Archive Sawanoblog 1st: ネットワーク

ラベル ネットワーク の投稿を表示しています。すべての投稿を表示

2010年5月18日火曜日

気になっていた本を購入、『子どもをネットから守り、ネットで育てる』

いくら仕事でIT関係をやっているといっても、いざ家庭に導入となると困る。
仕事でやってるからなおさらといおうか。ハンパにネット社会を見慣れていると、ネットの嫌なところが先に立ってなかなか上手くできると思わない。

しかし何時までもそんなことは言ってられず、"互いの"リテラシを向上しなければと思い、以前立ち読みして以来気になっていた書籍を買ってきた。

いやぁコレ、すごくいい本だと思うよ。紹介する俺がアルファブロガーでなくて申し訳ないくらいだ。
なんというか必死？守ること、教えることに必死な感じが書かれているのがいい。

こういうジャンルで他の物は少ししか見たことないので褒めすぎかもしれん、もう数年すれば世界もだいぶ変わってるかもしれんが、家庭内でITの事が分かるのが自分ひとりという状況のお父さんは読んでおいて損はないんじゃないか。

自分なんかはもうすぐ子世代の使う端末・リテラシについていけなりそうだが、それの巻き添えで子のIT活用を出遅れさせるのもつらいしね。

けんじろうとコラボろう！
http://blogs.itmedia.co.jp/kenjiro/

この本の内容は著者のブログ↑でだいたい読めるっぽいんだが、やっぱり紙がいいんだよな。

2010年3月24日水曜日

WEBサイト組み込み用途に最適？TightVNCのVNCViewer(Java)

VNCを適当に入れたら、ポート5800でWEBサーバが立つじゃない。
RealVNCのJavaのアプレットがぽつんと置いてある奴。

あれが重たい＆ちょっと別用途でWEBブラウザから使いたいと思ったので別のものを探してみた。

TightVNC
http://www.tightvnc.com/

これが良かった。

Viewer Only のアーカイブをダウンロードしたら、サンプルのindex.htmlをclassesの中に放り込み、適当にWEBサーバの公開領域におこう。
それだけでVNCのクライアントが使える。まあ普通のJavaアプレットの展開と同じなんだけど。

TightVNCの利点はこのビュワーの手軽さと、軽快な動き。
RealVNCの奴は重たくてなかなか使い物にならなかったけど、これは軽い。CLIならほとんどストレスなく動かせた。

ちなみにサンプルのHTMLはこんな感じ。
最初直接叩いてみたが、*.jarが同一ディレクトリに無いと怒られる。

<HTML>
<TITLE>
TightVNC desktop
</TITLE>
<APPLET CODE="VncViewer.class" ARCHIVE="VncViewer.jar"
        WIDTH="800" HEIGHT="632">
<PARAM NAME="PORT" VALUE="5901">
</APPLET>
<BR>
<A href="http://www.tightvnc.com/">TightVNC site</A>
</HTML>

このファイルを編集して、パラメータを渡せば別サーバに接続とか行ける。
<param NAME="HOST" VALUE="hoge.example.com">

さてこれをどっかに組み込んでみたいなと思ってる。
なぜ今更こんなのかっていわれると、VNCで使い勝手が上がるものがあるじゃない、Qemuとか、Xenとか・・・

ただ、これを別サーバ接続用のクライアントとして使おうとしたら、ポリシーの関係でなんだっけ、SocketPermission の違反が起きちゃうんだよね。
この制限解除はどこでやるんだ？できると助かる、サーバ側で指定できるといいんだがなあ。

追記
やっぱクライアント側か。。

fail2banでブルートフォース対策

以前のものでiptablesのipt_recentをつかって、2行のコマンドでsshのアタックを防ごうという記事があるのだけど、とあるサーバで適用できなかったので別手段を。

(ほぼ)共同で借りているVPSレンサバがあるんだが、OpenVZかVirtuozzoかのコンテナらしくてiptablesのモジュールが自由にできないのがある。
そこではipt_recentをつかうとエラーになってしまい、前述の簡単ブルートフォース対策が使えないのだ。

仕方ないので fail2ban を使うことに。
pythonで動く、アクセス制限操作用のプログラムだ。
ちなみに導入先はCentOS5.4。

fail2banのインストール

開発元のサイトから最新のStableを落とそう、記事の時点では0.8.4だった。
http://www.fail2ban.org/wiki/index.php/Main_Page

RPM があるみたいだけど、ここはtarボールで。簡単だから。

展開したらPythonのスクリプトを流そう、Python2.3以上がいるらしいが、
まあ問題ないだろう。
# python ./setup.py install

なんとこれだけで終わりだ、便利になったもんだ。

"/etc/fail2ban/" に設定が一式、"/usr/share/fail2ban"にpythonのスクリプトが入る。

fail2ban.conf：基本の設定

jail.conf：サービス別設定

これだけ覚えてりゃなんとかなる、今回は jail.conf しかいじらない。

fail2banの動作パターン

ログを30秒ごとに監視する⇒パターンマッチしたらアクション(iptables設定追加など)
一定時間経過⇒適用済みのアクションを解除

という感じだ。

色々細かい設定やテストが出来るが基本はこのパターン。シンプルで他に影響が出ない。
導入の敷居としては低いんじゃないかな。

※当然iptablesを動かして無いと効果がない。

sshの制限（設定）

じゃあ導入のきっかけ、sshの制限をしよう

jail.confにもともと書いてある設定をちょっといじる。太字は大事なとこで、他も適当に書き換えよう。

[ssh-iptables]
enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#          sendmail-whois[name=SSH, dest=hogehoge@example.com, sender=fail2ban@mail.com]
logpath  = /var/log/secure
maxretry = 5

有効にして、メール通知やログパスの設定を環境に合わせる。
通知はコメントアウトしているが、動作確認などでは便利なので安定動作を確認するまで使ったほうがいい。

sshの制限（デーモン稼働）

fail2banの軌道方法だけど、スクリプトが用意してある。
デーモンモードとなり、制御端末は切り離されるのでログアウトしても心配いらない。
# /usr/bin/fail2ban-client start

