Additions to 'hammer pfs-*':
[dragonfly.git] / contrib / bind-9.3 / FAQ
1 Frequently Asked Questions about BIND 9
2
3 Copyright © 2004-2007 Internet Systems Consortium, Inc. ("ISC")
4
5 Copyright © 2000-2003 Internet Software Consortium.
6
7 -------------------------------------------------------------------------------
8
9 Q: Why doesn't -u work on Linux 2.2.x when I build with --enable-threads?
10
11 A: Linux threads do not fully implement the Posix threads (pthreads) standard. In
12    particular, setuid() operates only on the current thread, not the full process.
13    Because of this limitation, BIND 9 cannot use setuid() on Linux as it can on
14    all other supported platforms. setuid() cannot be called before creating
15    threads, since the server does not start listening on reserved ports until
16    after threads have started.
17
18    In the 2.2.18 or 2.3.99-pre3 and newer kernels, the ability to preserve
19    capabilities across a setuid() call is present. This allows BIND 9 to call
20    setuid() early, while retaining the ability to bind reserved ports. This is a
21    Linux-specific hack.
22
23    On a 2.2 kernel, BIND 9 does drop many root privileges, so it should be less of
24    a security risk than a root process that has not dropped privileges.
25
26    If Linux threads ever work correctly, this restriction will go away.
27
28    Configuring BIND9 with the --disable-threads option (the default) causes a
29    non-threaded version to be built, which will allow -u to be used.
30
31 Q: Why do I get the following errors:
32
33    general: errno2result.c:109: unexpected error:
34    general: unable to convert errno to isc_result: 14: Bad address
35    client: UDP client handler shutting down due to fatal receive error: unexpected error
36
37 A: This is the result of a Linux kernel bug.
38
39    See: http://marc.theaimsgroup.com/?l=linux-netdev&m=113081708031466&w=2
40
41 Q: Why does named log the warning message "no TTL specified - using SOA MINTTL
42    instead"?
43
44 A: Your zone file is illegal according to RFC1035. It must either have a line
45    like:
46
47    $TTL 86400
48
49    at the beginning, or the first record in it must have a TTL field, like the
50    "84600" in this example:
51
52    example.com. 86400 IN SOA ns hostmaster ( 1 3600 1800 1814400 3600 )
53
54 Q: Why do I see 5 (or more) copies of named on Linux?
55
56 A: Linux threads each show up as a process under ps. The approximate number of
57    threads running is n+4, where n is the number of CPUs. Note that the amount of
58    memory used is not cumulative; if each process is using 10M of memory, only a
59    total of 10M is used.
60
61    Newer versions of Linux's ps command hide the individual threads and require -L
62    to display them.
63
64 Q: Why does BIND 9 log "permission denied" errors accessing its configuration
65    files or zones on my Linux system even though it is running as root?
66
67 A: On Linux, BIND 9 drops most of its root privileges on startup. This including
68    the privilege to open files owned by other users. Therefore, if the server is
69    running as root, the configuration files and zone files should also be owned by
70    root.
71
72 Q: Why do I get errors like "dns_zone_load: zone foo/IN: loading master file bar:
73    ran out of space"?
74
75 A: This is often caused by TXT records with missing close quotes. Check that all
76    TXT records containing quoted strings have both open and close quotes.
77
78 Q: How do I produce a usable core file from a multithreaded named on Linux?
79
80 A: If the Linux kernel is 2.4.7 or newer, multithreaded core dumps are usable
81    (that is, the correct thread is dumped). Otherwise, if using a 2.2 kernel,
82    apply the kernel patch found in contrib/linux/coredump-patch and rebuild the
83    kernel. This patch will cause multithreaded programs to dump the correct
84    thread.
85
86 Q: How do I restrict people from looking up the server version?
87
88 A: Put a "version" option containing something other than the real version in the
89    "options" section of named.conf. Note doing this will not prevent attacks and
90    may impede people trying to diagnose problems with your server. Also it is
91    possible to "fingerprint" nameservers to determine their version.
92
93 Q: How do I restrict only remote users from looking up the server version?
94
95 A: The following view statement will intercept lookups as the internal view that
96    holds the version information will be matched last. The caveats of the previous
97    answer still apply, of course.
