6 エンタープライズ・デプロイメントのロード・バランサとファイアウォールの準備

この章では、エンタープライズ・デプロイメント用にネットワークを構成する方法について説明します。

この章には次の項が含まれます:

• ハードウェア・ロード・バランサでの仮想ホストの構成

• エンタープライズ・デプロイメントのファイアウォールとポートの構成

6.1 ハードウェア・ロード・バランサでの仮想ホストの構成

次の項では、エンタープライズ・デプロイメントのハードウェア・ロード・バランサの構成方法について説明します。

• 第6.1.1項「ハードウェア・ロード・バランサの構成の概要」

• 第6.1.2項「ハードウェア・ロード・バランサの構成の一般的な手順」

• 第6.1.3項「Oracle SOA Suiteエンタープライズ・デプロイメントに必要な仮想サーバーのサマリー」

• 第6.1.4項「admin.example.comに関する追加手順」

• 第6.1.5項「soa.example.comに関する追加手順」

• 第6.1.6項「soainternal.example.comに関する追加手順」

• 第6.1.7項「osb.example.comに関する追加手順」

6.1.1 ハードウェア・ロード・バランサの構成の概要

トポロジのダイアグラムに示すように、リクエストを認識し、様々な種類のネットワーク・トラフィックや監視に対応する複数の仮想サーバーと関連ポートにリクエストをルーティングできるように、ハードウェア・ロード・バランサを構成する必要があります。

ロード・バランシング・デバイスにおける仮想サーバーとは、ロード・バランシングのために複数の物理サーバーを1つのサーバーのように見せかけることができる構成です。仮想サーバーは通常、IPアドレスとサービスによって表され、受信したクライアント・リクエストをサーバー・プール内の各サーバーに配信するために使用されます。

仮想サーバーは、(エンタープライズ・デプロイメントで使用可能な各種サービス用の)適切なホスト・コンピュータおよびポートにトラフィックをルーティングするように構成しておく必要があります。

Oracle SOA Suiteエンタープライズ・デプロイメントに必要な仮想サーバーの詳細は、第3.3.1項「Oracle SOA Suiteのロード・バランサ仮想サーバー名のサマリー」を参照してください。

さらに、サービスが停止したときに特定のサーバーへのトラフィックをできるだけ早く停止できるように、ホスト・コンピュータとポートの可用性を監視するようにロード・バランサを構成する必要があります。これによって、特定の仮想ホストの着信トラフィックが他の層の使用不可のサービスに送信されることがなくなります。

ロード・バランサを構成した後で、同じ名前を持つ一連の仮想ホストを、ロード・バランサに定義した仮想サーバーとして認識するように、Web層のWebサーバー・インスタンスを構成することも可能です。Webサーバーは、ハードウェア・ロード・バランサから受信した各リクエストを、リクエストのヘッダーに記述されているサーバー名に基づいて適切にルーティングできます。詳細は、第11.7項「管理およびOracle Web Services Manager用のOracle HTTP Serverの構成」を参照してください。

6.1.2 ハードウェア・ロード・バランサの構成の一般的な手順

ロード・バランサの構成手順は、ロード・バランサの特定のタイプによって異なります。実際の手順は、ベンダーが提供するドキュメントを参照してください。

次の手順では、一般的な構成フローを示します。ロード・バランサ上で定義する必要がある各仮想サーバーのリストについては、表6-1を参照してください。

1. サーバーのプールを作成します。このプールには、ロード・バランシング定義に含まれるサーバーおよびポートのリストが存在します。

   たとえば、Webホスト間のロード・バランシングの場合、リクエストをポート7777でWEBHOST1およびWEBHOST2のホストに送信するサーバーのプールを作成します。

2. 特定のホストとサービスが使用可能かどうかを決定するルールを作成し、手順1で説明したサーバーのプールに割り当てます。

3. ロード・バランサ上に仮想サーバーを作成します。これは、アプリケーションにより使用されるリクエストを受信するアドレスとポートです。

   たとえば、Web層リクエストをロード・バランシングするには、次の仮想ホストを作成します。

   soa.example.com:80
   

   ロード・バランサで各仮想サーバーを定義するときは、次のことを考慮します。

   1. ロード・バランサでサポートされている場合は、仮想サーバーが内部から、外部から、またはその両方から利用できるのかどうかを指定します。内部アドレスはネットワーク内からのみ解決可能であることを確認します。

