トラステッドネットワークのトラブルシューティング (タスクマップ)

ドキュメントの品質向上のためのご意見をください

Your rating has been updated

貴重なご意見を有り難うございました!

あなたの貴重なご意見はより良いドキュメント作成の手助けとなります内容の品質向上と追加コメントのためのアンケートに参加されますか？

トラステッドネットワークのトラブルシューティング (タスクマップ)

次のタスクマップでは、Trusted Extensions ネットワークのデバッグを支援するタスクについて説明します。

タスク	説明	参照先
システムとリモートホストが通信できない原因を特定します。	1 台のシステムでインタフェースが稼働していることを確認します。	「システムのインタフェースが稼働していることを確認する」
システムとリモートホストが通信できない原因を特定します。	システムとリモートホストが互いに通信できない場合はデバッグツールを使用します。	「Trusted Extensions ネットワークをデバッグする」
LDAP クライアントが LDAP サーバーに到達できない原因を特定します。	LDAP サーバーとクライアントの間の接続障害をトラブルシューティングします。	「LDAP サーバーへのクライアントの接続をデバッグする」

システムのインタフェースが稼働していることを確認する

システムが期待どおりにほかのシステムと通信しない場合は、この手順を使います。

始める前に

ネットワーク属性値をチェックできる役割で、大域ゾーンにいる必要があります。セキュリティー管理者役割とシステム管理者役割が、これらの値をチェックできます。

システムのネットワークインタフェースが稼働していることを確認します。
システムのインタフェースを表示するには、Labeled Zone Manager GUI または ipadm コマンドを使用します。
- Labeled Zone Manager を開いたあと、目的のゾーンをダブルクリックします。
```
# txzonemgr &
```
  「ネットワークインタフェースの構成」を選択し、ゾーンの「Status」列の値が「Up」になっていることを確認します。
- あるいは、ipadm show-addr コマンドを使用します。
```
# ipadm show-addr
...
ADDROBJ          TYPE      STATE        ADDR
lo0/v4           static    ok           127.0.0.1/8
net0/_a          dhcp      down         10.131.132.133/23
net0:0/_a        dhcp      down         10.131.132.175/23
```
  net0 インタフェースの値が ok になっているはずです。ipadm コマンドの詳細については、ipadm(1M) のマニュアルページを参照してください。
インタフェースが稼働していない場合は、稼働状態にします。
1. Labeled Zone Manager GUI で、停止しているインタフェースを含むゾーンをダブルクリックします。
2. 「ネットワークインタフェースの構成」を選択します。
3. 状態が「Down」になっているインタフェースをダブルクリックします。
4. 「稼働状態にする」を選択してから「了解」をクリックします。
5. 「取消し」または「了解」をクリックします。

Trusted Extensions ネットワークをデバッグする

期待どおりに通信していない 2 つのホストをデバッグする場合、Trusted Extensions と Oracle Solaris のデバッグ用のツールを使用できます。たとえば、snoop や netstat など Oracle Solaris のネットワークデバッグコマンドを使用できます。詳細は、snoop(1M) および netstat(1M) のマニュアルページを参照してください。Trusted Extensions に固有のコマンドについては、付録 D Trusted Extensions マニュアルページのリストを参照してください。

ラベル付きゾーンを接続するときの問題については、「ゾーンの管理 (タスクマップ)」を参照してください。
NFS マウントのデバッグについては、「Trusted Extensions でマウントの失敗をトラブルシューティングする」を参照してください。

始める前に

ネットワーク属性値をチェックできる役割で、大域ゾーンにいる必要があります。セキュリティー管理者役割またはシステム管理者役割が、これらの値をチェックできます。ファイルを編集できるのは、root 役割だけです。

通信できないホスト同士が同じネームサービスを使用していることを確認します。

各システム上で、name-service/switch SMF サービスの Trusted Extensions データベースの値を確認します。

# svccfg -s name-service/switch listprop config
config/value_authorization  astring  solaris.smf.value.name-service.switch
config/default              astring  ldap
...
config/tnrhtp               astring  "files ldap"
config/tnrhdb               astring  "files ldap"

ホスト間で値が異なっている場合は、問題のホスト上で値を修正します。

# svccfg -s name-service/switch setprop config/tnrhtp="files ldap"
# svccfg -s name-service/switch setprop config/tnrhdb="files ldap"

