はじめに

FreeBSD 12を使用した自宅サーバの構築を行った。FreeBSD 12はリリースされて間もない状態ですが、カーネルに標準でVIMAGEが取り込まれDNSの外向きと、内向きを別々のシステム（jail+VIMAGE）が同一ホストで構築できることから採用することにしました。その時の構築手順を備忘録の意味も含め、具体的にいくつかに渡り説明する。

基本システム編その１
- 背景
- 基本のインストール
- 日本語環境の設定
基本システム編その２
- セキュリティ
- ftpサーバ
基本システム編その３
- jail
- 基本システム編おわり
jail内基本システム編
- 基本の設定（jail1・jail2共通）
- 基本の設定（jail1・jail2共通）
DNS編（この記事）
- DNSの構築におけるこれまでの問題
- bind9インストール
- NTPサーバ
Let's Encrypt編
- Let's Encryptについて
- certbotのインストール
- 各種設定
- 証明書の取得
Webサーバ編
- インストール（apache2.4・webalizer・php7.3・postgresql11.2・mysql8.0）
- 設定
メールサーバ編
- インストール（cyrus-sasl・postfix・dovecot・procmail・pflogsumm・policyd-spf）
- 設定・起動
- spfレコード送信設定
ファイルサーバ編
- sambaの選択
- samba3のインストール
メールサーバ編その2
- 概要
- OpenDKIM
- OpenDMARC
- ClamAV (clamav-milter)
- Spamassasin (spamass-milter)

DNSの構築におけるこれまでの問題

DNSは、今回のサーバー再構築のトリガーになった機能である。従来からbind9を使用し今回も使用するが、従来は以下のような設定を行っていた。

/usr/local/etc/namedb/named.conf

include "/usr/local/etc/namedb/rndc.key";
controls {
        inet 127.0.0.1 port 953 allow {127.0.0.1;} keys {"rndc-key";};
};

acl localnet {
        192.168.1.0/24;
        127.0.0.1;
};

options {
        directory       "/usr/local/etc/namedb";
        pid-file        "/var/run/named/pid";
        dump-file       "/var/dump/named_dump.db";
        statistics-file "/var/stats/named.stats";
        listen-on-v6    { none; };
        allow-transfer  { localhost; localnet; };
};

// lan側の設定
view "internal" {
        match-clients { localnet; };
        recursion yes;
        // ルートのゾーンファイル
        zone "." {
                type hint;
                file "/usr/local/etc/namedb/named.root";
        };
        // localhost正引き
        zone "localhost" {
                type master;
                file "/usr/local/etc/namedb/master/localhost.zone";
        };
        // localhost逆引き
        zone "0.0.127.in-addr.arpa" {
                type master;
                file "/usr/local/etc/namedb/master/0.0.127.rev";
        };
        // 自ドメイン正引き
        zone "example.jp" {
                type master;
                file "/usr/local/etc/namedb/master/example.jp.local.zone";
        };
        // 自ドメイン逆引き
        zone "1.168.192.in-addr.arpa" {
                type master;
                file "/usr/local/etc/namedb/master/1.168.192.rev";
        };
};

// wan側の設定
view "external" {
        match-clients {any;};
        recursion no;
        // 自ドメイン正引き
        zone "example.jp" {
                type master;
                file "/usr/local/etc/namedb/master/example.jp.zone";
        };
};

この設定で外部へのドメイン情報の提供と、内部へのドメイ情報の提供を同居して運用ですることができた。
問題が発生したのは、固定IPアドレスを2個取得し、セカンダリDNSを運用したときである。
セカンダリとマスタはローカルネットで接続されている（ルータの関係で外部アドレスでの接続ができない）状態で、ゾーンファイル情報をマスタからセカンダリに提供した時である。
セカンダリでは、外部向けexample.jpと内部向けexample.jpのゾーンファイル情報がどちらも内部向けになってしまった。
予想では、ローカルネットで接続されているためセカンダリからマスタに要求したときは内部向けも、外部向けも要求元（セカンダリ）が内部から接続しているため、内部ゾーンファイル情報が送られたためと思われる。
解決策が見つからなかったので、手動でドメイン情報をコピーして運用していた。
次に発生した問題はlet's encryptの認証にDNSを使用したときである。同様の理由で外部向けのTXTレコードを設定できなかった。
これもゾーンファイルをリンクするなどして回避できたが、最終的な解決策は、外部向けと内部向けのDNSを分けることと考え、今回のサーバ再構築となった。

bind9インストール

###jail1・jail2共通
前置きが長くなったがbind9をインストールする。
ネットワークの前提条件を以下に示す。（IPアドレスは有り得ない値に設定しています）なお、静的NAT設定はルータのwan-IPアドレスに届いたパケットをlan-IPアドレスに割り当てることとする。

