|
| |
| Sun Java System Web Proxy Server 4.0.1 管理ガイド | |
第 15 章
SOCKS の使用この章では、Sun Java System Web Proxy Server に組み込まれている SOCKS サーバーの設定方法と使用方法について説明します。Proxy Server は SOCKS バージョン 4 および 5 をサポートしています。
この章では、次の項目について説明します。
SOCKS についてSOCKS は、反対側の SOCKS サーバー上のホストからの接続要求をリダイレクトするネットワークプロキシのプロトコルで、これによって直接 IP に接続しなくても、一方のホストが他方のホストに完全アクセスができるようになります。SOCKS は一般的にネットワークファイアウォールとして使用され、SOCKS サーバーの背後にあるホストがインターネットに完全アクセスできるようにする一方で、インターネットから内部ホストへの不正アクセスを防ぎます。
SOCKS サーバーは、ポイントツーポイント単位で、ファイアウォールを経由してアクセスを制御する汎用ファイアウォールデーモンです。SOCKS サーバーは、要求を認証および承認し、プロキシ接続を確立し、データを中継します。SOCKS サーバーは、アプリケーションレベルではなくネットワークレベルで動作するため、要求の転送に使用されるプロトコルやメソッドを認識しません。SOCKS サーバーはプロトコルを認識しないので、Proxy Server がサポートしていないプロトコル (Telnet など) の経路として使用することができます。
図 15-1 ネットワークにおける SOCKS サーバーの位置
バンドルされた SOCKS v5 サーバーの使用Sun Java System Web Proxy Server には、ほかの SOCKS デーモンが使用する標準の socks5.conf ファイル形式を認識する独自の SOCKS デーモンが組み込まれています。このデーモンは、Proxy Server で使用して要求をルーティングしたり、Proxy Server から単独で実行してネットワークに追加機能を提供したりすることができます。SOCKS サーバーを経由して要求をルーティングするように Proxy Server を設定する方法については、「ルーティングエントリの設定」を参照してください。
Proxy Server に組み込まれている SOCKS デーモンは、デフォルトでは無効になっており、サーバーマネージャーのインタフェースにある「SOCKS」タブや、コマンド行から有効にすることができます。詳細は、「SOCKS v5 サーバーの起動と停止」を参照してください。
次に、Proxy Server に組み込まれている SOCKS サーバーを使用するために必要な手順の詳細を示します。
- SOCKS サーバーを設定します (「SOCKS v5 サーバーの設定」を参照)。
- SOCKS サーバーを複数のインタフェースを持つコンピュータで実行する場合は、SOCKS ルーティングエントリを作成します (「ルーティングエントリの設定」を参照)。
- 認証エントリを作成します (「SOCKS v5 の認証エントリの設定」を参照)。
- 接続エントリを作成します (「SOCKS v5 の接続エントリの設定」を参照)。
- SOCKS サーバーを有効にします (「SOCKS v5 サーバーの起動と停止」を参照)。
socks5.conf について
Sun Java System Web Proxy Server は、socks5.conf ファイルを使用して SOCKS サーバーとそのサービスへのアクセスを制御します。各行では、その行と一致した要求を受信したときの Proxy Server の動作が定義されています。サーバーマネージャーでの選択内容は socks5.conf に書き込まれます。このファイルは、手動で編集することもできます。socks5.conf ファイルは、次に示すインストールルートディレクトリ (server_root) に置かれます。
server_root/proxy-serverid/config ディレクトリ
この節では、socks5.conf に関する一般情報について説明します。このファイルやこのファイルで使用する指令と構文については、『Proxy Server Configuration File Reference』を参照してください。
認証
