sidetechスマートフォン用の表示で見るsidetechインフラエンジニアの寄り道メモ。2014-12-11Infoblox(IB系)のアップグレードInfoblox9日にDNSの一部の製品でクリティカル(重大)な脆弱性が見つかりました。DNS回りはしょっちゅう脆弱性が出てくるので私自身は馴れっこですが、本来であれば『DNSに何かあれば通信不能に陥る』ようなものです。DNSの不正書き換えによる不正サイトへの誘導など、通信ダウンするよりも色々なリスクを抱えたシステムですよね。っ、こんだけショッチュウDNS脆弱性が見つかってしまうのは「基本仕様の定義が不明確」なのと「各種実装の不備」という事らしいです。詳しくは以下を読んでもらうとして・・・http://jprs.jp/tech/security/2014-12-09-multiple-impl-vuln-delegation-limit.html動的な機構を備えるという事は、それだけ穴も出来てしまうでしょうからね。僕は優しく見守りますよ(笑)で、JPRSの情報によると・・・一般的に有名なBINDや他数製品が対象のようですね。MS-DNS(WindowsDNS)は含まれていないみたいです。うちの環境はというと・・・Infobloxを愛用しています。元々はFreeBSDでBIND9を建てて10年間程運用してましたが、まぁ~こんなにBINDの脆弱性やらシステムのパッチやらやっていたら、24時間稼働環境でアップデートするのなんて何時するの?!みたいな。最初に言いましたが、DNSを見失う事は通信不能と変わりません。今ではWindowsDNS(AD構築時にやりますよね)もだいぶ安定性を見せておりますが、ここは技術者の考え方の差なのであえてメリットデメリットの話をここで四の五の言いたくないですが、アカウントを管理しているサーバーとDNSのサーバーの仕事を両方やらせていいのかどうかを考えるぐらいですかね。場合によってはDHCPサーバーもやらせている環境があると思いますが、仮にADに何かあった際にDNSも影響するってなると・・・もう一台ADを建ててセカンダリDNSにしておけばいい?いいですとも。インターネット用の公開DNSをMS-DNSでやらせる?イイですとも。毎月WindowsUpdateがあろうと複数ホストがあればいい環境で管理が出来ているなら問題ないと思います。最近は仮想化していれば再起動も速いしね。私はもしもの責任を考えた時にやもしものパニックに陥った場合やもしもの為に、お高いInfobloxを導入しちゃってます(来年はTrinzicが欲しいな)。知っての通りInfobloxはBINDの商用版です。専用アプライアンス化されて(仮想版もある)専用特化されています。うちの会社みたいにDHCPゾーンだけで160超えてるとか、色々なDNSのゾーンを扱っているとか、ある程度の中大規模に向いてます。無停止で複数台数の環境で運用するとなると本来であれば運用が大変になるのですが・・・と言ったところでやっと本題。最初に購入元の配信サイトからバイナリをダウンロードします。500MBぐらいです。現在はNode1がActiveになっていますね。「Upload」するとマスターにバイナリが取り込まれます。「Distribute」を押すとアップグレードパッケージの展開が始まります。展開が終わると自動的に「Test」が行われます。ファイルが壊れていないかのチェックとかでしょう。ここまでが準備段階です。対象となっているGRIDのグループ全てに展開が終わらないとアップグレードできません。「Upgrade」ボタンをおすとアップグレード開始します。画像は全て手動展開ですが、スケジュールで実施する事も可能です。Node2のPassiveとなっているバックアップ側がアップグレードされてー、シンクロで入れ替わります。入れ替わるタイミングでVIPの引き継ぎがあるのですが、この時PINGレベルだと4発ぐらいタイムアウトします。この4発すら耐えられない場合は時間帯を考えましょう。全てがアップグレードがおわると、以下のような感じに。ActiveがNode2になっています。Nodeが入れ替わります。自動化出来ますが、最初のアップグレードのバイナリファイルだけは入れてあげる必要があります。6台の構成のアップグレードに大凡30分掛かりましたが、どのサービスもダウンタイムは4~5秒です。この程度であればDNSがよくわからない人にもアップグレードが託せちゃいますね。LinuxやFreeBSDでBINDのアップデートマニュアル作ったらとても大変。想定外が発生した場合等に対応出来るかどうか。為のロールバックもあります(使ったことないけど)。今回は説明の為にやってますが、日頃はアップグレードを走らせたら画面に張り付かないです。上記もあるので私は安心してブログが書ける訳です(笑)あとは「HiddenDNS」という方針でやっているので、即時リスクも落ちいりにくい所でしょうか。あとは時間ができたら色々ご紹介できたらなっとおもいます。Tumblr関連記事2017-09-02失敗は成功の何なのか。ああ・・・海外行きたい・・・。はてなブログPro仕事時々趣味ぐらいのブログです。exporterでレスポンス監視はIntervalで表現する(ぽい?)WindowsでPrometheus&Grafanaのまとめ。)月別アーカイブリンクプライバシーポリシースターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。