設定を変更した場合などは、
# /usr/bin/fail2ban-client reload

自動起動についてだけど、init.d/に置くスクリプトはとくに用意してないみたいだったので、inittabに書いちゃったな。
これについてはきっちり試してないのだが多分大丈夫だろう。

fail2banの様子

とりあえず同一のIPから600秒以内に5回ログインミスったらbanするように(さっきの設定)した。
デフォルトではbanして600秒たったら元に戻る。

"/var/log/fail2ban.log" にbanの様子が記録されるので見てみよう。

# tail /var/log/fail2ban.log
2010-03-23 18:20:55,628 fail2ban.actions: WARNING [ssh-iptables] Ban 211.142.19.251
2010-03-23 18:30:55,810 fail2ban.actions: WARNING [ssh-iptables] Unban 211.142.19.251
2010-03-23 21:35:14,533 fail2ban.actions: WARNING [ssh-iptables] Ban 211.142.19.251
2010-03-23 21:45:14,707 fail2ban.actions: WARNING [ssh-iptables] Unban 211.142.19.251
2010-03-23 22:33:37,424 fail2ban.actions: WARNING [ssh-iptables] Ban 211.157.108.132
2010-03-23 22:43:37,616 fail2ban.actions: WARNING [ssh-iptables] Unban 211.157.108.132
2010-03-24 00:00:34,088 fail2ban.actions: WARNING [ssh-iptables] Ban 64.3.96.221
2010-03-24 00:10:34,310 fail2ban.actions: WARNING [ssh-iptables] Unban 64.3.96.221
2010-03-24 00:53:33,939 fail2ban.actions: WARNING [ssh-iptables] Ban 211.142.19.251
2010-03-24 01:03:34,114 fail2ban.actions: WARNING [ssh-iptables] Unban 211.142.19.251

おお、引っかかってるね。Banして、10分後にUnban、10分もすりゃたいがい攻撃は終わってる。
こいつらほっといたら万単位で試行しやがる、まったく。

ついでにログを何秒間隔で掘っているのか気になったのでstraceして測ってみた。

# strace -p 26424
Process 26424 attached - interrupt to quit
poll([{fd=3, events=POLLIN|POLLPRI|POLLERR|POLLHUP|POLLNVAL}], 1, 30000) = 0 (Timeout)
poll([{fd=3, events=POLLIN|POLLPRI|POLLERR|POLLHUP|POLLNVAL}], 1, 30000) = 0 (Timeout)
poll([{fd=3, events=POLLIN|POLLPRI|POLLERR|POLLHUP|POLLNVAL}], 1, 30000) = 0 (Timeout)
…

30秒間隔見てるね、まー十分だろう。

他にも各種サービス用の設定がプリセットされていた、使いやすいツールの一つとして覚えておこう。

2010年2月1日月曜日

WindowsVistaからWindows７にアップグレードしようかという時の制約

なんだかんだと検証でVistaを入れていたマシンに、折角だからとWindows7のDVDを入れてみた。

アップグレードインストールを選択したら、以下のような制約があることを教えてくれた。

Windows をアップグレードするには、ユーザー、Program Files、Windows の各ディレクトリが同じパーティション上にある必要があります。これらのディレクトリが同じパーティションにない場合、アップグレードはサポートされません。また、これらのディレクトリを同じパーティションに移動することもできません。代わりに Windows 7 Enterprise の新規インストールを行うことはできますが、アップグレードとは異なり、新規インストールではファイル、設定、プログラムが保持されません。現行のプログラムはすべて、元のインストールディスクやインストールファイルを使用して再インストールする必要があります。Windows のインストールを行う前にファイルを保存するには、CD、DVD、または外付けハードドライブなどの外部の保存場所にバックアップしてください。Windows 7 Enterprise の新規インストールを行うには、左上隅にある [戻る] ボタンをクリックし、[新規インストール (カスタム)] を選択してください。

プロファイルをDにうつしちゃったからかなあ。
最近はHDDもでかいし、CにシステムいれてDにユーザデータとProgramFilesを入れるのも古い考えかたなのかもしれない。

ChormeOSとまでは言わないけど、今後は手元のPCは構成を極力シンプルにして、データストアはどっかのクラウドをどんどん使っていくのがいいだろうね。

宅内のNASでもいい、オンラインストレージでもいい。
物理デバイス(HDD)を基準にしたパーティショニングは考え方から改めて行きたいね。

2010年1月22日金曜日

イーモバイル Pocket WiFi のファイアーウォールを無効にしたら、WANからログインできる

ほぼタイトルオンリーだが、驚いたのでエントリ。

イーモバイルの「Pocket WiFIことD25HW」なんだけど、ルータとして所々妙な動き。
中でも驚いたのは本体設定のファイアーウォール機能を無効にしたら、WAN側の回線からHTTP管理画面が開けるところ。

確認したのは 2010/01/16 に契約した端末で、ソフト的にはこれ。

ファームウェアバージョン:
706.11.174.12.109sp07

これはファームウェアの改良希望だな、そっちにバインドせんでええちゅーねん。

ほか、うちの環境だけという奴もあるかもしれないが、現行ファームでなんか変な所。
・ファイアウォール機能をONにしたら、ipod touch からプリセットでない自前設定したPOPSサーバに接続できない。なんだろねこれ。
・余計なトラフィックを外に流さないという、IPフィルタの設定がLAN側192.168.1.0/24 のルールばっかり、0.0.0.0 でいーやん。おかげでデフォルトのIPを変えづらい。

したは設定次第だからいいけど、上はなあ、、Touchはトラブルシューティングしづらいなさすがに。

ファームウェア更新の要望窓口を探さねば・・・
管理画面開くのははイヤん。

2010年1月18日月曜日

Nagiosのプラグイン、check_multiを試す

Nagiosに一風変わったプラグイン、check_multiというのがある。主に通常のプラグインのラッパーとして利用する。

公式これかな？
http://my-plugin.de/wiki/projects/check_multi/start

基本的にはプラグインをまとめて叩くという使い方をする、他にも幾つかあるようだが。

まとめて叩くと何がいいかというと、Naigosの表示画面でまとめられたり、NRPE経由で呼ぶときに監視用のセッションが1つでよくなるなど挙げられる。
詳しいコンセプトは公式サイトに図入りで説明があるので、興味があれば参照されたし。