SOCKS デーモンは、そのサービスを使用するための認証を要求するように設定できます。認証は、ホスト名と接続クライアントのポートに基づいて行われます。ユーザー名とパスワードを入力するように選択した場合は、socks5.conf ファイルによって参照されるユーザー名とパスワードのファイルに対して入力情報が認証されます。入力されたユーザー名とパスワードが、パスワードファイルのリストと一致しない場合、アクセスが拒否されます。パスワードファイル内のユーザー名とパスワードの書式は username password で、ユーザー名とパスワードはスペースによって区切られます。ユーザーを拒否することもできます。ユーザー名とパスワードによる認証を要求するようにするには、SOCKS5_PWDFILE 指令を socks5.conf に追加する必要があります。この指令と構文の詳細については、『Proxy Server's Configuration File Reference』にある socks5.conf の節を参照してください。
ユーザー名とパスワードによる認証は、設定済みの LDAP サーバーに対して実行されることもあり、ファイルに対してのみ実行されるものではありません。
アクセス制御
アクセス制御は、socks5.conf ファイル内で順番に並べられた一連の行を使用して実行されます。各行に、リソースへのアクセスを許可または拒否する 1 つの指令が含まれています。これらの指令は、この設定ファイルに表示される順番で処理されます。許可の指令のいずれにも一致しない要求は、アクセスを拒否されます。
ロギング
SOCKS デーモンは、SOCKS ログファイルにエラーメッセージとアクセスメッセージの両方を記録します。ログファイルの場所とロギングのタイプは、socks5.conf 内で指定されます。
SOCKS デーモンは、1 時間ごとに stat エントリを生成し、デーモンの統計情報となります。
調整
socks5.conf ファイルを使用して、SOCKS サーバーによって使用されるワークスレッドと受け入れスレッドの数を指定することができます。これらの数は、SOCKS サーバーのパフォーマンスに影響します。
ワークスレッドおよび受け入れスレッドの設定と、これらがパフォーマンスに及ぼす影響については、「SOCKS v5 サーバーの設定」の関連する節を参照してください。
SOCKS v5 サーバーの起動と停止SOCKS サーバーの起動と停止は、サーバーマネージャーから、またはコマンド行から実行できます。
サーバーマネージャーから SOCKS サーバーの起動または停止を実行するには
SOCKS サーバーの起動と停止をコマンド行から実行するには
server_root/proxy-serverid ディレクトリにある次のスクリプトを実行します。ここで server_root はインストールルートです。
SOCKS v5 サーバーの設定SOCKS サーバーを設定するには
- サーバーインスタンスのサーバーマネージャーにアクセスし、「SOCKS」タブをクリックします。
- 「Configure SOCKS v5」リンクをクリックします。
- 「SOCKS Port」フィールドに、SOCKS サーバーが待機するポート番号を入力します (デフォルトでは 1080)。
- 使用する SOCKS のオプションを選択します。次のオプションが利用できます。
- 「Disable Reverse DNS Lookup」: SOCKS サーバーの DNS 逆検索を無効にします。逆引き DNS は、IP アドレスをホスト名に変換します。DNS 逆検索を無効にすると、ネットワークリソースを節約できます。DNS 逆検索はデフォルトで無効になっています。つまり、「Disable Reverse DNS Lookup」チェックボックスがデフォルトで選択されています。DNS 逆検索が無効になっており、ホスト名で URL が要求された場合、サーバーはホスト名を IP アドレスにはマップしません。DNS 逆検索が有効になっている場合、サーバーはマッピングを実行し、SOCKS ログファイルにエントリが追加され、DNS 変換が一覧されます。
- 「Use Client-specific Bind Port」: BIND 要求でクライアントがポートを指定できるようにします。このオプションを無効にすると、SOCKS はクライアントの要求したポートを無視して、ランダムにポートを割り当てます。このオプションは、デフォルトで無効になっています。
- 「Allow Wildcard As Bind IP Address」: クライアントが BIND 要求で IP アドレスをすべてゼロ (0.0.0.0) に指定できるようにします。これで任意の IP アドレスに接続できるようになります。このオプションを無効にすると、クライアントはバインドポートに接続する IP アドレスを指定しなくてはならなくなり、SOCKS サーバーは、0.0.0.0. に対するバインド要求を拒否します。このオプションは、デフォルトで無効になっています。
