Oracle Cloud – ページ 5 – OSAKANA TAROのメモ帳

2021年5月26日2021年5月28日

Oracle CloudでARMインスタンスが開始されたのでIPv6アクセスできるサーバとして構築してみた

Oracle CloudでARMインスタンスの提供が開始された。

「Arm-based cloud computing is the next big thing: Introducing Arm on Oracle Cloud Infrastructure」

Ampere A1を使用したものらしい。

今日から使える、といってるけど、さすがに東京リージョンには来てないだろうと思いつつコンソールを開いてみる。

え！？東京でも作成できんじゃん！と作成開始

まず、Always Freeアカウントではどういうスペックが作れるのか？を確認→「Always Free Resources」

なんとCPU 4個/RAM 24GBまでいけるらしい。

すでに、これまでのAlways Freeアカウントの上限である、VM.Standard.E2.1.Micro インスタンスで２個作っていても、それとは別カウントでARMのVM.Standard.A1.Flexが作れるようだ。

標準ではOracle Linux 7.9が選択されている。他の選択肢を見てみる。

「イメージビルド」に記載がないものは選べないようだ。このため、Oracle Autonomous Linux は選択できなかった。

Oracle Linux 8 にすることはできるようだ。

インスタンスのshapreは変更可能

その他の項目はいままでのインスタンス作成となんら変わらず。

完成するとこんな感じ

「Always Free」というマークがついてない・・・

不安になったのでいろいろ試行錯誤

既存のVM.Standard.E2.1.Microインスタンスを１個けして作り直してもA1.FlexインスタンスにAlways Freeマークがつくわけではないようだ。

かといって、VM.Standard.E2.1.Microインスタンスが２個ある状態で３個目をつくろうとすると、有料アカウントへのアップグレードが必要と表示されるので、有料になっているわけではない模様。

じゃあ、ARMインスタンスを複数個立てられるのかな？と実行してみると、作成は可能なものの直ちに終了して使えないという状態

既存インスタンスのシェイプの変更を選び

変更することは可能

変更が反映されました。

ほんとにこれで大丈夫なのかなぁ？？？と悩むところではありますが、ドキュメント通り、「VM.Standard.E2.1.Micro インスタンスを２個」と「ARMのVM.Standard.A1.Flexインスタンスを4CPU/メモリ24GBの範囲内」で作成することができる、ということのようです。

また、ARMインスタンスについては、作成後、CPU/メモリスペックを変更する事が可能でした。

2021/05/27訂正

ドキュメント上は「All tenancies get two public IPv4 addresses for Always Free compute instances」となっていますが、動作検証をしてみたところ、パブリックIPアドレスの上限個数が３となっているようです。

パブリックIPアドレスの割り当てをやめてみたところARMインスタンス(VM.Standard.A1.Flex)を４つ作ることができました。

IPv6設定メモ

４月から使える様になったIPv6ですが「Oracle Cloudですでに作成済みのネットワークに対してIPv6を有効にする方法」に示した手順で有効化したところ、DHCPv6でのIPv6アドレス取得が失敗しました。

手動であれば設定できたので、ARMインスタンスが存在するネットワークへのDHCPv6が正常に動作していない模様です。

設定としては、Oracle Cloudコンソールの[インスタンスの詳細]-[アタッチされたVNIC]-[VNICの詳細]にある[リソース]-[IPv6アドレス]にて、インスタンスにIPv6アドレスを割り当てる。

また、2021/05/26時点でのOracle Linux 7提供イメージでは、IPv6アドレスが有効化されていないため、インスタンス内のOS設定を変更する必要があり、DHCPv6アドレス取得ができなかったので、disable-ipv6.confと01_ipv6を作成した。
Oracle Linux 8だとIPv6有効化されていたが~~DHCPv6アドレス取得ができなかったので01_ipv6を作成した~~firewalldにdhcpv6-clientの設定がされていないのでDHCPv6アドレス取得に失敗していたので設定を変更した。
Ubuntu 20.04ではIPv6有効化されておりDHCPv6アドレス取得はできたものの起動時に自動取得はしなかったので01_ipv6を作成しdhclient -6の方を有効にした。

disable-ipv6.confの手順

/etc/sysctl.d/disable-ipv6.conf を作成し、下記を記載

`1`	`net.ipv6.conf.all.disable_ipv6 = 0`

`2`	`net.ipv6.conf.default.disable_ipv6 = 0`

01_ipv6の手順

/var/lib/cloud/scripts/per-boot/01_ipv6 を作成し、下記を記載

1#/bin/bash
2#dhclient -6
3ip -6 addr add xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx/128 dev enp0s3

DHCPv6が使える様になった場合は、ip行の先頭に#を入れ、dhclientの前の#を外すこと。

また/var/lib/cloud/scripts/per-boot/01_ipv6には下記の様に実行権限を与えること

`1`	`# chmod a+x /var/lib/cloud/scripts/per-boot/01_ipv6`

firewalldにdhcpv6-clientを追加する手順

serviceとしてdhcpv6-clientを追加する、という手順。Oracle Linux 7だと標準で設定されていたが、2021/05/27時点でのOracle Linux 8 ARM環境だと設定されていなかった。

1$ sudo firewall-cmd --permanent --add-service=dhcpv6-client
2success
3$ sudo firewall-cmd --reload
4success
5$ sudo firewall-cmd --list-all
6public (active)
7  target: default
8  icmp-block-inversion: no
9  interfaces: enp0s3
10  sources:
11  services: dhcpv6-client ssh
12  ports:
13  protocols:
14  masquerade: no
15  forward-ports:
16  source-ports:
17  icmp-blocks:
18  rich rules:
19$

簡易的なセキュリティ対策

インスタンスを稼働させておくとsshへのアタックが凄い数来ます。

標準設定では秘密鍵持ってないとログインできないので影響は少ないですが、アクセスができる状態だといつまでもリトライを繰り返してきます。このため、fail2banを使って拒否することで、アタック側のブラックリストに載せて攻撃者数を減らしてみよう、という試みです。

1$ sudo yum install fail2ban
2$ sudo vi /etc/fail2ban/jail.local
3$ sudo cat /etc/fail2ban/jail.local
4[DEFAULT]
5# 86400秒=24時間以内に5回不審なアクセスがあったら24時間BAN
6bantime  = 86400
7findtime  = 86400
8maxretry = 5
9# 259200秒=3日以内に5回不審なアクセスがあったら3日間BAN
10#bantime  = 259200
11#findtime  = 259200
12#maxretry = 5
13 
14# 除外IP
15ignoreip = 127.0.0.1 127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16
16 
17[sshd]
18enabled = true
19banaction = firewallcmd-ipset
20 
21$ sudo systemctl enable fail2ban
22$ sudo systemctl start fail2ban
23$

おまけ情報

インスタンス内でlscpuを実行した結果

Oracle Linux 7の場合

1$ sudo lscpu
2Architecture:          aarch64
3Byte Order:            Little Endian
4CPU(s):                1
5On-line CPU(s) list:   0
6Thread(s) per core:    1
7Core(s) per socket:    1
8Socket(s):             1
9NUMA node(s):          1
10Model:                 1
11BogoMIPS:              50.00
12NUMA node0 CPU(s):     0
13Flags:                 fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp cpuid asimdrdm lrcpc dcpop asimddp ssbs
14$

Oracle Linux 8 (Oracle-Linux-8.3-aarch64-2021.05.12-0) 初期状態の場合

1$ lscpu
2Architecture:        aarch64
3Byte Order:          Little Endian
4CPU(s):              1
5On-line CPU(s) list: 0
6Thread(s) per core:  1
7Core(s) per socket:  1
8Socket(s):           1
9NUMA node(s):        1
10Vendor ID:           ARM
11Model:               1
12Stepping:            r3p1
13BogoMIPS:            50.00
14NUMA node0 CPU(s):   0
15Flags:               fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp cpuid asimdrdm lrcpc dcpop asimddp ssbs
16$

