Solaris Bandwidth Manager 1.6 のシステム管理

第 6 章 Solaris Bandwidth Manager でディレクトリサービスを使用する設定

Solaris Bandwidth Manager の設定情報とポリシー情報は、Sun Directory Services 3.1 などのディレクトリサービスに格納できます。このアプローチには、いくつかの利点があります。

Solaris Bandwidth Manager の複数のインスタンスの設定内容を 1 箇所 (ディレクトリ) から更新できる
ユーザー接続またはトラフィックフローの検出時に、設定内容を動的に更新できる。たとえば、リモートアクセスに RADIUS プロトコル使っているときなど

Sun Directory Services 3.1 の構成

Solaris Bandwidth Manager で Sun Directory Services を使用するにはまず、ディレクトリ自体について、一定の設定をする必要があります。ディレクトリを設定したあと、Solaris Bandwidth Manager の設定内容をディレクトリに保存してください。この操作によって、ポリシー情報に必要なエントリが自動的にディレクトリに作成されます。

Sun Directory Services サーバーの構成

Sun Directory Services サーバー上で、次の操作を行う必要があります。

Solaris Bandwidth Manager のスキーマファイルを Sun Directory Services のスキーマに追加します。
ポリシーエージェントを、Solaris Bandwidth Manager の情報を含むサブツリーの複製として宣言します。

ディレクトリ内にある Solaris Bandwidth Manager の設定内容を変更する場合、その設定を含むサブツリーを複製する必要があります。このとき、すべてのエントリを複製する必要があります。

複製で使用するバインド識別名 (DN: Distinguished Name) の形式は uid=login です。login は、ポリシーエージェントの agent.properties ファイルに定義されているログインです。複製で使用するパスワードは、agent.properties ファイルに定義されているパスワードです。複製モードは push である必要があります。
ディレクトリとポリシーエージェント間の情報の複製について、複製スケジュールを設定します。replication は immediate に設定できます。これは、複製の範囲内にあるエントリが変更されると常に、それらのエントリが適切なポリシーエージェントに自動的にプッシュされることを意味します。RADIUS プロトコルを使用しているときは、replication を immediate に設定する必要があります。
Solaris Bandwidth Manager の情報用に ACL (Access Control List) を定義します。リモートユーザー接続の場合、少なくともリモートユーザーサブツリー内にあるエントリの policyRef 属性への読み取り権をポリシーエージェントに与える必要があります。ディレクトリに格納されている構成を batool から更新できるようにするには、Solaris Bandwidth Manager の設定内容を含むサブツリー内のすべてのエントリと属性への書き込み権をポリシーエージェントに与える必要があります。

Solaris Bandwidth Manager のスキーマファイルをディレクトリサーバーの設定に追加する

Solaris Bandwidth Manager のスキーマファイルをディレクトリサーバーにコピーします。デフォルトでは、Solaris Bandwidth Manager のスキーマファイル policy.at.conf と policy.oc.conf は /etc/opt/SUNWconn/ba/include の下にあります。

Sun Directory Services の構成ファイル dsserv.conf をテキストエディタで開きます。デフォルトでは、このファイルは /etc/opt/SUNWconn/ldap/current の下にあります。

dsserv.conf の Main Configuration Section で、Solaris Bandwidth Manager のスキーマファイルを組み込みます。

# - Main Configuration Section - 
#
include		/etc/opt/SUNWconn/ldap/current/dsserv.at.conf
include		/etc/opt/SUNWconn/ldap/current/dsserv.oc.conf
include		/etc/opt/SUNWconn/ldap/current/dsserv.acl.conf
include		/opt/SUNWconn/ba/include/policy.at.conf
include		/opt/SUNWconn/ba/include/policy.oc.conf

この include 文には、ディレクトリサーバー上にある Solaris Bandwidth Manager のスキーマファイルへの絶対パスを指定する必要があります。