次に、それらのホスト上でネームサービスデーモンを再起動します。
```
# svcadm restart name-service/switch
```

各ホストが正しく定義されていることを確認するため、伝送にかかわる発信元ホスト、宛先ホスト、およびゲートウェイホストのセキュリティー属性を表示します。
コマンド行を使用してネットワーク情報が正しいことを確認します。各ホストの割り当てがネットワーク上のほかのホストの割り当てと一致していることを確認します。必要な表示形式に応じて tncfg コマンド、tninfo コマンド、txzonemgr GUI のいずれかを使用します。
- テンプレート定義を表示します。
  tninfo -t コマンドは、ラベルを文字列形式と 16 進形式で表示します。
```
$ tninfo -t template-name
template: template-name
host_type: one of cipso or UNLABELED
doi: 1
min_sl: minimum-label
hex: minimum-hex-label
max_sl: maximum-label
hex: maximum-hex-label
```
- テンプレートと、そのテンプレートに割り当てられたホストを表示します。
  tncfg -t コマンドは、ラベルを文字列形式で表示し、割り当てられているホストを一覧表示します。
```
$ tncfg -t template info
   name=<template-name>
   host_type=<one of cipso or unlabeled>
   doi=1
   min_label=<minimum-label>
   max_label=<maximum-label>
   host=127.0.0.1/32       /** Localhost **/
   host=192.168.1.2/32     /** LDAP server **/
   host=192.168.1.22/32    /** Gateway to LDAP server **/
   host=192.168.113.0/24   /** Additional network **/
   host=192.168.113.100/25      /** Additional network **/
   host=2001:a08:3903:200::0/56/** Additional network **/
```
- ある特定のホストの IP アドレスと、割り当てられたセキュリティーテンプレートを表示します。
  tninfo -h コマンドは、指定されたホストの IP アドレスと、そのホストに割り当てられたセキュリティーテンプレートの名前を表示します。
```
$ tninfo -h hostname
IP Address: IP-address
Template: template-name
```
  tncfg get host= コマンドは、指定されたホストを定義するセキュリティーテンプレートの名前を表示します。
```
$ tncfg get host=hostname|IP-address[/prefix]
template-name
```
- ゾーンのマルチレベルポート (MLP) を表示します。
  tncfg -z コマンドは、MLP を 1 行に 1 つずつ一覧表示します。
```
$ tncfg -z zone-name info [mlp_private | mlp_shared]
mlp_private=<port/protocol-that-is-specific-to-this-zone-only>
mlp_shared=<port/protocol-that-the-zone-shares-with-other-zones>
```
  tninfo -m コマンドは、1 行目にプライベート MLP を、2 行目に共有 MLP をそれぞれ表示します。各 MLP はセミコロンで区切られます。
```
$ tninfo -m zone-name
private: ports-that-are-specific-to-this-zone-only
shared: ports-that-the-zone-shares-with-other-zones
```
  MLP を GUI で表示するには、txzonemgr コマンドを使用します。ゾーンをダブルクリックしたあと、「マルチレベルポートを構成」を選択します。
正しくない情報があれば修正します。
1. ネットワークのセキュリティー情報を変更または確認するには、トラステッドネットワークの管理コマンド tncfg と txzonemgr を使用します。データベースの構文を検査するには、tnchkdb コマンドを使用します。
  たとえば次の出力は、テンプレート名 internal_cipso が未定義であることを示しています。
```
# tnchkdb
     checking /etc/security/tsol/tnrhtp ...
     checking /etc/security/tsol/tnrhdb ...
tnchkdb: unknown template name: internal_cipso at line 49
tnchkdb: unknown template name: internal_cipso at line 50
tnchkdb: unknown template name: internal_cipso at line 51
     checking /etc/security/tsol/tnzonecfg ...
```
  このエラーから、internal_cipso セキュリティーテンプレートの作成や割り当てを行うときに、tncfg コマンドや txzonemgr コマンドが使用されなかったことがわかります。
  修復するには、tnrhdb ファイルを元のファイルで置き換えたあと、tncfg コマンドを使用してセキュリティーテンプレートの作成や割り当てを行います。
2. カーネルキャッシュをクリアーするには、リブートします。
  ブート時に、キャッシュにデータベース情報が生成されます。SMF サービス name-service/switch によって、カーネルへのデータ設定時にローカルデータベースと LDAP データベースのどちらが使用されるかが決まります。
デバッグに役立つ伝送情報を収集します。
1. ルーティング構成を確認します。
```
$ route get [ip] -secattr sl=label,doi=integer
```
  詳細は、route(1M) のマニュアルページを参照してください。
2. パケットのラベル情報を表示します。
```
$ snoop -v
```
  -v オプションを使用すると、ラベル情報などパケットヘッダーの詳細が表示されます。このコマンドでは多くの情報が表示されるため、コマンドで調べられるパケットを制限できます。詳細は、snoop(1M) のマニュアルページを参照してください。
3. ルーティングテーブルのエントリとソケットのセキュリティー属性を表示します。
```
$ netstat -aR
```
  -aR オプションを使用すると、ソケットの拡張セキュリティー属性が表示されます。
```
$ netstat -rR
```
  -rR オプションを使用すると、ルーティングテーブルのエントリが表示されます。詳細は、netstat(1M) のマニュアルページを参照してください。

