bindのrndc statsでpermission deniedとなる

Question

前提・実現したいこと

Debianを9から10にアップグレードすると、rndc stats で permission denied となるようになってしまいました。
Debian 9の時は、問題なく実行できていました。
rndc stats で、bind の状態を取得したいです。

発生している問題・エラーメッセージ

# rndc stats
rndc: 'stats' failed: permission denied

試したこと

ググると、/var/cache/bind/ のパーミッションの問題というのがあったので確認してみましたが、問題ないようです。
念のため、bindユーザが/var/cache/bind/に書き込めることも確認しました。

# ls -ld /var/cache/bind/
drwxrwxr-x 3 bind bind 4096 12月 27 10:57 /var/cache/bind/
# sudo -u bind touch /var/cache/bind/dummy
# ls -l /var/cache/bind/dummy
-rw-r--r-- 1 bind bind 0 12月 27 11:37 /var/cache/bind/dummy

/var/cache/bind がシンボリックリンクになっていることが問題だと考え、以下のような設定にしてみましたが、同じ結果でした。

options {
        directory "/var/cache/bind";
        :

環境、設定

# uname -a
Linux dummy 4.19.0-13-amd64 #1 SMP Debian 4.19.160-2 (2020-11-28) x86_64 GNU/Linux
# lsb_release -a
No LSB modules are available.
Distributor ID: Debian
Description:    Debian GNU/Linux 10 (buster)
Release:        10
Codename:       buster
# dpkg -l|grep bind9
ii  bind9                          1:9.11.5.P4+dfsg-5.1+deb10u2      amd64        Internet Domain Name Server
ii  bind9-host                     1:9.11.5.P4+dfsg-5.1+deb10u2      amd64        DNS lookup utility (deprecated)
ii  bind9utils                     1:9.11.5.P4+dfsg-5.1+deb10u2      amd64        Utilities for BIND
ii  libbind9-161:amd64             1:9.11.5.P4+dfsg-5.1+deb10u2      amd64        BIND9 Shared Library used by BIND
# getenforce
Disabled

• /etc/default/bind9

RESOLVCONF=no
OPTIONS="-u bind"

• /etc/bind/named.conf

include "/etc/bind/named.conf.options";
include "/etc/bind/named.conf.local";
include "/etc/bind/named.conf.default-zones";

• /etc/bind/named.conf.options

options {
        directory "/var/cache/bind";
        forwarders {
        };
        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { any; };
        allow-query {
                ::1;
                127.0.0.1;
                192.168.0.0/16;
                fe80::0/16;
        };
        allow-transfer { ::1; 127.0.0.1; };
        allow-recursion {
                192.168.0.0/16;
                fe80::0/16;
                127.0.0.1;
                ::1;
        };
        recursion yes;
        listen-on {
                127.0.0.1;
                192.168.0.1;
        };
        dnssec-enable yes;
        dnssec-validation auto;
};
logging {
        channel lamesv-log {
                file "/var/log/named/lamesv.log" versions 40 size 10m;
                severity info;
                print-time yes;
                print-severity yes;
                print-category yes;
        };
        channel named-log {
                file "/var/log/named/named.log" versions 40 size 10m;
                severity info;
                print-time yes;
                print-severity yes;
                print-category yes;
        };
        channel queries-log {
                file "/var/log/named/queries.log" versions 40 size 10m;
                severity info;
                print-time yes;
                print-severity yes;
                print-category yes;
        };
        category lame-servers { lamesv-log; };
        category default { named-log; };
        category queries { queries-log; };
};

• /etc/bind/named.conf.local

zone "10.in-addr.arpa"      { type master; file "/etc/bind/db.empty"; };
zone "16.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "17.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "18.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "19.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "20.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "21.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "22.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "23.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "24.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "25.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "26.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "27.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "28.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "29.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "30.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
zone "31.172.in-addr.arpa"  { type master; file "/etc/bind/db.empty"; };
acl "localdns" {
        192.168.0.9;
        127.0.0.1;
        ::1;
};
acl "localupdate" {
        127.0.0.1;
        ::1;
        192.168.0.1;
        192.168.0.21;
        192.168.0.22;
        192.168.0.212;
};
zone "dummy.local" IN {
        type master;
        file "dummy.example.zone";
        check-names ignore;
        allow-transfer {
                localdns;
        };
        allow-update {
                localupdate;
        };
};
zone "dummy.example.jp" IN {
        type master;
        file "dummy.example.jp.zone";
        allow-transfer {
                localdns;
        };
};
zone "168.192.in-addr.arpa" IN {
        type master;
        file "dummy.local.rev";
        allow-transfer {
                localdns;
        };
        allow-update {
                localupdate;
        };
};

• /etc/bind/named.conf.default-zones

zone "." {
        type hint;
        file "/usr/share/dns/root.hints";
};
zone "localhost" {
        type master;
        file "/etc/bind/db.local";
};
zone "127.in-addr.arpa" {
        type master;
        file "/etc/bind/db.127";
};
zone "0.in-addr.arpa" {
        type master;
        file "/etc/bind/db.0";
};
zone "255.in-addr.arpa" {
        type master;
        file "/etc/bind/db.255";
};

その他

/var/cache/bind は、シンボリックリンクとなっています。

lrwxrwxrwx 1 root root 24  5月  3  2019 /var/cache/bind -> /opt/bind

Answer 1

いろいろ試したところ、本当のパスが /var/cache/bind 以外だとうまくいかないようでした。
このため、/var/cache/bind にマウントすることで回避しました。

mount --bind /opt/bind /var/cache/bind