で、リクエストのやり方とレスポンスはこんな感じ。リモート相手の時はちゃんとホストを指定しよう。

コマンドラインから。

./check_multi -x “command [ procs ] = check_procs”-x “command [ load ] = check_load”

設定ファイルから

command [ httpd ] = check_procs -C httpd
command [ crond ] = check_procs -C crond
…
↓
./check_multi -f configfile

レスポンスの例。

OK - 12 plugins checked, 12 ok
[1] httpd PROCS OK: 9 processes with command name 'httpd'
[2] crond PROCS OK: 1 process with command name 'crond'
[3] mysqld PROCS OK: 1 process with command name 'mysqld'
[4] ntpd PROCS OK: 1 process with command name 'ntpd'
[5] sendmail PROCS OK: 2 processes with command name 'sendmail'
[6] load OK - load average: 0.22, 0.13, 0.09
[7] dev_hda DISK OK - free space: / 57922 MB (83% inode=99%);
…

テストしてみたが、NRPE経由でもちゃんと動いた。
通知内容にもどのプラグインがどういう状態か載ってくるので心配ない。

ちなみにActionURLなど使って、NagiosのUIに統合出来るようになっているがそこまでやる事はないので、プラグインをコンパイルしたらそれだけ拾って使ってみてます。

結構いい感じだ。

2010年1月8日金曜日

VMware ESXi4 内にさらに仮想環境を構築するならスイッチはプロミスキャスモードで

仮想化を色々試しているなか、VMware ESXi4をベースにして、それ上に構築したVMにもハイパーバイザを入れるという環境を作ったときのメモ。

まあ載っけたのはXenなんですが、ちょっとマシンがたらなかったので無茶をしてるね。
狭い区画の中で、よりコマ切れにされたリソースを使って活動。。なんとも日本的な環境になったと思うわけで。

それはさておき、当然ネットワークは VMware ESXi4の仮想スイッチを通ってさらに中のXenへーとつながるわけだが、そのまま繋いだのでは孫に当たるVMが外部と通信できないみたい、。
対策として仮想スイッチのプロミスキャスモード(日本語版管理ツールでは無差別モード)を有効にすることで通信出来た。

理由について多分こうかなというのを図にしてみた。

[caption id="attachment_1655" align="alignnone" width="407" caption="画像：親子孫VM"]

[/caption]

いじるのは１の所にある仮想スイッチ、ここがプロミスキャスでないと既知のアダプタ２まではブリッジしてくれるが、知らない相手の３のアダプタ宛はブリッジしないってことだろうか。
スイッチと言いつつも多少通常のL2とは動作が違う、まあ設定としては妥当かも。

こうなるとMACアドレステーブルとか気になる所だな、まさか全部フラッディングするわけでもあるまいて。
学習・・・するのかな？

しかしプロミスキャスモードの日本語訳って「無差別モード」なのな。
スイッチのプロパティ開いたときに正直困惑したね、動作からしてプロミスキャスモードだとは分かったけど、なんか物騒じゃないか(^^;)

…と思ったが一応Googleで検索したら無差別の方が多いのな。。
いやあ、プロミスキャス(promiscuous)でいいと思うよ。いざ何かで英語版という時に困るし。

2009年12月14日月曜日

WindowsServerのサービスをSNMPで監視する

Windowsには標準でSNMPサービスが付いている、それを利用して特定のサービスが起動しているかどうかをチェックしよう。

タスクスケジューラは外部監視しかない

まず何故にいきなりSNMPで監視なのか、に触れておく。

私はよく定期的なサービスの監視を仕込んだりする、前に書いたASP.NETアプリケーションプールの監視もそうだった。

だがつい最近、タスクスケジューラが止まってるという馬鹿げた自体が発生した、これが止まると内部監視がほとんど止まるじゃないか！
原因とかはとりあえず後だ、こいつを見張るにはどうしたらいい？

内部監視であれば一定時間．．．1時間毎とかに生存をメールで通知するか？馬鹿な。止まった時にならない鈴に意味は無い。「そういえばしばらく通知が来ていない？」なんてトリガは存在してはならない。
常駐プロセスか？まずそれが止まるかもしれんだろうが。
選択は自ずと外部監視に限られる。

外部というとWMIで見る．．．135番ポートほかを開けるか？悪くはないんだが130番台にいい思い出をもつ管理者はいないのではないか、出来れば空けたくないだろう。

そこでSNMPを調べてみた、WMI関連のポートを開放するよりマシだろう。
結論を言って置けば、サービスの監視は可能だ、ただちょっと嫌な仕様だ。

WindowsServerのSNMPの紹介

WindowsServerでSNMPを使うのは簡単だ、コンポーネントの追加とか機能の追加と呼ばれているやり方でセットアップしてやるといい。

[caption id="attachment_1616" align="alignnone" width="476" caption="画像：SNMPのRead許可"]

[/caption]

トラップが送りたければ『evntwin.exe』などを立ち上げて通知したいイベントを設定しよう。

[caption id="attachment_1617" align="alignnone" width="618" caption="画像：evntwin.exeの設定例"]

[/caption]

詳しくはやってないが、eventcreate.exe で動作確認をしてみた。ちゃんとトラップきてるでしょ？

[caption id="attachment_1618" align="alignnone" width="655" caption="画像：トラップテスト"]

[/caption]

SNMPの標準的なトラフィック取得、ホストステータス取得は出来るから、Cactiでパフォーマンスをグラフ化するなり、トラップでNagiosのパッシブチェックからアラートするなりしたらいい。

SNMPで取れるWindowsサービスの内容

ではSNMPクライアントから確認できるWindowsサービスについて。

WindowsのSNMPをセットアップすると、%SYSTEMROOT%System32\ の下あたりにMIBがいっぱいできる、その中のLanManager用のMIBにWindowsサービスの情報がある。
ファイル名は『lmmib2.mib』だ。

