ネットワーク関係

ネットワークの設定

全般的な設定は/etc/sysconfig/networkに、各ネットワークインタフェース個別の設定は/etc/sysconfig/network-scripts/ifcfg-インタフェース名で設定。

/etc/sysconfig/networkの設定記述方法は以下の通り³¹

NETWORKING=yes | no

ネットワークを有効にするかどうかを設定する。設定可能な値と意味は以下の通り。

• yes → 有効
• no → 無効

HOSTNAME=完全修飾ドメイン名

ホスト名（完全修飾ドメイン名、ホスト名＋ドメイン名）の設定

GATEWAY=IPアドレス

デフォルトゲートウエイのIPアドレスを指定。

GATEWAYDEV=ネットワークデバイス名

デフォルトゲートウエイルートとして優先的に用いるネットワークインタフェースのデバイス名を指定する。複数のネットワークインタフェースを備えている環境において複数のルートが取れる場合、この設定を行ってどのインタフェースをデフォルトゲートウエイとするのかを設定する必要がある。

NISDOMAIN=NISドメイン名

NISドメイン名を設定する。

NOZEROCONF=true | false

trueに設定するとZero Configuration Networking（DHCPやDNSが利用できない環境でもIPアドレスやホスト名を自動設定するネットワーク設定の仕組み、169.254.0.0/16 のIPが用いられる）を使わない。

/etc/sysconfig/networkの設定例

NETWORKING=yes
HOSTNAME=myserver.mydomain.org
GATEWAY=192.168.0.1
GATEWAYDEV=eth0
NISDOMAIN=mynis
NOZEROCONF=true

/etc/sysconfig/network-scripts/ifcfg-xxxの設定記述方法は以下の通り³²

/etc/sysconfig/network-scripts/ifcfg-xxxの設定例

BOOTPROTO=none | bootp | dhcp

システム起動時のIPアドレス設定に用いるプロトコルを指定する。指定できる値と意味は以下の通り。

• none → システム起動時のIPアドレス設定にいずれのプロトコルも用いない（固定IP時）
• bootp → BOOTPを用いてIPアドレスの設定を行う
• dhcp → DHCPを用いてIPアドレスの設定を行う

BROADCAST=IPアドレス

ブロードキャストアドレスを指定する。この値はifcalcを用いて自動的に計算できるため、BROADCAST指定子は廃止されます。

DEVICE=デバイス名

物理デバイス名を指定する。但し、動的にデバイス名の割り当てが行われるPPPデバイスの場合は論理名を使って指定する。

DHCP_HOSTNAME

DHCPサーバからIPアドレスの割り振りを受ける前にホスト名を指定するがある場合にのみこの指定を行う。

DNS1 | 2=IPアドレス

PREDNSにyesを指定している場合、/etc/resolv.confに記されているDNSサーバのIPアドレスを指定する。

ETHTOOL_OPTS=オプション

ethtoolコマンドで利用できるオプションをこのデバイスに対して適用する。例えば ETHTOOL_OPTS="autoneg off speed 100 duplex full"と指定すれば、強制的に通信モードを100MB全二重に設定できる。

GATEWAY=IPアドレス

所属するネットワークのルータやゲートウェイデバイスのIPアドレスを指定する。

HWADDR=MACアドレス

EthernetデバイスのMACアドレスを AA:BB:CC:DD:EE:FF の書式で指定する。この指定は複数のNICを装備している機器で、各NICに正しいデバイス名を割り振るのに役立つ。同一デバイスに対してHWADDRとMACADDRの両方を指定することがないように。

IPADDR=IPアドレス

このデバイスに割り振るIPアドレスを指定する。

MACADDR=MACアドレス

MACアドレスを AA:BB:CC:DD:EE:FF の書式で指定し、その値でEthernetデバイスに割り振るMACアドレスを上書きする。この指定は複数のNICを装備している機器で、各NICに正しいデバイス名を割り振るのに役立つ。同一デバイスに対してHWADDRとMACADDRの両方を指定することがないように。

MASTER=結合するインタフェース

複数のネットワークインタフェースを束ねて扱うChannel Bondingを利用する場合、結合先デバイスのデバイス名を指定する。この指定と合わせてSLAVEの設定も行う必要がある。

NETMASK=IPアドレス

サブネットマスクの値を指定する。

NETWORK=IPアドレス

ネットワークアドレスを指定する。この値はifcalcを用いて自動的に計算できるため、NETWORK指定子は廃止されます。

ONBOOT=yes | no

システム起動時にデバイスを自動的に有効化するかどうかを指定する。yesを指定すれば自動的に有効化され、noを指定すれば自動的には有効化されない。

PREDNS=yes | no

IPアドレスをDHCPを使って自動設定するように設定していて、DHCPサーバからDNSの指定があった場合、/etc/resolv.confの内容を更新するかどうかを設定する。yesを指定すると更新を行い、noを指定すると更新しない。指定がない場合の既定値はyes。

SLAVE=結合するインタフェース

複数のネットワークインタフェースを束ねて扱うChannel Bondingを利用する場合、結合先デバイスでデバイスの制御を行うかどうかを指定する。この指定と合わせてMASTERの設定も行う必要がある。 yesを指定するとMASTERで指定したChannel bondingインタフェースでこのデバイスを制御し、noを指定するとそれを行わない。

SRCADDR=IPアドレス

IPパケットを送信する際に設定する送信元アドレスを指定する。

USERCTL=yes | no

一般ユーザにこのデバイスの制御を許可するかどうかを指定する。yesを指定すれば許可し、noを指定すれば許可しない。

【例】DHCPによる自動割り振りの場合
DEVICE=eth0
BOOTPROTO=dhcp
ONBOOT=yes

【例】固定IPの場合
DEVICE=eth0
BOOTPROTO=none
ONBOOT=yes
HWADDR=00:11:22:33:44:55
IPADDR=192.168.0.2
NETMASK=255.255.255.0
USERCTL=no

複数のIPアドレスを設定

IPADDR、NETMASKそれぞれの後に数字をつけて別のアドレスを記述することにより、一つのネットワークインタフェースに複数のIPアドレス（secondary IP）を設定することもできる³⁶。

例：
$ cat /etc/sysconfig/network-scripts/ifcfg-eth0
...
IPADDR=192.168.0.1
NETMASK=255.255.255.0
IPADDR1=192.168.0.2
NETMASK1=255.255.255.0
...
$ ip addr show eth0
2: eth0:  mtu 1500 qdisc mq state UP qlen 1000
    link/ether e8:9b:8f:be:26:c8 brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.1/24 brd 192.168.0.255 scope global eth0
    inet 192.168.0.2/24 brd 192.168.0.255 scope global secondary eth0
    inet6 fe81::eb9a:8fff:febe:26c8/64 scope link

一時的な設定追加はipコマンドでできる。

# ip addr show eth1
1: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 0c:c4:7a:3a:8a:d9 brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.1/24 scope global eth1
    inet6 fe80::ec4:7aff:fe3a:8ad9/64 scope link 
       valid_lft forever preferred_lft forever
# ip addr add 192.168.0.100/24 dev eth1
# ip addr show eth1
1: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 0c:c4:7a:3a:8a:d9 brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.1/24 scope global eth1
    inet 192.168.0.100/24 scope global eth1
    inet6 fe80::ec4:7aff:fe3a:8ad9/64 scope link 
       valid_lft forever preferred_lft forever

ドメイン名、IPアドレスの問い合わせ（nslookup、dig）

nslookupはIPアドレスからドメイン・ホスト名、あるいはその逆をネームサーバに問い合わせる。対話モードと非対話モードがある。digはより詳細な情報が取得できる。

【書式１】非対話モードでコマンド実行
nslookup IPアドレス、またはドメイン・ホスト名 問い合わせ先ネームサーバ名
【書式２】対話モードに入る
nslookup

【例】対話モード
shell> nslookup ←対話モードに入る
> ftp.hoge.org ←ホスト・ドメイン名を指定して問い合わせ
Server:         192.168.1.1 ←問い合わせ先ネームサーバ
Address:        192.168.1.1#53 ←問い合わせ先ネームサーバのIPアドレスとポート番号

ftp.hoge.org      canonical name = www.hoge.org ←別名であった場合、正式名も表示される
Name:   www.hoge.org ←問い合わせたホスト・ドメイン名
Address: 11.20.30.1 ←問い合わせ結果（IPアドレス）
----
> 11.20.30.2 ←IPアドレスを指定して問い合わせ
Server:         192.168.1.1
Address:        192.168.1.1#53

