Executando BIND9 em chroot

Question

Estou tentando executar o bind9, em uma caixa do Ubuntu, em uma cadeia chroot, como discutido em "Linux System Administration" (Adelstein & Lubanovic). O comando "sudo /etc/init.d/bind9 start" está gerando erros no syslog:

Jun 27 13:39:48 doli named[12418]: starting BIND 9.5.1-P2 -u bind -t /var/lib/named
. . . 
Jun 27 13:39:48 doli named[12418]: loading configuration from '/etc/bind/named.conf'
Jun 27 13:39:48 doli named[12418]: none:0: open: /etc/bind/named.conf: permission denied
Jun 27 13:39:48 doli named[12418]: loading configuration: permission denied
Jun 27 13:39:48 doli named[12418]: exiting (due to fatal error)
Jun 27 13:39:48 doli kernel: [426157.438173] type=1503 audit(1246124388.753:33): operation="inode_permission" requested_mask="r::" denied_mask="r::" fsuid=105 name="/var/lib/named/etc/bind/named.conf" pid=12419 profile="/usr/sbin/named"

O servidor está configurado da seguinte forma:

• / etc / bind é um link simbólico para / var / lib / named / etc / bind.
• Propriedade para /var/.../etc e tudo nele está definido para bind: bind.
• / etc / default / bind9 tem OPTIONS="- u bind -t / var / lib / named "(mas eu notei que /etc/init.d/bind9 tem OPTIONS="" e uma notação que parece dizer deixar isso sozinho e redefinir o valor em / etc / default / bind9).

O syslog sugere que o problema é que o proprietário do processo para o bind9 não pode ler o arquivo de configuração, mas ele inicia como root e redefine a ligação, que eu acho que deveria ser capaz de ler a configuração.

O que estou perdendo aqui?

    

Answer 1

EDIT: oops, AppArmor, não SELinux ...

Olhe para /etc/apparmor.d/usr.sbin.named

Há uma seção que se parece com isso:

/etc/bind/** r,
/var/lib/bind/** rw,
/var/lib/bind/ rw,
/var/cache/bind/** rw,
/var/cache/bind/ rw,

Sugiro adicionar isso depois (ou possivelmente substituí-lo por isso):

/var/lib/named/etc/bind/** r,
/var/lib/named/var/lib/bind/** rw,
/var/lib/named/var/lib/bind/ rw,
/var/lib/named/var/cache/bind/** rw,
/var/lib/named/var/cache/bind/ rw,