Microsoft PowerPoint LPIC2.pptx

Transcription

1 LPICレベル2 技 術 解 説 セミナー リナックスアカデミー WORLD BIZNet 株 式 会 社 2011 年 11 月 23 日 矢 越 昭 仁

2 LPIC 試 験 のレベル 分 け LPIC 試 験 各 レベルの 概 要 と その 対 象 者 を 整 理 すると 下 記 のよう に3 段 階 +αとなる ITSS *1 レ ベ ル 3 レ ベ ル 2 レベル Linuxシステム ネットワーク の 設 計 と 構 築 ができる インターネットおよびイントラ ネット 上 で 提 供 する 各 種 サービスをLinuxサーバで 構 築 できる 301:Core Linuxプロフェッショナル 大 規 模 システム 管 理 分 野 別 専 門 家 Linux 上 級 エンジニア サーバのシステム 管 理 (インターネットサーバ) 上 級 システム 管 理 者 302:Mixed Envrionment 異 機 種 混 在 環 境 の 管 理 (ヘテロジニアス) 303:Security セキュリティ 304: Virtualization i & High Availability クラウドコンピューティング レ ベ ル 1 LPIC 試 験 の 第 一 関 門 基 本 操 作 と 基 本 的 なシステム 管 理 (スタンドアロンシステム) Linux ユーザ 初 級 管 理 者 *1) IT Skill Standard : ITスキル 標 準 経 済 産 業 省 が 示 したIT 関 連 スキルの 習 熟 度 2

3 LPIC Leve2 試 験 範 囲 LPIC Level 2 Version 3 Release 2 の 主 題 一 覧 (2009 年 4 月 ) 201 試 験 :Linux 応 用 管 理 202 試 験 :Linuxネットワーク 管 理 201 Linuxカーネル(2.0) 208 Webサービス(2.0) 202 システムの 起 動 (4.0) 209 ファイル 共 有 (4.0) 203 ファイルシステムとデバイス(2.5) 210 ネットワーククライアントの 管 理 (2.3) 204 高 度 なストレージ 管 理 (2.0) 211 電 子 メールサービス(2.3) 205 ネットワーク 構 成 (3.3) 3) 212 システムのセキュリティ(2.6) 206 システムの 保 守 (3.5) 213 トラブルシューティング(4.8) 207 ドメインネームサーバ(2.0) 1.Linuxシステムの 企 画 導 入 維 持 トラブルシューティングができる 2.カーネルからネットワークに 関 する 事 まで 構 築 管 理 修 正 ができる * 各 主 題 の 末 尾 にある( 数 字 )は そこに 含 まれる 主 題 の 重 要 度 平 均 3

4 LPIC Leve2 試 験 重 要 度 分 析 主 題 を 重 要 度 により 並 びかえると 以 下 の 傾 向 が 読 み 取 れる 試 験 課 題 ID 課 題 重 ネットワークの 問 題 を 解 決 する 一 般 的 な 問 題 を 解 決 する システムリソースの 問 題 を 解 決 する 環 境 設 定 の 問 題 を 解 決 する システムの 起 動 とブートプロセスのカスタマイズ システムを 回 復 する Linuxファイルシステムを 操 作 する 高 度 なネットワーク 構 成 とトラブルシューティング ソースからプログラムをmakeしてインストールする Sambaサーバの 設 定 NFSサーバの 設 定 セキュアシェル(SSH) ブート 段 階 の 識 別 とブートローダの トラブルシューティング 実 行 時 におけるカーネルおよび カーネルモジュールの 管 理 / 照 会 Linuxファイルシステムの 保 守 論 理 ボリュームマネージャ 基 本 的 なネットワーク 構 成 バックアップ 操 作 Webサーバの 実 装 PAM 認 証 電 子 メールサーバの 使 用 3 トラブル シューティング 201 OS 基 本 機 能 202 主 要 サーバ 試 験 課 題 ID 課 題 重 ルータを 構 成 する セキュリティ 業 務 カーネルの 構 成 要 素 カーネルのコンパイル カスタムカーネルおよびカーネルモジュールの カスタマイズ 構 築 インストール ファイルシステムを 作 成 してオプションを 構 成 する RAIDを 構 成 する DNSサーバの 基 本 的 な 設 定 DNSゾーンの 作 成 と 保 守 DNSサーバを 保 護 する Webサーバの 保 守 DHCPの 設 定 LDAPクライアントの 利 用 方 法 ローカルの 電 子 メール 配 信 を 管 理 する リモートの 電 子 メール 配 信 を 管 理 する FTPサーバの 保 護 カーネルへのパッチ 適 用 udevでのデバイス 管 理 記 憶 装 置 へのアクセス 方 法 を 調 整 する システム 関 連 の 問 題 をユーザに 通 知 する プロキシサーバの 実 装 TCPラッパー 1 実 践 的 な システム 管 理 4

5 201 試 験 のポイント 201 試 験 の 主 題 201 Linuxカーネル 202 システムの 起 動 203 ファイルシステムとデバイス 204 高 度 なストレージ 管 理 205 ネットワーク 構 成 206 システムの 保 守 207 ドメインネームサーバ 以 降 特 に 指 定 のない 限 り 実 行 例 は CentOS 5.6 を 採 用

6 201 Linuxカーネル 201 主 題 一 覧 カーネルの 構 成 要 素 (2,A) カーネルのコンパイル(2,A) カーネルへのパッチ 適 用 (1,D) カスタムカーネルおよびカーネルモジュールのカスタマイズ 構 築 インストール(2,A) 実 行 時 におけるカーネルおよびカーネルモジュールの 管 理 / 照 会 (3,A) 概 要 カーネルおよびモジュールの 仕 組 みと カーネル 再 構 築 方 法 の 手 順 * 各 主 題 の 末 尾 にある( 数 字 )は そこに 含 まれる 主 題 の 重 要 度 英 字 は 実 務 での 難 易 度 B: 基 本 (Basis) A: 応 用 (Application) D: 詳 細 (Details) 6

7 201(1) カーネルモジュール カーネルの 追 加 機 能 をカーネル モジュールと 呼 ぶ OS 起 動 後 に 追 加 削 除 可 能 な 物 と 予 め 組 込 んだ 物 がある 前 者 はモジュール 操 作 コマンド 後 者 はカーネル 構 築 で 行 う Kernel rmmod モジュール 操 作 lsmod モジュール 一 覧 insmod modprobe depmod モジュール 間 依 存 関 係 /lib/modules vga16fb.ko vfat.ko jdb.ko etc modinfo モジュール 情 報 カーネル 再 構 築 Kernel 仮 想 化 Kernel メモリ 拡 張 Kernel カーネルのバージョンは ジョンは uname a で 確 認 ( 構 築 時 に 指 定 可 ) xen PAE バージョンの 内 訳 : 左 より メジャー(2) パッチレベルまたはマイナー(6) サブレベルまたはリリース(18) 最 後 がエキストラ 7

