/usr/share/doc/HOWTO/fr-html/Chroot-BIND8-HOWTO.html

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE html
  PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>Guide pratique d'utilisation de BIND 8 en environnement restreint</title><link rel="stylesheet" type="text/css" href="style.css"/><meta name="generator" content="DocBook XSL Stylesheets V1.78.1"/><meta name="description" content="Ce document décrit l'installation du serveur de noms BIND 8 dans un environnement restreint en tant qu'utilisateur non privilégié. Ce qui permet de disposer d'une sécurité améliorée et de réduire au minimum les effets potentiels d'une compromission. Cette version du document couvre l'ancienne version 8 de BIND, toujours populaire ; il existe un autre document qui fournit le même type d'informations, mais pour BIND 9."/></head><body><div xml:lang="fr" class="article"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1"/>
  
      Guide pratique d'utilisation de BIND 8 en environnement 
      restreint
  
  </h2></div><div><h3 class="subtitle"><em>
  
       Version française du <span class="foreignphrase"><em class="foreignphrase">Chroot-BIND8
       HOWTO</em></span>
              
  </em></h3></div><div><div class="author"><h3 class="author"><span class="firstname">Scott</span> <span class="surname">Wunsch</span></h3><code class="email">&lt;<a class="email" href="mailto:scott CHEZ wunsch POINT org">scott CHEZ wunsch POINT org</a>&gt;</code></div></div><div><p class="othercredit"><span class="contrib">Adaptation française</span> : <span class="firstname">Vincent</span> <span class="surname">Loupien</span></p></div><div><p class="othercredit"><span class="contrib">Relecture de la version française</span> : <span class="firstname">Isabelle</span> <span class="surname">Hurbain</span></p></div><div><p class="othercredit"><span class="contrib">Préparation de la publication de la v.f.</span> : <span class="firstname">Jean-Philippe</span> <span class="surname">Guérard</span></p></div><div><p class="releaseinfo">Version : 1.4.fr.1.1</p></div><div><p class="pubdate">21 août 2005</p></div><div><div class="revhistory"><table summary="Historique des versions"><tr><th align="left" valign="top" colspan="3"><strong>Historique des versions</strong></th></tr><tr><td align="left">Version 1.4.fr.1.1</td><td align="left">2005-08-21</td><td align="left">VL,IH,JPG</td></tr><tr><td align="left" colspan="3">Correction de l'url de la version française</td></tr><tr><td align="left">Version 1.4.fr.1.0</td><td align="left">2004-03-05</td><td align="left">VL,IH,JPG</td></tr><tr><td align="left" colspan="3">Première traduction française</td></tr><tr><td align="left">Version 1.4</td><td align="left">2001-07-01</td><td align="left">SW</td></tr></table></div></div><div><div class="abstract"><p class="title"><strong>Résumé</strong></p><p>

     Ce document décrit l'installation du serveur de noms BIND 8 
     dans un environnement restreint en tant qu'utilisateur non 
     privilégié. Ce qui permet de disposer d'une sécurité améliorée et 
     de réduire au minimum les effets potentiels d'une compromission. 
     Cette version du document couvre l'ancienne version 8 de BIND, 
     toujours populaire ; il existe un autre document qui fournit 
     le même type d'informations, mais pour BIND 9.

  </p></div></div></div><hr/></div><div class="toc"><p><strong>Table des matières</strong></p><dl class="toc"><dt><span class="section"><a href="#d0e90">1. Introduction</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e100">1.1. Objet de ce document</a></span></dt><dt><span class="section"><a href="#d0e119">1.2. Pourquoi ?</a></span></dt><dt><span class="section"><a href="#ou">1.3. Où ?</a></span></dt><dt><span class="section"><a href="#d0e170">1.4. Comment ?</a></span></dt><dt><span class="section"><a href="#d0e177">1.5. Mise en garde</a></span></dt></dl></dd><dt><span class="section"><a href="#d0e184">2. 

Préparation de l'environnement restreint

</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e187">2.1. Création d'un utilisateur</a></span></dt><dt><span class="section"><a href="#d0e220">2.2. Arborescence de répertoire</a></span></dt><dt><span class="section"><a href="#d0e230">2.3. Mise en place des données de BIND</a></span></dt><dt><span class="section"><a href="#d0e266">2.4. Fichiers pour le support du système</a></span></dt><dt><span class="section"><a href="#logging">2.5. Journalisation des évènements</a></span></dt></dl></dd><dt><span class="section"><a href="#compiling">3. Compilation de BIND</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e435">3.1. Modifier les chemins</a></span></dt><dt><span class="section"><a href="#d0e500">3.2. Compiler</a></span></dt></dl></dd><dt><span class="section"><a href="#installing">4. Installer votre beau BIND tout neuf</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e542">4.1. 
   
Installer les outils en dehors de l'environnement restreint

</a></span></dt><dt><span class="section"><a href="#d0e559">4.2. 

Installer les binaires dans l'environnement restreint

</a></span></dt><dt><span class="section"><a href="#d0e572">4.3. Mise en place du script d'init</a></span></dt><dt><span class="section"><a href="#d0e625">4.4. Changement de configuration</a></span></dt></dl></dd><dt><span class="section"><a href="#d0e653">5. La fin</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e656">5.1. Lancement de BIND</a></span></dt><dt><span class="section"><a href="#d0e676">5.2. Voilà !</a></span></dt></dl></dd><dt><span class="appendix"><a href="#d0e681">A. 

