ネットワークシステム管理 #11

Size: px

Start display at page:

Download "ネットワークシステム管理 #11"

らむふくだ
3 years ago
Views:

1 ネットワークシステム管理 #11 たかさきこうや 2020年 12月 18日 (金曜日) 2限 (10:55-12:40)

2 先週のおさらい Tracerouteとラウンドトリップタイム(RTT) 通信の要素には容量と遅延がある通信経路ダイナミックルーティング(動的経路) スタティックルーティング(静的経路) ロンゲストマッチポートとプロトコル平文と暗号化 HTTP SMTP

3 第2回課題の提出方法第1回同様メールで提出してください(言い忘れてた) ファイル名 b94xxxx-nsa02.pptx (半角英数で前半は自身のアカウント名とします) 提出方法に送信メールの件名 NSA02 (半角英数とします) メールの本文不要です

4 第5回目の講義でこんなことをやった Wiresharkというアプリをインストールしてもらい通信状況を閲覧あれをもう一度やってみよう Wiresharkを起動

5 余談 Wiresharkのアップデート割と良く出るので気が向いたらソフトウェアを更新して最新の状態にしておくことをお勧めします Wiresharkに限った話ではない

6 ちょっとトリッキーだけどブラウザのアドレスバーにと入力(httpsではない)しエンターを押さずに待機 Wiresharkでパケットキャプチャを開始ブラウザのアドレスバーでエンターを入力ここまで入力 (Enterは押さない) キャプチャ開始

7 するとブラウザの方は一瞬だけにつながり即座ににアドレスが変わる一瞬だけ i と出るのは暗号化されていないというアラートメッセージ

パケットキャプチャを停止して中身を確認すると確かに192.168.5.126(自PC)から 202.

8 パケットキャプチャを停止して中身を確認すると確かに (自PC)から ( TCP通信が行われ中身がHTTP通信であることがわかる

9 HTTP通信は一往復だけして終わっているクライアントサーバ (行きの通信) サーバクライアント (帰りの通信)

10 行きの通信の中身第3層(ネットワーク層) 送信元IPアドレス: 宛先IPアドレス: 第4層(トランスポート層) 送信元ポート番号:1274 宛先ポート番号:80 シーケンス番号:1 データの長さ:602バイト

11 行きの通信の中身(続き) 第7層(アプリケーション層) 要求したページ: / プロトコル: HTTP/1.1 ホスト名: コネクション: keep-alive

12 HTTPは OSI参照モデルでは7層に相当すると考えられるが HTTP自体は5層 6層の内容も含んでいるので HTTPは5-7層という説明がされることもある

13 帰りの通信の中身第3層第4層は割愛第7層(アプリケーション層) ステータスコード:301 (意味 Moved Permanently) ロケーション:

14 HTTPのステータスコードよく 404 Not Found とか 500 Internal Server Error とかがブラウザに表示されているの見たことないステータスコード: サーバからの応答で何が起きたかをクライアントに伝えるための一意な番号

15 HTTPのステータスコード情報 ( ) 成功 ( ) リダイレクト ( ) クライアント側エラー ( ) サーバ側エラー ( )

16 ステータスコードの例1 200 OK リクエストが成功しデータを返送する Webページは正常に表示される(はず) 炎上した有名人のサイトで 404 Not Found とか 500 Internal Server Error と表示されているときにステータスコードを見ると200が返されていることがあるそういう時はページを消して逃げたふりをしている 301 Moved Permanently 恒久的移動ページが移動した時に元の場所にアクセスしたら301が返るようにしておくとよい郵便物の転送設定みたいなもの

17 ステータスコードの例2 304 not modified アクセスには成功したが以前アクセスしたときと変わっていない場合 304を返し中身は返さないことでデータの転送量を節約できる 401 Unauthorized 認証が必要でこのステータスコードが返ると大抵のブラウザは認証画面を表示しユーザ名とパスワードの入力を促す

18 ステータスコードの例3 403 Forbidden アクセスが禁止されている 404 Not Found アクセスした先にページがない 500 Internal Server Error サーバが(バグなどで)エラーになっている 500 Service Unavailable 過負荷やメンテナンス中などでサービス不可になっている

19 ステータス SMTPにしろHTTPにしろクライアントとサーバがやり取りをするプロトコルは異常を検知するとなんらかの手がかりを必ず残すなにか異常が起きたときにステータスコードを見て原因追及をする (特に自分が悪いのか相手が悪いのかを特定する) ことは非常に重要

話を戻すと 301 Moved Permanently を受け取ったブラウザは http://www.cuc.ac.