Oracle Linux 8 (Oracle-Linux-8.3-aarch64-2021.05.12-0) でdnf updateした後の場合

1$ sudo lscpu
2Architecture:        aarch64
3Byte Order:          Little Endian
4CPU(s):              1
5On-line CPU(s) list: 0
6Thread(s) per core:  1
7Core(s) per cluster: 1
8Socket(s):           1
9Cluster(s):          1
10NUMA node(s):        1
11Vendor ID:           ARM
12BIOS Vendor ID:      QEMU
13Model:               1
14Model name:          Neoverse-N1
15BIOS Model name:     virt-4.2
16Stepping:            r3p1
17BogoMIPS:            50.00
18NUMA node0 CPU(s):   0
19Flags:               fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp cpuid asimdrdm lrcpc dcpop asimddp ssbs
20$

Oracle Linux 8で4CPU/24GBにした場合

1$ sudo lscpu
2Architecture:        aarch64
3Byte Order:          Little Endian
4CPU(s):              4
5On-line CPU(s) list: 0-3
6Thread(s) per core:  1
7Core(s) per cluster: 4
8Socket(s):           1
9Cluster(s):          1
10NUMA node(s):        1
11Vendor ID:           ARM
12BIOS Vendor ID:      QEMU
13Model:               1
14Model name:          Neoverse-N1
15BIOS Model name:     virt-4.2
16Stepping:            r3p1
17BogoMIPS:            50.00
18NUMA node0 CPU(s):   0-3
19Flags:               fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp cpuid asimdrdm lrcpc dcpop asimddp ssbs
20$

Ubuntu 20.04の場合

1$ sudo lscpu
2Architecture:                    aarch64
3CPU op-mode(s):                  32-bit, 64-bit
4Byte Order:                      Little Endian
5CPU(s):                          1
6On-line CPU(s) list:             0
7Thread(s) per core:              1
8Core(s) per socket:              1
9Socket(s):                       1
10NUMA node(s):                    1
11Vendor ID:                       ARM
12Model:                           1
13Model name:                      Neoverse-N1
14Stepping:                        r3p1
15BogoMIPS:                        50.00
16NUMA node0 CPU(s):               0
17Vulnerability Itlb multihit:     Not affected
18Vulnerability L1tf:              Not affected
19Vulnerability Mds:               Not affected
20Vulnerability Meltdown:          Not affected
21Vulnerability Spec store bypass: Mitigation; Speculative Store Bypass disabled v
22                                 ia prctl
23Vulnerability Spectre v1:        Mitigation; __user pointer sanitization
24Vulnerability Spectre v2:        Not affected
25Vulnerability Srbds:             Not affected
26Vulnerability Tsx async abort:   Not affected
27Flags:                           fp asimd evtstrm aes pmull sha1 sha2 crc32 atom
28                                 ics fphp asimdhp cpuid asimdrdm lrcpc dcpop asi
29                                 mddp ssbs
30$

2021年5月13日2022年5月6日

Oracle Cloudですでに作成済みのネットワークに対してIPv6を有効にする方法

Oracle CloudはこれまでIPv6が提供されてなかったのですが、4/15に「IPv6 on Oracle Cloud Infrastructure」でIPv6提供が全体に開始されたとのことなので試してみた。

既存のOracle CloudインスタンスをIPv6対応にするための設定を開始。

まずは「仮想クラウドネットワーク(VNC)」一覧を開く

最初はIPv6 CIDRブロックが割り当てられていない。

「IPv6 CIDRブロックの追加」を選択

すると、IPv6アドレスが追加される

次に、VNC配下にあるサブネットに対してIPv6アドレスを割り当て・・・

「NotAuthorizedOrNotFound」というエラーになる。

最初にためしたのは4/28に、PhoenixリージョンとTokyoリージョンで、どちらも同じエラーになっていた。

で・・・5/12になって検索すると、コマンドでなら成功するらしい、という情報を発見した。

Oracle Cloud 甲骨文云启用原生 IPv6 地址详细教程 – 简单、通用、免费、双栈更香
 Oracle Cloud 支持 IPv6 了

これをTokyoリージョンで試してうまくいったので、Phoenixリージョンでも実施しようとしてみたところ、こちらでは、そのそも↑で失敗していたはずの操作が成功・・・

どうやら修正されつつあるようです。

というわけで、両方の手順をまとめました。

GUI操作が成功する場合

サブネットの編集でIPv6 CIDRブロックを行ってみて、成功するのであれば問題ありません。

このあと、後半にある仮想マシンインスタンスに対する設定を行います。

サブネットへのIPv6アドレス設定が失敗する場合

GUI操作で失敗する場合は、コマンド操作を行います。

Oracle CloudのWeb UIにログインして、Cloud Shellを開いてコマンドを実行

まず、コンパートメントのIDを確認

1username@cloudshell:~ (ap-tokyo-1)$ oci iam compartment list
2{
3  "data": [
4    {
5      "compartment-id": "ocid1.tenancy.oc1..＜略＞",
6      "defined-tags": {},
7      "description": "IPv6\u7528\u30cd\u30c3\u30c8\u30ef\u30fc\u30af",
8      "freeform-tags": {},
9      "id": "ocid1.compartment.oc1..＜略＞",
10      "inactive-status": null,
11      "is-accessible": null,
12      "lifecycle-state": "ACTIVE",
13      "name": "IPv6_network",
14      "time-created": "2021-04-28T07:09:50.554000+00:00"
15    },
16    {
17      "compartment-id": "ocid1.tenancy.oc1..＜略＞",
18      "defined-tags": {},
19      "description": "idcs-e97e3212f2c9483ca8b9d1f0efa22062|22560888|OSAKANA OSAKANA NET 504302",
20      "freeform-tags": {},
21      "id": "ocid1.compartment.oc1..＜略＞",
22      "inactive-status": null,
23      "is-accessible": null,
24      "lifecycle-state": "ACTIVE",
25      "name": "ManagedCompartmentForPaaS",
26      "time-created": "2019-09-19T10:16:44.796000+00:00"
27    }
28  ]
29}
30username@cloudshell:~ (ap-tokyo-1)$ 

上記出力の「compartment-id」にある「ocid1.tenancy.oc1～」が必要な値です。

これで、サブネットにつけられているIDを確認します。

1username@cloudshell:~ (ap-tokyo-1)$ oci network subnet list --compartment-id ocid1.tenancy.oc1..＜略＞
2{
3  "data": [
4    {
5      "availability-domain": null,
6      "cidr-block": "10.0.1.0/24",
7      "compartment-id": "ocid1.tenancy.oc1..＜略＞",
8      "defined-tags": {},
9      "dhcp-options-id": "ocid1.dhcpoptions.oc1.ap-tokyo-1.＜略＞",
10      "display-name": "IPv6 \u30c6\u30b9\u30c8",
11      "dns-label": null,
12      "freeform-tags": {},
13      "id": "ocid1.subnet.oc1.ap-tokyo-1.＜略＞",
14      "ipv6-cidr-block": "xxxx:xxxx:8000:f501::/64",
15      "ipv6-virtual-router-ip": "fe80::200:17ff:fec9:f071",
16      "lifecycle-state": "AVAILABLE",
17      "prohibit-internet-ingress": false,
18      "prohibit-public-ip-on-vnic": false,
19      "route-table-id": "ocid1.routetable.oc1.ap-tokyo-1.＜略＞",
20      "security-list-ids": [
21        "ocid1.securitylist.oc1.ap-tokyo-1.＜略＞"
22      ],
23      "subnet-domain-name": null,
24      "time-created": "2021-04-28T04:44:55.872000+00:00",
25      "vcn-id": "ocid1.vcn.oc1.ap-tokyo-1.＜略＞",
26      "virtual-router-ip": "10.0.1.1",
27      "virtual-router-mac": "00:00:17:C9:F0:71"
28    },
29    {
30      "availability-domain": "xkXd:AP-TOKYO-1-AD-1",
31      "cidr-block": "10.0.0.0/24",
32      "compartment-id": "ocid1.tenancy.oc1..＜略＞",
33      "defined-tags": {},
34      "dhcp-options-id": "ocid1.dhcpoptions.oc1.ap-tokyo-1.＜略＞",
35      "display-name": "\u30d1\u30d6\u30ea\u30c3\u30af\u30fb\u30b5\u30d6\u30cd\u30c3\u30c8xkXd:AP-TOKYO-1-AD-1",
36      "dns-label": null,
37      "freeform-tags": {},
38      "id": "ocid1.subnet.oc1.ap-tokyo-1.＜略＞",
39      "ipv6-cidr-block": null,
40      "ipv6-virtual-router-ip": null,
41      "lifecycle-state": "AVAILABLE",
42      "prohibit-internet-ingress": false,
43      "prohibit-public-ip-on-vnic": false,
44      "route-table-id": "ocid1.routetable.oc1.ap-tokyo-1.＜略＞",
45      "security-list-ids": [
46        "ocid1.securitylist.oc1.ap-tokyo-1.＜略＞"
47      ],
48      "subnet-domain-name": null,
49      "time-created": "2019-09-19T10:20:05.710000+00:00",
50      "vcn-id": "ocid1.vcn.oc1.ap-tokyo-1.＜略＞",
51      "virtual-router-ip": "10.0.0.1",
52      "virtual-router-mac": "00:00:17:C9:F0:71"
53    }
54  ]
55}
56username@cloudshell:~ (ap-tokyo-1)$ 