98
99    view "chaos" chaos {
100            match-clients { <those to be refused>; };
101            allow-query { none; };
102            zone "." {
103                    type hint;
104                    file "/dev/null";  // or any empty file
105            };
106    };
107
108 Q: What do "no source of entropy found" or "could not open entropy source foo"
109    mean?
110
111 A: The server requires a source of entropy to perform certain operations, mostly
112    DNSSEC related. These messages indicate that you have no source of entropy. On
113    systems with /dev/random or an equivalent, it is used by default. A source of
114    entropy can also be defined using the random-device option in named.conf.
115
116 Q: I installed BIND 9 and restarted named, but it's still BIND 8. Why?
117
118 A: BIND 9 is installed under /usr/local by default. BIND 8 is often installed
119    under /usr. Check that the correct named is running.
120
121 Q: I'm trying to use TSIG to authenticate dynamic updates or zone transfers. I'm
122    sure I have the keys set up correctly, but the server is rejecting the TSIG.
123    Why?
124
125 A: This may be a clock skew problem. Check that the the clocks on the client and
126    server are properly synchronised (e.g., using ntp).
127
128 Q: I'm trying to compile BIND 9, and "make" is failing due to files not being
129    found. Why?
130
131 A: Using a parallel or distributed "make" to build BIND 9 is not supported, and
132    doesn't work. If you are using one of these, use normal make or gmake instead.
133
134 Q: I have a BIND 9 master and a BIND 8.2.3 slave, and the master is logging error
135    messages like "notify to 10.0.0.1#53 failed: unexpected end of input". What's
136    wrong?
137
138 A: This error message is caused by a known bug in BIND 8.2.3 and is fixed in BIND
139    8.2.4. It can be safely ignored - the notify has been acted on by the slave
140    despite the error message.
141
142 Q: I keep getting log messages like the following. Why?
143
144    Dec 4 23:47:59 client 10.0.0.1#1355: updating zone 'example.com/IN': update
145    failed: 'RRset exists (value dependent)' prerequisite not satisfied (NXRRSET)
146
147 A: DNS updates allow the update request to test to see if certain conditions are
148    met prior to proceeding with the update. The message above is saying that
149    conditions were not met and the update is not proceeding. See doc/rfc/
150    rfc2136.txt for more details on prerequisites.
151
152 Q: I keep getting log messages like the following. Why?
153
154    Jun 21 12:00:00.000 client 10.0.0.1#1234: update denied
155
156 A: Someone is trying to update your DNS data using the RFC2136 Dynamic Update
157    protocol. Windows 2000 machines have a habit of sending dynamic update requests
158    to DNS servers without being specifically configured to do so. If the update
159    requests are coming from a Windows 2000 machine, see http://
160    support.microsoft.com/support/kb/articles/q246/8/04.asp for information about
161    how to turn them off.
162
163 Q: I see a log message like the following. Why?
164
165    couldn't open pid file '/var/run/named.pid': Permission denied
166
167 A: You are most likely running named as a non-root user, and that user does not
168    have permission to write in /var/run. The common ways of fixing this are to
169    create a /var/run/named directory owned by the named user and set pid-file to "
170    /var/run/named/named.pid", or set pid-file to "named.pid", which will put the
171    file in the directory specified by the directory option (which, in this case,
172    must be writable by the named user).
173
174 Q: When I do a "dig . ns", many of the A records for the root servers are missing.
175    Why?
176
177 A: This is normal and harmless. It is a somewhat confusing side effect of the way
178    BIND 9 does RFC2181 trust ranking and of the efforts BIND 9 makes to avoid
179    promoting glue into answers.
180
181    When BIND 9 first starts up and primes its cache, it receives the root server
182    addresses as additional data in an authoritative response from a root server,
183    and these records are eligible for inclusion as additional data in responses.
184    Subsequently it receives a subset of the root server addresses as additional
185    data in a non-authoritative (referral) response from a root server. This causes
186    the addresses to now be considered non-authoritative (glue) data, which is not
187    eligible for inclusion in responses.
188
189    The server does have a complete set of root server addresses cached at all
190    times, it just may not include all of them as additional data, depending on
191    whether they were last received as answers or as glue. You can always look up
192    the addresses with explicit queries like "dig a.root-servers.net A".