- 「Quench Updates」: 1 時間ごとの stat ファイルへの自動書き込みを無効にします。これを無効にすると、要求のたびに書き込みが行われます (「ロギング」を参照)。
- 「ログファイル」フィールドに、SOCKS ログファイルのフルパス名を入力します。デフォルトは、server_root/proxy-serverid/logs/socks5.log です。
- 「Log Level」ドロップダウンリストから、ログファイルに記録するのは警告とエラーのみか、すべての要求か、またはデバッグメッセージかを選択します。
- RFC 1413 ident 応答を選択します。ident によって、SOCKS サーバーがクライアントのユーザー名を判別できるようになります。一般に、この機能は、クライアントが UNIX の一部のフレーバーを実行している場合にのみ有効になります。次のオプションが利用できます。
- 「SOCKS Tuning」セクションで、SOCKS サーバーが使用するワークスレッドと受け入れスレッドの数を指定し (これらの数は SOCKS サーバーのパフォーマンスに影響する)、「了解」をクリックします。
- 「Number Of Worker Threads」: デフォルトは 40 です。SOCKS サーバーの速度が遅すぎる場合は、ワークスレッドの数を増やします。動作が不安定な場合は、この数を減らします。この数を変更する場合は、デフォルト設定から始めて、必要に応じて数を増減させてください。一般的なワークスレッド数は 10 〜 150 です。絶対最大値は 512 ですが、150 を超えると無駄が多く、動作も不安定になります。
- 「Number Of Posted Accepts」: デフォルトは 1 です。SOCKS サーバーが接続をドロップしている場合は、受け入れスレッドの数を増やします。動作が不安定な場合は、この数を減らします。この数を変更する場合は、デフォルト設定から始めて、必要に応じて数を増減させてください。一般的な受け入れスレッド数は 1 〜 10 です。絶対最大値は 512 ですが、60 を超えると無駄が多く、動作も不安定になります。この設定は非常に重要です。SOCKS サーバーに負荷がかかっていて接続がドロップされているために、要求が失敗している場合は、この設定を調整します。
SOCKS v5 の認証エントリの設定SOCKS の認証エントリは、SOCKS デーモンが接続を受け入れるホストと、SOCKS デーモンがこれらのホストの認証に使用する認証タイプを識別します。
この節では、次の内容について説明します。
認証エントリの作成
SOCKS の認証エントリを作成するには
- サーバーインスタンスのサーバーマネージャーにアクセスし、「SOCKS」タブをクリックします。
- 「Set SOCKS v5 Authentication」リンクをクリックします。
- 「Add」ボタンをクリックします。
- 「Host Mask」フィールドに、SOCKS サーバーが認証するホストの IP アドレスまたはホスト名を入力します。IP アドレスを入力する場合、アドレスの後にスラッシュを入力し、その後に受信する IP アドレスに適用されるマスクを入力します。SOCKS サーバーはこのマスクを IP アドレスに適用し、有効なホストかどうかを判別します。ホストマスクのエントリには空白文字を使用しないでください。ホストマスクを入力しない場合、認証エントリはすべてのホストに適用されます。
たとえば、「host mask」フィールドには 155.25.0.0/255.255.0.0 と入力できます。ホストの IP アドレスが 155.25.3.5 の場合、SOCKS サーバーは IP アドレスにマスクを適用して、ホストの IP アドレスが認証レコードの適用される IP アドレス (155.25.0.0) と一致するかを判別します。
- 「Port Range」フィールドに、SOCKS サーバーが認証するホストコンピュータ上のポートを入力します。ポート範囲のエントリには空白文字を使用しないでください。ポート範囲を入力しない場合、認証エントリはすべてのポートに適用されます。
角括弧 [ ] を使用すると範囲の開始と終了のポートを含む設定となり、丸括弧 ( ) を使用すると範囲の開始と終了のポートは除外されます。たとえば、[1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味し、ここでは 1000 と 1010 が含まれます。一方、(1000-1010) は 1000 〜 1010 までの間のすべてのポート番号を意味しますが、ここでは 1000 と 1010 は含まれません。角括弧と丸括弧は合わせて使用することもできます。たとえば、(1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味しますが、1000 は含まれず、1010 は含まれます。
