ヨタの日々

_ 朝ッ

0530 起床

_ 仕事

0830 出勤。

_ [FreeBSD]FreeBSD勉強会 第2回 リモート管理の活用法とシステムトラブル対応の基礎

＠技術評論社本社ビル

ust やるようだけどせっかくだから行ってきた。スピーカーは 佐藤広生さん。後日ウェブに資料が置かれるとのこと。

FreeBSD は使ってないのだけど IPMI などはどこぞの maripara.jp にも設置してあるんじゃないかなあ、などと夢想しながら聞いた。なお自宅にある計算機には RS-232C ポートがないのでシリアルコンソールは工夫する必要がある。

• リモート管理とは
  • ハードウェアの操作
    • 電源まわり
    • オン/オフ/リセット
    • 構成変更
    • 機器が故障したので切り離す
    • CPUとかメモリとか
  • ソフトウェアの操作
    • OSに頼る方法
    • OSへのログイン
    • 停止
    • 攻撃されて高負荷のときなど
    • 状態をモニタリング

• SSH
  • screen でセッション管理とか
  • OSが正常に動作してるときに使える
    • 異常のときは sshd 死んでるかもしれないし
    • TCP が死んでるかもしれないし
  • priv/pub 鍵管理
    • pub 鍵に対応した priv 鍵を持っている計算機からアクセスできる
  • priv 鍵を増やすな
    • 自分の計算機の外に priv 鍵を出してはいけない
    • 他人の計算機で priv 鍵を作ってはいけない
    • 自分以外が root になれる環境では priv 鍵を盗まれる可能性が出てくる

多段接続するときに量産してしまうひとがいる

計算機A ----> 計算機B ----> 計算機C

計算機B を踏み台にするときに priv 鍵を計算機B にも置いてしまうひとがいる。priv鍵は A のみにしないとダメ。ぜったい

それ AgentForward で

計算機A ----> 計算機B ----> 計算機C
  ssh        ssh-agent       sshd

こう？

A のみに priv 鍵を置いておけばいい

A->B で認証したので B->C も認証させる

あわせて読みたい

• 仙石浩明の日記: ssh-agent ＆ ForwardAgent を、より安全にしてみる
• An Illustrated Guide to SSH Agent Forwarding
• ssh agent forwardingをscreenの中で使う - mteramotoの日記
• On-line Manual of "ssh-agent"

Unix ドメインのソケットが作られ、そのソケットの名前が SSH_AUTH_SOCK 環境
変数に入れられます。このソケットはそのユーザのみがアクセス可能ですが、現
在のところ root または同一ユーザの別プロセスによって簡単に悪用される危険
性があります。

ふむ。

• screenを使う
  • 画面分割
  • 上下左右

おお。こういうことか

• シリアルコンソール
  • ANSI/TIA/EIA-574-90
    • いわゆる RS-232C
  • シリアル over Ethernet
  • シリアル over Firewire( IEEE1394 )
  • シリアル over IPMI over LAN

• RS-232C を使う
  • FreeBSD ハンドブック - シリアルコンソールの設定
  • アクセスされる側
    • /etc/ttys を編集するなど
    • ログインプロンプトを出す先を制御してる
  • アクセスする側
    • シリアル通信プログラムを使う
    • conserver がステキ
    • ports/comms/conserver/
    • ports/comms/conserver-com/
    • pkgsrc は comms/conserver
    • クロスケーブルを用意
  • 出来ること
  • OS へログイン
  • ローダーのレベルで操作
  • panic してもデバッガに落とせる
  • お勧めカーネルオプション
    • options DDB
    • options KDB
    • options GDB
    • options ALT_BREAK_TO_DEBUGGER ← CTRL + ^ + BREAK で( だったか？ ) ddb に落ちるらしい
    • options KDB_UNATTENDEND
  • これやっておけば panic すると ddb に落ちる

• IPMI
  • Intelligent Platform Management Interface
  • ハードウェア制御
  • 電源オン/オフ/リセット
  • LAN 経由とか
  • DELL, HP, NEC の計算機に乗っている
  • DSAS開発者の部屋:IPMIで遠隔からサーバの電源をオン/オフ
  • IPMI - osdev-j (MMA)
  • ports/sysutils/ipmitool/
  • pkgsrc は sysutils/ipmitool

• リモートホスト対策
• OS 生きてる場合 → ssh
• ssh 死んでる場合 → break
• OS 死んだ場合 → panic するので ddb などでがんばる
• どうしようもない場合 → watchdogd(8) で復帰させるというのもアリか