193
194 Q: Zone transfers from my BIND 9 master to my Windows 2000 slave fail. Why?
195
196 A: This may be caused by a bug in the Windows 2000 DNS server where DNS messages
197    larger than 16K are not handled properly. This can be worked around by setting
198    the option "transfer-format one-answer;". Also check whether your zone contains
199    domain names with embedded spaces or other special characters, like "John\
200    032Doe\213s\032Computer", since such names have been known to cause Windows
201    2000 slaves to incorrectly reject the zone.
202
203 Q: Why don't my zones reload when I do an "rndc reload" or SIGHUP?
204
205 A: A zone can be updated either by editing zone files and reloading the server or
206    by dynamic update, but not both. If you have enabled dynamic update for a zone
207    using the "allow-update" option, you are not supposed to edit the zone file by
208    hand, and the server will not attempt to reload it.
209
210 Q: I can query the nameserver from the nameserver but not from other machines.
211    Why?
212
213 A: This is usually the result of the firewall configuration stopping the queries
214    and / or the replies.
215
216 Q: How can I make a server a slave for both an internal and an external view at
217    the same time? When I tried, both views on the slave were transferred from the
218    same view on the master.
219
220 A: You will need to give the master and slave multiple IP addresses and use those
221    to make sure you reach the correct view on the other machine.
222
223    Master: 10.0.1.1 (internal), 10.0.1.2 (external, IP alias)
224        internal:
225            match-clients { !10.0.1.2; !10.0.1.4; 10.0.1/24; };
226                    notify-source 10.0.1.1;
227                    transfer-source 10.0.1.1;
228                    query-source address 10.0.1.1;
229        external:
230            match-clients { any; };
231            recursion no;   // don't offer recursion to the world
232            notify-source 10.0.1.2;
233            transfer-source 10.0.1.2;
234            query-source address 10.0.1.2;
235
236    Slave: 10.0.1.3 (internal), 10.0.1.4 (external, IP alias)
237        internal:
238            match-clients { !10.0.1.2; !10.0.1.4; 10.0.1/24; };
239            notify-source 10.0.1.3;
240            transfer-source 10.0.1.3;
241            query-source address 10.0.1.3;
242       external:
243            match-clients { any; };
244            recursion no;   // don't offer recursion to the world
245            notify-source 10.0.1.4;
246            transfer-source 10.0.1.4;
247            query-source address 10.0.1.4;
248
249    You put the external address on the alias so that all the other dns clients on
250    these boxes see the internal view by default.
251
252 A: BIND 9.3 and later: Use TSIG to select the appropriate view.
253
254    Master 10.0.1.1:
255            key "external" {
256                    algorithm hmac-md5;
257                    secret "xxxxxxxx";
258            };
259            view "internal" {
260                    match-clients { !key external; 10.0.1/24; };
261                    ...
262            };
263            view "external" {
264                    match-clients { key external; any; };
265                    server 10.0.1.2 { keys external; };
266                    recursion no;
267                    ...
268            };
269
270    Slave 10.0.1.2:
271            key "external" {
272                    algorithm hmac-md5;
273                    secret "xxxxxxxx";
274            };
275            view "internal" {
276                    match-clients { !key external; 10.0.1/24; };
277                    ...
278            };
279            view "external" {
280                    match-clients { key external; any; };
281                    server 10.0.1.1 { keys external; };
282                    recursion no;
283                    ...
284            };
285
286 Q: I have FreeBSD 4.x and "rndc-confgen -a" just sits there.
287
288 A: /dev/random is not configured. Use rndcontrol(8) to tell the kernel to use
289    certain interrupts as a source of random events. You can make this permanent by
290    setting rand_irqs in /etc/rc.conf.
291
292    /etc/rc.conf
293    rand_irqs="3 14 15"
294
295    See also http://people.freebsd.org/~dougb/randomness.html
296
297 Q: Why is named listening on UDP port other than 53?
298
299 A: Named uses a system selected port to make queries of other nameservers. This
300    behaviour can be overridden by using query-source to lock down the port and/or
301    address. See also notify-source and transfer-source.
302
303 Q: I get error messages like "multiple RRs of singleton type" and "CNAME and other
304    data" when transferring a zone. What does this mean?
305
306 A: These indicate a malformed master zone. You can identify the exact records
307    involved by transferring the zone using dig then running named-checkzone on it.