LDAP サーバーへのクライアントの接続をデバッグする

LDAP サーバーでクライアントエントリの構成が誤っていると、クライアントがサーバーと通信できない場合があります。同様に、クライアント上のファイルの構成が誤っていると通信できない場合があります。クライアントサーバー間の通信問題をデバッグするときは、次のエントリとファイルを確認します。

始める前に

LDAP クライアント上の大域ゾーンで、セキュリティー管理者役割である必要があります。

LDAP サーバーと LDAP サーバーへのゲートウェイのリモートホストテンプレートが正しいことを確認します。
1. tncfg または tninfo コマンドを使用して情報を表示します。
```
# tncfg get host=LDAP-server
# tncfg get host=gateway-to-LDAP-server
```
```
# tninfo -h LDAP-server
# tninfo -h gateway-to-LDAP-server
```
2. サーバーへの経路を確認します。
```
# route get LDAP-server
```
間違ったテンプレート割り当てが見つかった場合は、ホストを正しいテンプレートに追加します。
/etc/hosts ファイルを確認し、必要であれば修正します。
使用しているシステム、システム上のラベル付きゾーンのインタフェース、LDAP サーバーへのゲートウェイ、および LDAP サーバーがファイルに一覧表示されている必要があります。さらに多くのエントリがある可能性があります。
重複しているエントリを捜します。ほかのシステムのラベル付きゾーンであるエントリを削除します。たとえば、Lserver が LDAP サーバーの名前であり、LServer-zones がラベル付きゾーンの共有インタフェースである場合、/etc/hosts ファイルから LServer-zones を削除します。

DNS を使用している場合は、svc:/network/dns/client サービスの構成を確認します。

# svccfg -s dns/client listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.dns.switch
config/nameserver            astring       192.168.8.25 192.168.122.7

値を変更するには、svccfg コマンドを使用します。

# svccfg -s dns/client setprop config/search = astring: example1.domain.com
# svccfg -s dns/client setprop config/nameserver = net_address: 192.168.8.35
# svccfg -s dns/client:default refresh
# svccfg -s dns/client:default validate
# svcadm enable dns/client
# svcadm refresh name-service/switch
# nslookup some-system
Server:         192.168.135.35
Address:        192.168.135.35#53

Name:   some-system.example1.domain.com
Address: 10.138.8.22
Name:   some-system.example1.domain.com
Address: 10.138.8.23

name-service/switch サービスの tnrhdb エントリと tnrhtp エントリが正確であることを確認します。
次の出力では、tnrhdb および tnrhtp エントリが表示されていません。したがって、これらのデータベースではデフォルトの files ldap ネームサービスがこの順番で使用されます。
```
# svccfg -s name-service/switch listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.switch
config/default               astring       "files ldap"
config/host                  astring       "files dns"
config/netgroup              astring       ldap
```
サーバー上で、クライアントが正しく構成されていることを確認します。
```
# ldaplist -l tnrhdb client-IP-address
```
ラベル付きゾーンのインタフェースが LDAP サーバー上で正しく構成されていることを確認します。
```
# ldaplist -l tnrhdb client-zone-IP-address
```

現在実行中のすべてのゾーンから LDAP サーバーに接続できること確認します。

# ldapclient list
...
NS_LDAP_SERVERS= LDAP-server-address
# zlogin zone-name1 ping LDAP-server-address
LDAP-server-address is alive
# zlogin zone-name2 ping LDAP-server-address
LDAP-server-address is alive
...

LDAP を構成してリブートします。
1. 手順については、「Trusted Extensions で大域ゾーンを LDAP クライアントにする」を参照してください。
2. 各ラベル付きゾーンで、ゾーンを LDAP サーバーのクライアントとして再構築します。
```
# zlogin zone-name1
# ldapclient init \
-a profileName=profileName \
-a domainName=domain \
-a proxyDN=proxyDN \
-a proxyPassword=password LDAP-Server-IP-Address
# exit
# zlogin zone-name2 ...
```
3. すべてのゾーンを停止し、リブートします。
```
# zoneadm list
zone1
zone2
,
,
,
# zoneadm -z zone1 halt
# zoneadm -z zone2 halt
.
.
.
# reboot
```
  代わりに txzonemgr GUI を使用してラベル付きゾーンを停止してもかまいません。

ナビゲーションリンクをスキップ
印刷ビューの終了
	Trusted Extensions 構成と管理 Oracle Solaris 11.1 Information Library (日本語)