NIC二枚挿しによるネットワーク分割はなぜ危ないのか：NIST SP800-82より考察
NECサイバーセキュリティ戦略本部セキュリティ技術センターの日下部です。 エンジニアの方にとって、システムのネットワーク構成を設計する機会は多々あるかと思います。 ネットワーク構成を検討する際、機器の役割や設置場所によって異なるネットワークアドレスを付与するネットワーク分割を実施することになります。ネットワーク分割の方法はファイアウォールやルータといった装置での分割の他に、サーバやPCに二枚のNIC（Network Interface Card）を使用してネットワークを分割するいわゆる”NIC二枚挿し”という方法もあります。しかし、この方法はセキュリティ上推奨しないという考え方があります。 本記事では、セキュアな産業制御システム（ICS : Industrial Control System）を構築するためのガイドであるNIST SP800-82を参考にNIC二枚挿しによるネットワーク分割
EC2上でのTCP Segmentation OffloadのOff - Qiita
でTSOを無効にした所Dropしなくなった。 この辺を見る限り、Xen側のドライバの問題の模様。 NIC側のOffloadが使えなくなったのでその分遅くなるかもしれないが、ベンチマーク上の処理件数には明確な違いはないのでいいかという感じ、というかバグが治るまではこれで行くしかなさそうかな。
CentOS 7のネットワーク管理基礎（前編）
今回は、CentOS 7のネットワーク設定について取り上げます。新しい設定ツールの登場や、従来のCentOS 6まで慣れ親しんだネットワーク関連の基本的なコマンド群の使用が非推奨になるなど、様々な変更点があります。CentOS 7から一新されたネットワークの具体的な設定手順、Tips等をご紹介します。 CentOS 7におけるネットワーク管理では、NetworkManagerによって行います。CentOS 6系では、Network Administration Toolに含まれるsystem-config-networkを使った管理やファイルを直接編集する運用形態が一般的でしたが、CentOS 7では、NetworkManagerを使った管理手法が推奨になりました。従来のNetworkManagerは、全てのネットワーク機能を制御できるわけではなかったため、/etc/sysconfig/n
切断された北朝鮮インターネットの規模:Geekなぺーじ
Dyn Research(旧renesys)が、約9時間半にわたり北朝鮮がインターネットから切断され続ける状態が続いていたというブログ記事を公開しています。 Dyn Research: Someone Disconnects North Korea - Who? 同記事では、実際にどのような理由でインターネットの接続性が不安定になったのかは不明であるとしています(BGPmonは、DDoS攻撃が原因であるとしています。参考)。 公開情報からわかる北朝鮮インターネットの規模 各種公開情報から、北朝鮮がどのような規模のネットワークを運用しており、どうやってインターネットに接続しているのかを見てみましょう。 まず、最初に、どれだけの数のネットワークが「北朝鮮」という国籍でインターネットに接続しているのかを調べてみましょう。いくつか調べる方法はありますが、今回はわかりやすく情報をまとめてあるHurr
DMM inside
日本アニメ初の快挙！海外アニメ賞を受賞した『スキップとローファー』海外ライセンス部長&プロデューサーが語る、奮闘の舞台裏
イーサネットはツリー型からファブリック型へ進化する。ブロケードがファブリック対応の大型スイッチ発表
イーサネットで構築されるネットワークの姿が大きく変わろうとしています。これまでのイーサネットはループ構造になってはならないという制限がありました（ループがあると信号がそこをぐるぐる回り出してネットワークを機能不全にするため）。 そのためイーサネットのネットワークは一般的にはツリー構造で構築され、耐障害性を高めるためにそのツリーを二重化した上で、その半分はスパニングツリーによって待機状態になっている、というのが一般的なデータセンターにおける構成でした。ブロケード・コミュニケーションズ・システムズのスライドから引用します。 しかしこのネットワーク構成は、仮想マシンがサーバからサーバへとライブマイグレーションするような横方向のトラフィックをさばくのは得意ではなく、サーバ仮想化が一般化した現在のデータセンターには不向きだと考えられるようになっています。 そこで最近注目されているのが「イーサネットフ
プログラミング言語同士がどう影響を与え合っているのかを示した相関図
