2004年度情報システム構成論第12回 Case Study: 西尾研究室ネットワーク構築西尾信彦 [email protected] 立命館大学情報理工学部情報システム学科ユビキタス環境研究室要求定義/解決法決定(1) • Webページは独自に提供したい – WWWサーバ構築決定 • メールサーバも独自に提供したい – メールサーバ構築決定 • メールサーバは重要なので出来る限り止めたくない – メールサーバの多重化決定 • 各自のHome(ファイル置き場)はどのホストからでも利用できるようにしたい – NFSの利用決定要求定義/解決法決定(2) • メールの本体(メールボックス)はどのホストからでも利用可能にしたい – 各自のHomeにメール本体を格納したい – Maildir形式メールボックスの利用決定 • どのホストでも同じアカウント情報(ユーザ管理)を利用したい – ディレクトリサービスの利用 – Unix系端末が大多数であるため、Active Directoryは却下 – NIS、もしくはLDAPの利用決定要求定義/解決法決定(3) • 今後作成するアプリケーション(ユビキタス系の)でも同じアカウント情報を利用したい – NISはUNIX系のログイン情報以外では利用しにくい – アプリケーションで利用する場合、ログイン情報以外のものもディレクトリサービスに格納したい – NISが却下され、ディレクトリサービスには柔軟性のあるLDAPを利用することに決定要求定義/解決法決定(4) • データ(Homeの)は非常に重要であるため、物理的障害対策も入れたい – – – – NFS用ホストにRAIDを導入することに決定信頼性向上用ではないRAID0は却下 RAID1はディスク利用効率から棄却 RAID0＋1かRAID5の二択となるが、RAID5搭載 NASが存在したため、RAID5の導入を決定 • NASはNFS以外のアクセスを許したくない – NAS自体にファイアウォールがない – NAS用にファイアウォールのホストの設置決定要求定義/解決法決定(5) • 今後多くのマシンが導入され、アドレスが足りなくなる (RAINBOWグローバルなIPアドレスは8つ)ことは目に見えているので、始めから対策を立てておきたい – とりあえずは、NAPTとプライベートネットワーク (192.168.0.0/16)を利用することに決定 – 将来的に順次IPv6に移行予定(予定は未定) • 内部ネットワーク(プライベートネットワーク)ではIPアドレスではなくホスト名を使いたい – DNSサーバ構築が決定要求定義/解決法決定(6) • 内部ネットワークにはノートPCなど、動的に追加されるホストが多いため、動的IPアドレス割り振りを利用したい – DHCPサーバ導入決定 • 内部ネットワークは外部から守りたい – ファイアウォールの導入 • ノートPCはもちろんWireless – Wireless Access Pointの導入(802.11gで統一) – もちろんWirelessは暗号化 • WEPの導入構築決定サーバ一覧(1) • 外部向けサーバ(いわゆるDMZに設置) – – – – WWWサーバメールサーバ緊急時用メールサーバ LDAPサーバ • 外部にアプリケーションを設置する可能性があるため (普通は内部ネットワークのためのサーバとなる) – NFSサーバ • WWW，メールなど(外部サーバ)でも利用するため • アクセス制御用ファイアウォール設置(NAS自身にないため) – ルータ(NAPT)用ホスト • 内部ネットワークと外部ネットワークを結ぶ構築決定サーバ一覧(2) • 内部向けサーバ – DHCPサーバ – 内部用DNSサーバ – ルータ(NAPT)用ホスト • ファイアウォール付き – Wireless Access Point • WEP付き要求定義から作ったネットワーク図ルータ-FW WWW mail 緊急用 mail LDAP NFS-FW NAS DHCP DNS WAP 各学生ホスト本ネットワークの高負荷ポイント Performance Bottleneck • 全員(全ホスト)がアクセスしファイル転送することになるNAS • NASを保護しているファイアウォール – NASを使うホストは内部ネットワークにも外部ネットワークにも，さらにRits外部にも多数存在 • 内部ネットワークと外部ネットワークへの接続を全て引き受けるルータ兼NAPTホスト高負荷ポイントルータ-FW WWW mail 緊急用 mail LDAP NFS-FW NAS DHCP DNS WAP 各学生ホスト負荷の分散 • NASが外部ネットワークに所属しているため、ファイル転送トラフィックがルータとNFS-FWにかかってくる • 内部ネットワークは直接NASと通信可能にする • NASに二つEthernet Cardを持たせる – たまたま2つGbEのNICをもっているNAS(RAID5)であった – 応用問題：もし2つNICがついてなかったらどうしますか？