ネットワーク要件

このセクションでは、SUSE Multi-Linux Managerのネットワークとポートの要件について詳しく説明します。

IP転送はコンテナ化されたインストールによって有効になります。これは、SUSE Multi-Linux Managerサーバーとプロキシがルーターとして動作することを意味します。この動作はpodmanによって直接行われます。 IP転送が無効になっている場合、Podmanコンテナは実行されません。

ポリシーに従って、SUSE Multi-Linux Manager環境のネットワーク分離を実現することを検討してください。

詳細については、 https://www.suse.com/support/kb/doc/?id=000020166.を参照してください。

1. 完全修飾ドメイン名(FQDN)

SUSE Multi-Linux Managerサーバーは、そのFQDNを正しく解決する必要があります。 FQDNが解決できない場合、さまざまなコンポーネントで深刻な問題を引き起こす可能性があります。

ホスト名とDNSの設定の詳細については、https://documentation.suse.com/sles/15-SP7/html/SLES-all/cha-network.html#sec-network-yast-change-hostを参照してください。

2. ホスト名とIPアドレス

SUSE Multi-Linux Managerドメイン名がクライアントによって解決できるようにするためには、サーバーとクライアントの両方のマシンが動作するDNSサーバーに接続されている必要があります。逆引きが正しく設定されていることも確認する必要があります。

DNSサーバーの設定に関する詳細については、https://documentation.suse.com/sles/15-SP7/html/SLES-all/cha-dns.htmlを参照してください。

3. ルータ広告の再有効化

SUSE Multi-Linux Managerが`mgradm install podman`または`mgrpxy install podman`を使用してインストールされると、Podmanがセットアップされ、IPv4およびIPv6転送が有効になります。これは、コンテナの外部との通信に必要です。

ただし、システムで以前に`/proc/sys/net/ipv6/conf/eth0/accept_ra`が`1`に設定されていた場合、ルーターアドバタイズメントの使用が停止されます。その結果、ルーター広告を介してルートが取得されなくなり、デフォルトのIPv6ルートが欠落します。

IPv6ルーティングの正常な機能を回復するには、次のプロシージャに従います。

サーバーとプロキシは15 SP7に基づいています（Network Managerを使用しない）。
サーバーとプロキシはSL Micro 6.1}に基づいています（Network Managerを使用する）。

プロシージャ:Network Managerなしでルーター広告を再有効化する

/etc/sysctl.d`にファイルを作成します（例: `99-ipv6-ras.conf）。
次のパラメータと値をファイルに追加します。
net.ipv6.conf.eth0.accept_ra = 2
再起動します。

ウィキッドがない場合、ネットワーク管理は機能していません。

プロシージャ:Network Managerを使用してルーター広告を再有効化する

`nmcli connection show`を使用して接続を一覧表示します。
ファイル`/etc/NetworkManager/system-connections/<name of connection>.nmconnection`を作成または変更して、この設定を追加します：
[ipv6]
addr-gen-mode=eui64
再起動します。
出力は次のようになります。
[connection]
id=Wired connection 1
type=ethernet
interface-name=eth0

[ethernet]

[ipv4]
dns-priority=20
method=auto

[ipv6]
addr-gen-mode=eui64
method=auto

4. HTTPまたはHTTPSのOSIレベル7プロキシの背後での配備

一部の環境では、HTTPまたはHTTPSプロキシを介してインターネットアクセスが強制されます。これはSquidサーバーやそれに類似したものかもしれません。そのような構成でSUSE Multi-Linux Managerサーバーにインターネットアクセスを許可するには、次の設定を行う必要があります。

プロシージャ:HTTPまたはHTTPS OSIレベル7プロキシの設定

オペレーティングシステムのインターネットアクセスのために、`/etc/sysconfig/proxy`を必要に応じて変更します：
```
PROXY_ENABLED="no"
HTTP_PROXY=""
HTTPS_PROXY=""
NO_PROXY="localhost, 127.0.0.1"
```
Podman`コンテナのインターネットアクセスのために、/etc/systemd/system/uyuni-server.service.d/custom.conf`を必要に応じて変更します。たとえば、次のように設定します。
```
[Service]
Environment=TZ=Europe/Berlin
Environment="PODMAN_EXTRA_ARGS="
Environment="https_proxy=user:password@http://192.168.10.1:3128"
```
Javaアプリケーションのインターネットアクセスのために、`/etc/rhn/rhn.conf`を必要に応じて変更します。コンテナホストで、`mgrctl term`を実行してサーバコンテナ内でコマンドラインを開きます：
1. 必要に応じて`/etc/rhn/rhn.conf`を変更します。たとえば、次のように設定します。
  
