連載 UNIX Communication N0tes—O 続けることか可能な範囲にアクセス数が収まっているかど うかを検査することのほうが重要である。つまり、 TCP SYN flooding 攻撃を受けたとしても、サーバーが通常と ほとんど変わりなくサービスを提供できる程度のアクセス 数であれば、それはど有効な攻撃とはいえない。その意味 で、モニタリングに多少の漏オゞあったとしても、大きな 問題にはならないのである。 事実、 TCP SYN flooding 攻撃の有無をチェックす る場合には、 送られてくる IP データグラムの宛先 IP アドレスか保 護すべきサーバーであり ・かっ、 TCP?S ケットで SYN フラグか、定されている もの をモニタリング側セグメントに分離するようにスイッチの 設定をおこなう。モニタリング・サイトでは、その発生数 を言則し、たとえは過去 24 時間のアクセス数よりも 5 倍 程度までアクセスかイ申びた場合にはなんらかの異常がある とみなし、ファイアウォールに対してフィルタリングを追 加設定する。このとき、 TCP SYN を大量に発生させて いるサイトがあれば、そのサイトからのバケットの j 面を ファイアウォールでに山 E し、不正なトラフィックの流入 を防げるようになる。 トラフィックを不鶤頁ごとに分離して検査する手法には、 次のようにさまざまな利点がある。 ・モニタリング・システムに必喫な処理能力を低く抑える ことができる とくに広帯域データリンクにおいては、ネットワークに 流れるバケットをダンプする処理は、通常のコンピュー タ・システムではデータバスカヾ益れて不可能になってし まう場合が多い。モニタリングの対象となるトラフィッ クを分離すれば、通常のシステムをモニタリングに使え るので、システム構築のコストを下げることができる。 ・レイヤ 4 スイッチを使うことで、特定のサーバー るいは特定のサービスに対するアクセスを分離して検査 することができる たとえは、従来の MID 型 IDS でトラフィックを検査 したあと、 Dos 攻撃対策のためのモニターを適用する といった手法も可能になる。 56 トラフィック・モニター 最後の間題は、 DoS 攻撃を本剱日するためのトラフィッ ク・モニターとして何を使うかである。これには、以下に 示すようにいくつかのガ去が考えられる。 ・ネットワークに PC などを接続し、 tcpdump などの バケットダンプ・プログラムを適用してトラフィック をモニタリングする このガ去を利用する場合は、バケットダンフ。の結果を解 析するプログラムが必要である。 ・レイヤ 2 スイッチを通過させ、 RMON (Remote MONitoring) の機能を用いてトラフィックを監視す る モニタリングにおいては、 SNMP NMS から RMON MIB を監視し、発生しているトラフィックの不頁や頻 度を監視する。 むろん、どちらのガ去もそれなりにコストがかかる。し かしながら、これらのガ去を、前々回まで説明したクラス タ化した高生能サーバーからなるシステムとうまく組み合 わせれは、性能管理から DoS 攻撃対策までを一貫して処 理するサーバーシステムの構築も可能になる。 ☆ 今回は、 DoS 攻撃への各的な対策について述べた。 馳伏では、 DoS 攻撃は 1 つの組織だけで防げるもので はない。 ISP なども含め、幾重にも対策を積み重ねてい くことで、被害を減らしていくしかない。しかし、、、トラ フィックを捨てる " 以外に効果的な対策がないところが、 この攻撃手法のたちの悪さであり、抜本的な解決策もなか なか見出せないのが実情である。残念なことに、 DoS 攻 撃はひろがりつつあり、インターネットの社会基盤として の重要性カすにつれて、間題も大きくなってきている。 Dos 攻撃に対しては、 - 箚重の対策を複合的に適用して いくことか重要である。なかでも、外部にサービスを提供 している糸目織や ISP では、十分な対策の検言寸・通用力球 められている。 ( やまぐち・すぐる奈良先立醤斗判支術大学院大学 ) UNIX MAGAZINE 2002.4

連載 /UNIX Communication Notes ー 0 ルータ C 図 2 DoS 攻撃によるリンクの食ロ ポトルネック・リンク 攻撃対象 図 3 データと鬧胸を分離したネットワーク構成 DoS 攻撃のトラフィック ルータ A ルータ A ルータ B ルータ B ルータ C 管理用ネットワーク DoS 攻撃のトラフィック 報カ碍られる。 ネック・リンクで、 DoS 攻撃のトラフィックによって、 する。このとき、ルータ A とルータ B のあいだがポトル 攻撃対象のシステムに対して DoS 攻撃が仕掛けられたと ンク ) が飽和することがある。たとえは、図 2 で、佑端の する途中のもっとも帯域の狭いリンク ( ポトルネック・リ DoS 攻撃がおこなわれると、攻撃対象のマシンに到達 データと制御を分離する えるであろう。 