その中から svSvcName を取ってみよう、

svSvcName.6.83.101.114.118.101.114     Server     OctetString
svSvcName.8.72.84.84.80.32.83.83.76     HTTP SSL     OctetString
svSvcName.9.69.118.101.110.116.32.76.111.103     Event Log     OctetString
--snip--
svSvcName.14.73.80.83.69.67.32.83.101.114.118.105.99.101.115     IPSEC Services     OctetString
svSvcName.14.84.97.115.107.32.83.99.104.101.100.117.108.101.114     Task Scheduler     OctetString
svSvcName.15.82.101.109.111.116.101.32.82.101.103.105.115.116.114.121     Remote Registry     OctetString
svSvcName.15.83.101.99.111.110.100.97.114.121.32.76.111.103.111.110     Secondary Logon     OctetString
svSvcName.16.67.111.109.112.117.116.101.114.32.66.114.111.119.115.101.114     Computer Browser     OctetString
svSvcName.16.72.101.108.112.32.97.110.100.32.83.117.112.112.111.114.116     Help and Support     OctetString
--snip--
svSvcName.37.65.112.112.108.105.99.97.116.105.111.110.32.69.120.112.101.114.105.101.110.99.101.32.76.111.111.107.117.112.32.83.101.114.118.105.99.101     Application Experience Lookup Service     OctetString
svSvcName.40.87.105.110.72.84.84.80.32.87.101.98.32.80.114.111.120.121.32.65.117.116.111.45.68.105.115.99.111.118.101.114.121.32.83.101.114.118.105.99.101     WinHTTP Web Proxy Auto-Discovery Service     OctetString

Windowsで使われているサービスがずらずらと出てきたろう、その中で Task Scheduler のステータスを取るとしたら『svSvcOperatingState』を参照する。

svSvcOperatingState.14.84.97.115.107.32.83.99.104.101.100.117.108.101.114 active Integer

ほれ、アクティブだ。起動しているってことだ。

『svSvcName.14.84.97.115.107.32.83.99.104.101.100.117.108.101.114』がなんでイコール『Task Scheduler』やねんと思うかもしれないが、それはOctetStringだからだ。

数字の最初の14は文字列長を表し、このあと14バイトの文字ですよーというのを表している。
そこから続く『84.97.115.107.32.83.99.104.101.100.117.108.101.114』はASCIIコードで変換してくれ．．．

ほら『Task Scheduler』になった、なったろ？

じゃあサービスの監視をしましょう

さて、サービス状態と思われる、『svSvcOperatingState』の取りうる値はこうだ。

svSvcOperatingState  OBJECT-TYPE
    SYNTAX
             INTEGER {
                   active(1),
                   continue-pending(2),
                   pause-pending(3),
                   paused(4)
             }

これの変化を取ればいいと思うじゃん、普通にscコマンドとかだとこのまま1-4のステータス取れるし。
1なら正常、2-4は異常として管理したい、したいんだけど。。。

それがさあ、サービス止めると消えちゃうんだよねこのオブジェクト。
このOID叩いても、何も帰ってこないというかそんなOID見つからないって言われるんだ、冗談きついぜ。

当然『svSvcName』のほうも空っぽさ、仕方ないからステータスがUNKNOWNならサービスが止まっているという情けない監視になっちゃう。

この仕様はいただけない、いただけないよMicrosoft。改善提案はどこに出したらいいんだい？
それともLanMagnagerではそうするって決まってたのかしら、それはちょっと。。。

まあ当初の目的は達成されました、この仕組みで立派にWindowsサービスの監視はできますと。
多少不本意ですがUNKNOWN拾ってアラート上げましょう。
追記：サービスの状態が変更されてからSNMPで取れる値が変化するまで2-3分かかる、監視対象によっては少しネックか。

まあどうしても外部から見たいのって、タスクスケジューラとファイアーウォールくらいかな。

追記：
「.1.3.6.1.4.1.119.2.2.4.4.16.2.2.1.2.1.2」なら全サービスが登録されている事を発見、こっちがいいのかも知れない。
だがOIDがサービス名に依存してないので、構成変わるとOIDも変わりそうでこまる。
むむ。。

2009年11月24日火曜日

家に5ポートのギガスイッチを導入する、TCO減らして行こう！

自宅にもスイッチいるよね。
最近のPCはどれを買っても代替1000Baseに対応したNICが搭載されている、ということで折角なのでギガ対応のスイッチを導入することにした。

さて自宅に置くものとして気になる要素は色々ある。ファンが回るとうるさいし、でかいとやっぱり邪魔なのでポートは5つで十分。
そこらを考慮して、候補を2つに絞ってみた。

メーカー	PLANEX	BAFFALO
型番	FXG-05EP	LSW3-GT-5EP
製品
対応規格	IEEE802.3：10BASE-T IEEE802.3u：100BASE-TX IEEE802.3ab：1000BASE-T	IEEE802.3：10BASE-T IEEE802.3u：100BASE-TX IEEE802.3ab：1000BASE-T
AutoMDI/MDI-X	○	○
パケットバッファ	104KB	99KB
スイッチング・ファブリック	10Gbps	12Gbps
MACアドレス登録数	1,000個	1,000個
スループット	10BASE-T：14,881pps 100BASE-TX：148,810 pps 1000BASE-T：1,488,095 pps	1000BASE-T 1,488,095pps 100BASE-TX 148,810pps 10BASE-T 14,880pps
ジャンボフレーム	9,216 Bytes	16,000Byte
消費電力	最大4.75W	最大5.5W
ファンレス	○	○
未使用ポート節電	○	○

2製品を比較すると判るように、全体的にバッファロー側のほうが性能が上の印象。

バックプレーンの転送量にあたるスイッチングファブリックは2Gも差があるし、ジャンボフレームの最大値に至っては倍近い、唯一パケットバッファが99KBと5KB少ないくらい。
この辺が評価の決め手になってくるのか？

さあ、ではどっちを買ったか。

こっち。

[caption id="attachment_1578" align="alignnone" width="560" caption="写真：FXG-05EP"]

[/caption]

バッファローのがイイんとちゃうんかい、と思うかもしれないがPLANEXにしたのは理由がある。

初期コスト

消費電力

この2点でPLANEXのほうが有利だったからだ、先代のスイッチは実に4年も動いていた(何もしなくてもそれなりに熱いという腹の立つ仕様のまま)ので、結局長く使う＝目先の性能よりTCOが大事なんだよね、これからは何でも。