  # Use proxy FQDN, or FQDN:port server.satellite.http_proxy = server.satellite.http_proxy_username = server.satellite.http_proxy_password = # no_proxy is a comma seperated list server.satellite.no_proxy =
コンテナホストでサーバを再起動して、新しい設定を適用します。
```
systemctl restart uyuni-server.service
```

5. Air-gapped配備

内部ネットワークにいてSUSE Customer Centerにアクセスできない場合は、エアギャップ(された)デプロイメントを使用できます。

本番環境では、SUSE Multi-Linux Managerサーバーとクライアントは必ずファイアウォールを使用してください。必要なポートの包括的なリストについては、必須のネットワークポートを参照してください。

6. 必須のネットワークポート

このセクションには、SUSE Multi-Linux Manager内でのさまざまな通信に使用されるポートの包括的なリストが含まれています。

これらのすべてのポートを開く必要はありません。一部のポートは、それらを必要とするサービスを使用している場合にのみ開く必要があります。

6.1. 概要

6.1.1. サーバ

6.1.2. プロキシ

6.2. 外部の着信サーバポート

未許可アクセスからサーバを保護するために、SUSE Multi-Linux Managerサーバでファイアウォールを設定する際は、外部からの着信ポートを開放する必要があります。

これらのポートを開くと、外部ネットワークトラフィックがSUSE Multi-Linux Managerサーバにアクセスできるようになります。

Table 1. SUSE Multi-Linux Managerサーバの外部ポート要件
[ポート番号]	プロトコル	使用元:	メモ
67	TCP/UDP	DHCP	クライアントがサーバからIPアドレスを要求する場合にのみ必要です。
69	TCP/UDP	TFTP	サーバが自動クライアントインストールのためのPXEサーバとして使用される場合に必要です。
80	TCP	HTTP	一部のブートストラップリポジトリや自動インストールのために一時的に必要です。
443	TCP	HTTPS	Web UI、クライアント、サーバ、およびプロキシ（`tftpsync`）リクエストに対応します。
4505	TCP	salt	クライアントからの通信リクエストを受け入れるために必要です。クライアントが接続を開始し、Saltマスターからのコマンドを受け取るために接続が開いたままになります。
4506	TCP	salt	クライアントからの通信リクエストを受け入れるために必要です。クライアントが接続を開始し、Saltマスターに結果を報告するために接続が開いたままになります。
5432	TCP	PostgreSQL	レポーティングデータベースにアクセスするために必要です。
5556	TCP	Prometheus	Taskomatic JMXメトリクスを取得するために必要です。
5557	TCP	Prometheus	Tomcat JMXメトリクスを取得するために必要です。
9100	TCP	Prometheus	Node exporterメトリクスを取得するために必要です。
9187	TCP	Prometheus	PostgreSQLメトリクスを取得するために必要です。
9800	TCP	Prometheus	Taskomaticメトリクスを取得するために必要です。

6.3. 外部の送信サーバポート

サーバからアクセスできるアクセス先を制限するためにSUSE Multi-Linux Managerサーバでファイアウォールを設定するには、外部の送信ポートが開いている必要があります。

これらのポートを開くと、SUSE Multi-Linux Managerサーバからのネットワークトラフィックで外部サービスに通信できます。

Table 2. SUSE Multi-Linux Managerサーバの外部ポート要件
[ポート番号]	プロトコル	使用元:	メモ
80	TCP	HTTP	SUSE Customer Centerの場合に必要です。ポート80はWeb UIを提供するためには使用されません。
443	TCP	HTTPS	SUSE Customer Centerの場合に必要です。

6.4. 内部サーバポート

内部ポートはSUSE Multi-Linux Managerサーバによって内部で使用されます。内部ポートは`localhost`からのみアクセス可能です。

ほとんどの場合、これらのポートを調整する必要はありません。

Table 3. SUSE Multi-Linux Managerサーバの内部ポートの要件
[ポート番号]	メモ
2828	TomcatおよびTaskomaticのRHNアプリケーションで使用される衛星検索API。
2829	TomcatのRHNアプリケーションで使用されるTaskomatic API。
8005	Tomcatシャットダウンポート。
8009	TomcatからApache HTTPD（AJP）へ。
8080	TomcatからApache HTTPD（HTTP）へ。
9080	TomcatおよびTaskomaticのRHNアプリケーションで使用されるSalt-API。
32000	Taskomaticおよび衛星検索を実行するJava仮想マシン（JVM）へのTCP接続用のポート。

ポート32768以上はエフェメラルポートとして使用されます。これらは最も頻繁にTCP接続を受信するために使用されます。 TCP接続要求が受信されると、送信者は宛先ポートに一致するこれらのエフェメラルポート番号のいずれかを選択します。