項目	内容	静的NAT設定 wan → lan
ドメイン名	example.jp
lan側のネットワークアドレス	192.168.1.0/24
IPアドレス１	111.222.333.100	192.168.1.41
IPアドレス２	111.222.333.200	192.168.1.43

jail1 /root # pkg install bind913
Updating FreeBSD repository catalogue...
FreeBSD repository is up to date.
All repositories are up to date.
Updating database digests format: 100%
The following 11 package(s) will be affected (of 0 checked):

New packages to be INSTALLED:
        bind913: 9.13.6_3
        libxml2: 2.9.8
        python27: 2.7.15
        readline: 7.0.5
        gettext-runtime: 0.19.8.1_2
        libidn2: 2.1.1
        libunistring: 0.9.10_1
        py27-ply: 3.11
        py27-setuptools: 40.8.0
        json-c: 0.13.1
        lmdb: 0.9.23,1

Number of packages to be installed: 11

The process will require 137 MiB more space.
20 MiB to be downloaded.
[jail1] [1/11] Fetching bind913-9.13.6_3.txz: 100%    7 MiB 188.6kB/s    00:38
[jail1] [2/11] Fetching libxml2-2.9.8.txz: 100%  818 KiB 167.6kB/s    00:05
[jail1] [3/11] Fetching python27-2.7.15.txz: 100%   11 MiB 201.1kB/s    00:55
[jail1] [4/11] Fetching readline-7.0.5.txz: 100%  332 KiB 170.2kB/s    00:02
[jail1] [5/11] Fetching gettext-runtime-0.19.8.1_2.txz: 100%  149 KiB 153.0kB/s    00:01
[jail1] [6/11] Fetching libidn2-2.1.1.txz: 100%  104 KiB 106.9kB/s    00:01
[jail1] [7/11] Fetching libunistring-0.9.10_1.txz: 100%  522 KiB 133.6kB/s    00:04
[jail1] [8/11] Fetching py27-ply-3.11.txz: 100%  127 KiB 129.8kB/s    00:01
[jail1] [9/11] Fetching py27-setuptools-40.8.0.txz: 100%  476 KiB 243.5kB/s    00:02
[jail1] [10/11] Fetching json-c-0.13.1.txz: 100%   56 KiB  57.4kB/s    00:01
[jail1] [11/11] Fetching lmdb-0.9.23,1.txz: 100%   94 KiB  95.9kB/s    00:01
Checking integrity... done (0 conflicting)
[jail1] [1/11] Installing readline-7.0.5...
[jail1] [1/11] Extracting readline-7.0.5: 100%
[jail1] [2/11] Installing gettext-runtime-0.19.8.1_2...
[jail1] [2/11] Extracting gettext-runtime-0.19.8.1_2: 100%
[jail1] [3/11] Installing python27-2.7.15...
[jail1] [3/11] Extracting python27-2.7.15: 100%
[jail1] [4/11] Installing libunistring-0.9.10_1...
[jail1] [4/11] Extracting libunistring-0.9.10_1: 100%
[jail1] [5/11] Installing py27-setuptools-40.8.0...
[jail1] [5/11] Extracting py27-setuptools-40.8.0: 100%
[jail1] [6/11] Installing libxml2-2.9.8...
[jail1] [6/11] Extracting libxml2-2.9.8: 100%
[jail1] [7/11] Installing libidn2-2.1.1...
[jail1] [7/11] Extracting libidn2-2.1.1: 100%
[jail1] [8/11] Installing py27-ply-3.11...
[jail1] [8/11] Extracting py27-ply-3.11: 100%
[jail1] [9/11] Installing json-c-0.13.1...
[jail1] [9/11] Extracting json-c-0.13.1: 100%
[jail1] [10/11] Installing lmdb-0.9.23,1...
[jail1] [10/11] Extracting lmdb-0.9.23,1: 100%
[jail1] [11/11] Installing bind913-9.13.6_3...
[jail1] [11/11] Extracting bind913-9.13.6_3: 100%
Message from python27-2.7.15:

===========================================================================

Note that some standard Python modules are provided as separate ports
as they require additional dependencies. They are available as:

bsddb           databases/py-bsddb
gdbm            databases/py-gdbm
sqlite3         databases/py-sqlite3
tkinter         x11-toolkits/py-tkinter

===========================================================================
Message from bind913-9.13.6_3:

**********************************************************************
*            _  _____ _____ _____ _   _ _____ ___ ___  _   _         *
*           / \|_   _|_   _| ____| \ | |_   _|_ _/ _ \| \ | |        *
*          / _ \ | |   | | |  _| |  \| | | |  | | | | |  \| |        *
*         / ___ \| |   | | | |___| |\  | | |  | | |_| | |\  |        *
*        /_/   \_\_|   |_| |_____|_| \_| |_| |___\___/|_| \_|        *
*                                                                    *
*   BIND requires configuration of rndc, including a "secret" key.   *
*    The easiest, and most secure way to configure rndc is to run    *
*   'rndc-confgen -a' to generate the proper conf file, with a new   *
*            random key, and appropriate file permissions.           *
*                                                                    *
*     The /usr/local/etc/rc.d/named script will do that for you.     *
*                                                                    *
*      If using syslog to log the BIND9 activity, and using a        *
*     chroot'ed installation, you will need to tell syslog to        *
*       install a log socket in the BIND9 chroot by running:         *
*                                                                    *
*            # sysrc altlog_proglist+=named                          *
*                                                                    *
*    And then restarting syslogd with: service syslogd restart       *
*                                                                    *
*                                                                    *
*   THIS IS A DEVELOPMENT VERSION OF BIND, IT MAY EAT YOUR DATA      *
*                                                                    *
*                                                                    *
*                                                                    *
**********************************************************************

最初に使用宣言

/etc/rc.conf

named_enable="YES"

rndcの設定

jail1 /root # cd /usr/local/etc/namedb
jail1 /usr/local/etc/namedb # rndc-confgen >rndc.conf
jail1 /usr/local/etc/namedb # cp rndc.conf rndc_key

rndc.confの前半のみに編集する。（後半はコメントになっているので特に編集はしなくてもよい。）

/usr/local/etc/namedb/rndc.conf

key "rndc-key" {
        algorithm hmac-sha256;
        secret "+RRgAOIR71bNy6wZ9YabcdefgihjzOepeEjzwiiZNyI=";
};

options {
        default-key "rndc-key";
        default-server 127.0.0.1;
        default-port 953;
};

rndc_keyは後半のkey部分のみを取り出してnamed.confにincludeできるようにする。

/usr/local/etc/namedb/rndc_key

key "rndc-key" {
        algorithm hmac-sha256;
        secret "+RRgAOIR71bNy6wZ9YabcdefgihjzOepeEjzwiiZNyI=";
};

設定は、これまでの設定を分けるだけである。

jail1（外向き）の設定

/usr/local/etc/namedb/named.conf

include "/usr/local/etc/namedb/rndc_key";
controls {
        inet 127.0.0.1 port 953 allow {127.0.0.1;} keys {"rndc-key";};
};

options {
        directory       "/usr/local/etc/namedb/working";
        pid-file        "/var/run/named/pid";
        dump-file       "/var/dump/named_dump.db";
        statistics-file "/var/stats/named.stats";
        listen-on-v6    { none; };
        allow-transfer  { 192.168.1.0/24; };
};

// wan側の設定
// 自ドメイン正引き
zone "example.jp" {
        type master;
        file "/usr/local/etc/namedb/master/example.jp.zone";
};

ゾーンファイル

/usr/local/etc/namedb/master/example.jp.zone

$TTL    3600

@       IN      SOA     ns1.example.jp.    root.example.jp.  (
                        20190020101      ; Serial
                        3600            ; Refresh
                        900             ; Retry
                        3600000         ; Expire
                        3600            ; Minimum
                                )
                        IN      NS      ns1.example.jp.
                        IN      NS      ns2.example.jp.
                        IN      MX  10  mail.example.jp.
                        IN      A       111.222.333.100
ns1                     IN      A       111.222.333.100
ns2                     IN      A       111.222.333.200
mail                    IN      A       111.222.333.100
www                     IN      CNAME   ns1.example.jp.
www2                    IN      CNAME   ns2.example.jp.
ftp                     IN      CNAME   ns1.example.jp.