Annexes

</a></span></dt><dd><dl><dt><span class="section"><a href="#upgrading">1. Mises à jour ultérieures de BIND</a></span></dt><dt><span class="section"><a href="#thanks">2. Remerciements</a></span></dt><dt><span class="section"><a href="#legal">3. Politique de distribution de ce document</a></span></dt></dl></dd></dl></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e90"/>1. Introduction</h2></div></div></div><p>

Ceci est le guide pratique de BIND 8 en environnement restreint ;
allez voir <a class="xref" href="#ou" title="1.3. Où ?">Section 1.3, « Où ? »</a> pour le site principal, qui contient la
dernière version de ce document. Nous supposons que vous savez déjà
configurer et utiliser BIND (le serveur de Noms de Domaines Internet de
Berkeley). Si ce n'est pas le cas, je vous recommande de lire d'abord le
Guide pratique du DNS (<span class="foreignphrase"><em class="foreignphrase">DNS HOWTO</em></span>). Nous
supposons également que vous avez une connaissance suffisante de
compilation et d'installation d'un logiciel sur votre système de type
Unix.

</p><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e100"/>1.1. Objet de ce document</h3></div></div></div><p>

Ce document décrit quelques précautions de sécurité supplémentaires que
vous pouvez prendre quand vous installez BIND. Il explique comment
configurer BIND de sorte qu'il réside dans un environnement restreint,
ceci signifiant qu'il ne peut pas voir ou avoir accès aux fichiers à
l'extérieur de sa propre arborescence. Nous le configurerons également
pour l'exécuter en tant qu'utilisateur non-root.

</p><p>

Le principe d'un environnement restreint est assez simple. Lorsque vous
exécutez BIND (ou tout autre processus) dans un environnement restreint
(c'est-à-dire avec une racine différente du système de fichier —
d'où le nom de la commande utilisée
« <span class="foreignphrase"><em class="foreignphrase">chroot</em></span> », c'est-à-dire, en
anglais, « changer la racine »), le processus ne peut tout
simplement pas voir les autres parties du système de fichiers en dehors
de son environnement. Par exemple, dans ce document, nous placerons BIND
pour être exécuté en environnement restreint dans le répertoire
<code class="filename">/chroot/named</code>. Cependant, pour
BIND, le contenu de ce répertoire apparaîtra comme étant <code class="filename">/</code>, la racine. Il ne pourra accéder à rien
d'autre en dehors de ce répertoire. Vous avez probablement déjà
rencontré un environnement restreint auparavant, si vous avez déjà fait
un <span class="command"><strong>ftp</strong></span> vers un serveur de fichier public.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e119"/>1.2. Pourquoi ?</h3></div></div></div><p>

Le principe lors de l'exécution de BIND dans un environnement restreint
est de limiter la quantité d'accès que n'importe quel individu
malveillant pourrait gagner en exploitant une des vulnérabilités de
BIND. C'est pour la même raison que nous exécutons BIND en tant
qu'utilisateur non-root.

</p><p>

Ceci devrait être considéré comme un supplément aux précautions normales
de sécurité (exécution de la dernière version, utilisation des listes de
contrôle d'accès, et cætera), et non pas comme une solution de remplacement
de ces dernières.

</p><p>
Si la sécurité du DNS vous intéresse, quelques autres produits pourraient
également vous intéresser. Compiler BIND avec 
<a class="ulink" href="http://www.immunix.org/stackguard.html" target="_top">StackGuard</a>
peut être une bonne idée pour assurer une plus grande protection. Son 
utilisation est simple ; elle équivaut à utiliser un gcc standard.
Il existe aussi une alternative sécurisée à BIND, 
<a class="ulink" href="http://cr.yp.to/dnscache.html" target="_top">DNScache</a>, écrit par
Dan Berstein. Dan est l'auteur de qmail et DNScache semble en suivre la 
même philosophie.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="ou"/>1.3. Où ?</h3></div></div></div><p>

La dernière version française de ce document est toujours disponible sur 
le site du projet <a class="ulink" href="http://www.traduc.org" target="_top">Traduc.org</a> : 
<a class="ulink" href="http://www.traduc.org/docs/howto/lecture/Chroot-BIND8-HOWTO.html" target="_top">http://www.traduc.org/docs/howto/lecture/Chroot-BIND8-HOWTO.html</a>.

</p><p>

La dernière version originale de ce document est toujours disponible à
partir du site web des Utilisateurs de Linux et de Logiciel Libre de
Regina, Saskatchewan, Canada (LOSURS) à l'adresse <a class="ulink" href="http://www.losurs.org/docs/howto/Chroot-BIND8.html" target="_top">http://www.losurs.org/docs/howto/Chroot-BIND8.html</a>.

</p><p>

Il existe maintenant une traduction japonaise de ce document, maintenue par
<code class="email">&lt;<a class="email" href="mailto:nakano CHEZ apm POINT seikei POINT ac POINT jp">nakano CHEZ apm POINT seikei POINT ac POINT jp</a>&gt;</code>. Elle 
est disponible à l'adresse <a class="ulink" href="http://www.linux.or.jp/JF/JFdocs/Chroot-BIND8-HOWTO.html" target="_top">http://www.linux.or.jp/JF/JFdocs/Chroot-BIND8-HOWTO.html</a>. 

