www.seekers.jp

Sakura VPSにおいてあるマシンから、自ドメイン宛にメールを送信した際、
Sakura側のmtaとして使っているexam4に以下のログが残っていたので調査
(送信後,5分ほど経過してから受信していたので、何かおかしいんだろうなと
思ってはいたものの放置してた。)

2017-10-10 08:31:05 1e1hQz-000487-Cd H=mta [mta ipv6 addr] TLS error on connection (gnutls_handshake): timed out

結果として,根本的な原因は不明なままだが,
mtaへipv4で接続すれば,見た所はエラーは解消した為,
dnsのエントリからmtaのAAAAレコードを削除することで対処した。

追記:
自ドメイン側でipv6 Path MTU Blackholeを発生させていたことが原因でした.
ルータの設定を見直して対処完了です。恥ずかしい x)

以下は、調査履歴と泣き言。

続きを読む ipv6とtlsでトラブル発覚

今朝気づいたらpostfixが止まっててびっくりした。

systemctl start postfix
とかしても、エラーは出ないが、動作もしない状態なので
頭抱えながら /lib/systemd/system/postfix.service を眺める

exec = /bin/true

… それはエラーにはならないねぇ。と今までどうやって動いてたんだ??と再びお悩み状態。
藁をもすがる状態で、/usr/share/doc/postfix/README.Debian を見てみたところ

postfixマルチインスタンスモードの時は下記をやれ
プライマリインスタンスは${INSTANCE_NAME}が”-“な

# systemctl daemon-reload
# systemctl enable postfix@${INSTANCE_NAME}.service
# systemctl start postfix@${INSTANCE_NAME}.service

みたいなことが書いてあるので、実施。
すると、まぁ、動作する
が、いつからこうなったんだろう・・・

private docker registry のイメージ管理を行いたいので自前でイメージ管理スクリプトの作成
-> とりあえず作った 要python3 オレオレ仕様
https://github.com/mokemoke88/docker_reg_helper

自前ビルドしたDockerイメージを、registryに登録する際の手順を考える

今の所の想定
手元でビルド -> <image名>:build(local)

Jenkins で ビルド ( master or releaseブランチは自動ビルド対象から外しておく)
<registryパス>/<image名>:gitブランチ名 を registryからpull
<image名>:gitブランチ名-日付-ビルド番号 でビルド
<registryパス>/<image名>:gitブランチ名 でtaggingして、registryへpush

最終成果物は個別で作成
git にtagging (0.0.1 とか)
<registryパス>/<image名>:latest を registry から pull
<image名>:release-日付-ビルド番号 でビルド
<registryパス>/<image名>:<gitのtag> で tagging して、registryへpush
<registryパス>/<image名>:latest でtagging して、registryへpush

ゴミがいっぱい残りそうなのと、最終成果物の生成がうまくいきそうになくて、もやもやする。

停止しているコンテナの削除
docker rm `docker ps -a -q`

レポジトリが<none>になっているイメージを削除
docker rmi $(docker images | awk '/^/' { print $3 }')

何度やってもfindの使い方が頭に入ってこないのでメモ。

カレント以下の.svnを抹殺

$find . -name .svn -exec rm -fr {} \;

もしくは

$find . -name .svn | xargs rm -rf

やってみたら、ダラダラ面倒だったので、メモ

デフォルトで導入したままだと、unix socketでしかlistenしていないのでtcpでもlistenするようにする.
tcpでlistenする際、sslでの認証が必要になるので、ssl証明書やら、キーも作成する.
(といっても公式やらに書いていることやるだけ)

SSL証明書やらの作成

認証局の秘密キーと公開キーを作成

[認証局秘密キー ca-key.pem]
$openssl genrsa -aes256 -out ca-key.pem 4096
(パスフレーズの問い合わせがあるので、入力)

[認証局公開キー(証明書) ca.pem]
$openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
(認証局秘密キーのパスフレーズ入力)
(Common Name の入力で、ホストのFQDNを入力)

サーバ鍵と証明書署名要求の作成

[サーバ鍵 server-key.pem]
$openssl genrsa -out server-key.pem 4096

[証明書署名要求 server.csr]
$openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr
($HOSTは、対象のFQDN)

[証明書の追加情報 extfile.cnf]
$echo subjectAltName = IP:www.xxx.yyy.zzz,IP:127.0.0.1 > extfile.cnf
(www.xxx.yyy.zzzは対象のIPアドレス)

サーバ証明書の作成

[認証局署名付きサーバ証明書 server-cert.pem]
$openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem ¥
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf
(出力メッセージのsubject=/CN=FQDN が証明書署名要求で使ったFQDNになっていることを確認)
(認証局秘密キーのパスフレーズの問い合わせがあるので入力)

