Debian 9 bind9 Logging konfigurieren? [Gelöst]

[jmar83]

Hallo zusammen

Funktioniert schlicht einfach nicht, diese Anleitung: https://oitibs.com/bind9-logs-on-debian-ubuntu/

Hier mein Protokoll:

Code: Alles auswählen

apt-get update && apt-get upgrade

apt-get install bind9

apt-get clean && apt-get autoremove --purge

nano /etc/bind/named.conf

...


touch /etc/bind/named.conf.log

nano /etc/bind/named.conf.log

...


mkdir /var/log/bind

chown bind:bind /var/log/bind

service bind9 restart

sobald ich es aber grösstenteils auskommentiere, dann geht der Dienst wieder:

Code: Alles auswählen

logging {
#  channel bind_log {
#    file "/var/log/bind/bind.log" versions 3 size 5m;
#    severity info;
#    print-category yes;
#    print-severity yes;
#    print-time yes;
#  };
#  category default { bind_log; };
#  category update { bind_log; };
#  category update-security { bind_log; };
#  category security { bind_log; };
#  category queries { bind_log; };
#  category lame-servers { null; };
};

So jedoch schon nicht mehr:

Code: Alles auswählen

logging {
  channel bind_log {
#    file "/var/log/bind/bind.log" versions 3 size 5m;
#    severity info;
#    print-category yes;
#    print-severity yes;
#    print-time yes;
  };
#  category default { bind_log; };
#  category update { bind_log; };
#  category update-security { bind_log; };
#  category security { bind_log; };
#  category queries { bind_log; };
#  category lame-servers { null; };
};

Meldung: `Failed to start BIND Domain Name Server.`

`service bind9 stop && service bind9 start` gibt das gleiche von sich... habe zuerst gedacht es wurde etwas nicht sauber heruntergefahren, so dass noch was läuft auf Port 53 oder so.

Wo liegt da das Problem...?

[jmar83]

In der offiziellen Doku scheint nicht mal was über "named.conf" zu stehen, wenn man auf dieser Seite danach sucht dann findet man genau gar nix: https://kb.isc.org/docs/aa-01526

???

Vielleicht ist ja etwas komplett falsch an der Konfiguration so wie es die Seite https://oitibs.com/bind9-logs-on-debian-ubuntu/ beschreibt, woher soll man nun genau wissen, wo man anfangen muss..? Ich gehe dabei von der Datei `named.conf` aus...?

(Ein Produkt das schon so alt ist (bind gabs doch sicher schon zu UNIX-Zeiten in den 70ern, also fast 50 Jahre her oder so wo es entstanden ist??), sollte doch anständig dokumentiert sein..?)

[jmar83]

Statt mich Tage oder Wochen mit solchem Quatsch zu beschäftigen, evtl. besser das verwenden: https://mayakron.altervista.org/wikibas ... crylicHome

[eggy]

Vielleicht wäre weniger rumschimpfen und mal in die richtige Doku schauen der bessere Ansatz?
https://bind9.readthedocs.io/en/latest/reference.html

[jmar83]

Na ja, vielen Dank, aber unter https://oitibs.com/bind9-logs-on-debian-ubuntu/ ist ja beschreiben wie es funktionieren sollte. Keine Ahnung, warum es bei dem geht und bei mir nicht. Hat sich wohl was geändert von Version 1.045.345r02345 nach 1.045.345r02346 oder sowas in der Art..?

[jmar83]

"Logging konfigurieren? [Gelöst]"

...oder auch nicht (mehr), denn jetzt fangen die Ferien an - (hoffentlich) also genug Zeit, ist ja eine private Sache.


Irgendwie muss ich das Ding mit der gewünschten Konfig zum laufen kriegen. Kann ja nicht sein dass das gar nicht geht!

(Und bevor ich mir wirklich noch Window$ aufsetze - hätte sogar noch ne legale Windows Server 2012 Std. R2 x64-Lizenz zuhause. Aber MS DNS ist doch primär dann sinnvoll, wenn man ein Active Directory betreibt.)

[jmar83]

Kleinen Schritt weitergekommen: Das funktioniert schon mal (allerdings wieder mit dem restlichen Zeugs auskommentiert):

Code: Alles auswählen

logging
{
category default { default_syslog; default_debug; };
#...
#...

...

Nun habe ich gesehen dass sich unter /var/log/bind ein Verzeichnis befindet - allesdings ohne jeglichen Inhalt.

Oder vielleicht war ich der, der das per copy/paste aus irgendwelchen Internet-Tutorials "wie man bind aufsetzt" erstellt hat...? Hmm...? Aber ich habe ja glücklicherweise ne VM, welche ich beim Projekt "DNS-Server" sicher schon 27x reverted habe... zuerst wollte ich ja den vorhandenen samba-Server nutzen um damit über Active Directory den DNS-Dienst aufzubauen...

