iptablesのnatテーブルとはなんぞや
やっとiptablesのnatテーブルがわかった。
いままで、名前の通り、nat的なことをしているんだろうってことはわかっていたし、
書かれている内容もsnatなら送信元アドレスの書き換えかとか、単語から意味を理解してた。
google先生に聞いて、真似すれば書けるし、読みもできる。ただ、漠然としていた。
言うなれば、英単語を知っているから、英文法を知らなくても、英語の文章が何となく理解できる感じ。
それが以下の記事の一言をみて、すっと腑に落ちた。
「NATとはパケット中のIPアドレスを書き換える技術です」
習うより慣れろ！ iptablesテンプレート集（2）：natテーブルを利用したLinuxルータの作成 (1/6) - ＠IT
当たり前やろって思われる方もいるかもしれないけれど、この一言でなんか納得がいった。
送信元のアドレスや送信先アドレス、はたまた送信先ポートとか、なんか通信をいじろうと思ったら、NATテーブルに書けばいいのかと。
-j のターゲットオプションのところで、送信元アドレスを書き換えたければSNATを指定、送信先ならDNAT、送信元ポートなら--sportという風に指定してあげればよい。
アドレスとポートの両方同時も以下のように書けばいけそう。
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1:8080
POSTROUTINGとかPREROUTINGとかの-Aオプションは理解にちょっと癖があるけど、L3スイッチのACLとかと同じ感じかな。
iptablesを一つのスイッチとみなして、通り抜ける前ならPREROUTING。通り抜けた後ならPOSTROUTINGだし、ホストから自発的に発生した通信がOUTPUTかな。
そのほか、iptablesへの書き方とは、以下のサイトがわかりやすかったと思うので、メモ！
ゼロから始めるLinuxセキュリティ（4）：Linuxで作るファイアウォール［NAT設定編］ (1/2) - ＠IT
gdb で Missing separate debuginfos, use: debuginfo-install glibc-2.12-1.149.el6.x86_64 のエラー
珍しく、Cでちょっとしたプログラムを書いて、gdbでデバッグしようとしたら、以下のエラー
Missing separate debuginfos, use: debuginfo-install glibc-2.12-1.149.el6.x86_64
gdbから抜けて、rootで「debuginfo-install glibc-2.12-1.149.el6.x86_64」を実行すればよいと記事があったので、実行してみるも以下のエラー。
Could not find debuginfo for main pkg: glibc-2.12-1.149.el6.x86_64 Could not find debuginfo pkg for dependency package glibc-2.12-1.149.el6.x86_64
このエラーが出た時は、/etc/yum.repos.d/CentOS-Debuginfo.repo の enbledを0から1 ( 無効から有効 )にしてあげればよいらしい。
[root@dev001 C]# cat /etc/yum.repos.d/CentOS-Debuginfo.repo | grep enable enabled=1
このあと、再度「debuginfo-install glibc-2.12-1.149.el6.x86_64」を実行すれば、無事にパッケージがインストールされ、gdbが通るようになりました。 私はCentOS-Debuginfo.repo自体を消していたので、他のサーバから持ってきました。。 同じような方のためにメモ
[root@dev001 C]# cat /etc/yum.repos.d/CentOS-Debuginfo.repo [debug] name=CentOS-6 - Debuginfo baseurl=http://debuginfo.centos.org/6/$basearch/ gpgcheck=1 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-Debug-6 enabled=1
yum の エラー
ローカル環境をいじっているときに何気なくyum updateしてみたら、エラーが。。。 yumの設定はdefaultのcentのリポジトリ。
Could not retrieve mirrorlist http://mirrorlist.centos.org/?release=6&arch=x86_64&repo=os error was 14: PYCURL ERROR 7 - "couldn't connect to host"
あれ？なんか変な風にいじったままだったかなぁと思い、rikenのリポジトリに変更してみてもエラー。
http://ftp.riken.jp/Linux/centos/6/os/x86_64/repodata/repomd.xml: [Errno 12] Timeout on http://ftp.riken.jp/Linux/centos/6/os/x86_64/repodata/repomd.xml: (28, 'connect() timed out!') Trying other mirror. Error: Cannot retrieve repository metadata (repomd.xml) for repository: base. Please verify its path and try again
rikenもダメだったので、クライアント側がおかしいと判明。 ダメ元でiptablesを落としてみたら、yum listが通った。。 ログを確認するとがっつり弾いていたみたい。
Apr 18 18:08:36 vm01 kernel: IPTABLES_INPUT_LOG : IN=br0 OUT= MAC= SRC=134.160.38.1 DST=192.168.1.10 LEN=60 TOS=0x00 PREC=0x00 TTL=52 ID=0 DF PROTO=TCP SPT=80 DPT=36410 WINDOW=5792 RES=0x00 ACK SYN URGP=0 Apr 18 18:08:44 vm01 kernel: IPTABLES_INPUT_LOG : IN=br0 OUT= MAC= SRC=134.160.38.1 DST=192.168.1.10 LEN=60 TOS=0x00 PREC=0x00 TTL=52 ID=0 DF PROTO=TCP SPT=80 DPT=36410 WINDOW=5792 RES=0x00 ACK SYN URGP=0
たしかにping以外はローカルしか通してないけど、応答はOKだと思っていたんだけどなぁ。。。 iptablesの設定かな。
ググったら以下のような記事が。
デーモンごとにulimitで設定した値を確認する
忘れないようにメモ。
あるデーモンにulimitを設定したい場合、起動スクリプトにulimitを記載する。
これでデーモン起動時にどうしたら値が設定されたことを確認できるかなーって話。
ユーザだったらulimit -nとか叩けば値が返ってくるのだろうけど。
答えは/proc/pid/limitsをcatすればわかった。
/etc/init.d/mysqlにulimit -n xxxとか追記。
どの場所に追記すれば良いか試してないけど、startとかする前でよいと思われ。
ちなみにulimitの参考は以下から。
Linuxコマンド集 - 【 ulimit 】 コマンドに割り当てる資源を制限する：ITpro
★あげる前
[root@mysql001 user]# cat /proc/1088/limits | grep "open files"
Max open files 5000 5000 files
★結構先頭のほうに追記してみた
[root@mysql001 user]# grep -n -C 3 ulimit /etc/init.d/mysql
42-
43-# If you change base dir, you must also change datadir. These may get
44-# overwritten by settings in the MySQL configuration files.
