iptables

Dockerコンテナ外部からの通信制御はiptablesを使用して行う。（参考） Dockerコンテナ外部からの通信制御について理解したいので、まずiptablesについて復習していきたい。 iptablesはLinuxでパケットフィルタリングを行うツール。iptablesには後継のツールnftablesが存在する（が、Dockerの外部通信制御はiptablesで行っている） まずはiptablesを使用するためにインストールする。 # yum install iptables-services # systemctl enable iptables # systemctl start ip…

LinuCエヴァンジェリストの鯨井貴博@opensourcetechです。 はじめに 前回(kubernetesにおけるPodへの負荷分散状況の確認(Service/Deployment経由))の記事でトラフィックの分散をkube-proxyが担っていることが分かりました。 なので今回さらに深堀りということで、kube-proxyの動作モードをデフォルト(iptables)からipvsに変更してトラフィック分散の挙動を確認してみようと思います。 なお、kubernetesはこちらの記事で作ったものを使っています。 kube-proxy動作モードの確認 まず、特にモード指定せずにインストールした…

1 iptables-extensionsとは? 2 検証環境 2.1 ネットワーク構成 2.2 版数 3 事前準備 4 macモジュールの使い方 5 icmpモジュールの使い方 5.1 ICMP echoパケットの指定方法(type=8) 5.2 ICMP network unreachableパケットの指定方法(type=3,code=0) 6 lengthモジュールの使い方 6.1 パケット長を指定する方法 6.2 パケット長の範囲を指定する方法 6.3 パケット長の範囲(以上、以下)を指定する方法 7 multiportモジュールの使い方 7.1 ポート番号を複数指定する方法 7.2 …

1 はじめに 2 検証環境 2.1 ネットワーク構成 2.2 版数 3 事前準備 4 LOGターゲット 5 DROP/REJECTターゲット 5.1 DROPとREJECTの違い 5.2 DROPターゲットの動作確認 5.3 REJECTターゲットの動作確認 6 RETURNターゲット 6.1 RETURNターゲットを使用した場合 6.2 RETURNターゲットを使用しない場合 7 NFLOGターゲット 8 REDIRECTターゲット 9 MARKターゲット 10 TCPMSSターゲット 11 NOTRACKターゲット Z 参考情報 1 はじめに ターゲットはルールにマッチしたら実行する処理の…

はじめに 皆様こんにちは。 インフラ開発課でインフラエンジニアをしているsnnmrです。 ラクスで働きだしてかれこれ数年、その中でも比較的使用頻度の高いiptablesについて改めてまとめてみました。 はじめに iptablesとは Netfilterとは iptables 書式 よく使うオプションとチェイン filterテーブル natテーブル mangleテーブル rawテーブル conntrackエントリについて iptables まとめ

Alpine Linuxのiptablesは他のディストリビューションと同じくiptablesコマンドを何行も書いたり/etc/sysconfig/iptablesファイルを編集して設定する方法だけでなく、Awallという設定ツールを使用して設定する方法も有る。 今回は、Androidスマホ内で動作するAlpine LinuxにてAwallを使ってiptablesの設定した。 当方の環境 ・スマホ(ホスト機)：SONY Xperia XZ2 / Android OS 9 ・ホスト機の通信環境：WLANと4G回線 ・エミュレータ：Limbo PC Emulator 2.10.0 ・ゲストOS：a…

コンテナのネットワーク周りを理解するためにカーネルの NameSpace 機能を使って Ubuntu20.04 サーバ上に仮想的なネットワークを構築してみた．その際，作成したネットワークからインターネットに出るのに四苦八苦したのでメモとして残しておく．この記事では，ネットワークの構築の詳細は話さず構築後のトラブルシュートをメインとする． 目次 概要 NameSpace を使って隔離したネットワークからインターネットへ出ていけない 余談 まとめ 概要 NameSpace 機能を使ったコンテナネットワークの実験をした．同じような実験についてはインターネットにいくつか記事があるが，今回は以下の記事を…

systemdにはIPAddressAllow, IPAddressDenyというディレクティブがあり、利用するとeBPFを利用した簡易なファイアウォールが設定されます。 iptables/nftablesとは無関係に動き、他とまとめて操作・確認するような方法はありません。 systemctl statusなどで関係する設定を一覧するような機能はなく、各サービスのsystemdのunit fileを読むのが一番はやくて便利です。 設定ではなく動いているものがみたいときはbpftoolで対応するmapを見ることはできるが、実装内部の話になりお世辞にも読みやすいとは言えない。 個人的な感想としては…

前回構築時の記事 kitoku-magic.hatenablog.com いや～、予想以上に手間取ってしまいましたね。最短ですと、「yumからdnfに変わる」のは分かっていたので、 その修正だけで済むはずが、 以下の様な修正も必要でした。 １．yumからdnfへの変更（これは想定通り） ２．yum-cronからdnf-automatiへの変更（想定外だが、ただこれは大したことなかった） ３．設定ファイルの名前や場所が変わったことで、cpコマンドでのバックアップなどにちょくちょく失敗した（これは書き方が悪いので、今後要改善ですね） ４．iptablesからnftablesへの変更（これが最もハマ…

homelabでKVMとCockpitを利用するケースを見かけるようになったため、ESXi上にNestedでKVMを構築し、Cockpitで仮想マシンの構築ができるか試してみました。 構成 vCenter 8.0U3 ESXi 8.0U3 Ubuntu 22.04 (Nested KVM) KVMとは KVM (Kernel-based Virtual Machine) は、Linuxカーネルに組み込まれた仮想化技術です。KVM を使用すると、Linux をハイパーバイザーとして機能させることができます。 Cockpitとは Cockpitは、Webベースのサーバー管理インターフェイスで、コマ…

