1

Есть простой сервер BIND, который поддерживает несколько внутренних зон. Админы правят зоны руками через консоль. Необходимо сделать так, что бы при эксплуатации можно было бы увидеть старые записи. Т.е. записи со старыми serial,... кто и что именно исправил (дописал)...

Можно ли это реализовать на самом BIND, если внешними средствами, то какими?

UPD: готового решения не нашли. пришлось "костылять" на ходу.

вариант 1:

  1. организуем локальный репозитарий git в папке с зонами.
  2. sudo pip install inotify

написан скрипт (переписан example inotify), который мониторит изменения лога bind сервера и при перезаписи лога, делает в папке зон

git add .

git commit -m "update comment..."

(в комментарий коммита добавляем последнего ssh пользователя из лога auth (secure), но это не является панацеей... как определить пользователя, который перезапустил сервис (при условии, что сервис перезапускается от root) я не нашел)

Итого: можно откатиться на любой из рабочих конфигов зон.

вариант 2: все изменения зон делаются на локальном gitLab сервере.

папка зон, на сервере DNS, имеет лишь копию репозитария git.

Те кто имеет доступ к репозитарию в gitLab комитят изменения (добавляют, изменяют записи днс), после чего создают тикет unix-администратору на обновление зон до последнего коммита.

Для администратора написан скрипты update и downgrade., которые обновляют до последнего коммита, и откатывает до выбранного коммита в случае не удачи.

1
  • 1
    Может хранить конфиги в git?
    – don Rumata
    22 июл 2016 в 12:30

2 ответа 2

2

программа bind — это dns-сервер, а не система управления версиями, которая вам требуется.

для отслеживания изменений в файлах вы можете использовать любую удобную систему управления версиями.

0

В идеально варианте, конечно, использовать git, да ещё и с какой-нибудь системой управления конфигурациями (ansible, puppet, chef и т.д.).

Однако если изменять нынешний процесс внесения изменений не представляется возможным, то с помощью auditd можно отслеживать кто делал изменения в файл(ы), выставленные этим же самым auditd на отслеживание.

Начать отслеживать файл, например, /etc/nginx/nginx.conf:

auditctl -w /etc/nginx/nginx.conf -p war -k nginx-config

Теперь после внесения правок в файл можно посмотреть кто их делал:

ausearch -f /etc/nginx/nginx.conf -i

----
type=CONFIG_CHANGE msg=audit(07/26/2016 11:22:07.376:1076160) : auid=paul ses=6466 op="updated_rules" path=/etc/nginx/nginx.conf key=(null) list=exit res=yes
----
type=CONFIG_CHANGE msg=audit(07/26/2016 11:22:07.376:1076161) : auid=paul ses=6466 op="updated_rules" path=/etc/nginx/nginx.conf key=(null) list=exit res=yes
----
type=CONFIG_CHANGE msg=audit(07/26/2016 11:22:07.376:1076162) : auid=paul ses=6466 op="updated_rules" path=/etc/nginx/nginx.conf key=nginx-conf list=exit res=yes

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.