最初のブロックは新規で作ったIPv6が有効になっているもので「IPv6 テスト」という名前になっています。コマンド出力上では日本語が有効になっていないようです。

後ろのブロックがデフォルトで作成された「パブリック・サブネットxkXd:AP-TOKYO-1-AD-1」です。これに対してIPv6アドレスを付与する設定を行います。

どんなIPv6アドレスがつけられるかは、サブネット/VNC設定画面の「IPv6 CIDRブロック」を参照します。

「xxxx:xxxx:8000:f500::/56」となっています。

Oracle Cloudでは各サブネットに対して「xxxx:xxxx:8000:f5??::/64」を割り当てることになっているため下記の様に実行します。

1username@cloudshell:~ (ap-tokyo-1)$ oci network subnet update --subnet-id ocid1.subnet.oc1.ap-tokyo-1.＜略＞ --ipv6-cidr-block xxxx:xxxx:8000:f502::/64
2{
3  "data": {
4    "availability-domain": "xkXd:AP-TOKYO-1-AD-1",
5    "cidr-block": "10.0.0.0/24",
6    "compartment-id": "ocid1.tenancy.oc1..＜略＞",
7    "defined-tags": {},
8    "dhcp-options-id": "ocid1.dhcpoptions.oc1.ap-tokyo-1.＜略＞",
9    "display-name": "\u30d1\u30d6\u30ea\u30c3\u30af\u30fb\u30b5\u30d6\u30cd\u30c3\u30c8xkXd:AP-TOKYO-1-AD-1",
10    "dns-label": null,
11    "freeform-tags": {},
12    "id": "ocid1.subnet.oc1.ap-tokyo-1.＜略＞",
13    "ipv6-cidr-block": "xxxx:xxxx:8000:f502::/64",
14    "ipv6-virtual-router-ip": "fe80::200:17ff:fec9:f071",
15    "lifecycle-state": "UPDATING",
16    "prohibit-internet-ingress": false,
17    "prohibit-public-ip-on-vnic": false,
18    "route-table-id": "ocid1.routetable.oc1.ap-tokyo-1.＜略＞",
19    "security-list-ids": [
20      "ocid1.securitylist.oc1.ap-tokyo-1.＜略＞"
21    ],
22    "subnet-domain-name": null,
23    "time-created": "2019-09-19T10:20:05.710000+00:00",
24    "vcn-id": "ocid1.vcn.oc1.ap-tokyo-1.＜略＞",
25    "virtual-router-ip": "10.0.0.1",
26    "virtual-router-mac": "00:00:17:C9:F0:71"
27  },
28  "etag": "e457a894"
29}
30username@cloudshell:~ (ap-tokyo-1)$ 

設定が反映されたかを確認します。

1username@cloudshell:~ (ap-tokyo-1)$ oci network subnet list --compartment-id ocid1.tenancy.oc1..＜略＞
2{
3  "data": [
4    {
5      "availability-domain": null,
6      "cidr-block": "10.0.1.0/24",
7      "compartment-id": "ocid1.tenancy.oc1..＜略＞",
8      "defined-tags": {},
9      "dhcp-options-id": "ocid1.dhcpoptions.oc1.ap-tokyo-1.＜略＞",
10      "display-name": "IPv6 \u30c6\u30b9\u30c8",
11      "dns-label": null,
12      "freeform-tags": {},
13      "id": "ocid1.subnet.oc1.ap-tokyo-1.＜略＞",
14      "ipv6-cidr-block": "xxxx:xxxx:8000:f501::/64",
15      "ipv6-virtual-router-ip": "fe80::200:17ff:fec9:f071",
16      "lifecycle-state": "AVAILABLE",
17      "prohibit-internet-ingress": false,
18      "prohibit-public-ip-on-vnic": false,
19      "route-table-id": "ocid1.routetable.oc1.ap-tokyo-1.＜略＞",
20      "security-list-ids": [
21        "ocid1.securitylist.oc1.ap-tokyo-1.＜略＞"
22      ],
23      "subnet-domain-name": null,
24      "time-created": "2021-04-28T04:44:55.872000+00:00",
25      "vcn-id": "ocid1.vcn.oc1.ap-tokyo-1.＜略＞",
26      "virtual-router-ip": "10.0.1.1",
27      "virtual-router-mac": "00:00:17:C9:F0:71"
28    },
29    {
30      "availability-domain": "xkXd:AP-TOKYO-1-AD-1",
31      "cidr-block": "10.0.0.0/24",
32      "compartment-id": "ocid1.tenancy.oc1..＜略＞",
33      "defined-tags": {},
34      "dhcp-options-id": "ocid1.dhcpoptions.oc1.ap-tokyo-1.＜略＞",
35      "display-name": "\u30d1\u30d6\u30ea\u30c3\u30af\u30fb\u30b5\u30d6\u30cd\u30c3\u30c8xkXd:AP-TOKYO-1-AD-1",
36      "dns-label": null,
37      "freeform-tags": {},
38      "id": "ocid1.subnet.oc1.ap-tokyo-1.＜略＞",
39      "ipv6-cidr-block": "xxxx:xxxx:8000:f502::/64",
40      "ipv6-virtual-router-ip": "fe80::200:17ff:fec9:f071",
41      "lifecycle-state": "AVAILABLE",
42      "prohibit-internet-ingress": false,
43      "prohibit-public-ip-on-vnic": false,
44      "route-table-id": "ocid1.routetable.oc1.ap-tokyo-1.＜略＞",
45      "security-list-ids": [
46        "ocid1.securitylist.oc1.ap-tokyo-1.＜略＞"
47      ],
48      "subnet-domain-name": null,
49      "time-created": "2019-09-19T10:20:05.710000+00:00",
50      "vcn-id": "ocid1.vcn.oc1.ap-tokyo-1.＜略＞",
51      "virtual-router-ip": "10.0.0.1",
52      "virtual-router-mac": "00:00:17:C9:F0:71"
53    }
54  ]
55}
56username@cloudshell:~ (ap-tokyo-1)$ 

両方のサブネットにIPv6アドレスが入ったことがわかります。

仮想マシンインスタンスに対する設定(管理側)

Oracle Cloudの管理GUI側で、仮想マシンインスタンスに対してIPv6アドレスを割り振る必要があります。

[インスタンスの詳細]-[アタッチされたVNIC]-[VNICの詳細]にて下のほうにある「リソース」の「IPv6アドレス」を選択します。

最初は下記の様に割り当てられていません

「IPv6アドレスの割当て」をクリック

とくになにも数値入力する必要は無く、「割当て」をクリック

これで、IPv6アドレスが割り当てられました。

仮想マシン内のIPv6アドレス設定

Oracle Cloud上のインスタンスはcloud-initなどの影響化にあるため、一般的な設定手法でネットワーク設定を行っても再起動すると初期化されてしまいます。

今回の場合、IPv6未サポート時代に作られたインスタンスはIPv6が無効化されているため、有効にしなければならないのだが、正しいやりかたが不明。

公式ドキュメントの「IPv6 Addresses」には、コマンドで実行する場合のやり方が書かれていた。

しかし、これは仮想インスタンスの元となるイメージの作成時期によって動作が異なっている場合があった。

古いものではIPv6アドレス設定が無効化されており、ここ半年ぐらいのものはIPv6アドレスが有効化されていた。

有効化されている場合はドキュメント記載の「sudo dhclient -6」でIPv6アドレスが割り当てられた。

無効化されている場合は、下記の様に「sudo sysctl -w net.ipv6.conf.all.disable_ipv6=0」実行してIPv6有効化を行った後に、「sudo dhclient -6」でDHCPv6によりIPv6アドレスが割り当てられ、通信が正常に行えることを確認できた。

