TCP/IPとイーサネット
IPアドレス 通信先ホストが同一ネットワークにいるかいないかが判断できる 効率的にIPアドレスを使用できる メリットがある
DHCP
DNS IPアドレスの名前解決をするのが、DNS(ドメインネームシステム)サーバ 。
TCPとUDP
NIC eth0 等で表されるのがネットワークインタフェース。NICにはMACアドレス という、NICを識別するための番号がついているネットワークインタフェース は、広くネットワークの窓口を指している
ゲートウェイ 接続ポイント であるといえるデフォルトゲートウェイといった場合のゲートウェイは、狭義のゲートウェイであり、ルータとほぼ同義となる。
MACアドレステーブルとARPテーブル
スタティックNAT、ダイナミックNAT、NAPT
スタティックNAT
ダイナミックNAT
NAPT(IPマスカレード)
pingコマンド
ping ターゲットターゲットにデータを送り、返答が戻るまでの時間を表示する
通信が可能かどうか調べるのに使ったりする
-cオプションをつけると、pingを発行する回数を指定することができるオプションなしだと無限に発行し続ける、Ctrl+Cで終了する
tracerouteコマンド
traceroute ターゲットターゲットや、その途中で通過するゲートウェイへデータを送って、ゲートウェイから返答が返ってくるまでの時間を表示する
どこのゲートウェイまで行けてるのか調べるのに使うことがある
minimalインストールしたり、vagrantのboxに入っていなかったりするから、その場合はインストールする必要がある
pingやtracerouteは、セキュリティ面の考慮から、必要ない場合は応答しない設定にする
ネットワークインタフェースに対するハードウェアスペックやファームウェア(*)、リンク状態、リンクスピードなどの確認や、ethtoolコマンド
ethtool オプション インタフェース名
インタフェースの情報を確認する
オプションは、-iでファームウェアのバージョン等を表示
仮想ネットワークインタフェースの場合は、多くの情報が取得できない場合がある
*ファームウェアとは、コンピュータに内蔵されるソフトウェアの一種で、回路などの基本的な制御をつかさどるもの。ROMに内蔵される
なんか通信がうまくいってない時に、原因がルーティングにあることが、よくある
netstatコマンド
本来は、ネットワークに関する様々な状況を表示してくれる コマンド(network statistics)
ルーティングを調べるのにも使うことができ、routeとした時とnetstat -nrとした時の表示がほぼ一緒
オプションは、
-rでルーティング(ゲートウェイへの流れ)を表示する
-aですべてのサービスを表示
-nでIPアドレスを数値で表示する
-tでTCPソケットを表示する
-uでUDPソケット表示
-iでネットワークインタフェースの統計情報を表示(各インタフェースのパケット転送量を表示)
-lで状態が接続待ち(LISTEN)状態にあるソケットのみ表示する
**netstat -tnlp**として使うことが多い(LISTEN状態のTCPをポート番号込みの、IPは数字で表示)
cf) ipコマンド
routeコマンド
route add [-net|-host] ターゲット [netmask サブネットマスク] [インタフェース]
このコマンドでルーティングに経路を追加できる
ターゲットには、-netを追加した場合はネットワークアドレスを、-hostの場合にはホストアドレスを宛先として指定
サブネットマスクを省略した場合、ターゲットに設定したアドレスから判別されるマスク値が設定される
インタフェースを省略すると、カーネルが自動的に最適なデバイスを設定する
route add default gw ターゲット [インタフェース]
default gwとすると、デフォルトゲートウェイ(適切な経路がほかにない場合のゲートウェイ)をルーティングに追加
route del [-net|-host] ターゲット [netmask サブネットマスク] [インタフェース]
delを指定すると、ルーティングから経路を削除する
routeとしてオプションをなしにすると、ルーティングを表示する(netstat -nrとほぼ同じ)
cf) ipコマンド
ipコマンドは、ネットワークにおける操作全般を扱うことができる
IPアドレス、MACアドレスの確認(= ifconfig)
ルーティングテーブルの確認(= route, netstat -nr)
ARPテーブルの確認(= arp)
ip neighbor(neighでも可) show
DNSとは、Domain Name Systemの略で、IPアドレスとドメイン名を紐づけるシステム