8 201(2) カーネルの 再 構 築 カーネル 構 築 手 順 カーネル 構 築 (OS 本 体 のコンパイル)は 各 ディストリビューションによりディレクトリや 関 連 コマンドの オプションが 若 干 異 なるが 手 順 はほぼ 同 じ 試 験 でも 手 順 に 関 する 出 題 が 多 い カーネルバージョン ン 系 と 系 では 下 図 のように 大 きく 異 なる( 試 験 範 囲 は2.6) /usr/src/linux にカーネルのソースコードが 配 置 されている 事 を 前 提 とする 2.4 系 2.6 系 1. 環 境 初 期 化 make mrproper make mrproper 2. カーネル 設 定 make config make config 3. コンパイル make dep make make clean make bzimage make modules 4. インストール make modules_install make modules_install 2.4では 手 作 業 でカーネル 本 体 やSystem.mapを/bootへコピー cp bzimage vmlinuz installkernel cp System.map 5. RAMディスク 作 成 mkinitrd mkinitrd 6. ブートローダ 調 整 vi grub.conf vi grub.conf カーネル 構 築 環 境 をインストール 直 後 状 態 にリセット 前 回 の 設 定 内 容 なども 消 去 この 後 ブートローダを 調 整 し 作 成 したカーネルを 起 動 する パラメータ 設 定 make config は 項 目 数 が 非 常 に 多 く(CentOS 5.6, で 約 2,200) 普 通 は make menuconfig, xconfig などの 階 層 メニュー 形 式 を 選 択 する ディストリビュータにより 前 提 ソフトウエア 制 限 事 項 が 異 なるため 実 際 の 構 築 にあたっては 必 ずリリースノートを 参 照 すること 8

9 202 システムの 起 動 202 主 題 一 覧 システムの 起 動 とブートプロセスのカスタマイズ(4,B) システムを 回 復 する (4,A) 概 要 電 源 投 入 ~ 起 動 ~シャットダウンまでの 流 れ サーバ 起 動 手 順 ブートローダ ダ(GRUB)の 仕 組 み ラン レベル inittabファイルに 関 しては 必 須 9

10 202(1)システムの 起 動 順 序 システムへの 電 源 投 入 から サービスが 開 始 されまるまでの 流 れ OSを 起 動 するブートローダプログラムは2 段 階 必 要 (Stage1,2)である カーネルはHWを 初 期 化 し initプロセスを 生 成 する initが 全 プロセスの 親 となり サービスを 次 々に 起 動 する Linux の 起 動 順 序 BIOS Step-1 HWの 診 断 *1 と 設 定 起 動 デバイス 選 択 MBR Step-2 MBR *2 読 込 (Stage1) GRUB ブートローダ カーネル Step-3 ブートローダ 読 込 (Stage2) カーネル 読 込 カーネル Step-4 Step-5 サービス 開 始 HW 検 出 init 起 動 initが 各 種 メモリ 初 期 化 (pid=1) サーバを 起 動 初 期 RAMディスク*3 (deamon) (initrd)マウント init /etc/inittab *1 POST : Power On Self Test *2 MBR: Master Boot Record OS を 探 し それに 制 御 を 渡 すためのプログラム *3 初 期 RAMディスク カーネル 起 動 時 に 用 いられる 暫 定 的 なルートファイルシステム Ubuntu は /etc/event.d/rc default 10

11 202(2)/etc/inittab initの 動 作 を 定 義 したもの システム 起 動 時 のランレベル( 後 述 )の 指 定 システム 起 動 時 に init が 生 成 するプロセスを 定 義 形 式 ) ID:ランレベル:アクション:コマンド /etc/inittab ( 抜 粋 ) # システム 起 動 時 のランレベル id:3:initdefault: # 起 動 時 に 実 行 si::sysinit:/etc/rc.d/rc.sysinit # ランレベル 毎 の 処 理 指 定 l0:0:wait:/etc/rc.d/rc 0 :( 中 略 ) l6:6:wait:/etc/rc.d/rc 6 アクション initdefault sysinit 意 味 システム 起 動 時 のランレベル システム 起 動 時 の 初 期 化 プロセス once ランレベル 移 行 時 1 回 だけ 実 行 #CTRL-ALT-DELETE で 再 起 動 完 了 を 待 たずに 次 を 実 行 ca::ctrlaltdel:/sbin/shutdown -t3 -r now # 電 源 異 常 時 wait ランレベル 移 行 時 1 回 だけ 実 行 pf::powerfail:/sbin/shutdown -f -h +2 完 了 してから 次 の 処 理 を 実 行 Power Failure; System Shutting Down # コンソールの 起 動 respawn プロセスが 終 了 したら 再 び 実 行 1:2345:respawn:/sbin/mingetty /dev/tty1 powerfail 電 源 異 常 (UPSバッテリ 低 下 ) boot bootwait 起 動 時 プロセス 完 了 を 待 たずに 次 の 処 理 を 実 行 起 動 時 完 了 を 待 って 次 を 実 行 crtlaltdel [Ctrl] + [Alt ]+ [ Delete ] キーボード 割 り 込 み 11

12 202(3)ラン レベル システム 起 動 停 止 の 挙 動 を 定 義 したもの Linuxの 動 作 :シングルユーザ(1)/マルチユーザモード 起 動 または 停 止 するサービスの 割 り 当 て chkconfig (RedHat), update rc.d(debian), insserv(suse) 起 動 停 止 は /etc/init.d 下 にある 制 御 用 シェルスクリプトによる 各 ランレベル(/etc/rcN.d)にひもづくディレクトリへシンボリックリンク (S: 起 動 or K: 停 止 )( 番 号 )(スクリプト 名 ) 例 ) /etc/rc3.d/s95atd [root@server1 ~]# /bin/ls l /etc/rc?.d/*atd lrwxrwxrwx 1 root root 13 May 14 12:36 /etc/rc0.d/k05atd >../init.d/atd lrwxrwxrwx 1 root root 13 May 14 12:36 /etc/rc1.d/k05atd >../init.d/atd lrwxrwxrwx 1 root root 13 May14 12:36 /etc/rc2.d/k05atd > >../init.d/atd lrwxrwxrwx 1 root root 13 May 14 12:36 /etc/rc3.d/s95atd >../init.d/atd : [root@server1 ~]# chkconfig list atd 0:off 1:off 2:off 3:on 4:on 5:on 6:off auditd 0:off 1:off 2:on 3:on 4:on 5:on 6:off autofs 0:off 1:off 2:off 3:on 4:on 5:on 6:off : [root@server1 ~]# chkconfig level 2345 auditd off [root@server1 ~]# chkconfig list auditd auditd 0:off 1:off 2:off 3:off 4:off 5:off 6:off : ランレベル Cent OS の 例 0 停 止 1s 1,s シングルユーザモード 2 NFSなしマルチユーザ 3 CUIマルチユーザ 4 未 使 用 5 GUIマルチユーザ 6 再 起 動 *) Debianの 場 合 ランレベル2, 4とも GUIマルチユーザ 12

13 202(4)ブートローダ ブートローダ GRUB について デファクトスタンダードでWindows など 複 数 のOSに 対 応 している (64bit 未 対 応 だったためLILOも 多 い) /boot/grub/grub.conf または/etc/grub.conf にて 設 定 MBRへの 登 録 は grub install コマンドによる 例 ) # grub install /dev/hda /boot/grub.grub.conf title CentOS ( el5) root (hd0,0) kernel /vmlinuz el5 ro root=/dev/hda1 initrd /initrd el5.img hda ha ディスクの 最 初 のパーティション /vmlinuz - カーネル 本 体 /initrd - 初 期 RAMディスク 対 話 モードで 起 動 パラメータの 修 正 や パスワード 確 認 等 可 能 パラメータ title 意 味 起 動 メニューのタイトル root ブートデバイス 名 ( 物 理 名 ) Kernel カーネル 名 称 と 起 動 オプション single root Initrd シングユーザモード ブートデバイス 名 ( 論 理 名 ラベル 名 ) 初 期 RAMディスク 名 称 13

14 203 ファイルシステムとデバイス 203 主 題 一 覧 Linuxファイルシステムを 操 作 する(4,A) Linuxファイルシステムの 保 守 (3,A) ファイルシステムを 作 成 してオプションを 構 成 する(2,A) udevでのデバイス 管 理 (1,A) 概 要 ファイルシステム 全 体 の 管 理 ( 作 成 整 合 性 チェック チューニング 等 ) 複 数 のファイルシステムが 出 題 (ext2/3, RaiserFS, XFS) 今 後 は ext4 も 重 要 視 される G.Matthew Rice 談 2011/7 マウント アンマウントに 関 するコマンドとオプション SWAPファイルの 操 作 (mkswap, swapon, swapoff) ) 14

