お古であるCF-SX2を何とか有効活用したい 過去の記事でも紹介してるんですが、現在の私のメインパソコンは「CF-NX3の皮に包まれたCF-NX4」ですが、それの前に使っていたお古がCF-SX2です。最終的に不要パーツが詰め込まれたんですが、それでも結構いいスペックなんですよね・・ CPUはCore i5-3240M メモリは12GB(DDR3L-10600 4GB+8GB) HDDは500GB SATA HDD そこで、以前はSophos XG Firewallを導入しようとした訳なんですが、実はオンボード有線NICが死んでまして。恐らくはボード破損したのだと思われるんですが、全くリンクアップしません。せっかくIntel PRO/1000が入ってるのにね・・とか思いつつ、しゃーないのでそのまま死蔵しておりました。（無線LAN NICを使うのはSophos XGFでは至難の業）
DL160 Gen8のNICを入れ替えたときのこと 先の記事でDL160 Gen8のNICを入れ替えた訳なんですけど、そこでも記載したように当初入れ替えたNICが認識しませんでした。実はその時の既存構成で、サーバのマネジメントI/FはDistributed Switchへ移行させていて、例のNICが認識しないことには何も出来ないという状況になりました。 このとき、DCUI（コンソールUI)を使用することで標準vSwitchの構成を吹っ飛ばすことが可能になります。そして新たに管理インタフェースを再構成し、取り敢えずは通信を可能とすることが出来ます。 しかし、当方の標準スイッチ、実はオンボード主体のvSwitchを10gbEインタフェースとは別に構成していて、そこにDistributed Switchに何らかの問題が生じた場合にVMが最低限通信できるようにと結構なVLANを登録しているのです。
タイムシェアリングシステム VMwareは「タイムシェアリングシステム」として動いていることはご存じだろうか。1台の物理マシン上であたかも複数のマシンが動くかのように見せる、しかもそのオーバーヘッドが最も少ない方法としてだいぶ昔に「ハイパーバイザー」というものが誕生し、現在は様々なプロダクトでこの仕組みが動いていたりする。 タイムシェアリングシステムそれ自体はさらに昔からずーっとあるもので、CPUを使用する時間をもの凄く細かく分割して、複数の動作するプログラムに対して必要に応じて割り当てるというものだったりする。実際には、CPUを「利用できる/できない」と言うことしか出来ないので、時間割を作って例えば A君は8時から20分間だけ使ってね B君は8時20分から10分間だけ使ってね C君は8時30分から30分間だけ使ってね A君はその後9時から20分間使って良いよ C君はその後9時20分から20分使って良いよ みたいな感じでCPUリソースが使われていきますよと。これがタイムシェアリングシステム。私は大学時代にこのことについて学び、それを採用したシステムの一つとしてUNIXが挙げられていた。こうやって細かく時間を区切って各プロセスに処理をさせることで、あたかも複数のプロセスが並列動作しているように見えたわけだ。
またやらかしたストレージ障害 もう、これまでに何度も我が家の環境では甚大な障害がおきまして、そのたびにいろいろ四苦八苦して復旧させてまいりました。一番最近でかかったものとしては、昨年６月末に発生した「間違えて稼働中のNASをVMとして丸っと削除した」という素敵な話だったのですが、今回も負け時劣らずえらいことになっております。 というのも、仮想ストレージである、EMC UnityVSAでFAST/VPと呼ばれる自動階層化機能を利用していました。この中でExtreme Performance階層として使用していたNVMe SSDがご臨終召されたのです。 使っていたSSDはSamsung製の256GB SSDでして、初めてNVMeとして触れたものでした。おそらく2016年ごろから使っていて、4年経過しようとしたところじゃないかなーと思います。 わかっちゃー居るんだけど、単一構成のSSDをFAST/VPに構成するのはそれなりの自殺行為ではあるなーと感じてはいて、大体ストレージは別途構成中の状態でした。が、それを構成してじゃぁ移行しようかと思った矢先に今回の事象に遭遇しました。 なんだかなー、いつもこういう地雷ばっかり踏むんだなー・・私。