定義ファイルを使う
DNSを使う
かの二つが考えられる/etc/nsswitch.conf という設定ファイルで指定するを参照し、DNSを使う場合には /etc/resolv.conf**を参照してDNSサーバを使う
/etc/nsswitch.conf hosts：という所があり、これに続くのがファイルとDNSの優先順位hosts: files dnsだった場合には、まず/etc/hostsを参照して、解決しなかった場合にDNSを使うということ
/etc/resolv.conf DHCPサーバに設定されている
この、/etc/resolv.confは、直接編集するのはNG /etc/sysconfig/network-scripts/ifcfg-eth0 に、DNS1=192.xxx.xxx.x``DNS2=192.xxx.xx.xxと追記すると、ネットワークインタフェースが有効になる際に/etc/resolv.confが設定される
/etc/hosts IPアドレス 名前(FQDN) ホスト名で、1行に1つの定義を記述する
nslookupコマンド www.xyz.co.jp)を使うことができる nslookup xxx.co.jp → xxx.yyy.zzz)nslookup xxx.yyy.zzz → xxx.co.jp)
TCP/IPにおいては、IPアドレスでどこのPC(ノード)かはわかるが、そのPCのどのサービスにアクセスするかまでは指定できないどのサービスかを指定するのが、ポート番号
WELL KNOWN PORT NUMBERS(一般的なポート番号) → 0-1023
REGISTERED PORT NUMBERS(登録済みポート番号) → 1024-49151
DYNAMIX AND/OR PRIVATE PORTS(自由に利用できるポート番号) → 49152-65535
サーバで使われる主なポート番号は以下の通り
ポート番号
サービス
20
FTP(データ)
21
FTP(制御)
22
SSH
23
Telnet
25
SMTP
53
DNS
80
HTTP
443
HTTPS
たとえば、SSHが22番だということは皆知っているので、アタックされやすい
TCPラッパー と、アクセスを許可する /etc/hosts.allow**の二つのファイルが必要サービス名 : 適応するネットワークやIPアドレス、ホスト名、ドメイン名などのクライアントのリストという書式で記述:で区切ると、制限に引っかかる場合に実行するシェルスクリプトを記述できるdenyのファイルですべて不可にしてから、allowで必要なサービスを開放すると安全
ファイアウォール(パケットフィルタリング)の設定 iptablesコマンドを使う(管理者権限)
iptalesコマンド
ファイアウォールの設定に使う
-Lオプションで引数なしにすると、現在のファイアウォール設定を表示 してくれる
iptablesの設定ファイル(/etc/sysconfig/iptables)
コマンドではなく、設定ファイルをいじると、サービス起動時に設定される
service iptables start/stop
iptables-save
iptablesコマンドの設定を、iptablesコマンドのオプションの形式で表示しつつ保存する
service iptables save
service iptables reload
ファイルを直接変更した場合に、その変更を適用するときにリロードするコマンド
restartでもできるが、プロトコルによっては、iptablesの追加モジュールを使用している場合があり、restartすると接続が切れるreloadだと接続を切らずに適用できる
iptables -A チェーン 条件 -j ターゲット
コマンドでの設定の基本的な書式の一例(-Aは追加、-Dだと削除、-Rで置き換え)
チェーンにはINPUT(受信パケット)やOUTPUT(送信パケット)を
条件にはさまざまなパラメータを使用する
ターゲットにはACCEPT(許可)やDROP(破棄)などを指定
チェーン
説明
INPUT
受信パケット
OUTPUT
送信パケット
FORWARD
フォワードするパケット
PREROUTING
受信時に変換するチェーン
POSTROUTING
送信時に変換するチェーン
ターゲット
説明
ACCEPT
パケットの通過を許可
DROP
パケットを破棄
REJECT
パケットを拒否し、ICMP(pingにも使うプロトコル)で通知
LOG
パケットの情報をsyslogに出力
パラメータ
説明
-p
プロトコル指定
-s
送信元アドレスを指定
-d
宛先のアドレスを指定
--sport, --dport
送信元、宛先のポートを指定
-j