まあ、積もったところで毛ほどの差しか生まないだろうが、誤差で済みそうな性能の差を無視して、年間でビール一杯くらいの差を確保しようじゃない。

ついでにいうと、数年前の100Baseのスイッチ使ってる方、結構それ電力食ってるよ、マジで！今￥3,000-くらいだし、未使用ポート節電タイプに買い替えといてもいいとおもうよ。
常時ONなら1-2年でおつりがくるんじゃないのかな。

2009年11月12日木曜日

Nagiosの状態をステータスバーに表示、FireFoxアドオン『Nagios Checker』

Nagios本体ののアドオン(pnp とか Nagvis とか)で面白いのないかなーと探していたら、別の良いもの発見。

FireFoxのアドオン、Nagios Checker

NagiosのWEB画面からホスト・サービスのステータスを取得してFireFoxのステータスバーにて通知してくれるアドオンだ。

[caption id="attachment_1574" align="alignnone" width="300" caption="画像：Nagios Checker(無風)"]

[/caption]

右下にあるでしょ？Nagiosのステータスが。
異常を発見するとあそこが赤くなり、マウスオーバーで情報がポップアップするというつくり。
管理しているNagiosが一杯あったらとても便利だわこれ、視覚的にすぐ判る分、メールを待つよりいい。

これでブラウザさえ立ち上げとけばいつもNagiosが一緒だ！監視ライフを満喫しよう。
……しかしどうにも気が重い感じなのは、これを入れるとNagios中心の生活に拍車が掛かるからなのか。

ついでに設定の仕方メモ

定義の名前は何でもいい

NagiosのURLはそのまま入力Basic認証はStandalone

なぜかスクリプトURLを自動でとらないのでNagiosのURL＋"cgi-bin/status.cgi"を手動で入れる。

あとは監視間隔や表示領域だの、フィルタ設定だの調整すればOK。
フィルタなんて特に結構かゆいところまで手が届くように出来ている、作者は自分でNagiosを相当使っていそうだ。。

あとは設定がエクスポートできれば助かったりしますね、一応ApplicationSettingsの下に設定ファイル本体がxmlでいるので使いまわしたい時はそのファイルを持っていきましょう。

2009年11月11日水曜日

DNSにVRRPという組み合わせはどうなんだろうか

DNSサーバを冗長化する……
っていったら普通は別拠点の別回線とか、全然違うところに置くのが普通の冗長構成です。
外向けのコンテンツサーバとしては大体の場合はそれが一番イイ。

さて、別拠点を用意してないとか、中向けのネームキャッシュとして使うとかという時に同じところにDNSサーバを2台並べたりする事もあり。

役割の被るサーバが同じ場所にあるならVRRPと組み合わせるとどうかと考えてみる。

DNSサーバ2台を同じ場所に置く

とりあえず普通に2台並べて置いてみよう。

[caption id="attachment_1570" align="alignnone" width="540" caption="画像：DNS2台、普通"]

[/caption]

普通だ、ゾーンとかはマスタ/スレイブで同期してると思ってくれ。

片方を遊ばせるのはもったいないので、LAN内のクライアントは適当にクエリ対象を分散させるように優先順を変えてリゾルバを設定した事にする。

ああ、図にしてみて思ったがこれでも十分かもしれない。。。

DNSサーバ2台でVRRPを１つ共有する

最初のでイイかなと思いつつも、折角だからVRRPを使ってみる。

図にしてみるとこうなる、まー bind と keepalived かなー。

[caption id="attachment_1571" align="alignnone" width="540" caption="画像：DNS2台、VRRP×１"]

[/caption]

LAN内のリゾルバ設定は統一できる、DNSサーバ１が再起動しても多分すばやめに仮想IPが切り替わるのでアップデートとかメンテナンスの気が楽になるかもしれない。
でもこれじゃあDNS2遊んじゃう。。。

それならVRRPを２つ共有する？

ルータの勉強してた時だと思うがどっかで見た、VRRP×２を思い出した。

構成してみよう、こうかな？

[caption id="attachment_1572" align="alignnone" width="540" caption="画像：DNS2台、VRRP×２"]

[/caption]

おお、こうだよな。

DNS１とDNS２で普段から平等に使いつつ、片方落ちたらVRRPで仮想IPを切り替えて生きているほうが落ちたサーバ担当分も引き受ける、復旧まで。

これをグローバルIP環境でやるにはIPが４ついる？もったいないかと思いきや、仮想IPだけグローバルでもいけるから２つでも何とかなるかも知れん。

これならDNS１が突然永眠した場合もクライアントからは何事もなかったように見えるだろう。
最初の構成では片方に障害が出て、復旧が長引いたときに多少レスポンスがばらつく気がしないでもない。

もちろん手動で死んだ側のIPを生きてるほうに付けちゃうという手がある、結局IPの手動付け替えをやっちゃうならあんまり変わらんなあ。
そう考えると自動化する手間ばっかりで微妙．．．

結論じみたもの

まーちょっとやってみてもいいけど、苦労の割には効果が薄いんじゃないかなかろか。
自動化できるのは規模によってはウレシイが、同時マスタ等、むしろリスクが増加するというマイナス面が心配だ。

とういことでまとめると、、、
メリットが無くもないがそんなにお勧めでもない、と思いました。
ご利用の際は計画的に。

2009年11月4日水曜日

テスト用のLANに、とりあえずPPTPでVPNする

検証用に社内にさらにローカルネットワークを組み、こんな環境を作った。

[caption id="attachment_1551" align="alignnone" width="474" caption="画像：どこにでもあるテスト環境の概要"]

[/caption]

作業用のPCからテスト用サーバにアクセスするのに、いちいちルータ兼サーバにログインしたりポートフォワードの設定するのも面倒になってきたのでpptpのデーモン、PoPToPを入れてVPNを張っちゃうことにした。