   2. 適用可能な場合は、仮想サーバーに対するSSL終端を構成します。

   3. 手順1で作成したサーバーのプールを、仮想サーバーに割り当てます。

6.1.3 Oracle SOA Suiteエンタープライズ・デプロイメントに必要な仮想サーバーのサマリー

表6-1は、Oracle SOA Suiteエンタープライズ・トポロジのハードウェア・ロード・バランサで定義する必要がある仮想サーバーの一覧です。

表6-1 ハードウェア・ロード・バランサで定義する仮想サーバーのサマリー

仮想ホスト	サーバー・プール	プロトコル	SSL終端	外部
admin.example.com:80	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTP	いいえ	いいえ
soa.example.com:443	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTPS	はい	はい
soainternal.example.com:80	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTP	いいえ	いいえ
osb.example.com:443	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTPS	いいえ	はい

6.1.4 admin.example.comに関する追加手順

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• アドレスとポートの変換を有効にします。

• サービスまたはホストが停止した場合に接続のリセットを有効にします。

6.1.5 soa.example.comに関する追加手順

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• ポート80とポート443を使用します。ポート80 (非SSLプロトコル)に入力するリクエストはすべて、ポート443 (SSLプロトコル)にリダイレクトされる必要があります。

• ANYをプロトコルとして指定します(B2BではHTTPでないプロトコルが必要)。

• アドレスとポートの変換を有効にします。

• サービスやノードが停止した場合に接続のリセットを有効にします。

• この仮想サーバーの/consoleと/emへのアクセスを除外するルールを作成します。

  これらのコンテキスト文字列は、リクエストをOracle WebLogic Server管理コンソールとOracle Enterprise Manager Fusion Middleware Controlにルーティングするため、admin.example.comからシステムへのアクセス時にのみ使用する必要があります。

6.1.6 soainternal.example.comに関する追加手順

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• アドレスとポートの変換を有効にします。

• サービスまたはノードが停止した場合に接続のリセットを有効にします。

• soa.example.comと同様に、この仮想サーバーの/consoleと/emへのアクセスを除外するルールを作成します。

6.1.7 osb.example.comに関する追加手順

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• ポート80とポート443を使用します。ポート80 (非SSLプロトコル)に入力するリクエストはすべて、ポート443 (SSLプロトコル)にリダイレクトされる必要があります。

• ANYをプロトコルとして指定します(B2BではHTTPでないプロトコルが必要)。

• アドレスとポートの変換を有効にします。

• サービスやノードが停止した場合に接続のリセットを有効にします。

• この仮想サーバーの/consoleと/emへのアクセスを除外するルールを作成します。

  これらのコンテキスト文字列は、リクエストをOracle WebLogic Server管理コンソールとOracle Enterprise Manager Fusion Middleware Controlにルーティングするため、admin.example.comからシステムへのアクセス時にのみ使用する必要があります。

6.2 エンタープライズ・デプロイメントのファイアウォールとポートの構成

多くのOracle Fusion Middlewareコンポーネントおよびサービスはポートを使用します。管理者は、これらのサービスが使用するポート番号を把握し、同じポート番号が1つのホスト上の2つのサービスによって使用されないようにする必要があります。

ほとんどのポート番号はインストール中に割り当てられます。

表6-2にはSOAトポロジで使用されるポートの一覧が記載されています。トポロジにあるファイアウォールで開く必要のあるポートも記載されています。

注意: B2BのTCP/IPポートは、ユーザーが構成するポートであり、事前定義されません。同様に、ファイアウォールのポートは、TCP/IPポートの定義によって異なります。