2.30.20.11.in-addr.arpa      name = www2.hoge.org.←問い合わせ結果
----
> server dns.foo.org ←問い合わせるネームサーバを指定
Default server:dns.foo.org
Address:192.168.1.100#53
> www.hoge.org
Server:         192.168.1.100
Address:        192.168.1.100#53

Name:   www.hoge.org
Address: 11.20.30.3
----
> exit ←対話モードを抜ける
shell> 

DNSに問い合わせた内容は一定期間保存されるよう。そのキャッシュ情報を破棄する方法は以下の通り。 Mac OS Xの場合、それを破棄するにはdscacheutil -flushcacheを実行すればいい^{3 4}。

Windows

コマンドプロンプトでipconfig /flushdnsを実行。

Linux

nscdデーモンを再起動（/etc/init.d/nscd restart）を実行。

Mac OS

Leopardの場合lookupd -flushcache、 Snow Leopardの場合dscacheutil -flushcacheを実行。

digの場合

【書式】
dig @問い合わせ先DNSサーバ 問い合わせ内容 問い合わせタイプ

【例】
$ dig @dns2.pdbj.org pdbj.org NS
; <<>> DiG 9.8.3-P1 <<>> @dns2.pdbj.org pdbj.org NS
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39770
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 2
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;pdbj.org.			IN	NS

;; ANSWER SECTION:
pdbj.org.		21600	IN	NS	nbdcpdbjw1.pdbj.org.
pdbj.org.		21600	IN	NS	ftp.nbdc.pdbj.org.

;; ADDITIONAL SECTION:
nbdcpdbjw1.pdbj.org.	21600	IN	A	133.1.158.143
ftp.nbdc.pdbj.org.	21600	IN	A	133.1.158.146

;; Query time: 4 msec
;; SERVER: 133.1.158.146#53(133.1.158.146)
;; WHEN: Thu Nov 10 16:45:35 2016
;; MSG SIZE  rcvd: 106

@問い合わせ先DNSサーバ

省略した場合は/etc/resolv.confなどで設定された、既定の問い合わせ先に問い合わせる。

問い合わせタイプ

ANY、A、MX、SIGなどの問い合わせタイプを指定する。指定がない場合はAレコードを問い合わせる。

IP設定の参照や編集

net-toolsパッケージにより提供されるifconfigコマンドで現在のネットワーク設定を確認・編集することができる。CentOSやRHELの場合、このコマンドは/sbin配下にあり、一般ユーザの場合通常はここにパスが通っていないので、一般ユーザの既定状態でこのコマンドを利用するには、/sbinをパスに追加するか、/sbin/ifconfigのようにフルパスでコマンドを指定するかの措置が必要。

なお、net-toolsパッケージはRHEL7/CentOS7では廃止予定となっていて、iproute2パッケージにより提供されるipコマンドの使用が推奨されるとのこと。

【書式】現在の設定を表示
ifconfig インタフェース名
ip address show インタフェース名
「address」は「addr」または「a」の省略形で指定してもOK
「show」は「list」でもOK

【例】現在の設定を全て表示
# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:11:22:33:44:55  
          inet addr:192.168.0.1  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: ff88::22d:77ff:ff88:4f70/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:9670545 errors:0 dropped:0 overruns:0 frame:0
          TX packets:18060540 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1704451056 (1.5 GiB)  TX bytes:2617008746 (2.4 GiB)
          Interrupt:50 Base address:0x6f00 

eth1      Link encap:Ethernet  HWaddr 00:13:72:10:5F:52  
          inet addr:192.168.39.127  Bcast:192.168.39.255  Mask:255.255.255.0
          inet6 addr: fe80::213:72ff:fe10:5f52/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:27668891 errors:0 dropped:0 overruns:0 frame:0
          TX packets:10586975 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:3724021618 (3.4 GiB)  TX bytes:3163995926 (2.9 GiB)
          Interrupt:177 Memory:fbef0000-fbf00000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:14018 errors:0 dropped:0 overruns:0 frame:0
          TX packets:14018 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:4359621 (4.1 MiB)  TX bytes:4359621 (4.1 MiB)
# ip address show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: em1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether e8:9a:8f:bd:b4:d7 brd ff:ff:ff:ff:ff:ff
    inet 133.1.158.143/26 brd 133.1.158.191 scope global em1
    inet6 fe80::ea9a:8fff:febd:b4d7/64 scope link 
       valid_lft forever preferred_lft forever
3: em2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether e8:9a:8f:bd:b4:d8 brd ff:ff:ff:ff:ff:ff
    inet 192.168.181.51/24 brd 192.168.181.255 scope global em2
    inet6 fe80::ea9a:8fff:febd:b4d8/64 scope link 
       valid_lft forever preferred_lft forever

設定を変更
ifconfig インタフェース名 アドレスファミリー オプション + アドレス 
ip address add
ip address delete

ifconfigによる設定変更は一時的なもので、OSを再起動すると元に戻ってしまう。恒久的に変更するには/etc/sysconfig/network-scripts/ifcfg-eth0（eth0の部分はネットワークインタフェース名）などネットワークインタフェース毎の設定を編集する⁷。

【ネットワーク設定ファイルの内容例】
DEVICE=eth0
BOOTPROTO=static
BROADCAST=192.168.0.255
HWADDR=00:11:22:33:44:55
IPADDR=192.168.0.1
NETMASK=255.255.255.0
NETWORK=192.168.0.0
ONBOOT=yes

ipコマンド

RHEL/CentOS 7より、ネットワークの設定変更・参照を行う標準コマンドは、iproute2パッケージにより提供されるipコマンドになっている。ifconfig、route、netstat、arpなどのネットワーク関連コマンドはnet-toolsパッケージをインストールすれば使えるが、廃止予定となっておりiproute2パッケージに含まれるip、ssなどのコマンドを使うことが推奨されているとのこと³³。利用方法の概要は以下の通り。

ip オプション オブジェクト コマンド

オプション

-V

-version

ipユーティリティのバージョンを表示して終了する。

-d

-details

より詳細な情報を出力する。

-f ファミリー名

-family ファミリー名

利用するプロトコルファミリーを指定する。指定できるプロトコルファミリーの値はinet, inet6, bridge, ipx, dnet, link のいずれか。このオプションを指定しなかった場合、プロトコルファミリーは他の引数から推定したものが用いられる。残りの引数からファミリーが推定できなかった時、ipは既定のもの（通常はinetまたはany）が用いられる。linkは特別なファミリーでいかなるネットワークプロトコルも含まれないことを意味する。

-4

-family inet のショートカット。

-6

-family inet6 のショートカット。

オブジェクト

address

addr

a

デバイスのIP（IPv4またはIPv6）

neighbour

neigh

n

ARPキャッシュエントリー（最近通信した隣接デバイスのMACアドレスとIPアドレスの対応情報）

route

r

ルーティングテーブル

コマンド

省略すればshow/listが指定されたものとして扱われる？

add アドレス dev ネットワークデバイス名

change アドレス dev ネットワークデバイス名

replace アドレス dev ネットワークデバイス名

指定したネットワークデバイスを追加/設定変更する。 例：ip address add 192.168.1.2/24 dev eth0

delete

show dev ネットワークデバイス名

list dev ネットワークデバイス名

ネットワークデバイスの情報を表示する。デバイス名を指定しなかった場合、すべてのネットワークデバイスに関する情報を表示する。

例：ネットワークデバイスの情報を表示
$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: em1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 12:34:56:78:9a:bc brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.10/24 brd 192.168.0.255 scope global em1
       valid_lft forever preferred_lft forever
3: em2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 12:34:56:78:9a:bd brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.2/24 brd 192.168.100.255 scope global em2
       valid_lft forever preferred_lft forever