リゾルバの設定は、内部DNSサーバに設定する

/etc/resolv.conf

search example.jp
nameserver 192.168.1.42

開始する。

jail1 /root # service named start
Starting named.

jail2（内向き）の設定

/usr/local/etc/namedb/named.conf

include "/usr/local/etc/namedb/rndc_key";
controls {
        inet 127.0.0.1 port 953 allow {127.0.0.1;} keys {"rndc-key";};
};

options {
        directory       "/usr/local/etc/namedb/working";
        pid-file        "/var/run/named/pid";
        dump-file       "/var/dump/named_dump.db";
        statistics-file "/var/stats/named.stats";
        listen-on-v6    { none; };
        allow-transfer  { 192.168.1.0/24; };
        forwarders      { 192.168.1.41; };
        forward         only;
};

// lan側の設定
// localhost正引き
zone "localhost" {
        type            master;
        file            "/usr/local/etc/namedb/master/localhost.zone";
        forwarders      {};
};
// localhost逆引き
zone "0.0.127.in-addr.arpa" {
        type            master;
        file            "/usr/local/etc/namedb/master/0.0.127.rev";
        forwarders      {};
};
// 自ドメイン正引き
zone "example.jp" {
        type            master;
        file            "/usr/local/etc/namedb/master/example.jp.local.zone";
        forwarders      {};
};
// 自ドメイン逆引き
zone "1.168.192.in-addr.arpa" {
        type            master;
        file            "/usr/local/etc/namedb/master/1.168.192.rev";
        forwarders      {};
};

ゾーンファイル

/usr/local/etc/namedb/master/localhost.zone

$TTL    3600

@       IN      SOA     ns1.example.jp.    root.localhost.  (
                        2019020101   ; Serial
                        3600         ; Refresh
                        900          ; Retry
                        3600000      ; Expire
                        3600 )       ; Minimum
        IN      NS      localhost.
        IN      A       127.0.0.1

/usr/local/etc/namedb/master/0.0.127.rev

$TTL    3600

@       IN      SOA     ns1.example.jp.    root.example.jp.  (
                        2019020101   ; Serial
                        3600         ; Refresh
                        900          ; Retry
                        3600000      ; Expire
                        3600 )       ; Minimum
        IN      NS      localhost.
1       IN      PTR     localhost.

/usr/local/etc/namedb/master/example.jp.local.zone

$TTL    3600

@               IN      SOA     ns1.example.jp.    root.example.jp.  (
                        2019020101      ; Serial
                        3600            ; Refresh
                        900             ; Retry
                        3600000         ; Expire
                        3600 )          ; Minimum
                IN      NS      ns1.example.jp.
                IN      NS      ns2.example.jp.
                IN      MX      10      mail.example.jp.
                IN      A       192.168.1.41
router          IN      A       192.168.1.1
ns1             IN      A       192.168.1.41
ns2             IN      A       192.168.1.43
mail            IN      A       192.168.1.41
server1         IN      A       192.168.1.32
server2         IN      A       192.168.1.33
jail1           IN      A       192.168.1.41
jail2           IN      A       192.168.1.42
jail3           IN      A       192.168.1.43
jail4           IN      A       192.168.1.44
www             IN      CNAME   jail1.example.jp.
www2            IN      CNAME   jail3.example.jp.
hoge1           IN      A       192.168.1.101
hoge2           IN      A       192.168.1.102

/usr/local/etc/namedb/master/1.168.192.rev

$TTL    3600

@       IN      SOA     ns1.example.jp.    root.example.jp.  (
                        2019020101      ; Serial
                        3600            ; Refresh
                        900             ; Retry
                        3600000         ; Expire
                        3600 )          ; Minimum
        IN      NS      ns1.example.jp.
1       IN      PTR     router.example.jp.
32      IN      PTR     server1.example.jp.
33      IN      PTR     server2.example.jp.
41      IN      PTR     jail1.example.jp.
42      IN      PTR     jail2.example.jp.
43      IN      PTR     jail3.example.jp.
44      IN      PTR     jail4.example.jp.
101     IN      PTR     hoge1.example.jp.
102     IN      PTR     hoge2.example.jp.

リゾルバの設定は、内部DNSサーバに設定する

/etc/resolv.conf

search example.jp
nameserver 192.168.1.42

開始する。

jail1 /root # service named start
Starting named.

