Kubernetes で意図的に障害を起こしたらどうなるのか？ | はったりエンジニアの備忘録
Kubernetes を本格的に使っていくにあたり Kubernetes の裏側の仕組みを勉強しています。抽象化が進みブラックボックスになっているものを何となくの知識で運用するのは怖いからです。仕組みをちゃんと理解しているかどうかは障害時にはっきりと現れます。 というわけで、Kubernetes で意図的に障害を起こしたらどうなるのか試してみました。今回は特殊な Node 障害を想定して、Kubernetes のネットワークで重要な役割を担っている iptables のルールがすべて消えたという想定です。 なお、この検証で使った Dockerfile や Kubernetes の Manifest ファイルは GitHub で公開しています。 Docker イメージも Docker Hub の Public リポジトリにあるので、Kubernetes クラスタさえあればすぐに試すことができ
ポートノッキングで10秒間だけsshdを公開する設定 - hnwの日記
先日Twitterに次のような書き込みをしたところ思ったより反応が良かったので、詳細の設定を紹介します。 UDP53番、TCP443番、UDP123番とポートノッキングをするとTCP443番に10秒だけsshdが現れる、という中二病全開の設定をした。皆様にもお勧めしたい。— hnw (@hnw) 2017年3月26日 といっても特殊なことをしたわけではなく、knockdでポートノッキングの設定を行い、iptablesと組み合わせて実現しました。 ポートノッキングとは ポートノッキングというのは、決められたポートを決められた順番で叩くことでファイアーウォールに穴を空けられるような仕組みのことです。ポートノッキングを使えば、TCPの7000番、8000番、9000番の3ポートにパケットを送りつけると22番ポート (SSH) へのアクセスが許可される、といった設定ができます。 ポートノッキングの
コンテナによるLVS-Web構成 : DSAS開発者の部屋
はじめに KLabさんの協力会社として一緒にお仕事をさせて頂いておりますクラスターコンピューティングと申します。今回はコンテナを利用したLVS-Web構成の構築を試してみました。 従来の物理サーバを仮想マシンやコンテナで置き換え、1つの物理システム上に複数のシステムを構築ししたり、必要に応じて動的にシステムを構築するなどのことは最近とはいわずよくおこなわれています。コンテナはそのフットワークの軽さからこれらの用途にとくに有効です。 コンテナはNamespaceやcgroupなどの技術を利用して独立したリソースをコンテナ毎に確保することにより仮想化環境を提供する一方、カーネル自体はホストのカーネルをホストの上のすべてのコンテナで共用しています。今回は、ipvsやiptablesなどカーネル空間の機能がコンテナ内でも利用できるのかの確認とともに、それらの機能を利用したコンテナによるシステム構成
OpenStack管理下にあるVMのNIC間でip_forwardを行う - TIMEZONE PST Hatena Branch
構成 以下のような構成を想定して、vm0のeth1とeth2の間でルータのようにIPフォワードをさせたい場合に必要となる設定メモ。 ちょっと事情があってserverXのDefaultGatewayを10.0.1.1にserverYのDefaultGatewayを10.0.2.1に向けて、相互に通信させたかったのです。 -----------+---------------------------------------------------------- ext-net | | +----+----+ | router0 | +----+----+ | |.129 -----------+------+--------------------------------------------------- demo-net0 (10.0.0.0/24) |.135 | ----------
俺史上最強のiptablesをさらす - Qiita
#!/bin/bash ########################################################### # このスクリプトの特徴 # # 受信・通過については基本的に破棄し、ホワイトリストで許可するものを指定する。 # 送信については基本的に許可する。ただし、サーバが踏み台になり外部のサーバに迷惑をかける可能性があるので、 # 心配な場合は、送信も受信同様に基本破棄・ホワイトリストで許可するように書き換えると良い。 ########################################################### ########################################################### # 用語の統一 # わかりやすさのためルールとコメントの用語を以下に統一する # ACCEPT :
iptables設定編
Iptabales設定編 設定するネットワーク構成 ルーター(外側)：ISPのDHCPサーバーから割り当てられたIPアドレス ルーター(内側)：192.18.1.1 クライアントPC：192.168.*.* 設定のルール +デフォルトポリシー破棄 +IPマスカレードとパケットフィルタリングのルール ・ループバックは無条件に許可 ・Internetからの22番(SSH)、25番(SMTP)、80番(HTTP)、110番(POP3) 67番(bootps:DHCPサーバー)、68番(bootps:DHCPクライアント)を許可 ・LANからInternetへのNetBIOS関連ポート(137～139、445番)を破棄 ・Internetからの送信元IPアドレスがプライベートアドレスのパケットを 破棄(スプーフィング対策) ・Internetからの宛先IPアドレスがプライベートアドレスのパケットを
DNATターゲット
iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10 --to-destination オプションは、 DNAT メカニズムに対して、 IP ヘッダに設定したい宛先 IP と、マッチしたパケットの行き先を指示する。上記の例は、 IPアドレス 15.45.23.67 に宛てられたすべてのパケットを、LAN の IP 192.168.1.1 から 10 の範囲へ送る。既に述べたように、ひとつのストリーム中では常に同じホストが使用されるが、ストリームが異なれば、各ストリームが使うべき宛先 IPアドレスはランダムに選択される。また、単一の IPアドレスを指定することも可能で、そうすれば、接続は常にそのホストへ導かれる。さらに、ト
Manpage of IPTABLES
Section: (8) Updated: Mar 09, 2002 Index JM Home Page roff page 名前 iptables - IPv4 のパケットフィルタと NAT を管理するツール 書式 iptables [-t table] -[AD] チェイン ルールの詳細 [オプション] iptables [-t table] -I チェイン [ルール番号] ルールの詳細 [オプション] iptables [-t table] -R チェイン ルール番号 ルールの詳細 [オプション] iptables [-t table] -D チェイン ルール番号 [オプション] iptables [-t table] -[LFZ] [チェイン] [オプション] iptables [-t table] -N チェイン iptables [-t table] -X [チェイン] ip
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
連載記事 「習うより慣れろ！ iptablesテンプレート集」
Rails で、Controller に定義されている action を一度に取得する方法はありますか？ - QA@IT
iptablesの設定