ディレクトリサーバーデーモン dsservd を再起動して、ディレクトリ構成をロードし直します。この作業については、『Sun Directory Services 3.1 管理ガイド』を参照してください。Sun Directory Services の「管理コンソール」の「スキーマ」セクションには、Solaris Bandwidth Manager のオブジェクトクラスと属性の一覧が表示されます。

上記作業についての詳細は、Sun Directory Services 3.1 Collection - Japanese を参照してください。

Bandwidth Manager の設定内容の保存

Solaris Bandwidth Manager の設定内容をディレクトリに保存するには、グラフィカルツール batool を使用します。まず、「ファイル」メニューから「別名保存」オプションを選択して、「URL ..」を選択します。すると、「URL」ダイアログが表示されます。次に、「URL」フィールドに完全な URL を入力するか、下のパネルの関連するフィールドに URL の個々の部分を入力します。完全な URL を入力するときは、 ldap://username:password@hostname:portnumber/distinguishedname の形式を使用します。下のパネルにあるフィールドに入力する場合は、次のようにします。

どちらの場合でも、次のようにする必要があります。

ユーザー名は識別名 (DN) として入力します。
ファイルを保存したいサブツリーの識別名は、共通の名前で始まる必要があります。この共通の名前がまだディレクトリに存在していない場合、新たに作成されます。

Solaris Bandwidth Manager 用のディレクトリツリー

Solaris Bandwidth Manager の設定内容をディレクトリに保存するとき、専用のサブツリーがディレクトリに作成されます。この節では、Solaris Bandwidth Manager のサブツリー内にあるエントリの構造について説明します。

図 6-1 に、ツリー構造と、ツリー内の各レベルで許可されているさまざまな種類のエントリを示します。各種類のエントリの定義については、「オブジェクトクラス」を参照してください。

完全な設定は、baConf という種類のエントリの下に格納されます。baConf エントリの下に格納されているサブエントリは、状態、グループ、ポリシー、およびインタフェースを記述します。

ポリシーエントリは通常、条件のリストをアクションのリストに関連付けます。すべての条件が満たされると、関連するアクションが実行されます。

図 6-1 ディレクトリ情報のツリー構造

Solaris Bandwidth Manager の設定ファイルの要素と、それらの要素がディレクトリツリーに格納される方法に、一対一のマッピングは存在しません。図 6-2 に、マッピングが実行される様子をまとめます。

図 6-2 Solaris Bandwidth Manager の設定とディレクトリとの間のマッピング

特に、フィルタが条件とポリシーの組み合わせにマッピングされていることに注意してください。使用される条件の種類はフィルタの内容によって異なります。条件名には、その種類によって、-R、-I、-U、または -D という接尾辞が付きます。

事前定義されているサービスはディレクトリ構造には格納されません。その代わり、ポリシーエージェントは存在しない条件への参照を、事前定義されたサービスへの参照であると仮定します。

表 6-1 に、baConf の下に格納されているエントリについて、許可されている包含関係を示します。baConf の上位オブジェクトには制約がありません。

表 6-1 baConf 下の包含関係


エントリ	有効な上位オブジェクト
`Policy`	`baConf`
`URLCondition`	`baConf`, `baContainer`
`IPRouteCondition`	`baConf`, `baContainer`
`DSCondition`	`baConf`, `baContainer`
`IPServiceCondition`	`baConf`, `baContainer`
`IfCondition`	`baConf`, `baContainer`
`Group`	`baConf`, `baContainer`
`Classes`	`baIf`, `baConf, baContainer`
`baIf`	`baConf`
`baContainer`	`baConf`, `baContainer`

ディレクトリツリーの例

「設定の例」で説明した例の設定ファイルを保存すると、エントリ構造は次のようになります。

図 6-3 ディレクトリツリーの例

注 -

事前定義されているサービス (ftp など) はディレクトリに保存されないため、条件としては表示されません。

RADIUS サーバーの使用

Sun Directory Services 3.1 で提供されている RADIUS サーバーは、リモートユーザーに認証サービスを提供します。RADIUS サーバーについての詳細は、Sun Directory Services 3.1 に付属のマニュアルを参照してください。