1[root@oraclelinux7 ~]# ip a s
21: lo: &lt;LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
3    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
4    inet 127.0.0.1/8 scope host lo
5       valid_lft forever preferred_lft forever
62: ens3: &lt;BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000
7    link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
8    inet 10.0.0.22/24 brd 10.0.0.255 scope global dynamic ens3
9       valid_lft 86336sec preferred_lft 86336sec
10[root@oraclelinux7 ~]#
11 
12[root@oraclelinux7 ~]# sysctl  -a|grep disable_ip
13sysctl: reading key "net.ipv6.conf.all.stable_secret"
14sysctl: reading key "net.ipv6.conf.default.stable_secret"
15sysctl: reading key "net.ipv6.conf.ens3.stable_secret"
16sysctl: reading key "net.ipv6.conf.lo.stable_secret"
17net.ipv6.conf.all.disable_ipv6 = 1
18net.ipv6.conf.default.disable_ipv6 = 1
19net.ipv6.conf.ens3.disable_ipv6 = 1
20net.ipv6.conf.lo.disable_ipv6 = 1
21[root@oraclelinux7 ~]#
22 
23[root@oraclelinux7 ~]# sysctl  -w net.ipv6.conf.all.disable_ipv6=0
24net.ipv6.conf.all.disable_ipv6 = 0
25[root@oraclelinux7 ~]#
26 
27[root@oraclelinux7 ~]# sysctl  -a|grep disable_ip
28sysctl: reading key "net.ipv6.conf.all.stable_secret"
29sysctl: reading key "net.ipv6.conf.default.stable_secret"
30sysctl: reading key "net.ipv6.conf.ens3.stable_secret"
31sysctl: reading key "net.ipv6.conf.lo.stable_secret"
32net.ipv6.conf.all.disable_ipv6 = 0
33net.ipv6.conf.default.disable_ipv6 = 0
34net.ipv6.conf.ens3.disable_ipv6 = 0
35net.ipv6.conf.lo.disable_ipv6 = 0
36[root@oraclelinux7 ~]#
37 
38[root@oraclelinux7 ~]# ip a s
391: lo: &lt;LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
40    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
41    inet 127.0.0.1/8 scope host lo
42       valid_lft forever preferred_lft forever
43    inet6 ::1/128 scope host
44       valid_lft forever preferred_lft forever
452: ens3: &lt;BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000
46    link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
47    inet 10.0.0.22/24 brd 10.0.0.255 scope global dynamic ens3
48       valid_lft 86257sec preferred_lft 86257sec
49    inet6 fe80::17ff:fe00:a543/64 scope link
50       valid_lft forever preferred_lft forever
51[root@oraclelinux7 ~]#
52 
53[root@oraclelinux7 ~]# dhclient -6
54[root@oraclelinux7 ~]# ip a s
551: lo: &lt;LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
56    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
57    inet 127.0.0.1/8 scope host lo
58       valid_lft forever preferred_lft forever
59    inet6 ::1/128 scope host
60       valid_lft forever preferred_lft forever
612: ens3: &lt;BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000
62    link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
63    inet 10.0.0.22/24 brd 10.0.0.255 scope global dynamic ens3
64       valid_lft 86240sec preferred_lft 86240sec
65    inet6 xxxx:xxxx:8000:f502:7f3d:7046:6c88:13a1/128 scope global dynamic
66       valid_lft 7495sec preferred_lft 7195sec
67    inet6 fe80::17ff:fe00:a543/64 scope link
68       valid_lft forever preferred_lft forever
69[root@oraclelinux7 ~]#

問題は、これを起動時に自動的に行う設定である。

とりあえず公式ドキュメントは発見できなかった。

IPv6有効化設定の方法

まずIPv6無効化の「net.ipv6.conf.all.disable_ipv6=1」はどこで設定されているのかを調べたところ、/usr/lib/sysctl.d/disable-ipv6.conf で設定されていた。

このファイルはOSパッケージにより管理されているため書き換えてはいけない。ユーザが値を変更したい場合は /etc/sysctl.d/ ディレクトリに同じファイル名でファイルを置いて変更する必要がある。

今回の場合は /etc/sysctl.d/disable-ipv6.conf というファイルを作成して、以下の内容で配置した。

net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0

これにより、起動時にIPv6が有効化された状態とすることは可能になった。

DHCPv6によるIPアドレス取得の方法

/etc/sysconfig/network-scripts/ifcfg-ens3 に「IPV6INIT=yes」とか追加してもIPv6アドレスを割り当ててくれない。それどころか、入れたIPV6INIT記述は削除されている。

動作を調べるとcloud-initにより、起動時に毎回 /etc/sysconfig/network-scripts/ifcfg-ens3 が生成されているので、このファイルを書きかえても意味がないことが分かった。

毎起動時に起動させる手法を探したところ、cloud-initの中でper-boot という設定があることがわかった。

「/var/lib/cloud/scripts/per-boot/01_ipv6」というファイルを作り、下記を書き、実行権限を与えたところ、とりあえず希望通りの動作にはなった。

`1`	`#/bin/bash`

`2`	`dhclient -6`

とりあえず、これでOracle Cloud上に作ったインスタンスをIPv6環境に対応させることができた。

ルーティングの設定

上記だけではOracle Cloud内でのIPv6通信しかできない。

仮想クラウドネットワーク(VNC)の設定内にある「ルート・ルール」に「宛先」を「::/0」、ターゲットタイプ「インターネット・ゲートウェイ」でルールを１個追加する。

また、「セキュリティ・リスト」の「イングレス・ルール」に、ソース「::/0」、プロトコルTCP、宛先ポート範囲で「22,80,443」を追加してssh,http,httpsアクセスが可能な設定を行う。

また、出ていくパケットについての「エグレス・ルール」の方に、宛先「::/0」で全てのプロトコルを設定。

これで、外部からのIPv6アクセスも可能になったはずである。

2020年6月26日2023年9月7日

Oracle Autonomous Linuxでwordpressサーバを建ててみた

2021/04/25追記: この手順はOracle Autonomouse Linuxが通常のOracle Linuxとは異なるレポジトリで運用されていた2020年12月以前のものです。

2020年12月にOracle Autonomous Linuxでレポジトリ仕様の変更があったがありましたので、現状は普通のOracle Linux環境として設定できますので「CentOS 7 / Oracle Linux 7でWordPressサーバを建てる」を参照ください。

WebサーバをApacheではなくnginxで構成したい、という場合はこの記事を参照してもいいかもしれません。

2023/09/07追記: 2022年ごろ以降のOracle CloudではFree TierでOracle Autonomouse Linuxを使う事ができなくなっています。

Oracle CloudのTOKYOリージョンでFree tierのOracle Autonomouse Linux 7.8環境の作成が出来た。

できたんだけど、標準で提供されているレポジトリの範囲が狭く、通常のOracle Linux 7.8の標準レポジトリにも足りていない。

このため、wordpressサーバを建ててみるかと思っても、要求されるphpおよびmariadbのバージョンに足りていない。

Oracle Autonomous Linuxとしてのマニュアルがなく、ソフトウェア追加に関する制限事項等が分からないが、他に使い道も無いので、通常のOracle Linux 7.8で設定されているレポジトリとかを追加してみることにした。

注意：普通のOracle Linux 7.8やCentOS7にWordpressをインストールする場合は「CentOS 7 / Oracle Linux 7でWordPressサーバを建てる」を参照してください。

php 7.4追加編

いろいろある中、Oracle自身が出していてOracle Linux 7.8でも追加できるPHP Packages for Oracle Linuxかな、と追加してみる。

Oracle Linuxのレポジトリ設定の中からphp7.4部分を抜き出して /etc/yum.repos.d/oracle-php.repo というファイルを作成。

1[ol7_developer_php74]
2name=Oracle Linux $releasever PHP 7.4 Packages for Development and test ($basearch)
3baseurl=https://yum$ociregion.oracle.com/repo/OracleLinux/OL7/developer/php74/$basearch/
4gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-oracle
5gpgcheck=1
6enabled=1