</p><p>

BIND est disponible à l'adresse de l'<a class="ulink" href="http://www.isc.org/" target="_top">Internet Software Consortium</a> à l'adresse <a class="ulink" href="http://www.isc.org/bind.html" target="_top">http://www.isc.org/bind.html</a>. Au moment de la publication de ce
document, la version courante de BIND 8 est 8.2.4. BIND 9.x est
maintenant sorti, et il fonctionne depuis un petit moment. Vous pouvez
envisager de mettre à jour vers cette version, la procédure
d'environnement restreint y est vraiment beaucoup plus simple et
propre. Si vous exploitez BIND 9, alors utilisez le « guide
pratique d'utilisation de BIND en environnement restreint » qui
doit être disponible au même emplacement que ce document. 

</p><p>

Gardez à l'esprit que des trous de sécurité sont <span class="emphasis"><em>connus</em></span>
dans toutes les versions de BIND 8 inférieure à <span class="emphasis"><em>8.2.3</em></span>, 
assurez-vous que vous exécutez bien la dernière version !

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e170"/>1.4. Comment ?</h3></div></div></div><p>

J'ai écrit ce document à partir de mon expérience du paramétrage de
BIND dans un environnement restreint. Dans mon cas, j'avais déjà un BIND
en exploitation sous la forme d'un paquetage provenant de ma distribution
Linux. Je vais supposer que beaucoup d'entre vous êtes dans la même
situation, que vous allez juste récupérer et modifier les fichiers de
configuration provenant de votre installation actuelle de BIND,
puis désinstaller le paquetage avant d'installer le nouveau. Ne
désinstallez pas le paquetage tout de suite ; nous pourrions avoir
besoin d'y récupérer quelques fichiers.

</p><p>

Si vous n'êtes pas dans ce cas, vous devriez néanmoins  être capable
de comprendre ce document. La seule différence est que, lorsque je copie
un fichier existant, vous devrez d'abord le créer vous-même. Le guide
pratique du DNS peut être utile pour cela.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e177"/>1.5. Mise en garde</h3></div></div></div><p>

Cette procédure a fonctionné pour moi, sur mon système. Vous pouvez avoir à
la modifier. Ce n'est qu'une façon d'aborder la question ; il y a
d'autres moyens d'arriver à la même solution (cependant l'approche
restera la même). Il s'est juste trouvé que ma première tentative a fonctionné,
et j'ai donc tout noté.

</p><p>

À ce jour, mon expérience de BIND se limite à l'installation sur des
serveurs Linux. Cependant, la plupart des instructions dans ce document
doivent être facilement applicables à d'autres saveurs d'UNIX, et
j'essaierai d'indiquer les éventuelles différences dont j'ai la
connaissance.

</p></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e184"/>2. 

Préparation de l'environnement restreint

</h2></div></div></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e187"/>2.1. Création d'un utilisateur</h3></div></div></div><p>

Comme cela est mentionné dans l'introduction, il n'est pas conseillé
de faire fonctionner BIND en root. Ainsi, avant de commencer, créons 
un utilisateur spécifique pour BIND. Notez que vous
ne devez jamais employer un utilisateur générique comme
<code class="literal">nobody</code> pour cela. Ainsi, quelques distributions,
comme SuSE et Mandrake Linux ont commencé à fournir un utilisateur
spécifique (généralement appelé <code class="literal">named</code>) ; vous
pouvez simplement adapter cet utilisateur à nos desseins, si vous le
souhaitez. 

</p><p>
Ceci exige l'ajout d'une ligne comme celle qui suit dans
<code class="filename">/etc/passwd</code> :

</p><pre class="screen">
named:x:200:200:Serveur de noms:/chroot/named:/bin/false
</pre><p>

Et une comme ceci dans <code class="filename">/etc/group</code> :

</p><pre class="screen">
named:x:200:
</pre><p>

Ceci crée un utilisateur et un groupe appelés <code class="literal">named</code>
pour BIND. Assurez-vous que les UID et les GID (les deux à 200 dans cet
exemple) sont uniques sur votre système. L'interpréteur de commande est
mis à <code class="filename">/bin/false</code> parce que cet utilisateur n'aura
jamais besoin de se connecter.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e220"/>2.2. Arborescence de répertoire</h3></div></div></div><p>

Nous devons maintenant mettre en place l'arborescence de répertoire que
nous allons utiliser pour l'environnement restreint dans lequel BIND
s'exécutera. Cela peut être n'importe ou dans votre système de
fichiers ; celui qui est vraiment paranoïaque pourra même la mettre
dans un volume séparé. Je supposerai que vous emploierez
<code class="filename">/chroot/named</code>. Commençons en créant l'arborescence
de répertoire suivante :

</p><pre class="screen">
/chroot
  +-- named
       +-- bin
       +-- dev
       +-- etc
       |    +-- namedb
       +-- lib
       +-- var
            +-- run
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e230"/>2.3. Mise en place des données de BIND</h3></div></div></div><p>