ルータ兼用サーバはCentOS5で作ってたので、インストールは公式のRPMでOK。

で、コンフィグした。自分用なので認証無しにしたらとてもシンプル、これだけだった。

# cat /etc/pptpd.conf
lock
name pptpd
nodefaultroute
proxyarp
 
localip 10.48.1.254
remoteip 10.48.1.11-15

簡単に説明。
まずテスト用LANが 10.48.1.0/24 なのね。
で、PPTPのクライアント用に10.48.1.11-15を払い出そうね、という設定。

クライアントはWindows、注意点は「暗号化を必ず要求する」のチェックをはずさないと切断されちゃうことと、IPv4で「リモートゲートウェイを使う」の設定をはずしておくことくらい。

ちなみに認証無しの場合はユーザ名/パスワードはなんでもOK・両方空でもOK。不安なので認証したいという人はどうぞ調べて。

2009年8月19日水曜日

シスコのCCNAに合格したので、取得希望者にアドバイス(2)

シスコのCCNAに合格したので、取得希望者にアドバイス(1) からの続き、一応そっちから読むのが筋。

(CCNAに限らず)資格試験の勉強

前回グッズ紹介をしたので次は勉強法を、といっても本の読み方くらいですが。
対策としての勉強は前回のとおり問題集を何度もやればOKだったりしますし。
実習とか実務経験が問われないものは大体そうですよね。

通勤(通学)中に本を読める体制を取ろう

徒歩とかチャリ通には適用できないですが．．．
通勤中に無理やりにでも本を読む、読む体制を整備するのがマイスタイルです。

まあ実際こんな感じですわ。

[caption id="attachment_1397" align="alignnone" width="225" caption="写真：電車対策で刻んだ本と紙袋"]

[/caption]

本をぶった切る、紙袋に入れて通勤し、多少の混雑でも取り出せる・片づけられる環境を作ります。
鞄の中に本があると取り出しにくく、つい携帯とかいじってしまいがちだが．．．
そんな気持ちをぐっと押えて読むのですよ本を、それこそホームの待合でも。これができれば8割方クリアといっても過言でない。
私の通勤はDoor2Door で片道65分かかるので、これを有効活用しない手はない。

PCで問題を解く、選択肢は見ない

前回書き忘れたが、CCNA完全合格問題集にはPCで出来る問題集が付いてくる。
中身は本とまったく同じだが、PCで出来るのはメリットが大きい。なんとなく本番っぽいし。

解答一覧をテキストエディタで隠し、そこに解答を書き込むという使い方ができる。シミュレータがあればそっちを立ち上げて、設問とまったく同じ環境をわざわざ構築してからゆっくりと解答のコマンドを打ち込んでテストすることができる。
手元で本の解答ページを開いておけば迷った問題もすぐ確認できて助かるなど、試験勉強としては大いに恵まれた環境ではなかろうか。
解答自体より、環境構築をすることでかなりの反復練習が見込める。すぐに fastethernet のつづりで迷ったりしなくなるよ？

その他

写ってるけどお酒かな。。
基本シミュレータは面白いが、仮想環境に向かってコマンドを叩き込み続けていると、たまーに素面でやるには気がめいることもある。そこからテンション上げるにはこういう選択もあるということで。

[caption id="attachment_1396" align="alignnone" width="300" caption="写真：シスコ試験対策お勉強グッズ"]

[/caption]

あとブックカバー。ちぎった本を電車で読むにはカバーがないとさすがに恥ずかしい。
本屋でもらえるので大切にとっておこう。100円ショップで買える奴は固めなのでちぎった本の表紙・背表紙がない部分向けだ。

大体こんなところだろうか。
もっと効率いい勉強のオススメ手法がなどがあれば大歓迎なので是非教えてほしい。

シスコのCCNAに合格したので、取得希望者にアドバイス(1)

長いこと取ろうと思っていたが、なかなか真面目に取り組まなかったCCNAを取ってきた。
今更感も漂うが、受験料金高いんだもん．．．90分3マンエンて。

で、結果はこの通り。

[caption id="attachment_1395" align="alignnone" width="320" caption="写真：テスト結果"]

[/caption]

まあ、情報処理のネットワーク受かるくらいの知識は有るのだもの、エントリー向け資格ならこれくらいは。(実は満点取りに行ったのは伏せで)

だが折角なので、勉強に役立ったものを紹介しよう。CCNAレベルに限れば『これやりゃ絶対合格』と言ってもいいだろう。

シスコCCNA合格への道、お役立ちグッズ編

今回の試験に役立ったのはこの子達だ、ランキング形式で順に紹介しよう。
[caption id="attachment_1396" align="alignnone" width="300" caption="写真：シスコ試験対策お勉強グッズ"]

[/caption]

1位：Cisco CCNA(640-802J)試験完全合格問題集)/アスキー・メディアワークス

役に立ったランキング堂々の第一位は、『Cisco CCNA(640-802J)試験完全合格問題集』だ。

実際受験してからわかった事だが、ある程度レイヤ1-3の技術を知っているならこの一冊で十分かも。
詳しくは言えないが問題の質がなんというか、本番に近い。
進研ゼミ漫画の法則、「あ、これ○○でやったのと似てる」が待っている。

2位：CCNAバーチャルラボ Network Visualizer 5.0/デジタルアーキテクト

借り物だが、2番目は『CCNAバーチャルラボ Network Visualizer 5.0』だったかな。もう6が出ているのか。

役に立ったというか、単純にこれは面白い。チュートリアル形式でネットワーク構築を遊ぶことができる。
コマンド実装など一部で？？な個所は有るが、シミュレーション問題が毛ほども怖くなかったのはこれで遊んだ思い出があるからだろう。

また、このシミュレータがあると1位の問題集もさらに生きてくる。
CCNAの解答は基本的に選択方式だが、コマンド系の出題に対して選択肢を見ることなく、シミュレータにガンガン解答を打ち込んでみることができるのは非常に有用だ。

3位：徹底攻略 Cisco CCNA教科書 [640-801J]対応 (ITプロ・ITエンジニアのための徹底攻略) /インプレス

3位に上げるは『徹底攻略 Cisco CCNA教科書』シリーズ。
問題集のところで言った、レイヤ1-3をそこそこもわかってないならこれは必須。まあ普通問題集だけでは体系だった学習にはつらいから、教科書系も一冊はあったほうがいいだろう。