例：ARPキャッシュエントリーを表示
$ ip n
192.168.0.135 dev em1 lladdr 00:1b:21:14:55:4c STALE
192.168.0.4 dev em1 lladdr 28:92:4a:31:34:9e STALE
192.168.0.254 dev em1 lladdr d8:cb:8a:a4:e5:91 STALE
192.168.0.3 dev em1 lladdr d0:94:66:39:46:57 STALE
192.168.100.254 dev em2 lladdr e4:f0:04:7a:e3:80 STALE
192.168.100.4 dev em2 lladdr 00:20:85:e3:13:18 REACHABLE
192.168.1.2 dev em1 lladdr d8:cb:8a:a4:e5:91 STALE
192.168.0.1 dev em1 lladdr 00:12:e2:2e:76:6f REACHABLE
192.168.0.13 dev em1 lladdr 3c:07:54:69:9d:28 DELAY
192.168.0.99 dev em1 lladdr 00:12:e2:51:80:02 STALE
192.168.0.45 dev em1 lladdr d0:94:66:3b:18:8e STALE
192.168.0.2 dev em1 lladdr 90:b1:1c:14:83:26 STALE
192.168.0.72 dev em1 lladdr 64:00:6a:6c:f8:e6 STALE
192.168.0.253 dev em1 lladdr d8:cb:8a:a4:e4:75 STALE
192.168.0.190 dev em1 lladdr 74:d4:35:45:d5:54 STALE
192.168.1.3 dev em1 lladdr d8:cb:8a:a4:e4:75 STALE

例：ルーティングテーブルを表示
$ ip r
default via 192.168.0.10 dev em1 proto static metric 100 
192.168.0.10/24 dev em1 proto kernel scope link src 192.168.0.1 metric 100 
192.168.100.2/24 dev em3 proto kernel scope link src 192.168.100.1 metric 100

help

通信確認（ping）

pingコマンドは、ICMP ECHO_REQUEST パケットをネットワーク上のホストに送って、ICMP ECHO_RESPONSE を要求する。通信確認に用いられる⁸。

【書式】
ping オプション

-c 回数

指定した回数だけパケットを送信する。指定がなければ Ctrl+C で停止させるまで繰り返しパケットを送信し続ける。

-s パケットサイズ

指定したサイズ（バイト）のパケットを送信する。指定がない場合の既定値は 56バイト（ICMPヘッダ 8バイトを含めると合計 64バイト）。スーパーユーザだけがこのオプションを使用可能。

-p パターン

指定したパターンで送出するパケットを中身を埋める。パターンは最大 16 個まで指定可能。データパターン依存の問題切り分けに有用。例：-p ff 全て 1 で埋めたパターンのパケットを送出。

リモートマシンへの接続（telnet）

リモートマシンにログインして操作する。最近はセキュアなsshによる接続が主となり、telnetポートは閉じられていることも多い。

close

現在の接続を閉じます。

logout

強制的にリモートユーザーをログアウトし、接続を閉じます。

disddlay

操作パラメータを表示します。

mode

行または文字のモード入力を試みます。

open

サイトに接続します。telnetと同じ。

open [-l user] [-a] [-s src_addr] host-name [port]

-l ユーザ名

接続ユーザー名を指定します。

-a

？

-s 接続元

接続元アドレスを指定します？

host-name

接続先アドレス

port

接続先ポート番号

リモートマシンへのセキュアな接続（ssh）

• パスワード認証ログイン
• 鍵認証ログイン
• サーバとのやりとりを詳細表示
• オプション一覧
• OpenSSHのrpmビルドとインストール
• ssh/sftpの設定（sshd_config）
• ホーム領域の外に行けなくする→サーバ管理 - ホーム領域の外に行けなくする（ssh）
• initlogについて
• 強制ログアウト
• トラブルシューティング

【書式】
ssh ログイン名@接続先ホスト名
ssh -l ログイン名 接続先ホスト名

[~/.ssh/ssh_config]
# ssh www.hoge.com → ssh hoge
Host hoge
  HostName www.hoge.com
# ssh user@www.hoge.com → ssh hoge-user
Host hoge-user
  HostName www.hoge.com
  User user

【書式】
ssh -i 秘密鍵ファイル ユーザ名@接続先ホスト名

【例】~/.ssh/id_dsa 秘密鍵を使って server.destination.net に ユーザ名 user でログイン
ssh -i ~/.ssh/id_dsa user@server.destination.net

# vim /etc/ssh/sshd_config
...
Match User ユーザ
  ChrootDirectory chrootディレクトリ
  AuthorizedKeysFile  chrootディレクトリ/home/ユーザ/.ssh/authorized_keys
...
# /etc/init.d/sshd restart
sshd を停止中:                                             [  OK  ]
sshd を起動中:/etc/ssh/sshd_config line xxx: Directive 'AuthorizedKeysFile' is not allowed within a Match block
                                                           [失敗]

ln -s chrootディレクトリ/home/ユーザ/.ssh/authorized_keys /home/ユーザ/.ssh/authorized_keys

Host    targetserver
IdentityFile    ~/.ssh/id_rsa2target
User    user

【例】公開鍵認証でログイン→失敗→次候補のパスワードで認証
[user@client ~]$ ssh -v -i ~/.ssh/id_dsa user@server.destination.net
OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: Connecting to server.destination.net [xxx.xxx.xxx.xxx] port 22.
debug1: Connection established.
debug1: identity file .ssh/id_dsa type 2
debug1: loaded 1 keys
debug1: Remote protocol version 2.0, remote software version OpenSSH_4.3
debug1: match: OpenSSH_4.3 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.3
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-cbc hmac-md5 none
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug1: Host 'server.destination.net' is known and matches the RSA host key.
debug1: Found key in /home/user/.ssh/known_hosts:24
debug1: ssh_rsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey,gssapi-with-mic,password
debug1: Next authentication method: gssapi-with-mic
debug1: Unspecified GSS failure.  Minor code may provide more information
Unknown code krb5 195

debug1: Unspecified GSS failure.  Minor code may provide more information
Unknown code krb5 195

debug1: Unspecified GSS failure.  Minor code may provide more information
Unknown code krb5 195

debug1: Next authentication method: publickey
debug1: Offering public key: .ssh/id_dsa 
debug1: Authentications that can continue: publickey,gssapi-with-mic,password
debug1: Next authentication method: password
user@server.destination.net password: 
debug1: Authentication succeeded (password).
debug1: channel 0: new [client-session]
debug1: Entering interactive session.
debug1: Sending environment.
debug1: Sending env LANG = ja_JP.UTF-8
[user@server ~]$ 

ssh オプション ユーザ名@ホスト名 コマンド

[/etc/init.d/sshd]
initlog -c "$SSHD $OPTIONS" && success || failure
RETVAL=$?
↓
# initlog -c "$SSHD $OPTIONS" && success || failure
$SSHD $OPTIONS && success || failure
RETVAL=$?

【例】pts/1が残っている分、pts/2がログインし直した分
$ w
 00:51:45 up 125 days,  8:34,  7 users,  load average: 1.12, 1.07, 1.07
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
user    pts/1    192.168.1.2   00:11   32:58   0.24s  0.00s sshd: user [pr
user    pts/2    192.168.1.2   00:22    0.00s  0.02s  0.00s w
...

【例】pts/1 に該当する 25490 がkill対象
$ ps ax | grep sshd
...
25490 ?        S      0:00 sshd: user@pts/1
26174 ?        S      0:00 sshd: user@pts/2
...
$ kill 25490
$ ps ax | grep sshd
...
26174 ?        S      0:00 sshd: user@pts/2
...
$ w
 00:52:45 up 125 days,  8:35,  7 users,  load average: 1.12, 1.07, 1.07
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
user    pts/2    192.168.1.2   00:22    0.00s  0.02s  0.00s w
...