は、今後、 lngress フィルタリングを導入する ISP か増 偽造したトラフィックによる DoS 攻撃の蔓延ぶりをみれ のが実情である。だカまこのところの始点 IP アドレスを lngress フィルタリングを夫施すべきかどうか脳んでいる 低下が懸念されるのも事実である。その意味で、 ISP は ルータの性能がかなり E してきたとはいっても、性能の のところ ISP 間の相互接続は急速に広帯域化している。 法的な間題も少ないと考えられるからである。しかし、 契約で申し合わせたトラフィックのみを対象とするため、 びてきた。これは、ルータの高性能化、そして ISP 間の トラフィックを破棄する手法は、描丘になって現実味を帯 イルタリングを用いて DoS 攻撃に使われる可能性の高い ISP 間でのトラフィック交換地 . 点において、 lngress フ タリング " である。 を交換するイ督はみが考案された。これが、、 lngress フィル い、正しい始点 IP アドレスをもっ IP データグラムだけ よる糸習各管理情報をもとにフィルタリングの設定をおこな ムか届くかというルールが作れる。そこで、この BGP に どの ISP からどの始点 IP アドレスをもっ IP データグラ タと呼ぶ。さて、 BGP による経路情報をもとに考えると、 る場合には、境界ルータのことを lngress ( 入り口 ) ルー 流入してくる。そこで、トラフィックの向きをもとに考え この境界ルータには、はかの ISP からのトラフィックが 52 コンソール接続用の ターミナル・サーバー ネットワーク管理 ステ・一ション UNIX MAGAZINE 2002.4 ソールポートにもネットワーク経由でアクセスできるよう 余裕があれは、ターミナル・サーバーを設置し、コン 受けすにすむ。 しておけば、ルータ自体か攻撃対象になった場合い皮害を してのポートを見せない設定もしておくべきだろう。こう し、データ転送用ネットワークには、ルータのサーバーと いたルータへのアクセスは制御ネットワーク側からのみと ように設定しておくことである。さらに、 SSH などを用 のルーティングやデータの伝送のための辛各に使われない 流れる経路と完全に分離したネットワークを用意し、通常 ト・アドレスて構成してもよい。重要なのは、データが が用意されている。管理用のネットワークは、プライベー 図 3 はその一例で、通常の糸響各とは別に管理用の糸各 のである。 にも管理作業かできるようなネットワーク構成にしておく 制彳卸トラフィックカ毓れる糸習各を分離し、いざというとき トラフィックの流れる糸習各と、ネットワーク管理のための ス路をつねに石呆しておく必要がある。つまり、データ・ このような状態になるのを防ぐには、ルータへのアクセ ることが多い。 で不になってしまうため、ルータにアクセスできなくな 忙殺されていたり、ポトルネック・リンクがトラフィック ない。しかし、 DoS 攻撃中にはルータがバケット処理に にアクセスし、フィルタリングの設定をおこなわねばなら の管理下にある場合は、 DoS 攻撃中になんとカソレータ A なることが多い。ルータ A 、ルータ B 、ルータ C が自分 らは、ルータ A やその先のシステムにアクセスできなく ると、ルータ B よりも右側に接続されているシステムか の部分カ包和してしまう状況が発生したとしよう。こうな

連載 /UNIX Communication Notes 図 4 レイヤ 4 スイッチてトラフィックを分離してモニタリングを レイヤ 3 スイッチレイヤ 4 ファイアウォールスイッチ インターネットー - ′ レイヤ 3 スイッチ 彡御 トラフィック モニター サーバー トラフィック モニター 図 5 動的なフィルタリング言聢 レイヤ 3 スイッチレイヤ 4 ファイアウォールスイッチ インターネット。ー - ′ レイヤ 3 スイッチ レイヤ 4 スイッチを用いてトラフィックをう隹してモニタ ヤ 4 スイッチでは、なんらかの条件にもとづいて、全体 リングを実施する。そして、各モニターか不審なトラフィ のトラフィックを 2 つのセグメントに分けている。これ ックを本鎹ロしたら、その情報にもとづき、インターネット によって、 1 台のトラフィック・モニターあたりの処理阯 により近いレイヤ 3 スイッチまたはファイアウォールに を減らし、通常のコンピュータ・システムでもモニタリン フィルタリングを追加し、そのトラフィックの j 面茴を阻止 グを可能にするのである。 Gigabit Ethernet の経路であ 川ま、レイヤ 4 スイッチでロードか均一になるようにトラ するのである。 フィックを分割し、 6 ~ 10 台程度のモニターを用いてモニ DoS 攻撃対策として実施するモニタリングは、 IDS に タリングを実施するのが一ヨ麺勺であろう。このとき、モニ よる不正アクセス検知とは異なり、現実には多少粗い検査 ターとして MID 型の IDS を利用すれば、広帯域リンク でも大きな問題は生しない。 DoS 攻撃の基本は、なんら に対応したクラスタ型 IDS を構成することかできる。 