BAKUNOTE

Amazpn VPCで踏み台経由でログインできるネットワーク環境をつくってみる

2017-12-17T13:30:00+09:00

背景

個人開発で�使える�本番サーバー環境が欲しかったのと、ちょうど仕事でも活かせそうだったので、自分でAWSのネットワーク環境を作ってみました。

全体像

用意したいサーバーは2つです。

踏み台
- sshでログインし、さらにsshで本番サーバーへログインするためのもの
- ssh��ログイン用のport以外は開けない
�本番サーバー
- 踏み台サーバーからのみsshでログイン可能
- (Webサーバーを予定してるけど、�今回はhttpのportを開けたりとかしない)

VPCの作成

AWSで管理する仮想ネットワークを定義します。

AWSマネジメントコンソールからサービス＞VPCを選択

既にデフォルトのVPCが定義されていますが、今回は使わずに削除します。

「VPCの作成」を選択


Name	vpc-sample
IPv4 CIDR ブロック	192.168.0.0/16

CIDR ブロックは、仮想ネットワーク内のIPアドレスの範囲を指定します。

今回は 192.168.0.0 ~ 192.168.255.255 で 65,536 個のIPアドレスを持つことになります。

VPC とサブネット

CIDRブロックは 16~28の間で指定する必要があるようです。

サブネットの作成

上で作成したVPCの中でネットワークを小分けにします。

VPCダッシュボードの中から「サブネット」を選択

「サブネットの作成」を選択し、以下2つのサブネットを作成しました。

1つ目


名前タグ	subnet-sample-public
VPC	{作成�したvpc-sampleがデフォルトで選択されている}
アベイラビリティゾーン	ap-northeast-1a
IPv4 CIDR ブロック	192.168.1.0/24

2つ目


名前タグ	subnet-sample-private
VPC	{作成�したvpc-sampleがデフォルトで選択されている}
アベイラビリティゾーン	ap-northeast-1a
IPv4 CIDR ブロック	192.168.2.0/24

1つ目が踏み台用、2つ目が本番用という想定です。
それぞれ256個ずつIPアドレスを持つことになります。

アベイラビリティゾーンは東京では ap-northeact-1a ap-northeast-1c の2択�ですが、どちらが具体的にどこの場所、というのはなく、仮想ネットワーク毎にAWS側で振り分けられるそうです。
なので、「 1a は沢山�の人が選んで混んでそうだからa 1c にしよう」みたいなことは意味がないらしいです。
�情報元は�どこかのネット記事で読んだのですがどこかへ行ってしまいました。。

インターネットゲートウェイの作成

仮想ネットワークをインターネットと繋げる為に、インターネットゲートウェイを作成します。
VPCダッシュボードからインターネットゲートウェイ＞インターネットゲートウェイの作成を�選択

名前は igw-sample としておきます。

ルートテーブルの作成

��上で作成したインターネットゲートウェイを紐付けるためのルートテーブルを作成します。
ルートテーブル＞ルートテーブルの作成を選択し、 rtb-sample を指定します。
作成後、 0.0.0.0/0 (デフォルトゲートウェイとして) インターネットゲートウェイを紐付けます。

さらに、「サブネットの関連付け」で踏み台用のサブネットである subnet-sample-public を紐付けます。

EC2（�踏み台）の作成

いよいよサーバーです。
サービス＞EC2＞インスタンスから「インスタンスの作成」を選択

ちょうど数日前にリリースされたAmazon Linux 2 が無料枠で選べる状態だったので、これを選択します。

t2.micro を選択します。

インスタンスの詳細設定です。

ちょっと項目数が多いのでかいつまんで。


ネットワーク	vpc-sample
サブネット	subnet-sample-public
自動割り当てパブリックIP	有効化
プライマリIP	192.168.1.10

ここは若干ハマってしまった所なのですが、プライマリIPを 192.168.1.1 に指定したら、最後のEC2作成のフェーズでエラーになってしまいました。

プライマリIPは先頭と末尾（192.168.1.0 192.168.1.255）だけ避ければ良いと思っていたのですが、他にも 192.168.1.1 192.168.1.2 192.168.1.3 は予約済アドレスとなるようです。

�プライマリIPはわざわざ指定しなくても良かったかもしれないです。

参考： VPC初心者がハマりやすいポイントをまとめてみた

次はストレージの追加です。

デフォルトのまま進めます。

Name タグに bastion を指定します。

「新しいセキュリティグループを作成する」を選択し、セキュリティグループ名を bastion-sg とします。
セキュリティグループの指定で、sshで 22 をどこからでも受けられるようにします。

