6 エンタープライズ・デプロイメントのロード・バランサとファイアウォールの準備

ハードウェア・ロード・バランサの構成方法およびファイアウォールでエンタープライズ・デプロイメントに対して開く必要があるポートの構成方法を理解することは重要です。

• ハードウェア・ロード・バランサでの仮想ホストの構成
  ハードウェア・ロード・バランサを構成すると、様々な種類のネットワーク・トラフィックや監視において、円滑にリクエストを認識して複数の仮想サーバーと関連ポートにルーティングできるようになります。
• エンタープライズ・デプロイメントのファイアウォールとポートの構成
  管理者はOracle Fusion Middlewareの様々な製品およびサービスで使用されるポート番号を理解することが重要です。そうすることで、同じポート番号が1つのホスト上の2つのサービスによって使用されないようにし、エンタープライズ・トポロジのファイアウォールで正しいポートを開くことができます。

6.1 ハードウェア・ロード・バランサでの仮想ホストの構成

ハードウェア・ロード・バランサを構成すると、様々な種類のネットワーク・トラフィックや監視において、円滑にリクエストを認識して複数の仮想サーバーと関連ポートにルーティングできるようになります。

次のトピックでは、ハードウェア・ロード・バランサの構成方法について説明し、必要な仮想サーバーのサマリーを提供し、それらの仮想サーバーのための追加手順を示します。

• ハードウェア・ロード・バランサ構成の概要
  
• ハードウェア・ロード・バランサの構成の一般的な手順
  
• エンタープライズ・デプロイメントに必要な仮想サーバーのサマリー
  
• admin.example.comに関する追加手順
  
• wcp.example.comに関する追加手順
  
• wcpinternal.example.comに関する追加手順
  

6.1.1 ハードウェア・ロード・バランサ構成の概要

トポロジのダイアグラムに示すように、リクエストを認識し、様々な種類のネットワーク・トラフィックや監視に対応する複数の仮想サーバーと関連ポートにリクエストをルーティングできるように、ハードウェア・ロード・バランサを構成する必要があります。

ロード・バランシング・デバイスにおける仮想サーバーとは、ロード・バランシングのために複数の物理サーバーを1つのサーバーのように見せかけることができる構成です。仮想サーバーは通常、IPアドレスとサービスによって表され、受信したクライアント・リクエストをサーバー・プール内の各サーバーに配信するために使用されます。

仮想サーバーは、(エンタープライズ・デプロイメントで使用可能な各種サービス用の)適切なホスト・コンピュータおよびポートにトラフィックをルーティングするように構成しておく必要があります。

さらに、サービスが停止したときに特定のサーバーへのトラフィックをできるだけ早く停止できるように、ホスト・コンピュータとポートの可用性を監視するようにロード・バランサを構成する必要があります。これによって、特定の仮想ホストの着信トラフィックが他の層の使用不可のサービスに送信されることがなくなります。

ロード・バランサを構成した後で、同じ名前を持つ一連の仮想ホストを、ロード・バランサに定義した仮想サーバーとして認識するように、Web層のWebサーバー・インスタンスを構成することも可能です。Webサーバーは、ハードウェア・ロード・バランサから受信した各リクエストを、リクエストのヘッダーに記述されているサーバー名に基づいて適切にルーティングできます。詳細は、「管理およびOracle Web Services Manager用のOracle HTTP Serverの構成」を参照してください。

6.1.2 ハードウェア・ロード・バランサの構成の一般的な手順

次の手順では、エンタープライズ・デプロイメントのハードウェア・ロード・バランサを構成する標準的な手順の概要を示します。

特定のロード・バランサの実際の構成手順は、ロード・バランサの特定のタイプによって異なります。また、ロード・バランシングされるプロトコルのタイプによっても違いが生じる場合があります。たとえば、TCP仮想サーバーとHTTP仮想サーバーはプールで異なる種類のモニターを使用します。実際の手順は、ベンダーが提供するドキュメントを参照してください。

1. サーバーのプールを作成します。このプールには、ロード・バランシングの定義に含まれているサーバーとポートのリストが格納されます。

   たとえば、Webホスト間のロード・バランシングの場合、ポート7777のWEBHOST1およびWEBHOST2の両ホストにリクエストを送信するサーバーのプールを作成します。

2. 特定のホストとサービスが使用可能かどうかを決定するルールを作成し、手順1で説明したサーバーのプールに割り当てます。

3. アプリケーションに対するリクエストを受信するアドレスおよびポートのロード・バランサで必要な仮想サーバーを作成します。

   エンタープライズ・デプロイメントに必要な仮想サーバーの完全なリストは、「エンタープライズ・デプロイメントに必要な仮想サーバーのサマリー」を参照してください。

   ロード・バランサで各仮想サーバーを定義するときは、次のことを考慮します。

   1. ロード・バランサでサポートされている場合は、仮想サーバーが内部から、外部から、またはその両方から利用できるのかどうかを指定します。内部アドレスはネットワーク内からのみ解決可能であることを確認します。