リモートマシンとのセキュアなファイルのやりとり（scp）

リモートマシンとのファイル送受信を、sshを用いセキュアに行う。更新されたファイルのみを取得するのであればrsyncを用いた方が便利。

scp オプション 転送元ファイル 転送先

転送元ファイル

書式は以下の通り。

【転送元がリモートである場合】
ユーザ名@ホスト名:パスファイル名
例：user@server:/var/www/html/index.html
※パスを省略すると、ホームディレクトリを指定したものとして解釈されます。
【転送元がローカルである場合】「ユーザ名@ホスト名:」を省略するとローカルを指定したと解釈される
パスファイル名
例：/var/www/html/index.html

転送先

転送元と同様。パスのみを指定すればファイル名を変更せずコピーされる。

-l 数値

通信帯域を 数値 Kbit/sec に制限する。なお rsync の --bwlimit オプションとは単位が異なる（rsync は Kbytes/sec）。

ネットワーク関連情報取得（netstat）

• 開かれているソケット一覧を表示
• ルーティング情報を表示
• インタフェースの情報を表示
• 各プロトコルの統計情報一覧を表示
• オプション

【書式１】開かれているソケット一覧を表示
netstat

【出力例】
[user@server ~]$ netstat
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State      
tcp        0      0 server.dammy.org:893        www:59773                   ESTABLISHED 
tcp        0      0 localhost.localdomain:55921 localhost.localdomain:smux  ESTABLISHED 
tcp        0      0 server.dammy.org:733        www:nfs                     ESTABLISHED 
tcp        0      0 localhost.localdomain:smux  localhost.localdomain:55921 ESTABLISHED 
tcp        0      0 server.dammy.or:foo-dev     ftp:nfs                     ESTABLISHED 
tcp        0      0 server.dammy.org:33725      ftp:sunrpc                  TIME_WAIT   
tcp        0      0 server-p:mysql              mirror-p:58844              ESTABLISHED 
tcp        0      0 server.dammy.org:mysql      server2.dammy.org:35314     ESTABLISHED 
tcp        0      0 server.dammy.org:http       dhs-outbound.bos3.fas:26087 TIME_WAIT
...
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags       Type       State         I-Node Path
unix  25     [ ]         DGRAM                    8003   /dev/log
unix  2      [ ]         DGRAM                    67177749 @/org/kernel/udev/udevd
unix  2      [ ]         DGRAM                    13477  @/org/freedesktop/hal/udev_event
unix  3      [ ]         STREAM     CONNECTED     81471128 
unix  3      [ ]         STREAM     CONNECTED     81471127 
unix  2      [ ]         DGRAM                    81471122
...

【書式２】ルーティング情報を表示
netstat --route
netstat -r

【出力例】
[user@server ~]$ netstat -r
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
123.124.125.6   *               255.255.255.192 U         0 0          0 eth1
192.168.100.0   l3sw            255.255.255.0   UG        0 0          0 eth1
192.168.110.0   *               255.255.255.0   U         0 0          0 eth0
169.254.0.0     *               255.255.0.0     U         0 0          0 eth1
default         123.124.125.1   0.0.0.0         UG        0 0          0 eth1

【書式３】インタフェースの情報を表示
netstat --interface=インタフェース名
netstat -i インタフェース名

【出力例】
[user@server ~]$ netstat -i
Kernel Interface table
Iface       MTU Met       RX-OK RX-ERR   RX-DRP RX-OVR       TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0       1500   0    10413598      0      438      0    12104978      0      0      0 BMRU
eth1       1500   0 21658759622      0 18281753      0 20785572057      0      0      0 BMRU
lo        16436   0     4512572      0        0      0     4512572      0      0      0 LRU

【書式４】各プロトコルの統計情報一覧を表示
netstat --statistics
netstat -s

【出力例】
[user@server ~]$ netstat -s
Ip:
    184575400 total packets received
    6 with invalid headers
    25564739 forwarded
    0 incoming packets discarded
    154273804 incoming packets delivered
    828285231 requests sent out
    84 outgoing packets dropped
    26 reassemblies required
    13 packets reassembled ok
Icmp:
    61767 ICMP messages received
    3970 input ICMP message failed.
    ICMP input histogram:
        destination unreachable: 31690
        timeout in transit: 731
        echo requests: 51
        echo replies: 29280
    256558 ICMP messages sent
    0 ICMP messages failed
    ICMP output histogram:
        destination unreachable: 227125
        time exceeded: 6
        redirect: 84
        echo request: 29297
        echo replies: 46
IcmpMsg:
        InType0: 29280
        InType3: 31690
        InType8: 51
        InType11: 731
        OutType0: 46
        OutType3: 227125
        OutType5: 84
        OutType8: 29297
        OutType11: 6
Tcp:
    602635 active connections openings
    7809559 passive connection openings
    16363 failed connection attempts
    718607 connection resets received
    10 connections established
    145990133 segments received
    787683889 segments send out
    6533585 segments retransmited
    0 bad segments received.
    89501 resets sent
Udp:
    8436572 packets received
    52272 packets to unknown port received.
    0 packet receive errors
    8521422 packets sent
TcpExt:
    32160 invalid SYN cookies received
    9836 resets received for embryonic SYN_RECV sockets
    9 packets pruned from receive queue because of socket buffer overrun
    63 ICMP packets dropped because they were out-of-window
    3645431 TCP sockets finished time wait in fast timer
    21 time wait sockets recycled by time stamp
    6262 packets rejects in established connections because of timestamp
    9296819 delayed acks sent
    1911 delayed acks further delayed because of locked socket
    Quick ack mode was activated 361464 times
    1169 times the listen queue of a socket overflowed
    1169 SYNs to LISTEN sockets ignored
    47674 packets directly queued to recvmsg prequeue.
    669273 packets directly received from backlog
    92229 packets directly received from prequeue
    2273553288 packets header predicted
    1168 packets header predicted and directly queued to user
    164283552 acknowledgments not containing data received
    1408198669 predicted acknowledgments
    78333 times recovered from packet loss due to fast retransmit
    548963 times recovered from packet loss due to SACK data
    1604 bad SACKs received
    Detected reordering 2836 times using FACK
    Detected reordering 2801 times using SACK
    Detected reordering 121 times using reno fast retransmit
    Detected reordering 5007 times using time stamp
    3142 congestion windows fully recovered
    96576 congestion windows partially recovered using Hoe heuristic
    TCPDSACKUndo: 7575
    33419 congestion windows recovered after partial ack
    8146110 TCP data loss events
    TCPLostRetransmit: 18414
    6251 timeouts after reno fast retransmit
    37802 timeouts after SACK recovery
    19378 timeouts in loss state
    3073062 fast retransmits
    2199096 forward retransmits
    849485 retransmits in slow start
    153243 other TCP timeouts
    TCPRenoRecoveryFail: 50106
    90292 sack retransmits failed
    648 packets collapsed in receive queue due to low socket buffer
    361402 DSACKs sent for old packets
    2840 DSACKs sent for out of order packets
    115977 DSACKs received
    1846 DSACKs for out of order packets received
    32203 connections reset due to unexpected data
    22640 connections reset due to early user close
    3991 connections aborted due to timeout
IpExt:
    InMcastPkts: 8620
    OutMcastPkts: 156
    InBcastPkts: 4375583

ファイルのダウンロード(wget)