ルールにマッチした場合の移動先をターゲットとする
iptablesのルールは設定された順番に適用される。
また、iptablesの設定をGUIで行えるツールがあるsystem-config-firewall-tui
networkサービスとNetworkManager CentOS上のネットワークの管理は、networkサービスおよびNetworkManagerサービスで行う
networkサービスは、Linuxで従来から使われているネットワーク管理の仕組み
一方、NetworkManagerは、Linuxにおけるネットワークの管理を抽象化して新たに作った仕組み
*D-busとは、アプリケーション間で通信を行う時に使用するもの
CentOS6では、NetworkManagerを標準で利用しているがあ、Minimalインストールや、NetworkManagerに非対応のアプリケーションでnetworkサービスを使いたい場合、これ等をいじることがある
**chkconfig**コマンドは、ランレベルに応じて、サービス(デーモン)の自動起動の有効・無効を操作するコマンドchkconfig サービス on/offとするchkconfig --listとすると、自動起動するサービスをランレベル別にリスト表示する
ランレベル とは、LinuxOSの動作モードを表す
ランレベル
説明
0
システムが停止した状態
1
シングルユーザモード(セーフモード)。rootでしかログインできない。サーバにトラブルがあった時、コンソールでのトラブル対応時に利用する
2
NFSマウントなしのマルチユーザモード
3
X Windows以外のデーモンのほとんどを起動する動作モード
4
未使用
5
X Windowsのデーモンも起動する
6
システム再起動時
DHCPは、IPアドレスを自動的に取得するためのプロトコル
*DHCPサーバは、同一ネットワークセグメント内に1つだけ設置すること
DHCPサーバのインストール → yum install dhcp
DHCPサーバの設定をいじる → /etc/dhcp/dhcpd.conf
DHCPサービスの開始 → service dhcpd start
DHCPサービスの起動時の自動有効化 → chkconfig dhcpd on
DHCPサーバ設定ファイルの編集
/etc/dhcp/dhcpd.confにはインストール直後はコメントしかない
ddns-update-style none;
↓ ネットワークアドレスとマスクの設定(ネットワークアドレスとマスクは、サーバ自身のネットワークと一致させなければならない)
subnet 192.xxx.xxx.xx netmask 255.255.xxx.xx {
range 192.168.0.200 192.168.0.254; ← 何番から何番までの範囲で割り当てるか
option routers 192.xxx.xxx.xx; ← デフォルトゲートウェイ(ルータ)の指定
option domain-name-servers 192.168.xxx.xx, 192.xxx.xxx; ← DNSサーバの指定
default-lease-time 18000; デフォルトの貸出時間(秒)を指定
max-lease-time 36000; 最大の貸出時間(秒)を指定
}
以下、特定のクライアントに固定のIPアドレスを割り当てる設定
host client1 {
hardware ethernet FA:XX:YY:ZZ:SS; ← 物理(MAC)アドレス
fixed-address 192.168.zzz.zzz; ← 割り当てる指定IPアドレス
}
リース時間が過ぎるとDHCPクライアントはDHCPサーバに対してIPアドレスの再要求を行う
また、DHCPクライアントの方では、ネットワークインタフェースの設定ファイルにBOOTPROTO=dhcpとしなければならない
ネットワークの有効化やホスト名などの情報→/etc/sysconfig/network
静的な名前解決→/etc/hosts
参照DNSファイル→/etc/resolv.conf
ネットワークインタフェース設定(DNS情報含む)→/etc/sysconfig/network-scripts/ifcfg-xxx
名前解決(参照優先順設定)→/etc/nsswitch.conf
ポート番号とサービスの対応リスト→/etc/services
プロトコル定義ファイル→/etc/protocols
iptables(パケットフィルタリング)→/etc/sysconfig/iptables
DHCPサーバ設定→/etc/dhcp/dhcpd.conf
DHCPサーバが提供しているIPアドレス一覧→/var/lib/dhcpd/dhcpd.leases
