_ 冗長化？

freevrrpdとrelayd組み合わせてWebと外向けDNSの冗長化が何とかならんかと時間を見つけては格闘していたのだけど、諦めた。

1.freevrrpdはルータ越えるとゴキゲンがよろしくない

2.relaydだと、DNSはプロキシモードじゃ無いとちゃんと動かないがそれだと問い合わせ元が全部プロキシになっちゃうのでaxfrとかの制御がアレ

3.DSRモードならアクセス元制御できそうなので色々試したけどbindはDSR方式には対応出来なさそう

なので、鯖2台＋LB2台のトラディショナルな冗長構成はどうやら無理。

Linuxで別のLB建てるのも面倒だしなぁ。

内部から外向きのDNSとか串はrelaydで問題ないと思うし、DNSは実際そうしてる。

_ でもって

余計な事をしないでaliasだけを切り替える「なんちゃってvrrpd」を作ったついでに、FreeBSDで完全にdaemonとして動くようにしてみた。 　

#!/bin/sh
# This is "Fake VRRP daemon"
# By H.Uekusa 20200705
# Put "fakevrrpd" into /usr/local/etc/rc.d
# such as below
# and do
# "service fakevrrpd enable"
# "service fakevrrpd enabled"
# "service fakevrrpd start"
#----------------------------------------------------
# #!/bin/sh
# # -*- coding: utf-8; mode: shell-script; -*-
# # insert `fakevrrpd_enable="YES"' in /etc/rc.conf
# # Use with fvrrpd
# # By H.Uekusa 20200630
# #
# # PROVIDE: fakevrrpd
#
# PROG="/usr/local/etc/fvrrpd"
#
# . /etc/rc.subr
#
# name=fakevrrpd
# rcvar=fakevrrpd_enable
# procname=/bin/sh
# pidfile=/var/run/fvrrpd.pid
#
# start_cmd="${name}_start"
# stop_cmd="${name}_stop"
#
# load_rc_config $name
# : ${fakevrrpd_enable:="NO"}
#
# fakevrrpd_start () {
#         echo "Starting fakevrrpd"
#         $PROG -d
# }
#
# fakevrrpd_stop () {
#         echo "Stopping fakevrrpd"
#         $PROG -k
# }
#
# run_rc_command "$1"
#----------------------------------------------------
#
############### configuration valiables ################
CAT="/bin/cat"
GREP="/usr/bin/grep"
IFCONFIG="/sbin/ifconfig"
KILLA="/usr/bin/killall"
LOGGER="/usr/bin/logger"
PING="/sbin/ping"
NC="/usr/bin/nc -z -w 1 " # and $MASTER and port
RESTART_NAMED="/usr/sbin/service named restart"
#
VIP="10.2.3.4"
MASK="netmask 255.0.0.0"
MASTER="10.2.3.5" #Actual master IP address
IF="vmx0" #Physical interface name in ifconfig
PORT="80" #Monitor for back up the master
WAIT_LIMIT="60" #Seconds
#
PIDFILE="/var/run/fvrrpd.pid"
LOGNAME="fake_vrrpd"
########################################################
#
######## main module ########
main () {
STAT_PREV="0"
PID=`echo $$`
echo $PID > $PIDFILE
if [ "$1" == "verbose" ];then
        LOG="echo"
elif [ "$1" == "daemon" ];then
        LOG=`echo $LOGGER -is -t $LOGNAME`
else
        exit 3
fi
$LOG "Fake vrrpd PID is $PID"
while [ 1 ]; do #Infinite loop
$PING -c1 -t1 $MASTER >/dev/null 2>&1
STAT_NOW=`echo $?`
        if [ $STAT_NOW != $STAT_PREV ];then #Found change
                if [ $STAT_NOW != 0 ];then #Change is master down
                        $LOG "Master $MASTER down detected! I will become the Master"
                        $IFCONFIG $IF |$GREP $VIP >/dev/null 2>&1
                        MY_VIP_ENABLED=`echo $?`
                        if [ $MY_VIP_ENABLED != 0 ];then #My VIP is not set
                                $PING -c1 -t1 $VIP >/dev/null 2>&1
                                STAT_VIP=`echo $?`
                                if [ $STAT_VIP != 0 ];then #Another VIP is not found
                                        $LOG "I become the Master!"
                                        $IFCONFIG $IF alias $VIP $MASK
                                        $LOG "Restarting named"
                                        $RESTART_NAMED
                                else
                                        $LOG "The Master seems down, but there is another Master ??"
                                        $LOG "To avoid conflict, do nothing."
                                fi
                        fi
                else #Change is master back up
                        $LOG "Master $MASTER interface back up detected! Waiting for enabling service at $PORT."
                        NC_STAT="1"