15 203(1)ファイルシステム 管 理 ファイルシステムの 構 造 に 関 するキーワード ジャーナリング:ファイル 操 作 状 況 ( 追 加 削 除 変 更 など)を 記 録 し 整 合 性 チェック 対 象 を 必 要 最 小 限 に 留 める ext3 は ext2のジャーナル 追 加 版 スーパーブロック:ファイルシステム 全 体 の 管 理 情 報 格 納 場 所 シリンダグル ープごとに 同 じ 内 容 を 保 持 i node:ファイルの 管 理 情 報 ( 操 作 許 可 所 有 者 大 きさ 更 新 日 時 等 ) データブロック:データその 物 の 格 納 先 格 納 単 位 ファイルシステムの 作 成 ( 初 期 フォーマット) 不 整 合 チェック その 他 操 作 に 関 するコマンド ファイルシステム Ext2/3 RaiserFS XFS Dir01 FileA FileB i node Data 初 期 化 mkfe2fs ( j で ext3) mkreiserfs mkfs.xfs #01 rwxrwxrwx #08 rw-rw-rw #25 rw : チェック e2fsck reiserfsck xfs_check 管 理 tune2fs reiserfstune xfs_admin その 他 debugfs debugreiserfs xfs_info ( 情 報 表 示 ) 15

16 203(2)マウント 起 動 時 にマウントするファイルシステムは /etc/fstabに 記 載 ファイルシステム 種 別 は( t)オプション 動 作 オプションは( o) 複 数 指 定 する 場 合 はカンマ()で はカンマ(,)で 区 切 る mount [ t FStype ] [ o opt1,opt2 ] デバイス マウントポイント 主 なファイルシステム 主 なマウントオプション FStype 解 説 Opt 解 説 ext2 Linux 標 準 ファイルシステム async ディスクへの 非 同 期 入 出 力 ( 高 速 アクセス) ext3 ext2にジャーナル 機 能 追 加 sync ディスクへの 同 期 入 出 力 ( 確 実 な 入 出 力 ) ext4 次 期 標 準 ( 大 容 量 高 速 化 ) atime / noatime i nodeアクセス 時 間 の 更 新 (no: 更 新 しない) reiserfs xfs 小 容 量 多 数 ファイル 向 き 大 容 量 ファイル 向 き auto / noauto mount a オプションでマウント 対 象 (no: 対 象 外 ) exec / noexec ファイルの 実 行 許 可 (no: 実 行 禁 止 ) udf DVD(CDのiso9660の 拡 張 ) suid / nosuid SUID, SGID を 有 効 とする(no: 無 効 化 ) vfat nfs Windows / USBメモリ UNIX のファイル 共 有 ro Read only ( 書 込 み 禁 止 ) rw Read Write ( 書 込 み 許 可 ) smb Windowsのファイル 共 有 uid = xxx/ gid =xxx UID GID を 指 定 した 番 号 に 付 け 替 え proc カーネル 情 報 users/nousers 一 般 ユーザによるマウント 許 可 (no: 禁 止 ) * 利 用 可 能 なファイルシステムは/proc/filesystems に 記 載 dev / nodev 物 理 装 置 (no: 論 理 装 置 proc など) default async,auto,dev,exec,nouser,rw,suid と 同 義 16

17 204 高 度 なストレージ 管 理 204 主 題 一 覧 RAIDを 構 成 する(2,A) 記 憶 装 置 へのアクセス 方 法 を 調 整 する(1,D) 論 理 ボリュームマネージャ(3,A) 概 要 RAID : Redundant Array of Inexpensive /Independent Disks 複 数 のHDDを1つに 見 せるRAID 技 術 の 種 類 (RAIDレベル) OSの 機 能 でRAIDを 実 現 する(ソフトウエアRAID) LVM: Logical Volume Manager HDDを 仮 想 化 し 柔 軟 なデバイスを 実 現 17

18 204(1)RAID RAIDのレベルと ベ と 概 要 RAID 0:1データを 分 散 配 置 冗 長 性 は 無 いが 高 パフォーマンス RAID 1:1データを 冗 長 配 置 読 取 が 若 干 速 いが 高 コスト RAID 4:1データを 分 散 配 置 データからパリティを 算 出 し 冗 長 性 ( 回 復 )を 確 保 パリティ 専 用 ディスクがボトルネック RAID 5:データとパリティを 分 散 配 置 冗 長 性 とコスト 両 面 に 対 応 RAID 管 理 は mdadm による( 作 成 構 成 変 更 状 態 表 示 など) 作 成 ( create, C ) 追 加 削 除 ( manage, M) その 他 ( misc) RAID 0 ストライピング RAID 1 RAID 4 ミラーリング パリティディスク RAID 5 分 散 パリティ A B A B A B a C b A B C 1 4 c 2 5 b 3 6 a パリティ 計 算 データ[1] +[2] a ディスクAが 故 障 した 時 は 逆 算 して 回 復 [1] = [a] [2] 18

19 204(2)LVM LVMは は 複 数 の 物 理 ディスクをボリュームグループに 束 ね 物 理 的 容 量 の 制 限 に 関 係 なく 必 要 な 量 を 論 理 ボリュームとして 利 用 多 くのディストリビューションでシステム 標 準 として 採 用 PV(Physical Volume) : ハードディスクドライブやパーティション VG(Volume Group) : PV の 集 合 LV(Logical Volume) : VGから 切 出 した 仮 想 的 なパーティション PE(Physical Extent): 仮 想 的 なブロックサイズ(LVの 構 成 単 位 ) VG: ボリュームグループ PV 物 理 ボリューム HDD RAID HDD LV 論 理 ボリューム PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE PE HDD HDD ファイル システム ファイルシステム 側 からは HDD RAID LVMの 違 い なく 操 作 (mkfs mount) 主 なLVMコマンド PVの 作 成 pvcreate デバイス VGの 作 成 vgcreate VG 名 デバイス LVの 作 成 lvcreate L サイズ n LV VG 名 情 報 の 表 示 pvdisplay, pvs vgdisplay, vgs lvdisplay, lvs 19

20 205 ネットワーク 構 成 205 主 題 一 覧 基 本 的 なネットワーク 構 成 (3,B) 高 度 なネットワーク 構 成 とトラブルシューティング(4,D) ネットワークの 問 題 を 解 決 する(5,A) システム 関 連 の 問 題 をユーザに 通 知 する(1,D) (, ) 概 要 ネットワークの 基 礎 知 識 (IPアドレス ネットマスクなどの 用 語 ) OpenVPNやIPエイリアスといった 高 度 な 利 用 ネットワーク 設 定 ファイルと 設 定 コマンド 繋 がらない ことに 関 するトラブルシューティング ( 現 状 知 りえる 情 報 を 元 に 対 処 法 を 考 える) 20

21 205(1)ネットワーク 設 定 1 ネットワークに 関 連 するコマンドと 定 義 ファイル 群 NIC 設 定 # ifconfig NIC 名 IPアドレス/プリフィクス ( 又 は netmask マスク 値 ) up / down # iwconfig NIC 名 essid ESSID key s:パスワード ルーティングテーブル 設 定 # route add df default gw IPアドレス # route add net ネットワークアドレス/プリフィクス gw ゲートウェイIP 主 な 定 義 ファイル /etc/hosts ローカルでの 名 前 解 決 /etc/hostname ホスト 名 (RedHat 系 は networkのhostname 値 ) /etc/resolv.confconf レゾルバ 定 義 DNSサーバIP /etc/sysconfig/network ネットワークの 共 通 設 定 (RedHat) /etc/sysconfig/network scripts/ifcfg NIC 名 NIC 個 別 設 定 (RedHat) /etc/network/interfaces NIC 設 定 (Debian) 主 なサービスとポート 番 号 (ssh=22, smtp=25など)や IPアドレス 計 算 21

