Proxy システム 上 埜 元 嗣 情 報 社 会 基 盤 研 究 センター 概 要 情 報 社 会 基 盤 研 究 センターでは 全 学 サービスとして WEB の proxy サービスを 提 供 している 高 速 な 外 部 へ のアクセスや 安 全 な 通 信 を 目 的 としているが 最

Transcription

1 JAIST Reposi Title Proxyシステム Author(s) 上 埜, 元 嗣 Citation 国 立 大 学 法 人 北 陸 先 端 科 学 技 術 大 学 院 大 学 技 術 サービ ス 部 業 務 報 告 集 : 平 成 23 年 度 : Issue Date Type Others Text version publisher URL Rights Description Japan Advanced Institute of Science and

2 Proxy システム 上 埜 元 嗣 情 報 社 会 基 盤 研 究 センター 概 要 情 報 社 会 基 盤 研 究 センターでは 全 学 サービスとして WEB の proxy サービスを 提 供 している 高 速 な 外 部 へ のアクセスや 安 全 な 通 信 を 目 的 としているが 最 近 はインターネットの 高 速 化 もあり 高 速 な 外 部 へのアクセ スにはあまり 貢 献 できていないという 側 面 もある 本 稿 では 一 昨 年 のシステム 更 新 から 現 在 までの 運 用 およ びそれに 伴 う 問 題 点 や 課 題 について 報 告 する 1 はじめに Proxy サービスは 情 報 環 境 の 一 部 であり 4 年 に 1 度 機 器 の 更 新 が 行 われている 更 新 時 にはシステム 構 成 の 見 直 しにはちょうど 良 い 時 期 である 2010 年 での 更 新 では 3 台 ( 一 部 他 サーバとの 共 用 )のサーバで 構 成 し ていたが 2 台 のサーバに 統 合 した また 更 新 後 は 最 近 通 信 量 が 多 くなっているストリーミングやソフト ウェアのアップデートなどで 通 信 障 害 などが 出 たりなどもあったが 現 在 は 問 題 なく 運 用 できている 本 稿 ではシステム 更 新 の 際 のサーバの 統 合 更 新 後 に 起 きた 問 題 について 報 告 する 2 システムの 更 新 2009 年 度 の 情 報 環 境 調 達 に proxy システムの 更 新 が 盛 り 込 まれている 実 際 機 器 が 設 置 されたのは 2010 年 の 2 月 頃 であったが 設 定 やテストなど 行 い 旧 システムと 入 れ 替 えたのは 7 月 であった 旧 システム proxy 自 動 設 定 用 サーバ(web サーバと 兼 用 ) proxy サーバ AntiVirus サーバの 3 台 のサーバから 構 成 されていた が 新 システムでは proxy 自 動 設 定 を proxy サーバで 配 布 できないかを 検 討 した Proxy サーバは 旧 システ ム 新 システムともに 専 用 装 置 を 使 用 しているが 旧 システムは NetApp 社 NR1000C230 を また 新 システ ムは BluCoatSystems 社 SG810/AV810 シリーズを 採 用 した 2.1 BlueCoat SG810-10/AV810-B BlueCoatSystems 社 SG810-10( 以 下 SG810)と AV810-B( 以 下 AV810)を 新 しい proxy システム として 導 入 した SG810 は proxy サーバであり AV810 は AntiVirus サーバである これらを 統 合 して 使 用 することにより 高 速 で 安 全 な proxy シ ステムを 構 成 する 主 な 特 徴 としては スケーラビリティとパフォーマンス SG810 と AV810 を 合 わせて 構 成 する ことにより Web オブジェクトをワイ ヤ ー ス ピ ー ド で 分 析 ( 最 大 図 1. システム 構 成 図 23

3 240Mbps,7-9 ミリ 秒 の 遅 延 階 層 型 のセキュリティと 防 御 3 Proxy 自 動 設 定 の 配 布 Proxy 自 動 設 定 (Proxy Auto Configuration 以 下 PAC)はクライアントの Web ブラウ ザの Proxy 設 定 を 自 動 で 行 うためのもので ある この 方 法 は 何 通 りかあるがなるべく 図 2. BlueCoatSG 多 くのユーザに proxy サーバを 使 用 してもらうためにはユーザが 設 定 しなくても 配 布 できるほうがよい 3.1 WPAD WPAD とは Web Proxy Auto-Discovery Protocol の 略 であり Web ブラウザなどの 設 定 を 自 動 化 するために 開 発 されたプロトコルである DHCP DNS HTTP を 組 み 合 わせて 設 定 され これによりユーザおよび 管 理 者 の 負 担 が 軽 減 される WPAD は Internet Exploer Mozilla FireFox, Safari などの 有 力 なブラウザでサポートさ れており 学 内 ユーザのほとんどがこれらの web ブラウザを 使 用 している 情 報 社 会 基 盤 研 究 センターでは 主 に Mozilla FireFox を 推 奨 している 本 学 では 2005 年 よりこの 方 法 を 運 用 している 本 学 の 場 合 下 記 の URL に 自 動 的 にアクセスし PAC を 読 み 込 み Proxy の 設 定 が 自 動 的 に 設 定 される このサーバは PAC を 記 述 したファイルを http でアクセスできる URL で 公 開 すればよい それまでは 既 存 の Web サーバで 上 記 URL にて PAC が 公 開 されるように 設 定 していた 3.2 SG810 での WPAD の 設 定 ホスト 名 は DNS で SG810 の IP アドレスに 対 し wpad.jaist.ac.jp を 割 り 当 てる SG810 の 設 定 を 行 っているうちに PAC の 設 定 が 可 能 で PAC ファイルをそのままアップロードできること が 分 かった しかしながら PAC の 公 開 URL がシステムで 下 記 URL で 固 定 になっていて 変 更 できないこと もわかった (ただし server は IP アドレスを 設 定 すると 変 更 される) そこで Policy Rules に URL の rewrite を 追 加 し に 対 し 要 求 があった 場 合 上 記 の URL に 書 き 換 えを 行 う 設 定 を 追 記 した WPAD で 用 いられる URL 以 外 にもいくつか PAC 公 開 していた URL が 存 在 していたので 複 数 の URL を 書 き 換 える 可 能 性 を 考 慮 し 下 記 のルールを 定 義 した define action rewrite_wpad end rewrite( url, "(.*)", " ) 24

