エキスパートから失敗を回避する術を学べ！～SoftLayerアンチパターン・デザイン～

1. © IBM Corporation1
Presented by:
エキスパートから失敗を回避
する術を学べ！
～SoftLayerアンチパターン・デザイン～
安田 忍
IBMクラウド・マイスター
日本アイ・ビー・エム株式会社

2. © IBM Corporation2
話す
ひと
日本IBM クラウド・マイスター
安田 忍
①データベース(DB2/Oracle等)の元スペシャリスト
②日本IBMにおけるミドルウェア製品のデリバリーを
長く経験
③SoftLayerを使ったクラウド設計屋さん
好きな
SoftLayer
のサービス
無料のデータセンター間グローバ
ルネットワーク
Twitter:@testnin2 (shinobilayer)

3. © IBM Corporation3
第26回iSUCの最終セッションで話します
10/16(金) 11:00～12:00

4. © IBM Corporation4
アンチ・デザインパターン
1. Public NICを使った通信
2. VMWare ESX 5.xサーバーの課金
3. 10GB NICを使用しているサーバーでのDedicated
Firewall/Fortigate Firewall
4. SoftLayerネットワークの使用方法
5. パスワードリセットに備えたカスタマーポータルでの
ユーザ設定
6. SSH/RDPアクセスのためのFirewall構成
課金
セキュリ
ティー
ネット
ワーク

5. © IBM Corporation5
１．Public NICを使った通信
• アンチデザイン
• Public VLANを使ってノード間通信をする・・・ことで、同じデータセンター内でも無料枠を超えると
課金されてしまう。
• 望ましい方式
• 可能な限りPrivate NICを選択する。SoftLayerはPrivate NW通信は無料！
Public VLAN Private VLAN
Server A
Server B
・Server Aにとっては、inbound(中に入ってくる通信）な
ので課金なし。
・Server Bにとっては、outbound(外に出て行く通信）なの
で、無料枠を超えると課金される
安価なネットワーク転送料金
■プライベートネットワーク：
・受信無料/・送信無料
■パブリックネットワーク：
・受信無料
・250GBまで送信無料（仮想）
・500GBまで送信無料（物理）
・20TBまで送信無料（Vyatta Gateway Appliance)

6. © IBM Corporation6
2．VMWare ESX 5.xサーバーの課金
• アンチデザイン
• VMWare ESX 5.xはVMのメモリーアロケーション状況で課金を行うため、定期的にVMの稼働状況を
チェック
• VMWare ESX 5.xをユーザーが手動で停止すると、物理サーバー搭載メモリ分の課金がされる可能性が
ある
• 望ましい方式
• VMWare ESX 5.xサーバーは、運用上必要でなければ、原則長時間の電源停止を行わない
Baremetalサーバ
VMWare ESXi
SoftLayer管理サーバ
VM
4G
B
VM
8G
B
・・
VM
8G
B
VMにアロケーショしたメ
モリー容量を監視し、容量
に応じて従量課金
サーバが停止した場合、監視が行えないため、
Baremetalサーバ搭載分の全メモリ分の課金が
されてしまう。
VMWare 6.xからはプロセッサー課金になったの
で、気にしなくてもよくなったハズ。

7. © IBM Corporation7
3．10G NICでのDedicated Firewall/Fortigate Firewall
• アンチデザイン
• Dedicated Firewall/Fortigate Firewallはスループットの上限が1Gbps
• Public側で1Gbps以上のスループットが必要な場合にFWがボトルネックとなる
• Private側の制御ができない。
SL DC
インターネット Dedicated FW
Fortigate
クライアントPC
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
サーバのNICを10Gbpsに
アップグレードしてもFW
の上限が1Gbpsのためボト
ルネックとなる

8. © IBM Corporation8
• 望ましい方式
• Vyatta Gateway Applianceの10GbpsNICをFWとして使う
• Vyatta Gateway Applianceであれば、Private側もフィルタリング可能
SL DC
インターネット
Vyatta Gateway
(10Gbps NIC)
クライアントPC
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
NICを10Gbpsにアップグ
レードしたVyattaをFWと
して使用し、FWがボトル
ネックとなることを軽減す
る