重要性が増したSophos UTM9の担当箇所 我が家で長らく動いてるSophos UTM9。Home Editionライセンスで稼働していて、今ではかなり重要な経路を担当しています。 サーバ用デフォルトゲートウェイ Office365向けインターネットゲートウェイ メールゲートウェイ Mastodon/Misskeyインスタンス用対外部Webゲートウェイ 内部ネットワーク/DMZ間のボーダールーター(OSPFv2) IPS にも拘わらず長年シングル構成をとっていました。ってのも、なかなかHA構成を挑んでうまくいくことがなかったのです。 思い立って実行したが・・ はい。そこで思い立ってHA構成を組んでいこうと言うことでリソースを確保して実装しました。・・・が、早速初期化して間もないスタンバイノードのデータがPrimaryデータとして既存UTMに同期される始末・・・。一度は見事にUTMが全面初期化され、いろんな所に通信できなくなりました。 が、3点ほど気をつければきちんと設定できることが分かりました。取り敢えずこれを備忘録として記載しようと思います。
実家環境の困りごと 実家環境をDR環境として使ってみたり、弟のタブレットを活用して、Webアクセス制限をかけてみたりなど様々な用途に使っていたりするのですが、現在の構成はこんな感じになっています。 実家環境の中核はPrimergy TX140 S1を使用していますが、この中でSophos XG Firewallを動かしています。 そんなにたくさん昨日は動かしておらず、NAT、Firewall、DHCPぐらいだと思う。 この構成、やっかいなポイントが一つありまして、災対環境の中核が「仮想アプライアンス」であること。こいつが落ちると、例えESXiが生存していようとも、環境が全滅することになるわけでして。それはまずいよなということで、この部分を改めて物理アプライアンスにしようと取り組んだと。
pfsenseを入れ替えようと思ふ 我が家では、目的別でUTMをいくつか入れています。 Sophos UTM9：インターネットゲートウェイ Sophos XG Firewall : OwncloudのWAF pfsense：インタネットゲートウェイその2 本来はUTM9を退役させてpfsenseに処理を移したかったのですが、pfsenseのIPSがかなり敏感で、結構色々な必要通信がブロックされたりしまして、時々妻からクレームが上がっておりました。これをうまく抑制する操作について調べきれておらず、結局その後UTM9に戻したわけですが、これがなんとかならないものだろうか・・・？と。 そして見つけたのがUntangle XG Firewallと言う製品です。どうやら基本無償製品のようで、ベースはDebian GNU/Linuxベースのルーター機能だけを有し、そこから先の拡張機能であるアンチウイルス・アンチスパム・アドブロックなどの機能はアプリケーションとして追加実装する仕組みのようです。 ちなみにこうしたアドオン形式で機能を貼り付けていくのはpfsenseに似てるんじゃないかという気がします。
意外と調達に難航したんだが。 HDDマウンタとHDDの調達を行いまして。というのも、こないだ買ったDL360e Gen8のHDDが到着後起動してすぐに1本HDDがFAIL、1本がPredictive Failureになり。まさかのRAID5領域がダブルフォルトの危機になりまして。 450GBのSAS玉(15k)なんですが、意外とオークションなどでHPEブランドのディスクはいろいろ転がってまして、取り敢えず合計1万円ぐらいで中古HDDを4本、マウンタを合計3つ入手しました。 で、今回はそのうち1つを使って、Bay1のディスクリビルドを仕掛けたんですが・・・ えっ・・・・・・・・？どうして・・・・・・・・・・・？(｀；ω；´)