4 次 にこの 定 義 を 利 用 し 書 き 換 えたい URL を 定 義 した <Proxy> url= action.rewrite_wpad(yes) これにより WPAD をの 要 求 を SG810 単 体 で 処 理 できた これまで 兼 用 の Web サーバのメンテナンス 時 な どにも URL を 公 開 するため 別 の Web サーバに 設 定 を 移 動 したりしていたがその 部 分 では 管 理 コストが 減 る ことになった 4 運 用 中 における 問 題 SG10 の 設 定 がある 程 度 完 了 し 全 学 に 向 け 旧 システムから 入 れ 替 え 新 システム SG810/AV810 での 運 用 を 本 格 的 に 始 めた 運 用 としては 定 期 作 業 問 題 対 応 などがあげられる 問 題 点 及 びその 対 応 をいくつかあ げる 4.1 ファームアップ 時 の 問 題 ファームウェアのアップデートを 行 う 際 は SG810 AV810 ともに 再 起 動 する 再 起 動 の 間 2~3 分 程 度 かか るわけだが proxy サービスを 利 用 しているユーザに 不 便 をかけることとなる なるべく 再 起 動 の 回 数 を 減 ら すためにネットワークのメンテナンスや 計 画 停 電 時 などに 合 わせて 作 業 を 行 っているが アップデートが 公 開 されてから 時 間 がたってしまう 図 1 にあるように AV810 はユーザ 端 末 とは 直 接 通 信 をしないことから AV810 だけでもユーザの 通 信 を 妨 げることなくアップデートできないか 検 討 した SG810 の ICAP 連 携 の 設 定 と policy 設 定 を 変 更 し AV810 が 通 信 できないときは AV810 でデータスキャンせずにユーザ 通 信 を 返 すこと で 回 避 できることとした セキュリティー 観 点 からは 本 学 セキュリティーポリシーにてユーザ 端 末 は 端 末 自 身 でセキュリティの 配 慮 をもちいることが 明 記 されているので 問 題 ない 4.2 ダウンロードできないストリーミングデータ ストリーミングについても proxy を 経 由 している ストリーミングデータはいくつもの 種 類 があり 同 じ 形 式 でも 通 信 プロトコルも 違 っていたりする audio/aacp という MIMEType を 使 ったストリーミングが AV810 を 経 由 するとダウンロードできないという 問 題 がおきた 当 然 proxy を 経 由 しなければ 問 題 がない そこで SG810 の policy を 使 い 以 下 の 3 点 を 検 証 した キャッシュのみ 行 わない AntiVirus チェックのみ 行 わない(AV810 を 通 さない) キャッシュおよび AntiVirus チェックを 行 わない 結 果 AntiVirus チェックを 通 さなければダウンロードできることが 確 認 でき audio/aacp に 関 しては SG810 の policy で AV810 での AntiVirus の check をしないように 設 定 することで 解 決 した 4.3 その 他 Adobe Reader や Adobe Flash を 初 期 インストールする 場 合 に proxy 経 由 だとインストールできないという 問 題 が 最 近 報 告 された Adobe 社 でもこの 問 題 は 認 識 しており 調 査 中 という 報 告 がある 我 々も 検 証 し policy などを 設 定 することで 解 消 できるかどうか 今 後 検 証 し 対 応 していきたい 5 統 計 以 下 に 現 在 の 一 部 の 統 計 データを 挙 げる 25

5 5.1 ユーザ 数 図 3 は 一 日 のユーザ 数 を 時 系 列 でグラフ に 表 わしたものである 授 業 などの 開 始 時 間 から 徐 々に 増 え 16 時 をピークに 減 って いる しかしながら 深 夜 でも 一 定 のユー ザがいることがわかる 図 4 は 一 ヶ 月 間 のユーザ 数 を 時 系 列 で 表 したものである 週 末 は 半 分 程 度 に 減 って はいるもののやはり 一 定 数 のユーザがいる ことがわかる 24 時 間 毎 日 の 安 定 運 用 が 必 然 であると 再 認 識 した 図 3. 1 日 (AM11:00 から)の 利 用 者 の 推 移 5.2 キャッシュされたコンテンツ 図 5 にはキャッシュデータをサイズ 別 で 数 に 表 わしたものである グラフは 縦 軸 が 対 数 目 盛 で 表 わしたものである 1KB から 50KB までのサイズが 多 く 存 在 している Web ページなどの 小 さいコンテンツがよく キャッシュされていることがわかる 図 4. 一 ヶ 月 間 の 利 用 者 推 移 6 まとめ システムの 更 新 作 業 や 問 題 への 対 応 を 行 っている 中 で SG810 と AV810 を 合 わせた 構 成 では 複 雑 な 設 定 ができいろいろな 状 況 や 要 望 にも 対 応 できることが 分 かった ま た 統 計 からユーザも 日 時 で 差 があるが 常 時 一 定 以 上 のユーザが 利 用 していることも 図 5. キャッシュされたコンテンツのサイズ 別 数 わかった 今 ある 問 題 点 はこれから 検 証 し 対 応 するが これからも 重 要 なシステムの 一 つとして 安 定 運 用 を 保 っていきたい 26