はじめに こんにちは。金融ソリューション事業部エンジニアリングオフィスの加藤です。 仕事でGKEやAKSといったマネージドKubernetesサービスを利用したインフラ構築を経験してきました。 この記事では、Raspberry Pi 5でK8sクラスタを構築しながら、マネージドK8sのありがたみについて学んでいきます。 ゴール 以下の作業を通して、Kubernetesクラスタのオンプレ環境における構築手順の全体的な流れと、設計判断のポイントについてざっくり理解する Raspberry Piをセットアップする Kubernetesクラスタを作る Prometheus, Grafanaを入れてクラ…

全削除する イメージ・コンテナ・ネットワークを削除する docker system prune イメージ・コンテナ・ネットワーク・ボリュームを削除する docker system prune --volumes イメージの削除 タグを持たず他のコンテナからも参照されていないイメージを削除する docker image prune 全てのイメージを削除 docker image prune -a コンテナの削除 docker container prune ボリュームの削除 docker volume prune ネットワークの削除 iptablesルールやブリッジネットワークのデバイス、ルーテ…

こんにちは、データ基盤担当の @mapler です。今回は DataStream を活用して、Cloud SQL から BigQuery へのデータ同期についてお話しします。 Datastream の設定は基本的に Google Cloud のドキュメント従って行えますので、この記事では、実際の設定時に直面した課題や対策を中心に説明します。 背景： データを BigQuery に同期することで得られるメリット JX通信社の「FASTALERT」は、日本国内外の緊急情報をリアルタイムで配信するサービスです。災害情報や事故、事件、気象警報など、幅広い分野の緊急情報を網羅しており、長年にわたって膨大…

最近パタへネのRISC-V 2ndエディションを読んでいました。 せっかくRISC-Vの本を読んだなら、RISC-V の実機が欲しいというところで、DC-ROMA RISC-V LAPTOP II を買いました。 deepcomputing.io 買ったはいいのですが、輸入したPCでWifiやbluetoothを使うのはおそらく技適に違反するし、 プレインストールされているOSは23.10でサポートも切れるし、というところで、ちょこちょこ手を加えた話を書いておこうと思います。 準備 laptop以外に買っておいたほうがいいものがあるので紹介しておきます。 micro sdカード プリインストー…

こんにちは、バックエンドのリードエンジニア兼バックエンド基盤チームのマネージャーの夏（なつ）と申します。バックエンド基盤チームは、バックエンドエンジニアの生産性向上やコスト削減を目的に、エンジニア主導で課題を発見・解決している部署です。 今回は基盤チームが行った、Google CloudのIdentity-Aware Proxy（IAP）を利用したローカル環境での開発体験の向上について紹介したいと思います。この改善により、ローカル環境（Mac）上でも開発環境のデータを参照しながら開発が行えるようになり、開発体験が大幅に向上しました。 背景 基盤チームでは定期的にバックエンドチームのメンバーに対…

はじめに iptablesコマンドを使って、ファイアーウォール管理を行う。 環境 ホスト：Ubuntu 20.04 問題、課題 iptablesコマンドのオプションを忘れるため、備忘を込めて記載する。 解決 現在の設定を確認 #INPU, FORWARD, OUTPUTチェインを確認する場合 $ sudo iptables -nL #INPUチェインを確認する場合 $ sudo iptables -nL INPUT #出力例 $ sudo iptables -nL INPUT Chain INPUT (policy DROP 173K packets, 56M bytes) pkts byte…

仕事では自分でやらないことが増えていく。多くの場合は「これはやると面倒だからこれを使おう」と、自分でやらないことを気軽に選択している。そのとき、自分の頭のどこかに、「必要であればやるけども」と根拠のない、いや、アップデートされていない自信が潜んでいる。しかし。 普段やってないことのうちには、「実はやってみたらうまくできない」ことの割合が、きっとすごい勢いで増えていく。 それは例えば、ちょっとしたトークナイザーの自作であったり、Lambdaで動作する変換プログラムであったり、Terraform モジュールであったり、yumのパッケージであったり、マルチデバイス対応した複数カラムレイアウトだったり…

edoraサーバーへのセキュリティ向上のため、ファイアウォール設定を従来のiptablesからFirewalldへ移行しましたが、移行後に内線電話で利用しているSIPサーバーが正常に動作しない事態が発生しました。このようなケースにおける検証結果と解決策についてご紹介します。 SIPサーバーは以下のとおりで使っています。 業務ネットワークイメージ 問題の発生状況 Fedoraサーバー上では，SIPサーバーを通じて業務ネットワーク内のWiFi接続（192.168.0.xおよび192.168.1.x）でSIPクライアントを利用しています。SIPクライアント（iphoneアプリ）として使用しているのは…

VMware Cloud Foundation（VCF）5.2.1 で、SDDC Manager から BGP を利用する NSX Edge クラスタを展開してみました。今回は、Tier-1 ゲートウェイに接続する NSX セグメントを作成して、実際にルーティングされることを確認してみます。 前回はこちら。 VCF 5.2.1 で NSX Edge Cluster をデプロイしてみる。（BGP あり）Part-02：Edge Cluster の追加 今回の環境 今回は、作業用 Windows から、NSX Tier-1 ゲートウェイに接続したオーバーレイ セグメントへの通信が可能になることを確…