Cracking Kubernetes Node Proxy (aka kube-proxy)
Cracking Kubernetes Node Proxy (aka kube-proxy) Published at 2019-11-30 | Last Update 2021-02-03 TL; DR This post analyzes the Kubernetes node proxy model, and provides 5 demo implementations (within couples of lines of code) of the model based on different kernel infrastructures (userspace/iptables/ipvs/tc-ebpf/sock-ebpf). Related posts: Cracking Kubernetes Node Proxy (aka kube-proxy) Cracking Ku
KubernetesのServiceの動きを調べてみた - GMOインターネットグループ グループ研究開発本部
こんにちは。次世代システム研究室のM.Mです。 現在、Kubernetes, Docker構成で作られたWebアプリの開発を担当しているのですが、そのWebアプリの開発ではあまり環境構築周りを担当していなかったため、Kubernetesについてあまり理解できていませんでした。 そして今回、古くなった他のWebアプリをKubernetes, Docker構成に移行するプロジェクトを担当することになり、現在担当しているWebアプリのKubernetesの設定を確認しつつ理解を深めていくことにしました。 まず気になっていたKubernetesのServiceについて調べてみることにしました。 今回、利用しているのはNodePort Serviceです。 目次 KubernetesのServiceの何が気になっていたのか？ Serviceの動きについて Serviceの動きの制御について Kube
IPVS (LVS/NAT) とiptables DNAT targetの共存について調べた - ntoofu
2019-05-02 TL;DR IPVSはデフォルトでconntrack(標準のconnection tracking)を利用しない そのせいでIPVSに処理させるパケットをNATしたりすると期待通り動かないことがある 必要があれば /proc/sys/net/ipv4/vs/conntrack (net.ipv4.vs.conntrack) を設定しよう 背景 iptablesの DNAT targetと IPVS(LVS/NAT構成)を共存させると上手く行かない PREROUTING chainにおいて REDIRECT target によりポート番号をIPVSのvirtual serviceのものに変換するように設定した場合, REDIRECTされるポートに対し接続すると, 戻り通信(SYNに対するSYN+ACK)の送信元ポートがvirtual serviceのものになる（期待され
Make: Japan | Raspberry Piを攻撃から守るための手順
2017.09.15 Raspberry Piを攻撃から守るための手順 Text by Justin Klein Keane and Tom Van de Wiele Translated by kanai Raspberry Piは、あらゆるプロジェクトに使える夢のボードだ。安くて、簡単に使えて、さまざまなOSに幅広く対応していて、プログラム可能なGPIOピンやマルチコアのCPUや複数のUSBポートも備えている。 何かを自動化したり情報を集めたりといったプロジェクトに非常に適しているRaspberry Piだが、気をつけていないと、その可愛いボードを使った簡単な趣味のプロジェクトが、ネットワークへの侵入口になるなどのセキュリティホールになってしまう恐れもある。Raspberry Piには、ARM Trustzoneと違ってセキュアブートの機能がない。SDカードやOSは簡単には暗号化できな
[wip] Raspberry Piのセキュリティを高めてみた - Qiita
はじめに Raspberry Piをレンタル機材として貸し出すとき、いたずらされても影響が出ないようにしつつも、メンテナンスするときには調整できるようにするにはどうすればいいか考えてみた。 Linux側 設定 - SSH編 前提事項 セットアップ時、多くはLAN+NAT環境内でセットアップしていると思います。そのため直接Raspberry Piにグローバルアドレスが割り当てられることは無いとはずです。いきなりDMZエリア内に設置とかしてしまうと、何があるかわからないので辞めましょう。 まずは、閉じたネットワークかUSBでデータをコピーする方法などで、データが漏洩しないように気をつけます。 デフォルトユーザー:piのパスワードを変更する $ passwd Changing password for pi. (current) UNIX password: ← 今まで使用していたパスワード E
![[wip] Raspberry Piのセキュリティを高めてみた - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/50861e930c592ec048d8b741ec370e78426ec7a7/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-9f5428127621718a910c8b63951390ad.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTkxNiZoPTMzNiZ0eHQ9JTVCd2lwJTVEJTIwUmFzcGJlcnJ5JTIwUGklRTMlODElQUUlRTMlODIlQkIlRTMlODIlQUQlRTMlODMlQTUlRTMlODMlQUElRTMlODMlODYlRTMlODIlQTMlRTMlODIlOTIlRTklQUIlOTglRTMlODIlODElRTMlODElQTYlRTMlODElQkYlRTMlODElOUYmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT01NiZ0eHQtY2xpcD1lbGxpcHNpcyZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPTM5YjZlMDcyMzgxNDZkYTIyZjljNzMwNDQ3YzE0YWNh%26mark-x%3D142%26mark-y%3D112%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTYxNiZ0eHQ9JTQweXlhbm8mdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPWE5MmFiMTJkMTcyMWE4NzM0MjE1ZGFjN2EwYjZkNjZk%26blend-x%3D142%26blend-y%3D491%26blend-mode%3Dnormal%26s%3D2401493891bdaf65c8069119cc01f8b3)
