GNU/Linux → Запуск BIND9 в chroot з AppArmor

Нещодавно вирішив на домашньому сервері налаштувати власний сервер DNS, так як уже трохи набридло прописувати в hosts усі нові сайти, що розробляються. Зупинився на bind9, в гуглі знайшлося багато мануалів, але усюди були нюанси, й щоб не забути про них, пишу нотатку.

У більшості прикладів bind запускався в chroot, для прокачування навичок я зробив так само. Нагадую, що у мене на сервері ubuntu 10.04, тому всі дії описані для неї.
Встановлюємо bind і зупиняємо його

Тепер налаштовуємо оточення chroot

Створюємо файл /etc/rsyslog.d/bind-chroot.conf

Вносимо зміни в /etc/default/bind9

Для того, щоб в логах був правильний час, виконуємо

Тепер перезапускаємо rsyslog і запускаємо bind9

Все вищезазначене, це збірка з різноманітних мануалів, після виконання даних процедур я спостерігав, як bind9 відмовляється запускатися взагалі.

Першим ділом шукаємо причину

Не пригадую помилку дослівно, але bind повідомляв, що йому заборонений доступ до його ж файлів конфігурації, тому стартувати він не буде. Ще трохи гугла й стає зрозуміло, що причиною всього є AppArmor.

Я не є спеціалістом в безпеці linux, тому важко судити наскільки доцільно використовувати одночасно chroot та apparmor (адже служать вони одній меті), але оскільки сумістити ці два захисти можливо — я так і роблю.

Відкриваємо /etc/apparmor.d/usr.sbin.named і додаємо в кінець

Перезапускаємо AppArmor

Після цього bind успішно завантажується, але не веде логів, зовсім. Тому останнім штрихом вносимо зміни в named.conf.options

logging {
    channel update_debug {
	file "/var/log/named/named_update.log";
	severity debug 5;
	print-time yes;
	print-severity yes;
	print-category yes;
    };
    channel security_info {
	file "/var/log/named/named_auth.log";
	severity notice;
	print-time yes;
	print-severity yes;
	print-category yes;
    };
    channel info {
	file "/var/log/named/named_info.log";
	severity info;
	print-time yes;
	print-severity yes;
	print-category yes;
    };

    category update { update_debug; };
    category security { security_info; };
    category queries { info; };
};

P.S.
Далі планую написати скріпт автоматичного додавання нового хоста в конфіги nginx, apache, bind9, створення БД та дерева каталогів проекту.