                        STAT_COUNT="0"
                        while [ $NC_STAT != 0 ];do
                                $NC $MASTER $PORT
                                NC_STAT=`echo $?`
                                echo "Status $NC_STAT"
                                echo "Count $STAT_COUNT"
                                if [ $STAT_COUNT -gt $WAIT_LIMIT ];then
                                        $LOG "Waiting for enabling service at $PORT timed out $WAIT_LIMIT sec, aborting."
                                        exit 5
                                fi
                                STAT_COUNT=`expr $STAT_COUNT + 1`
                                sleep 1
                        done
                        $LOG "Master $MASTER service back up detected! I will become the standby"
                        $IFCONFIG $IF |$GREP $VIP >/dev/null 2>&1
                        MY_VIP_ENABLE=`echo $?`
                        if [ $MY_VIP_ENABLE = 0 ];then #My VIP was set
                                $LOG "I become the standby! Removing alias $VIP"
                                $IFCONFIG $IF -alias $VIP
                                $LOG "Restarting named"
                                $RESTART_NAMED
                        else
                                $LOG "VIP $VIP is already removed or not set, Nothing to do."
                        fi
                fi
        fi
echo "IF Status $STAT_PREV->$STAT_NOW"
STAT_PREV=`echo $STAT_NOW`
sleep 1
done
rm -f $PIDFILE
exit 4
}
#############################
#
###### check arguments ######
if [ "$1" == "-d" ];then #Run as daemon
        LOG=`echo $LOGGER -is -t $LOGNAME`
        $LOG "Fake vrrpd is starting as daemon"
        if [ -f "$PIDFILE" ];then #Exist PID file?
                $LOG "There is PID file at $PIDFILE,I'm exiting"
                $LOG "If you would like to start forcibly, Use -k option first"
                exit 2
        fi
        $0 -vd >/dev/null 2>&1 &
elif [ "$1" == "-h" ];then #Display help
        echo "Usage"
        echo " -d : Run as daemon"
        echo " -h : Display help"
        echo " -v : Run on foreground"
        echo " -k : Kill daemon"
elif [ "$1" == "-k" ];then #Killing existing process
        LOG=`echo $LOGGER -is -t $LOGNAME`
        if [ -f "$PIDFILE" ];then #Exist PID file?
                PIDKILL=`$CAT $PIDFILE`
                $LOG -is -t $LOGNAME "Killing fake vrrpd $PIDKILL"
                kill -9 $PIDKILL
                rm -f $PIDFILE
                $LOG -is -t $LOGNAME "removing PID file"
        else
                $LOG -is -t $LOGNAME "PID file not found, killing with killall"
                $KILLA $0
        fi
        $IFCONFIG $IF |$GREP $VIP >/dev/null 2>&1
        MY_VIP_ENABLE=`echo $?`
        if [ $MY_VIP_ENABLE = 0 ];then #My VIP was set
                $LOG -is -t $LOGNAME "Removing alias $VIP for master"
                $IFCONFIG $IF -alias $VIP
        else
                $LOG "VIP $VIP is already removed or not set, Nothing to do."
        fi
        $LOG -is -t $LOGNAME "Restarting named"
        $RESTART_NAMED
        exit 1
elif [ "$1" == "-v" ];then #Run on foreground
        LOG="echo"
        if [ -f "$PIDFILE" ];then #Exist PID file?
                $LOG "There is PID file at $PIDFILE,I'm exiting"
                $LOG "If you would like to start forcibly, Use -k option first"
                exit 2
        fi
        main verbose
elif [ "$1" == "-vd" ];then #Run as daemon
        main daemon
else
        echo "Usage"
        echo " -d : Run as daemon"
        echo " -h : Display help"
        echo " -v : Run on foreground"
        echo " -k : Kill daemon"
fi
exit 0
#############################