wgetは指定URLからファイルのダウンロードを行う。

wget オプション URL

wgetがインストールされていない場合は、wgetのサイトからダウンロードしてインストール。以下はMacOS 10.6.8の例。

$ gpg --verify wget-1.14.tar.gz.sig
gpg: 月  8/ 6 05:25:29 2012 JSTにDSA鍵ID C03363F4で施された署名
gpg: 署名を検査できません: No public key
↑公開鍵がないので取得する
$ gpg --recv-keys C03363F4
gpg: 鍵C03363F4をhkpからサーバーkeys.gnupg.netに要求
gpg: 鍵C03363F4: 公開鍵“Giuseppe Scrivano <gscrivano@gmail.com>”を読み込みました
gpg: 最小の「ある程度の信用」3、最小の「全面的信用」1、PGP信用モデル
gpg: 深さ: 0  有効性:   1  署名:   0  信用: 0-, 0q, 0n, 0m, 0f, 1u
gpg: 次回の信用データベース検査は、2015-08-18です
gpg:     処理数の合計: 1
gpg:           読込み: 1
$ gpg --verify wget-1.14.tar.gz.sig
gpg: 月  8/ 6 05:25:29 2012 JSTにDSA鍵ID C03363F4で施された署名
gpg: “Giuseppe Scrivano <gscrivano@gmail.com>”からの正しい署名
gpg:                 別名“Giuseppe Scrivano <gscrivano@gnu.org>”
gpg:                 別名“Giuseppe Scrivano <giuseppe@southpole.se>”
gpg: 警告: この鍵は信用できる署名で証明されていません!
gpg:       この署名が所有者のものかどうかの検証手段がありません。
主鍵の指紋: F9A0 3458 D353 F1B3 1B5A  345B 0791 AF8C C033 63F4
$ tar -zxvf wget-1.14.tar.gz
wget-1.14/
wget-1.14/doc/
wget-1.14/doc/stamp-vti
wget-1.14/doc/texi2pod.pl
wget-1.14/doc/Makefile.in
...
wget-1.14/NEWS
wget-1.14/configure
wget-1.14/ChangeLog
wget-1.14/MAILING-LIST
$ cd wget-1.14
$ ./configure
configure: configuring for GNU Wget 1.14
checking for a BSD-compatible install... /usr/bin/install -c
checking whether build environment is sane... yes
...
checking for gcry_control in -lgcrypt... no
checking for libgnutls... no
configure: error: --with-ssl was given, but GNUTLS is not available.
--with-ssl=openssl のオプションを追加してみる（既定値のgnutslは未インストールのようなので）
$ ./configure --with-ssl=openssl
configure: configuring for GNU Wget 1.14
checking for a BSD-compatible install... /usr/bin/install -c
checking whether build environment is sane... yes
...
config.status: executing po-directories commands
config.status: creating po/POTFILES
config.status: creating po/Makefile
$ make
make  all-recursive
Making all in lib
rm -f alloca.h-t alloca.h && \
...
Making all in util
make[2]: Nothing to be done for `all'.
make[2]: Nothing to be done for `all-am'.
$ make check
...
Skip: Test-iri-percent.px
FAIL: Test-iri-disabled.px
Skip: Test-iri-forced-remote.px
...
==================
70 tests were run
54 PASS, 1 FAIL
15 SKIP, 0 UNKNOWN
==================
make[3]: *** [run-px-tests] Error 1
make[2]: *** [check-am] Error 2
make[1]: *** [check-recursive] Error 1
make: *** [check] Error 2
$ sudo make install
Password: 
make  install-recursive
Making install in lib
make  install-recursive
...
make[3]: Nothing to be done for `install-data-am'.
make[3]: Nothing to be done for `install-exec-am'.
make[3]: Nothing to be done for `install-data-am'.
$ wget --version
GNU Wget 1.14 built on darwin10.8.0.
...
make checkで1件エラーが出ていたが、問題なくインストールできたらしい

参考文献・サイト

• wget の使い方
• wgetヘルプ（wget -h）

ファイルの送受信(curl)

perl オプション URL

-F キー名=内容, --form キー名=内容

HTTPのフォームデータをPOSTするのと同等の動作を行う。ファイルを送信するにはファイル名の前に @ を付ける。ファイルの内容をキーに対応する値として送信するにはファイル名の前に < を付ける。複数回記述可能。

【例】www.foo.com に test.sql を送信する（キーは q ）
curl -F "q=@test.sql" www.foo.com
    

-I

--head

HTTPヘッダだけを取得する。ウェブアクセスの場合、HEADコマンドを使って文書のヘッダ部分だけを取得する。FTPまたはFILEの場合、ファイルサイズと最終修正時刻だけを表示する。このオプションを2回指定すると、2回目の指定でヘッダのみを取得するオプションは無効になる。

-o ファイル名

--output ファイル名

ファイル名で指定したファイルに出力内容を書き込む。{}や[]を使って複数のファイルを指定し、「#」の直後に数値を記して{}や[]の部分を参照することができる。

例：
curl http://{one,two}.site.com -o "file_#1.txt"
↓
http://one.site.com → file_one.txt として保存
http://two.site.com → file_two.txt として保存

curl http://{site,host}.host[1-5].com -o "#1_#2"
↓
http://site.host1.com → site_1 として保存
http://site.host2.com → site_2 として保存
...
http://host.host1.com → host_1 として保存
...

-s

--silent

サイレントモードで動作する。進行状況を示すバーや、エラーメッセージを出力しない。

--ssl

（FTP、POP3、IMAP、SMTP）接続する際、SSL/TLSを使った接続を試す。接続先サーバがSSL/TLSに対応していなかったら、セキュアではない接続に戻す。この機能は、バージョン7.11.0より--ftp-sslという名称で追加されたオプション。バージョン7.20.0から--sslというオプション名でも実装されるようになった。現在、どちらのオプション名も使えるが、--ftp-sslは将来のバージョンで廃止される。

--ssl-reqd

（FTP、POP3、IMAP、SMTP）接続する際、SSL/TLSを使った接続を試す。接続先サーバがSSL/TLSに対応していなかったら、接続を終了する。かつてこの機能は、--ftp-ssl-reqdというオプション名で実装されていた機能。現在、どちらのオプション名も使えるが、--ftp-ssl-reqdは将来のバージョンで廃止される。

-T アップロードするファイルのファイル名

--upload-file アップロードするファイルのファイル名

ローカルにあるファイルをリモートURLにアップロードする。URLにファイル名部分を含まず、アップロード先ディレクトリ名だけを指定した場合、ローカルファイル名を付加して処理を行う。なおこの場合、指定するURLの末尾はスラッシュ（/）とし、そのことを明示する必要がある。HTTP(S)サーバに対してアップロードする場合、PUTコマンドが用いられる。

1つの-Tオプションには1つのURLしか指定できないが、ワイルドカード的な表記ができるので一つのURLにより複数のファイルを一度に指定することはできる。

curl -T "{file1,file2}" http://www.example.com
curl -T "img[1-1000].png" ftp://ftp.example.com/upload/

-u ユーザ名:パスワード

--user ユーザ名:パスワード

サーバ認証に使うユーザ名を指定する。ユーザ名に続けてコロンとパスワードも指定できる。ユーザ名だけを指定した場合、パスワードは標準入力より入力するよう求められる。仕様上、コロンを含むユーザ名は指定できない（パスワードは可）。

-w 書式指定

--write-out 書式指定

標準出力に出力する際の書式を指定する。変数を好きな数だけ指定することができる。書式指定をファイルから読み込む場合は「@書式指定ファイル名」で指定する。標準入力から読み込む場合は「@-」を指定する。指定可能な変数は以下の通り。変数は「%{変数名}」の書式で指定する。%自体を出力するには「%%」と%を2回記す。改行（newline）、復帰（carrige return）、タブはそれぞれ\n、\r、\tと記す。

注：%の文字はwin32環境では特殊な意味を持っているため、このオプションを使う際%が現れる箇所は全て%を2回記しておく必要があります。

変数名	内容
url_effective	最後に取得したページのURL
http_code	最後にhttp(s)ページを取得した時のhttp status
http_connect	curl接続要求に対する最後の応答中にみられる数値コード
time_total	全てのやりとりにかかった時間（秒）。精度はミリ秒単位。
time_namelookup	やりとり開始から名前解決までにかかった所要時間（秒）
time_connect
time_pretransfer
time_redirect
time_starttransfer
size_download
size_upload
size_header
size_request
speed_download
speed_upload
content_type
num_connects
num_redirects
ftp_entry_path

出展：man curl (Curl 7.19.0 10 July 2008 curl(1))

メール（クライアント）

この節ではメールの送受信を行うmailコマンドに関して記す。メールサーバについてはsendmail関係、Postfix関係参照。

• 送信
• 受信・閲覧
• 転送
• mailコマンド
• 参考文献・サイト

【書式】
/usr/lib/sendmail 宛先 <送信内容
mail -s 件名 -c ccアドレス -b bccアドレス toアドレス <送信内容
mailx -s 件名 -c ccアドレス -b bccアドレス toアドレス <送信内容
※送信内容テキストをリダイレクトしない場合、標準入力からの入力となる。入力終了はCtrl+D。

【例】
shell> /usr/lib/sendmail kudou <mail.txt

【例】ローカルユーザ hoge にメールを送る
shell> mail hoge
Subject: test
This is a test mail.
Ctrl + d
Cc: Ctrl + d

shell> echo -e $FIRST"\n"$SECOND | mailx -s $SUBJECT $TO

shell> mail ←mail起動
Mail version 8.1 6/6/93.  Type ? for help.
"/var/spool/mail/kudou": 1 message 1 new
>N  1 kudou@hoge.foo.org  Mon Aug 31 17:15  14/570
& 1 ←1番のメッセージを閲覧
Message 1:
From kudou@pdbjs9.pdbj.org  Mon Aug 31 17:15:22 2009 ←ヘッダ部
Date: Mon, 31 Aug 2009 17:15:22 +0900                ←ヘッダ部
From: kudou@hoge.foo.org                             ←ヘッダ部
                                                     ←ヘッダ部と本文は空行で区切られる
This is a one line message.                          ←本文


