うまいぼうぶろぐ

linuxとhttpdとperlのメモ

network

big-ip source nat part2

hogem.hatenablog.com 追記で書いたけど↑は任意のsourceからとあるStandardなVirtualServerへアクセスしたときのsource nat とはいえ結局はnatなので半分ぐらいかぶってる。 今回は宛先がVirtualServerではなくて、 特定のserverからbig-ipをdefault gateway…

pfSense - ソフトウェアルータ

お手軽にsnort使える環境ないかなーと思って色々調べてて (サーバ自身にsnortを入れるという方法は除外して) vyatta/vyos で出来んじゃねーのと思ってたけど forum見ると、brocade買収後?しばらくしてsnortはsupportされなくなったとか。 で他のもの探して…

A10 vThunder 仮想アプライアンス 評価版 memo

30日、5Mbps制限の評価版 https://www.a10networks.com/vthunder-embed 対応ハイパーバイザ Hyper-V ESXi KVM Software Downloadから選択したハイパーバイザに対応したソフトウェアをdownload Request Licenseにはhost id を入力してライセンスをコピーしと…

Big-IP APM memo

参考: hogem.hatenablog.com www.f5networks.co.jp SSL - Client Profile 証明書によるクライアント認証を行いたい場合、 普通はclientssl profile でClient Authenticationにrequireにする。 かつ、OCSP レスポンダを使う場合はvirtualserverでAuthenticati…

network モニタ用コマンド

Linuxでネットワークの監視を行えるモニタリングコマンド20選 http://orebibou.com/2014/09/linux%E3%81%A7%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%81%AE%E7%9B%A3%E8%A6%96%E3%82%92%E8%A1%8C%E3%81%88%E3%82%8B%E3%83%A2%E3%83%8B%E3%…

big-ip tmsh show running-config をterminal length 0 風(あるいはno-more)に表示する

big-ip tmsh show running-config と打つと(もしくはtmsh に入ってからrunning-config) # tmsh show running-config Display all 170 items? (y/n)と確認されるけど、ログ取得時などに毎回確認されるのがうっとうしい。cisco iosだと # terminal length 0 # …

juniper screenos NAT メモ

久々すぎて一部忘れてた VIP MIP DIP ポリシーベース Nat-Dst, Nat-Src 設定内容によっては複数の方法で実現できるものもあるけど、基本的にはこんな感じ? VIP Virtaul IP dest NATで使う。 untrust interfaceでのみ設定可能。 untrustに設定した(通常は)グ…

big-ip source nat

https://support.f5.com/kb/en-us/solutions/public/6000/000/sol6017.html 追記 これは任意のsourceからとあるStandardなVirtualServerへアクセスしたときのsource natのお話です 追記おわり VirtualServer Source Address TranslationでAutoMap (floating …

F5 Big-IP Virtual Edition版 初期構築メモ

version 11.5.1評価版は誰も使えるので家のESXiに入れてみた。使ったのはESXi用のovaファイル。 参考URL https://f5.com/products/trials/product-trials http://www.f5networks.co.jp/shared/pdf/BIG-IP800LTM_Easy_Setup.pdf http://f5networks.co.jp/shar…

nc でport scan

nmapも使ってたりすると混同してオプション忘れがちになるのでメモ。 ncでport scan(daemonがlistenしているか確認するだけ#データ何も送らなくてよい)場合は-z optionを使うと良い。 $ nc -z 192.0.2.1 80; echo $? Connection to 192.0.2.1 80 port [tcp/h…

junos memo

ping virtual router 内のnetworkへのping > ping 192.0.2.1 routing-instance vr_name routing static route 確認 # show routing-optionsvirtual router のrouting確認 # show routing-instances vr_name routing-options

LINE のサーバのアドレス

proxyを経由しないとinternetへ接続できない環境下で、PCのLINE アプリケーションで接続できへんと言われた。 今のところ、LINEにはproxyを設定する項目がないようなので、proxyを経由させずにFWでNATさせるなどをするしかない。 ちなみに、プロキシでintern…

iptables で NAT

nic 2枚 持ってるlinuxをLoad Balancerとして動かしたかったので久々にやろうとしたら結構忘れていたのでメモ。 LBじゃなくて普通のrouterにしたいなら、vyattaを使えばNATの設定入れたら裏でiptablesも設定してくれて楽ですけど。 eth0: 192.0.2.1 (グロー…

linux でtap deviceで仮想インタフェースを作成する

通常1つのnic上に仮想IPを割り当てる場合はifconfig eth0:0 のようにaliasで設定すればいいけど、L2レベルでの仮想デバイスが欲しかったのでtapを使ってみた。 # yum install tunctl # tunctl ==> tap0 が出来るあとはいつものように/etc/sysconfig/network-…

tapデバイスを利用してdynagen/dynamips 上のcisco routerとIPで直接接続する

dynagenでcisco routerを動かすのはいいけど、アクセスするにはコンソール用のポートに接続しないといけなくてポート番号忘れたりするしやきもきするので、直接接続したくなったのでやった。 dynagenのrouterの設定で、F1/0 = NIO_tap:tap0 のように記述すれ…