308
309    dig axfr example.com @master-server > tmp
310    named-checkzone example.com tmp
311
312    A CNAME record cannot exist with the same name as another record except for the
313    DNSSEC records which prove its existance (NSEC).
314
315    RFC 1034, Section 3.6.2: "If a CNAME RR is present at a node, no other data
316    should be present; this ensures that the data for a canonical name and its
317    aliases cannot be different. This rule also insures that a cached CNAME can be
318    used without checking with an authoritative server for other RR types."
319
320 Q: I get error messages like "named.conf:99: unexpected end of input" where 99 is
321    the last line of named.conf.
322
323 A: Some text editors (notepad and wordpad) fail to put a line title indication
324    (e.g. CR/LF) on the last line of a text file. This can be fixed by "adding" a
325    blank line to the end of the file. Named expects to see EOF immediately after
326    EOL and treats text files where this is not met as truncated.
327
328 Q: I get warning messages like "zone example.com/IN: refresh: failure trying
329    master 1.2.3.4#53: timed out".
330
331 A: Check that you can make UDP queries from the slave to the master
332
333    dig +norec example.com soa @1.2.3.4
334
335    You could be generating queries faster than the slave can cope with. Lower the
336    serial query rate.
337
338    serial-query-rate 5; // default 20
339
340 Q: How do I share a dynamic zone between multiple views?
341
342 A: You choose one view to be master and the second a slave and transfer the zone
343    between views.
344
345    Master 10.0.1.1:
346            key "external" {
347                    algorithm hmac-md5;
348                    secret "xxxxxxxx";
349            };
350
351            key "mykey" {
352                    algorithm hmac-md5;
353                    secret "yyyyyyyy";
354            };
355
356            view "internal" {
357                    match-clients { !external; 10.0.1/24; };
358                    server 10.0.1.1 {
359                            /* Deliver notify messages to external view. */
360                            keys { external; };
361                    };
362                    zone "example.com" {
363                            type master;
364                            file "internal/example.db";
365                            allow-update { key mykey; };
366                            notify-also { 10.0.1.1; };
367                    };
368            };
369
370            view "external" {
371                    match-clients { external; any; };
372                    zone "example.com" {
373                            type slave;
374                            file "external/example.db";
375                            masters { 10.0.1.1; };
376                            transfer-source { 10.0.1.1; };
377                            // allow-update-forwarding { any; };
378                            // allow-notify { ... };
379                    };
380            };
381
382 Q: I get a error message like "zone wireless.ietf56.ietf.org/IN: loading master
383    file primaries/wireless.ietf56.ietf.org: no owner".
384
385 A: This error is produced when a line in the master file contains leading white
386    space (tab/space) but the is no current record owner name to inherit the name
387    from. Usually this is the result of putting white space before a comment.
388    Forgeting the "@" for the SOA record or indenting the master file.
389
390 Q: Why are my logs in GMT (UTC).
391
392 A: You are running chrooted (-t) and have not supplied local timzone information
393    in the chroot area.
394
395    FreeBSD: /etc/localtime
396    Solaris: /etc/TIMEZONE and /usr/share/lib/zoneinfo
397    OSF: /etc/zoneinfo/localtime
398
399    See also tzset(3) and zic(8).
400
401 Q: I get the error message "named: capset failed: Operation not permitted" when
402    starting named.
403
404 A: The capability module, part of "Linux Security Modules/LSM", has not been
405    loaded into the kernel. See insmod(8).
406
407 Q: I get "rndc: connect failed: connection refused" when I try to run rndc.
408
409 A: This is usually a configuration error.
410
411    First ensure that named is running and no errors are being reported at startup
412    (/var/log/messages or equivalent). Running "named -g <usual arguments>" from a
413    title can help at this point.
414
415    Secondly ensure that named is configured to use rndc either by "rndc-confgen
416    -a", rndc-confgen or manually. The Administrators Reference manual has details
417    on how to do this.
418
419    Old versions of rndc-confgen used localhost rather than 127.0.0.1 in /etc/
420    rndc.conf for the default server. Update /etc/rndc.conf if necessary so that
421    the default server listed in /etc/rndc.conf matches the addresses used in
422    named.conf. "localhost" has two address (127.0.0.1 and ::1).
423
424    If you use "rndc-confgen -a" and named is running with -t or -u ensure that /
425    etc/rndc.conf has the correct ownership and that a copy is in the chroot area.
426    You can do this by re-running "rndc-confgen -a" with appropriate -t and -u
427    arguments.