概要

Sun Directory Services 3.1 で提供されている RADIUS サーバーは、NAS (Netowork Access Server) のための認証承認情報サーバーです。 NAS は、SLIP や PPP などのリモートアクセスプロトコルを使用して接続しようとしているリモートユーザーに、ネットワークへのアクセスポイントを提供するデバイスです。NAS は、リモートユーザーからの接続要求で提供される情報を RADIUS サーバーに転送します。RADIUS サーバーはその情報を、ディレクトリ内にあるそのリモートユーザーのエントリと照合します。そして、リモートユーザーの接続についての承認または拒否を NAS に戻します。また、リモートユーザー接続に適切な接続パラメータも提供します。

注 -

NAS は RAS (Remote Access Server) または RADIUS クライアントとも呼ばれます。.

図 6-4 に、RADIUS が Solaris Bandwidth と共に機能する様子をまとめます。

図 6-4 Solaris Bandwidth Manager における RADIUS の使用

ユーザーは、ネットワーク資源へのアクセスを要求するエンティティです。ディレクトリデータベースでは、ユーザーは一意の uid 属性で識別されます。この例を含めてリモートユーザーを記述する属性はすべて、remoteUser オブジェクトクラスで定義されます。

NAS は、リモートユーザーが接続するデバイスです。NAS は RADIUS サーバーに認証状態、ユーザープロファイル、および承認について照会します。ディレクトリデータベースでは、NAS は一意の ipHostNumber 属性で識別されます。この例を含めて RADIUS クライアントを記述する属性はすべて nas オブジェクトクラスで定義されます。

RADIUS サーバーは NAS を認証して、ディレクトリデータベース内で、リモートユーザーの同一性と承認を確認します。そして、ユーザーの状態と設定情報を NAS に戻します。RADIUS サーバーが NAS を認証できなかった場合、要求は無視されます。つまり、接続の拒否はありません。

認証プロセスが完了すると、NAS はリモート接続に関するアカウンティング情報を RADIUS サーバーに送信します。この情報は動的に、ユーザーのディレクトリエントリに記録されます。記録された情報は、dynamicIPaddress、dynamicSessionID、dynamicSessionCounter、および dynamicAddressBinding の属性に格納されます。

次に、この情報は複製イベントを使って Solaris Bandwidth Manager の設定内容に複製されます。

次に、Solaris Bandwidth Manager と Sun Directory Services との間で情報の交換が発生します。このとき、Solaris Bandwidth Manager の設定内容は動的な情報で更新されます。作成されたフィルタやクラスには、関連する uid や sessionID 名で名前が付けられます。LSaction アクションが queueName 属性を持っている場合、クラスは作成されません。

注 -

Solaris Bandwidth Manager と相互運用するときは、動的なアカウンティングが使用されます。他の方法については、Sun Directory Services に付属のマニュアルを参照してください。

設定

RADIUS プロトコルを使用可能にするには、Solaris Bandwidth Manager と Sun Directory Services の両方を設定する必要があります。設定手順とスキーマ情報については、Sun Directory Services に付属のマニュアルを参照してください。

Solaris Bandwidth Manager では、次のようにします。

/opt/SUNWconn/ba/html/beans/QRasPolicy.html ファイルを編集して、Solaris Bandwidth Manager が複製イベントに応答できるようにします。

