LINUX.ORG.RU
Форум — Admin  

Bind - проблема с правами на slave


0

0

Есть bind собранный из исходников и сконфигурированный как slave для всех зон:
# named -V
BIND 9.6.1-P1 built with '--prefix=/usr' '--sysconfdir=/etc'

named запускается от пользователя root ('/usr/sbin/named -u root'). В named.conf следуюцие опции:
directory "/dns";
pid-file "/var/run/named.pid";

Зоны хранятся в виде /dns/<customer>/domain (к примеру /dns/vasia/vasiadomain.ru ). Соответственно в named.conf:
zone "vasiadomain.ru" {
type slave; masters { 1.2.3.4; };
file "vasia/vasiadomain.ru";
};

Права на директорию:
[root@crm ~]# ls -ld /dns/vasia
drwxrwxr-x 2 sync sync 27648 Oct 29 19:02 /dns/vasia

OS: CentOS 5.3, selinux отключен:
# getenforce
Disabled

Проблема в том, что named не может создавать файлы в директории /dns/vasia. В логах следующее
general: dumping master file: vasia/tmp-gHGDCmLU7x: open: permission denied
xfer-in: transfer of 'vasiadomain.ru/IN' from 1.2.3.4#53: failed while receiving responses: permission denied

Если запустить named не от 'root', а от 'sync', то все нормально. Думал, что named проверяет права на директорию, но strace показал следущее:

open("vasia/tmp-gHGDCmLU7x", O_RDWR|O_CREAT|O_EXCL, 0666) = -1 EACCES (Permission denied)

Если выставить права 777 на директорию, то все работает. На двух других серверах под freebsd and gentoo в точности такой же named c такой же конфигурацией работает нормально.

Вопрос в том кто мешает root создать файл в директории?


← errors в обоих сетевых интерфейсах одновременно
Проблема с кодировкой в Firefox →

Вопрос в том кто мешает root создать файл в директории?

При запуске под рутом, named может изменить юзера под которым работает демон (зависит от настроек и/или параметров запуска named (-u))

Так что смотри внимательно под каким юзером у тебя named реально работает

sdio
()
Ответ на: комментарий от sdio

> При запуске под рутом, named может изменить юзера под которым работает демон (зависит от настроек и/или параметров запуска named (-u))

Это понятно. Под root работает.

tungus
() автор топика
Ответ на: комментарий от tungus

Это понятно. Под root работает.

Тогда что не понятно? Под работает, под sync (страннйы выбор имени, но это не важно) работает, что тебе еще надо?

sdio
()
Ответ на: комментарий от sdio

В смысле Bind от root работает, но синхронизация не работает.

tungus
() автор топика

Попробуйте запустить strace на большее количество системных вызовов, может перед вызовом open() named становится пользователем nobody?

mky 👍👍
()
Ответ на: комментарий от mky

Запустил:
strace -tt -ff -o bind /usr/sbin/named

[root@ns strace]# grep 'uid(' bind.*
bind.8191:18:48:47.517479 getuid() = 0
bind.8191:18:48:47.519180 getuid() = 0

bind.8191 - до clone.

Файловая система ext3 , хитрых ext3 атрибутов не устаноленно.

tungus
() автор топика
Ответ на: комментарий от mky

Нашел:

[root@ns1 strace]# grep capset bind.*
bind.8191:18:48:47.517533 capset(0x19980330, 0, {CAP_DAC_READ_SEARCH|CAP_SETGID|CAP_SETUID|CAP_NET_BIND_SERVICE|CAP_SYS_CHROOT| CAP_SYS_RESOURCE, CAP_DAC_READ_SEARCH|CAP_SETGID|CAP_SETUID|CAP_NET_BIND_SERVICE|CAP_SYS_CHROOT|C AP_SYS_RESOURCE, 0}) = 0

Пересобрал bind c '--prefix=/usr' '--sysconfdir=/etc' '--disable-linux-caps' и заработало

tungus
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← errors в обоих сетевых интерфейсах одновременно
Admin
Проблема с кодировкой в Firefox →