Si vous avez déjà fait une installation conventionnelle de BIND et si vous
l'utilisez, votre fichier <code class="filename">named.conf</code> et vos fichiers de
zone existent déjà. Ces fichiers doivent être déplacés (ou copiés pour plus de
sûreté) dans l'environnement restreint, de sorte que BIND puisse les 
atteindre. <code class="filename">named.conf</code> ira dans <code class="filename">/chroot/named/etc</code>, et les fichiers de zone
pourront aller dans <code class="filename">/chroot/named/etc/namedb</code>. Par
exemple :

</p><pre class="screen">
# cp -p /etc/named.conf /chroot/named/etc/

# cp -a /var/named/* /chroot/named/etc/namedb/
</pre><p>

BIND devra sûrement écrire dans le répertoire <code class="filename">namedb</code>, et probablement dans certains des
fichiers contenus dans ce répertoire. Par exemple, si votre serveur DNS est
esclave pour une zone, il devra y mettre à jour les fichiers de cette zone.
De plus, BIND peut générer des statistiques, ce qu'il fait
dans ce répertoire. Pour cette raison, vous devrez probablement faire de
l'utilisateur <code class="literal">named</code> le propriétaire de ce répertoire
et de son contenu :

</p><pre class="screen">
# chown -R named:named /chroot/named/etc/namedb
</pre><p>

BIND aura aussi besoin d'écrire dans le répertoire <code class="filename">/var/run</code>, pour y mettre ses fichiers pid et
son socket ndc, donc permettons-lui de le faire :

</p><pre class="screen">
# chown named:named /chroot/named/var/run
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e266"/>2.4. Fichiers pour le support du système</h3></div></div></div><p>

Une fois que BIND s'exécute dans l'environnement restreint, il n'est pas
capable <span class="emphasis"><em>du tout</em></span> d'avoir accès aux fichiers en
dehors de celui-ci. Cependant, il doit avoir accès à quelques fichiers
clefs, comme la bibliothèque C du système. Les bibliothèques
exigées dépendront de votre saveur d'Unix. Pour la plupart des
systèmes Linux modernes, les commandes suivantes seront
suffisantes pour mettre en place les bibliothèques nécessaires :

</p><p>

</p><pre class="screen">
# cd /chroot/named/lib
# cp -p /lib/libc-2.*.so .
# ln -s libc-2.*.so libc.so.6
# cp -p /lib/ld-2.*.so .
# ln -s ld-2.*.so ld-linux.so.2
</pre><p>

</p><p>

Vous pouvez aussi simplement compiler des versions statiquement liées
des binaires de BIND pour les placer dans votre environnement restreint.
Vous devez aussi copier <span class="command"><strong>ldconfig</strong></span> dans l'environnement
restreint et l'exécuter pour créer un
<code class="filename">etc/ld.so.cache</code> pour l'environnement restreint. Les
commandes suivantes devraient le permettre :

</p><pre class="screen">
# cp /sbin/ldconfig /chroot/named/bin/
# chroot /chroot/named /bin/ldconfig -v
</pre><p>

BIND a encore besoin d'un fichier système dans son environnement
restreint : le bon vieux <code class="filename">/dev/null</code>. De nouveau, la commande
exacte nécessaire pour créer ce fichier spécial peut varier de
système en système ; vérifiez votre script
<code class="filename">/dev/MAKEDEV</code> pour être sûr. Quelques systèmes
peuvent également exiger <code class="filename">/dev/zero</code>.  Pour la plupart des systèmes
Linux, nous pouvons employer la commande suivante :

</p><pre class="screen">
# mknod /chroot/named/dev/null c 1 3
</pre><p>

Pour terminer, vous avez besoin de quelques fichiers supplémentaires
dans le répertoire <code class="filename">/etc</code> à
l'intérieur de l'environnement restreint. En particulier, vous devez
copier <code class="filename">/etc/localtime</code> (parfois nommé
<code class="filename">/usr/lib/zoneinfo/localtime</code> sur certains systèmes)
de façon à ce que BIND enregistre les évènements avec un horodatage
correct. Vous devez également créer un petit fichier
<code class="filename">group</code> contenant uniquement le groupe
<code class="literal">named</code>. Les deux commandes suivantes se chargeront de
ceci :

</p><pre class="screen">
# cp /etc/localtime /chroot/named/etc/

# echo 'named:x:200:' &gt; /chroot/named/etc/group
</pre><p>

Gardez à l'esprit que le GID, 200 dans cet exemple, doit correspondre à
celui que vous avez défini dans le vrai <code class="filename">/etc/group</code>
défini au dessus.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="logging"/>2.5. Journalisation des évènements</h3></div></div></div><p>

BIND a beau être prisonnier de son environnement restreint, il ne peut
pas graver son journal sur les murs de sa cellule. :-). Normalement,
BIND écrit les journaux grâce à <span class="command"><strong>syslogd</strong></span>, le démon de
journalisation des évènements du système. Cependant, ce type de
journalisation est effectué en envoyant les entrées d'évènements vers le
socket spécial <code class="filename">/dev/log</code>. Puisqu'il est à
l'extérieur de l'environnement restreint, BIND ne peut plus l'employer
désormais. Heureusement, il existe deux solutions pour contourner cela.