Sun Directory Services では、次のようにします。

RADIUS サーバーに対する動的なアカウンティングを有効にします。
データベースで、NAS デバイスとリモートユーザーに必要なエントリを作成します。ユーザーごとに、remoteUser タイプのオブジェクトクラスに加えて、policyAux タイプのオブジェクトクラスを作成する必要があります。policyAux オブジェクトクラスは、remoteUser オブジェクトクラスと同じ識別名 (DN) を持っている必要があります。これは、remoteUser オブジェクトクラスが policyRef 属性を含むことができないためです。policyRef 属性は有効なポリシーを指す必要があります。
ディレクトリとポリシーエージェント間の情報の複製について、複製スケジュールを設定します。replication は immediate に設定します。つまり、複製の範囲内にあるエントリが変更されたとき、それらのエントリは適切なポリシーエージェントに自動的にプッシュされます。
リモートユーザーのエントリを含むサブツリーを複製します。リモートユーザーのエントリ内にある一部の属性だけを複製する場合、少なくとも dynamicIPaddress、dynamicSessionID、および dynamicSessionCounter の属性が含まれていることを確認する必要があります。
複製イベントに複製パスワードが含まれることを確認します。これは、Solaris Bandwidth Manager パッケージをインストールしたときに設定したパスワードで、/etc/opt/SUNWconn/ba/agent.properties ファイルに定義されています。リモートシステムの管理者の DN を設定するときに、このパスワードを入力するように求められます。DN 自身は無視されます。

ポリシーの動作

ユーザーの policyAux オブジェクトクラスに含まれている policyRef 属性は、Policy タイプのエントリを指す必要があります。このためには、次のどちらかを行います。

新しく接続されたユーザーの IP アドレスを含むフィルタを作成します。
新しく接続されたユーザーの IP アドレスを含むクラスとフィルタを作成します。

フィルタだけの作成

サービスプロバイダは、Standard、StandardPlus、および Premium の 3 つのクラスのサービスを提供します。各クラスには、異なるレベルの保障帯域幅が割り振られています。管理トラフィックなどの副次的なトラフィックは root クラスによって処理されます。

クラス名	保障帯域幅
Premium	50%
StandardPlus	30%
Standard	10%

Fred Smith というユーザーは Premium クラスに加入しています。

Fred Smith からトラフィックを受信したとき、policyAux クラスの policyRef 属性がチェックされます。この属性は「Premium」ポリシーを指しています。「Premium」ポリシーは、queueName 属性「Premium」を持つ LSaction アクション「ActionPremiumClass」を含みます。

Fred Smith の IP アドレスを持つフィルタが作成されて、Premium クラスに追加されます。すると、Fred Smith からのトラフィックは Premium クラスにフィルタされます。このフィルタ名は、ディレクトリ内にある Fred Smith のユーザーエントリの UID に sessionID を加えたものです。

また、ポリシーに条件が追加される可能性もあります。たとえば、サービスの指定などです。

クラスとフィルタの作成

サービスプロバイダは、Standard、StandardPlus、および Premium の 3 つのクラスのサービスを提供します。各クラスには、異なる保障帯域幅が割り振られています。管理トラフィックなどの副次的なトラフィックは root クラスによって処理されます。ただし、サービスの管理者が互いに優先度が高いメッセージを送信する必要がある場合もあります。そのためには、admin-urgent というアカウントから電子メールを送信します。こうすると、優先度が 1 で、保障帯域幅が 10% のクラスが作成され、このようなメッセージは即座に処理されます。

Jane Brown というユーザーは、他の管理者たちに緊急のメッセージを送信する必要があります。そのために、Jane Brown は admin-urgent としてログインします。admin-urgent からトラフィックを受信すると、policyAux クラスの policyRef 属性がチェックされます。この属性は「Urgent」ポリシーを指しています。「Urgent」ポリシーは、ceilingRate、guaranteedRate、および queuePriority という属性を持つ LSaction を含みます。queueName 属性が存在しないため、指定された最大帯域幅、保障帯域幅、および優先度を持つ urgent というクラスが Solaris Bandwidth Manager ソフトウェアによって作成されます。次に、admin-urgent のメッセージの送信元である IP アドレスを含むフィルタが作成されます。このフィルタ名は、UID と sessionID から構成されます。