22 205(2)ネットワーク 設 定 2 IPエイリアシング シ グ 1つのNICに 複 数 の 仮 想 IPアドレスを 付 与 する 仮 想 NIC(NIC 名 : 番 号 )を 定 義 する 例 ) 既 存 のNIC( )に 別 のIPアドレスを 付 与 # ifconfig eth0: /24 up # ip addr show eth0 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000 link/ether 00:0c:29:62:21:55 brd ff:ff:ff:ff:ff:ff ルータの 設 定 inet /24 brd scope global eth0 inet /24 brd scope global secondary eth0:1 プロトコル RIP, OSPF, BGPによる 動 的 ルーティング(routed, t d Quagga) 動 的 ルーティングを 使 うにはカーネルのパラメータの 修 正 が 必 要 例 ) # echo 1 > /proc/sys/net/ipv4/ip_forward その 他 カーネルパラメータ 213.トラブルシューティング 参 照 /proc/sys/net/ipv4/icmp_echo_ignore_broadcast echo ignore ブロードキャスト ping を 無 視 /proc/sys/net/ipv4/icmp_echo_ignore_all 全 ての ping を 無 視 22

23 205(3)ネットワーク 管 理 ネットワーク 情 報 を 表 示 するコマンド 群 netstat ネットワーク 関 連 の 情 報 を 表 示 ( 種 々のオプションあり) lsof i:ポート 特 定 のリソース(ポート)を 使 用 しているプロセスを 表 示 tcpdump NICの 監 視 (パケットのダンプ 出 力 ) arp ARPテーブル(MACアドレス 表 )の 表 示 トラブルシューティング 例 ) 下 記 の 状 態 で に 接 続 できない なにが 原 因 と 考 えられるか? # netstat -rn Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface * U eth * U eth * U lo 23

24 206 システムの 保 守 206 主 題 一 覧 ソースからプログラムをmakeしてインストールする (4,A) バックアップ 操 作 (3,D) 概 要 OSS(Open Source Software)の 入 手 生 成 インストールまで 一 連 の 処 理 システムのバックアップ 方 式 とそのコマンド 24

25 206(1)ソースからのインストール ソースプログラムを 入 手 しインストールするまでの 手 順 ソースプログラムをインターネット 上 やメディアにて 入 手 圧 縮 されたアーカイブ 形 式 は TARボール と 呼 ばれる 慣 例 的 に 拡 張 子 を 元 にツールを 選 定 し 展 開 する ~.tar( 非 圧 縮 ) ~.tar.gz /.tgz(gzip 圧 縮 ) ~.tar.bz2(bzip2 圧 縮 ) GNU 系 の 環 境 設 定 configure スクリプトを 実 行 (gccなど 開 発 ツール 要 ) コンパイルまでは 一 般 ユーザで 実 施 可 能 ($ make) インストールは 管 理 者 による(# make install) $ wget tar.gz : $ tar xzvf makhelp2akman tar.gz help2man / help2man /NEWS : $ cd help2man $./configure checking for perl... perl : config.status: creating Makefile $ make perl help2man.pl Extracting help2man (with variable substitutions) $ su Password: # make install./mkinstalldirs /usr/local/bin $ tar xzvf makhelp2akman tar.gz tarball ファイル 展 開 例 $ tar xzvf tarballファイル.tar.gz $ tar xjvf tarballファイル.tar.bz2 または 解 凍 してから tar 展 開 $ gunzip tarballファイル.tar.gz $ bunzip2 tarballファイル.tar.bz2 $ tar xvf tarballファイル.tar 25

26 206(2)バックアップ システム 障 害 災 害 操 作 ミスに 備 え ある 時 点 のデータをシステ ムと 切 り 離 された 記 憶 装 置 に 保 存 蓄 積 すること( 逆 はリストア) 完 全 (Full ) 差 分 (Differential) 増 分 (Incremental)がある 主 なコマンドとして tar, cpio, dd, dump/restore, rsync がある データ 量 コマンド 解 説 Full Backup ( 月 ) ( 火 ) ( 水 ) 増 分 2 増 分 1 差 分 1 差 分 2 時 間 tar cpio dd ディレクトリ 単 位 でバックアップ(アーカイブ) 同 時 に 圧 縮 も 可 能 $ tar cvf アーカイブ 対 象 ディレクトリ $ tar xvf アーカイブ 標 準 入 力 にファイル 名 を 指 定 し 個 別 にバックアップ $ ls cpio o > アーカイブ $ cat アーカイブ cpio id 装 置 を 含 め 丸 ごとコピー $ddif= 入 力 ファイル of= 出 力 ファイル 完 全 バックアップ: dump / ファイルシステム 単 位 rootのみ 実 行 可 能 ( 増 分 ) 取 得 時 点 で 全 データを 記 録 データ 量 が 多 いと 取 扱 時 間 restore # dump 0uf アーカイブ 対 象 ファイルシステム がかかる # restore rf アーカイブ 差 分 バックアップ: 過 去 のフルバックアップからの 差 分 全 てを 回 復 するに rsync 2つのディレクトリを 同 期 ( 差 分 ネットワーク 可 ) はフルバックアップデータも 必 要 $ rsync auv delete ディレクトリ1 ディレクトリ2 増 分 バックアップ: 最 も 取 扱 時 間 が 短 いが 回 復 に 手 間 と 時 間 がかかる *) オプションの 詳 細 はマニュアル 参 考 のこと コマンド 例 上 段 がバックアップ 下 段 がリストア 26

27 207 ドメインネームサーバ 207 主 題 一 覧 DNSサーバの 基 本 的 な 設 定 (2,B) DNSゾーンの 作 成 と 保 守 (2,B) DNSサーバを 保 護 する(2,D) 概 要 名 前 解 決 とネームサーバ(BIND Ver9) ゾーン 情 報 の 定 義 と 冗 長 性 の 確 保 (ゾーン 転 送 ) セキュリティへの 配 慮 (chroot jail dnskeygen) 27

28 207(1)DNSメカニズム DNS (Domain Name Server) ホスト 名 とIPアドレスの 相 互 変 換 ( 名 前 解 決 )を 行 う ネット 上 のネームサーバ 相 互 接 続 による 分 散 DBである 各 サーバは 自 分 の 担 当 区 画 (ドメイン)の 名 前 を 管 理 する 知 らない 内 容 は 上 位 のサーバに 問 い 合 わせる( 再 帰 問 い 合 わせ) 正 副 (プライマリ/セカンダリ)による 冗 長 化 が 可 能 FQDN: root ドメイン( 世 界 に13サイト) au jp cn com biz TLD: Top Level Domain 4 1 ne co go ac ed ISPのNS yahoo yahooのnsの sony sharp NS: Name Server 5 www weather ドメイン ドメイン ドメイン: NSが 管 理 する 名 前 finance ゾーンはNSが 管 理 する 全 ドメイン headlines loco 多 くはゾーン=ドメイン honyaku バックアップ chiebukuro sony プロバイダ 等 は 複 数 ドメインを 管 理 (セカンダリ) sharp xxxx ゾーン 情 報 28