ある意味キワモノ二機種 昨年11月に予約して居た品が、ついに1月下旬に到着しました。RouterBoardを売ってるMikrotik社のスイッチ製品である、CRS(Cloud Router Switch)を2機種ほど購入しました。 CRS305-1G-4S+IN CRS106-1C-5S CRS305は、4ポートのSFP+と1ポートのRJ-45を備えた機種で、価格は定価だと$149。おそらく2019年1月時点で世界最安値の10GbEスイッチです。 CRS106は、5ポートのSFPと1ポートのSFP/RJ-45コンボポートを備えた機種で、CRS305と比較すると圧倒的に値が下がり、入手しやすい代物になります。ただ、かなりCPUやメモリのスペックは落ちます。 いずれも消費電力は10W強ぐらいのようです。加えて言えば、CRS305はAC電源をもう一つ用意すれば電源冗長が可能という、「お前のターゲット層は一体どこだ！？」と小一時間問いたくなるような一面を持っています。 CRS305もCRS106もRouterOSのレベルはL5ですので、マネージドL2にもマネージドL3にもなりますし、ルーターとして動かすことも出来ます。見た目は一般家庭向けアンマネージドスイッチに見えますが、機能的な面でいうと完全に別物で、出来ることを並べるとCiscoやArubaとかそういうところの製品とあまり変わりありません。 ただ、なにぶんハード性能は非常に低いため、あまりL3レイヤー以上の機能やマネージド機能を有効にしすぎるとパフォーマンスは一気に低下します。 実装・稼働 今回、それぞれのスイッチ機器に以下の役割を与えました。 CRS305：ESXiアップリンク用マネージドL2スイッチ CRS106：Homenoc IPv6用ルーター CRS305はVLANと管理IPアドレスの設定だけ行い、極力余計な機能が動作しないように構成しました。結果として思った以上に高いスループットを計測することが出来ました。 下図はインタフェースダッシュボードを表示させてるものになるのですが、iperfで計測をしてみた所、およそ3Gbps前後のスループットが記録されました。 他にも試しにCIFS経由で4GB程度のデータ送受信を試みましたが、ピーク性能は1.5Gbps、最低値が700Mbpsぐらいでした。これはどちらかというとディスクがボトルネックになり、それによってスループットが低下していたみたいです。 iperfでスループット計測中のCRS305の状態 ケーブル及びSFP+モジュールについてですが、今回あまりお金をかけられない状況もあったので、DAC(Direct Attached Cable)を使用しています。SFP+トランシーバとメタリックケーブルが一体構成となったもので、ヤフオクなどで比較的安価に出回っています。Cisco機器と違い、この機器はSFP+トランシーバのメーカーは問わないため、どこのDACでも対応できます。 実際、今回の構成ではMikrotikのSFP+は使わず、EMC製/Cisco製のものを混在使用していますが、正常にリンクアップできてますし、動作も今のところ問題ありません。 DAC3本で2台のESXiサーバに接続する CRS106は元々RB2011-UiASにて対応させてたHomenoc IPv6経路を通すためのルーターとして働いてもらうので、以下の設定を行いました。 Homenoc側が用意するBGP+ルーターとのピア確立 IPv6 Firewallの最低限の設定 配下のルータに対する経路配布のためのOSPFv3設定の実施/neighbor確立 ケーブルやSFPトランシーバに関しては余り物があったので、これに対してはそれらを活用しています。SFPポートは1番は管理用、2番は外部IPv6ポート、3番は内部IPv6ポートと使用しています。 入手が意外と難しい 今回、海外のECサイトを利用して購入しましたが、CRS305がとても売れ筋のようで、入荷するまでに2ヶ月程度待つことになりました。入荷したときはかなーり嬉しかったです。 ただ、その後すぐにまた「In Stock」と言う表示が「pre order」に変わり、あっという間に品切れ状態になったようです。(Baltic Networksで買いましたが、次回入荷は4月とかになってました。実際はもう少し早まりそうな気がしますけど) 日本は実はあまり認知度が高くなく、代理店もそんなに多くの機種を取り扱ってないんですが、米国やユーロ圏などで探すと結構色々見つかりますし、無事入荷したタイミングで購入すれば、そんなに日数かからず入手することが出来ます。 ただ、送料はそれなりに掛かる(今回$90程度かかっている)ので、その点は覚悟したほうが良さそうです。 以前のRB2011-UiASはAmazon経由で購入しましたが、今回のように海外経由での購入は久々でした。セカイモンを使ってInfinibandスイッチを買って以来？いや、Enterasysのスイッチを買って以来か。まぁまぁ手続きするのが懐かしく、英語の読み解きで脳みそコネコネすることも出来、ある意味リフレッシュになりました。