Solaris Bandwidth Manager のスキーマオブジェクト

ディレクトリスキーマは、どの情報がディレクトリに格納できるかを決定します。デフォルトのスキーマとその変更方法についての詳細は、『Sun Directory Services 3.1 管理ガイド』を参照してください。図 6-5 に、スキーマの構造を要約します。

図 6-5 Solaris Bandwidth Manager のスキーマ

表 6-2 に、各オブジェクトクラスの属性の一覧を示します。(M) は、属性が必須であることを示します。(O) は、属性が任意であることを示します。各オブジェクトの詳細については、この節の後半にあるオブジェクトクラスのアルファベット順の一覧を参照してください。各属性の詳細についても、この節の後半にある属性のアルファベット順の一覧を参照してください。

表 6-2 オブジェクトクラスの要約


オブジェクトクラス	属性	使用できる値
baConf	baConfState(M)	valid または invalid
	commonName(M)	共通名
	baClConfRef(O)	汎用設定の DN
	baTimeout(O)	タイムアウト (秒)
baIf	baIfName(M)	接尾辞 _in または _out が付いたデバイス名
	baIfRate(M)	帯域幅 (ビット/秒)
	commonName(M)	共通名
	baIfNetwork(O)	デバイス名
	baIfActivate(O)	enabled、stats、tos、または disabled
	baIfMulticast(O)	none、all、または direct
	baIfNonIP(O)	ipqos または direct
	baIfRtrMac(O)	MAC アドレス
	baIfRtrAddr(O)	IP アドレスまたはホスト名のリスト
baGroup	commonName(M)	共通名
	groupMember(M)	IP アドレス
	networkMask(O)	サブネットマスク (ドット形式)
baURLGroup	commonName(M)	共通名
baURLGroup	URLgroupMember(O)	URL
DSCondition	receivedDSByteCheck(O)	マスク:マッチ (バイナリ形式で示す)
interfaceCondition	interfaceName(M)	デバイス:方向 (方向は INCOMING、OUTGOING、または BOTH)
IProuteCondition	sourceIPHost(O)	IP アドレスまたはホスト名
	destinationIPHost(O)	IP アドレスまたはホスト名
	sourceNetwork(O)	名前:マスク
	destinationNetwork(O)	名前:マスク
	sourceGroup(O)	baGroup タイプの DN エントリ
	destinationGroup(O)	baGroup タイプの DN エントリ
IPserviceCondition	sourcePortNumberRanges(O)	ポート番号
	destinationPortNumberRanges(O)	ポート番号
	portNumberPairs(O)	発信元:着信先
	protocolNumber(O)	ANY、または `/etc/protocols` ファイルで定義された名前
LSaction	ceilingRate(O)	1:ビット/秒 (bps)、または 2:百分率 (%)
	guaranteedRate(O)	1:ビット/秒 (bps)、または 2:百分率 (%)
	parent(O)	クラス名
	previous(O)	クラス名
	queueName(O)	クラス名
	queuePriority(O)	1 から 7 までの整数
	tosWrite(O)	0 から 255 までの整数
policy	commonName(M)	共通名
	policyName(M)	ポリシー名
	policyConditionList(M)	policyCondition オブジェクトセットへの参照
	policyEnabled(M)	TRUE または FALSE
	policyActionList(M)	policyAction オブジェクトセットへの参照
	PolicyKeywords(O)	キーワードのリスト
	policyUsage(O)	識別名
policyAction	commonName (M)	共通名
policyAction	policyActionName(M)	名前
policyAux	policyRef(M)	ポリシーへの参照
policyCondition	commonName (M)	共通名
policyCondition	policyConditionName(M)	ポリシー条件名
URLcondition	URLmatch(O)	URL
URLcondition	URLgroupMember(O)	baURLgroup エントリへのポインタ