そしてphpをインストール

1# yum install php
2＜略＞
3--> Finished Dependency Resolution
4 
5Dependencies Resolved
6 
7================================================================================
8 Package         Arch       Version               Repository               Size
9================================================================================
10Installing:
11 php             x86_64     7.4.7-1.0.1.el7       ol7_developer_php74     3.4 M
12Installing for dependencies:
13 apr             x86_64     1.4.8-5.el7           al7                     103 k
14 apr-util        x86_64     1.5.2-6.0.1.el7       al7                      91 k
15 httpd           x86_64     2.4.6-93.0.1.el7      al7                     1.2 M
16 httpd-tools     x86_64     2.4.6-93.0.1.el7      al7                      92 k
17 mailcap         noarch     2.1.41-2.el7          al7                      30 k
18 php-cli         x86_64     7.4.7-1.0.1.el7       ol7_developer_php74     5.1 M
19 php-common      x86_64     7.4.7-1.0.1.el7       ol7_developer_php74     1.1 M
20 
21Transaction Summary
22================================================================================
23Install  1 Package (+7 Dependent packages)
24 
25Total download size: 11 M
26Installed size: 47 M
27Is this ok [y/d/N]: y
28＜略＞
29Installed:
30  php.x86_64 0:7.4.7-1.0.1.el7
31 
32Dependency Installed:
33  apr.x86_64 0:1.4.8-5.el7              apr-util.x86_64 0:1.5.2-6.0.1.el7
34  httpd.x86_64 0:2.4.6-93.0.1.el7       httpd-tools.x86_64 0:2.4.6-93.0.1.el7
35  mailcap.noarch 0:2.1.41-2.el7         php-cli.x86_64 0:7.4.7-1.0.1.el7
36  php-common.x86_64 0:7.4.7-1.0.1.el7
37 
38Complete!
39#

httpdも一緒にインストールされました。

また、wp-cliで使うphp-jsonとサイトヘルスで表示されるエラー対応としてphp-bcmath を追加します。

1# yum install php-json php-bcmath
2＜略＞
3--> Finished Dependency Resolution
4 
5Dependencies Resolved
6 
7================================================================================
8 Package        Arch       Version                Repository               Size
9================================================================================
10Installing:
11 php-bcmath     x86_64     7.4.7-1.0.1.el7        ol7_developer_php74      56 k
12 php-json       x86_64     7.4.7-1.0.1.el7        ol7_developer_php74      58 k
13 
14Transaction Summary
15================================================================================
16Install  2 Packages
17 
18Total download size: 114 k
19Installed size: 160 k
20Is this ok [y/d/N]: y
21＜略＞
22#

しかし、AMP pluginで使うphp-pear-Net-Curlとサイトヘルスのphp-pecl-imagick はepel系パッケージ、サイトヘルスのphp-gd は依存パッケージのlibvpx(Oracle Linuxでは標準パッケージに含まれる)がなくインストールできなかった。

MariaDB追加編

SQLサーバのmariadb-serverパッケージについては、MariaDB Foundationからmariadb 10.5を導入することにした。

「/etc/yum.repos.d/mariadb.repo」というファイルを作り、以下の内容を入力

1# MariaDB 10.5 RedHat repository list - created 2020-06-26 04:54 UTC
2# http://downloads.mariadb.org/mariadb/repositories/
3[mariadb]
4name = MariaDB
5baseurl = http://yum.mariadb.org/10.5/rhel7-amd64
6gpgkey=https://yum.mariadb.org/RPM-GPG-KEY-MariaDB
7gpgcheck=1
8#

そののち「yum install MariaDB-server MariaDB-client」を実行してmariadb-serverをインストール

1# yum install MariaDB-server MariaDB-client
2＜中略＞
3---> Package perl-Compress-Raw-Zlib.x86_64 1:2.061-4.el7 will be installed
4--> Finished Dependency Resolution
5Error: Package: MariaDB-client-10.5.4-1.el7.centos.x86_64 (mariadb)
6           Requires: libpcre2-8.so.0()(64bit)
7Error: Package: galera-4-26.4.5-1.el7.centos.x86_64 (mariadb)
8           Requires: socat
9Error: Package: MariaDB-server-10.5.4-1.el7.centos.x86_64 (mariadb)
10           Requires: libpcre2-8.so.0()(64bit)
11 You could try using --skip-broken to work around the problem
12 You could try running: rpm -Va --nofiles --nodigest
13#

どうやら「pcre2」と「socat」がOracle Autonomous Linuxでは提供されていないパッケージであるようだ。（標準のOralce Linux 7.8ではol7_latestレポジトリに含まれている)

先ほど指定したmariadbレポジトリはRedHat Enterprise Linux 7用だったので、CentOS7用(baseurl=http://yum.mariadb.org/10.5/centos7-amd64 )に変更しても状況は変わらず。

では、とバージョンを10.4に下げてみると成功。成功時のmariadb.repoは以下

1# MariaDB 10.4 RedHat repository list - created 2020-06-26 06:01 UTC
2# http://downloads.mariadb.org/mariadb/repositories/
3[mariadb]
4name = MariaDB
5baseurl = http://yum.mariadb.org/10.4/rhel7-amd64
6gpgkey=https://yum.mariadb.org/RPM-GPG-KEY-MariaDB
7gpgcheck=1

1# yum install MariaDB-server MariaDB-client
2＜略＞
3--> Finished Dependency Resolution
4 
5Dependencies Resolved
6 
7================================================================================
8 Package                   Arch     Version                     Repository
9                                                                           Size
10================================================================================
11Installing:
12 MariaDB-client            x86_64   10.4.13-1.el7.centos        mariadb    12 M
13 MariaDB-compat            x86_64   10.4.13-1.el7.centos        mariadb   2.2 M
14     replacing  mariadb-libs.x86_64 1:5.5.65-1.el7
15 MariaDB-server            x86_64   10.4.13-1.el7.centos        mariadb    26 M
16Installing for dependencies:
17 MariaDB-common            x86_64   10.4.13-1.el7.centos        mariadb    81 k
18 boost-program-options     x86_64   1.53.0-28.el7               al7       156 k
19 galera-4                  x86_64   26.4.4-1.rhel7.el7.centos   mariadb   9.5 M
20 perl-Compress-Raw-Bzip2   x86_64   2.061-3.el7                 al7        32 k
21 perl-Compress-Raw-Zlib    x86_64   1:2.061-4.el7               al7        57 k
22 perl-DBI                  x86_64   1.627-4.el7                 al7       801 k
23 perl-Data-Dumper          x86_64   2.145-3.el7                 al7        47 k
24 perl-IO-Compress          noarch   2.061-2.el7                 al7       259 k
25 perl-Net-Daemon           noarch   0.48-5.el7                  al7        50 k
26 perl-PlRPC                noarch   0.2020-14.el7               al7        35 k
27 
28Transaction Summary
29================================================================================
30Install  3 Packages (+10 Dependent packages)
31 
32Total download size: 51 M
33Is this ok [y/d/N]: y
34＜略＞
35 
36Installed:
37  MariaDB-client.x86_64 0:10.4.13-1.el7.centos
38  MariaDB-compat.x86_64 0:10.4.13-1.el7.centos
39  MariaDB-server.x86_64 0:10.4.13-1.el7.centos
40 
41Dependency Installed:
42  MariaDB-common.x86_64 0:10.4.13-1.el7.centos
43  boost-program-options.x86_64 0:1.53.0-28.el7
44  galera-4.x86_64 0:26.4.4-1.rhel7.el7.centos
45  perl-Compress-Raw-Bzip2.x86_64 0:2.061-3.el7
46  perl-Compress-Raw-Zlib.x86_64 1:2.061-4.el7
47  perl-DBI.x86_64 0:1.627-4.el7
48  perl-Data-Dumper.x86_64 0:2.145-3.el7
49  perl-IO-Compress.noarch 0:2.061-2.el7
50  perl-Net-Daemon.noarch 0:0.48-5.el7
51  perl-PlRPC.noarch 0:0.2020-14.el7
52 
53Replaced:
54  mariadb-libs.x86_64 1:5.5.65-1.el7
55 
56Complete!
57#

MariaDB設定編

まず、現在のMariaDBサーバの自動起動設定を確認。

1# systemctl list-unit-files|grep mariadb
2mariadb.service                               disabled
3mariadb@.service                              disabled
4#