29 207(2)ゾーン 情 報 DNS 設 定 ファイル DNSサーバ はBINDの Ver 9 が 試 験 範 囲 サーバ 自 身 の 定 義 と ゾーン 情 報 定 義 の2 種 類 の 定 義 ファイルを 持 つ /etc/named.conf でサーバ 自 体 の 動 作 や ゾーンファイルの 所 在 を 定 義 /var/named/ / / 下 にゾーンファイルを 配 置 クライアント(リゾルバ)は /etc/resolv.conf でNSサーバを 定 義 する /etc/named.conf /var/named/mydomain.zone options { $TTL 1D directory /var/named ; xxx.com. IN SOA xxx.com. root.xxx.com. ( : D 12H 1W 10D ) IN NS ns.xxx.com }; IN MX 10 mail1.xxx.com. IN MX 20 mail2.xxx.com. zone xxx.com { ns IN A type master; mail1 IN A file mydomain.zone ; mail2 IN A } h101 IN A : www IN A www IN A host IN CNAME h101 /etc/resolv.conf search xxx.com ゾーン 情 報 : nameserver 情 報 の 管 理 者 (サーバ 名 連 絡 先 メアド) nameserver xx 有 効 期 限 (キャッシュパラメータ) ドメインに 関 する 名 前 情 報 (RR:リソースレコード) A PTR NS MX RR CNAME SOA 意 味 名 前 問 合 せに 対 する IPv4アドレス( 正 引 き) IP 問 合 せに 対 する ホスト 名 ( 逆 引 き) ドメインのネームサー バ ドメインのメールサー バと 優 先 順 位 別 名 (エイリアス) ドメイン 定 義 情 報 29

30 30

31 202 試 験 のポイント 202 試 験 の 主 題 208 Webサービス 209 ファイル 共 有 210 ネットワーククライアントの 管 理 211 電 子 メールサービス 212 システムのセキュリティ 213 トラブルシューティング

32 208 Webサービス 208 主 題 一 覧 Webサーバの 実 装 (3,B) Webサーバの 保 守 (2,B) プロキシサーバの 実 装 (1,D) 概 要 Webサーバは Apache 2.x プロキシーサーバは squid が 範 囲 基 本 的 な Web サーバ 設 定 認 証 仮 想 化 セキュリティ 対 応 プロキシーサーバはアクセス 制 限 の 設 定 (squid.confの acl, http_access allow/deny など) 32

33 208(1)Apache Webサーバ 概 要 Apache の 設 定 と 動 作 メカニズム Apacheソフトウエア 財 団 が 無 償 提 供 している ( ) httpd.conf に 設 定 設 定 名 はディレクティブ( 指 令 )と 呼 ぶ ディレクトリ 単 位 で 切 り 出 し 個 別 管 理 が 可 能 ( 外 部 設 定 ファイル) サーバ 単 体 で 認 証 (ユーザ 名 パスワード) 仮 想 化 が 可 能 httpd.conf DocumentRoot /web/html <Directory /web/html/xxx > AuthType Basic AuthName Staff only AuthUserFile /web/html/xxx/.htpasswd Require valid-user </Directory> DirectoryIndex index.html index.htm index.php Alias /images /web/images ErrorDocument 404 /notfound.html /web/html/ XXX/index.html.htpasswd ユーザ 名 パスワード htpasswd 又 は htdigest httpd.conf AccessFile.htaccess <Directory /web/html/yyy > AllowOverride AuthConfig : </Directory> 特 定 のディレクトリに 関 する 設 定 を 別 ファイルとして 切 り 離 す ( 別 ファイル 修 正 時 再 起 動 不 要 ) /web/html/ YYY/.htaccess AuthType Digest AuthName Admin user : 33

34 208(2)バーチャルホスト バーチャルホスト 一 つのWebサーバで 複 数 のWebサーバがあるかのように 処 理 IPベース: 同 じホスト 名 を 複 数 のサーバで 負 荷 分 散 DNSで 一 つの 名 前 に 複 数 IPアドレスを 割 り 当 て アクセス 毎 にIPが 切 り 替 わる ラウンドロビン 設 定 が 必 要 名 前 ベース: 複 数 のサイトを 一 つのサーバで 一 括 処 理 を 行 う IPベース バーチャルホスト httpd.conf <VirtualHost > DocumentRoot /web/xxx/html </VirtualHost> <VirtualHost > DocumentRoot /web/xxx/html </VirtualHost>.102 Document <VirtualHost > Root DocumentRoot /web/xxx/html </VirtualHost> ゾーン 情 報 ( 抜 粋 ) IN A IN A IN A 名 前 ベース バーチャルホスト httpd.conf NameVirtualHost <VirtualHost > ServerName DocumentRoot /web/uso800 </VirtualHost> <VirtualHost > ServerName DocumentRoot /web/dema </VirtualHost> uso800 dema 34

35 208(3)リソースパラメータ Apacheの 性 能 に 係 るパラメータ StartServers 起 動 時 に 立 ち 上 げる (Apache 窓 口 )プロセス 数 Min/MaxSpareServers リクエスト 増 大 減 少 時 の 待 機 プロセス 数 MaxClients 最 大 プロセス 数 ( 受 付 窓 口 上 限 ) KeepAlive は 一 度 接 続 したTCP 経 路 を 保 持 する(= 繋 ぎっぱなし) ( 接 続 に 係 るオーバーヘッドを 省 略 しパフォーマンスを 向 上 させる) 負 荷 サーバ 子 プロセス 関 連 パラメータ キープアライブ 接 続 確 認 (SYN) MaxClients(256) Client Server MinSpareServers(5) StartServers (8) MaxSpareServers(30) 準 備 完 了 (ACK/SYN) 通 信 開 始 (ACK) データ 通 信 : (リクエスト 回 数 上 限 ) MaxKeepAliveRequests (リクエスト 待 ち 時 間 ) KeepAliveTimeout Apache プロセス 数 リクエスト 数 時 間 終 了 要 求 (FIN) 終 了 確 認 (ACK/FIN) 終 了 (FIN) 終 了 完 了 (ACK) : Time out ( 強 制 終 了, RST) オーバーヘッド 35

36 209 ファイル 共 有 209 主 題 一 覧 Sambaサーバの 設 定 (4,B) NFSサーバの 設 定 (4,A) 概 要 Samba はWindows Network に 対 しファイルとプリンタを 提 供 NFSはUNIX 間 でファイルシステムを 共 有 出 題 範 囲 設 定 ファイル コマンド 利 用 方 法 など 広 範 囲 TCP Wrapper によるアクセス 制 限 も 含 まれる 36

37 209(1) Windows とのファイル 共 有 1 Microsoft Windows Network とファイルを 共 有 する サーバプログラムは smbd(ファイル 共 有 :TCPポート 139,445) nmbd( 名 前 解 決 :UDPポート ト137, 138) winbind( 認 証 連 携 )の3 種 類 Linux, Windows 間 でファイルとプリンタを 共 有 /etc/samba/smb.conf により 設 定 [セクション]と 呼 ばれる 領 域 に 分 割 [global]は Samba 全 体 の 設 定 で 変 更 後 サーバ 再 起 動 が 必 要 WORKGROUP # Sample smb.conf [global] workgroup = MYGROUP server string = Samba %v ; netbios name = MYSERVER log file = /var/log/samba/log.%m max log size = 50 security = user passdb backend = tdbsam [homes] comment = Home Directories browsable = no writable = yes [public] comment = Public apace path = /tmp read only = yes write list testparmで 設 定 内 容 確 認 Samba smbd workgroup 主 な Global パラメータ 所 属 するワークグループ 名 Windows はコンピュータを ワークグループ 単 位 で 管 理 os level ブラウザ 選 定 の 優 先 度 ( 大 きいほど 高 ) 32:Domain controller 20:Samba 16:NT 1:Win9x/Me domain master security ドメインマスタブラウザの 指 定 認 証 方 法 (SHARE,USER,SERVER,DOMAIN,ADS) 37