& q ←mail終了
Saved 1 message in mbox
shell> 

# ~/.forward で指定する場合
[user@server ~]$ cat ~/.forward
ueda
kasano@mail.sample.org

# /etc/aliases で指定する場合
[user@server ~]$ cat /etc/aliases
...
user: ueda, kasano@mail.sample.org
...

# ~/.forward で指定する場合
[user@server ~]$ cat ~/.forward
user@mail.another.org, "/home/user/mail_pile"

# /etc/aliases で指定する場合
[user@server ~]$ cat /etc/aliases
...
user: user@mail.another.org, "/home/user/mail_pile"
...

# ~/.forward で指定する場合
[user@server ~]$ cat ~/.forward
user@mail.another.org, "| /home/user/myscript"

# /etc/aliases で指定する場合
[user@server ~]$ cat /etc/aliases
...
user: user@mail.another.org, "| /home/user/myscript"
...

【書式】
mail オプション -s 件名 -c ccアドレス -b bccアドレス toアドレス -- sendmailオプション
mail オプション -f name
mail オプション -u user

ホスト情報

現在のローカルホスト名はhostnameコマンドで一時変更可能²。

# hostname # 引数を指定しなければ現在のローカルホスト名が表示される
www.hoge.com
# hostname www2.hoge.com

この設定変更はOS再起動により元に戻ってしまうので、恒久的に変更したければ、/etc/sysconfig/network の HOSTNAME設定値を変更する²。

例：
NETWORKING=yes
NETWORKING_IPV6=no
HOSTNAME=www.example.org

ホスト名からIPアドレスへの対応情報の検索順序は /etc/nsswitch の hosts に記載されている。

例：ローカルにあるホスト名情報ファイル、NISサーバ、DNSサーバの順で検索
hosts: files nis dns

/etc/hostsがローカルにあるホスト名情報ファイル。

IPアドレス       ホスト名
123.123.123.123  hoge
100.100.100.100  fuga

NISを利用している場合、NISサーバのhostsファイル等を更新しても、自動的にはNISクライアントに通知されない。以下の通り反映処理が必要。

[root@nisserver ~]# cd /var/yp
[root@nisserver yp]# make
gmake[1]: ディレクトリ `/var/yp/mynis' に入ります
Updating hosts.byname...
Updating hosts.byaddr...
Updating netid.byname...
gmake[1]: ディレクトリ `/var/yp/mynis' から出ます

参考文献・サイト

• UNIXの部屋 コマンド検索:/etc/hosts (*BSD/Linux)
• Ｌｉｎｕｘのホスト名を変更する…サーチマンのIT技術の処方箋より

パケットフィルタ、NAT

パケットフィルタやNATの取り扱いについて、RHEL/CentOSの6まではiptablesが使われていたが、RHEL/CentOS 7以降はfirewalldに変わっている。firewalldの使い方については...参考 38

RHELやCentOS（～6）において、設定類は/etc/sysconfig/iptables、/etc/sysconfig/iptables-configに記されている。現在の設定は/etc/init.d/iptables statusで表示される出力内容で確認できる。設定変更は/etc/sysconfig/iptablesを編集してiptablesサービスを再起動するか、あるいはiptablesコマンドで編集を行う。後者の場合で次回iptablesサービス再起動時以降も変更を適用したい場合は、iptables-saveコマンドで/etc/sysconfig/iptablesに出力しておく。

【書式】
iptables コマンド

コマンド

-A チェイン ルール詳細

--append チェイン ルール詳細

指定されたチェインの最後にルール詳細で指定した 1 つ以上のルールを追加する。送信元や送信先のホスト名が複数のIPアドレスに解決された場合、可能なアドレスの組合せそれぞれに対してルールが追加される。

-m モジュール名

--match モジュール名

条件指定の拡張を行う。プロトコルの指定（-pまたは--protocolの指定によっては暗黙のうちに指定が行われるものもある）。

ah

conntrack

dscp

esp

helper

icmp

length

limit

mac

mark

multiport

owner

physdev

pkttype

state

このモジュールは、接続追跡 (connection tracking) と組み合わせて用いると、パケットについての接続追跡状態を知ることができる。

--state 状態

状態には、マッチング対象となる、コンマ区切りの接続状態リストを記述する。指定可能な値は次の通り。 INVALID: メモリを使い果たした為や、既知の接続とは 対応 しない ICMP エラーなど、何らかの理由によりパケットが識別できない。 ESTABLISHED: このパケットは、過去双方向にパケットがやり取りされた接続に属するパケットである。 NEW: このパケットが新しい接続を開始したか、双方向にはパケットがやり取りされていない接続に属するパケットである。RELATED: このパケットが新しい接続を開始しているが、 FTP データ転送や ICMP エラーのように、既存の接続に関係している。

tcp

tos

ttl

udp

unclean

-D チェイン名 ルール番号

--delete チェイン名 ルール詳細

指定されたチェインから 1 つ以上のルールを削除する。削除対象とするルールの指定には２種類あり、チェイン中の最初のルールを1番として登場順序で指定する方法と、一致するルールを指定する方法とがある。

-I チェイン名 ルール番号 ルール詳細

--insert チェイン名 ルール番号 ルール詳細

指定されたチェインのルール番号番目にルール詳細で指定したルールを挿入する。ルール番号を指定しない場合の既定値は1（チェインの先頭）。

-R チェイン名 ルール番号 ルール詳細

--replace チェイン名 ルール番号 ルール詳細

指定されたチェイン中で、ルール詳細にマッチするルールを、ルール番号番目のルールと入れ替える。送信元や送信先の名前が複数のアドレスに解決された場合、このコマンドは失敗する。

ルール詳細に使うパラメータ

-p プロトコル名または番号

--protocol プロトコル名または番号

ルールの対象とするプロトコル名または番号。指定できるプロトコル名は tcp、udp、icmp そして /etc/protocols に記載されたものまたは番号。all または 0 を指定すると全てを選択したことになる。プロトコル名または番号の前に ! を記すとそのプロトコルが除外される。このオプションを指定しない場合の既定値はこのall。

-s 送信元

--source 送信元

--src 送信元

ルールの対象とする送信元を指定する。指定はホスト名、IPアドレス、ネットワークセグメントのいずれかで行う。ホスト名なDNSに問い合わせて解決する必要があるものを用いるべきではない（/etc/hosts に記されたホストは可）。ネットワークセグメントは「ネットワークアドレス/ネットマスク」の形で指定する。ネットマスクはビット数またはIPアドレスと同じく8オクテットごとに10進数で表記した書式で記す（例：192.168.0.0/24、192.168.0.0/255.255.255.0）。アドレスの前に ! を記すとそのアドレスを除外する意味になる。

--source-port ポート

--sport ポート

プロトコルにtcpまたはudpが指定された場合、このオプションを使って送信元側ポートを指定する。このオプション指定より前にプロトコル指定（-p tcp または -p tcp）がないとエラーになる。2つのポート番号をコロンで挟んで指定し、区間指定することもできる。またポートの前に ! を記すと指定されたポートを除外する指定となる。

--destination-port ポート

--dport ポート

プロトコルにtcpまたはudpが指定された場合、このオプションを使って送信先側ポートを指定する。このオプション指定より前にプロトコル指定（-p tcp または -p tcp）がないとエラーになる。2つのポート番号をコロンで挟んで指定し、区間指定することもできる。またポートの前に ! を記すと指定されたポートを除外する指定となる。

-d 送信先

--destination 送信先

--dst 送信先

ルールの対象とする送信先を指定する。書式については-s（送信元の指定）と同様。

-j 処理内容

--jump 処理内容

パケットがルールにマッチした場合にどうするのかを指定する。指定できる値は「ACCEPT」（通す）、「DROP」（破棄する）、「QUEUE」（ユーザ空間に渡す）、「RETURN」（呼び出し元親チェインに戻って次から判定処理を再開）、「LOG」（カーネルログに記録する）など。ログの場合、以下のオプションが指定できる。

--log-level ログレベル

記録するログのレベル（優先度）を数値またはログレベル名で指定する。ログレベル名はdebug, info, notice, warning, err, crit, alert, emergのいずれか（man syslog.conf参照）。

