(プライマリ) 外部のキャッシュをコミット
static const char usage_client_commands[] =
"Client mode commands:\n"
" -c, commit external cache to conntrack table\n"
(プライマリ、バックアップ) キャッシュのクリア
" -f, flush internal and external cache\n"
(バックアップ) カーネルの conntrack テーブルのクリア
" -F, flush kernel conntrack table\n"
内部キャッシュの表示
" -i, display content of the internal cache\n"
外部キャッシュの表示
" -e, display the content of the external cache\n"
停止
" -k, kill conntrack daemon\n"
統計情報表示
" -s, dump statistics\n"
(プライマリ) カーネルの conntrack テーブルとの再同期
" -R, resync with kernel conntrack table\n"
(ん? script_.*.sh にない) NACK モードにて他ノードとの再同期
" -n, request resync with other node (only NACK mode)\n"
どーゆ経過か知らないけどキャッシュ内容の XML 出力
" -x, dump cache in XML format (requires -i or -e)";
$ svn co https://svn.netfilter.org/netfilter/trunk/libnfnetlink/. libnfnetlink
....
$ svn co https://svn.netfilter.org/netfilter/trunk/libnetfilter_conntrack/. libnetfilter_conntrack
....
$ svn co https://svn.netfilter.org/netfilter/trunk/conntrack-tools conntrack-tools
....
$ cd libnfnetlink
$ ./autogen.sh
....
$ ./configure --prefix=/usr/local
....
$ sudo make install
....
$ cd ../libnetfilter_conntrack/
$ ./autogen.sh
....
$ PKG_CONFIG_DIR=/usr/local/lib/pkgconfig ./configure --prefix=/usr/local
....
$ make
....
$ sudo make install
....
$ cd ../conntrack-tools
$ ./autogen.sh
....
$ PKG_CONFIG_DIR=/usr/local/lib/pkgconfig ./configure --prefix=/usr/local
....
$ sudo make install
....
$
$ cd /usr/local/lib
$ find /usr/local -ctime -20
....
みたくchamaken ALL=(root) NOPASSWD: /usr/bin/make install
この時点でコマンドラインインターフェース `conntrack' を使うことが できます。しかし `conntrackd' と呼ばれるユーザスペースデーモンを動 作させるためにはいくつかの魔法の言葉が必要です。./configure
$ make
# make install
_type_ は現在二つある同期タイプ、パーシステントモードか NACK モード、を選びます。パーシステントモードは NACK モードよりリソースを消費しますが、NACK モードは、まだ実験的です。
配備した設定に合うよう、これらファイルを編集するのを忘れないで下さい。
設定ファイルを /etc/conntrackd 配下に置きたくないのであればconntrackd にオプション -C でどこを探すか教えてやって下さい。
keepalived はアクティブノードが落ちたと検知すると、落ちたアクティブを置き換えるノード候補を指定します。このイベントにて外部キャッシュ、例えば? 別のノードによって処理された接続を含むキャッシュが (カーネルに?) 引渡されなければなりません。外部キャッシュを引渡すためには
とタイプします。# conntrackd-c
keepalived は別プログラムとやり取りするためのインターフェースとしてシェルスクリプトを提供しているので以下に紹介する行を keepalived の設定ファイルに記述することにより、外部キャッシュを引渡す処理を自動化できます。
'script_master.sh' 内には以下の記述があります:
よって、(アクティブノードが) 落ちたイベントにて次候補となるノードが仮想 IP と落ちるノードが処理していた接続を引き継ぎます。NACK モードでは、このファイルは異なることを見て下さい。#!/bin/sh
/usr/sbin/conntrackd -c # commit external cache
/usr/sbin/conntrackd -R # resync with kernel conntrack table
# echo 1 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_be_liberal
conntrackd を統計モードで設定するのは、幾分簡単です。設定ファイルをコピーするだけです。
# cp examples/stats/conntrackd.conf /etc/conntrackd.conf
To run conntrackd in statistics mode:
# conntrackd -S
Alternatively, you can run conntrackd in daemon mode:
# conntrackd -S -d
In order to dump the statistics, just type:
# conntrackd -s
To dump the current connection forwarded, just type:
# conntrackd -i
このドキュメントではシンプルなプライマリ/バックアップ設定に基づく、とてもシンプルな高可用性の設定について述べます。
テストケースではファイアウォールとして動作する二つのホスト FW1 と FW2、またデスクトップとして動作する A と B から構成されます。ネットワーク概要については下図に詳述されています。
初めに、FW1 は図中赤色で強調された仮想 IP を保持していると見なします。このように配備された設定は FW1 がアクティブ FW2 がアクティブホストが落ちるのを待つという古典的なプライマリ/バックアップとなります。仮想IP を受け継ぐ過程を自動化するソフトウェアはkeepalived です。
FW1 と FW2 で実装されているフィルタリングポリシは以下の通りです。
見た通り、転送するデフォルトのポリシは 破棄 [1]。ファイアウォールクラスタはホスト A から開始されるホスト B への新規 TCP 接続を 許可 [3,4] して逆方向は確立されたもののみ [2]。加えて、このクラスタはホスト A から B に向かう接続の 送信元 NATを行う。この転送ポリシに合致しないパケットは全てログに残される [5]。[1] iptables -P FORWARD DROP
[2] iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
[3] iptables -A FORWARD -i eth1 -p tcp --syn -m state --state NEW -j ACCEPT
[4] iptables -A FORWARD -i eth1 -p tcp -m state --state ESTABLISHED -j ACCEPT
[5] iptables -I FORWARD -j LOG
[6] iptables -I POSTROUTING -t nat -s 192.168.0.3 -j SNAT --to 192.168.1.100
テストのため、ホスト A から B への SSH セッションを開始します。
FW1 を落としてみると、すぐに FW2 が仮想 IP を受け継ぎます。
理屈では SSH 接続は FW2 にて転送されるべきですが、新たにアクティブとなったホストは、そのような接続については何も知らないため、これを新規接続と見なします。あいにく、この接続は実際は 確立されており、パケットを通過させるルール [2] に該当しません。このパケットの破棄はログに残されます。
この問題を克服するためには FW1 と FW3 に conntrackd を配備しなければなりません。このデーモンはアクティブノードによって転送された接続の状態を複製するのでバックアップは適宜この接続を引き継ぐことができます。アクティブノードによって転送された接続の状態をダンプさせることができます。
バックアップノードでは複製された接続を観測することができます。(shell FW1)# conntrackd -i
tcp 6 ESTABLISHED src=192.168.0.3 dst=192.168.0.100 sport=51356
dport=22 src=192.168.0.100 dst=192.168.1.3 sport=22 dport=51356
[ASSURED] mark=0 [active since 5s]
(shell FW2)# conntrackd -e
tcp 6 ESTABLISHED
src=192.168.0.3 dst=192.168.0.100 sport=51356 dport=22
src=192.168.0.100 dst=192.168.1.3 sport=22 dport=51356 [ASSURED] mark=0
[active since 2s]
struct ct_sync_state {
struct cache *internal; /* internal events cache (netlink) */
struct cache *external; /* external events cache (mcast) */