_ 使い方

これ、マスター側はaliasにVIPを設定する以外は全部スタンバイ側の設定で良い。

コメントの通り/usr/local/etc/rc.dに「fakevrrpd」を置いて、本体*1は/usr/local/etc/に実行権付けておけばおｋ。

忘れずに冒頭の変数を環境に合わせて変更すること。

あとは

service fakevrrpd enable

service fakevrrpd enabled

service fakevrrpd start

で起動する。

ログはmessagesに吐かれるし、デバッグモード的に確認したければ「-v」オプションで直接叩くとフォアグラウンドで動くよ。

CTRL+Cで止めることになるので、最後に「-k」で状態をクリアしておくこと。

なお、マスターのIF起動検知後にWAIT_LIMIT秒待っても目的のサービスのポートが開かないとアボートして終了するので、手動対処。

これは、サービスの停止時間を削るためにマスターのIF起動時点ではまだaliasを止めないでサービスが動くまで粘る仕様。*2

あまりにも長いと「IPが衝突している状態」なので各所によろしくないからだ。

_ sleep

linuxに続いてFreeBSDも1秒以下のsleep指定が出来るようになっていた。

昨日のスクリプトでも計測目的もあって0.1秒単位で実行するようにしたのだけど、標準のtestで動く条件判定やexprでの演算は整数しか出来ないので、bcに投げて計算したりしてる。

精度はあまり期待しない方が良いと思う。*1

_ 冗長化

ルータの次はDNS鯖。

carpかvrrpか悩んだが、freevrrpdの切り替わり時にキックするスクリプトがpreかpostか分からないので、bindをインターフェース確立後に再起動したいけど上手くなさそう。

で、carp試してみたのだけど、どうやらNICにプロミスキャスモード設定してあると、マスターになろうと「俺マスター！」パケット出した瞬間に、自分のパケットを検知して「誰かおる！わしバックアップ」ってループするドリフのコントみたいな事になったので、やっぱvrrpにするｗ

_ freevrrpd

まず、「224.0.0.18」にipfw開けてないとダメだな。 ガッツリ閉じていた*1ので、socketに書けないってエラーで起動失敗してた。 bindを叩くスクリプトは、ifconfigでインターフェースにIPが付いたのを確認したら再起動するのをmaster_script.shからバックグラウンドで投げるようにした。 　

#!/bin/sh
TIMER=0
LIMIT=10.0
STEP=0.1
VIP="inet hoge.hoge.hoge.hoge"
IF_CMD="/sbin/ifconfig"
IF_NAME="ngeth0"
GREP_CMD="/usr/bin/grep"
BC_CMD="/usr/bin/bc"
NAMED_RESTART="/etc/namedb/restart-named.sh"
while [ "$TIMER" != "$LIMIT" ]; do
    $IF_CMD $IF_NAME | $GREP_CMD "$VIP"
    STAT=`echo $?`
    if [ $STAT = 0 ];then
            $NAMED_RESTART
            logger -is -t named_restarter2 "named delayed restart at $TIMER sec"
            exit
    fi
sleep $STEP
TIMER=`echo "scale=1; $TIMER + $STEP" | $BC_CMD`
# echo $TIMER
done
logger -is -t named_restarter2 "could not restart named within time limit $LIMIT sec"