ファイアウォールの表記法

• FW0は、最も外側のファイアウォールを表します。

• FW1は、Web層とアプリケーション層の間のファイアウォールを表します。

• FW2は、アプリケーション層とデータ層との間におけるファイアウォールを示します。

表6-2 エンタープライズ・デプロイメントでファイアウォールを構成するときに必要なポート情報

タイプ	ファイアウォール	ポートとポート範囲	プロトコル/アプリケーション	インバウンド/アウトバウンド	その他の考慮事項とタイムアウトのガイドライン
ブラウザ・リクエスト	FW0	80	HTTP/ロード・バランサ	インバウンド	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプとすべてのHTMLコンテンツによって異なります。
ブラウザ・リクエスト	FW0	443	HTTPS/ロード・バランサ	インバウンド	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプとすべてのHTMLコンテンツによって異なります。
ブラウザ・リクエスト	FW1	80	HTTPS/ロード・バランサ	アウトバウンド(イントラネット・クライアント)	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプとすべてのHTMLコンテンツによって異なります。
ブラウザ・リクエスト	FW1	443	HTTPS/ロード・バランサ	アウトバウンド(イントラネット・クライアント)	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプとすべてのHTMLコンテンツによって異なります。
コールバックおよびアウトバウンド呼出し	FW1	80	HTTPS/ロード・バランサ	アウトバウンド	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプとすべてのHTMLコンテンツによって異なります。
コールバックおよびアウトバウンド呼出し	FW1	443	HTTPS/ロード・バランサ	アウトバウンド	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプとすべてのHTMLコンテンツによって異なります。
ロード・バランサからOracle HTTP Serverへ	該当なし	7777	HTTP	該当なし	該当なし
管理サーバーによるOHS登録	FW1	7001	HTTP/t3	インバウンド	タイムアウトを短い時間(5から10秒)に設定します。
管理サーバーによるOHS管理	FW1	OHS管理ポート(7779)	それぞれTCPとHTTP	アウトバウンド	タイムアウトを短い時間(5から10秒)に設定します。
WSM-PMのアクセス	FW1	7010 範囲: 7010から7999	HTTP/WLS_WSM-PMn	インバウンド	タイムアウトを60秒に設定します。
SOAサーバーのアクセス	FW1脚注 1	8001 範囲: 8000から8010	HTTP / WLS_SOAn	インバウンド	タイムアウトは、SOAによって使用されるプロセス・モデルのタイプによって異なります。
Oracle Service Busのアクセス	FW1	8011 範囲: 8011から8021	HTTP / WLS_OSBn	インバウンド/ アウトバウンド	タイムアウトを短い時間(5から10秒)に設定します。
BAMのアクセス	FW1	9001 範囲: 9000から9080	HTTP / WLS_BAMn	インバウンド	レポートやブラウザが閉じられるまでBAM WebAppsへの接続は開いたまま維持されます。これによって、ユーザー・セッションの最長持続可能時間と同じ時間のタイムアウトを設定します。
WebLogic Serverクラスタ内におけるセッション・レプリケーション	該当なし	該当なし	該当なし	該当なし	デフォルトでは、サーバーのリスニング・アドレスのポートと同じポートがこの通信で使用されます。
管理コンソールのアクセス	FW1	7001	HTTP/管理サーバーとEnterprise Manager t3	両方	管理コンソールへのアクセスのタイプ(アプリケーション層のクライアントからOracle WebLogic Server管理コンソールを使用する予定があるか、またはアプリケーション層の外部のクライアントから使用する予定があるか)に基づいてこのタイムアウト時間をチューニングする必要があります。
ノード・マネージャ	FW1	5556	TCP/IP	両方	該当なし
データベースのアクセス	FW2	1521	SQL*Net	両方	タイムアウトは、SOAに使用されるプロセス・モデルのタイプとデータベース・コンテンツによって異なります。
デプロイメント用Coherence	該当なし	8088 範囲: 8000から8090		該当なし	該当なし
Oracle Internet Directoryのアクセス	FW2	389	LDAPまたはLDAP/ssl	インバウンド	ロード・バランサに基づいてディレクトリ・サーバーのパラメータをチューニングする必要があります。それ以外の方法ではチューニングしないでください。
Oracle Notification Server (ONS)	FW2	6200	ONS	両方	Gridlinkに必要。ONSサーバーは各データベース・サーバー上で稼働します。

^脚注 1  外部クライアントは、RMIまたはJMSでSOAサーバーに直接アクセスできます(JDeveloperデプロイメント、JMXモニタリングなど)。この場合、実装するセキュリティ・モデルによってFW0を開く必要がある場合とない場合があります。