--log-prefix 文字列

指定したプレフィックスをログメッセージの前に付ける。プレフィックスは 29 文字までの長さで、ログの中でメッセージを区別するのに役立つ。

--log-tcp-sequence

TCP シーケンス番号をログに記録する。ログがユーザーから読める場合、セキュリティ上の危険がある

--log-tcp-options

TCP パケットヘッダーのオプションをログに記録する。

--log-ip-options

IP パケットヘッダーのオプションをログに記録する。

ログに出力した時の書式は以下の通り³⁵

Prefix IN=入力IF OUT=出力IF MAC=Macアドレスとプロトコル SRC=送信元IP DST=送信先IP LEN=パケット長? TOS= PREC TTL ID PROTO=通信プロトコル SPT DPT LEN

設定を変更した後は、/sbin/services iptables restart を実行²。

[root@server ~]# /sbin/services iptables restart
ファイアウォールルールを適用中:                                           ]
チェインポリシーを ACCEPT に設定中filter                                [  OK  ]
iptables モジュールを取り外し中                                       [  OK  ]
iptables ファイアウォールルールを適用中:                                  ]
iptables モジュールを読み込み中ip_conntrack_netbios_ns                [  OK  ]

＜コマンドでの設定追加＞
iptables -A RH-Firewall-1-INPUT -s 192.168.39.127 -m tcp -p tcp

iptables-save コマンドで現在の設定を標準出力に出力可能。リダイレクトしてファイルに書き出すこともできる。

[root@server ~]# iptables-save
（画面に出力）
[root@server ~]# iptables-save > iptables.save
※iptables.save に現在の設定が書き込まれる。

Ubuntuでポートの設定を行うには ufw コマンドを使う⁶。

【例】
$ sudo ufw status # 有効無効の状況表示
$ sudo ufw enable # 有効化
$ sudo ufw disable # 無効化
$ sudo ufw allow 80/tcp # 80番TCPポートへのアクセスを許可する

ログへの記録にはターゲットにLOGを指定したルールを追加する。追加した場所までどのルールにも合致しなかったものが対象となる。最後に全て拒否するようなルールがある場合、ルール追加位置は最後のルールの直前にする。

【書式】
iptables -A チェーン名 -j LOG --log-prefix 接頭辞 --log-level=ログレベル名

【例】
iptables -A INPUT -j LOG --log-prefix "IPTABLES_INPUT_LOG: " --log-level=info

ログへの記録にはターゲットにLOGを指定する。但し、そのままではシステムログに混ざって出力されてしまうので、別のログファイルに出力するには、ログ出力のルールを追加した上でsyslogの設定を変更する。^{8 10}

1. ログ出力ルール追加
# iptables -A INPUT -j LOG --log-prefix "IPTABLES_INPUT_LOG : " --log-level=info

2. syslog設定でログ出力先を追加し、システムログには出力されないようにする
# vim /etc/syslog.conf
# iptables log
*kern.debug /var/log/iptables.log
...
*.info;mail.none;news.none;authpriv.none;cron.none /var/log/messages
*.info;mail.none;news.none;authpriv.none;cron.none;kern.none /var/log/messages

3. iptables用ログファイル作成
# touch /var/log/iptables.log
# chmod 600 /var/log/iptables.log

4. syslogdを再起動
# /etc/init.d/syslog restart

日本のIPだけを許可するにはIPリストを取得する必要あり⁹。

ログがたまってくるとディスクを圧迫するようなら適宜logrotateの設定も行うこと。

RPC情報の表示（rpcinfo）

参考文献・サイト

• Manpage of RPCINFO（JM Project）

ルーティング情報の編集（route）

ルーティング情報の参照や編集は、RHELやCentOSの場合routeコマンドで行うことができる。routeコマンドについて詳細は以下の通り。Mac OS X の場合、netstat -rを使う→netstat参照。

【書式】現在のルーティング情報を表示
route [-CFvnee]
# 
【例】
# route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.0.0     *               255.255.255.0   U     0      0        0 eth0
192.168.1.0     192.168.0.100   255.255.255.0   U     0      0        0 eth0
169.254.0.0     *               255.255.0.0     U     0      0        0 eth0
default         192.168.0.1     0.0.0.0         UG    0      0        0 eth0

【書式】ルーティング情報を追加
route  [-v]  [-A  family]  add [-net|-host] target [netmask Nm] [gw Gw]
              [metric N] [mss M] [window W]  [irtt  I]  [reject]  [mod]  [dyn]
              [reinstate] [[dev] If]
【書式】デフォルトゲートウェイを設定
route add default gw ゲートウェイアドレス
【書式】ルーティング情報を削除
route  [-v]  [-A  family]  del [-net|-host] target [gw Gw] [netmask Nm]
              [metric N] [[dev] If]
【書式】バージョンとヘルプ
route  [-V] [--version] [-h] [--help]

gw, GW

ゲートウェイを経由した経路。この経路が有効に動作するにはゲートウェイが到達可能なアドレスでなければならない。つまり、ゲートウェイ自体の静的経路があらかじめ設定されている必要があるということ。

ゲートウェイを経由した経路。この経路が有効に動作するにはゲートウェイが到達可能なアドレスでなければならない。つまり、ゲートウェイ自体の静的経路があらかじめ設定されている必要があるということ。

【例】
下記ネットワークにて、[Cluster]へのルート
「192.168.1.0/24ネットワークへ行くためのゲートウェイはSW(192.168.0.100)」
を追加する。

[Internet]-[FW]-[Internal]-[SW]-[Cluster]
FW:192.168.0.1
Internal:192.168.0.0/24
SW:192.168.0.100
Cluster:192.168.1.0/24


# route add -net 192.168.1.0 mask 255.255.255.0 gw 192.168.0.100

※この設定がないと、192.168.1.0/24 行きの通信はデフォルトゲートウエイであるFW(192.168.0.1)へ向かってしまう。

routeやipによる設定は一時的なものでOSを再起動したりすると設定内容は失われてしまう。恒久的な設定を行うには/etc/sysconfig/network-scripts/route-ネットワークデバイス名に設定を記述しておく。デフォルトゲートウェイは、デフォルトゲートウェイへの経路となるネットワークデバイスの設定にDEFROUTE=yesと書いておく³⁴。

【例】eth1経由で192.168.100.1をゲートウェイとする192.168.150.0/24ネットワークへのルートを設定
# cat /etc/sysconfig/network-scripts/route-eth1
192.168.150.0/24 via 192.168.100.1

【例】eth2のゲートウェイをデフォルトゲートウェイにしたい場合
# cat /etc/sysconfig/network-scripts/ifcfg-eth2
...
GATEWAY=ゲートウェイIP
DEFROUTE=yes

ネットワーク上に流れるパケットを監視する（tcpdump）

tcpdump オプション パターン

オプション

-i ネットワークインタフェース名

情報監視対象とするネットワークインタフェース名を指定する。指定がない場合は最も番号が小さく、LinkUp状態にあるインタフェースが対象となる（但しループバックは除く）。指示されたインターフェイスが存在しない場合はもっとも近いものが選択される。

-r ファイル名

パケットを -w オプションで作成したファイルから読み込む。- を指定すると標準入力からデータを読み込む。

-w ファイル名

パケット解析内容を標準出力に出力せず、生データのまま指定したファイルに書き出す。このファイルは後で -r オプションを使って内容を見ることができる。ファイル名に - を指定すると標準出力に出力する。