20 話を戻すと 301 Moved Permanently を受け取ったブラウザはに代わってにアクセスを試みるが暗号化されているので通信の中身は Wiresharkではわからない第4層(トランスポート層) 送信元ポート番号:1276 宛先ポート番号:443 シーケンス番号:1 データの長さ:517バイト

昨今多くのプロトコルは暗号化されているので Wiresharkでパケットキャプチャしても通信の実態が確認できることはまずない http://www.lib.cuc.ac.

21 昨今多くのプロトコルは暗号化されているので Wiresharkでパケットキャプチャしても通信の実態が確認できることはまずない数か月前までは平文での通信を許容してたが今はできない無論今でもダメなサイトはある DMMさんとこは割とアカンので間違っても公共のWi-Fiでゲームやっちゃだめよ

22 サーバを設置する意味例えば CUCは学内学外に対する情報発信を行うためにサーバを設置している cuc.ac.jpというドメイン取得もその一環ただしサーバで実施したいサービスやそのための機能というのは各組織各部署でおなじではない異なった機能が求められることもある

23 SLA Service Level Agreement サービスレベル合意サービスを利用する側と利用させる側がどの程度のサービスをするかについて合意すること

24 どういう場合に合意が必要か例えば携帯端末の通信速度速度の上限は定義されていても速度の下限は約束されることはまずない速度は兎も角 99.9%のSLAをうたうサービスも有る例えば１か月は60x24x30 で 43200分そのうち1/ 分まではサービスが使えなくても責任は問えないという意味 99.9%だとほんのわずかな気がするけど 1か月のうち40 分っていうと割と長いよね EX: Googleのダウン(2020年12月14日)

25 SLAの必要性例えば朝8時から午後８時までしか使わない特定少数しか利用しない事務系のシステムに 24x365の稼働は求められない一方不特定多数が利用するWebサービスは 24x365のサービスが求められるがそれが止まっていて困る人はあまりいないそこで金銭の収受が行われないなら

26 逆に株やFX トレード系は数秒の停止が致命的なロスに繋がるのでサービス時間内に予告なしに止まることは許されない Ex: 東証のダウン(2020年10月01日)

27 混同しがちな例例えばサーバ用HDDや高価な筐体は故障する確率を下げてくれるが所詮確率なので起きるときは起きるだからデータセンター(サーバを預かる施設) ネットワーク回線サーバ CPU メモリ HDD 電源などを多重化して全体がストップする可能性を避け SLAをあげていく

28 SLAに対する補償ただし 99.9%のSLAがあったとして 43分を超えて止まったシステムがあったとしてそのときシステム提供者はサービス利用者に何を保証を違えたとして補償するか割とえこんなもんという補償レベルだったりするのでサービスの稼働を堅くしようと思った場合自分で頑張るしかないのが正直なところ

29 大事なことそのサービスは誰のためのものなのかいつ使うためのものか何処から使うためのものか何を扱うサービスなのか何故それでなくてはいけないのかを考えて使用するリソースを決定しよう

30 プログラムとファイル UNIXもWindowsもファイルを作ることは割と簡単だではプログラムとは何かコンピュータ上ではプログラムはファイルの一種にすぎない

31 例えば Windows上で off echo あいうえお timeout /T 3 とだけ書いてファイルを test.bat として保存するそうするとアイコンが普段と変わるこれをダブルクリックしてみると

32 Windowsの場合プログラムかファイルかは拡張子で決まる拡張子が.txtの場合は普通のファイルとして振舞う普通のファイルとして振舞う場合 Windowsによって.txtに紐づけられたプログラムが起動する既定のプログラムの選択という機能で変更できる (Win10の場合は既定のアプリの選択 ).txtをメモ帳以外(emeditorや Xyzzy)に変更することも可能.batは Windowsバッチファイルと決められている

33 つまり悪意のある人が普通のWindowsではプログラムとして動くような拡張子のファイルを貴方のPC上に置きそのファイルのアイコンを適切に設定しその拡張子がバレないようにして貴方にダブルクリックさせたらその時点で貴方は負けです

34 ちなみにさっきのファイル重要書類.xls みたいなファイル名にして保存してみて下線部赤のところはスペースをいっぱい入れてみるかなり騙されそうな感じになってない悪用しないこと.bat 拡張子を表示しない設定のWindowsの場合騙されやすさは格段に向上する(ので拡張子は表示するのが鉄則だ)