38 209(2) Windows とのファイル 共 有 2 共 有 の 提 供 ユーザ 認 証 は 大 きく Windows 依 頼 方 式 固 有 データ 方 式 に 分 かれる share: 共 有 個 別 user:samba 固 有 server:windows 依 頼 domain/ads:win / 認 証 サーバ 固 有 情 報 は/etc/passwdを 元 に 別 途 作 成 (pdbedit, smbpasswd) クライアント smbstatus SMBサーバの 接 続 状 況 表 示 nmblookup NetBIOS 名 前 解 決 smbclient SMBサーバに 接 続 し 対 話 式 で 処 理 を 行 う smbmount 共 有 ディスクのマウント mount t smbfs と 等 価 /etc/passwd / # pdbedit ユーザ 名 Samba ( 共 有 ) 用 ユーザ 作 成 passwd に 従 属 passdb # smbpasswd ユーザ 名 パスワード 変 更 # smbstatus Samba version el5_6.1 PID Username Group Machine $ nmblookup MYGROUP querying MYGROUP on student student c ( ) MYGROUP<00> MYGROUP<00> Service pid machine Connected at public 7136 c Thu Jul 7 11:45: Locked files: Pid Uid DenyMode Access R/W Oplock SharePath Name Time DENY_NONE 0x RDONLY NONE /tmp. Thu Jul 7 11:45:

39 209(3) UNIX とのファイル 共 有 1 Sun Microsystems 社 が 開 発 し 公 開 した NFS( Network File System) でUNIX 相 互 のファイルを 共 有 portmapper(rpc) による 動 的 なポート 番 号 管 理 を 行 う 相 互 にマウント(クロスマウント)はトラブルのもと( 要 注 意 ) (CentOS のランレベル2は これを 回 避 するために 設 けられている) /etc/export で 公 開 ディレクトリを 定 義 exportfs で 有 効 化 する ディレクトリ 許 可 クライアント/ネットワーク(オプション) [ 許 可 2 ] サーバ /etc/exports /work client(rw) File System nfsd (rpc.)mountd portmap mount # exportfs クライアント nfsiod portmap # mount server:/work /mnt/nfs ro rw root_squash, no_root_squash all_squash NFS サーバ 側 オプション 読 取 専 用 (デフォルト) 読 書 き 可 root アクセス 時 匿 名 ユーザ へマッピング (マッピングしない) 全 ユーザを 匿 名 ユーザへ マッピング サーバ クライアントとも portmap を 予 め 起 動 する 必 要 がある クライアントからは mount により 自 ディスクのように 扱 える 39

40 209(4) UNIX とのファイル 共 有 2 サーバ 側 作 業 portmap, nfsd を 起 動 必 要 に 応 じ 他 のサーバ(rquotad, lockd)も 起 動 する /etc/exports を 編 集 し exportfs コマンドで 反 映 確 認 する クライアント 側 作 業 portmap を 起 動 する マウントを 実 行 する mount -t nfs -o オプション サーバ 名 : 公 開 ディレクトリ マウントポイント サーバ File System root_squash 機 能 クライアント NFSマウント hard NFS クライアント 側 (mount)オプション NFSサーバの 反 応 があるまで 再 実 行 を 繰 り 返 す soft NFSサーバトラブル 時 はタイムアウトする inter rsize, wsize hard マウント 中 断 許 可 入 出 力 のブロックサイズ 調 整 UID = 匿 名 (nfsnobody) ユーザに 置 き 換 え UID=0でのアクセス UID=0でのアクセス 40

41 210 ネットワーククライアントの 管 理 210 主 題 一 覧 DHCPの 設 定 (2,D) PAM 認 証 (3,A) LDAPクライアントの 利 用 方 法 (2,D) 概 要 DHCPによる 設 定 PAMはローカルシステム(サーバ 自 身 )に 関 する 認 証 LDAPは 基 本 的 な 事 項 のみ(サーバ 構 築 は Level 3 の 範 囲 ) 41

42 210(1)DHCP 設 定 DHCP(Dynamic ( Host Configuration Protocol)サーバはクライアント イ ト に 対 し ネットワーク 定 義 情 報 を 一 定 期 間 提 供 する 提 供 する 情 報 IPアドレス サブネットマスク ネットワーク ブロードキャストアドレス(NIC 設 定 ) 参 照 先 DNSのIPアドレス ドメイン 名 デフォルトゲートウェイのIPアドレス dhcpd の 設 定 は /etc/dhcpd.conf による /var/lib/dhcp/dhcpd.leasesleases で 貸 出 中 の 情 報 を 確 認 /etc/dhcpd.conf default lease time 600; max lease time 7200; option subnet mask ; ( option による 共 通 の 定 義 情 報 ) option routers ; subnet netmask { range ; host printer { hardware ethernetxx:xx:xx:xx:xx:xx; fixd address dd ; } } /var/lib/dhcp/dhcpd.leases lease { starts /08/23 19:23:11; ends /08/24 19:23:11; hardware ethernet 11:22:33:44:55:66; uid 11:22:33:44:55:66; client hostname h034 ; } 42

43 210(2)PAM PAM: Pluggable Authentication Module ユーザー 認 証 を 集 中 的 に 行 うLinuxの 機 能 アプリケーションの 修 正 をするこ となく 新 しい 認 証 サービスへの 移 行 や 情 報 の 一 元 管 理 が 可 能 /etc/pam.d 下 のアプリケーション(コマンドやデーモン)と 同 じ 名 称 のファイル で 定 義 する [タイプ] [コントロール] [モジュール 名 ] ( 引 数 ) 認 証 サービス UNIX LDAP AD PAM アプリ mod A mod B mod C PAM App A App C PAM 設 定 ファイル タイプ 解 説 auth ユーザー 認 証 (ユーザー 名 パスワード ICカード 等 で 本 人 確 認 ) account password 有 効 なユーザかを 判 定 ( 有 効 期 限 権 限 など) パスワードの 変 更 と 確 認 方 法 session ユーザー 認 証 の 前 後 に 行 う 処 理 App B App D コントロール 解 説 /etc/pam.d/system auth auth requisite モジュールがNGならば 即 プロセスを 中 止 し 認 証 失 敗 を 返 す #%PAM 1.0 required モジュールがNGなら 残 りの 同 タイプを 処 理 した 後 失 # This file is auto generated. 敗 を 返 す # User changes will be destroyed the next time authconfig is run. sufficient モジュールがOKかつ 上 記 がOKならば 成 功 を 返 す auth required pam_env.so optional 同 一 タイプが1つのみ( 自 分 自 身 ) 以 外 は 認 証 可 否 に 影 響 auth sufficient pam_unix.so nullok try_first_pass を 与 えない : include 続 くファイルの 定 義 を 読 み 込 む 43

44 211 電 子 メールサービス 211 主 題 一 覧 電 子 メールサーバの 使 用 (3,B) ローカルの 電 子 メール 配 信 を 管 理 する(2,D) リモートの 電 子 メール 配 信 を 管 理 する(2,B) 概 要 メールシステムに 係 る 複 数 のサーバの 役 割 と 設 定 メールシステム 特 有 の 用 語 やプロトコル メール 全 般 の 知 識 が 必 要 ( 多 様 なメールサーバ) 送 信 サーバ: sendmail, Postfix 受 信 サーバ:Dovecot, CurierIMAP/POP, procmail プロトコル:SMTP, POP3, IMAP4 44

