• Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

Вылетает с ошибкой:

Sep 26 13:20:15 medyafors named[7048]: initializing DST: openssl failure
Sep 26 13:20:15 medyafors named[7048]: exiting (due to fatal error)

2 Ответ от osorkon

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

named в chroot'e ? проверьте сертификаты доступны для named?

Heresy grow from the idleness

3 Ответ от disbeliever

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

что мне для этого прописать? можно поподробнее..

4 Ответ от osorkon

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

учимся пользоваться гуглом

Heresy grow from the idleness

5 Ответ от disbeliever (26.09.2012 15:09:38 отредактировано disbeliever)

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

я с 7 у тра в гугле..и эту ссылку видел.. Вопрос такой..

cp /usr/local/lib/engines/libgost.so YOUR_CHROOT_DIR/usr/local/lib/engines/

{chroot_dir} - это root?
и откуда они взяли libgost.so?

6 Ответ от osorkon (26.09.2012 15:16:53 отредактировано osorkon)

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

логично. никто же не знает какой у вас дистрибутив, а совет применим для freebsd
у меня в suse 12.1 libgost.so лежит в /lib/engines/libgost.so, в убунте в /usr/lib/i386-linux-gnu/openssl-1.0.0/engines

disbeliever пишет:

{chroot_dir} - это root?

нет. chroot это. соответсвенно {chroot_dir} это корень для пользователя/процесса в chroot'e

disbeliever пишет:

и откуда они взяли libgost.so?

видимо библиотека нужна для запуска named

Heresy grow from the idleness

7 Ответ от disbeliever

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

cp  /usr/lib/i386-linux-gnu/openssl-1.0.0/engines/libgost.so  YOUR_CHROOT_DIR/usr/local/lib/engines/

значит так?

8 Ответ от osorkon

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

см пост выше

Heresy grow from the idleness

9 Ответ от disbeliever (26.09.2012 15:22:53 отредактировано disbeliever)

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

cp  /usr/lib/i386-linux-gnu/openssl-1.0.0/engines/libgost.so  /usr/local/lib/engines/

я успешно выполнил это, но сервис все равно не запустился.. что не так?

вопросы могут показаться тупыми, но сделать надо срочно..

10 Ответ от osorkon (26.09.2012 15:24:31 отредактировано osorkon)

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

вы вообще уверены  в том что ваш named работает в chroot режиме? ли спрошу иначе: вы уверенны в том что делаете? я то только предполагаю. советую вам разобраться как именно работает ваш dns. в процессе прийдет понимание как исправить проблему ну и + level up

Heresy grow from the idleness

11 Ответ от disbeliever

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

вы вообще уверены  в том что ваш named работает в chroot режиме?

как это можно узнать? я ни в чем уже не уверен..

12 Ответ от osorkon

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

смотреть конфиги

Heresy grow from the idleness

13 Ответ от disbeliever

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

в какие именно?

+ zenon

14 Ответ от osorkon

  • osorkon
  • osorkon
  • Пользователь
  • Неактивен
  • Откуда: Украина/Днепропетровск
  • Зарегистрирован: 25.03.2011
  • Сообщений: 211
  • Репутация : [ 21 | 0 ]

/etc/named.conf

Heresy grow from the idleness
+ zenon

15 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Рассмешили на 5+ обоим по + ab
Особенно

osorkon пишет:

вы вообще уверены

disbeliever пишет:

я ни в чем уже не уверен..

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

16 Ответ от disbeliever

  • Зарегистрирован: 12.01.2012
  • Сообщений: 25
  • Репутация : [ 1 | 0 ]

Проблема решилась удалением apparmor'а.. Всем спасибо)

17 Ответ от l_cho

  • l_cho
  • Пользователь
  • Неактивен
  • Зарегистрирован: 09.04.2012
  • Сообщений: 208
  • Репутация : [ 2 | 1 ]

Не советую удалять , пока работает это отлично , но восстановить придется 
http://ru.wikipedia.org/wiki/AppArmor

18 Ответ от l_cho

  • l_cho
  • Пользователь
  • Неактивен
  • Зарегистрирован: 09.04.2012
  • Сообщений: 208
  • Репутация : [ 2 | 1 ]

Шутка +100500 )))

newzenon пишет:

Рассмешили на 5+ обоим по + ab
Особенно

osorkon пишет:

вы вообще уверены

disbeliever пишет:

я ни в чем уже не уверен..

19 Ответ от igvozd

  • igvozd
  • Новичок
  • Неактивен
  • Зарегистрирован: 04.11.2012
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

И все таки
Хотелось бы продолжить начатую дискуссию...

Все эксперименты проводились на ubuntu server 12.04

usr/sbin/named –V

BIND 9.8.1-P1

Если просто, то чтобы в Ubuntu 12.04 запустился bind9 в chroo-окружении да еще и при работающем apparmor, необходимо разрешить доступ к чтению openSSL библиотеки libgost.so в /etc/apparmor.d/usr.sbin.named 

 /var/lib/named/usr/lib/i386-linux-gnu/openssl-1.0.0/engines/** rm,
 /var/lib/named/usr/lib/i386-linux-gnu/openssl-1.0.0/engines/ rm,

Но никак не выходит. bind9 все равно не хочет стартовать : (

server01 named[1247]: adjusted limit on open files from 4096 to 1048576
server01 named[1247]: found 1 CPU, using 1 worker thread
server01 named[1247]: using up to 4096 sockets
server01 named[1247]: initializing DST: openssl failure
server01 named[1247]: exiting (due to fatal error)

server01 kernel: [   15.397226] type=1400 audit(1352047404.189:17): apparmor="DENIED" operation="open" parent=883 profile="/usr/sbin/named" name="/var/lib/named/usr/lib/i386-linux-gnu/openssl-1.0.0/engines/libgost.so" pid=891 comm="named" requested_mask="r" denied_mask="r" fsuid=106 ouid=0

В логах хорошо видно, что на мои редактирования профиля bind9 в apparmor наплевать.
apparmor все равно запрещает чтение openSSL библиотеки.


Есть на эту заметку у кого-нибудь подсказка?
Или я все таки где-то сделал ошибку?

20 Ответ от igvozd

  • igvozd
  • Новичок
  • Неактивен
  • Зарегистрирован: 04.11.2012
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

named все-таки стартовал после создания ссылки на каталог.

Я добавил правило:

$ /etc/fstab

/usr/lib/i386-linux-gnu/openssl-1.0.0/engines    /var/lib/named/usr/lib/i386-linux-gnu/openssl-1.0.0/engines    none    bind    0    0

и создал разрешающее правило в профиле apparmor

$ /etc/apparmor.d/usr.sbin.named

/var/lib/named/usr/lib/i386-linux-gnu/openssl-1.0.0/engines/** rm,
/var/lib/named/usr/lib/i386-linux-gnu/openssl-1.0.0/engines/ rm,