_ ついでに

いままですっとTCPフォールバックがコネクションリセットされていた件を切り分けて解消。

ルータの前後に仮想端末付けて

「dig @鯖IP uekusa.jp +norec +dnssec +multi +vc +edns +noad」

で誰が引けて引けないのか確認。

結局ルータ跨がないやつしか引けないことが分かって、鯖のfirewallは無罪。

で、「貧者のCisco」Cisco841MのACLを何度眺めてもちゃんとTCP通してるのですよこれ。

でも、切り分けで敢えて明示的に先頭に「permit tcp any any eq 53 log」入れたら通るじゃん。

なんだこれ？

で、通ったなら一端logは大量になるのいやなので止めようと「permit tcp any any eq 53」に置き換えたら通らない。

え？おまえ、log止めると通さないってバグじゃんかよ！*1

しかも拡張ACLで53/tcpだけ引っ掛かってるぽい。

サポートに問い合わせてもいいのだけど、もうサポート期間切れてるし、わざわざお金払ってバグの報告してやるのもしゃくに障るｗ

ログ吐くの我慢すれば使えるし。

これが分かったおかげでここ一年悩んでた公開DNS鯖がTCPでクエリ受けられない問題が解消。

ようやく今年の DNS flag dayを生き残ることが出来るようになったｗ

_ もういっちょ

バグ。

新しくしてもらったみかかルータのRX-600MIもACL変更すると予期しない行もしくはポートがdenyになるっぽくて再起動が必要。

たぶん、RT-S300SEのコンフィグを読み込ませてから変更したので、不整合もあるんだと思うのだけど、そもそも違う機種の設定ファイル読めちゃうのダメでしょ？

_ BGM

今週は、密林で入手したKeyの「Modification of Key Sounds Label VOL.2」*1(3枚組)をBGMにお仕事。

全体的に聞きやすいMIXである。

LightColorsはいままで色々mixあったけど、このmixが一番ｶｺ(・∀・)ｲｲ!!

なお、鳥の詩もいいのだけど後半のタイミングの良い「Are-you-ready?」でなんか笑ってまう。

国歌やぞｗｗｗ

個人的には「サンブライト」がお気に入り。*2

_ 切り分け

ルータを仮想化したおかげで、みかかルータ配下のWANセグメントにも仮想マシンからのNICが伸びた。

更に、DS-liteやPPPoEの別セッションで外から回って自宅鯖のグローバルIPを試験できるようになった。

いままで、LAN側とDMZ内で確認して「うーん、プロバイダのルータがへぼいんじゃね？」って思ってたDNS鯖にTCPのクエリが届かない問題を切り分けることに。

一応UDPのEDNS0はちゃんと動いてるので実害はまだ無いが、今後ダメになるヤツだ。

_ ルータの冗長化

FreeBSDで建てたDS-liteのルータとCisco841Mの間でvrrpによる冗長化、あっという間に出来た。 概ねデフォルトの設定。 　

----vrrpd側----
[VRID]
serverid = 1
interface = vmx0
carriertimeout = 10
spanningtreelatency = 0
priority = 255
addr = 192.168.VIPの.IP/32
monitoredcircuits = yes
MCClearErrorsCount = 3600
masterscript = /usr/local/bin/master_script.sh
backupscript = /usr/local/bin/backup_script.sh
vridsdep =
password = hogehoge
----Cisco側----
 vrrp 1 description VRRP_with_IPv6-router
 vrrp 1 ip 192.168.VIPの.IP
 vrrp 1 priority 101*1
 vrrp 1 authentication hogehoge
 vrrp 1 track 1
---------------

_ 動作は

基本的には速度の速いDS-liteのFreeBSDがマスターで、そいつが落ちてる間だけCiscoが固定IPv4のルートからルーティングする。

FreeBSDが立ち上がるとCiscoはスタンバイになる。

実験したけど、PCで作業してる分には気にならない速度で切り替わる。

手動設定端末とDHCPで配布するデフォゲはVIPに変更。

これで心置きなくルータの再起動とか実験できる(・∀・)

