Linuxに実装されたパケットフィルタリング機能、またはその操作をするコマンド。
LinuCエヴァンジェリストの鯨井貴博@opensourcetechです。 はじめに 前回(kubernetesにおけるPodへの負荷分散状況の確認(Service/Deployment経由))の記事でトラフィックの分散をkube-proxyが担っていることが分かりました。 なので今回さらに深堀りということで、kube-proxyの動作モードをデフォルト(iptables)からipvsに変更してトラフィック分散の挙動を確認してみようと思います。 なお、kubernetesはこちらの記事で作ったものを使っています。 kube-proxy動作モードの確認 まず、特にモード指定せずにインストールした…
1 iptables-extensionsとは? 2 検証環境 2.1 ネットワーク構成 2.2 版数 3 事前準備 4 macモジュールの使い方 5 icmpモジュールの使い方 5.1 ICMP echoパケットの指定方法(type=8) 5.2 ICMP network unreachableパケットの指定方法(type=3,code=0) 6 lengthモジュールの使い方 6.1 パケット長を指定する方法 6.2 パケット長の範囲を指定する方法 6.3 パケット長の範囲(以上、以下)を指定する方法 7 multiportモジュールの使い方 7.1 ポート番号を複数指定する方法 7.2 …
1 はじめに 2 検証環境 2.1 ネットワーク構成 2.2 版数 3 事前準備 4 LOGターゲット 5 DROP/REJECTターゲット 5.1 DROPとREJECTの違い 5.2 DROPターゲットの動作確認 5.3 REJECTターゲットの動作確認 6 RETURNターゲット 6.1 RETURNターゲットを使用した場合 6.2 RETURNターゲットを使用しない場合 7 NFLOGターゲット 8 REDIRECTターゲット 9 MARKターゲット 10 TCPMSSターゲット 11 NOTRACKターゲット Z 参考情報 1 はじめに ターゲットはルールにマッチしたら実行する処理の…
Play Framework を始めたばかりの方向けに、サンプルを進めるうえで困ったところを共有する目的で書いています。 Oracle Cloud Infrastructure の Ubuntu 22.04 (以下、ubuntu) 内で Play Framework 2.8.x (以下、play) を実行し、http (port: 80) で "Welcome to Play!" ページにアクセスしたときのメモです。 以下、目次 やりたいこと 方針 詳細 「Oracle Cloud Infrastructure の ネットワーク・セキュリティ・グループ 内セキュリティイングレスルール」として、…
はじめに 皆様こんにちは。 インフラ開発課でインフラエンジニアをしているsnnmrです。 ラクスで働きだしてかれこれ数年、その中でも比較的使用頻度の高いiptablesについて改めてまとめてみました。 はじめに iptablesとは Netfilterとは iptables 書式 よく使うオプションとチェイン filterテーブル natテーブル mangleテーブル rawテーブル conntrackエントリについて iptables まとめ
Alpine Linuxのiptablesは他のディストリビューションと同じくiptablesコマンドを何行も書いたり/etc/sysconfig/iptablesファイルを編集して設定する方法だけでなく、Awallという設定ツールを使用して設定する方法も有る。 今回は、Androidスマホ内で動作するAlpine LinuxにてAwallを使ってiptablesの設定した。 当方の環境 ・スマホ(ホスト機)：SONY Xperia XZ2 / Android OS 9 ・ホスト機の通信環境：WLANと4G回線 ・エミュレータ：Limbo PC Emulator 2.10.0 ・ゲストOS：a…
コンテナのネットワーク周りを理解するためにカーネルの NameSpace 機能を使って Ubuntu20.04 サーバ上に仮想的なネットワークを構築してみた．その際，作成したネットワークからインターネットに出るのに四苦八苦したのでメモとして残しておく．この記事では，ネットワークの構築の詳細は話さず構築後のトラブルシュートをメインとする． 目次 概要 NameSpace を使って隔離したネットワークからインターネットへ出ていけない 余談 まとめ 概要 NameSpace 機能を使ったコンテナネットワークの実験をした．同じような実験についてはインターネットにいくつか記事があるが，今回は以下の記事を…
はじめに アプリを Docker コンテナ内で実行することで実行環境が隔離されるため、 アプリに脆弱性があった場合等にサーバーが乗っ取られるリスクを下げることが出来ます。 しかし、コンテナが乗っ取られた場合、ネットワークを介して他のコンテナやサーバーに攻撃が及ぶかもしれません。 今回はコンテナが乗っ取られた場合でも、他のコンテナやサーバーに攻撃が届かないようにコンテナ外向きの通信を制限する方法について書こうと思います。 あくまでも、こんな感じにやったらいい感じじゃない？という話なので、 このやり方を採用する場合は自己責任でお願いします。 ネットワークタイプについて 参考: Networking…
