| ■ 【ぷろじぇくと ぞうさん】 〜E-Bananaサーバ 構築日記〜
|
第２１日目：〜外伝V〜 ロードバランサーを作れ！ (その８)〜
|
どうも、('A`)です。
昨日からずっと過去ログを読んでいるので、ちょっと今日は目が痛いです。。。
引き続き過去ログを調べるとしても、ちょっと一人ではどうしようもないなあ。
そうだ、root兄(・∀・)に手伝ってもらおう。そうしよう。
最近のroot兄(・∀・)は色々と開発作業を黙々とやってるけど、今日は空いてるかなあ。
('A`)：「あのー・・・」
(・∀・)：「ん、どうした？ロードバランサーは動いたかい？」
('A`)：「そのロードバランサーなんだけど、どうも正常に動いていないっぽいんだ。」
(・∀・)：「ほうほう。何かエラーメッセージとかは出ているの？」
('A`)：「いやあ、それが見当たらないんだ。動かしているのはmatdなんだけど。」
(・∀・)：「matdねぇ・・・あ、これ見た？」
('A`)：「ん、何？」
(・∀・)：「コレ。最後の方に『ipf ルールでパケットを破棄する必要があります』って
書いているよ。ipfilterはインストールして設定しているかい？」
('A`)：「えー、えー、、、インストールしていない・・・」
(・∀・)：「じゃあ、まずはipfilterのインストールからだね。頑張れっ！」
('A`)：「・・・」
|
うーん、ipfilterもインストールしないといけないのか・・・
インストールするのはできるけど、ipfwと同様にちょっとでも変な設定してしまうと、
最悪二度とサーバに接続できなくなる事も起きるからなあ。ちょっと慎重に作業しよう。
最近のFreeBSD(たぶん6.0R以降だったかなあ)ではipfwやipfilter(ipl)は標準で
カーネルモジュールとして作られるので、後はそれらを動かす設定をすれば
良いだけです。
ちょっとやってみましょう。
[ipfilter(ipl)の下準備]
まずモジュールのローディングから始めます。モジュールが作られていても、
起動時にOSから読み込まれていないと使えないです。
/boot/loader.confに以下の記述を行ないます。
ipl_load="YES"
loader.confはシステムブート(起動)時にカーネルや、カーネルに渡すパラメータ、
追加すべきカーネルモジュールを指定する設定ファイルです。
今回はipfilter(ipl)をローディングする指定を追加するので、上記のような
記述になります。
(ちなみにモジュールは /boot/kernerl の中に ipl.ko という名称で入ってます。)
これでサーバが再起動された時にipfilterのモジュールがローディングされる設定は
完了しました。
では「現在稼働しているサーバで動かしたい時はどうするか」と言いますと、
スーパーユーザモードで以下のコマンドを実行すれば良いです。
kldload ipl.ko
んで、無事にモジュールがローディングされたかを確認するには、以下のコマンドを
実行します。
kldstat
すると、以下の様にローディングされているカーネルモジュールが表示されます。
Id Refs Address Size Name
1 4 0xc0400000 544b6c kernel
2 1 0xc0945000 3691c ipl.ko
3 1 0xc097c000 65e98 acpi.ko
|
1番目がカーネル本体、2番目がipfilterのモジュール、3番目がacpiのモジュールです。
(あ、ACPIについては各自調べて下さい。大雑把に言うとマシンの電源制御を行なって
いるもの、と思って頂けると助かります。紙面の関係上、説明するの大変です・・・)
[ipfilter(ipl)の設定]
ipfilterのモジュールローディングまで行ないましたが、このままではipfilterとして
動いてはくれません。(単にモジュールがメモリ上に存在するだけ、という状態です。)
ではipfilterとして起動するにはどうすればいいかと言うと、以下の３つの作業を
実施します。
１）/etc/rc.conf 内に起動用のパラメータを追加する
２）ipfilterの設定ファイル(ipf.rules)を作る
３）サーバを再起動する
１）/etc/rc.conf 内に起動用のパラメータを追加する
以下のパラメータを追加します。
ipfilter_enable="YES" ← 「ipfilterを有効にしますよ〜」の意味
ipfilter_rules="/etc/ipf.rules" ← フィルタリングルールの設定ファイルの場所
ipfilter_flags="" ← ipfilter起動オプション(通常は何も書かない)
ipmon_enable="YES" ← 「ipfilterのログ取りますよ〜」の意味
ipmon_flags="-D /var/log/ipflog" ← ログが記録される場所
|
ipfilterのログはプログラムipmonがサーバ起動時にこの設定に基づいて稼働します。
(本体は /sbin/ipmon として存在します。
２）ipfilterではフィルタリングルールを ipf.rules というファイルで設定します。
自分でエディタを使い１から書く、という事も可能ですが、初めての人とかあまり
慣れていない人は /usr/src/contrib/ipfilter/ にある mkfilters を使うと
雛型となる設定ファイルが作れます。
・・・と言っていたら、 /usr/src の中身が空っぽだった(泣
banana260# ls -l /usr/src
total 0
banana260#
でも心配ありません。sysinstall コマンドを使って /usr/src/contrib を
FreeBSD本家サイトから取得する事が可能です。