</p><div class="section"><div class="titlepage"><div><div><h4 class="title"><a id="d0e337"/>2.5.1. La solution idéale</h4></div></div></div><p>

La solution idéale de ce dilemme exige une version raisonnablement
récente de <span class="command"><strong>syslogd</strong></span> qui prend en charge le paramètre
<code class="option">-a</code> introduit par OpenBSD. Reportez-vous aux pages de
manuel de votre <span class="citerefentry"><span class="refentrytitle">syslogd</span>(8)</span> pour voir si vous avez une
telle version. 

</p><p>

Si c'est la cas, la seule chose que vous ayez à faire est
d'ajouter le paramètre « <code class="option">-a 
/chroot/named/dev/log</code> » à la ligne de commande lorsque
vous lancez <span class="command"><strong>syslogd</strong></span>. Sur les systèmes qui utilisent
un init SysV complet (ce qui inclut la plupart des distributions Linux),
vous pouvez faire cela dans le fichier
<code class="filename">/etc/rc.d/init.d/syslog</code>. Par exemple, sur mon
système Linux Red Hat, j'ai changé la ligne

</p><pre class="screen">
daemon syslogd -m 0
</pre><p>
en
</p><pre class="screen">
daemon syslogd -m 0 -a /chroot/named/dev/log
</pre><p>

Les systèmes Caldera OpenLinux utilisent un démon de lancement
appelé <span class="command"><strong>ssd</strong></span>, qui lit la configuration dans
<code class="filename">/etc/sysconfig/daemons/syslog</code>. Il vous suffit de
modifier la ligne d'options pour que cela ressemble à ceci :

</p><pre class="screen">
OPTIONS_SYSLOGD="-m 0 -a /chroot/named/dev/log"
</pre><p>

De la même façon sur les systèmes SuSE, je me suis dit que le meilleur
endroit pour ajouter ce paramètre est le fichier
<code class="filename">/etc/rc.config</code>. Changer la ligne

</p><pre class="screen">
SYSLOGD_PARAMS=""
</pre><p>
en
</p><pre class="screen">
SYSLOGD_PARAMS="-a /chroot/named/dev/log"
</pre><p>

devrait faire l'affaire. Une fois que vous avez compris comment faire cette
modification sur votre système, il vous suffit de redémarrer
<span class="command"><strong>syslogd</strong></span>, que cela soit en l'arrêtant et en le
relançant (avec les paramètres supplémentaires), ou en employant le
script d'init SysV qui le fera pour vous :

</p><pre class="screen">
# /etc/rc.d/init.d/syslog stop
# /etc/rc.d/init.d/syslog start
</pre><p>

Une fois redémarré, vous devez voir dans <code class="filename">/chroot/named/dev</code>  un « fichier »
appelé <code class="filename">log</code> qui ressemble à ceci :

</p><pre class="screen">
srw-rw-rw-   1 root     root            0 Mar 13 20:58 log
</pre></div><div class="section"><div class="titlepage"><div><div><h4 class="title"><a id="d0e409"/>2.5.2. L'autre solution</h4></div></div></div><p>

Si vous avez un ancien <span class="command"><strong>syslogd</strong></span>, alors vous devez
trouver une autre façon de faire vos journalisations. Il existe quelques
programmes pour faire ça, comme
<code class="literal">holelogd</code>, qui est conçu pour agir comme un
« proxy » en acceptant les entrées d'évènements du BIND en
environnement restreint pour les passer au véritable socket
<code class="literal">/dev/log</code>.  

</p><p>
Vous pouvez aussi tout simplement configurer BIND pour journaliser les 
évènements dans un fichier au lieu
de les passer à syslog. Voyez la documentation de BIND pour plus de
détails si vous choisissez d'utiliser cette méthode.

</p></div></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="compiling"/>3. Compilation de BIND</h2></div></div></div><p>

Vous devriez pouvoir trouver les sources de BIND en visitant
<a class="ulink" href="http://www.isc.org/bind.html" target="_top">http://www.isc.org/bind.html</a>. Vous avez besoins du paquet
<code class="filename">bind-src.tar.gz</code>. Assurez-vous de bien récupérer la
dernière version !

</p><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e435"/>3.1. Modifier les chemins</h3></div></div></div><p>

Les choses peuvent s'embrouiller un peu à partir de maintenant,
parce que les différentes parties du paquetage BIND se référent aux
mêmes répertoires par des noms différents (dépendant du fait qu'ils
s'exécutent ou non dans l'environnement restreint). Je vais essayer de
ne pas <span class="emphasis"><em>trop</em></span> vous embrouiller.