...
Nachtrag: Nein, /var/log/bind existiert nach dem VM-Snapshop-Revert nicht mehr.

[jmar83]

Total hoffnungslos: Ohne file-Appender-Eintrag steht im Log (/var/log/syslog wo bind reinloggt) dass dieser fehlt:

Code: Alles auswählen

logging {
channel bind_log {
#    file "/var/log/bind/bind.log" versions 3 size 5m;
#    severity info;
#    print-category yes;
#    print-severity yes;
#    print-time yes;
};
#  category default { bind_log; };
#  category update { bind_log; };
#  category update-security { bind_log; };
#  category security { bind_log; };
#  category queries { bind_log; };
#  category lame-servers { null; };
};

Mit steht alles so im log wie es sollte, keine Probleme und gar nix. Trotzdem schlägt der Start fehl:

Code: Alles auswählen

logging {
channel bind_log {
    file "/var/log/bind/bind.log" versions 3 size 5m;
#    severity info;
#    print-category yes;
#    print-severity yes;
#    print-time yes;
};
#  category default { bind_log; };
#  category update { bind_log; };
#  category update-security { bind_log; };
#  category security { bind_log; };
#  category queries { bind_log; };
#  category lame-servers { null; };
};

...werde dann wohl mal nen Bug einreichen, spätestens dort wird man mir erklären müssen dass es wohl kein Bug, sondern ein Feature ist.

[bluestar]

Was sagt den named-checkconf zu deiner Konfiguration?

[jmar83]

Danke für den Tipp, werde es so schnell wie möglich anschauen.

[mludwig]

Ich würde vorschlagen, im Debian Wiki nachzulesen:
https://wiki.debian.org/Bind9#Debian_Jessie_and_later

Hier insbesondere den Abschnitt zu AppArmor ... dies ist in der aktuellen Debianversion per default aktiv und es gibt für Bind ein ensprechendes Profil. Damit darf bind nur vorgegebene Dateien und Pfade lesen bzw. beschreiben. Wenn du von diesen Pfaden abweichst, musst du dass AppArmor-Profil für Bind entsprechend anpassen.

[jmar83]

Vielen Dank für den Beitrag!

Aktuelle Debian Version = Buster, oder?

Ich verwende aber Stretch...

[jmar83]

"Debian_Jessie_and_later"

Oh..

[HZB]

BTW in den Kommentaren der Seite wo Du die Config gefunden hast ist die Lösung:

Code: Alles auswählen

Yes, apparmor is the issue.

Try:-
—————–
# Site-specific additions and overrides for usr.sbin.named.
# For more details, please see /etc/apparmor.d/local/README.
# Below added to allow logging
/var/log/bind9/query.log rw,
/var/log/bind9/bind.log rw,
/var/log/bind9/debug.log rw,
/var/cache/bind/named.stats rw,
—————
In :
/etc/apparmor.d/local/usr.sbin.named

Changing the paths/filenames to suit your config.

[jmar83]

Vielen vielen Dank, wenn es schnell gehen muss dann übersehe ich solche Sachen praktisch immer!!

Eigentlich mein Fehler - wobei der Ersteller des Beitrags diese Sachen hätte ergänzen können (und nicht nur als Kommentar stehen lassen) - es sei denn, es (das Problem mit diesem App-Armor) war zum Zeitpunkt wo der Betrag verfasst wurde mit Debian 9.x noch nicht nicht vorhanden, sondern kam erst später mit Version 9.y hinzu. (Also wenn der Beitrag z.B. explizit für Debian 9.0 vorgesehen ist)

[jmar83]

Problem soweit gelöst - zu Testzwecken (bevor mir das AppArmor-Problem bekannt wurde) habe ich die Window$-Version von `bind` auf einer uralten Windows Server 2003 x32-VM aufgesetzt und die Konfiguration, welche auf diesem Blog vorgeschlagen wurde, übernommen. Hat sofort geklappt und läuft bis heute wunderbar und ohne jegliche Probleme.

(Denke nicht mal dass dies ein grosses Sicherheitsproblem ist, will aber hier im Debian-Forum nicht näher darauf eingehen, falscher Ort! Tatsache ist sowieso, dass dieser nur intern genutzt wird)

Aber bei Gelegenheit werd ich mir dann wieder ein Debian aufsetzen, aber ich war ca. 3 Tage (nicht ununterbrochen) an diesem Problem beschäftigt (welches eigentlich einfach zu lösen wäre mit der entspr. AppArmor-Konfig) Aber nun muss ich mal erst mindestens 3 Monate Abstand halten davon, da ich in diesen 3 Tagen eine ziemlich nachhaltige Aversion gegen "bind auf Debian" entwickelt habe...