クライアント鍵と証明書署名要求の作成(docker-machine側で使用)

[クライアント鍵 key.pem]
$openssl genrsa -out key.pem 4096

[証明書署名要求 client.csr]
$openssl req -subj '/CN=client' -new -key key.pem -out client.csr

[クライアント認証用の追加設定ファイル extfile.cnf]
$echo extendedKeyUsage = clientAuth > extfile.cnf

認証局署名付きクライアント証明書の作成

[認証局署名付きクライアント証明書 cert.pem]
$openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem ¥
  -CAcreateserial -out cert.pem -extfile extfile.cnf
(認証局秘密キーのパスフレーズの問い合わせがあるので入力)

証明書署名要求ファイルは必要なくなったので、削除。

$rm -v client.csr server.csr extfile.cnf

鍵を本人しか触れないようにパーミッション変更

$chmod -v 400 ca-key.pem key.pem server-key.pem

証明書は変更できないように書き込み権限を落としておく

$chmod -v 0444 ca.pem server-cert.pem cert.pem

Debian(Docker-engine)側の設定変更

作成したサーバ鍵、証明書、認証局証明書を/etc/docker以下に移動

$mv ca.pem server-cert.pem server-key.pem /etc/docker/

dockerデーモンの起動設定はsystemdで制御されているので,デフォルト設定ファイル/lib/systemd/system/docker.serviceを/etc/systemd/system/以下にコピーしてから編集

$cp /lib/systemd/system/docker.service /etc/systemd/system/

[変更前]
ExecStart=/usr/bin/dockerd -H fd://
[変更後]
ExecStart=/usr/bin/dockerd ¥
 --tlsverify ¥
 --tlscacert=/etc/docker/ca.pem ¥
 --tlscert=/etc/docker/server-cert.pem ¥
 --tlskey=/etc/docker/server-key.pem ¥
 -H fd:// ¥
 -H tcp://0.0.0.0:2376

[変更前]
ExecStart=/usr/bin/docker -H fd://
[変更後]
ExecStart=/usr/bin/docker ¥
  --tlsverify ¥
  --tlscacert=/etc/docker/ca.pem ¥
  --tlscert=/etc/docker/server-cert.pem ¥
  --tlskey=/etc/docker/server-key.pem ¥
  -H fd://

/etc/systemd/system/docker-tcp.socket を以下の内容で作成

[Unit]
Description=Docker Soccer for the API

[Socket]
ListenStream=2376
BindIPv6Only=both
Service=docker.service

[Install]
WantedBy=socket.target

(2017.02.06 更新)

systemdに設定の変更を教え込んで、デーモン再起動

$systemctl daemon-reload
$systemctl stop docker
$systemctl enable docker-tcp.socket
$systemctl start docker-tcp.socket
$systemctl start docker

Debian側、これにて終了。続いてMac(Docker-machine)側

Mac(Docker-machine)側の設定

docker-machineに新規マシン登録

$docker-machine create -d "none" --url tcp://www.xxx.yyy.zzz:2376 DOCKER_HOST
 (www.xxx.yyy.zzzはdebianのIPアドレス)
 ($DOCKER_HOSTはdocker-machineに登録する名前)

~/.docker/machine/machines/以下にDOCKER_HOSTなディレクトリが作成され、設定ファイル config.jsonが生成されているので、とりまディレクトリに移動

$cd ~/.docker/machine/machines/DOCKER_HOST

先に生成したクライアント秘密キー, 証明書,認証局証明書(key.pem, cert.pem, ca.pem)を何とかして、ここにコピー

docker-machineがコピーしたファイルを見るようにconfig.jsonを変更

"AuthOptions": {
  "CertDir": "/Users/hogehoge/.docker/machine/certs",
  "CaCertPath": "/Users/hogehoge/.docker/machine/machines/DOCKER_HOST/ca.pem",
  "CaPrivateKeyPath": "",
  "CaCertRemotePath": "",
  "SeverCertPath": "",
  "ServerKeyPath": "",
  "ServerCertRemotePath": "",
  "ServerKeyRemotePath": "",
  "ServerCertSANS": [],
  "ClientKeyPath": "/Users/hogehoge/.docker/machine/machines/DOCKER_HOST/key.pem",
  "ClientCertPath": "/Users/hogehoge/.docker/machine/machines/DOCKER_HOST/cert.pem",
  "StorePath": "/Users/hogehoge/.docker/machine/machines/DOCKER_HOST"
}

docker-machine ls とかして、接続できているか、確認

$docker-machine ls
NAME ACTIVE DRIVER STATE URL SWARM DOCKER ERRORS
DOCKER_HOST - none Running tcp://www.xxx.yyy.zzz:2376 v1.13.0

バージョンが表示されていれば、とりま動作しているかと思われる。
そして、息切れ。以上。