かの方法で大のトラフィックやリクエストをサーバーに 送って処理不能に陥サービスの提供を妨害することで DoS 攻撃に文亢するモニタリング ある。したがって、あらゆるトラフィックを監ネ寸象に含 める必要はなく、多少の漏れがあっても大きな間題にはな さきはど紹介した AID の考え方と、広帯域データリン クのためのモニタリング手法とを組み合わせて DoS 攻撃 らない。 の発生を本鎹日し、さらに、そのトラフィックを重加勺に阻止 たとえば、前号で説明した TCP SYN flooding 攻撃 するようなシステムが考えられている。 では、どのホストから TCPSYN バケットがきているの かも問題だが、そオ L 以一日こ、サーバーがサービスを提供し 図 5 を見てほしい。このシステムでは、図 4 と同様に トラフィック モニター フィルタリングの追加 トラフィック モニター 55 UNIX MAGAZINE 2002.4

連載 /UNIX Communication Notes—O 図 1 lngress フィルタリングによる不正トラフィック棄 VLAN などを多用して構成したネットワーク竟では、 ューサーの端末か直孑妾続されたルータやレイヤ 3 スイツ IS P-A Ⅸ チでもフィルタリング・ルールの書き方か複雑になる可能 性がある。そのような場合には、そこよりもインターネッ トに近い別のルータやレイヤ 3 スイッチを探し、ルールを 書きやすいシステムで適用するようにすればよいだろう。 ルータやレイヤ 3 スイッチでのフィルタリングというと、 性育旨氏下を懸念して設定を嫌う管理者も多い。しかし、。丘の ルータやレイヤ 3 スイッチには、フィルタリングによる性育旨氏 下を最小限にとどめるための技術か数多く用いられている。性 能の低下を理由にフィルタリングの導入をためらっているのな ら、念のために使用しているルータやレイヤ 3 スイッチの性 能を評価することをお勧めする。新しい製品であれば、フィル タリング性能は数年前のものよりかなり改善されているはずで ある。 れた巨大なネットワークである。ある ISP のネットワー ISP での対応 クは、多くの ISP か相互接続を確保するための拠点 ( Ⅸ (lnternet eXchange) ) を介して、トラフィック相互交 始点 IP アドレスを検査するフィルタリング処理は、 換契約ともいうべき、、ピア契約 (peer agreement)" を締 ISP においてユーサーからの接続を直接受けるスイッチ 結した ISP と相圧接続する。もちろん、 IX を使わすにほ などでもおこなうことか望ましい。しかし、多くの ISP かの ISP と直孑妾続する場合もあるだろう。また、ある ではユーサーが送出した IP データグラムをそのまま通過 ISP が別の ISP のネットワークのトラフィックを運ぶこ させているようだ。これは、次のような理由による。 ともある。これは、トラフィックの、、通過契約 (transit ・顧客から、フィルタリングの実施による性育旨氏下を孑商 agreement)" にもとづいておこなわれる。 されることを懸念している。 このように、 ISP 間で交わされるさまざまな契約にもと ・顧客が送出したトラフィックのフィルタリングは、法 づいてトラフィックを交換しているのか現在のインターネ 的な面で間題になる可能生がある。 ットの姿である。そして、この契約を糸各制御に反映させ る手段として用いられているのが BGP (Border Gate- あるいは、たんに管理の手間を考えて、フィルタリング way Protocol) である。今回は、 BGP についての詳しい のような、面倒なこと " を避けているのかもしれない。し 説明は省略するが、基本的には AS (Autonomous Sys- かし、プロードバンド接続か普及しつつある現在では、顧 tem) を単位とした経路制御を管理し、どの AS にどのア 客がかなり大きなトラフィックを生成することも少なくな ドレスプロックカ嘱しているかを判断して糸響各を決定する い。したがって、 DoS 攻撃対策の一環として、顧客からの イ督はみである。 トラフィックについても、始点 IP アドレスを調べるフィ たとえは、図 1 では、 ISP-A 、 ISP-B 、 ISP-D は、そ ルタリングをおこなうはうか望ましい。 れぞれ直接トラフィックを交換している。そして、 ISP- lngress フィルタリンク C は ISP-B を経由してトラフィックを交換するとしよ ューザーからのトラフィックではなく、ほかの ISP う。この場合、これらの ISP と接続されているルータを から流入するトラフィックの IP アドレスを検査する 、境界ルータ (border gateway)" と呼び、境界ルータで lngress フィルタリング " と呼ばれる手法も考案されて は BGP を用いてほかの ISP とのあいだでトラフィック いる。 交換をおこなう。結果として、境界ルータでは、どの ISP がどの用の IP アドレスを使っているかといった経路情 ンターネットは、複数のネットワークか相に接続さ lngress ルータ ISP-B lngress ルタ ISP-D 51 UNIX MAGAZINE 2002.4