本自体は買ったのが4年前なので、640-801(J)対応版を読んでいたが十分だった。まあ今買うなら640-802(J)対応版だろうね。
当時は何が書いてあるか一切わからなかったね、経験は積むもんだ。

特別枠：3分間ルーティング基礎講座 (世界一わかりやすいネットワークの授業) /技術評論社

言わずと知れた3分間Networkingの書籍版、ルーティング編。
CCNA試験対策と銘打ったものではないので番外的な扱い。

試験一週間前に、ダイナミックルーティング全般とSTP、VTPをざっと流して読みたかったので購入。
お値段、読みやすさともに非常に満足の出来でした。通勤2往復で通し読み完了し、その後の学習効果もUP。
著者の方は塾講さんだそうで、教えるということをよく考えてはるんだろうなと思う。

長くなったので次の記事へ続く。

2009年8月11日火曜日

nagiosのアドオン、pnp4nagiosをrpm用にconfigure

ネットワーク監視の定番、nagios に、パフォーマンスデータをグラフ表示させるアドオン、pnp4nagios というのがある。

見栄えも良いし、そんなにリソースも食わない。簡素とはいえnagiosに経過監視が組み込めるのはとても良いことだ。

しかしこの pnp 、ソースから入れたNagiosにならデフォルトのコンフィグで使えるようになるが、rpmから入れたNagiosにはコンフィグオプションが必要だ。
(つーかrpmのnagiosがシステム側にべったりな調整をされているんだよなぁ。)

しかしNagios を rpm で入れねばならんときもある。
その場合の pnp コンフィグオプションを晒す。
確認バージョンは nagios 3.0.6 , pnp 0.4.14。まあ少々ずれても大丈夫だろうが。

./configure \
--prefix=/etc/nagios \
--bindir=/usr/bin \
--sysconfdir=/etc/nagios/pnp \
--libexecdir=/usr/lib/nagios/plugins \
--sbindir=/usr/lib/nagios/cgi \
--datarootdir=/usr/share/nagios/pnp \
--localstatedir=/var/nagios

こうだ。ディレクトリ役割別の比較表まで作ったから間違いないだろう。

このままmake install したら、あとで動作用ディレクトリがないといわれるので作成しよう。

install -c -m 755 -o nagios -g nagios -d /usr/share/nagios/pnp/templates
install -c -m 755 -o nagios -g nagios -d /usr/share/nagios/pnp/perfdata
install -c -m 755 -o nagios -g nagios -d /var/nagios/spool/perfdata

install コマンド便利。

あとは本家ドキュメントに沿って naigos.cfg やらtemplate.cfg をいじればOK。おすすめはバルクモード、npcdの起動スクリプトは2行ほど書いて、chkconfigに対応させるとなお良し。

追記：ない、と思ったが
RPM Searchで探したらpnpのパッケージもありやがる。
"pnp4nagios" で検索すると一応リストされるね、でもちょっと古いかな。

2009年7月16日木曜日

サブネットマスクとワイルドカードマスク

久しぶりにCCNA受験向けの本を読んでいる。結局CISCOモノを普段さわらないので取得が億劫になって読むのをやめることが多いが。

さて、だいぶ昔に読んだときには「サブネットマスク」と「ワイルドカードマスク」の使い分けがイマイチ消化できなくて、コマンド別にどちらを使うかといった非効率な覚え方だったが、今読んだら判別のコツがわかった。

サブネットマスク
ホスト同士の通信に使うので、ホスト部が必要な場合に指定。

ワイルドカードマスク
ネットワークの識別に使うので、ネットワーク部が必要な場合に指定。ホスト部は不要。

これだけのことだった、いらない情報をマスクする。
上記の定義では、ルーティングテーブルやスタティックルート設定などはネットワークっぽいのでワイルドカードマスクを使うように感じるかもしれないが、あくまでルーティングはホスト間の通信のためパケットをスイッチするものなのでサブネットマスクでいいんだろう。

PC同士がPingするならホスト部の違いがわかればいい、ネットワーク部はマスク。
ルータがパケットをフィルタリングする時は、(あえて定義していなければ)ホスト部なんて余計な情報なのでマスクしたらいい。ネットワーク単位で処理するのがいいだろう。

CCNA教科書をみて、『丸暗記しか無いなぁ……』と思っていた頃よりはマシになっているようだ。

2009年6月25日木曜日

Nagiosプラグイン、check_snmp で閾値に下限を設定する

メモエントリ。
Nagiosプラグインの check_snmp について。

check_snmp を使って性能監視をしたいと思ったが、警告(WARNING) オプションで閾値を指定すると、取得した値が閾値を上回ったらWARNING で返ってくる。
下回った時はどうやって設定するんだろう。

とりあえずヘルプを見る。

# ./check_snmp --help
check_snmp v2021 (nagios-plugins 1.4.13)
Copyright (c) 1999-2007 Nagios Plugin Development Team
        
 
Check status of remote machines and obtain sustem information via SNMP
 
 
Usage:check_snmp -H  -o  [-w warn_range] [-c crit_range]
[-C community] [-s string] [-r regex] [-R regexi] [-t timeout] [-e retries]
[-l label] [-u units] [-p port-number] [-d delimiter] [-D output-delimiter]
[-m miblist] [-P snmp version] [-L seclevel] [-U secname] [-a authproto]
[-A authpasswd] [-X privpasswd]
 
