12.4. Utilisation de rndc
BIND contient un utilitaire appel� rndc qui permet d'utiliser des lignes de commande pour administrer le d�mon named � partir de l'h�te local ou d'un h�te distant.
Afin d'emp�cher l'acc�s non-autoris� au d�mon named, BIND utilise une m�thode d'authentification � cl� secr�te partag�e pour accorder des privil�ges aux h�tes. Ainsi, une cl� identique doit �tre pr�sente aussi bien dans /etc/named.conf que dans le fichier de configuration de rndc, � savoir /etc/rndc.conf
12.4.1. Configuration de /etc/named.conf
Pour que rndc puisse se connecter � un service named, une d�claration controls doit �tre pr�sente dans le fichier /etc/named.conf du serveur BIND.
La d�claration controls, d�crite dans l'exemple qui suit, permet � rndc de se connecter � partir d'un h�te local.
controls {
inet 127.0.0.1 allow { localhost; } keys { <key-name>; };
}; |
Cette d�claration indique � named qu'il doit �couterle port TCP 953 par d�faut de l'adresse invers�e et doit 'autoriser les commandes rndc provenant de l'h�te local, si la cl� ad�quate est donn�e. Le <key-name> fait r�f�rence � la d�claration key, qui se trouve dans le fichier /etc/named.conf. L'exemple suivant illustre une d�claration key.
key "<key-name>" {
algorithm hmac-md5;
secret "<key-value>";
}; |
Dans ce cas, la d�claration <key-value> utilise l'algorithme HMAC-MD5. Afin de cr�er des cl�s � l'aide de l'algorithme HMAC-MD5, utilisez la commande suivante�:
dnssec-keygen -a hmac-md5 -b <bit-length> -n HOST <key-file-name> |
Une cl� d'au moins 256 bits de long est un bon choix. La cl� qui doit �tre plac�e dans la zone <key-value> se trouve dans le fichier <key-file-name> g�n�r� par cette commande.
 | Avertissement |
|---|
| | �tant donn� que /etc/named.conf est lisible par tout un chacun, il est judicieux de placer la d�claration key dans un fichier s�par� que seul le super-utilisateur (ou root) peut lire et d'utiliser ensuite une d�claration include pour le r�f�rencer. Par exemple�: |
12.4.2. Configuration de /etc/rndc.conf
La d�claration key repr�sente la d�claration la plus importante du fichier /etc/rndc.conf.
key "<key-name>" {
algorithm hmac-md5;
secret "<key-value>";
}; |
Les �l�ments <key-name> et <key-value> doivent �tre absolument identiques aux param�tres les concernant qui figurent dans /etc/named.conf.
Pour �tablir la correspondance entre les cl�s sp�cifi�es dans le fichier /etc/named.conf du serveur cible, ajoutez les lignes reproduites ci-dessous au fichier /etc/rndc.conf.
options {
default-server localhost;
default-key "<key-name>";
}; |
Cette directive d�termine une cl� globale par d�faut. Toutefois, le fichier de configuration rndc peut �galement sp�cifier diff�rentes cl�s pour diff�rents serveurs, comme le montre l'exemple suivant�:
server localhost {
key "<key-name>";
}; |
 | Attention |
|---|
| | Assurez-vous que seul le super-utilisateur (ou root) puisse effectuer des op�rations de lexture et d'�criture dans le fichier /etc/rndc.conf. |
Pour obtenir davantage d'informations sur le fichier /etc/rndc.conf, consultez la page de manuel de rndc.conf.
12.4.3. Options de ligne de commande
Une commande rndc se pr�sente sous le format suivant�:
rndc <options> <command> <command-options> |
Lors de l'ex�cution de rndc sur un h�te local configur� de fa�on appropri�e, les commandes suivantes sont disponibles�:
halt — Arr�te imm�diatement le service named.
querylog — Journalise toutes les requ�tes effectu�es aupr�s de ce serveur de noms.
refresh — Rafra�chit la base de donn�es du serveur de noms.
reload — Recharge les fichiers de zone mais conserve toutes les r�ponses pr�c�demment mises en cache. Cette commande permet �galement d'apporter des changements aux fichiers de zone sans perdre toutes les r�solutions de nom stock�es.
Si les changements n'affectent qu'une zone particuli�re, rechargez seulement cette zone en ajoutant le nom de la zone apr�s la commande reload.
stats — Vide les statistiques courante de named vers le fichier /var/named/named.stats.
stop — Arr�te correctement le serveur, en enregistrant pr�alablement toute mise � jour dynamique et toute donn�e Incremental Zone Transfers (IXFR).
Dans certaines situations, il sera peut-�tre n�cessaire d'annuler les param�tres par d�faut contenus dans le fichier /etc/rndc.conf. Les options suivantes sont disponibles�:
-c <configuration-file> — Sp�cifie l'autre emplacement d'un fichier de configuration.
-p <port-number> — Sp�cifie le num�ro de port � utiliser pour la connexion de rndc, autre que le port par d�faut 953.
-s <server> — Sp�cifie un serveur autre que le default-server (serveur pard�faut) pr�cis� dans /etc/rndc.conf.
-y <key-name> — Sp�cifie une cl� autre que l'option default-key (cl� par d�faut) pr�sente dans le fichier /etc/rndc.conf.
Des informations suppl�mentaires sur ces options sont disponibles dans la page de manuel de rndc.