次のコマンドを使用して、一時ポートであるポートを確認できます。

cat /proc/sys/net/ipv4/ip_local_port_range

6.5. 外部の着信プロキシポート

未許可アクセスからプロキシを保護するためにSUSE Multi-Linux Managerプロキシでファイアウォールを設定するには、外部の着信ポートが開いている必要があります。

これらのポートを開くと、外部ネットワークトラフィックがSUSE Multi-Linux Managerプロキシにアクセスできるようになります。

Table 4. SUSE Multi-Linux Managerプロキシの外部ポートの要件
[ポート番号]	プロトコル	使用元:	メモ
22			ユーザーがSalt SSHでプロキシホストを管理したい場合にのみ必要です。
67	TCP/UDP	DHCP	クライアントがサーバからIPアドレスを要求する場合にのみ必要です。
69	TCP/UDP	TFTP	サーバが自動クライアントインストールのためのPXEサーバとして使用される場合に必要です。
443	TCP	HTTPS	Web UI、クライアント、サーバ、およびプロキシ（`tftpsync`）リクエスト。
4505	TCP	salt	クライアントからの通信リクエストを受け入れるために必要です。クライアントが接続を開始し、Saltマスターからのコマンドを受け取るために接続が開いたままになります。
4506	TCP	salt	クライアントからの通信リクエストを受け入れるために必要です。クライアントが接続を開始し、Saltマスターに結果を報告するために接続が開いたままになります。
8022			ssh-push および ssh-push-tunnel の接続方法に必要です。プロキシに接続されたクライアントは、サーバーにチェックインした後、他のクライアントに中継します。

6.6. 外部の送信プロキシポート

プロキシがアクセス可能な先を制限するため、SUSE Multi-Linux Managerプロキシ上でファイアウォールを設定する際、外向きのポートを開放する必要があります。

これらのポートを開放することで、SUSE Multi-Linux Managerプロキシからのネットワークトラフィックが外部サービスと通信できるようになります。

Table 5. SUSE Multi-Linux Managerプロキシの外部ポートの要件
[ポート番号]	プロトコル	使用元:	メモ
80			サーバーに到達するために使用されます。
443	TCP	HTTPS	SUSE Customer Centerの場合に必要です。
4505	TCP	Salt	Saltマスターに直接またはプロキシを介して接続するために必要です。
4506	TCP	Salt	Saltマスターに直接またはプロキシを介して接続するために必要です。

6.7. 外部クライアントポート

クライアントとSUSE Multi-Linux Managerサーバー間のファイアウォールを設定するには、外向きのクライアントポートを開放する必要があります。

ほとんどの場合、これらのポートを調整する必要はありません。

Table 6. SUSE Multi-Linux Managerクライアントの外部ポート要件
[ポート番号]	方向	プロトコル	メモ
22	インバウンド	SSH	ssh-push および ssh-push-tunnel の接続方法に必要です。
80	アウトバウンド		サーバーまたはプロキシに到達するために使用されます。
443	アウトバウンド		サーバーまたはプロキシに到達するために使用されます。
4505	アウトバウンド	TCP	Saltマスターに直接またはプロキシを介して接続するために必要です。
4506	アウトバウンド	TCP	Saltマスターに直接またはプロキシを介して接続するために必要です。
9090	アウトバウンド	TCP	Prometheusユーザーインターフェースに必要です。
9093	アウトバウンド	TCP	Prometheusアラートマネージャーに必要です。
9100	アウトバウンド	TCP	Prometheusノードエクスポーターに必要です。
9117	アウトバウンド	TCP	Prometheus Apacheエクスポーターに必要です。
9187	アウトバウンド	TCP	Prometheus PostgreSQLに必要です。

6.8. 必要なURL

クライアントを登録し、更新を実行するためにSUSE Multi-Linux Managerがアクセスできる必要があるURLがあります。ほとんどの場合、これらのURLへのアクセスを許可することが十分です：

scc.suse.com
updates.suse.com
installer-updates.suse.com
registry.suse.com
registry-storage.suse.com
opensuse.org

さらに、SUSE以外の製品の場合は、次のURLへのアクセスが必要になる場合があります。

download.nvidia.com
public.dhe.ibm.com
nu.novell.com

指定したURLとそれに関連するIPアドレスをホワイトリストに登録する方法の詳細については、次の記事を参照してください: ファイアウォール内および/またはプロキシ経由でSUSE Customer CenterとSUSEレジストリにアクセスする。

非-SUSEクライアントを使用している場合は、これらのオペレーティングシステム用の特定のパッケージを提供する他のサーバーへのアクセスも許可する必要があるかもしれません。例えば、Ubuntuクライアントを持っている場合は、Ubuntuサーバーにアクセスできる必要があります。

非SUSEクライアントのファイアウォールアクセスのトラブルシューティングに関する詳細については、ファイアウォールのトラブルシューティングをご覧ください。