libvirtに備わっているネットワークフィルタ機能 (nwfilter) をVMに適用してみる。 libvirtの公式ドキュメントを参考に作業を進める。 nwfilterは（バックエンドがnftablesであっても）iptablesを使ってフィルタリングを行うので、まずはnwfilter未設定時のiptables設定を確認する。 # iptables -nvL Chain INPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 161 14807 LIBVIRT…
これはなに？ AmazonLinuxのサポートが2020年12月31日で終了するため、これまでAmazonLinuxでAWSより提供されていたNATインスタンスをAmazonLinux2で構築してみました。 Amazon Linux AMI のサポート期間終了に関する更新情報 | Amazon Web Services ブログ
自宅サーバをやはりネットに公開したいということでVPSをいじっていた。VPSを噛ませているのは契約回線がv6プラスでウェルノウンポートを開放できないのとフロントでトラフィックをさばくのを外だししたいから。Google ドメインでドメインを取って、ConoHa の一番安いプランを契約してDNS情報の設定。 ping が通るところまで行った。ここまでで参考にしたのは ConoHa VPS を借りて独自ドメインでアクセスできるようにする｜まくろぐ。あと OS を ArchLinux にしたので ArchWiki を参考にセキュリティを整えた。 ## Let's encrypt基本的には公式ドキュメン…
Ubuntu 18.04 LTSのサポート終了 最近忙しくて気づいていなかったがUbuntu 18.04 LTSのサポートが2023/05/31で終わるらしい。 2023年5月31日のUbuntu 18.04 LTS標準サポート終了に備えて https://jp.ubuntu.com/blog/18-04-end-of-standard-support-jp:title CentOSはOSのバージョンアップを実行したことがあるがUbuntuはOSのバージョンアップを行ったことがないので上げてみた。 Ubuntu 18.04.6 LTS (Bionic Beaver) Ubuntu 18.04.…
OpenVPNって面倒なんですよね。 証明書を使ったりCAを作ったり、プロファイルを作ったり面倒なんですよね。 管理画面が公式から提供されていた。 OpenVPN Access Server という名前（通称 OpenVPN-AS ) で管理画面WebUIが提供されていた。 これで、OpenVPNのVPN管理できるじゃん。 インストールの手順も公式サイトに記述がある。 Setting Up OpenVPN Access Server On Ubuntu 無料フリー版だと２接続（セッション）に限られるが、管理が楽であるなら使ってみても良いかも 準備 アカウント作って、ログイン フリー版のサブスク…
1 fail2banとは? 2 検証環境 2.1 ネットワーク構成 2.2 版数 3 インストール方法 3.1 fail2banのインストール 3.2 Apacheのインストール 4 機能概要 4.1 fail2ban-server/fail2ban-client概要 4.2 設定ファイル 5 サーバの起動、停止方法 6 設定ファイルのカスタマイズ方法 7 実験1（sshアクセスの禁止） 7.1 設定内容 7.2 動作確認 8 実験2（HTTPアクセスの禁止） 8.1 事前準備(fail2banの設定) 8.2 事前準備(httpdの設定) 8.3 動作確認 Z 参考情報 1 fail2ban…
【追記】 packagesの中を自分で置き換えるのは推奨されないようで、customディレクトリ内にファイルを置いてpnpm run gulpするのが推奨のやり方のようです。 が、Calckeyの最新のstableバージョンである13.1.4.1 ではassets配下のディレクトリの中身のコピーに対応しておらず、したがってhttps://yourinstance.tld/static-assets/icons/filename.extと1階層深堀したところにあるiconsファイルは置換ができません。 developでは当該箇所は修正されているので、新しいバージョンはstableになったらまた挑…
Tailscape Mesh VPN システム Tailscale の proprietary な調停サーバを OSS として再実装する Headscale というプロジェクト、Tailscale にとっては競合のはずだが、それを応援していて、Tailscale 公式クライアントから Headscale サーバを利用できるようにしてるの神だと思った これで良い印象を持ったので、Tailscale (本家のほう)を実際に試してみた。両側が NAT だが、tailscale status によると中継サーバを経ずに直接接続できており、150 Mbps 以上の速度が出た。最初 ping が通らず困惑…
docker で新規で作った bridge が「外に出れない」「同じ bridge に繋がってる container同士で通信できない」とかいう現象に遭遇しまして… いやもう大迷走。 ワイは Windowsアプリ屋 な上に、Linux はおろか network / routing も専門分野じゃないんですけおーーー！！ というわけで、彷徨った記録です。備忘録です。もしかしたら bad know how かも… 記事書いててすごいそんな気がしてきた… 環境 ubuntu server 22.04 および 20.04 両方で問題が発生。 Hyper-V 上で運用 docker.io 20.10.2…