改善後ネットワーク図ルータ-FW WWW mail 緊急用 mail LDAP NFS-FW NAS DHCP DNS WAP 各学生ホスト高負荷が解消されたルータ-FW WWW mail 緊急用 mail LDAP NFS-FW NAS DHCP DNS WAP 各学生ホストその他の改良点 • 緊急時用Mailサーバが常時遊んでいるのはもったいないため、他サーバと共有 – WWWが緊急用メールサーバを兼任するように設定 • NASのデータは物理的障害にも耐えうるが、壊れている状態から復旧するまでは利用できなくなる – 別にもう一つバックアップ用NASを用意する最終的なネットワーク図ルータ-FW WWW 緊急用mail mail DNS NFS-FW NAS Backup用NAS DHCP LDAP WAP 各学生ホスト実際には．．． • DMZ(外部ネットワーク)に， – TV会議用ホストを設置 • 内部ネットワークに， – Linuxクラスタ (IBM BladeCenter) – ソフトウェア開発用CVSサーバ – アドホックモード用無線基地局を設置 • 10.0.0.0/8のプライベートネットワーク – WAPとDHCPは同一ホスト • 有線ネットワークは可能な限りGbE接続 • 無線ネットワークは802.11gと11bを分割メールサービスの要求定義 • 複数のホストから同時に自分のメールを利用する必要がある (ノートPCと据え置きホスト,etc) – IMAP4rev1を採用 • メールサーバを多重化する – メールボックスはNFS上に置く – NFSを利用するため、メールボックスはMaildir形式 • セキュリティは出来る限り確保する – IMAP over SSL, SMTP over SSL, SMPT Authの利用決定ファイアウォール設定一覧(1) • ファイアウォールが必要なホストは5つ – ルータ，WWW/緊急用Mail，Mail，LDAP，NFS-FW • ルータ兼NAPT – 内部から外部へのIPマスカレード(POSTROUTINGでフック) – 外部から内部への接続は、TCP接続確立済みのものは通す、それ以外は拒否(SYN:× ACK: ○) – ルータへのアクセスは内部からのSSH(22)のみ許可 • WWW/緊急用Mail – HTTP:80, HTTPS:443, SSH:22， IMAP:143, IMAPS:993, SMTP:25, SMTPS:465 ファイアウォール設定一覧(2) • Mail – IMAP:143, IMAPS:993, SMTP:25, SMTPS:465, SSH:22 • LDAP – LDAP:389, LDAPS:636, SSH:22 • NFS-FW – 外部ネットワークからNASネットワークへの接続：TCP接続確立済みのものは通す – 外部ネットワークからNASネットワークへの接続：NFS(2049) をメインNASへ転送(バックアップへは送らない) 構成手順 • 該当ネットワークで出ている要求をまとめる • 各要求について、実現法を決定する • ネットワーク上のボトルネックを検出し、対策を立てる • 機材や資金などと相談して、マシン構成を考える • 各種ソフトの設定を行うさて．．． • 現状の西尾研究室ネットワークで足りないものは何でしょう？練習問題 (#1~#3) 1. Switching Hubを利用したネットワークは単なる Hubを利用する場合と比べてセキュリティ上どのような利点がありますか？ 2. IP層ではパケットは何まで届けるのが使命ですか？ 3. IP層でパケットが途中でロストした場合、IP層は何をしますか？ 4. MACアドレスとIPアドレスとの対応をとるプロトコルは何ですか？ 5. 上記のプロトコルではまず何キャストをしてその応答を何キャストで受けとるでしょう？ 6. 立命がJPNICからもらっているIPアドレスのクラスは何ですか？ 7. ホストアドレスがNビットあったときいくつのホストにアドレスを配れますか？ 8. サブネットマスクがMビットのときホストはそのサブネットにいくつですか？ 9. ルータが自分の経路表にないアドレス宛てのパケットを配送するアドレスを何といいますか？ 10. AS内のルーティングプロトコルを一ついいなさい。 11. IPv4のIPアドレスは約いくつありますか？ 12. IPアドレスの枯渇問題への解決策を2つあげてください。 13. プライベートIPアドレスには3つのネットワークアドレスごとに用意されていますが、それぞれ何によって使い分けるでしょう？ 14. プライベートIPアドレスを振られたホストのインタネットアクセスは何によって実現されるでしょう？ 15. 14の技術はどのような制約があるでしょうか？ 