9. © IBM Corporation9
（参考）ファイアーウオールの選択基準
特徴
OS
ファイアウォール
ハードウェア
ファイアウォール
（共用型）
ハードウェア
ファイアウォール
（専用型）
Fortigate
Security
Appliance
Vyatta
Gateway
Appliance
適用範囲
OS（パブリックIP、プラ
イベートIP）
サーバーの
Primary IPアドレス
１個（ポータブルIP
は不可）
パブリック
VLAN x1個
パブリック
VLAN x1個
パブリックVLAN x N
プライベートVLAN x
N
共用／専用 専用(OS) 共用(HW機器) 専用(HW機器) 専用(HW機器) 専用（物理サーバ）
HA構成 n/a コールドスタンバイ 可能 可能 可能
保護対象
Inbound/
Outbound
Inboundのみ Inboundのみ
Inbound/
Outbound
Inbound/
Outbound
性能
サーバー能力に依存
するが、負荷は微少
10Mbps〜
2000Mbps
～1Gbps ～1Gbps
〜10Gbps
(NICリンク速度に依
存）
その他の特徴
・OSにバンドルされるFW
または別途購入
・ログを取得するために
は、定期的に
Customer Portalで
ダウンロードするか、
APIを使う必要がある
・ログを取得するために
は、定期的に
Customer Portalで
ダウンロードするか、
APIを使う必要がある
・高価
・FortiGuard AV,
NGFW, Web
Filteringのオプション
あり
・運用が自己責任
・Syslog転送や
timezone変更など
ができない、シグネ
チャーの更新タイミン
グが制御できない等の
制限あり
・高価
・IPSec
VPN/GRE/NAT/V
LANトランク/ルーティ
ングなど、豊富なルー
ター機能を利用可能
であり、ゾーニングに利
用可能
・プライベートVLANも
保護可能
・高価
１つのVLANに対してどれか１つのFWしか適用できない
一般にVyatta Gateway ApplianceとOSファイアウォールを兼用することを推奨

10. © IBM Corporation10
4．SoftLayerプライベート・ネットワークとオンプレNW間の通信形態
• アンチデザイン
• SoftLayerネットワークを、トラフィックの通信路としてのみ使用する使い方は原則禁
止
① クライアントPC - オンプレのWebサーバー間で、直接TCPセッションが確立するケース
② クライアントPC - オンプレのWebサーバー間に、Proxy等があり、TCPセッションはそこで終端するケース
SL海外DC SL TOKYO DC
DirectLink
（専用線）
DirectLink
（専用線）
SoftLayer
Backbone NW
オンプレDC（国内）オンプレDC（海外）
インターネット
proxyサーバ
クライアントPC
クライアントPC
サーバー
①
②

11. © IBM Corporation11
• 望ましい方式
• クライアントPC - SoftLayer上のシステム- オンプレのWebサーバーのように、クライ
アントPCはSoftLayer上のシステムにアクセスし、SoftLayer上のシステムがオンプレの
Webサーバーにアクセスしてデータを取得して、クライアントPCに提供する
SL海外DC SL TOKYO DC
DirectLink
（専用線）
DirectLink
（専用線）
SoftLayer
Backbone NW
オンプレDC（国内）オンプレDC（海外）
インターネット
Webサーバ
クライアントPC
クライアントPC
DBサーバー

12. © IBM Corporation12
5. パスワードリセットに備えたカスタマーポータルでのユーザ設定
• アンチデザイン
• カスタマーポータルでSecurity Questionsを設定していない。
• 一般にパスワードリセットは、
• 一般ユーザー：SoftLayerサポートに依頼してもリセットはしてくれない。アカウ
ントユーザーのみリセットできる。
• アカウントユーザー：SoftLayerサポートに依頼してリセット可能だが、本人特定
のための詳細なチェックが発生し、（ソーシャルハッキングなどを鑑みるとそう
簡単にリセットされてしまっては困るので当然だが）非常に面倒くさい

13. © IBM Corporation13
• 望ましい方式
• ユーザー設定にて、Security Questionを入力する。
• password認証だけでなく、Security Questionを入力しないとログインできないように構成す
ることも可能。
• 詳細はこちらのページも参照。http://qiita.com/testnin2/items/9e2fd480731071152afb

14. © IBM Corporation14
（参考）パスワードリセットの方法
1. カスタマーポータルで
Forget Passwordを選択
2.ユーザーIDとメールアドレスを入力 3.以下の画面に遷移し、メールが届く
ので、メール中のリンクを選択
4.全てのSecurity Questionsに答えて、
新パスワードを入力

15. © IBM Corporation15
6. SSH/RDPアクセスのためのFirewall構成
• アンチデザイン
• Firewallを使っていない。もしくは、
• Firewallを使っていても、RDP(port: 3389)やSSH(port: 22)以外のポート番号を
閉じているから、インターネットからアクセスしても安全だと誤解している。
SL DC
FW
インターネット
クライアントPC

16. © IBM Corporation16
• 望ましい方式
• Firewallは、開いているポートに対する攻撃をブロックすることはできない。
• Firewallは（できればVyatta Gateway ApplianceとOSのように）多重で構成する。
• 最低でも以下のどれかの方式を採用する。これ以上の対策ができると望ましい。
Public NW
を完全に閉
じて、
Private
NW経由で
アクセスす
る
パスワード
は十分に複
雑である。
（Linuxで
は秘密鍵暗
号化方式が
使えるなら
そちらが望
ましい）
Firewallで
不要なポー
トはすべて
閉じている。
Firewallで
接続元IPア
ドレスを制
限している。
SSHや
RDPに
Well-
known port
番号を使用
しない。
アクセス履
歴を定期的
に確認する
方法１ ✔ ✔ ✔
方法２ ✔ ✔ ✔ ✔
方法３ ✔ ✔ ✔ ✔

17. © IBM Corporation17
–Any Questions ?