世の中には数千種類のプログラミング言語がありますが、その多くは何らかのプログラミング言語から影響を受けてできており、また、自身も他のプログラミング言語に影響を与えています。その関係を1つのマップ上に落とし込んだ相関図が「Programming Languages Influence Network」です。 Programming Languages Influence Network | Exploring Data https://exploring-data.com/vis/programming-languages-influence-network/ まるで星のように見えている点がそれぞれ1つのプログラミング言語を表しています。たとえば「Lisp」にマウスオーバーすると、このように関連する言語までのラインが表示されます。このうち、オレンジ色は「影響を受けた言語」、青色は「影響を与え
IPv6 IPoE接続事業者数が3から最大16に拡大へ:Geekなぺーじ
これまで、BBIX、JPNE、インターネットマルチフィードの3社だったIPv6 IPoE接続事業者が、最大16に拡大されるようです。 NTT東日本 報道発表：次世代ネットワーク（NGN）におけるIPoE接続事業者数の拡大に係る接続約款変更の認可申請について NTT西日本 ニュースリリース：次世代ネットワーク（NGN）におけるIPoE接続事業者数の拡大に係る接続約款変更の認可申請について 今年の5月に総務省で開催された「IPv6によるインターネットの利用高度化に関する研究会（第18回）」当時は、IPv6 IPoE事業者(VNE)数は恐らく検討中だったものと思われます。 そのときには「数十」と発言した後に「十数」と言い直されていましたが、最終的には16となったようです。 これは結構大きな変化と言えそうです。 引き続き、今後の推移を見守りたいと思う今日この頃です。 関連 「マルチキャストを含めた
Ethernet over IRC | Today's HOGE(2012-09-08)
hogeとはワイルドカードのようなものです。日々起こった、さまざまなこと −すなわちワイルドカード− を取り上げて日記を書く、という意味で名付けたのかというとそうでもありません。適当に決めたらこんな理由が浮かんできました。 更新情報の取得には rdf か lirs を使ってもらえると嬉しいです． ■ [Py][Linux] Ethernet over IRC WebSocket で出来るなら IRC でもできるよね． ということで適当にやってみた． etherws 0.x のプロトコルハンドラを IRC 用にちょちょいと改造しただけ． Ethernet を IRC に乗せるにあたって目論んだのは以下の点． IRC にはチャンネルという概念があるので，チャンネルを 1 つのハブに見立て，これを使って network isolation を行う サーバには巷にある IRC daemon の実装
VMwareが「Software-Defined Datacenter」の実現を約束。VMworld 2012
VMwareが「Software-Defined Datacenter」の実現を約束。VMworld 2012 VMwareのイベント「VMworld 2012」がサンフランシスコで開幕しました。同社は仮想化市場のリーディングベンダの地位を活かし、クラウド市場でも主導権を握ろうと買収や製品展開を積極的に行っているところです。 基調講演では、4日後の9月1日に退任することが決まっているポール・マリッツ（Paul Maritz） CEOが登場し、次期CEOとなるパット・ゲルシンガー（Pat Gelsinger）への引き継ぎが壇上で行われました。 ゲルシンガー氏は、VMwareの次の目標がデータセンターを仮想化したSoftware-Defined Datacenterであることを示し、そのための戦略を解説しています。基調講演の模様をダイジェストで紹介しましょう。 ポール・マリッツ氏から新CEOの
400Gbpsか、1Tbpsか - IEEE、次世代イーサネットの規格検討へ - WirelessWire News（ワイヤレスワイヤーニュース）
急増するデータトラフィックへの対応を目的とした次世代イーサネット規格の検討がIEEE（Institute of Electrical and Electronics Engineers）のHSEC（Higher-Speed Ethernet Consensus）部会で進められることになるという。 大規模なデータセンター内やインターネットの幹線（バックボーン）を行き来するデータが急増するなか、これを処理するための帯域幅は「18ヶ月ごとにほぼ倍増」しているという。IEEEではこの前提に基づき、「2015年までに2010年比で10倍、また2020年には同100倍のトラフィックに対応できるだけの規格」を定めたい考えとする関係者の話を、この話題を採り上げたCNETは紹介している。 次世代規格についてはいまのところ、400Gbpsと1Tbpsの2つの案が有力視されているが、同部会ではそれぞれについて技