   2. 適用可能な場合は、仮想サーバーに対するSSL終端を構成します。

   3. 手順1で作成したサーバーのプールを、仮想サーバーに割り当てます。

6.1.3 エンタープライズ・デプロイメントに必要な仮想サーバーのサマリー

このトピックでは、エンタープライズ・デプロイメントに必要な仮想サーバーについて詳細に説明します。

次の表は、Oracle WebCenter Portalエンタープライズ・トポロジのハードウェア・ロード・バランサで定義する必要がある仮想サーバーの一覧です。

仮想ホスト	サーバー・プール	プロトコル	SSL終端	外部
admin.example.com:80	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTP	なし	なし
wcp.example.com:443	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTPS	あり	あり
wcpinternal.example.com:80	WEBHOST1.example.com:7777 WEBHOST2.example.com:7777	HTTP	なし	なし
wcpinternal.example.com:6300	WCCHOST1.example.com:4444 WCCHOST2.example.com:4444	TCP	いいえ	いいえ

6.1.4 admin.example.comに関する追加手順

この項では、仮想サーバーadmin.example.comに必要な追加手順を示します。

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• アドレスとポートの変換を有効にします。

• サービスまたはホストが停止した場合に接続のリセットを有効にします。

6.1.5 wcp.example.comに関する追加手順

この項では、仮想サーバー(wcp.example.com)を構成するための追加手順を示します。

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• ポート80とポート443を使用します。ポート80 (非SSLプロトコル)に入力するリクエストはすべて、ポート443 (SSLプロトコル)にリダイレクトされる必要があります。

• HTTPをプロトコルとして指定します。

• アドレスとポートの変換を有効にします。

• サービスやノードが停止した場合に接続のリセットを有効にします。

• この仮想サーバーの/consoleと/emへのアクセスを除外するルールを作成します。

  これらのコンテキスト文字列は、リクエストをOracle WebLogic Server管理コンソールとOracle Enterprise Manager Fusion Middleware Controlにルーティングするため、admin.example.comからシステムへのアクセス時にのみ使用する必要があります。

6.1.6 wcpinternal.example.comに関する追加手順

この項では、仮想サーバー(wcpinternal.example.com)を構成するための追加手順を示します。

この仮想サーバーは、WebCenter PortalおよびWebCenter Contentのサービスの内部起動に使用されます。このURLはインターネットに公開されずに、イントラネットからのみアクセスできます。クライアントからの入力トラフィックは、SSL対応ではありません。2つの仮想サーバーがこのアドレスを異なるポートで使用するハードウェア・ロード・バランサで構成されます。

このアドレスは、次のようにHTTPとRemote Intradoc Client (RIDC)の両方のトラフィックに使用されます。

• HTTP接続は、ポート80のハードウェア・ロード・バランサで受信され、OHSのデフォルト・ポート7777のWEBHOSTサーバーに転送されます。

• RIDC TCP接続は、ポート6300のハードウェア・ロード・バランサで受信され、RIDCのデフォルト・ポート4444のWCCHOSTサーバーに転送されます。

注意:

RIDCサービス・ポート番号(4444など)で単純に受信して転送することに比べて、固有のポートをフロントエンド構成に使用することをお薦めします。

2つのサーバー・プールが次のトポロジをサポートするようにハードウェア・ロード・バランサで構成されます。

1. Webサーバー: 構成: WEBHOST1:7777およびWEBHOST2:7777

2. RIDCサーバー: 構成: WCCHOST1:4444およびWCCHOST2:4444

RIDCトラフィックはロード・バランサのポート6300 (6300は主にマスキング用)を使用しますが、トラフィックは最終的にWebCenterホストのRIDCポート(4444)にルーティングされます。

ハードウェア・ロード・バランサでこの仮想サーバーを構成する場合:

• アドレスとポートの変換を有効にします。

• サービスまたはノードが停止した場合に接続のリセットを有効にします。

• wcp.example.comと同様に、この仮想サーバーの/consoleと/emへのアクセスを除外するルールを作成します。

6.2 エンタープライズ・デプロイメントのファイアウォールとポートの構成

管理者はOracle Fusion Middlewareの様々な製品およびサービスで使用されるポート番号を理解することが重要です。そうすることで、同じポート番号が1つのホスト上の2つのサービスによって使用されないようにし、エンタープライズ・トポロジのファイアウォールで正しいポートを開くことができます。