16. それを改良した技術を何といいますか？ 17. IPヘッダとTCPヘッダ，パケットのより内側に位置するのはどちら？ 18. TCPやUDPではパケットは何まで届けるのが使命ですか？ 19. Well-Knownポートの例を一ついいなさい． 20. UDPでパケットが途中でロストした場合、UDP 練習問題 (#4~#6) 1. DHCPで配布されるものは何ですか，4つ答えなさい？ 2. 無線LANでの通信路暗号化の手法？ 3. Switching Hubのセキュリティ以外の利点は何ですか？ 4. Switching Hubを通したPacket Sniffingは可能か？ 5. IPsecの提供するような暗号化通信路生成方式を何といいますか？ 6. IPsecは不特定の通信相手とでも必ず暗号化通信路を確立できますか？ 7. IPsecを利用するとスループットはどうなりますか？ 8. バッファオーバーフロー攻撃はTCP/IPを利用しなれば防げますか？ 9. プロトコル仕様に脆弱性が発見されたとき，そのプロトコルは使用禁止になりますか？ 10. POPやIMAPは暗号化通信路を提供しますか？ 11. APOPを利用すればメイルの内容は盗聴できないでしょうか？ 12. ファイアウォールはウィルスを通さない機構である？ 13. 近年の分散DoS攻撃の代表例を一ついいなさい． 14. ファイアウォールの内側のホストはインタネットにアクセスできますか？ 15. 安価に構築できるファイアウォールは何型で，何層で実装されるでしょう． 16. RAINBOW内のWebサーバへは何型のファイアウォールが適用されていますか？ 17. ファイアウォール内ホストの外へのアクセスを制限する例をあげなさい． 18. Linuxのnetfilterでのin-comingパケット防御はどのhookポイントですか？ 19. LinuxでのNAPTは何といわれていますか？ 20. DMZにはどのようなホストを置きますか？ 21. Unixでの代表的なリモートアクセスサーバの暗号化通信路生成プロトコルは？ 22. 上記プロトコルで他のサービスを支援する機能は何？ 23. 一般にVPNで利用される通信路暗号化方式は？ 24. VPNでNAT越えをする方法はない？ 25. SoftEtherは何層のVPNか？練習問題 (#7~#11) 1. 従来のUnixでのユーザ情報管理ファイルは何？ 2. Rootでのログインは推奨されない．代りにどのコマンドを利用するか？ 3. NISのドメインとサイトのドメイン名は一致するか？ 4. NISの通信路は暗号化されているか？ 5. NFSで各ホストから同じユーザ名でアクセスするには何を共通化しなければならないか？ 6. NFSのセキュリティ機能を強化した分散ファイルシステムの例をあげよ． 7. Webアクセスを拡張した分散ファイルシステム 8. インターネット上にP2Pが作るネットワークは何？ 9. すべてのP2P方式では中央サーバは存在しないか？ 10. DNSの日本の大本はどこ？ 11. DNSレコードでメイルの配送先を書くのは？ 12. 家庭からのインターネット接続のようにIPアドレスが毎回変わる場合に対応できるDNSは何？ 13. Sendmail, postfix, qmailなどは何とよばれるか？ 15. ユーザが多い場合にはどのメイル受信プロトコルを用いるのがよいか？ 16. 最近のユーザ認証するメイル送信のプロトコルは何か？ 17. チャレンジ-レスポンス認証で乱数を発生するのはどちらか？ 18. Webの通信路暗号化手法でよく用いられるものは何か？ 19. 忙しいときほどシステムに不具合が生じる確率が上がるというのは迷信か？ 20. Unixでのバックアップは理想的には何モードを利用すべきか？ 21. 近年大容量化したファイルシステムのテープによるバックアップが流行らない理由は？ 22. メイルサーバが停止していたときに到着したメイルはどうなるか？ 23. ハードウェアでファイルシステムを多重化する技術を何というか？ 24. 上記で性能も向上する技術を何というか？ 25. 上記の技術のみ適用した場合，性能向上と信頼性との関係はどうなるか？ 26. Webの動的コンテンツをクライアントサイドで支援する技術の例をあげよ． 27. Servletはどちらの動的コンテンツ支援技術か？ 28. CGIで最もよく利用されたプログラミング言語は？ 29. 上記のペアに近年おきかわってきた技術は何か？ 30. この変化の原因をあげよ． 31. デファクトになりつつあるWebサービスの記述言語をあげよ． 32. オブジェクト指向のRPCを何というか？ 33. SOAPのスタブ生成に利用される技術は何か？ 34. SOAPの通信ポートは何と何が利用されるか？ 35. Webサービスの隆盛はインターネット上の何に左