自動起動しない設定になっているので、自動起動するように変更する

1# systemctl enable mariadb.service
2Created symlink from /etc/systemd/system/mysql.service to /usr/lib/systemd/system/mariadb.service.
3Created symlink from /etc/systemd/system/mysqld.service to /usr/lib/systemd/system/mariadb.service.
4Created symlink from /etc/systemd/system/multi-user.target.wants/mariadb.service to /usr/lib/systemd/system/mariadb.service.
5#

続いてMariaDBの起動状況を確認

1# systemctl status mariadb
2● mariadb.service - MariaDB 10.4.13 database server
3   Loaded: loaded (/usr/lib/systemd/system/mariadb.service; enabled; vendor preset: disabled)
4  Drop-In: /etc/systemd/system/mariadb.service.d
5           mqmigrated-from-my.cnf-settings.conf
6   Active: inactive (dead)
7     Docs: man:mysqld(8)
8           https://mariadb.com/kb/en/library/systemd/
9#

「Active: inactive (dead)」なので起動していないので「systemctl start mariadb」で起動する。

1# systemctl start mariadb
2# systemctl status mariadb -l
3● mariadb.service - MariaDB 10.4.13 database server
4   Loaded: loaded (/usr/lib/systemd/system/mariadb.service; enabled; vendor preset: disabled)
5  Drop-In: /etc/systemd/system/mariadb.service.d
6           mqmigrated-from-my.cnf-settings.conf
7   Active: active (running) since Fri 2020-06-26 15:08:58 JST; 37s ago
8     Docs: man:mysqld(8)
9           https://mariadb.com/kb/en/library/systemd/
10  Process: 9464 ExecStartPost=/bin/sh -c systemctl unset-environment _WSREP_START_POSITION (code=exited, status=0/SUCCESS)
11  Process: 9419 ExecStartPre=/bin/sh -c [ ! -e /usr/bin/galera_recovery ] &amp;&amp; VAR= ||   VAR=`cd /usr/bin/..; /usr/bin/galera_recovery`; [ $? -eq 0 ]   &amp;&amp; systemctl set-environment _WSREP_START_POSITION=$VAR || exit 1 (code=exited, status=0/SUCCESS)
12  Process: 9417 ExecStartPre=/bin/sh -c systemctl unset-environment _WSREP_START_POSITION (code=exited, status=0/SUCCESS)
13 Main PID: 9430 (mysqld)
14   Status: "Taking your SQL requests now..."
15   CGroup: /system.slice/mariadb.service
16           mq9430 /usr/sbin/mysqld
17 
18Jun 26 15:08:57 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:57 0 [Note] InnoDB: 10.4.13 started; log sequence number 60972; transaction id 21
19Jun 26 15:08:57 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:57 0 [Note] InnoDB: Loading buffer pool(s) from /var/lib/mysql/ib_buffer_pool
20Jun 26 15:08:57 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:57 0 [Note] InnoDB: Buffer pool(s) load completed at 200626 15:08:57
21Jun 26 15:08:57 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:57 0 [Note] Plugin 'FEEDBACK' is disabled.
22Jun 26 15:08:57 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:57 0 [Note] Server socket created on IP: '::'.
23Jun 26 15:08:58 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:58 0 [Note] Reading of all Master_info entries succeeded
24Jun 26 15:08:58 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:58 0 [Note] Added new Master_info '' to hash table
25Jun 26 15:08:58 oci.adosakana.local mysqld[9430]: 2020-06-26 15:08:58 0 [Note] /usr/sbin/mysqld: ready for connections.
26Jun 26 15:08:58 oci.adosakana.local mysqld[9430]: Version: '10.4.13-MariaDB'  socket: '/var/lib/mysql/mysql.sock'  port: 3306  MariaDB Server
27Jun 26 15:08:58 oci.adosakana.local systemd[1]: Started MariaDB 10.4.13 database server.
28#

MariaDB上にWordpress用のデータベースを作成する。

1# mysql -u root
2Welcome to the MariaDB monitor.  Commands end with ; or \g.
3Your MariaDB connection id is 8
4Server version: 10.4.13-MariaDB MariaDB Server
5 
6Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
7 
8Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
9 
10MariaDB [(none)]> create database DB名 character set utf8;
11Query OK, 1 row affected (0.000 sec)
12 
13MariaDB [(none)]> grant all on DB名.* to wordpress@localhost identified by 'w@rdpress';
14Query OK, 0 rows affected (0.002 sec)
15 
16MariaDB [(none)]> quit
17Bye
18#

firewall設定

まずfirewallを開ける。

現状のポート開放状況を確認するため「firewall-cmd –list-all」を実行

1# firewall-cmd --list-all
2public (active)
3  target: default
4  icmp-block-inversion: no
5  interfaces: ens3
6  sources:
7  services: dhcpv6-client ssh
8  ports:
9  protocols:
10  masquerade: no
11  forward-ports:
12  source-ports:
13  icmp-blocks:
14  rich rules:
15#

httpとhttpsを追加して、設定を再読込して反映

1# firewall-cmd --permanent --zone=public --add-service=http
2success
3# firewall-cmd --permanent --zone=public --add-service=https
4success
5# firewall-cmd --reload
6success
7# firewall-cmd --list-all
8public (active)
9  target: default
10  icmp-block-inversion: no
11  interfaces: ens3
12  sources:
13  services: dhcpv6-client http https ssh
14  ports:
15  protocols:
16  masquerade: no
17  forward-ports:
18  source-ports:
19  icmp-blocks:
20  rich rules:
21#

Webサーバ設定

nginxへの切り替え

最初はApacheを使おうとしたのですが、Mozilla SSL Configuration Generators推奨設定を行うにはmod_rewriteやmod_headersが含まれていませんでした。

Apache関連の追加レポジトリを探すよりはWebサーバをnginxに切り替えてnginx公式レポジトリを使った方が良いのでは？ということで「nginx: Linux packages」を元に追加

/etc/yum.repos.d/nginx.repo に下記を記載

1[nginx-stable]
2name=nginx stable repo
3baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
4gpgcheck=1
5enabled=1
6gpgkey=https://nginx.org/keys/nginx_signing.key
7module_hotfixes=true
8 
9[nginx-mainline]
10name=nginx mainline repo
11baseurl=http://nginx.org/packages/mainline/centos/$releasever/$basearch/
12gpgcheck=1
13enabled=0
14gpgkey=https://nginx.org/keys/nginx_signing.key
15module_hotfixes=true

1# yum install nginx
2＜略＞
3--> Finished Dependency Resolution
4 
5Dependencies Resolved
6 
7================================================================================
8 Package      Arch          Version                   Repository           Size
9================================================================================
10Installing:
11 nginx        x86_64        1:1.18.0-1.el7.ngx        nginx-stable        772 k
12 
13Transaction Summary
14================================================================================
15Install  1 Package
16 
17Total download size: 772 k
18Installed size: 2.7 M
19Is this ok [y/d/N]: y
20＜略＞
21#

また、あとで確認したところphp-fpmも必要だったのでインストールします。これはサービスとしても起動します。

1# yum install php-fpm
2Loaded plugins: langpacks
3Resolving Dependencies
4--> Running transaction check
5---> Package php-fpm.x86_64 0:7.4.7-1.0.1.el7 will be installed
6--> Finished Dependency Resolution
7 
8Dependencies Resolved
9 
10================================================================================
11 Package      Arch        Version                Repository                Size
12================================================================================
13Installing:
14 php-fpm      x86_64      7.4.7-1.0.1.el7        ol7_developer_php74      1.7 M
15 
16Transaction Summary
17================================================================================
18Install  1 Package
19 
20Total download size: 1.7 M
21Installed size: 6.1 M
22Is this ok [y/d/N]: y
23＜略＞
24# systemctl list-unit-files|grep php
25php-fpm.service                               disabled
26# systemctl enable php-fpm.service
27Created symlink from /etc/systemd/system/multi-user.target.wants/php-fpm.service to /usr/lib/systemd/system/php-fpm.service.
28# systemctl start php-fpm.service
29#

現在のApacheとnginxの自動起動設定を確認するため「systemctl list-unit-files|grep -e http -e nginx」を実行

1# systemctl list-unit-files|grep -e http -e nginx
2httpd.service                                 disabled
3nginx-debug.service                           disabled
4nginx.service                                 disabled
5#