「確認と作成」をクリックして、キーペアを作成してダウンロードしたら完了です。

EC2(本番用)の作成

ほぼ踏み台と同じなので、違うところだけピックアップします。

詳細設定


サブネット	subnet-sample-private
自動割り当てパブリックIP	サブネット設定を使用（無効）
プライマリIP	192.168.2.10

セキュリティグループ

「新しいセキュリティグループを作成する」を選択し、セキュリティグループ名を web-sg とします。
セキュリティグループの指定で、sshで 22 を 192.168.1.0/24 からのみ受けられるようにします。（ここポイントです）

キーペア

踏み台で作成したものと同じものを使うようにします。

sshログインしてみる

踏み台→本番への接続も同じキーペアで通せるように、以下のコマンドを打ちます。

ssh-add {pemファイルのパス}
ssh-add -l # 登録できたか確認

まずは踏み台のログインです。

ssh -i {pemファイルのパス} ec2-user@{踏み台に割当てられたパブリックIP}

ログインできたら、�本番に指定したプライベートIPを使ってさらにsshログインします。

$ ssh �192.168.2.10 # 本番用に指定したプライベートIP
Last login: Sun Dec 17 06:01:04 2017 from 192.168.1.10

       __|  __|_  )
       _|  (     /   Amazon Linux 2 AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-2/

これでログイン完了です！

ssh/configの設定

踏み台を通して1発で本番へログインできるようにするための設定です。
~/.ssh/config に記述します。

Host {踏み台用の好きな名前}
  HostName {踏み台パブリックIP}
  User ec2-user
  IdentityFile {pemファイルのパス}

Host {本番用の好きな名前}
  HostName {本番用プライベートIP}
  User ec2-user
  IdentityFile {pemファイルのパス}
  ProxyCommand ssh {踏み台用の好きな名前} -W %h:%p

上記を指定しておけば、 ssh {本番用の好きな名前} でログインできます。

Rails開発環境をdocker-composeで作ってみる

2017-07-06T00:09:00+09:00

久々に rails new したい欲求が高まったので、今風っぽく docker-compose を使って開発環境をつくります。
docker公式がドキュメントを用意してくれているので、まずはそれで感覚を掴んでみます。

Quickstart: Compose and Rails

OSはMac(Sierra)です。手元にあったdockerも少し古くなっていたので、アップグレードしつつ進めます。

1. Docker環境の準備

Install Docker for Mac からStable版のDockerをダウンロード・インストールします。
元々Docker Toolboxをインストールしていましたが、Docker for Macのインストーラーがよしなに差し替えたり調整してくれました。

詳しくは以下です。
Docker for Mac vs. Docker Toolbox

インストール後のバージョン確認

$ docker version
Client:
 Version:      17.06.0-ce
 API version:  1.30
 Go version:   go1.8.3
 Git commit:   02c1d87
 Built:        Fri Jun 23 21:31:53 2017
 OS/Arch:      darwin/amd64

Server:
 Version:      17.06.0-ce
 API version:  1.30 (minimum version 1.12)
 Go version:   go1.8.3
 Git commit:   02c1d87
 Built:        Fri Jun 23 21:51:55 2017
 OS/Arch:      linux/amd64
 Experimental: true

[bakunyo@wasta 01:04:10] ~
$ docker --version
Docker version 17.06.0-ce, build 02c1d87
[bakunyo@wasta 01:04:14] ~
$ docker-compose --version
docker-compose version 1.14.0, build c7bdf9e
[bakunyo@wasta 01:04:18] ~
$ docker-machine --version
docker-machine version 0.12.0, build 45c69ad

2. プロジェクトの定義

以下の4ファイルを作成します。

Dockerfile

FROM ruby:2.3.3
RUN apt-get update -qq && apt-get install -y build-essential libpq-dev nodejs
RUN mkdir /myapp
WORKDIR /myapp
ADD Gemfile /myapp/Gemfile
ADD Gemfile.lock /myapp/Gemfile.lock
RUN bundle install
ADD . /myapp

Gemfile

source 'https://rubygems.org'
gem 'rails', '5.0.0.1'