45 211(1)メールサーバ 概 要 電 子 メールは 送 信 と 受 信 で 仕 組 みが 異 なり 単 純 なクライアントサ ーバではなく 関 連 プログラムが 多 数 存 在 する MTA (Message Transfer Agent) 外 部 とのメールのやり 取 りを 行 う いわゆる 送 信 サーバ MDA(Message Delivery Agent) 自 サーバ 内 へのメールの 配 信 (ユーザ 割 り 振 り)を 行 う サーバ 内 に 閉 じた Local MDAと クライアントへ 受 信 メールを 送 る remote MDAがある( 受 信 サーバ) MUA(Message User Agent)いわゆるメールソフト クライアント 側 のツール 役 割 主 なソフトウエア MTA MTA Sendmail, Postfix, qmail MDA local 他 のメールサーバへ MDA Procmail, Dovecot, Curier MDA MUA remote Mail Box MUA Thunderbird, Sylpeed, Outlook, Becky!, Eudola 注 ) 役 割 を 兼 任 したソフトも 多 い 45

46 211(2)メール 送 信 サーバ 基 本 的 には Postfix の 設 定 に 関 する 出 題 が 多 いが sendmail と 併 用 する 部 分 も 対 象 となる Postfix は /etc/postfix/main.cf cf にて 設 定 ( 機 能 拡 張 はmaster.cf)する sendmail と 共 通 部 分 ( newaliases, /etc/aliases, ~/.forward 等 )も 出 題 myhostname mydomain myorigin inet_interfaces 主 な postfix の 設 定 値 メールサーバホスト 名 ( 例 : smtp.my.com ) 所 属 するドメイン 名 (my.com) 差 出 人 の@ 以 下 が 省 略 時 に 補 完 する 値 (my.com) 受 信 する NIC (all) to: who@my.com = mydistination To: bar@other.net From: mydestination ローカル 配 信 するホスト 宛 先 (my.com) mynetworks 信 頼 し 中 継 するネットワーク (my.com, xx.xx ) Mail Box mynetworks host.my.com postconfで 設 定 内 容 確 認 DNS 設 定 MX 10 fishy.net 46

47 211(3)メール 受 信 サーバ Procmail 受 信 メールの 自 動 振 り 分 けや SPAMメール 対 策 に 利 用 レシピと 呼 ばれるルールに ルに 従 いメールの 保 存 転 送 プログラム 起 動 を 行 う Dovecot はPOP3/IMAP4に 対 応 /etc/dovecont.confconf で 設 定 protocols = pop3 pop3s imap imaps MDA (Local) SPAM ウイルス チェック ユーザ 毎 に 振 分 Mail Box レシピ (/etc/procmailrc, ~/.procmailrc) :0 [フラグ] [:ロックファイル] [* 条 件 ] アクション :0 * ^Subject:.*Info.* $MAILDIR/infomail :0 * > /dev/null MDA (Remote) MUA フラグ 処 理 H ヘッダのみチェック( 規 定 ) B c 条 件 本 文 のみチェック! 条 件 否 定 続 くレシピへメッセージを 残 す 処 理 <, > メッセージサイズ? プログラム 正 常 終 了 アクション POP3 ファイル 名 指 定 ファイルへ 保 存 各 ユーザでの IMAP4!who@my.com メッセージ 転 送 自 動 振 り 分 け prog プログラムへ 引 き 渡 す 処 理 47

48 212 システムのセキュリティ 212 主 題 一 覧 ルーターを 構 成 する(3,A) FTPサーバの 保 護 (2,A) セキュアシェル(SSH) (4,B) TCPラッパー(1,D) ッ セキュリティ 業 務 (3,D) 概 要 ネットワークセキュリティに 関 する 知 識 と 関 連 サービス FTPの の 匿 名 ユーザ(Anonymouse) ) 設 定 iptables ルータ 設 定 OpenSSH 広 範 囲 なセキュリティ 知 識 ただし 概 要 レベル 48

49 212(1)iptables iptables (パケットフィルター ファイヤーウォール) ト タ ウ ) ポリシー( 方 針 )とルールによって パケットをOSレベルで 制 御 各 種 サーバに 依 存 しないセキュリティ 制 御 が 可 能 (TCP Wrapper は 依 存 ) NIC 毎 に3つのチェイン(データ 経 路 )を 定 義 (INPUT, OUTPUT, FORWARD) INPUT チェイン アプリ (サーバ) OS NIC FORWARD OUTPUT ターゲット ACCEPT DROP LOG syslog 主 なオプション L 設 定 内 容 表 示 F 全 設 定 削 除 P チェイン ターゲット ポリシー 定 義 A チェイン ルール( 以 下 ) ルール 定 義 p プロトコル Icmp, tcp, udp の 指 定 d / s アドレス 宛 先 / 差 出 IPアドレス dport / sport ポート 宛 先 / 差 出 Iポート ト 番 号 j ターゲット ルールのターゲット iptables 実 装 例 SMTP リクエスト サーバ Web ブラウザ リクエスト server レスポンス レスポンス iptables F iptables P INPUT DROP iptables P FORWARD DROP iptables A INPUT d j ACCEPT iptables A INPUT p icmp d 自 IP j ACCEPT iptalbes A INPUT p tcp d 自 IP dport 25 j ACCEPT iptables A INPUT p tcp d 自 IP sport 80 J ACCEPT 49

50 212(2)OpenSSH 基 本 SSHについては その は そ 仕 組 みと 設 定 方 法 両 方 が 出 題 される 公 開 鍵 認 証 のメカニズム サーバ 設 定 (/etc/ssh/sshd_config) プロトコルには Ver.1 (RSA), Ver.2(RSA,DSA)があるが Ver.1は 使 わない 公 開 鍵 認 証 のメカニズム( 抜 粋 ) クライアント サーバ 1 鍵 ペア 作 成 2 公 開 鍵 登 録 秘 密 公 開 3アクセス 要 求 4 乱 数 生 成 !?#$%&= 6 乱 数 送 信!?#$%&= /etc/ssh/sshd_config 主 な SSHD 設 定 項 目 ( 既 定 値 ) Port sshdの 待 ち 受 けポート 番 号 (22) Protocol SSHプロトコルのージョン 1, 2 を 指 定 (2) LoginGraceTime 認 証 のタイムアウト[ 秒 / 分 ](2m) PermitRootLogin sshを 利 用 したユーザーrootの 直 接 ログインを 許 可 (yes) Password パスワード 認 証 を 許 可 = 公 開 鍵 でなくてもログ Authentication インを 認 める (yes) ChallengeResponse SSH1のチャレンジ&レスポンス 認 証 の 有 無 (yes) Authentication AllowUsers 利 用 可 能 なLinuxユーザのリスト(なし) X11Forwarding X11 のポート 転 送 の 有 無 (yes) 複 合 パスフレーズ 8 乱 数 返 信 5 暗 号 化 照 合 その 他 ファイル ~/.ssh/id_xxx.. 秘 密 鍵 (xxxはrsa, dsa) ( 左 図 1) ~/ /.ssh/id_xxx.pub 公 開 鍵 ( 同 1) ~/.ssh/known_hosts... ホスト 認 証 鍵 一 覧 ~/.ssh/authorized_keys.. 公 開 鍵 一 覧 ( 同 2) 50

51 212(3)OpenSSH ポート 転 送 SSHの 応 用 例 としてポート 転 送 が 出 題 される SSHの 仕 組 みを 利 用 して 任 意 の 通 信 を 暗 号 化 (ポートフォワーディング) 一 旦 SSH セッションを 確 立 後 サーバ 側 で 転 送 を 行 う クライアントは 指 定 ポ ートに 接 続 する Before ポートフォワーディングによるPOP 通 信 の 防 御 クライアント 動 的 ポート 32,000~65535 ( 任 意 ) 通 信 経 路 MUA To:svc S サーバ POP3 ポート 110 ポートフォワーディング: 1.コネクションの 確 立 $ ssh -L [ 自 ポート]:[ 接 続 先 ホスト]:[ポート] 接 続 先 2. 自 ポートへの 接 続 (MUAの 設 定 を 変 更 サーバ:110 自 身 :ポート) 補 足 ) sshd は TCP Wrapper 対 応 After クライアント MUA ポート 転 送 サーバ POP3:110 /etc/hosts.deny sshd: アクセス 禁 止 リスト(ALL) ポート:8110 暗 号 化 経 路 SSH:22 /etc/hosts.allow sshd: アクセス 許 可 リスト 51