御用のネットワークを分けた構成い寸に値するだろう。 モニタリングの高度化 DoS 攻撃対策の一 -- 環として必要なモニタリンク饑能は、 従来の不正アクセス発見のためのモニタリングとは異な る。 MID と AID 現状では、不正アクセス発見のためのモニタリングの大 半は、 IDS (lntrusion Detection system : ・侵入本シ ステム ) によって実現されている。その IDS は、 MID (Misuse lntrusion Detection) という考え方にもとづい て作られているものが多い。 なんらかの不正アクセスか発生した場合、その手段はた いてい既知のものである。すなわち、まったく新たな攻撃 手法であることはめったにない。そこで、只日の不正アク セス手法を研究し、そのアクセス手順の特徴を抽出する。 そして、インターネットと自分か管理しているネットワー クとのあいだで交換されるトラフィックをすべてモニタリ ングし、抽出した特徴と一致する通信があれば、、、不正ア クセスが発生した可能性がある " という警告を出す。この ように、不正アクセスク寺徴に合致、す - る通信をみつけて警 告する手法が MID である。 この考え方は、ウイルスチェック・ソフトウェアとよく 似ている。この種のソフトェアの性能差は、どのくらいの 数の不正アクセス手法を調べ、その特徴をどの程由出し たかによる。つまり、多くの不正アクセス手法を知ってい る IDS は、不正アクセスの発見能力か高いのである。不 正アクセス手法のなかには、たった 1 つのバケットて有効 な攻撃をイ」曲、けることかできるものもある。そこで、 MID の考え方にもとづく IDS では、基本的にすべてのバケッ トをダンプし、検査を実施するものが多い。 一方、 DoS 攻撃の特徴は、通常のデータ伝送と同しよ うな形態で大量のトラフィックが送りつけられるという点 にある。電子メールを例にとると、常扁勺な量の電子メー ルが送られてきても攻撃とはみなされないが、 1 日に 100 万通といったペースで送られてきたら、多くのサイトで は DoS 攻撃と考えるのが普通であろう。 DOS 攻撃を受 けると、通常の状態とは大きく異なり、システムやネット ワークの運用に支障をきたすほどのトラフィックか生成さ れる。したがって、 DoS 攻撃を検知するには、、、異常な 連載 UNIX Communication Notes—O 54 状態 " を発見する手法が必要になる。このような考え方に もとづく不正アクセス検出を AID (AnomaIy lntrusion Detection) と呼ぶ。 AID は、、言うは易くおこなうは難し " の典型であり、 実現までには解決すべき課題が数多く残っている。その 未では、まだまた研究途 - } : の手法ともいえる。とくに難 しいのは、、、異常な状態 " の定義である。たとえは、上で みたように、、通常では考えられないような大量のトラフィ ックが送られてきた場合 " は、たしかに異常な状態と考え られる。だが、それをさらに突き詰めて、 1 日あたりの総 トラフィックと上交してどの程度増えたら異常とみなすの か、 2 倍なのか、 2.5 倍なのか、 3 倍なのか、 ・・と考 えていくと答は簡単に出せるものではない。また、、、通常 の状態 " についても、矢麒月間の調則にもとづいて判断すべ きか、長期にわたって調査した値によって判断すべきかと いった両様の考え方がある。通常の状態にしても、それを コンピュータか理解できるように定義し、さらに、どの程 度の変化まで許容するかを決めるのはひどく難しい。この ため、 AID 型のモニタリングは現状ではそれほど普及し ていない。しかしながら、 DoS 攻撃への対策を立てる場 合には、この AID 型のモニタリングこそ求められる技術 なのである。 全部は見られない もう 1 つの問題は、ネットワークの広帯域化にともな い、すべての情報をモニタリングするのが困難になりつ つあることだ。たとえば、 100Mbps Ethernet のモニ タリングであれば 1 台のコンピュータ・システムで可能 であるが、 Gigabit Ethernet を流れるトラフィックや、 2.4Gbps POS (Packet Over SONET) や 10Gbps Ethernet ともなると、 1 台ではとうてい処理できない。 通常のコンピュータのバスでは、その帯域か完全に負酥日し てしまい、コンピュータの処理能力の限界を超えてしまう のである。このため、広帯域のデータリンクを対象とした モニタリング手法カ球められていた。 山も匠は、 Gigabit Ethernet 以 - ヒの帯域をもつ広帯域リ ンクを対象としたモニタリングでは、トラフィックを分割 して処理する方法が用いられている。たとえは、図 4 で は、インターネットからサーバーに至る糸各上でレイヤ 4 スイッチを用いてトラフィックを分離している。このレイ UNIX MAGAZINE 2002.4