どちらも起動状態にないことを確認。

nginxを自動起動にしてから起動

1# ystemctl enable nginx.service
2Created symlink from /etc/systemd/system/multi-user.target.wants/nginx.service to /usr/lib/systemd/system/nginx.service.
3# systemctl start nginx.service
4# systemctl status nginx.service -l
5● nginx.service - nginx - high performance web server
6   Loaded: loaded (/usr/lib/systemd/system/nginx.service; disabled; vendor preset: disabled)
7   Active: active (running) since Fri 2020-06-26 15:58:01 JST; 5s ago
8     Docs: http://nginx.org/en/docs/
9  Process: 10409 ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf (code=exited, status=0/SUCCESS)
10 Main PID: 10410 (nginx)
11   CGroup: /system.slice/nginx.service
12           tq10410 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.con
13           mq10411 nginx: worker process
14 
15Jun 26 15:58:01 oci.adosakana.local systemd[1]: Starting nginx - high performance web server...
16Jun 26 15:58:01 oci.adosakana.local systemd[1]: Can't open PID file /var/run/nginx.pid (yet?) after start: No such file or directory
17Jun 26 15:58:01 oci.adosakana.local systemd[1]: Started nginx - high performance web server.
18#

ブラウザからアクセスできるか確認

Let’s encryptを利用したSSLアクセス有効化

Oracle Autonomous Linuxにはcertbotもdehydratedもありません。

certbotはpython環境を使い大がかりになってしまうので、dehydratedの方を使用します。

githubのdehydratedからダウンロードします。

1# wget https://github.com/dehydrated-io/dehydrated/archive/master.tar.gz
2# tar xfz master.tar.gz
3# ls -l
4total 88
5drwxrwxr-x. 4 root root  4096 Apr 29 04:36 dehydrated-master
6-rw-r--r--. 1 root root 82951 Jun 26 16:32 master.tar.gz 
7# 

dehydrated と config を配置します。

1# cp dehydrated-master/dehydrated /usr/local/sbin/
2# ls -l /usr/local/sbin/dehydrated
3-rwxr-xr-x. 1 root root 69787 Jun 26 16:35 /usr/local/sbin/dehydrated
4# mkdir /usr/local/etc/dehydrated
5# cp dehydrated-master/docs/examples/config /usr/local/etc/dehydrated
6# ls -l /usr/local/etc/dehydrated
7total 8
8-rw-r--r--. 1 root root 4656 Jun 26 16:36 config
9#

/usr/local/etc/dehydrated/domains.txt にSSL証明書を取得するドメイン名を列挙します。

dehydratedがSSL証明書取得の際に使用する作業用Web公開ディレクトリ /var/www/dehydrated に関する設定をnginxに行います。

まず、ディレクトリを作成

`1`	`# mkdir /var/www/dehydrated`

2 #

次にnginx側の設定を /etc/nginx/conf.d/default.conf のlisten 80に関するlocaltionに下記を追加。

1location ^~ /.well-known/acme-challenge {
2        alias /var/www/dehydrated;
3        break;
4}

そして、nginx再起動

`1`	`# systemctl restart nginx`

2 #

準備が出来たのでdehydratedで登録を開始。

1# dehydrated --register
2# INFO: Using main config file /usr/local/etc/dehydrated/config
3 
4To use dehydrated with this certificate authority you have to agree to their terms of service which you can find here: https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf
5 
6To accept these terms of service run `/usr/local/sbin/dehydrated --register --accept-terms`.
7#  /usr/local/sbin/dehydrated --register --accept-terms
8# INFO: Using main config file /usr/local/etc/dehydrated/config
9+ Generating account key...
10+ Registering account key with ACME server...
11+ Fetching account URL...
12+ Done!
13# 

前処理が完了したので、実際のSSL証明書発行処理を実施。

1# /usr/local/sbin/dehydrated --cron
2# INFO: Using main config file /usr/local/etc/dehydrated/config
3Processing oci.adosakana.local
4 + Creating new directory /usr/local/etc/dehydrated/certs/oci.adosakana.local ...
5 + Signing domains...
6 + Generating private key...
7 + Generating signing request...
8 + Requesting new certificate order from CA...
9 + Received 1 authorizations URLs from the CA
10 + Handling authorization for oci.adosakana.local
11 + 1 pending challenge(s)
12 + Deploying challenge tokens...
13 + Responding to challenge for oci.adosakana.local authorization...
14 + Challenge is valid!
15 + Cleaning challenge tokens...
16 + Requesting certificate...
17 + Checking certificate...
18 + Done!
19 + Creating fullchain.pem...
20 + Done!
21#

SSL証明書は /usr/local/etc/dehydrated/certs/FQDN名ディレクトリに作成されます。

nginx側の設定はMozilla SSL Configuration Generator を元に /etc/nginx/conf.d/default.conf を書き換えます。

1# generated 2020-06-26, Mozilla Guideline v5.4, nginx 1.17.7, OpenSSL 1.0.1e, intermediate configuration, no OCSP
2# https://ssl-config.mozilla.org/#server=nginx&amp;version=1.17.7&amp;config=intermediate&amp;openssl=1.0.1e&amp;ocsp=false&amp;guideline=5.4
3server {
4    listen 80 default_server;
5    listen [::]:80 default_server;
6 
7    location ^~ /.well-known/acme-challenge {
8        alias /var/www/dehydrated;
9    }
10    return 301 https://$host$request_uri;
11}
12 
13server {
14    listen 443 ssl http2;
15    listen [::]:443 ssl http2;
16 
17    ssl_certificate /usr/local/etc/dehydrated/certs/FQDN名ディレクトリ/fullchain.pem;
18    ssl_certificate_key /usr/local/etc/dehydrated/certs/FQDN名ディレクトリ/privkey.pem;
19    ssl_session_timeout 1d;
20    ssl_session_cache shared:MozSSL:10m;  # about 40000 sessions
21 
22    # curl https://ssl-config.mozilla.org/ffdhe2048.txt > /path/to/dhparam
23    ssl_dhparam /usr/local/etc/dehydrated/certs/dhparam;
24 
25    # intermediate configuration
26    ssl_protocols TLSv1.2;
27    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
28    ssl_prefer_server_ciphers off;
29 
30    # HSTS (ngx_http_headers_module is required) (63072000 seconds)
31    add_header Strict-Transport-Security "max-age=63072000" always;
32}

Mozilla的にはffdhe2048.txtの配置を推奨するようなので、下記でダウンロードして配置します。

1# curl https://ssl-config.mozilla.org/ffdhe2048.txt > /usr/local/etc/dehydrated/certs/dhparam
2  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
3                                 Dload  Upload   Total   Spent    Left  Speed
4100   423  100   423    0     0    680      0 --:--:-- --:--:-- --:--:--   681
5#

そして、nginxを再起動します。

`1`	`# systemctl restart nginx`

2 #

ブラウザからhttpアクセスすると、httpsアクセスに変換された上で404 Not Found表示となることを確認します。

Let’s のSSL証明書は定期的に更新処理を実行する必要があります。

/etc/cron.d/dehydrated に下記の内容のファイルを作成します。(EPEL収録のdehydratedパッケージの内容を参考にした)

`1`	`45 1 * * 4 root test -s /usr/local/etc/dehydrated/domains.txt && /usr/local/sbin/dehydrated --cron`

WordPress設定

/var/www/html/wordpress にtar.gzの中身を展開

1# tar xfz latest.tar.gz
2# ls -l
3total 11956
4-rw-r--r--. 1 root   root      12238031 Jun 11 06:49 latest.tar.gz
5drwxr-xr-x. 5 nobody nfsnobody     4096 Jun 11 06:48 wordpress
6# chown -R apache:apache wordpress/
7# ls -l
8total 11956
9-rw-r--r--. 1 root   root   12238031 Jun 11 06:49 latest.tar.gz
10drwxr-xr-x. 5 apache apache     4096 Jun 11 06:48 wordpress
11#

WordPress用のnginx設定は「nginx WordPress recipe」を参考に作成した。元はphp-cgiを使用していたが、php-cgiパッケージはないためphp-fpm使用に切り替えている。