Gemfile.lock
空でOK

docker-compose.yml

version: '3'
services:
  db:
    image: postgres
  web:
    build: .
    command: bundle exec rails s -p 3000 -b '0.0.0.0'
    volumes:
      - .:/myapp
    ports:
      - "3000:3000"
    depends_on:
      - db

3. プロジェクトのビルド

ここからいよいよ docker-compose コマンドを使うので、軽く中身を確認しておきます。

docker-compose run
docker-compose up
docker-compose build

docker-compose.yml には複数のサービスが定義されていて、 run は特定のサービス、 up は全サービス(特定も可)に対する命令です。どちらも、コンテナが create & start されます。
また、 run は指定したサービス上で実行するコマンドを渡すことができ、 docker-compose.yml に書いてある command を上書きするみたいですね。

簡単ですが以上を踏まえて、以下のコマンドを実行した後の流れを見ていきます。

$ docker-compose run web rails new . --force --database=postgresql

流れの確認

デフォルトネットワークを生成
run web なのでサービス[web]の起動が始まる
depend_on: db となっている為、サービス[db]を先に起動する
- postgresのimageをpull & dbサービス用のネットワークを生成
build: . なので Dockerfile を�元にコンテナを生成する
- ruby:2.3.3 からimageをpull
- RUN apt-get update -qq && apt-get install -y build-essential libpq-dev nodejs
- 必要なライブラリのインストール
- RUN mkdir /myapp
- WORKDIR /myapp
- ADD Gemfile /myapp/Gemfile
- ADD Gemfile.lock /myapp/Gemfile.lock
- RUN bundle install
- WORKDIRを指定しているので、 /myapp/Gemfile を元にインストールが始まる
- ADD . /myapp
docker-compose run の引数に渡しているコマンドが実行される(override)
- rails new . --force --database=postgresql
- コマンドが上書きされているので、 rails s は実行されない
- --force オプションで、 Gemfile が上書きされる

4. 再ビルド

$ docker-compose build

Gemfileが書き換わったので、imageを再ビルドします。
rails new のとき --skip-bundle しても良さそうですね。

5. DB設定

config/database.yml を以下に書き換え

default: &default
  adapter: postgresql
  encoding: unicode
  host: db
  username: postgres
  password:
  pool: 5

development:
  <<: *default
  database: myapp_development


test:
  <<: *default
  database: myapp_test

host: db で接続できるということですね。�便利！

6. サーバー起動

サービスを起動します。

$ docker-compose up

別のターミナルを開き、以下を実行します。

$ docker-compose run web rake db:create

http://localhost:3000 にアクセスします。

ちゃんと�起動していました！
Docker環境さえあれば、たった数ファイルでここまで構築できるってすごいですね。
大体の流れは掴めたので、これをベースに自分用にカスタマイズしていこうと思います。

Elixir入門

2017-05-27T17:01:00+09:00

2017/06/02 に行われた Elixir入門者LT大会へ参加する際、事前に準備しておいたことのメモ。

Elixirとは？

公式サイト

https://elixir-lang.org/

スケーラブルで持続可能なアプリを作るためにデザインされた動的関数型言語
Erlang VM上で動いている。
- Erlang VMは、レイテンシが低く、配布可能で耐障害性もあり、Webでも組み込みシステムでも利用されている
特徴
- 関数型
- 拡張可能なDSL
その他の特徴
- Ecosystem(mix)
- Interactive Development
- Erlang互換

インストール

Macの場合

brew update
brew install elixir

その他の場合

基本

Elixir Schoolより

iex でREPLを起動
真偽判定: false と nil 以外は真
アトム :foo はRubyのシンボルと同じ
true === :true は真
モジュール名もアトム。宣言されていなくても。 is_atom(MyApp) は真
アトムは、Erlangのビルトインも含めたモジュール参照にも使われる。 :crypto.rand_bytes 3
どんな型同士も比較可能、ソート可能
文字の連結は "Hello, " <> "Elixir"