(sysinstallコマンドでの取得方法についてはココを参照して下さい。)
/usr/src/contrib を取得したら、スーパーユーザモードになって、以下の
コマンドを実行して下さい。
cd /usr/src/contrib/ipfilter
perl mkfilters | grep -v inet6 > /etc/ipf.rules
/etc/ipf.rulesに以下の内容のファイルが作成されます。
('A`)の場合には IPを２つ持っているbanana260サーバで作成したので、
通常よりも２行多くなっています。
#
# The following routes should be configured, if not already:
#
# route add 206.223.147.161 localhost 0
#
block in log quick from any to any with ipopts
block in log quick proto tcp from any to any with short
pass out on vr0 all head 150
block out from 127.0.0.0/8 to any group 150
block out from any to 127.0.0.0/8 group 150
block out from any to 206.223.147.161/32 group 150
pass in on vr0 all head 100
block in from 127.0.0.0/8 to any group 100
block in from 206.223.147.161/32 to any group 100
|
※ここで('A`)なりに判った事を解説すると、、、
・「pass なんちゃら」は許可をあらわす
・「block なんちゃら」は拒否をあらわす
・「in」はサーバの外から中へ、「out」はサーバの中から外へ
を示している、と思います。(うわっ、すごく自信なさげな書き方！)
例えば、
pass in on vr0 all head 100
pass out on vr0 all head 150
なんていう設定だけだと、「どこからでもいらっしゃい〜♪」状態になる訳です。
(矢吹丈の「ノーガード」戦法ですね。)
またルールは /etc/ipf.rules に書かれている順番(出現順)に解釈・適用されますが、
内容的に以前出現したルールと重複したり、一部に含まれたものは省略されるようです。
('A`)の場合にはこんな内容で組んでみました。
#pass in on vr0 all head 100
#pass out on vr0 all head 150
block in log quick from any to any with ipopts
block in log quick proto tcp from any to any with short
block in quick proto tcp from any to 206.223.147.161 port = 80
block out from 127.0.0.0/8 to any group 150
block out from any to 127.0.0.0/8 group 150
block out from any to 206.223.147.161/32 group 150
block in from 127.0.0.0/8 to any group 100
block in from 206.223.147.161/32 to any group 100
|
３）サーバを再起動する
うまく動くことを信じて、サーバを再起動します。
サーバが戻ってきたらログイン後スーパーユーザモードになって
以下のコマンドを実行し、確認を行ないます。
・kldstat ‥‥ モジュールがローディングされているか確認
・ps ‥‥ ログ出力モジュール(ipmon)が動いているか確認
・ipfstat -i ‥‥ 設定したルールがどの様に反映されているか確認
ちなみに('A`)が設定した内容では最終的に以下の様に認識されました。
banana260# ipfstat -i
block in log quick from any to any with ipopts
block in log quick proto tcp from any to any with short
block in quick proto tcp from any to 206.223.147.161/32 port = http
banana260#
|
本当に動いているかなあ・・・１つ実験してみよう。
/etc/ipf.rules に以下の１行を追加してサーバを再起動してみます。
block in from any to 206.223.147.160 port = 80
再起動してからFTP、Telnet、SSH、HTTP、POP3、SMTPでアクセスしてみました。
するとHTTPは応答を返さず、それ以外は正常に動作しました。
(当たり前ですが・・・)
これはipfilterで「外部から 206.223.147.160 のIPでかつ80番ポートへ接続
しようとする通信は拒否する」というルールが適用されている事を示しています。
という事で、ipfilterの設定は終了です。
さて今の設定を外してから、もう一度matdの動作を確認してみよう。
どうかな・・・
・・・ダメでした(涙
前回の日記で起きた現象が繰り返されます。
(サーバのデフォルトページ ( http://banana260.maido3.com/ )のページが
表示されるだけ、という状態。)
うーん、もう一度root兄(・∀・)に相談してみよう。
('A`)：「あのー・・・」