1# Upstream to abstract backend connection(s) for php
2upstream php {
3    server unix:/tmp/php-fpm.socket;
4    server 127.0.0.1:9000;
5}
6 
7# generated 2020-06-26, Mozilla Guideline v5.4, nginx 1.17.7, OpenSSL 1.0.1e, intermediate configuration, no OCSP
8# https://ssl-config.mozilla.org/#server=nginx&amp;version=1.17.7&amp;config=intermediate&amp;openssl=1.0.1e&amp;ocsp=false&amp;guideline=5.4
9server {
10    listen 80 default_server;
11    listen [::]:80 default_server;
12 
13    location ^~ /.well-known/acme-challenge {
14        alias /var/www/dehydrated;
15    }
16    return 301 https://$host$request_uri;
17}
18 
19server {
20    listen 443 ssl http2;
21    listen [::]:443 ssl http2;
22 
23    ssl_certificate /usr/local/etc/dehydrated/certs/FQDN名ディレクトリ/fullchain.pem;
24    ssl_certificate_key /usr/local/etc/dehydrated/certs/FQDN名ディレクトリ/privkey.pem;
25    ssl_session_timeout 1d;
26    ssl_session_cache shared:MozSSL:10m;  # about 40000 sessions
27 
28    # curl https://ssl-config.mozilla.org/ffdhe2048.txt > /path/to/dhparam
29    ssl_dhparam /usr/local/etc/dehydrated/certs/dhparam;
30 
31    # intermediate configuration
32    ssl_protocols TLSv1.2;
33    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
34    ssl_prefer_server_ciphers off;
35 
36    # HSTS (ngx_http_headers_module is required) (63072000 seconds)
37    add_header Strict-Transport-Security "max-age=63072000" always;
38 
39    root /var/www/html/wordpress;
40 
41    index index.php;
42    location = /favicon.ico {
43        log_not_found off;
44        access_log off;
45    }
46    location = /robots.txt {
47        allow all;
48        log_not_found off;
49        access_log off;
50    }
51    location / {
52        try_files $uri $uri/ /index.php?$args;
53    }
54    location ~ \.php$ {
55        #NOTE: You should have "cgi.fix_pathinfo = 0;" in php.ini
56        include fastcgi_params;
57        fastcgi_intercept_errors on;
58        fastcgi_pass php;
59        #The following parameter can be also included in fastcgi_params file
60        fastcgi_param  SCRIPT_FILENAME $document_root$fastcgi_script_name;
61    }
62    location ~* \.(js|css|png|jpg|jpeg|gif|ico)$ {
63        expires max;
64        log_not_found off;
65    }
66}

phpにMySQLアクセス用パッケージを入れていなかった・・・

またphpの日本語処理に必要なやつもなかったので「yum install php-mysql php-mbstring」でインストールして、php-fpmを再起動

1# yum install php-mysql php-mbstring
2＜略＞
3--> Finished Dependency Resolution
4 
5Dependencies Resolved
6 
7================================================================================
8 Package          Arch       Version              Repository               Size
9================================================================================
10Installing:
11 php-mbstring     x86_64     7.4.7-1.0.1.el7      ol7_developer_php74     497 k
12 php-mysqlnd      x86_64     7.4.7-1.0.1.el7      ol7_developer_php74     228 k
13Installing for dependencies:
14 php-pdo          x86_64     7.4.7-1.0.1.el7      ol7_developer_php74     121 k
15 
16Transaction Summary
17================================================================================
18Install  2 Packages (+1 Dependent package)
19 
20Total download size: 845 k
21Installed size: 3.2 M
22Is this ok [y/d/N]: y
23＜略＞
24# systemctl restart php-fpm.service
25#

成功

wp-config.php については手動で/var/www/html/wordpress/wp-config.php に作成する必要があったが、それ以外は問題無く実行された。

また、Wordpress上のプラグインインストールや更新についても特に問題なく実行できた。

2020/06/30追記

WordPressのAMPプラグインを動かそうとしたら「dom」が有効にできない、と言われた。

これはphp-xmlに含まれるので「yum install php-xml」で追加したあと「systemctl restart php-fpm.service」を実行した。

2020/07/14追記

wordpressのインポートを行おうとしたらファイルが大きくて「413 Request Entity Too Large」とエラーになった。

まず、 /etc/php.ini の「post_max_size」と「upload_max_filesize」の値を変更して、「systemctl restart php-fpm」を実行

1; Maximum size of POST data that PHP will accept.
2; Its value may be 0 to disable the limit. It is ignored if POST data reading
3; is disabled through enable_post_data_reading.
4; http://php.net/post-max-size
5;post_max_size = 8M
6post_max_size = 10M

1; Maximum allowed size for uploaded files.
2; http://php.net/upload-max-filesize
3;upload_max_filesize = 2M
4upload_max_filesize = 20M

また、「/etc/nginx/conf.d/default.conf」のポート443に関するserver定義内で「client_max_body_size」の設定を追加し、「systemctl restart nginx」で再起動します。

1server {
2    listen 443 ssl http2;
3    listen [::]:443 ssl http2;
4 
5    client_max_body_size 20M;
6＜略＞
7}

これでアップロードが成功するようになりました。

2019年12月19日

Oracle CloundのAlways Freeインスタンスが死んだ

Oracleさんから「Production Event Notification: Oracle Cloud Infrastructure Compute – Terminated Instance for Tenant:～」というお手紙が3通来た。

障害でインスタンスを止めた。データは失われてないから新しくインスタンス作ってね。

え・・・？

というわけでログインして確認。

ない・・・

ブートボリュームは？

ちゃんとあった。

お知らせは何かあるかな？と確認

書いてある内容はメールとだいたい一緒。

しかたがないので作り直し。ブートボリュームで作り直すボリュームを選択し、「インスタンスの作成」を選択。

ん？可用性ドメインが「ロード中」のまま動かないのですが・・・

詳細を開くとあるので大丈夫かな？sshキーも指定して「作成」

無事作成完了です。

教訓としては常用するのであればパブリックIPアドレスは予約済みで取得しておかないとダメというところですね。

あと、出先でもインスタンス再作成ができるよう、sshキーのメモをどこかに用意しておかないと・・・

2019年10月2日

Oracle Cloud上にWindows Server 2016インスタンスを作ったら記号が入らずパスワード入力ができなかった件

Oracle Cloudの登録特典でもらえる30日有効の33000円分のクレジットがまだまだ余ってるので、Windows Server 2016インスタンスを作ってみた。

初期パスワードはシステム側で自動生成される・・・と

ありますね。

初回ログインはコンソール画面から行う必要があるので、上記の画面をスクロールして「リソース」の「コンソール接続」から「コンソール接続の作成」を選択

sshの公開鍵を指定して・・・

コンソール接続が「アクティブ」となったら、右側のメニューから「VNCを使用して接続」を選択

「プラットフォーム:WINDOWS」を選択して、文字列を「コピー」

Windows上でPowerShellを開いて、コピーしたものを貼り付けて実行

で・・・VNC Viewerを起動して「localhost:5900」に接続を実行すると下記の様にログイン画面が出てくる。

で・・・ココで問題が発生。

パスワードを入力しようとしても「:→;」「@→2」「^→6」「`→~」「=→+」という感じで期待通りの入力が行えない。

Windows 10の日本語キーボード環境で「;キー」と「:キー」のどちらを押しても「;」が入力される事態。UltraVNCにあるSend Custom Keyを使用して「85」「86」を送っても、同じく「;」が入力されてしまう。

UltraVNCには「Japanese keyboard」という設定項目があるのでそれを設定しても状況は変わらず。

・UltraVNC
・RealVNC
・TigerVNC
この３つを試したところ、TigerVNCでは、Windows上のキーボード認識がUSキーボードになってるけど、実際につながっているのは日本語キーボード、という場合に相当する動きをしてくれた。

この動きであれば、日本語キーボードを英語配列だと思い込んで操作することによってなんとか記号を入力することができる（一部入力できないものもあるが、UltraVNC/RealVNCよりはずっとマシ）

TigerVNC Viewerでログインに成功し、デバイスマネージャー(Device Manager)から「Standard PS/2 Keyboard」を「Japanese PS/2 Keyboard (106/109 key)」に変更することで、日本語キーボードであっても期待通りに入力出来る環境を用意することができた。

(下記の画像はWindows Server 2012R2のだけど、Windows Server 2016もほぼ同じ)