45:ulimit -n 10240
46-
47-basedir=
48-datadir=
★あげた後
[root@mysql001 user]# /etc/init.d/mysql restart
Shutting down MySQL.. SUCCESS!
Starting MySQL. SUCCESS!
[root@mysql001 user]#
[root@mysql001 user]# ps axuf | grep mysql
root 1431 0.0 0.0 107456 912 pts/0 S+ 23:57 0:00 \_ grep mysql
root 1294 0.0 0.1 106192 1504 pts/0 S 23:57 0:00 /bin/sh /usr/bin/mysqld_safe --datadir=/var/lib/mysql --pid-file=/var/lib/mysql/mysql001.pid
mysql 1407 2.0 44.4 1077948 453928 pts/0 Sl 23:57 0:00 \_ /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --plugin-dir=/usr/lib64/mysql/plugin --user=mysql --log-error=/var/lib/mysql/mysql001.err --pid-file=/var/lib/mysql/mysql001.pid
[root@mysql001 user]#
[root@mysql001 user]# cat /proc/1407/limits | grep "open file"
Max open files 10240 10240 files
反映されたことが確認できたよー！
Macでansible sshできない解決編
ansible.cfgの書き方がわかった。
以下のサイトを参考。
https://raw.githubusercontent.com/ansible/ansible/devel/examples/ansible.cfg
[default] を頭につければよいみたい。
よし、実行。
ansible -i inventory vm001.example.local -m ping
vm001.example.local | FAILED => SSH encountered an unknown error during the connection. We recommend you re-run the command using -vvvv, which will enable SSH debugging output to help diagnose the issue
あれ？やっぱり鍵認証をしているみたい。。。
よくよく調べると以下のオプションをつければ、パスワード認証になるみたい。
--ask-pass
よし！再実行！
ansible -i inventory vm001.example.local -m ping --ask-pass --ask-sudo-pass
SSH password:
vm001.example.local | FAILED => to use the 'ssh' connection type with passwords, you must install the sshpass program
むーおかしい。
さらに調べると以下のような記事が。
Ansible OS X Mavericks You Must Install the sshpass Program
OS X だと、sshpassがないんだね。
ブログにそって、sshpassをインストールし、実行するとようやくできた〜。
疲れた。。。
ansible -i inventory vm001.example.local -m ping --ask-pass
SSH password:
vm001.example.local | success >> {
"changed": false,
"ping": "pong"
}
Macでansibleをやってみたけど
ansibleの簡単な講習をうけたので、ぜひ使おうということで、Macに入れてみた。
インベントリファイルに記載して、いざ実行。
ansible -i inventory dev001.example.local -m ping
The authenticity of host 'dev001.example.local (192.168.1.100)' can't be established.
RSA key fingerprint is 22:85:51:e4:1f:64:1d:05:75:04:2e:ed:d3:62:1f:4e.
Are you sure you want to continue connecting (yes/no)? yes
dev001.example.local | FAILED => SSH encountered an unknown error during the connection. We recommend you re-run the command using -vvvv, which will enable SSH debugging output to help diagnose the issue
あれ？おかしい。
どうもデフォルトではクライアントのいまのユーザ名で接続して、ダメだったら.sshを見に行ってカギを使ってる？
ansible.cfgをつくってないからかなー。デフォルトは/etc/配下だって書いてあるサイトがあったけど、うちのMac上はない。
仕方ないから、よくわからないけど、手で作ってみた。
cat ./ansible.cfg
remote_user=testuser
これだけのファイル。
実行してみたら、以下のエラーがでた。。。。。
ConfigParser.MissingSectionHeaderError: File contains no section headers.
やっぱりansible.cfgの書き方が悪いみたい。。
うちのMacにはデフォルトのansible.cfgは入ってないみたいだし。
だれか、デフォルトのansible.cfgの全文をください。。