Options:
 -h, --help
    Print detailed help screen
 -V, --version
    Print version information
 -H, --hostname=ADDRESS
    Host name, IP Address, or unix socket (must be an absolute path)
 -p, --port=INTEGER
    Port number (default: 161)
 -n, --next
    Use SNMP GETNEXT instead of SNMP GET
 -P, --protocol=[1|2c|3]
    SNMP protocol version
 -L, --seclevel=[noAuthNoPriv|authNoPriv|authPriv]
    SNMPv3 securityLevel
 -a, --authproto=[MD5|SHA]
    SNMPv3 auth proto
 -C, --community=STRING
    Optional community string for SNMP communication (default is "public")
 -U, --secname=USERNAME
    SNMPv3 username
 -A, --authpassword=PASSWORD
    SNMPv3 authentication password
 -X, --privpasswd=PASSWORD
    SNMPv3 privacy password
 -o, --oid=OID(s)
    Object identifier(s) or SNMP variables whose value you wish to query
 -m, --miblist=STRING
    List of MIBS to be loaded (default = none if using numeric oids or 'ALL'
    for symbolic oids.)
 -d, --delimiter=STRING
    Delimiter to use when parsing returned data. Default is "="    Any data on the right hand side of the delimiter is considered
    to be the data that should be used in the evaluation.
 -w, --warning=INTEGER_RANGE(s)
    Range(s) which will not result in a WARNING status
 -c, --critical=INTEGER_RANGE(s)
    Range(s) which will not result in a CRITICAL status
 -s, --string=STRING
    Return OK state (for that OID) if STRING is an exact match
 -r, --ereg=REGEX
    Return OK state (for that OID) if extended regular expression REGEX matches
 -R, --eregi=REGEX
    Return OK state (for that OID) if case-insensitive extended REGEX matches
 -l, --label=STRING
    Prefix label for output from plugin (default -s 'SNMP')
 -u, --units=STRING
    Units label(s) for output data (e.g., 'sec.').
 -D, --output-delimiter=STRING
    Separates output on multiple OID requests
 -t, --timeout=INTEGER
    Seconds before connection times out (default: 10)
 -v, --verbose
    Show details for command-line debugging (Nagios may truncate output)
 
This plugin uses the 'snmpget' command included with the NET-SNMP package.
if you don't have the package installed, you will need to download it from
http://net-snmp.sourceforge.net before you can use this plugin.
 
Notes:
 - Multiple OIDs may be indicated by a comma- or space-delimited list (lists with
   internal spaces must be quoted) [max 8 OIDs]
 - Ranges are inclusive and are indicated with colons. When specified as
   'min:max' a STATE_OK will be returned if the result is within the indicated
   range or is equal to the upper or lower bound. A non-OK state will be
   returned if the result is outside the specified range.
 - If specified in the order 'max:min' a non-OK state will be returned if the
   result is within the (inclusive) range.
 - Upper or lower bounds may be omitted to skip checking the respective limit.
 - Bare integers are interpreted as upper limits.
 - When checking multiple OIDs, separate ranges by commas like '-w 1:10,1:,:20'
 - Note that only one string and one regex may be checked at present
 - All evaluation methods other than PR, STR, and SUBSTR expect that the value
   returned from the SNMP query is an unsigned integer.
 
Send email to nagios-users@lists.sourceforge.net if you have questions
regarding use of this software. To submit patches or suggest improvements,
send email to nagiosplug-devel@lists.sourceforge.net

閾値はレンジだそうで、Note部分に色々書いてあるな、ちょっと試してみた。値はコロンで仕切ろう。

"-w 100" ⇒ 100を超えたら警告

"-w :100" ⇒ 100を超えたら警告

"-w 100:500" ⇒ 100から500の範囲からはみ出したら警告

"-w 100:" ⇒ 100未満なら警告

という感じになる模様。

2009年6月15日月曜日

社内検証LANをLinuxのiptablesでマスカレード

社内に検証用のLANを作ったとして、既存のLANにはくっつけたくないけど、ネットには繋ぎたいなという環境。

NIC2枚ざしのLinuxサーバを1台使って、検証用ネットワークをマスカレードしてしまうには、1行のiptablesルールでOKだったりする。
※使ったのはCentOS5.3でiptables は v1.3.5

接続としてはこんな感じ。

 ┼────┼
 │Internet│
 ┼────┼
   │
   │    社内LAN:192.168.1.0/24
   ├─┬──────
       │
       │
       │
       │eth0:192.168.1.10
 ┼───────┼
 │ルータ用Linux │
 ┼───────┼
           │eth1:10.48.1.254
           │
           │    検証LAN:10.48.1.0/24
           ├────

事前にipv4のフォワードを有効にしておく必要があるので、 "/etc/sysctl/conf" を修正して再起動。

# Controls IP packet forwarding
#net.ipv4.ip_forward = 0
net.ipv4.ip_forward = 1

で、iptablesのルールを作成。

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
natテーブルのPOSTROUTINGチェインにルールを1つ、これでとりあえずマスカレードしてくれるようだ。
インターフェイスは環境によるので適宜書き換え、出る際のルールなので外側に。

FTPとかはPassiveを使わないと無理だろうけど、とりあえずで設定するなら簡単でいい。

ルールを出すとこんな感じ

# iptables -v -L -t nat
Chain PREROUTING (policy ACCEPT 573 packets, 67730 bytes)
pkts bytes target prot opt in out source destination

Chain POSTROUTING (policy ACCEPT 333 packets, 26739 bytes)
pkts bytes target prot opt in out source destination
12 861 MASQUERADE all -- any eth0 anywhere anywhere

Chain OUTPUT (policy ACCEPT 377 packets, 29918 bytes)
pkts bytes target prot opt in out source destination

不都合あったらルールに追記するって事で、とりあえず完了。

出来ない場合、 lsmod で ipt_MASQUERADE があるか確認。

2009年6月2日火曜日

Gratuitous ARP を捕まえて機器に設定されたIPアドレスを見る

使っていなかった機器が倉庫から出てきた。
設定など見ようとしたが、IPアドレスの設定情報が無い。

手元のPCとその機器を適当なスイッチに接続、PC側でWireshark を起動して機器を起動する。
※スイッチは念のため社内LANからは切り離そうね。

[caption id="attachment_1339" align="alignnone" width="300" caption="画像：Gratuitous ARPの取得"]

[/caption]

Gratuitous ARP を飛ばしてくれたのでIPアドレスが判明した。
DHCPなこともあるが。

linuxがあれば"tcpdump arp" で事足りる。

2009年5月23日土曜日

IP関連各種プロトコルのダイアグラムたち

メモエントリ

TCP/IP and IMS Sequence Diagrams
http://www.eventhelix.com/RealtimeMantra/Networking/

NFSの流れが図で見たかった。

追記でメモる。
NHFSSTONE
http://www.linux.or.jp/JM/html/nfs-utils/man8/nhfsstone.8.html

登録: 投稿 (Atom)