting">
#!/bin/sh
#
# named   Le rôle de ce script est de démarrer et d'arrêter
#         named (serveur DNS BIND).
#
# chkconfig: 345 55 45
# description: named (BIND) est le serveur de nom (DNS) \
# utilisé pour résoudre les noms de domaines en adresses IP.
# probe: true

# Lecture de la bibliothèque de fonctions.
. /etc/rc.d/init.d/functions

# Lecture des paramètres réseau.
. /etc/sysconfig/network

# Vérifie que le réseau fonctionne.
[ ${NETWORKING} = "no" ] &amp;&amp; exit 0

[ -f /usr/local/sbin/named ] || exit 0

[ -f /chroot/named/etc/named.conf ] || exit 0

# En fonction de ce qui est appelé.
case "$1" in
  start)
	# Démarrer le démon.
        echo -n "Démarrage de named : "
        daemon /usr/local/sbin/named -u named -t /chroot/named \
                                     -c /etc/named.conf
        echo
        touch /var/lock/subsys/named
        ;;
  stop)
        # Arrêter le démon.
        echo -n "Arrêt de named : "
        killproc named
        rm -f /var/lock/subsys/named
        echo
        ;;
  status)
        status named
        exit $?
        ;;
  restart)
        $0 stop
        $0 start
        exit $?
        ;;
  reload)
        /usr/local/sbin/rndc reload
        exit $?
        ;;
  probe)
        # named sait comment redémarrer intelligemment ;
        # nous ne voulons pas que linuxconf nous propose
        # de le redémarrer à chaque fois
        /usr/local/sbin/rndc reload &gt;/dev/null 2&gt;&amp;1 || echo start
        exit 0
        ;;

  *)
        echo "Utilisation: named {start|stop|status|restart|reload}"
        exit 1
esac

exit 0
</pre><p>

Comme pour syslogd, à partir de la version 7.2 de Red Hat, ce processus 
est devenu encore plus simple. Il existe maintenant un fichier nommé 
<code class="filename">/etc/sysconfig/named</code> dans lequel il est possible 
d'ajouter des paramètres pour syslogd. Cependant, dans la distribution 
Red Hat 7.2, la version par défaut de 
<code class="filename">/etc/rc.d/init.d/named</code>, vérifie l'existence de 
<code class="filename">/etc/named.conf</code> avant de lancer BIND. Vous devrez 
corriger ce chemin.

</p><p>

Sur les systèmes OpenLinux de Caldera, vous avez juste besoin de 
modifier les variables définies au début et le script s'occupera 
apparemment du reste pour vous :

</p><pre class="screen">
NAME=named
DAEMON=/chroot/named/bin/$NAME
OPTIONS="-t /chroot/named -u named -g named"
</pre><p>

Et sous FreeBSD 4.3, vous pouvez éditer le fichier 
<code class="filename">rc.conf</code> et y ajouter les lignes suivantes :

</p><pre class="screen">
named_enable="YES"
named_program="chroot/named/bin/named"
named_flags="-u named -t /chroot/named -c /etc/namedb/named.conf"
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e606"/>4.3. Changement de configuration</h3></div></div></div><p>

Vous devrez aussi ajouter ou modifier quelques options dans votre 
<code class="filename">named.conf</code> pour que vos divers répertoires soient 
correctement définis. En particulier, vous devrez ajouter (ou changer, 
si vous les avez déjà) les directives suivantes dans la section 
<code class="literal">options</code> :

</p><pre class="screen">
directory "/etc/namedb";
pid-file "/var/run/named.pid";
statistics-file "/var/run/named.stats";
</pre><p>

Ce fichier étant lu par le démon <span class="application">named</span>, tous 
les chemins sont relatifs à l'environnement restreint. Au jour de la 
rédaction de ce document, BIND 9 ne permettait pas d'utiliser 
nombre des fichiers de statistiques et de vidage qu'il était possible 
d'utiliser avec la version précédente. Présumons que les prochaines le 
pourront ; si vous exécutez de telles configurations, vous devrez 
ajouter des entrées additionnelles pour forcer BIND à également écrire 
ces fichiers dans le répertoire <code class="filename">/var/run</code>.

</p></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e627"/>5. Fin</h2></div></div></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e630"/>5.1. Lancement de BIND</h3></div></div></div><p>

Tout devrait être configuré et vous devriez être prêt à lancer BIND, 
dans cette nouvelle version plus sûre. Si vous utilisez un script d'init 
de type Système V, vous pourrez le lancer tout simplement en 
utilisant la commande :

</p><pre class="screen">
# /etc/rc.d/init.d/named start
</pre><p>

Avant de faire cela, assurez-vous d'avoir arrêté toutes les anciennes 
versions de BIND qui pourraient encore fonctionner.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e639"/>5.2. Voilà !</h3></div></div></div><p>

Vous pouvez aller faire un petit somme maintenant ;-)

</p></div></div><div class="appendix"><h2 class="title"><a id="d0e644"/>A. 

Annexes

</h2><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="upgrading"/>1. Mises à jour ultérieures de BIND</h3></div></div></div><p>

Vous avez maintenant un BIND 9.1.2 tout joliment casé dans son 
environnement restreint et assez peaufiné à votre goût… et vous 
entendez parler de cette désagréable rumeur disant que BIND 9.1.3 est 
finalement sorti. Vous vous sentez donc obligé de l'essayer sans 
attendre. Devrez-vous repasser entièrement par ce long processus pour 
installer cette nouvelle version ?