三匚二匚こ匚二 着 ] プログラミング④ 図 5 emacs-w3m のプロモーション・ビデオ ンストールする必要はなく、たとえは emacs-w3m のビ デオを見るのなら、端末から telnet コマンドを次のよう に実行するだけでいい。 % telnet tty. namazu ・ org 12345 ttyplay サーバー ttyplay サーバーの実現方法は、北目拓郎氏が考案し た。これは、 /etc/inetd. conf に次のような設定を加え るといういたって簡略なものである ( 誌面の都合上、で 折り返しています。以羽司様 ) 。 12345 stream tcp nowait root ttyplay /somewhere/emacs—w3m. tty この設定を加えれは、 % telnet tty. namazu ・ org 12345 のようにして、別の言算機から ttyplay サー ーに接続 し、 /somewhere/emacs-w3m. tty を再生できる。 さらに、 ttyplay の覗き見モードを利用すれは、リアル タイムのストリーミングも可能になる。この場合は、 23456 stream tcp nowait root ttyplay 、 —p /somewhere/realtime. tty のように -p オプションを指定する。このストリーミン グの仕掛けを使えば、自分がおこなっている作業を遠隔 地にいる人にリアルタイムで伝えることかできる。仲間内 でおこなったストリーミング実験では、とくに意味のあ ることをしたわけでもないのに、 IRC (lnternet Relay Chat ) 7 によるチャットと連動しておおいに盛り上がった。 7 詳しくは http://irc.kyoto-u ・ ac. jp/ を参月毟 112 このように、新たなコードを書かすに、既存の inetd と いうツールと組み合わせるだけで ttyplay サーバーが実現 できたのは、 UNIX のツールポックス・アプローチの賜 である。ポート番号でコンテンツを切り替えるという安直 なサーバーではあるが、動くことにはちがいない。労少な くして功多しである。 tty mania のコンテンツ tty mania に登録されているコンテンツのなかで、も っともインパクトがあるのは小松弘幸氏か投稿したラジオ ー材ビデオである。これは、小松氏が踊っている姿をピ デオカメラで才彡し、その映像を aatv8 というツールで ASCII アートに変換したものだ ( 図 6 ) 。 ttyplay て再生 すると、たいへん滑らかに動く。 一方、森本淳氏は旧世代 UNIX ノ、ツカーの面目躍如 たるアイデアにより、 xterm の Tektronix 互換モードを 活かし、グラフィック表示を ttyrec て録画することに成 功した ( 図 7 ) 。当初、 ttyrec は文字べースの情報しか扱 えないと思われていたが、 Tektronix 互換モードの活用に より、グラフィック表示の録画・再生という新たな可能性 カ吽まれた。 tty mania は運営開始直後から新しもの好きのあいだ で話題になり、 tty.namazu.org のトッフ。ページへの初日 のアクセスは約 800 件に達した。 ところで、 tty mania と同様のアプローチのサイトと して Kevin On Demand!9 がある。このサイトでは、 8 http://nOOn.free.fr/aatv/ 9 http://www.takedown.com/evidence/transcripts/ UNIX MAGAZINE 2002.4

に常日妾続かできるのはなかなか商である。しかし、不 満もある。 1 つは、やはり帯域の狭さだ。 32Kbps は NTT ドコモ の通常の携帯電話 (PDC) て得られる 9.6Kbps にくらべ れは高速だが、しよせんは数十 Kbps である。もう 1 つ は、 RTT (Round Trip Time) が大きいうえに、変動、す る点だ。 ping や traceroute で観察していると、無線伝 送区間の遅延が数十 ms から数百 ms と、かなりのバラッ キがある。 AirH ” 128Kbps バケット通信サーピスは、狭い帯域 という間題を鮹夬するために 32Kbps のイ云送チャネルを 重加勺に 4 チャネル確保し、最大で 128Kbps の或を使え るようにするものである。 DDI ポケットの WWW ペー ジを見ていたら、訂ューサーを募集していた。私カ畤っ ている AirH ”対応の PC カードは、この試験に利用でき る「 AH ー G10 」体多エレクトロン製 ) だったので、さっ そく募したところ、運よく当選し、いきなり、、 128Kbps の常日罸妾続ューサー " になってしまった。 