Dynagen/Dynamips linux上でCisco Router のemulatorを動かす

dynagen dynamips 何か会社の自席から半径2メートルぐらいでにわかに盛り上がっていたのでやってみた。GUIが使えるならGNS3というのも使うと、トポロジーが簡単に作れるので良い。エミュレートするマシンにCatalystはないけど、routerにNM-16ESW モジュール…

vnstat を使ってlinuxサーバのtrafficをお手軽に確認する

http://humdi.net/vnstat/ vnStat is a console-based network traffic monitor for Linux and BSD that keeps a log of network traffic for the selected interface(s). サーバのtrafficを真面目に確認/監視したい場合はcacti, mrtg等を使うのが通常だと思…

ip addr addで追加されたaliasアドレスはip addr show で表示されるけどifconfig では表示されない

確か昔keepalivedでvrrpするときにも内部でipコマンド使われてて同じことになった記憶がある。ip コマンドで設定されたものはifconfig では表示されないので、サーバのIP見る時はip addr show で見たほうが確実なのでは、と今更思った。なんで今さら言ってい…

tcp関連の/proc パラメータ復習

/proc/sys/net/ipv4/ 以下のアレ。高負荷時にはチューニングすると良いらしいけど、これを設定して効果が出るような状況にはまだ出くわしたことない。 tcp_fin_timeout default: 60 (秒) tcpのシーケンスでFIN-WAIT2からTIME_WAIT に移行するまでの待ち時間…

linux bondingのパラメータをオンラインでの変更

できるものとできないものがあるみたい。miimonの数値はオンラインのまま変更可能だった。 # echo 100 > /sys/class/net/bond0/bonding/miimonbondingのmode, xmit_hash_policy 等はinterfaceを停止させないと変更できなかった。 # echo 2 > /sys/class/net/…

linux bonding 時のnicの偏りを調整する

http://d.hatena.ne.jp/rx7/20120412/p1 http://docs.redhat.com/docs/ja-JP/Red_Hat_Enterprise_Linux/6/html/Deployment_Guide/sec-Using_Channel_Bonding.html nicが偏って困ってたらniceなentry見つけた。さすがrx7さん。linux bonding mode=2 (balance-…

socat - Multipurpose relay (SOcket CAT)

netcat がパワーアップしたようなもの? http://www.dest-unreach.org/socat/ http://www.dest-unreach.org/socat/doc/socat.html#EXAMPLES netcatのport forwardが面倒くせーなーと思っていたけど、socatなら名前付きパイプを作らなくても良かった。(といっ…

netcat で port forward

単純にncをパイプで入出力を繋げると、入力はforwardされるけど、出力はclientに返らずに、ncを実行している端末の標準出力に出てしまう。 localhostの8080にきたものを192.168.0.1の80にforward $ nc -l 8080 | nc 192.168.0.1 80これでcilentからnc 10.0.0…

traceroute で使っている UDP port 番号

firewallの設定をガチムチにしていたら、icmp版traceroute (traceroute -I) は通るけど、defaultのtracerouteが通らなかったのでport番号調べた。RFCは読んでない。 netscreenのpredefined の設定 ICMP type:8,code:0 UDP src port 0-65535, dst port:33400-…

RHEL系OSでipv6を無効にする

確認したのはRHEL, CentOS, SL の5.8と6.2modprobe.d 以下に適当な名前の設定ファイルを作成 (or /etc/modprobe.conf に直接書く) # vi /etc/modprobe.d/ipv6.conf options ipv6 disable=1設定したあとOS再起動。 昔のRHEL5系 (5.0, 5.1などの古いOS # いつ…

ntop linux serverのトラフィック統計確認

webUIで結果を確認できる。 libpcap、rrdtool、GeoIP等が必要。 http://www.ntop.org/products/ntop/ install # wget http://sourceforge.net/projects/ntop/files/ntop/Stable/ntop-4.1.0.tar.gz/download # tar zxvf ntop-4.1.0.tar.gz # cd ntop-4.1.0 # …

software router のvyattaが素晴らしい

http://www.vyatta.com/ http://www.vyatta.org/ vyatta: debian based なsoftware router。routing, firewall, nat , ips , vpn などが使える。基本的な機能は無償版と有償版で変わらない。有償版にはHA構成時のconfig 同期、GUI、support がついている、ぐ…

openvswitch installと設定

参考: http://openvswitch.org/ http://tomocha.net/diary/?20110928 (flow ruleとか) git clone git://openvswitch.org/openvswitch source最新版にopenvswitch-1.2.2.tar.gz があるけど、redhat用の起動スクリプトにBRCOMPAT(linux互換のブリッジモード)の…

bridge接続している仮想マシンのnetworkをホストOSのiptablesで制御

man iptables あんましやることないだろうけど、出来たのでメモ。設定はホストOSで。eth0をbr0でbridgeしている場合の例。まずprocの値を変更 # echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables # echo 1 > /proc/sys/net/bridge/bridge-nf-call-arp…

bonding interfaceの速度のSNMP MIBがおかしい

cactiでbond0(1Gbps mode=1 1Gbpsのeth0/eth1)のグラフを取ると上限が10Mbpsになっていた。snmpwalkの応答を見てみると、max 10Mbpsで返ってきている。 IF-MIB::ifSpeed.6 = Gauge32: 10000000ナズェ…と思ってmanualとかを見ていると仕様っぽい。 https://bugz…