- 「Authentication Type」ドロップダウンリストから、認証タイプを選択します。次のオプションが利用できます。
- 「Insert」ドロップダウンリストから、このエントリを挿入する socks5.conf ファイル内の位置を選択し、「了解」をクリックします。複数の認証方法が存在する可能性もあるので、これらが評価される順序を指定する必要があります。したがって、リスト内の最初の認証方法をクライアントがサポートしていない場合は、2 番目の方法が代わりに使用されます。リスト内のどの認証方法もクライアントがサポートしていない場合、SOCKS サーバーは要求を受け入れずに接続を切ります。
認証エントリの編集
認証エントリを編集するには
認証エントリの削除
認証エントリを削除するには
認証エントリの移動
エントリは、socks5.conf ファイルに表示される順番で評価されます。この順番は、エントリを移動させることで変更できます。
認証エントリを移動するには
SOCKS v5 の接続エントリの設定SOCKS の接続エントリは、SOCKS デーモンが要求を許可するのか、拒否するのかを指定します。
この節では、次の内容について説明します。
接続エントリの作成
接続エントリを作成するには
- サーバーインスタンスのサーバーマネージャーにアクセスし、「SOCKS」タブをクリックします。
- 「Set SOCKS v5 Connections」リンクをクリックします。
- 「Add」ボタンをクリックします。
- 「Authentication Type」ドロップダウンリストから、このアクセス制御行が適用される認証方法を選択します。
- 「Connection Type」ドロップダウンリストから、この行と一致するコマンドタイプを選択します。次のコマンドタイプを選択できます。
- 「Source Host Mask」フィールドに、接続制御エントリが適用されるホストの IP アドレスまたはホスト名を入力します。IP アドレスを入力する場合、アドレスの後にスラッシュを入力し、その後に接続元の IP アドレスに適用されるマスクを入力します。SOCKS サーバーはこのマスクを接続元の IP アドレスに適用し、有効なホストかどうかを判別します。ホストマスクのエントリには空白文字を使用しないでください。ホストマスクを入力しない場合、接続エントリはすべてのホストに適用されます。
たとえば、「host mask」フィールドには 155.25.0.0/255.255.0.0 と入力できます。ホストの IP アドレスが 155.25.3.5 の場合、SOCKS サーバーは IP アドレスにマスクを適用して、ホストの IP アドレスが接続制御エントリの適用される IP アドレス (155.25.0.0) と一致するかを判別します。
- 「Port Range」フィールドに、接続制御エントリが適用される接続元コンピュータ上のポートを入力します。ポート範囲のエントリには空白文字を使用しないでください。ポート範囲を指定しない場合、接続エントリはすべてのポートに適用されます。
角括弧 [ ] を使用すると範囲の開始と終了のポートを含む設定となり、丸括弧 ( ) を使用すると範囲の開始と終了のポートは除外されます。たとえば、[1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味し、ここでは 1000 と 1010 が含まれます。一方、(1000-1010) は 1000 〜 1010 までの間のすべてのポート番号を意味しますが、ここでは 1000 と 1010 は含まれません。角括弧と丸括弧は合わせて使用することもできます。たとえば、(1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味しますが、1000 は含まれず、1010 は含まれます。
- 「Destination Host Mask」フィールドに、接続エントリが適用される IP アドレスまたはホスト名を入力します。IP アドレスを入力する場合、アドレスの後にスラッシュを入力し、その後に受信する IP アドレスに適用されるマスクを入力します。SOCKS サーバーはこのマスクを接続先コンピュータの IP アドレスに適用し、有効な接続先ホストかどうかを判別します。ホストマスクのエントリには空白文字を使用しないでください。接続先のホストマスクを入力しない場合、接続エントリはすべてのホストに適用されます。