(・∀・)：「どう？動いた？」
('A`)：「ダメだった・・・前回と同じ動きをして、こちらの想定通りの結果が出ないんだ。」
(・∀・)：「・・・」
('A`)：「何か他に良い方法は無いかなあ？」
(・∀・)：「あ、俺、他の作業が入っちゃったから、また今度ね。」
('A`)：「えー、あ、ちょっと待ってー・・・orz」
|
また一人になってしまった・・・解決策が見つからない。
引き続き過去ログ読みに戻ります。
あ、日記のページ上段のインデックス(「第ｘ日目」と表示されているところ)を拡張して
おかなきゃ。(もう３段目が全部埋まりそう。)
明日には解決策見つかるといいなあ。。。
それでは、また
[20:10 追記]
このスレに書かれたむむむさんの説明を基にサーバの設定をいくつか修正したら、
何とかかんとか動きましたー。
このページが皆さんのブラウザで表示されるといいなあ。
(皆さんの環境によっても違ってくるかと思いますが、１〜２分位の間隔で何回か
リロードすると、('A`) 、(^_^;) 、(´･ω･`)に表示が切り替わっていくと思います。)
修正したところとかの詳細については次回の日記でご報告します。
イヤッホーイ！
|
|
【sysinstallコマンドについて】
sysinstallはFreeBSDのシステムや各種アプリケーションのインストールや設定を
行なうユーティリティです。
対話形式で操作するので、初めての人でもすぐに操作に慣れると思います。
今回は本編で取り上げた「/usr/src/contrib を取得する」を題材に説明します。
まずSSHでサーバにログインし、スーパーユーザモードになって下さい。
スーパーユーザモードになったら sysinstall と入力し、ENTERキーを押します。
すると図１の画面が表示されます。これがsysinstallのメイン画面です。
(図１)
今回の場合には「/usr/src/contrib を取得する」ので、キーボードの↓キーを押して
メニュー画面内の「Configure」まで移動し、ENTERキーを押します。
すると図２の画面が表示されます。これがConfigurationの詳細画面です。
(図２)
Configurationの詳細画面ではサーバに対して行なえるの各種設定の内訳が表示されます。
例えばネットワークの設定やrootパスワードの変更等がこのメニューから実行できます。
今回は画面中の「Distributions」にカーソルを移動し、ENTERキーを押します。
すると図３の画面が表示されます。これがConfigurationの詳細画面です。
(図３)
Distributionsの詳細画面ではサーバに追加でインストールできるファイル・パッケージの
内訳が表示されます。
例えば実行形式のカーネルモジュール等は「kernels」、マニュアルなら「man」、各種
アプリケーションソフトなら「ports」に入っています。
今回は /usr/src/contrib が対象なので、ソース「src」の処にカーソルを移動します。
カーソルを移動したら SPACEキーを押します。
すると図４の画面が表示されます。これがsrcの内訳画面です。
(図４)
お目当ての contrib が表示されていますので、カーソルを移動して、SPACEキーを押します。
すると図５の様にチェックボックスに「[X]」が表示されます。
これでcontribが選択されたので、カーソルキーを１番上の「<<< X Exit」に移動させてから、
ENTERキーを押します。
(図５)
そうすると図６の画面(=図３の画面)に戻ります。srcの処にチェックがついているはずです。
これを確認したら、先程と同じ様にカーソルキーを１番上の「<<< X Exit」に移動させてから、
ENTERキーを押します。
(図６)
すると図７の画面が表示されます。これはデータをどこから取得するか(取得先)を指定する
画面です。自宅のサーバに対して実行する人だったら「1 CD/DVD」を選択し、FreeBSDの
インストールCDを差し込めば良いでしょう。
CDが利用できない状況(手元にない、とか、サーバが遠隔地にあって物理的に操作できない
等)だったら「2 FTP」を選択します。
今回は「2 FTP」をカーソルキーで選択し、ENTERキーを押します。
(図７)
すると図８の様に取得先となるFTPサーバの一覧が表示されます。
この中から対象のサーバに接続距離が近いFTPサーバを選びます。
(今回banana260に対して実施したので、FTPサーバは ftp4.freebsd.org を選択しました。
実はここはPIEが入っているデータセンター(200Paul)内にあったりします。)
で、カーソルキーを移動してFTPサーバを選択したら、ENTERキーを押します。
(図８)
すると図９の画面が表示されます。「実行するか、しないか」の最終確認のダイアログです。
今まで指定してきた内容で問題なければENTERキーを押します。
(図９)
すると図１０の画面に切り替わり転送が始まりますので終わるまでしばらく待ちます。
(図１０)
転送が終わったら再び画面が切り替わり、図２の画面に戻ります。
画面の一番上に表示されている「<<< X Exit」にカーソルを移動させてから、
ENTERキーを押します。
すると図１の画面に戻りますので、→キーで画面の一番下にある「X Exit Install」に
カーソルを移動し、ENTERキーを押します。
そうするとsysinstallが終了し、コマンドプロンプトが表示されます。
以上がsysinstallの操作の一例です。sysinstallでは他にも色々な事ができるのですが、全部を
説明するとなるとこの日記のページを何百枚も作る事になりそうなので、他の機能については
みなさんの環境で試して下さい('A`)
|
|
|
|
|
20日目に戻る。 22日目に続く。
解析
|
