Chefを使ったiptablesで解放するTCP/UDPポート管理の手順
Chefで、iptablesというCookbookを使用して、
iptableで解放をするTCP/UDPポートを管理するレシピを書いてみたので、
その手順を書き残しておきます。
Chef Cookbook: iptables -Opscode Community
http://community.opscode.com/cookbooks/iptables
ChefでレシピのレシピでWebサーバやDBサーバをセットアップする場合、
あわせてiptablesでそれぞれのTCP/UDPポートを解放するレシピを書く必要があります。
そこで、
/etc/sysconfig/iptablesファイルをcookbook_fileで配置するアプローチをとると、
本番はWebAP/DBサーバを分けるが、評価用環境でWebAP/DBサーバを共存するような場合などは、
本番・評価で別のiptablesファイルを作っておく必要が出てきます。
なので自前スクリプトでiptablesを書き換えるproviderを作ったりしていたのですが、
Opscode Commnityそのためのcookbookがあったので、使ってみました。
以下のエントリのように、
KnifeSolo+Berkshelfの環境があることを前提に手順を示します。
以下のエントリ同様、CentOS6.4にnginxをセットアップする例で手順を示します。
Chef(Knife)+Berkshelfを使ってサーバを自動構築する手順
http://takemikami.com/archives/1423
Berkshelfを用いてiptablesのCookbookを取得する
Berksfileを以下の用に変更（nginx/iptablesを追加）します。
Berksfile
site :opscode
cookbook 'nginx'
cookbook 'iptables'
以下のコマンドで、opscodeのリポジトリからnginx,iptablesと依存するcookbookを取得します。
$ bundle exec berks --path=cookbooks
iptables設定用のレシピを作成する
以下のコマンドを実行し、mycookbookというcookbookを作成します。
$ bundle exec knife cookbook create mycookbook -o site-cookbooks/
** Creating cookbook mycookbook
** Creating README for cookbook: mycookbook
** Creating CHANGELOG for cookbook: mycookbook
** Creating metadata for cookbook: mycookbook
作成したCookbookのmetadata.rbにnginx,iptablesへの依存情報を追記します。
site-cookbooks/mycookbook/metadata.rb
depends 'nginx'
depends 'iptables'
解放するポート用のテンプレートファイル(SSH用とHTTP用)を作成します。
# /etc/sysconfig/iptables に記載する内容の一部になります
site-cookbooks/mycookbook/templates/default/ssh.erb
# Port 22 for ssh
-A FWR -p tcp -m tcp --dport 22 -j ACCEPT
site-cookbooks/mycookbook/templates/default/http.erb
# Port 80 for http
-A FWR -p tcp -m tcp --dport 80 -j ACCEPT
iptablesを設定するレシピを作成します。
site-cookbooks/mycookbook/recipes/default.rb
include_recipe "nginx"
include_recipe "iptables"
iptables_rule "ssh"
iptables_rule "http"
iptables設定用のレシピを適用＆確認する
対象ノード用のjsonファイルを作成します。
nodes/<対象ノートのホスト名>.json
{ "run_list": [ "recipe[mycookbook]" ] }
以下のコマンドを実行し、レシピを対象ノードに適用します。
$ bundle exec knife solo cook <対象ノートのホスト名>
Running Chef on <対象ノートのホスト名>...
Checking Chef version...
※省略※
Chef Client finished, 30 resources updated
適用が終わったら、ブラウザで対象ホストにアクセスして
「Welcome to nginx on EPEL!」が表示されることを確認します。
# curlとか、でもいいですが
iptablesのCookbookが何をやっているか？
iptablesで解放するTCP/UDPポートの管理は今までの流れで可能ですが、
このCookbookが何をやっているか気になったので、
作成されたファイルを少しのぞいてみることにします。
まずは/etc/sysconfig/iptablesを見てみると、
テンプレートファイル(SSH用とHTTP用)で定義した内容を含まれていることが分かります。
/etc/sysconfig/iptables
*filter
:INPUT ACCEPT
:FORWARD ACCEPT
:OUTPUT ACCEPT
:FWR -
-A INPUT -j FWR
-A FWR -i lo -j ACCEPT
# Any established connection is money
-A FWR -m state --state RELATED,ESTABLISHED -j ACCEPT
# ICMP
-A FWR -p icmp -j ACCEPT
# Port 80 for http
-A FWR -p tcp -m tcp --dport 80 -j ACCEPT
# Port 22 for ssh
-A FWR -p tcp -m tcp --dport 22 -j ACCEPT
# Rejects all remaining connections with port-unreachable errors.
-A FWR -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j REJECT --reject-with icmp-port-unreachable
-A FWR -p udp -j REJECT --reject-with icmp-port-unreachable
COMMIT
次に、/etc/iptables.d配下を見てみると、
all_established, all_icmp, http, ssh というファイルがあります。
中を見ると、これらがそれぞれ、
/etc/sysconfig/iptablesのパーツになっていることが分かります。
ここからレシピ適用時には、以下の処理が流れていることが想像できます。
- /etc/iptables.d に定義のパーツを作成
- パーツを元に/etc/sysconfig/iptablesを再生成
# 2の実体は、/usr/sbin/rebuild-iptablesというスクリプト
うまく設定できない場合などは、
このあたりのファイルがどうなっているかなどを追ってみると良いかと思います。