52 213 トラブルシューティング 213 主 題 一 覧 ブート 段 階 の 識 別 とブートローダのトラブルシューティング(4,B) 一 般 的 な 問 題 を 解 決 する(5,B) システムリソースの 問 題 を 解 決 する(5,D) 環 境 設 定 の 問 題 を 解 決 する(5,D) (, ) 概 要 現 場 を 想 定 した 種 々のトラブルについての 原 因 究 明 と 対 策 方 法 LPICレベル1 2の 全 ての 知 識 が 必 要 最 も 頻 繁 に 出 題 も 変 わるため 常 に 情 報 収 集 が 必 要 52

53 213(1)ログファイル 種 々のトラブルについて 原 因 を 特 定 するためには ログファイルを 調 査 する 事 が 基 本 ログファイルの 種 類 と 概 要 関 連 コマンドの 操 作 ログの 仕 組 みは 出 題 範 囲 外 だが ファイル 名 やコマンドが 問 われる /var/log 下 の 主 なログファイル ファイル 名 概 要 関 連 コマンド messages(t) secure(t) システムに 関 する 全 般 的 な 情 報 認 証 に 関 するもの dmesg ブート 時 のメッセージ(HWチェック) dmesg cron(t) スケジュール 実 行 に 関 するもの lastlog(b) ユーザ 毎 の 最 終 ログイン 情 報 lastlog rpmpkgs(t) パッケージインストール 状 況 yum.log(t) wtmp(b) ログイン 履 歴 last utmp(b) ログイン 中 ユーザの 情 報 who, w xferlog(t) FTP ファイル 転 送 記 録 補 足 ) ファイル 名 : (t) テキスト 形 式 (b)バイナリ 形 式 HTTPD は /var/log/httpd/access_log, error_log, 他 にも samba, squied 等 dmesg /etc/ syslog.conf ログのメカニズム Ring Buffer /proc/kmsg klogd syslogd /va/log/xxx # tail -f /var/log/messages カーネル サーバ サーバ サーバ 53

54 213(2)ライブラリ 管 理 ライブラリの 追 加 導 入 時 におけるキャッシュ 情 報 の 再 作 成 以 外 に 実 際 のプログラム 動 作 について 追 跡 を 行 う 管 理 系 :ldd( 使 用 ライブラリ 表 示 ), ldconfig(ライブラリキャッシュ 管 理 ) 動 作 追 跡 : ltrace(ライブラリ 呼 び 出 し), strace(システムコール シグナル) ldd と ldconfig の 実 行 例 ltraceとと straceの 実 行 例 $ ldd /usr/sbin/sshd linux gate.so.1 => (0x ) libwrap.so.0 => /lib/libwrap.so.0 (0x007fb000) libpam.so.0 => /lib/libpam.so.0 (0x0038d000) : $ ldd /usr/sbin/rpc.mountd grep libwrap libwrap.so.0 => /lib/libwrap.so.0 (0x ) TCP Wrapper は libwrap # /sbin/ldconfig pp 561 libs found in cache `/etc/ld.so.cache' libz.so.1 (libc6) => /usr/lib/libz.so.1 libz.so (libc6) => /usr/lib/libz.so : # /sbin/ldconfig /lib /usr/lib /usr/local/lib # /sbin/ldconfig p 569 libs found in cache `/etc/ld.so.cache' libz.so.1 (libc6) => /usr/lib/libz.so.1 libz.so (libc6) => /usr/lib/libz.so : $ ltrace date libc_start_main(0x , 1, 0xbfad4604, 0x80508a0, 0x <unfinished...> setlocale(6, ) = "C" bindtextdomain("coreutils", d " "/usr/share/locale") /h /l l") = "/usr/share/locale" /h /l l" textdomain( coreutils ) = "coreutils" cxa_atexit(0x804bea0, 0, 0, 0x , 0xbfad4568) = 0 getopt_long(1, 0xbfad4604, "d:f:i::r:rs:u", 0x , NULL) = 1 nl_langinfo(131180, 0xbfad4604, 0x8051a0d, 0x , 0) = 0x8c23b9 clock_gettime(0, 0xbfad4548, 0x8527f1, 1, 0xbfad4604) = 0 localtime(0xbfad4444) = 0x8f4300 strftime( Sat, 1024, %a, 0x8f4300) = 4 fwrite( Sat, 3, 1, 0x8f14c0) = 1 $ strace date execve("/bin/date", ["date"] date], [/* 25 vars */]) = 0 brk(0) = 0x941e000 access("/etc/ld.so.preload", R_OK) = 1 ENOENT (No such file or directory) open("/etc/ld.so.cache", O_RDONLY) = 3 fstat64(3, {st_mode=s_ifreg 0644, st_size=43872,...}) = 0 mmap2(null, 43872, PROT_READ, MAP_PRIVATE, 3, 0) = 0xb7f2a000 close(3) = 0 open( /lib/librt.so.1, O_RDONLY) = 3 54

55 213(3) システム 情 報 その 他 システムに 関 する 情 報 は /proc ファイルシステムによる 参 照 するときは cat less で 行 うこと 変 更 はリダイレクション(echo xxx > /proc/sys/yyyyを 用 い エディタ(vi 等 )は 用 いない 初 期 値 設 定 ファイル 群 も 要 チェック ログインに 関 連 (/etc/login.defs, / g, /etc/profile, /p,/etc/profile.d,/p ~/.bashrc) システム 状 況 表 示 系 コマンド 群 はトラブルの 原 因 究 明 に 必 要 /proc/mdstat /proc/modules /proc/mounts /proc/swaps 主 な /proc 下 のファイル 群 トラブルシュートに トに 役 立 つコマンド RAID 構 成 導 入 済 みモジュール 一 覧 マウント 済 みファイルシステムとオプション SWAP ファイル 状 況 /proc/version バージョン 情 報 (uname a 相 当 ) /proc/sys/kernel/h ostname /proc/sys/kernel/ modprobe ホスト 名 (ドメイン 名 は domainname) modprobe コマンドのパス 名 rdev lsdev, lsusb, lspci lsusb meminfo lsof strings setserial lsmod /proc/sys/net/ipv4 NICパケット 転 送 の 有 (1) 無 (0) 205(2) ネットワーク 設 定 2 /ip_forward 205(3) ネットワーク 管 理 参 照 ルートデバイス 表 示 カーネル 認 識 済 みデバイス 一 覧 マウント 済 みファイルシステムとオプション SWAP ファイル 状 況 使 用 中 リソース 表 示 バイナリファイルに 含 まれる 文 字 列 シリアルデバイス 表 示 ロード 済 みモジュール 一 覧 55

56 ご 参 考 参 考 文 献 Linux 専 門 スクール Linuxサーバ 構 築 標 準 教 科 書 (v1.0.2) 特 定 非 営 利 活 動 法 人 エルピーアイジャパ ン 135p / A4 判 Linux 教 科 書 LPICレベル2 ( 第 3 版 ) 中 島 能 和 著 濱 野 賢 一 朗 監 修 翔 泳 社 (2009/05/12 出 版 ) 554p / 21cm / A5 判 ISBN: ビジネス 徹 底 攻 略 LPI 問 題 集 Level2/Release2 対 応 中 島 能 和 著 ソキウス ジャパン 編 インプレスジャパン インプレスコミュニケー ションズ 発 売 (2009/08/01 出 版 ) 286p / 21cm / A5 判 ISBN: 矢 越 サイト 56