</p><p>

Le répertoire dont nous devons nous occuper en priorité est 
<code class="filename">/var/run</code> car son contenu est
nécessaire à la fois pour le démon <span class="command"><strong>named</strong></span> (à l'intérieur
de l'environnement restreint) et pour l'utilitaire <span class="command"><strong>ndc</strong></span> (à
l'extérieur). Nous allons commencer par paramétrer ce qu'il faut pour trouver
ce répertoire depuis le monde extérieur. Pour cela, nous devons modifier
<code class="filename">src/port/linux/Makefile.set</code> (substituez par le
répertoire de votre architecture si vous ne fonctionnez pas sur 
Linux), et changez la ligne

</p><pre class="screen">
DESTRUN=/var/run
</pre><p>
en
</p><pre class="screen">
DESTRUN=/chroot/named/var/run
</pre><p>

Tant que vous êtes là, vous pouvez changer l'autre chemin de
destination <code class="filename">/usr</code> en <code class="filename">/usr/local</code>. Maintenant, tout devrait être
capable de trouver ce répertoire… excepté le démon
<span class="command"><strong>named</strong></span> lui-même, pour qui c'est toujours le vrai
<code class="filename">/var/run</code> dans l'environnement
restreint. Nous pouvons contourner ceci en faisant un petit changement
dans les sources de <span class="command"><strong>named</strong></span>. Dans le fichier
<code class="filename">src/bin/named/named.h</code>, trouvez 
la ligne

</p><pre class="screen">
#include "pathnames.h"
</pre><p>

et ajouter la ligne suivante immédiatement après

</p><pre class="screen">
#define _PATH_NDCSOCK    "/var/run/ndc"
</pre><p>

De cette façon, <span class="command"><strong>named</strong></span> ignorera notre définition de
<code class="literal">DESTRUN</code> dans <code class="filename">Makefile.set</code> et
emploiera l'emplacement correct (par rapport à sa perspective dans
l'environnement restreint). Vous remarquerez quelques avertissements au
sujet des redéfinitions de _PATH_NDCSOCK quand vous faites
la compilation ; vous pouvez les ignorer.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e500"/>3.2. Compiler</h3></div></div></div><p>

Vous devriez maintenant être capable de compiler normalement BIND, en
suivante les instructions du fichier <code class="filename">INSTALL</code>. À
cette étape, nous voulons seulement compiler BIND, sans l'installer.
N'allez pas trop loin en suivant le fichier
<code class="filename">INSTALL</code>. Globalement, il faut juste
faire <span class="command"><strong>make clean</strong></span>, <span class="command"><strong>make depend</strong></span> et
<span class="command"><strong>make</strong></span>.

</p></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="installing"/>4. Installer votre beau BIND tout neuf</h2></div></div></div><p>

Je dois signaler que si vous avez une installation existante de BIND,
par exemple en provenance d'un RPM, vous devrez probablement la
désinstaller avant d'installer la nouvelle. Sur un système Red Hat, cela
implique probablement de désinstaller les paquetages
<em class="medialabel">bind</em> et <em class="medialabel">bind-utils</em>, et
peut-être <em class="medialabel">bind-devel</em> et
<em class="medialabel">caching-nameserver</em>, si vous les avez. 

</p><p>
Vous voudrez sans doute sauvegarder une copie du script d'init (par exemple
<code class="filename">/etc/rc.d/init.d/named</code>), s'il y a en un, avant de
faire ceci ; ce sera utile plus tard.

</p><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e542"/>4.1. 
   
Installer les outils en dehors de l'environnement restreint

</h3></div></div></div><p>

C'est la partie facile :-). Il vous suffit d'exécuter <span class="command"><strong>make
install</strong></span> et laissez faire le tout pour vous. Vous pouvez
vouloir faire un <span class="command"><strong>chmod 000 /usr/local/sbin/named</strong></span>
par la suite, pour être sûr que vous n'exécutez pas accidentellement une
copie de BIND hors environnement restreint (il s'agit de
<code class="filename">/usr/sbin/named</code> si vous ne lui avez pas dit d'aller
dans <code class="filename">/usr/local/sbin</code> comme je
l'ai suggéré).

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e559"/>4.2. 

Installer les binaires dans l'environnement restreint

</h3></div></div></div><p>

Seuls deux parties du paquetage doivent s'exécuter à l'intérieur de
l'environnement restreint : le démon principal
<span class="command"><strong>named</strong></span> lui-même, et <span class="command"><strong>named-xfer</strong></span>, qui
est utilisé pour les transferts de zone. Vous pouvez simplement les
copier depuis l'arborescence source :

</p><pre class="screen">
# cp src/bin/named/named /chroot/named/bin

# cp src/bin/named-xfer/named-xfer /chroot/named/bin
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e572"/>4.3. Mise en place du script d'init</h3></div></div></div><p>

Si vous avez un script d'init provenant de votre distribution, le mieux
serait probablement de simplement le modifier pour exécuter
<span class="command"><strong>/chroot/named/bin/named</strong></span>, avec les paramètres
appropriés. Les paramètres sont… (roulement de tambour s'il vous
plaît…)

</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>

<code class="option">-u named</code>, qui demande à BIND de s'exécuter en tant 
qu'utilisateur <code class="literal">named</code>, plutôt que 
<code class="literal">root</code>.

</p></li><li class="listitem"><p>

<code class="option">-g named</code>, pour exécuter BIND avec le groupe 
<code class="literal">named</code> également, plutôt que <code class="literal">root</code> 
ou <code class="literal">wheel</code>.

</p></li><li class="listitem"><p>

<code class="option">-t /chroot/named</code>, qui demande à BIND de s'exécuter dans 
l'environnement restreint que nous avons construit.