オブジェクトクラス

この節では、Solaris Bandwidth Manager で使用するオブジェクトクラスの一覧をアルファベット順に示します。

baConf

継承元: top

必須属性: baConfState, commonName (cn)

任意属性: baClConfRef, baTimeout

説明: Solaris Bandwidth Manager の設定全体を格納するサブツリーのトップエントリ

baIf

継承元: top

必須属性: baIfName, baIfRate, commonName (cn)

任意属性: baIfNetwork, baIfMulticast, baIfNonIP, baIfRtrMac, baIfRtrAddr, baIfActivate

説明: Solaris Bandwidth Manager で制御されるインタフェース用の設定パラメータを含む

baGroup

継承元: top

必須属性: commonName (cn), groupMember

任意属性: networkMask

継承元: policyCondition

必須属性: なし

任意属性: URLmatch, URLgroupMember

説明: URL に適用可能な条件を記述する

属性

この節では、Solaris Bandwidth Manager で使用される属性の一覧をアルファベット順に示します。属性の構文、使用できる値、属性の目的に関する簡単な説明を示します。

この節では、Solaris Bandwidth Manager に固有でない属性 (top や common name (cn) など) は示しません。

表 6-3 に、属性の構文とその定義を示します。

表 6-3 属性の構文とその定義


属性の構文	構文の定義
bin	バイナリを表す
ces	大文字と小文字の区別がある文字列を表す。大文字と小文字の区別がある英数字文字列
cis	大文字と小文字の区別がない文字列を表す。大文字と小文字の区別がない英数字文字列
dn	識別名
int	整数
protected	`crypt(1)` で暗号化された値
tel	電話番号
utctime	世界標準時 (Coordinated Universal Time)

policyUsage

使用されるクラス: policy

構文: dn

説明: エントリで記述されたポリシーを使用するためのガイドラインを提供する

portNumberPairs

使用されるクラス: IPserviceCondition

構文: cis

説明: 発信元と着信先のポートのペアを示す。構文は source:destination

使用されるクラス: LSaction

構文: long, single

説明: 現在のクラスよりも前に確認されたクラス名を指定する。前のクラスが root であった場合、この値は空白である

protocolNumber

使用されるクラス: IPserviceCondition

構文: long, single

説明: 条件で記述されたプロトコル名を提供する。この属性の値は、ANY、または /etc/protocols ファイルで定義されているプロトコル名のうちの 1 つだけである

queueName

使用されるクラス: LSaction

構文: long, single

説明: エントリで記述されたアクションが適用される待ち行列のクラス名を指定する

queuePriority

使用されるクラス: LSaction

構文: long, single

説明: エントリで記述されたアクションの一部として、フローに割り当てる優先度を示す

receivedDSByteCheck

使用されるクラス: DScondition

構文: cis, single

説明: 受信したパケットの IP ヘッダー内にある差別化サービス (DS) バイトの内容に基づいて、トラフィックの条件を指定する。形式は、xxxxxxxx:xxxxxxxx という文字列である。x は 0 または 1。左側の文字列は Mask で、右側の文字列は Match である。受信したパケットの IP ヘッダー内にある DS バイトと Mask との論理積が求められ、その結果が Match と比較される。したがって、条件は次のように表現できる。

設定ファイル ba.conf を編集するか、構成ツール batool を使って、Solaris Bandwidth Manager の設定を作成してディレクトリに保存する場合、命名規約は自動的に処理されます。ディレクトリサービス内で設定を作成するときは、次の規約を守る必要があります。

policyNames、groupNames、および serviceNames は設定内で一意である必要がある。policyName は、設定が Solaris Bandwidth Manager で実行されるときにフィルタ名になる
classNames はインタフェース内で一意である必要がある。各クラスが特定のインタフェースに関連付けられるため、異なるインタフェースに関連付けられる限り、同じ名前を持つクラスが複数存在できる