次の表は、トポロジのファイアウォールで開く必要があるポートの一覧です。

ファイアウォールの表記法:

• FW1は、最も外側のファイアウォールを表します。

• FW2は、Web層とアプリケーション層の間のファイアウォールを表します。

• FW3は、アプリケーション層とデータ層の間のファイアウォールを表します。

表6-1 すべてのFusion Middlewareエンタープライズ・デプロイメントに共通のファイアウォール・ポート

タイプ	ファイアウォール	ポートとポートの範囲	プロトコル/アプリケーション	インバウンド /アウトバウンド	その他の考慮事項とタイムアウトのガイドライン
ブラウザによるリクエスト	FW0	80	HTTP/ロード・バランサ	インバウンド	タイムアウトは、HTMLコンテンツのサイズとタイプによって異なります。
ブラウザによるリクエスト	FW0	443	HTTPS/ロード・バランサ	インバウンド	タイムアウトは、HTMLコンテンツのサイズとタイプによって異なります。
ブラウザによるリクエスト	FW1	80	HTTPS/ロード・バランサ	アウトバウンド(イントラネット・クライアント)	タイムアウトは、HTMLコンテンツのサイズとタイプによって異なります。
ブラウザによるリクエスト	FW1	443	HTTPS/ロード・バランサ	アウトバウンド(イントラネット・クライアント)	タイムアウトは、HTMLコンテンツのサイズとタイプによって異なります。
コールバックおよびアウトバウンド呼出し	FW1	80	HTTPS/ロード・バランサ	アウトバウンド	タイムアウトは、HTMLコンテンツのサイズとタイプによって異なります。
コールバックおよびアウトバウンド呼出し	FW1	443	HTTPS/ロード・バランサ	アウトバウンド	タイムアウトは、HTMLコンテンツのサイズとタイプによって異なります。
ロード・バランサからOracle HTTP Serverへ	該当なし	7777	HTTP	該当なし	該当なし
管理サーバーによるOHS登録	FW1	7001	HTTP/t3	インバウンド	タイムアウトを短い時間(5から10秒)に設定します。
管理サーバーによるOHS管理	FW1	OHS管理ポート(7779)	それぞれTCPとHTTP	アウトバウンド	タイムアウトを短い時間(5から10秒)に設定します。
WebLogic Serverクラスタ内におけるセッション・レプリケーション	該当なし	該当なし	該当なし	該当なし	デフォルトでは、サーバーのリスニング・アドレスのポートと同じポートがこの通信で使用されます。
管理コンソールのアクセス	FW1	7001	HTTP/管理サーバーとEnterprise Manager t3	両方	管理コンソールへのアクセスのタイプ(アプリケーション層のクライアントからOracle WebLogic Server管理コンソールを使用する予定があるか、またはアプリケーション層の外部のクライアントから使用する予定があるか)に基づいてこのタイムアウト時間をチューニングする必要があります。
データベース・アクセス	FW2	1521	SQL*Net	両方	タイムアウトは、SOAに使用されるプロセス・モデルのタイプとデータベース・コンテンツによって異なります。
デプロイメントの一貫性	該当なし	8088 範囲: 8000から8090		該当なし	該当なし
Oracle Unified Directoryアクセス	FW2	389 636 (SSL)	LDAPまたはLDAP/ssl	インバウンド	ロード・バランサに基づいてディレクトリ・サーバーのパラメータをチューニングする必要があります。それ以外の方法ではチューニングしないでください。
Oracle Notification Server (ONS)	FW2	6200	ONS	両方	Gridlinkに必要。ONSサーバーは各データベース・サーバー上で稼働します。

タイプ	ファイアウォール	ポートとポートの範囲	プロトコル/アプリケーション	インバウンド /アウトバウンド	その他の考慮事項とタイムアウトのガイドライン
WSM-PMのアクセス	FW1	7010 範囲: 7010から7999	HTTP/WLS_WSM-PMn	インバウンド	タイムアウトを60秒に設定します。
ポータル・サーバーへのアクセス	FW1	9001	HTTP / WLS_Portaln	インバウンド	タイムアウトを短い時間(5から10秒)に設定します。
ポートレット・サーバーへのアクセス	FW1	9002	HTTP / WLS_Portletn	インバウンド	タイムアウトを短い時間(5から10秒)に設定します。
コラボレーション・サーバーへのアクセス	FW1	9003	HTTP / WLS_Collabn	インバウンド	タイムアウトを短い時間(5から10秒)に設定します。
RIDC APIリクエスト	FW1	6300	TCP/WLS_WCCn	インバウンド	該当なし