</p></li></ul></div><p>

Ce qui suit est le script d'init que j'utilise avec mon système Red Hat
6.0. Comme vous pouvez voir, il est presque identique à celui 
livré par Red Hat. J'ai aussi modifié la commande <strong class="userinput"><code>ndc 
restart</code></strong> de façon à ce qu'elle redémarre le serveur correctement, 
et le garde à l'intérieur de l'environnement restreint. Vous pouvez 
probablement faire la même chose dans votre script d'init, sans avoir à 
copier celui-ci.

</p><pre class="programlisting">
#!/bin/sh
#
# named           Le rôle de ce script "shell" est de démarrer et d'arrêter
#                 named (serveur DNS BIND)
#
# chkconfig: 345 55 45
# description: named (BIND) est le serveur de nom de domain (DNS)
# qui est utilisé pour résoudre les noms de domaines en adresses IP.
# probe: true

# Bibliothèque basique de fonctions.
. /etc/rc.d/init.d/functions

# Configuration basique du réseau.
. /etc/sysconfig/network

# Vérifie que la gestion du réseau est assurée
[ ${NETWORKING} = "no" ] &amp;&amp; exit 0

[ -f /chroot/named/bin/named ] || exit 0

[ -f /chroot/named/etc/named.conf ] || exit 0

# En fonction de ce qui est appelé
case "$1" in
  start)
        # Démarrer le démon.
        echo -n "Démarrage de named : "
        daemon /chroot/named/bin/named -u named -g named -t /chroot/named
        echo
        touch /var/lock/subsys/named
        ;;
  stop)
        # Arrêter le démon.
        echo -n "Arrêt de named : "
        killproc named
        rm -f /var/lock/subsys/named
        echo
        ;;
  status)
        /usr/local/sbin/ndc status
        exit $?
        ;;
  restart)
        /usr/local/sbin/ndc -n /chroot/named/bin/named "restart -u named -g named -t /chroot/named"
        exit $?
        ;;
  reload)
        /usr/local/sbin/ndc reload
        exit $?
        ;;
  probe)
        # named sait comment redémarrer intelligemment ; nous ne voulons pas 
        # que linuxconf nous propose de le redémarrer à chaque fois
        /usr/local/sbin/ndc reload &gt;/dev/null 2&gt;&amp;1 || echo start
        exit 0
        ;;

  *)
        echo "Utilisation: named {start|stop|status|restart}"
        exit 1
esac

exit 0
</pre><p>

Sur les systèmes Caldera OpenLinux, vous avez juste besoin de modifier
les variables définies au début et le système va s'occuper du reste pour vous :

</p><pre class="programlisting">
NAME=named
DAEMON=/chroot/named/bin/$NAME
OPTIONS="-t /chroot/named -u named -g named"
</pre></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e625"/>4.4. Changement de configuration</h3></div></div></div><p>

Vous devez aussi ajouter ou modifier quelques options dans votre
<code class="filename">named.conf</code> pour avoir vos différents répertoires en
ordre. En particulier, vous devez ajouter (ou changer, si vous les avez
déjà) les directives suivantes dans la section
<code class="literal">options</code> :

</p><pre class="programlisting">
directory "/etc/namedb";
pid-file "/var/run/named.pid";
named-xfer "/bin/named-xfer";
</pre><p>

Puisque ce fichier est lu par le démon <span class="command"><strong>named</strong></span>, tous
les chemins sont naturellement relatifs à l'environnement restreint.

</p><p>

Quelques personnes ont aussi rapporté devoir ajouter quelques lignes
supplémentaires à leur <code class="filename">named.conf</code> pour obtenir un
fonctionnement correct de <span class="command"><strong>ndc</strong></span> :

</p><pre class="programlisting">
controls {
    unix "/var/run/ndc" perm 0600 owner 0 group 0;
};
</pre></div></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e653"/>5. La fin</h2></div></div></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e656"/>5.1. Lancement de BIND</h3></div></div></div><p>

Tout devrait être configuré, et vous devriez être prêt à lancer votre nouveau
BIND plus sécurisé. Si vous utilisez un script
d'init du style SysV, vous pouvez simplement le lancer par :

</p><pre class="screen">
# /etc/rc.d/init.d/named start
</pre><p>

Assurez-vous d'avoir arrêté toutes les anciennes versions de BIND qui
pourraient encore fonctionner avant de faire cela.

</p><p>

Si vous jetez un coup d'œil à votre journal système, vous devez
trouver les messages d'initialisations que BIND crache quand il démarre.
(si ce n'est pas le cas ; il y a un problème avec votre <a class="link" href="#logging" title="2.5. Journalisation des évènements">configuration de journalisation</a> que vous devez
résoudre.) Parmi ces messages, BIND devrait vous indiquer qu'il est
passé avec succès dans l'environnement restreint
(<span class="foreignphrase"><em class="foreignphrase">chroot</em></span> et qu'il fonctionne en tant
qu'utilisateur et groupe <code class="literal">named</code>. Si ce n'est pas le
cas, vous avez un problème.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="d0e676"/>5.2. Voilà !</h3></div></div></div><p>
Vous pouvez aller faire un petit somme maintenant ;-).
</p></div></div><div class="appendix"><h2 class="title"><a id="d0e681"/>A. 