1 はじめに 2 検証環境 3 鳥瞰図 4 関数の概要 4.1 受信処理 4.2 送信処理 4.3 転送処理 Z 参考情報 1 はじめに tcpdumpのフックポイント、Netfilterのチェイン、Qdiscの場所についてまとめました。これらの位置を理解しておくと、ネットワークのトラブルシューティング等に役立ちます。 2 検証環境 AlmaLinuxの版数は以下のとおりです。 [root@server ~]# cat /etc/redhat-release AlmaLinux release 8.6 (Sky Tiger)カーネル版数は以下のとおりです。 [root@server ~]# u…
ネット環境のない部屋にてラズパイによるデータ取得をする場合、データの回収にこまることがある。これまではそのためだけに無線ホスト（簡単には無線ルーター）をおいて、ラズパイをそこに無線または有線でつないで、別の無線端末（スマホとか）からホスト経由でsshとかウェブインターフェースで接続し、データ回収していた。ラズパイが無線ホストになってくれれば万事解決で話は早いんだけど、これまでラズパイのホスト化には成功していなかった。 今回久しぶりにトライしたところ、無事に構築できた。オマケとしてラズパイ自体をルーターとしてつかうことも可能となったので記録しておく。やることは dhcpcdを設定して無線LAN(…
昨日の雨は帰省から帰ってくるうちはそれほど強くなかったが、夜はすごい勢いだった。今朝には止んで日が照っていたが、風は強く、冷たかった。 3/13 の政府のガイドライン変更後も、4/1 の大学のガイドライン変更後も、9 割以上の人がマスクをしていたが、今日は一気に減って生協食堂など屋内で 5-6 割、屋外では 2 割くらいになっていた。 サウナ この記事が話題になっていた。とりさんはサウナは何が良いのかさっぱり分からないので入らないが、サウナに併設されている冷水浴は好きで、よほどの低温じゃない限り入ってみる。「おー、寒い寒い」と思いながらゆっくり体を沈めていくと、かすかに塩素系の臭いもして、小雨…
Kubernetesクラスタとは、Kubernetesを利用して構築された複数のノードから成るシステムのことです。 Kubernetesクラスタを利用することで、複数のコンテナを効率的かつ安定的に管理することができます。 Kubernetesクラスタには、MasterノードとWorkerノードがあります。 Masterノードは、クラスタ全体の管理を担当し、Workerノードは、コンテナの実行を担当します。 今回は実験的にKubernetesクラスタを構築するために、Hyper-Vで仮想環境を使用したなんちゃっKubernetesクラスタを構築します。 構成としては、Masterノード1個・Wo…
仕事でSoftware Defined Perimeter(SDP)について調べていたら、OSS版のSDPがあることを知りました。 Single Packet Authorization(以後、SPAと省略します)を自分の目で見たくて、苦労してUbuntuで構築してSPAを確認することが出来ました。 諸事情によりRHEL系でもSPAを構築する必要があり、これまた一苦労して構築したので、いい加減何かアウトプットしないとまた時間を溶かすと思いブログを書くことにしました。 1. Single Packet Authorization(SPA) 2. SPAイメージと構成図 3. SPA(Client…
Ubuntu で以下のように ufw を設定しました． $ sudo ufw status verbose Status: active Logging: on (low) Default: deny (incoming), allow (outgoing), deny (routed) 一見完璧に見えますが，この設定のまま，docker はポートを開けることが可能です． $ docker run -it -p 8080:80 nginx 同じネットワークに接続した別のパソコンのブラウザーでアクセスすると，nginx のテストページが表示されました． (念の為アドレスバーは隠しています．以下で…
現代社会では、コンピュータやインターネットがビジネスやプライベートなどで広く使われています。しかし、その利用が広がるにつれて、情報漏洩や不正アクセスといったセキュリティリスクが高まっています。このようなリスクに対応するために、ファイヤーウォールというセキュリティシステムが使用されています。本記事では、ファイヤーウォールについてわかりやすく解説し、その役割や種類、具体例などについて説明します。 【ファイヤーウォールとは？】 ファイヤーウォールは、コンピュータネットワークを構成する機器の一つで、不正なアクセスや攻撃からネットワークを守るセキュリティシステムのことを指します。ファイヤーウォールは、ネ…
せっかく立ててみんなで遊んでいたマイクラサーバーが荒らされた。 今後の荒らし対策としてやったことのメモ。 マイクラサーバーとして ①CoreProtectの導入 Spigotサーバーで使えるプラグイン、 CoreProductを導入しました。 使い方はこのサイトがわかりやすかった。 https://genkoku.city/coreprotect 特定のユーザーの操作だけロールバックできる。 AWSとして ①EBSのライフサイクルマネージャーでバックアップ いつでもロールバックできるようにした。（最初から設定はしていたつもりだったのだが、ミスってた。） 24時間ごとに1度のバックアップを7日間…
qiita.com
techracho.bpsinc.jp
japan.zdnet.com
www.slideshare.net
atmarkit.itmedia.co.jp
atmarkit.itmedia.co.jp
oxynotes.com
virment.com
hirose31.hatenablog.jp