参考

公式サイト
https://elixir-lang.org/

Elixir School(日本語あり)
https://elixirschool.com

イベントに参加した時のメモ

guest1 @ohrdev おーはらさん

なぜElixir

可用性◯
速度× => C, golangの方が
今持っていない考え方が身につく？
- アクターモデル
- 関数プログラミング、マクロ、プロトコル
- 並行プログラミング、OTP
適当な問題
- 並列処理が効くツール
- クローラー
- chat, mastodon cloneとか？
- ライブラリ制作
- マクロを使う必要がある(メタプログラミング)

guest2 さっちゃん

phoenix new しとけばRailsみたく開発できる。Webはだいたいいける
dockerで環境をつくって、環境差異をなくした
lint: 開発の最初から入れる必要がある
- dogma, credoの2つがある(credoの方が盛ん)
- dialyzer: flowtypeみたく型を指定できる
- 但し、めちゃくちゃ遅い(最初に型情報のDBを生成する)
- test: ExUnit
- 関数合成だけで構築できると信じるとテストが書きやすくなる
awesome-elixer
- ライブラリの選定に有用
- elixir公式MLでも情報とれる
別の言語で学ぶ
- Haskell, Lisp, Scala
プロセスの役割
- タスクを分割する
- 状態を持つ

LT

@color_box

とりあえず HexDoc
erlang ライブラリ多い
REPL環境が良い
iex -S mix でライブラリも参照できる
パターンマッチの重要性
- case
- 関数のシグネチャ -> 関数が小さくなるので、読みやすくなる

@cedretaber

Bibliotheca 蔵書管理アプリ
認証ライブラリを作った

@nunulk

ElixirでSlack botをつくっている

@yasuhiroki

シェル芸との共通点から好きになる

Web Pushを試してみる

2017-03-25T01:08:00+09:00

デモ用

Notification API

ServiceWorker

鎌倉で開発合宿してきた

2017-02-14T21:40:00+09:00

2017年2月10日〜12日の間、鎌倉（由比ヶ浜）で開発合宿をしてきました。
泊まった場所は以下です。

光と水の邸宅

広いしきれいだし、とても使いやすかったので開発合宿にオススメです！

発表資料

感想

事前準備があまりできず、いい感じのアウトプットが出なかったのが心残りです。
だいたい晴れていたのですが突然雪が降ったり、何だか変な天気でした。

OSSコミッターになるネタのために作ったPRは無事マージされてました。笑

由比ヶ浜の海岸。
ここには写っていませんが、2月なのにサーファーが沢山いました。
寒いのに・・・

2日目の昼。
ずっと引きこもっていたので、空を見て気持ち良くなる大人たち

帰りがけ、鶴岡八幡宮に寄っていきました。

Deviseでフレンドリーフォワーディングを実装する

2016-12-30T16:34:00+09:00

前置き

Railsでの認証に Devise を使っている人は多いと思います。
ただ、 Devise はデフォルトではフレンドリーフォワーディングが効いていません。

フレンドリーフォワーディングとは、ユーザーが認証前に開こうとしていたページへ、認証後にリダイレクトさせることです。
参考： Rails チュートリアル

最近機会があったので、DeviseのHow Toを参考に実装しました。
その際にやったことを残しておきます。

なお、各バージョンは以下の通りです。

Ruby 2.3.1
Rails 4.2.7.1
Devise 3.5.1

手順

アクセスされたURLを保存する

認証前にアクセスしようとしたページをセッションに保存します。
current_user が取得できれば認証できているので、その場合は除外しています。
また、 devise_controller の各アクションの場合も除外しています。

# app/controllers/application_controller.rb

before_action :store_current_location, unless: :devise_controller?

private

def store_current_location
  return if current_user
  store_location_for(:user, request.url)
end

store_location_for を呼ぶと、session[:user_return_to] にURLを保存してくれます。
:user の部分は認証のscopeです。大抵の場合は :user でOKかと思います。

実は、フレンドリーフォワーディングの実装としてはこれだけで完了です。
session[:user_return_to] にURLが入っていると、認証後にリダイレクトしてくれるようです。

ただ、セキュリティ対策として以下の場合は追加の対応が必要です。

認証後にセッションをリセットする場合

Rails ガイドのセキュリティのページで、セッション固定攻撃の対応策について紹介されています。
ログイン認証の際に、 reset_session を行なうというものです。
これを行なうと、当然上で保存したURLも消えてしまうので、その値だけ別途引き継ぐ対応を行ないます。

`user_return_to` を引き継ぐ

Devise::SessionsController を継承したControllerで以下の対応をします。

# app/controllers/sessions_controller.rb

before_action :reset_session_before_login, only: :create

private

def reset_session_before_login
  user_return_to = session[:user_return_to]
  reset_session

  session[:user_return_to] = user_return_to if user_return_to
end

これで、認証時の reset_session をしつつフレンドリーフォワーディングをすることが可能になりました。