RTT が大きい ため、最初のデータが届くまでは、はっきりそれと分かる くらいの日翻爿がかかるが、いったんデータが到着し始める となかなか速い。 現在は試験中でもあり、アクセスポイントも DDI ポケ ットが運営する PRIN のものに限定されているが、正式 サービス開始後は、その他の ISP も順次対応する予定と 聞いている。アクセスポイントカえれば、なかなか楽し みなサービスである。 DoS 攻撃への根本的文 前回は、 DoS 攻撃の概要と基本的な対策について説明 した。前号で紹介した防御方法は、あくまでも管理下に あるホストやネットワークか攻撃を受けにくくすることを 目的としたものである。たとえは、、、不要なサービスの停 止 " では、 DoS 攻撃対策にかぎらす、 TCP SYN flood- ing 攻撃によってサーバーカ包不羽大態になってしまう可能 性を低めることができるにの対策は、外部のネットワー クからアクセスされる可能生のあるシステムでは、いまや 必顔といってもよい ) 。 しかし、このようなガ去は DoS 攻撃を受けにくくする だけで、根本的な対策とはいえない。それでは、どうすれ 連載 UNIX Communication Notes—O 50 ばこれらの攻撃を本黶色できるのだろうか。 トラフィックを捨てる すぐに考えつくのは、 D 。 S 攻撃に使われているトラフィ ックを可能なかぎり事前に破棄するガ去である。 D 。 S 攻撃に使われるトラフィックの多くは、始点 IP ア ドレスのイ為造 (source IP address spoofing) により生成 場戸励ゞ隠されている。前回説明した Smurf 攻撃でも、最 初に ICMP ECHO Request バケットを発生させると き、 ICMP メッセージを運ぶ IP データグラムの始点 IP アドレスとして攻撃先ホストの IP アドレスを指定する。 TCP SYN flooding 攻撃でも、 TCP SYN メッセージ を運ぶ IP データグラムの始点 IP アドレスとしてランダ ムに生成されたアドレスを使うことが多い。これらの点を 考えると、インターネット上の多くの場所において、不正 な始点 IP アドレスを含む IP データグラムを発見したら ただちに破棄する処理をおこなえば、 DoS 攻撃を減らせ る可能性がある。 たとえば、私の所属する奈良先端大では、 163.221 / 16 というアドレス領域を用いてネットワークの管理・運用を おこなっている。このため、学内においては、このアドレ ス領域以外の始点 IP アドレスを含む IP データグラムが 生まれることは基本的にありえない。つまり、 163.221 / 16 以タ ) 始点 IP アドレスをもっ IP データグラムが学内 から学外に向けて送られようとしている場合には、なんら かの目的タ粁リ用とみなしてよいはすである。このような、 本来使われるはずのない始点 IP アドレスをもっ IP デー タグラムは、できるだけ早くみつけて破棄する。ルータな どで IP データグラムのフィルタリング設定を有効にし、 始点 IP アドレスを調べて、問題を起こしそうな IP デー タグラムを捨てるようにすればよい。 始点 IP アドレスを検査するフィルタリングをおこなう と、どうしても性能力氏下する。しかし、フィルタリング による性育旨氏下は、一殳にフィルタリング処理に適用され るルールの数に比例する。つまり、フィルタリングに適用 するルールが多くなればなるほど、バケット中幻性能に与 える景礬が大きくなるのである。そこで、そのコストをで きるかぎり小さくするために、ユーザーの端末が直オ妾続 されているルータやレイヤ 3 スイッチでフィルタリング 処理をおこない、適用するルールの数を減らしていく。 UNIX MAGAZINE 2002.4

クラフィック /GUI 編 Ruby 0 い サーヒス / ネットワーク編 ・第を第物を第第 Delphi http://www.ascii-store.com/ Web で OK!! 日 伝えるアスキーのオ Pe を 256 倍 Win32 API オフィシャルリファレンス 使うための本 D 編 改訂 3 版グラフィック / GUI 編 アスキー書籍編集部編 川合孝典著 B5 判 / 768 ページ B6 判 / 256 ページ 本体価格 5 , 200 円 本体価格 1 ,200 円 CD-ROMI 枚付属 ロ日がわかれば、 Pe がもっと便利になる Windows プログラマ必須の AP 詳細解説 256 倍シリーズについに perl が登場 ! perl を用 好評の W i n 32 A 円オフィシャルリファレンスが いてデータベースにアクセスするインターフェイ Windows 2000 / Me に対応して改訂。 Windows プ スである D 引について徹底解説。 Pe 市ヾワーの ログラマが日常的に使用する必須 A 円を詳細に解 底力を知ろう ! 説する。 