Linuxのiptablesによるパケットフィルタリング入門 - oneのはてなダイアリー
概要 1. iptablesとは 1-0. iptablesの機能 1-1. iptablesの動作確認 1-2. 設定されているiptablesを確認する 1-3. 押さえるべき用語 1-4. テーブル 1-5. チェイン 1-6. ルーティングと各チェインの関係 1-7. ターゲット 2. iptablesの基本操作 2-1. ルールを全て削除する 2-2. ルールを追加する 2-3. ルールを削除する 2-4. ルールを挿入する 2-5. 設定詳細を見る 3. iptablesの設定 3-1. /etc/init.d/iptables 3-2. /etc/sysconfig/iptables 3-3. /etc/sysconfig/iptables-config 1. iptablesとは 1-0. iptablesの機能 iptablesとはLinuxカーネル(バージョン2.4以降
natテーブルを利用したLinuxルータの作成
はじめに 今回は、iptablesのnatテーブル（関連記事）を使ったNATおよびNAPT機能を解説します。こうした機能を使えばパケットのIPアドレス情報を書き換えることができます。つまりiptablesを駆使すれば、市販されているブロードバンドルータと同等、またはそれ以上のルータを作り上げることができるのです。 関連リンク →Linuxで作るファイアウォール［パケットフィルタリング設定編］ http://www.atmarkit.co.jp/flinux/rensai/security05/security05a.html →連載記事 「習うより慣れろ！ iptablesテンプレート集」 http://www.atmarkit.co.jp/flinux/index/indexfiles/iptablesindex.html →連載記事 「習うより慣れろ！ iptablesテンプレート集
Linuxにおける新たなパケットフィルタリングツール「nftables」入門 | さくらのナレッジ
たとえば、かつてiptablesで設定していたIPv4に関連するパケットフィルタリング設定は、nftablesにおいては「ip」というアドレスファミリに紐付けたテーブルを作成することで設定できる。同様に、ip6tablesやarptables、ebtablesで設定していたものはそれぞれ「ip6」や「arp」、「bridge」というアドレスファミリに紐付けたテーブルで設定する。 「inet」「および「netdev」アドレスファミリはnftablesで新たに導入されたもので、まず「inet」はIPv4およびIPv6の両方を対象にした設定を行えるアドレスファミリだ。従来IPv4とIPv6の両方にまたがったフィルタリングルールを設定したい場合はiptablesとip6tablesの両方で同じようなルールを追加する必要があったが、nftablesではinetアドレスファミリで指定することで単一の設
【丁寧解説】Linuxファイアウォール iptablesの使い方
Linuxでもファイアウォールを設定したいことは多々ある。 むしろ企業でサーバーとして利用されることから、パーソナルコンピュータよりも気をつかいたいところだ。 このページでは、Linuxでファイアウォールを設定するiptablesについてお伝えする。 ファイアウォールとは？ 一般的には「防火壁」という意味だ。火事の炎を遮断して延焼を防ぐことになぞらえている。 コンピュータネットワーク関連では、ホスト自身やネットワークとネットワークの間に設置され、許可されてないパケットなどを遮断しセキュリティ向上を図るものだ。 最も一般的な例を挙げるとWindowsファイアウォールや、ルーターに内蔵されているパケットフィルタなどである。 今回Linuxで一般的に使われているパケットフィルタiptablesを紹介する。 iptablesとは？ iptablesとは一般的なLinuxに搭載されているパケットフィ
iptablesを置き換えるBPFをコンテナネットワークに使うCilium | Think IT（シンクイット）
iptablesの課題を解消し、高速で安全な通信を実現するCiliumとはなにか？ KubeConでのプレゼンテーションをベースに解説する。 コンテナを用いたクラウドネイティブなシステムに移行しようとすると、従来の仮想マシンベースのシステムよりも粒度の細かいコンテナワークロードをオーケストレーションする必要がある。昨今Kubernetesが注目されているのは、そのためだ。その際にコンテナ間のネットワークをどのように構成するのか？ は、インフラストラクチャーエンジニア、ネットワークエンジニア双方にとって頭が痛い問題である。特に多くのコンテナが連携するシステムであれば、コンテナ間のトラフィックを遅延なく通信させることが重要になる。 またIstioのように、サービスメッシュとしてPodの中にProxyをサイドカーモードで構成する場合、コンテナとProxyの間にも通信が発生し、ますますオーバーヘッ
Why is the kernel community replacing iptables with BPF?
Apr 17, 2018Why is the kernel community replacing iptables with BPF? Author Note: this is a post by long-time Linux kernel networking developer and creator of the Cilium project, Thomas Graf The Linux kernel community recently announced bpfilter, which will replace the long-standing in-kernel implementation of iptables with high-performance network filtering powered by Linux BPF, all while guarant
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