NTPサーバ

時計がズレていることに気が付きログを調べると、以下のようなログが吐かれていた。

/var/log/ntpd.log

 5 Apr 20:03:49 ntpd[93514]: 0.0.0.0 c618 08 no_sys_peer
 5 Apr 20:03:57 ntpd[93514]: Soliciting pool server 2001:4860:4806::
 5 Apr 20:04:15 ntpd[93514]: Soliciting pool server 2001:df0:232:eea0::fff4
 5 Apr 20:04:19 ntpd[93514]: Soliciting pool server 210.173.160.57
 5 Apr 20:05:03 ntpd[93514]: Soliciting pool server 2001:4860:4806:4::
 5 Apr 20:05:19 ntpd[93514]: Soliciting pool server 2001:df0:232:eea0::fff3
 5 Apr 20:05:26 ntpd[93514]: Soliciting pool server 210.173.160.27
 5 Apr 20:06:09 ntpd[93514]: Soliciting pool server 2001:4860:4806:4::
 5 Apr 20:06:25 ntpd[93514]: Soliciting pool server 2001:df0:232:eea0::fff3
 5 Apr 20:06:32 ntpd[93514]: Soliciting pool server 210.173.160.87
 5 Apr 20:07:15 ntpd[93514]: Soliciting pool server 2001:4860:4806:c::
 5 Apr 20:07:32 ntpd[93514]: Soliciting pool server 2001:df0:232:eea0::fff4
 5 Apr 20:07:36 ntpd[93514]: Soliciting pool server 210.173.160.57
 5 Apr 20:07:40 ntpd[93514]: 0.0.0.0 c613 03 spike_detect +8.816487 s
 5 Apr 20:13:16 ntpd[93514]: 0.0.0.0 c61c 0c clock_step +8.821064 s
 5 Apr 20:13:16 ntpd[93514]: step-systime: Operation not permitted
 5 Apr 20:13:16 ntpd[93514]: 0.0.0.0 c615 05 clock_sync
 5 Apr 20:13:16 ntpd[93514]: local_clock: usr/src/contrib/ntp/ntpd/ntp_loopfilter.c line 818: ntp_adjtime: Operation not permitted

ntpサーバと接続しntpqでは正常に同期しているようだったが、実はjail内ではシステム時計を修正する権限がない様です。dateコマンドで修正もエラーが表示される。
そこで、ntpdはホスト側で実行することとし、ルータの設定も123ポートの振替先をホスト側のIPアドレスに変更し、外部の時計に同期するマスターサーバとそのマスターサーバと同期をかけるスレーブサーバに考え方を変え、jail内のntpd起動は行わないこととする（/etc/rc.confに設定されていてもOS起動時には自動起動がかからないようです）(2019/8/5)。

最初に使用宣言

/etc/rc.conf

ntpd_enable="YES"

設定ファイルの編集
時計を合わせるサーバの指定

pool ntp.nict.jp

以下のように個別指定と同様である

server ntp-a2.nict.go.jp
server ntp-a3.nict.go.jp
server ntp-b2.nict.go.jp
server ntp-b3.nict.go.jp

加えて、ホスト名の後にオプションを指定できiburstを指定すると起動直後はバースト上にパケットを送出し時刻同期を早める事ができる。

マスターサーバの設定

ローカルネットワークからの問い合わせに応答するよう以下の設定とする。

/etc/ntp.conf

pool            ntp.nict.jp iburst
pool            ntp.jst.mfeed.ad.jp iburst
pool            time.google.com iburst

logfile         /var/log/ntpd.log
logconfig       =syncstatus +sysevents +clockall

restrict        default noquery nomodify notrap
restrict        192.168.1.0 mask 255.255.255.0 nomodify notrap
restrict        127.0.0.1

起動する。

# service ntpd start
Starting ntpd.

同期の状況確認以下でできる。ntp.jst.nfeed.ad.jpが見えなくなった？

# ntpq -p
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
 ntp.nict.jp     .POOL.          16 p    -   64    0    0.000    0.000   0.000
 ntp.jst.mfeed.a .POOL.          16 p    -   64    0    0.000    0.000   0.000
 time.google.com .POOL.          16 p    -   64    0    0.000    0.000   0.000
*ntp-a2.nict.go. .NICT.           1 u  241 1024  377   16.236    0.954   0.667
+ntp-a3.nict.go. .NICT.           1 u  255 1024  377   15.284    0.703   1.166
+ntp-b2.nict.go. .NICT.           1 u  468 1024  377   17.810    1.577   1.211
+ntp-b3.nict.go. .NICT.           1 u  201 1024  377   16.306    0.470   1.152
+time1.google.co .GOOG.           1 u  238 1024  377   49.762   -0.123   0.928
+time2.google.co .GOOG.           1 u 1044 1024  377   82.096    0.910   0.574
+time4.google.co .GOOG.           1 u  204 1024  377  142.249   -0.551   1.466

スレーブサーバの設定

ローカルネットワークからの問い合わせに応答するよう以下の設定とする。

/etc/ntp.conf

server          master.example.jp iburst
logfile         /var/log/ntpd.log
logconfig       =syncstatus +sysevents +clockall

restrict        default noquery nomodify nopeer notrap
restrict        192.168.1.0 mask 255.255.255.0 nomodify nopeer notrap
restrict        127.0.0.1

起動する。

# service ntpd start
Starting ntpd.