F5 BIG-IP パラメータシート（LTM / TMOS 17.x）

説明

使い方

収録内容

全10シート。各シートに書いてあることは次のとおりです（ファイルの「目次」シートより）。

前提共通設計

機器・ネットワーク・認証とログ・保守

設定項目（21件）

機種・版数・台数・構成・使う機能・管理IP・ホスト名・管理画面への接続元・収容VLAN・機器ごとのアドレス・フローティング・接続の許可範囲・既定ゲートウェイ・管理者アカウント・権限の割り当て・NTPサーバー・Syslog転送・接続のログ・サーバー証明書・設定の退避・設定の同期・TMOSの更新・変更の記録

設定値仮想サーバー設計

公開する1サービスを1行で。VIP・プロファイル・プール

設計モニター設計

★付ける対象で落ちる範囲が変わる。見に行く先はアプリを通るページに

モニター名・項目（29件）

mon_web_http・mon_app_tcp・mon_node_icmp・（監視先のページ）・（受信文字列）・（複数付けたとき）・（間隔とタイムアウト）・（監視の送信元）・（認証が要るとき）・★モニターの種類・（証明書）・（保守で外すとき）・書き方・★モニターを付ける対象で、落ちたときの範囲が変わる。・プールメンバー（IP:ポート）に付ければそのメンバーだけ。・ノード（IPだけ）に付けると、そのIPを使うすべてのプールのメンバーが落ちる。・1つのサーバーで複数のサービスを動かしているときに、まとめて落ちる原因になる。・★モニターの種類は、VIP側ではなくメンバー側のプロトコルに合わせる。・VIPが443でSSLを終端していても、配下が平文の80ならモニターはHTTPにする。・VIPの見た目に合わせてHTTPSにすると、メンバーが全部落ちる。・★見に行く先はアプリを通るページにする。・静的ファイルを見ていると、アプリが落ちてもWebサーバーが返すので上がったままになる。・逆に受信文字列が本番の応答と違うと、正常なのに落ちる。文言の変更でも落ちる。・★監視は自己IPから出る。サーバー側のアクセス制限に自己IPを許可する。・忘れると全メンバーが同時に落ちる。「全部落ちた」ときは最初にここを見る。・・間隔とタイムアウトは、落ちてから外れるまでの時間を決める設定でもある。・短くすれば早く外れるが、一時的な遅れでも外れる。推奨値は版の資料で確認する。・・監視項目一覧には「メンバーが落ちたこと」を入れる。・1台落ちても振り分けは続くので、気づかないまま冗長性を失った状態になる。

設計SNATと経路設計

★行きは通るが戻りが返らない。振り分け以前の問題

項目（22件）

戻りの経路・SNAT（自動）・★SNATの副作用・SNATプール・★ポートの枯渇・同じセグメントからの接続・経路の非対称・ファイアウォールの許可・配下サーバーの受付範囲・書き方・★行きと戻りの両方を図に書いてから設定する。・行きはVIP宛なので必ずBIG-IPを通る。戻りはサーバーの経路次第で直接返る。・戻りが直接返ると、クライアントは「知らない相手からの応答」として捨てる。・★解き方は2つ。サーバーの既定ゲートウェイをBIG-IPへ向けるか、SNATで送信元を置き換えるか。・前者はサーバー側の経路を変える必要があり、後者はクライアントIPが追えなくなる。・どちらを採るかを設計として決め、理由を書く。両方入れて済ませない。・★SNATを入れたら、元のIPを渡す設定と、サーバー側でそれをログに出す設定を必ず対で行う。・片方だけだと「渡しているつもりで残っていない」状態になる。・★クライアントとサーバーが同じセグメントにある構成を見落とさない。・社内向けのVIPで起きやすく、外からは動いて見えるので試験をすり抜ける。・・通信要件一覧には VIP宛 と SNAT後の送信元 の2本を書く。片方だけだと通らない。・・配下のサーバーは、LBの自己IP以外からの受付を塞ぐ。

設計パーシステンスとHA

★維持の方式には使える条件がある。HA＝無停止ではない

項目（24件）

Cookieでの維持・送信元アドレスでの維持・維持する時間・メンバーを外すとき・設定の同期・同期されない項目・切り替えの契機・★接続のミラーリング・切り替えの実測・切り戻し・書き方・★維持の方式は、使える条件が先にある。・Cookieでの維持は暗号化を終端していないと挿入できない。・送信元アドレスでの維持は、同じNATの配下に大勢いると1台に偏る。・「とりあえず送信元アドレス」で決めると、社内からのアクセスが分散しない。・★維持する時間は、アプリのセッションタイムアウト以上にする。・短いと、セッションが生きているのに別のメンバーへ飛んでログインが切れる。・★HAは「切り替わること」と「切り替わっても既存接続が続くこと」が別の設定。・接続のミラーリングをしていなければ、切替の瞬間に既存の接続は切れる。・無停止を求められているなら、ここを設計として決めて実測する。・★設定を変えたら必ず同期する。同期していない設定は切替時に無かったことになる。・「直したのに直っていない」の正体。作業の最後に同期の状態を見る。・・切り戻しを自動にすると、復旧した瞬間にもう一度切れる。・二度目の断を許容できるかを決めてから設定する。

確認確認コマンド集

設定が入っているかと、実際に振り分けられるかの確認方法

注意設定時の注意

この機器で実際に起きる失敗と、その回避手順