35 UNIXの場合若干事情が違う UNIX上で echo あいうえお sleep 3 とだけ書いて test.txtでホームディレクトリに保存./test.txt として実行しようとしても実行できない許可がませんと言われる許可とは

36 ファイルの権限の話 UNIXでは自分自身が誰なのかをまず明確に規定するユーザ:kohya

37 ユーザkohyaは必ず一つ以上のグループに所属する kohyaの場合は cucstaffというグループ(みんなはstudent?) cucstaff ユーザ:kohya kasiwagi riho-m yanpi hiroya

38 whoamiとgroups whoamiは自分が何というユーザであるか groupsは自分がどのグループに属しているかを表示するコマンド groupsの場合複数グループに属していたら複数表示されるその場合先頭グループがデフォルトのグループ

39 更に少なくともcucstaffというグループに所属していない多くの人がいる cucstaff ユーザ:kohya b kasiwagi riho-m yanpi hiroya b b740888

40 さて一方 test.txtというファイルは kohyaというユーザが作ったもの test.txt 作った人 kohya cucstaff ユーザ:kohya kasiwagi riho-m yanpi hiroya b b b740888

41 kohyaというユーザはこのファイルに対し読む権利書き込む権利プログラムとして実行する権利を指定できる cucstaff ユーザ:kohya kasiwagi riho-m yanpi hiroya test.txt オーナー kohya User 読む権利書く権利実行する権利

42 さらにファイル自身もどのグループに属するファイルかという情報を持つことが出来る cucstaff ユーザ:kohya kasiwagi riho-m yanpi hiroya test.txt オーナー kohya グループ cucstaff User 読む権利書く権利実行する権利

43 ファイルが属するグループに対しこのファイルを読む権利書き込む権利プログラムとして実行する権利を指定できる cucstaff ユーザ:kohya kasiwagi riho-m yanpi hiroya test.txt オーナー kohya グループ cucstaff User Group 権限読む権利書く権利有無実行する権利読む権利書く権利実行する権利なし

44 更にオーナーでもグループでもない人たちに対しこのファイルを読む権利書き込む権利実行する権利を指定できる cucstaff test.txt b オーナー kohya グループ cucstaff User 権限読む権利有無 Group 書く権利実行する権利読む権利書く権利実行する権利なし読む権利書く権利実行する権利なしなしユーザ:kohya b Others kasiwagi riho-m yanpi hiroya b730996

45 すると OSはファイルの所有者とグループの情報をみてそのユーザがファイルにとって誰なのかを調べ User cucstaff ユーザ:kohya riho-m yanpi Group hiroya Others b test.txt オーナー:kohya グループ:cucstaff 権限有無読む権利書く権利実行する権利読む権利書く権利なし実行する権利読む権利書く権利なし実行する権利なし

46 更に test.txt オーナー:kohya グループ:cucstaff それぞれのユーザがファイルに対しどのような権限を持っているのかをチェックする User cucstaff ユーザ:kohya riho-m yanpi Group hiroya Others b 権限有無読む権利書く権利実行する権利読む権利書く権利なし実行する権利読む権利書く権利なし実行する権利なし

47 その結果 test.txt オーナー:kohya グループ:cucstaff それぞれのユーザは test.txtに対して出来ることが違ってくる読める書けない実行できない権限読める書けない実行できる読める書ける実行できる User cucstaff ユーザ:kohya riho-m yanpi Group hiroya Others b 有無読む権利書く権利実行する権利読む権利書く権利なし実行する権利読む権利書く権利なし実行する権利なし

48 ここで確認 UNIXではファイル名とその拡張子が何かとそのプログラムが実行できるかは基本的に関係がない.batだろうが.txtだろうが.shだろうが実行ユーザに対して実行権限がついていれば実行できるしついてなければ実行できない

49 コマンド chmod ファイルの権限を変更する例 chmod u-w ファイル名 % chmod g+x ファイル名 chmod g+x ファイル名 % chmod o-r ファイル名 chmod o-r ファイル名ユーザから書き込み権を奪うグループに実行権を与える他人から読み込み権を奪うこういう与奪できる権限のことをパーミッションと言う