428
429 Q: I don't get RRSIG's returned when I use "dig +dnssec".
430
431 A: You need to ensure DNSSEC is enabled (dnssec-enable yes;).
432
433 Q: I get "Error 1067" when starting named under Windows.
434
435 A: This is the service manager saying that named exited. You need to examine the
436    Application log in the EventViewer to find out why.
437
438    Common causes are that you failed to create "named.conf" (usually "C:\windows\
439    dns\etc\named.conf") or failed to specify the directory in named.conf.
440
441    options {
442            Directory "C:\windows\dns\etc";
443    };
444
445 Q: I get "transfer of 'example.net/IN' from 192.168.4.12#53: failed while
446    receiving responses: permission denied" error messages.
447
448 A: These indicate a filesystem permission error preventing named creating /
449    renaming the temporary file. These will usually also have other associated
450    error messages like
451
452    "dumping master file: sl/tmp-XXXX5il3sQ: open: permission denied"
453
454    Named needs write permission on the directory containing the file. Named writes
455    the new cache file to a temporary file then renames it to the name specified in
456    named.conf to ensure that the contents are always complete. This is to prevent
457    named loading a partial zone in the event of power failure or similar
458    interrupting the write of the master file.
459
460    Note file names are relative to the directory specified in options and any
461    chroot directory ([<chroot dir>/][<options dir>]).
462
463    If named is invoked as "named -t /chroot/DNS" with the following named.conf
464    then "/chroot/DNS/var/named/sl" needs to be writable by the user named is
465    running as.
466
467    options {
468            directory "/var/named";
469    };
470
471    zone "example.net" {
472            type slave;
473            file "sl/example.net";
474            masters { 192.168.4.12; };
475    };
476
477 Q: How do I intergrate BIND 9 and Solaris SMF
478
479 A: Sun has a blog entry describing how to do this.
480
481    http://blogs.sun.com/roller/page/anay/Weblog?catname=%2FSolaris
482
483 Q: Can a NS record refer to a CNAME.
484
485 A: No. The rules for glue (copies of the *address* records in the parent zones)
486    and additional section processing do not allow it to work.
487
488    You would have to add both the CNAME and address records (A/AAAA) as glue to
489    the parent zone and have CNAMEs be followed when doing additional section
490    processing to make it work. No namesever implementation supports either of
491    these requirements.
492
493 Q: What does "RFC 1918 response from Internet for 0.0.0.10.IN-ADDR.ARPA" mean?
494
495 A: If the IN-ADDR.ARPA name covered refers to a internal address space you are
496    using then you have failed to follow RFC 1918 usage rules and are leaking
497    queries to the Internet. You should establish your own zones for these
498    addresses to prevent you quering the Internet's name servers for these
499    addresses. Please see http://as112.net/ for details of the problems you are
500    causing and the counter measures that have had to be deployed.
501
502    If you are not using these private addresses then a client has queried for
503    them. You can just ignore the messages, get the offending client to stop
504    sending you these messages as they are most probably leaking them or setup your
505    own zones empty zones to serve answers to these queries.
506
507    zone "10.IN-ADDR.ARPA" {
508            type master;
509            file "empty";
510    };
511
512    zone "16.172.IN-ADDR.ARPA" {
513            type master;
514            file "empty";
515    };
516
517    ...
518
519    zone "31.172.IN-ADDR.ARPA" {
520            type master;
521            file "empty";
522    };
523
524    zone "168.192.IN-ADDR.ARPA" {
525            type master;
526            file "empty";
527    };
528
529    empty:
530    @ 10800 IN SOA <name-of-server>. <contact-email>. (
531                   1 3600 1200 604800 10800 )
532    @ 10800 IN NS <name-of-server>.
533
534    Note
535
536    Future versions of named are likely to do this automatically.
537
538 Q: I'm running BIND on Red Hat Enterprise Linux or Fedora Core -
539
540    Why can't named update slave zone database files?
541
542    Why can't named create DDNS journal files or update the master zones from
543    journals?
544
545    Why can't named create custom log files?
546
547 A: Red Hat Security Enhanced Linux (SELinux) policy security protections :
548
549    Red Hat have adopted the National Security Agency's SELinux security policy (
550    see http://www.nsa.gov/selinux ) and recommendations for BIND security , which
551    are more secure than running named in a chroot and make use of the bind-chroot
552    environment unecessary .