CentOS 6.2 で RPS/RFS を使ってネットワークの割り込み処理を複数コアに分散してみた - blog.nomadscafe.jp
以前(2010年)に「アプリケーションがマルチスレッドでもマルチコアCPUを活かせない件」というエントリにてCPUのコアが増えても割り込み処理が分散されないのでスケールされないと書いたけど、その後Linux KernelにRPS/RFSなる機能が追加され、割り込み処理が分散できるようになり、CentOS 6.2 でも使えるらしいので試してみました。 RPS/RFSについての紹介は VIOPS06で「RPS・RFS等最新Linux Kernel事例」と題してお話してきました http://d.hatena.ne.jp/syuu1228/20110722/1311322653 Linux内核 RPS/RFS功能详细测试分析 http://www.igigo.net/archives/204 が詳しい。2番目のはほぼ読めないけど、性能比較のグラフが分かりやすい。 今回試したサーバは、 OS: C
IPv4アドレス売買とドラクエＸ:Geekなぺーじ
今月2日に、スクェア・エニックスからドラゴンクエストＸが発売されました。 ドラクエＸはインターネットを利用するオンラインゲームですが、早速非常に多くの方々が楽しんでいるようです。 で、某メーリングリストでも、ドラクエＸに多少関連した話題が盛り上がっています。 その盛り上がりかたなのですが、某ISPからドラクエＸに接続できないというものです。 その原因として「IP Address GeoLocationによって、そのIPアドレスレンジが日本ではないと判断されちゃってるのでは？」という推測が現時点では有力なようです(現時点では、あくまで某メーリングリストでそういった予想がされているというだけです)。 ドラクエＸに限らず、おおまかな位置情報を推定するIP Address GeoLocationとオンラインゲームに関する話題はチラホラ目にすることがあります。 多少極端な事例ですし、ドラクエＸとは関
Winnyの金子氏が夢見る次世代高速ネットの世界 (1/5)
2011年、8年をかけた「Winny」裁判が終わった。渦中にいたのは「2ちゃんねる」では「47氏」と呼ばれていた金子勇氏だ。裁判後のインタビュー（関連記事）では、編集部の「これからどうしていきたいか？」という質問に「決めてないです」と答えていた金子氏であるが、着実に次のステップに進み始めている。 6月12日、Skeed社とデータホテルが業務提携して「CLOUD CONNECT」というデータセンター間を高速接続するサービスを展開すると発表（関連記事）したが、金子氏は現在、このSkeed社の社外取締役となっており、新たなプロダクトの開発に専念している。今回のインタビューでは、この金子氏とともに代表取締役社長である明石昌也氏も同席を願い、Winny事件をきっかけにできあがったというSkeed社や、事件の思い出、そして彼らが現在広めようとしている高速データ転送技術について尋ねてみたい。 Winny
ネットワーク機器の劇的な低価格化は進むか。マーチャントシリコンとソフトウェアによる仮想化
いまネットワーク市場は、ソフトウェアでネットワーク構成の制御を行うSoftware-Defined Networkとその標準技術であるOpenFlowの登場によって大きな変化に見舞われていますが、それと並行してネットワーク機器のあり方にも大きな変化が起ころうとしてます。 かつて企業向けのサーバやワークステーションは、メインフレームをはじめとしたベンダ独自のアーキテクチャを備えたさまざまな種類のハードウェアが市場で競っていました。しかし1980年代にx86をベースにしたPCサーバが登場し、CISC対RISCなどの構図をくぐりぬけ、ほぼx86サーバが標準となる状況にたどり着きました。 そしてこの過程で起きた市場の拡大を背景に、x86サーバは大幅な低コスト化と高性能化を実現してきました。ハードウェアが標準化されたことで、ソフトウェア市場も比較にならないほど広がりました。 サーバ市場で起きたような
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【パケ死注意】ドコモやソフトバンク、パケット代青天井の「スピードモード」「快適モード」加入を割引の条件にしていることが判明 | BUZZAP！（バザップ！）
China Great Firewall can't stop Facebook - SFGate
[address-policy-wg] Revert "Run Out Fairly" after IPv4 depletion address-policy-wg — RIPE Network Coordination Centre
TechCrunch | Startup and Technology News
The Concept of Quality of Service in the Internet