Ruby を 256 倍 Win32 API オフィシャルリファレンス 使うための本界道編 改訂 3 版 Windows サ - ビス / ネットワーク編 アスキー書籍編集部編 永井秀利著 B5 判 / 784 ページ をリファレンス町 3 版 B6 判 / 296 ページ 本体価格 5 , 200 円 本体価格 1 , 200 円 CD-ROMI 枚付属 Ruby 灯 k を使えば G 』プログラミングも気楽になる ! Windows プログラマ必須の AP 陸詳細解説 のライブラリだ。 Ruby / Tk を使えば G 団プログラミ Windows 2000 / Me に対応して改訂。 Windows プ ログラマが日常的に使用する必須 A 曰を詳細に解 ングもお気楽に楽しめる。ウィジェットの配置やイ 説する。 べント処理のツポを楽しく伝授するぞ 実習 C 言語 BorIand DeIphi6 新装版 オフィシャル コースウェア基礎編 服部誠著 田口景介著 B5 判 / 306 ペーシ A4 変型版 / 2 ページ 本体価格 2 , 800 円 本体価格 1 , 800 円 CD-ROMI 枚付属 数値データの扱い / ビジュアルプログラミング 型変換 / 配列 / メ の開発方法から Object モリ管理 / 関数 / Pasc の基礎、コンポー 複数ファイルのコン ネントの使い方など パイルなど、 C 言語で Delphi6 を基礎から学べる プログラミングを行う 一冊。付属 CD - ROM には 際に必須の知識を BorIand DeIphi6 と Kylix2 詳しく解説。最新の Startup Kit を収録。 C 標準にも対応。 i アプリではじめて学ぶ C 十十 Primer ん Java プログラミング アンサーブック C 十十 Primer アンサーブック 田口景介著 B5 変型判 / 2 ページ Clovis L. Tondo Bruce P. Leung 著 本体価格 2 , 500 円 in.J はじめて、 柏原正三訳 CD-ROMI 枚付属 ↓ 0 プ 1 , ミノグ B5 判 / 400 ページ はじめて Java を学ふ読 本体価格 4 , 600 円 者を対象に、 Java の基 礎知識からプログラミン 「 C + + P ⅱ me 「第 3 版」 グスタイルを i アプリを題 の演習問題を詳細に解 材に学習できる。付属 説することにより、 C + + CD - ROM には、プログ プログラミングをさらに深 ラム開発環境ー式が く理解する。 C + + を完全 同梱され、これ 1 冊で i ア にマスターするための副 プリが作れる。 読本。 株式会社アスキー 〒 151-8024 東京都渋谷区代々木 4-33-10 電話 ( 03 ) 5351-8194 http://www.ascii.co.jp/ Windows Perl 新刊 Windows 五ロ 五ロ 入門 C 言語 新装版 田口景介著 A4 変型版 / 3 ページ 本体価格 1 , 600 円 コンバイラ付属で手軽 ! C 言語とは何か / 変数 / 制御構造 / 条件分岐 / 文字と 文字列 / 関数 / ポ インタ / 構造体など、 C 言語にプログラミ ングの基礎知識を 詳細に解説。 C 十十 Primer 改訂 3 版 Stanley B. Lippman Josee Laj0ie 共著 石川勝訳 B5 判 / 1 , 232 ページ 本体価格 8 , 000 円 C + + の概要と基礎知識、 C + + がサポートする各種 , つを丿 のプログラミングパラダ イムを豊富なサンプルプ ログラムとともに詳細に 解説。 C + + プログラマ必 携の 1 冊 ! 。 : アスキー、ラ - ニングシステム 入門 回ロ を 0 第・ ー 0 第アスキー、ラーニングシスチム 0 6 実習 員ロ 第 新 新装 オフィシャルコースウェア ・ - うント物式第・第第 すをマ第 ⅸ 2 町取 2 i アフリ ー ZPPLt C 十十 Primer 改訂 3 版

ネットワーク管理ツール② ネットワークを調べる 荒井美千子、板橋ー正 ネットワーク障害の分析 前回は、ネットワークのトラフィックの状態を表示し たり、ネットワークの異常を発見するツールを紹介しまし これらのツールで不審な状況をみつけたとき、あるい は、ネットワークを利用するアプリケーションがうまく 動かない場合、ネットワーク管理者は次のような作業をお こなうことになります。 ・ツールでみつけた不審な現象がネットワーク障害かどう かを判断する。 ・ネットワーク障害だった場合には、その原因を突き止め ・ネットワーク上の通信を調べる ・ログメッセージを卩十ヾる ・ ( もしあれアプリケーション用の動 ( 何忍ツールを 障害をヾるおもな手段には、 て解決する。 84 易に発見できるでしよう。 がそうです。設定ミスなどは、これらのツールで上如勺容 Samba の nmblookup や smbstatus といったコマンド は、 DNS (Domain Name System) の nslookup や、 認のためのツールが付属しているものもあります。たとえ ネットワーク・アプリケーションのなかには、動イ何寉 なく、間題に応じて取捨〕尺するしかありません。 