553
554    By default, named is not allowed by the SELinux policy to write, create or
555    delete any files EXCEPT in these directories:
556
557    $ROOTDIR/var/named/slaves
558    $ROOTDIR/var/named/data
559    $ROOTDIR/var/tmp
560
561
562    where $ROOTDIR may be set in /etc/sysconfig/named if bind-chroot is installed.
563
564    The SELinux policy particularly does NOT allow named to modify the $ROOTDIR/var
565    /named directory, the default location for master zone database files.
566
567    SELinux policy overrules file access permissions - so even if all the files
568    under /var/named have ownership named:named and mode rw-rw-r--, named will
569    still not be able to write or create files except in the directories above,
570    with SELinux in Enforcing mode.
571
572    So, to allow named to update slave or DDNS zone files, it is best to locate
573    them in $ROOTDIR/var/named/slaves, with named.conf zone statements such as:
574
575    zone "slave.zone." IN {
576            type slave;
577            file "slaves/slave.zone.db";
578            ...
579    };
580    zone "ddns.zone." IN  {
581            type master;
582            allow-updates {...};
583            file "slaves/ddns.zone.db";
584    };
585
586
587    To allow named to create its cache dump and statistics files, for example, you
588    could use named.conf options statements such as:
589
590    options {
591            ...
592            dump-file "/var/named/data/cache_dump.db";
593            statistics-file "/var/named/data/named_stats.txt";
594            ...
595    };
596
597
598    You can also tell SELinux to allow named to update any zone database files, by
599    setting the SELinux tunable boolean parameter 'named_write_master_zones=1',
600    using the system-config-securitylevel GUI, using the 'setsebool' command, or in
601    /etc/selinux/targeted/booleans.
602
603    You can disable SELinux protection for named entirely by setting the
604    'named_disable_trans=1' SELinux tunable boolean parameter.
605
606    The SELinux named policy defines these SELinux contexts for named:
607
608    named_zone_t : for zone database files       - $ROOTDIR/var/named/*
609    named_conf_t : for named configuration files - $ROOTDIR/etc/{named,rndc}.*
610    named_cache_t: for files modifiable by named - $ROOTDIR/var/{tmp,named/{slaves,data}}
611
612
613    If you want to retain use of the SELinux policy for named, and put named files
614    in different locations, you can do so by changing the context of the custom
615    file locations .
616
617    To create a custom configuration file location, eg. '/root/named.conf', to use
618    with the 'named -c' option, do:
619
620    # chcon system_u:object_r:named_conf_t /root/named.conf
621
622
623    To create a custom modifiable named data location, eg. '/var/log/named' for a
624    log file, do:
625
626    # chcon system_u:object_r:named_cache_t /var/log/named
627
628
629    To create a custom zone file location, eg. /root/zones/, do:
630
631    # chcon system_u:object_r:named_zone_t /root/zones/{.,*}
632
633
634    See these man-pages for more information : selinux(8), named_selinux(8), chcon
635    (1), setsebool(8)
636
637 Q: I want to forward all DNS queries from my caching nameserver to another server.
638    But there are some domains which have to be served locally, via rbldnsd.
639
640    How do I achieve this ?
641
642 A: options {
643            forward only;
644            forwarders { <ip.of.primary.nameserver>; };
645    };
646
647    zone "sbl-xbl.spamhaus.org" {
648            type forward; forward only;
649            forwarders { <ip.of.rbldns.server> port 530; };
650    };
651
652    zone "list.dsbl.org" {
653            type forward; forward only;
654            forwarders { <ip.of.rbldns.server> port 530; };
655    };
656
657
658 Q: Will named be affected by the 2007 changes to daylight savings rules in the US.
659
660 A: No, so long as the machines internal clock (as reported by "date -u") remains
661    at UTC. The only visible change if you fail to upgrade your OS, if you are in a
662    affected area, will be that log messages will be a hour out during the period
663    where the old rules do not match the new rules.
664
665    For most OS's this change just means that you need to update the conversion
666    rules from UTC to local time. Normally this involves updating a file in /etc
667    (which sets the default timezone for the machine) and possibly a directory
668    which has all the conversion rules for the world (e.g. /usr/share/zoneinfo).
669    When updating the OS do not forget to update any chroot areas as well. See your
670    OS's documetation for more details.
671
672    The local timezone conversion rules can also be done on a individual basis by
673    setting the TZ envirionment variable appropriately. See your OS's documentation
674    for more details.
675