パターン

監視対象を指定する。指定がない時はネットワーク上の全パケットを取り込む。指定がある場合、パターンにマッチするパケットのみが取り込み対象となる。パターンは1つ以上の要素で構成される。要素は修飾子とそれに続く値で構成される。修飾子には3つの種類がある。

type

続く値の種類を指定する。このカテゴリで利用可能な修飾子は「host」（ホスト名）「net」（ネットワーク）「port」（ポート番号）の3種。指定がない場合の既定値は「host」。ネットワークの場合、IPアドレスあるいはその前一部を記す。例：host foo、net 192.168.0、port 20。

dir

通信の方向を指定する。このカテゴリで指定可能な修飾子は「src」（来る通信）「dst」（出る通信）「src or dst」「src and dst」の4種。指定がない場合の既定値は「src or dst」。例：src foo、dst net 192.168.0、src or dst port ftp-data。「null」リンク層（slip のようなポイントツーポイントプロトコル）の場合、方向を指定する修飾子として inbound とoutbound も利用できる。

proto

対象プロトコルを指定する。指定可能な値はether, fddi, mopdl, ip, ip6, arp, rarp, decnet, lat, sca, moprc, mopdl, icmp, icmp6, tcp, udp。例: ether src foo、arp net 192.168.0、tcp port 21。 proto 修飾子が指示されない場合は type と矛盾しない範囲で全てのプロトコルが指示されているものとみなす。例:src foo（ip、arp、rarpのいずれかのプロトコルで、送信元がfoo）、net bar（プロトコルがip、arp、rarpのいずれかで、ネットワークbarに所属する相手との通信）、port 53（tcpまたはudpのport 53）。

許容される要素の組み合わせを以下に記す。

dst host 宛先

パケットの宛先（destination）フィールドが宛先である時に真となる。宛先はホスト名、IPアドレスどちらも指定可能。

src host 送信元

パケットの送信元（source）フィールドが送信元である時に真となる。送信元はホスト名、IPアドレスどちらも指定可能。

host ホスト

パケットの宛先（destination）フィールドまたは送信元（source）フィールドがホストである時に真となる。ホストはホスト名、IPアドレスどちらも指定可能。

【例】22番ポートを監視する
tcpdump 'tcp port 22'

【例】eth0インタフェースにおける、192.168.1.10との通信を監視する
tcpdump -i eth0 host 192.168.1.10

参考文献・サイト

1. man tcpdump
2. Manpage of TCPDUMP（JM Project）

ネームサーバの設定

ホスト名（＋ドメイン名）をIPアドレスに対応させる名前解決を実現する方法の1つに、ドメインネームシステムサーバ（DNSサーバ）に問い合わせる方法があるが、その問い合わせ先となるDNSサーバの設定は /etc/resolv.conf に記述して行う。

nameserver IPアドレス

ネームサーバのIPアドレスを指定する。複数指定可能。

【例】
nameserver 12.34.56.78
nameserver 12.34.56.79

search ドメイン名

ドメイン名が付加されていないホスト名を検索する際、ドメイン名を補完して完全修飾ドメイン名（FQDN）として検索するが、この補完するドメイン名のリストをここで指定する。 指定が無い場合は、ローカルドメイン（自マシンが所属するドメイン）のみとなるが、この指定を行うことで他のドメインも検索されるようになる。

【例】
search pdbj.org

但し、CentOS 6.4では、OSを再起動すると書くネットワークインタフェースの設定（/etc/sysconfig/network-scripts/ifcfg-ethXなど、Xは数字）で/etc/resolve.confの内容は上書きされてしまうらしい。つまり/etc/resolve.confだけを編集しても、OSを再起動すると元の設定に戻ってしまう、ということらしい。CentOSの場合、network-scriptsの方も修正しておく必要があるらしい⁴。

NIC情報取得

ethtool はネットワークインタフェースに関する各種情報を提供する。

# which ethtool
/sbin/ethtool
# ethtool eth1
Settings for eth1:
	Supported ports: [ TP ]
	Supported link modes:   10baseT/Half 10baseT/Full 
	                        100baseT/Half 100baseT/Full 
	                        1000baseT/Full 
	Supports auto-negotiation: Yes
	Advertised link modes:  10baseT/Half 10baseT/Full 
	                        100baseT/Half 100baseT/Full 
	                        1000baseT/Full 
	Advertised auto-negotiation: Yes
	Speed: 1000Mb/s
	Duplex: Full
	Port: Twisted Pair
	PHYAD: 1
	Transceiver: internal
	Auto-negotiation: on
	Supports Wake-on: g
	Wake-on: d
	Link detected: yes

これを利用して、ネットワークインタフェースがUpしているかどうかをチェックすることができる。

# ethtool eth1 | grep 'Link detected' | gawk '{print $3}'
yes # Upしていれば"yes"、Downしていれば"no"

但し、ethtool を実行するには管理者権限が必要。管理者権限がないユーザがインタフェースのLinkがUpしているかどうかをチェックするのに dmesg が使える場合もある。

$ which dmesg
/bin/dmesg
$ dmesg | grep 'bnx2: eth0'
bnx2: eth0: using MSI
bnx2: eth0 NIC Copper Link is Up, 1000 Mbps full duplex
bnx2: eth0 NIC Copper Link is Down
bnx2: eth0 NIC Copper Link is Up, 1000 Mbps full duplex
# 最終行の、空白区切り7番目の値からコンマ除去
$ dmesg | grep 'bnx2: eth0' | tail -n 1 | gawk '{print $7}' | sed -e 's/,//'
Up # Upしていれば"Up"、Downしていれば"Down" 但し一度もUpしていなければNULLが返る場合あり

$ dmesg | grep 'ADDRCONF(NETDEV' | grep eth0
ADDRCONF(NETDEV_UP): eth0: link is not ready
ADDRCONF(NETDEV_CHANGE): eth0: link becomes ready
$ dmesg | grep 'ADDRCONF(NETDEV' | grep eth0 | tail -n 1 | sed -e 's/^.*link \(.*\)$/\1/'
becomes ready # または「is not ready」

IPv6関係

IPv6を使っていないにも関わらずIPv6が有効になっていると、必要のないチェックが行われるなど動作が遅くなる一因となることがあるらしい。その場合、IPv6を無効化すればいいのだが、OSバージョンによって方法が違うなどややこしいらしい⁴。

参考文献・サイト

1. nslookup で DNS サーバーを指定する - パソコンのトラブルとノウハウ・オンラインコンサルタントWiki
2. How to flush DNS cache in Linux / Windows / Mac - Techie Corner
3. man exports (exports(5) 31 December 2009、)
4. IPV6を無効化する | UNIXLife
5. automount の設定 - maruko2 Note.
6. パソコン手探り CentOSでifconfigを使う方法
7. LINUXのＩＰアドレスを変更する
8. man ping（RHEL5.5）
9. ＠IT：Security Tips -- 自マシンの開きポートとプロセスの関係を確認する
10. man netstat
11. netstat - ホストのネットワーク統計や状態を確認する
12. wget で HEADリクエスト (groundwalker.com)
13. Cloud Watchのカスタムメトリクスで特定のurlのhttp status codeを監視する - あんこの成長記録
14. UNIXサーバに関するQ&A
15. 鍵認証によるssh接続｜FreeBSD｜@OMAKASE
16. CentOSの設定(7) - OpenSSHのインストール…PukiWikiより
17. openssh-libedit.spec.patch
18. openssh-5.5p1 (rpm) の作成
19. man ssh_config (BSD September 25, 1999)
20. $HOME/.ssh/configを活用していますか？ ディノオープンラボラトリ
21. man ssh
22. ＤＳＡ暗号とＲＳＡ暗号 - ネットワークセキュリティ - 教えて！goo
23. openssh 4.9以降でchroot ssh - うまい棒blog
24. man sshd_config（BSD October 23, 2012）
25. OpenSSH…OpenSSHの本家サイト
26. SSHサーバー構築(OpenSSH) - CentOSで自宅サーバー構築
27. ユーザを強制ログアウトさせる - ヘタレSEの覚書
28. openssh 4.9以降で正式にサポートされたchroot sshで公開鍵認証を使う場合の罠 - うまい棒blog
29. /etc/sysconfig/network - Linux初心者の基礎知識
30. 1.ネットワークの基本設定(第5章ネットワークの設定と操作:基本管理コースI)
31. 28.1.21. /etc/sysconfig/network - Deployment Guide - Red Hat Enterprise Linux
32. 13.2. Interface Configuration Files - Deployment Guide - Red Hat Enterprise Linux
33. RHEL7/CentOS7でipコマンドをマスター - めもめも
34. Linuxルーティング追加 | server-memo.net
35. iptablesのログフォーマットと内容について « てっく★ゆきろぐ Rev2
36. CentOS6からの複数IP（secondary）設定方法 | server-memo.net
37. hidekiy blog: [linux] ping は通るのに No route to host と言われる
38. CentOS 7 firewalld よく使うコマンド - Qiita
39. sshキーのキータイプはなにがいいのか - Machine Morning