な障害でも原因がピタリと分かる " といった便利な王道は などがあります。しかし、残念ながら、、このガ去ならどん ログも、障害を発見するための重要なヒントを与えてく れます。工ラーメッセージとともに、障害の原因や発生し た状況カ求されていることもあるので、調査するときに 有効に活用しましよう。 アプリケーションの組合せや実行竟など、複雑な要因 か重なって障害が発生した場合は、ネットワーク上の通信 を角斤する LAN アナライサカ般に立ちます。 ネットワーク障害の予防 ネットワークを障害から守るには、障害が当をÉしにくい ようにすることも大切です。 そのためには、 ・新たなネットワークの構築・孑劇長 ・ネットワークへのホストの接続 ・ソフトウェアの新規導入やバージョンアップ といった、ネットワークに景斧をを与える状態の変化があっ たときに、 - ヨ勺な重川乍だけでなく、ネットワーク上の通 信も石忍しておきます。 たとえば、新しいソフトウェアを導入するときには、ひ ととおり操作してみて、意図しない通信が発生していない かを石忍してください。 正しく操作しているはすなのに、 ・不審なデータか流れる 数回に 1 回しか通信が成功しない ・疋期的に意図しない通信が発生している などの現象か起きている場合は、次のような原因が考えら れます。 UNIX MAGAZINE 2002.4

連載 . /Cyber Kansai P「0 」 ect— も 1 つあります ) だけを掲示し、ストリームサイトへの入 ロページとして万全を期すことにしました。 コンテンツのコピー 各サイトごとの Web サーバーの構成と・日嶽は以下のと 各サイトの、 Veb サーバーの構成と仕様 のミラーチェック欟冓などは、とくに設けていません。 ンへ rsync (SSH 経由 ) することにしました。コンテンツ 専用サ→ヾーを置き、そこからコンテンツ管理者が各マシ コンテンツの制作者が FTP でファイルを中幻逶するための ンテンツのコピーか重要な作業になります。今回は、 Web 多数の Web サーバーか並行して運用される場合は、コ 棘大学 ( 中村チーム ) おりです。 ( 今回のサービス部分には直接の関係はないので、構成図 ではモニタリンク 1 里の装置は除いてあります ) 。 日本 Apache ユーサ会侒東チーム ) Alteon ACESwitch 180e and05 Big PC (and05) andol 0 C iSCO Catalyst 3500XL andol 1 andol 2 andol 3 and014 and015 CPU メモリ OS Pentium III Xeon (500MHz) >< 8 IGB Solaris 8 for X86 ソフトウェア Apache 1.3.20 Mini PC (and010—and015) Foundry Serverlron Cisco Catalyst 3524XL Cisco Catalyst 3524XL Cisco CataIyst 3524XL leutl 1 leutl 2 leutl 3 CPU メモリ OS AMD K6 ー 2 (380MHz) 64MB BSD/OS 4.2 leut 11 CPU メモリ OS Pentium III (850MHz) 512MB Solaris 8 for X86 ソフトウェア Apache 1.3.20 leut12 CPU メモリ OS Pentium III (850MHz) 512MB Solaris 8 for X86 ソフトウェア Apache 2.0.16 leut 13 CPU メモリ OS Pentium III (850MHz) 512MB Solaris 8 for X86 ソフトウェア Apache 1.3.20 十 mod-backhand RADIX ckp2 Serverlron Foundry ckpl Compaq ProLiant ML330 ckp 1 & ckp2 CKP す。 万一、どちらかの系統が使用不能になった場午、、の対策で ウンドロビンによる負荷分散を利用しています。これは、 d010 ~ and015 ) のあいだでは、 AIteon の IP べースのラ 価をおこないました。 Big PC (and05) と Mini PC (an- Apache の負荷分昔攵モジュール mod-backhand4 の評 ソフトウェア chamomile 0.1 ServerIron と PC (leut 11 —leut13) のあいだに Cat- alyst が入っているのは、 CKP の甲子園中継でも利用さ れているトラフィック・モニターを入れているためです 172 CPU メモリ OS Pentium III (866MHz) 640MB Linux ( カーネル 2.4.4 ) ソフトウェア chamomile 0.1 4 http://www.backhand.org/mod-backhand/ UNIX MAGAZINE 2002.4