Annexes

</h2><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="upgrading"/>1. Mises à jour ultérieures de BIND</h3></div></div></div><p>

Ainsi, vous avez un BIND 8.2.2_P7 tout joliment placé dans son
environnement restreint et assez peaufiné à votre goût… et vous
entendez parler de cette rumeur désagréable qu'il y a une faille root
exploitable à distante dans cette version également, et vous avez besoin
de mettre à jour en 8.2.3 tout de suite. Devez-vous repasser entièrement
par ce long processus pour installer cette nouvelle version ?

</p><p>

Non. En fait, vous avez juste besoin de la section <a class="xref" href="#compiling" title="3. Compilation de BIND">Section 3, « Compilation de BIND »</a> et les deux premières parties de la section <a class="xref" href="#installing" title="4. Installer votre beau BIND tout neuf">Section 4, « Installer votre beau BIND tout neuf »</a> (installation des binaires en dehors et à
l'intérieur de l'environnement restreint, respectivement).

</p><p>

Le reste de ce guide pratique traite de la mise en place de
l'environnement restreint et d'autres choses de ce genre-là, qui ne
devrait pas devoir être changé entre les versions du BIND. Vous devez
juste déposer les nouveaux binaires par-dessus les anciens, et vous
pouvez continuer. Mais n'oubliez pas d'arrêter et de redémarrer BIND par
la suite ou c'est l'ancienne version, vulnérable, qui continuera à 
tourner !

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="thanks"/>2. Remerciements</h3></div></div></div><p>

Je voudrais remercier les gens suivants pour leur aide dans la création
de ce guide pratique :

</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>

Lonny Selinger

<code class="email">&lt;<a class="email" href="mailto:lonny CHEZ abyss POINT za POINT org">lonny CHEZ abyss POINT za POINT org</a>&gt;</code> 

pour « l'évaluation » de la première version de ce guide
pratique et pour s'être assuré que je n'avais rien oublié.

</p></li><li class="listitem"><p>

Chirik

<code class="email">&lt;<a class="email" href="mailto:chirik CHEZ CastleFur POINT COM">chirik CHEZ CastleFur POINT COM</a>&gt;</code>,

Dwayne Litzenberger

<code class="email">&lt;<a class="email" href="mailto:dlitz CHEZ dlitz POINT net">dlitz CHEZ dlitz POINT net</a>&gt;</code>,

Phil Bambridge

<code class="email">&lt;<a class="email" href="mailto:phil POINT b CHEZ cableinet POINT co POINT uk">phil POINT b CHEZ cableinet POINT co POINT uk</a>&gt;</code>,

Robert Cole

<code class="email">&lt;<a class="email" href="mailto:rcole CHEZ metrum-datatape POINT com">rcole CHEZ metrum-datatape POINT com</a>&gt;</code>,

Colin MacDonald

<code class="email">&lt;<a class="email" href="mailto:colinm CHEZ telus POINT net">colinm CHEZ telus POINT net</a>&gt;</code>,

et d'autres qui ont mis le doigt sur des erreurs, des omissions, et
prodigué d'autres conseils utiles pour faire que ce guide pratique soit
meilleur encore.

</p></li><li class="listitem"><p>

Erik Wallin

<code class="email">&lt;<a class="email" href="mailto:erikw CHEZ sec POINT se">erikw CHEZ sec POINT se</a>&gt;</code>

et Brian Cervenka 

<code class="email">&lt;<a class="email" href="mailto:brian CHEZ zerobelow POINT org">brian CHEZ zerobelow POINT org</a>&gt;</code>

pour avoir fourni de bonnes suggestions pour mieux sécuriser
encore l'environnement restreint.

</p></li></ul></div><p>

Et le dernier mais certainement pas le moindre, je voudrais remercier
Nakano Takeo

<code class="email">&lt;<a class="email" href="mailto:nakano CHEZ apm POINT seikei POINT ac POINT jp">nakano CHEZ apm POINT seikei POINT ac POINT jp</a>&gt;</code>

pour avoir traduit en japonais ce guide pratique de BIND 8 en
environnement restreint. Vous pouvez trouver sa traduction à l'adresse
<a class="ulink" href="http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html" target="_top">http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html</a>.

</p></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a id="legal"/>3. Politique de distribution de ce document</h3></div></div></div><p>

Copyright © Scott Wunsch, 2000-2001 pour la version originale.

</p><p>

Copyright © 2004-2005 Vincent Loupien, Isabelle Hurbain et
Jean-Philippe Guérard pour la version française.

</p><p>

Ce document peut être distribué selon les termes de la licence LDP tels
que définis à l'adresse <a class="ulink" href="http://metalab.unc.edu/LDP/COPYRIGHT.html" target="_top">http://metalab.unc.edu/LDP/COPYRIGHT.html</a>.

</p><p>

Ce guide pratique est une documentation libre ; vous pouvez le 
redistribuer ou le modifier conformément à la licence de LDP. Il est 
distribué dans l'espoir qu'il sera utile, mais <span class="emphasis"><em>sans 
aucune garantie</em></span> ; sans même les garanties de 
commercialisation ou d'adaptation dans un but spécifique. Voir la 
licence de LDP pour plus de détails.

</p></div></div></div></body></html>
doc-linux-fr-html 2013.01-2 / usr / share / doc / HOWTO / fr-html / Chroot-BIND8-HOWTO.html