たとえば、「destination host mask」フィールドには 155.25.0.0/255.255.0.0 と入力できます。接続先ホストの IP アドレスが 155.25.3.5 の場合、SOCKS サーバーは IP アドレスにマスクを適用して、接続先ホストの IP アドレスがプロキシエントリの適用される IP アドレス (155.25.0.0) と一致するかを判別します。
- 「Port Range」フィールドに、接続制御エントリが適用される接続先ホストコンピュータ上のポートを入力します。ポート範囲のエントリには空白文字を使用しないでください。ポート範囲を入力しない場合、接続エントリはすべてのポートに適用されます。
注
大部分の SOCKS アプリケーションは、バインド要求のためにポート 0 を要求します。これは、ポートの詳細が設定されていないことを意味します。したがって、バインドの接続先のポート範囲には、常に 0 を含めることをお勧めします。
角括弧 [ ] を使用すると範囲の開始と終了のポートを含む設定となり、丸括弧 ( ) を使用すると範囲の開始と終了のポートは除外されます。たとえば、[1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味し、ここでは 1000 と 1010 が含まれます。一方、(1000-1010) は 1000 〜 1010 までの間のすべてのポート番号を意味しますが、ここでは 1000 と 1010 は含まれません。角括弧と丸括弧は合わせて使用することもできます。たとえば、(1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味しますが、1000 は含まれず、1010 は含まれます。
- 「User Group」フィールドに、アクセスを許可または拒否するグループを入力します。グループを指定しない場合、接続エントリはすべてのユーザーに適用されます。
- 「Action」ドロップダウンリストから、作成する接続のアクセスを許可するか、拒否するかを選択します。
- 「Insert」ドロップダウンリストから、このエントリを挿入する socks5.conf ファイル内の位置を選択し、「了解」をクリックします。複数の接続指令が存在する可能性もあるので、これらが評価される順序を指定する必要があります。
接続エントリの編集
接続エントリを編集するには
接続エントリの削除
接続エントリを削除するには
接続エントリの移動
エントリは、socks5.conf ファイルに表示される順番で評価されます。この順番は、エントリを移動させることで変更できます。
接続エントリを移動するには
SOCKS v5 サーバーの連鎖の設定複数の SOCKS サーバーは、Proxy Server と同じ方法で連鎖させることができます。つまり、別の SOCKS サーバーを経由して SOCKS サーバーをルーティングできます。
SOCKS サーバーの連鎖を設定するには
ルーティングエントリの設定ルーティングエントリを使用して、SOCKS サーバーを経由して要求をルーティングするように Proxy Server を設定できます。ルーティングエントリには、SOCKS v5 ルートと SOCKS v5 プロキシルートの 2 つのタイプがあります。
この節では、次の内容について説明します。
SOCKS v5 のルーティングエントリの作成
ルーティングエントリを作成するには
- サーバーインスタンスのサーバーマネージャーにアクセスし、「SOCKS」タブをクリックします。
- 「Set SOCKS v5 Routing」リンクをクリックします。
- 「Routing」セクションで、「Add」ボタンをクリックします。
- 「Host Mask」フィールドに、受信および送信の接続が指定のインタフェースを経由する必要のある IP アドレスまたはホスト名を入力します。IP アドレスを入力する場合、アドレスの後にスラッシュを入力し、その後に受信する IP アドレスに適用されるマスクを入力します。SOCKS サーバーはこのマスクを IP アドレスに適用し、有効なホストかどうかを判別します。ホストマスクのエントリには空白文字を使用しないでください。ホストマスクを入力しない場合、SOCKS v5 エントリはすべてのホストに適用されます。
たとえば、「host mask」フィールドには 155.25.0.0/255.255.0.0 と入力できます。ホストの IP アドレスが 155.25.3.5 の場合、SOCKS サーバーは IP アドレスにマスクを適用して、ホストの IP アドレスがルーティングエントリの適用される IP アドレス (155.25.0.0) と一致するかを判別します。
- 「Port Range」フィールドに、受信および送信の接続が指定のインタフェースを経由する必要のあるポートを入力します。ポート範囲には空白文字を使用しないでください。ポート範囲を指定しない場合、SOCKS v5 エントリはすべてのポートに適用されます。