次はDNS鯖の冗長化だな。

vrrpdでやるか、keepalivedでやるか・・・

_ zoom飲み

また寝落ちした。

反省しきり。

_ 給付金

習志野もオンラインになったので早速10マソ円の申請＼(^o^)／ｵﾜﾀ

ところでこれ、電子証明書の有効期限が5年後の誕生日なので、サービス開始からするとギリギリとか切れてる人とか多いと思うのだけど、大丈夫ですかね？

_ 初日は

あまり無理せず（と言っても在宅であまり変わらんが）お仕事。

但し、9日間最低限の買い物に出るぐらいでほとんど誰とも会話してなかったのでリハビリが必要ｗ

_ 大改造

9日間、家の中のネットワーク大改造。

10年間面倒くさがっていたIPv6をデュアルスタックで動くように。

ルーターも今までの固定IPv4の物理と、お遊び用のPPPoEv4とDS-lite/IPv6ネイティブのsoftware仮想ルーターの3つに分離してうひょうひょ。

あとはVRRPで冗長構成にすれば当分満足(ﾟ∀ﾟ)

_ 改造と言えば

家の仮想基盤、10GのNIC諦めた。

LRのAQCとかTnとかMellanox中古とか安物で頑張ってみたけど、まったく安定しない。*1

Intelの10Gもまだ高いし消費電力的にアレ。

結局、基盤のマザボをMicroATXにしたついでにPCIe-x1にIntelのGbEの2ポートx2と、PCIe-x4に10Gの代わりにIntelの1GのQuadを1枚で、オンボートとあわせて9ポート鉄板構成。

　

　

_ 更新

先週、思い出したようにtdiary更新した。

丁度3月でamazonプラグインの形式が変わるという話で更新必須だったのだが。。。

実は新形式になったら、アフリエイトの実績に応じてamazon側のアクセスレートの制限がある。

自分の場合は実績なんてほとんど無い*1から、デフォの秒間1アクセス。

そうなると、実際にはリンクが書かれたページを更新すると「更新のために取得」「表示」の2回がほぼ同時に走るので、エラーで使えない。

もちろん、複数のリンクが書かれたページを表示するのも出来ない。

と言うことで、プラグインが役立たずになったのでamazonのアソシエイトツールバーで作るリンクへの置換をすることにした。

ついでに、色々仕様が変わったpreタグの後始末やらで15年分のブログの修正やら置換をやってる。

┐(ﾟ～ﾟ)┌

_ 壊れたorz

なんとか爆音P4-HTマシンでテープをメディア変換していたRDX、母艦のVMwarePlayerのBSDでファイルシステムごとにtar.gzで固めてた。

でもって、Windowsupdateの再起動を後回しにしていたのだけど、昼間に目を離した隙に「オペレーションしてないし、昼間はアクティブじゃないって指定してあるよね(ﾟ∀ﾟ)」って強制再起動しやがった。。。

おかげでUSBパススルーして繋いでいたRDXのUFSは見事に読み取り不能かつ修復不能。

ゼロからやり直しである。

おのれM$、覚えてろよ(ノ ﾟДﾟ)ノ　＝＝＝＝　┻━━┻

_ 自火報

今では一般のご家庭でも義務化されてる火災報知器、我が家を建てた2002年頃はそんな事も無くおおらかな時代じゃった。*1

とは言え今は息子も北海道で一人暮らしなので気付きにくいから、ちゃんと報知器無いと危ない。

習志野市の義務は「階段/寝室」だ。

まぁ、寝てるときに1階の台所で火が出たら気付かないのは危険。

なので、無線連動式にして台所/階段/寝室どこかで検知すれば家中の警報器が鳴るようにした。

　

_ 消費電力

あー、UPSの消費電力が下がったと思ったら、NASのHDDを容量増やすのにHGSTのDeskstarNASからWD-Redに入れ替えたからだ。

スペック見ると4本で15Wぐらい減ってる。*1

( ･∀･)つ〃∩ ﾍｪｰﾍｪｰﾍｪｰﾍｪｰﾍｪｰ

_ でもね

WDの1TBを4本で組んであるTier2用途のストレージ、QNAPから抜いた3TBを4本に入れ替えしたいのだよね。

結局、WDの1TBが2-3WだったのとHDNの6.9Wを入れ替えるので、QNAPが減った分と差し引きだとちょいプラスになるわけか。。。