50 先ほど作ったファイル chmod u+x test.txt とするとプログラムに実行権限がつく

51 じゃあ実行権限を付けたとして UNIXにログインしていれば常にそのプログラムが使えるのか仮に使えるとしたら何か問題がないか

52 もし UNIXの任意の場所に誰かにlsというプログラムを作られてそれが悪意のあるプログラムだったとしたら何処に置いてあってもそのプログラムを探し出して実行するようになっているのはものすごくマズイよねなので UNIX(やWindows)では実行パスという概念がある printenv というコマンドを実行してみよう

53 環境変数コンピュータを使う上で今どういう設定なのかが逐一記録される場所がある環境変数というこれの PATH の欄に何処にあるプログラムは実行しても良いかを記録してここにあるもの以外は迂闊に実行しない設定になっている PWDとかHOMEなんかも心当たりあるかな

54 下準備 cd mkdir bin cd bin echo cal > test.sh chmod u+x test.sh ホームディレクトリに移動 binというディレクトリを作成 binの下に移動 test.shの中にcalとだけ記述 test.shにオーナーの実行権を付与

55 従ってもし何らかのプログラムを作りそれを常に実行したいならそのプログラムのある場所にパスを通すかパスの通っている場所にプログラムを置くかする必要があるそうでないならプログラムをフルパスで実行する例えば個人のホームディレクトリにプログラム専用の置き場としてbinというディレクトリを作った場合これを実行する方法は次の通り

56 実行例フルパスで指定して実行 ~/bin/test.sh そのディレクトリまで行って実行 cd bin/./test.sh パスを通してから実行 setenv PATH "$HOME/bin":"$PATH test.sh

57 パスを通すってなんだよ実行プログラムを置いた場所(パス)を安全なプログラムが置いてある場所とみなして実行可能なプログラムの置き場所としてあらかじめ登録すること /usr/binとか/bin には誰もが安心して使えるプログラムがおいてある cd /bin とかしてどんなプログラムが置かれているか見てみよう

58 毎回パスを通すのは面倒だ.tcshrcというファイルをemacsで作る中身は setenv PATH "$HOME/bin":"$PATH" とだけ書くこの状態で今ログインしているターミナルとは別に terateramを立ち上げそちらでもlogin.cuc.ac.jpにログインログインできなかったら.tcshrcの書き方が間違っているのでもとから開いてたteratermで内容確認のこと

59 .tcshrcって何よ環境設定ファイルログイン時にあらかじめ設定されておいて欲しい内容をいろいろ書くとログイン時に自動的に設定してくれる WindowsやMacにも同様のものがある毎回面倒だと思うようなことは自動化しようコンピュータはそういうのが得意だなお. から始まるのでlsでは見えない (ls aをすれば見える)

60 .tcshrcに alias rm "rm -i" alias cp "cp -i" alias mv "mv -i" と書いてみよう有効にするにはログインしなおす必要があるが面倒な人は source.tcshrc とすると.tcshrcを再度読み込んでくれる

61 コマンド: alias あるコマンドに別の名前を付けること alias mv "mv -i" とすると mv i をmvコマンドとして登録できるつまり mvと打つだけでmv i を自動的にしてくれるでは alias koko "hostname; pwd; whoami" とすると

62 コマンド: unalias aliasの逆 unalias koko とすると kokoというaliasを消してくれる

63 便利コマンドの自作簡単なコマンドの組み合わせならaliasコマンドで十分 alias dou 'ping -c grep icmp_seq cut -f7 -d" " ' コマンドを囲むのはダブルクオートでもシングルクオートでもよい 1. pingを1回に打つ 2. grep icmp_seqとして1回目のpingの結果行だけ取得する 3. スペースを区切り文字として7番目のフィールドをcutで取得

64 のところを自宅ないしは自宅になるべく近いルータへの pingにして大学からのRTTを計測するコマンドを dou という名前で創ってみようそれを.tcshrcに書いてみよう

65 本日のお題

66 残りの時間は課題に関する質問等とします

ネットワークシステム管理 #01

ネットワークシステム管理 #01 先週のおさらいネットワークシステム管理 #06 たかさきこうや UNIX(Linux) という OS を触ってみよう login.cuc.ac.jp に teraterm というターミナルソフトを使ってログインしコマンドをたたくことが出来る cd で移動 pwd で位置を確認 ls でファイルとディレクトリ ( フォルダ ) のリストを確認 more でファイルの中身を確認 exit でログアウト

ネットワーク システム管理 #11

ネットワークシステム管理 #11