角括弧 [ ] を使用すると範囲の開始と終了のポートを含む設定となり、丸括弧 ( ) を使用すると範囲の開始と終了のポートは除外されます。たとえば、[1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味し、ここでは 1000 と 1010 が含まれます。一方、(1000-1010) は 1000 〜 1010 までの間のすべてのポート番号を意味しますが、ここでは 1000 と 1010 は含まれません。角括弧と丸括弧は合わせて使用することもできます。たとえば、(1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味しますが、1000 は含まれず、1010 は含まれます。
- 「Interface/Address」フィールドに、受信および送信の接続が通過する必要のある IP アドレスまたはインタフェース名を入力します。
SOCKS v5 のプロキシルーティングエントリの作成
プロキシルーティングエントリを作成するには
- サーバーインスタンスのサーバーマネージャーにアクセスし、「SOCKS」タブをクリックします。
- 「Set SOCKS v5 Routing」リンクをクリックします。
- 「Proxy Routing」セクションで、「Add」ボタンをクリックします。
- 「Proxy Type」ドロップダウンリストから、経由する Proxy Server の種類を選択します。次のオプションが利用できます。
- 「Destination Host Mask」フィールドに、接続エントリが適用される IP アドレスまたはホスト名を入力します。IP アドレスを入力する場合、アドレスの後にスラッシュを入力し、その後に受信する IP アドレスに適用されるマスクを入力します。SOCKS サーバーはこのマスクを接続先コンピュータの IP アドレスに適用し、有効な接続先ホストかどうかを判別します。ホストマスクのエントリには空白文字を使用しないでください。接続先のホストマスクを入力しない場合、接続エントリはすべてのホストに適用されます。
たとえば、「destination host mask」フィールドには 155.25.0.0/255.255.0.0 と入力できます。接続先ホストの IP アドレスが 155.25.3.5 の場合、SOCKS サーバーは IP アドレスにマスクを適用して、接続先ホストの IP アドレスがプロキシエントリの適用される IP アドレス (155.25.0.0) と一致するかを判別します。
- 「Destination Port Range」フィールドに、プロキシエントリが適用される接続先ホスト上のポートを入力します。ポート範囲のエントリには空白文字を使用しないでください。ポート範囲を指定しない場合、プロキシエントリはすべてのポートに適用されます。
角括弧 [ ] を使用すると範囲の開始と終了のポートを含む設定となり、丸括弧 ( ) を使用すると範囲の開始と終了のポートは除外されます。たとえば、[1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味し、ここでは 1000 と 1010 が含まれます。一方、(1000-1010) は 1000 〜 1010 までの間のすべてのポート番号を意味しますが、ここでは 1000 と 1010 は含まれません。角括弧と丸括弧は合わせて使用することもできます。たとえば、(1000-1010] は、1000 〜 1010 までの間のすべてのポート番号を意味しますが、1000 は含まれず、1010 は含まれます。
- 「Destination Proxy Address」フィールドに、使用する Proxy Server のホスト名または IP アドレスを入力します。
- 「Destination Proxy Port」フィールドに、Proxy Server が SOCKS 要求を待機するポート番号を入力します。
- 「Insert」ドロップダウンリストから、このエントリを挿入する socks5.conf ファイル内の位置を選択し、「了解」をクリックします。複数のルーティング方法が存在する可能性もあるので、これらが評価される順序を指定する必要があります。
ルーティングエントリの編集
ルーティングエントリを編集するには
ルーティングエントリの削除
ルーティングエントリを削除するには
ルーティングエントリの移動
エントリは、socks5.conf ファイルに表示される順番で評価されます。この順番は、エントリを移動させることで変更できます。
ルーティングエントリを移動するには