</p><p>

Pas du tout. En fait, vous aurez juste besoin de compiler le nouveau 
BIND et l'installer par dessus l'ancien. N'oubliez pas d'arrêter 
l'ancienne version et de redémarrer BIND, ou c'est l'ancienne version 
qui continuera à tourner !

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="thanks"/>2. Remerciements</h3></div></div></div><p>

Je voudrais remercier les personnes suivantes pour leur aide dans la 
création de ce guide pratique :

</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>

Lonny Selinger

<code class="email">&lt;<a class="email" href="mailto:lonny CHEZ abyss POINT za POINT org">lonny CHEZ abyss POINT za POINT org</a>&gt;</code>

pour l'évaluation» de la première version de ce guide pratique et pour 
s'être assuré que je n'avais rien oublié.

</p></li><li class="listitem"><p>

Chirik

<code class="email">&lt;<a class="email" href="mailto:chirik CHEZ CastleFur POINT COM">chirik CHEZ CastleFur POINT COM</a>&gt;</code>,

Dwayne Litzenberger

<code class="email">&lt;<a class="email" href="mailto:dlitz CHEZ dlitz POINT net">dlitz CHEZ dlitz POINT net</a>&gt;</code>,

Phil Bambridge

<code class="email">&lt;<a class="email" href="mailto:phil.b CHEZ cableinet POINT co POINT uk">phil.b CHEZ cableinet POINT co POINT uk</a>&gt;</code>,

Robert Cole

<code class="email">&lt;<a class="email" href="mailto:rcole CHEZ metrum TIRET datatape POINT com">rcole CHEZ metrum TIRET datatape POINT com</a>&gt;</code>,

Colin MacDonald

<code class="email">&lt;<a class="email" href="mailto:colinm CHEZ telus POINT net">colinm CHEZ telus POINT net</a>&gt;</code>,

et tous ceux qui ont mis le doigt sur des erreurs, des omissions et 
prodigué d'autres conseils utiles pour rendre encore meilleur ce guide 
pratique.

</p></li><li class="listitem"><p>

Erik Wallin

<code class="email">&lt;<a class="email" href="mailto:erikw CHEZ sec POINT se">erikw CHEZ sec POINT se</a>&gt;</code>

et Brian Cervenka

<code class="email">&lt;<a class="email" href="mailto:brian CHEZ zerobelow POINT org">brian CHEZ zerobelow POINT org</a>&gt;</code>

pour avoir fourni de bonnes suggestions pour rendre encore plus sûr 
l'environnement restreint.

</p></li><li class="listitem"><p>

Robert Dalton

<code class="email">&lt;<a class="email" href="mailto:support CHEZ accesswest POINT com">support CHEZ accesswest POINT com</a>&gt;</code>

pour avoir suggéré une paire d'exemples supplémentaires et m'avoir 
indiqué que les BIND 9.2.0 avaient besoin de 
<code class="filename">/dev/random</code>.

</p></li><li class="listitem"><p>

Eric McCormick

<code class="email">&lt;<a class="email" href="mailto:hostmaster CHEZ cybertime POINT net">hostmaster CHEZ cybertime POINT net</a>&gt;</code>

pour les informations sur FreeBSD 4.3.

</p></li><li class="listitem"><p>

Tan Zheng Da

<code class="email">&lt;<a class="email" href="mailto:tzd CHEZ pobox POINT com">tzd CHEZ pobox POINT com</a>&gt;</code>

pour les informations sur les changements survenus dans la version 7.2 
de la distribution Red Hat, qui ont rendu le processus un peu plus 
facile.

</p></li></ul></div><p>

Et le dernier mais certainement pas le moindre, je voudrais remercier
Nakano Takeo

<code class="email">&lt;<a class="email" href="mailto:nakano CHEZ apm POINT seikei POINT ac POINT jp">nakano CHEZ apm POINT seikei POINT ac POINT jp</a>&gt;</code>

pour avoir traduit en japonais ce guide pratique de BIND en
environnement restreint. Vous pouvez trouver sa traduction à l'adresse
<a class="ulink" href="http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html" target="_top">http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html</a>.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="legal"/>3. Politique de distribution de ce document</h3></div></div></div><p>

Copyright © Scott Wunsch, 2000-2001 pour la version originale.

</p><p>

Copyright © 2004-2005 Vincent Loupien, Benoît Rouits et 
Jean-Philippe Guérard pour la version française.

</p><p>

Ce document peut être distribué selon les termes de la licence LDP tels 
que définis à l'adresse <a class="ulink" href="http://metalab.unc.edu/LDP/COPYRIGHT.html" target="_top">http://metalab.unc.edu/LDP/COPYRIGHT.html</a>.

</p><p>

Ce guide pratique est une documentation libre ; vous pouvez le 
redistribuer ou le modifier conformément à la licence de LDP. Il est 
distribué dans l'espoir qu'il sera utile, mais <span class="emphasis"><em>sans aucune 
garantie</em></span> ; sans même les garanties de 
commercialisation ou d'adaptation dans un but spécifique. Voir la 
licence de LDP pour plus de détails.

</p></div></div></div></body></html>
doc-linux-fr-html 2013.01-3 / usr / share / doc / HOWTO / fr-html / Chroot-BIND-HOWTO.html
