ステップ 1: クラウド接続の構成

クラウド接続を作成するときには、以下のパラメーターを使用してクラウド接続を作成するという要件が満たされていることを確認してください。

• プライベート・ネットワークを使用して、 IBM® Power® Virtual Server インスタンスと IBM Cloud classicインフラストラクチャの間にクラウド接続をセットアップしていることを確認してください。
• 各リージョンおよびゾーンの Power Virtual Serverは、独自のクラウド接続を持つ必要がある。
• 今後の構成のために、このプライベート・ネットワークの詳細が用意されています。

クラウド接続の作成について詳しくは、クラウド接続の管理を参照してください。

ステップ 2: プロキシーの作成

以下のステップを実行して、プロキシー・セットアップを作成します。 このプロキシーは、仮想プライベート・クラウド (VPC) 環境でセットアップされます。

1. 要件に基づいてプロキシー・インスタンスをデプロイします。 詳しくは、プロキシー・プロトコルの有効化を参照してください。

2. IBM Cloud dashboard > VPC Infrastructure > Networks > Security groups に移動して、VPC の Security groups を開きます。 セキュリティー・グループについて詳しくは、セキュリティー・グループを参照してください。

3. プロキシーに接続されているセキュリティー・グループを選択し、ポート番号 443、8443、80、および 3128 を追加します。 指定するよう求められるIPアドレスが、 Power Virtual Server インスタンスのプライベートネットワークのサブネットCIDRであることを確認してください。 IBM Cloud ダッシュボードでサブネットのCIDRを表示するには、ゾーンに移動してサブネットをクリックし、使用しているサブネットを特定してCIDRをコピーします。

4. プロキシーが作成されたら、プロキシー・インスタンスにログインし、以下のステップを実行してサブネット CIDR を見つけます。

   a. コマンド・ライン・インターフェース (CLI) を開き、ssh root@<public IP of proxy>コマンドを実行します。

   b. route -nコマンドを実行して、サブネットを識別します。 コマンド出力では、プロキシー・インスタンスのサブネットがプライベート・ゲートウェイの後にリストされます。 サブネットの例: 10.240.65.0、10.209.155.192。

   c. CIDR を取得するには、ip routeコマンドを実行します。 CIDR の例: 10.240.65.0/ 24、10.209.155.192/26。

   d. VM からプロキシーへの接続を確立するために、ステップ 3 で説明されているように、必要に応じて CIDR 番号をメモします。

ステップ 3: Power 仮想マシン (PVM) の作成と構成

1. 以下の要件で、Power Virtual インスタンス GUI、CLI、または API を使用して Power Virtual Server インスタンス（PVM インスタンスとも呼ばれる）を作成します。

   a. SSH 鍵

   b. パブリック・ネットワーク

   c. ステップ 1 で作成したプライベート・ネットワーク

2. プロキシー・インスタンス CLI で、以下のコマンドで PVM の外部 IP アドレスを使用して、RHEL または SLES PVM インスタンスへの SSH 接続を開始します。

   ssh root@<external IP address>

   例: ssh root@1.2.3.4

   仮想サーバー・インスタンスをプロビジョンするときには、プライベート・サブネット内のデフォルト・ゲートウェイを使用するようにしてください。

3. PVM インスタンスからステップ 2 で構成したプロキシー・インスタンスへのネットワーク経路を追加します。

   VM のプロビジョニング中に使用されるプライベート・ネットワークが、パブリック・サブネットではなく、デフォルト・ゲートウェイとして設定されていることを確認します。

   • ip routeコマンドを実行し、PVM のプライベート・ゲートウェイを介してプロキシーの CIDR サブネットを追加します。

     • プロキシーの CIDR サブネットは、ステップ 2 の実行後に取得した値です。
     • PVM のプライベート・ゲートウェイは、PVM のサーバーの詳細で表示できます。

     例: ip routeコマンドを実行し、プライベート・ゲートウェイ IP アドレス 5.9.7.1 を介して CIDR サブネット IP アドレス 1.5.3.9/ 24 を追加します。

   VM が再始動されると、これらの IP 経路は削除され、IP 経路を再度追加する必要があります。

ステップ 4: プロキシー・インスタンスの構成

以下の手順でプロキシ設定を行う：

1. ssh root@<public IP of proxy>コマンドを実行して、プロキシー・インスタンスにログインします。

2. プロキシー・インスタンス内に別の IP 経路が作成されていることを確認します。 この IP 経路は、VM 用に作成したプライベート IP ゲートウェイの範囲内にある IP アドレスを許可します。 IP アドレスは、VM をプロキシー・ゲートウェイに接続するために使用されます。

   • ip routeコマンドを実行し、プロキシーのゲートウェイを介してステップ 1 で導出したプライベート・ネットワークの CIDR 番号を追加します。

     • プライベートVMゲートウェイは、 IBM Cloudのウェブサイトで見ることができる。 ステップ 3 で作成した PowerVS VM を選択し、接続されているプライベート・ネットワークに移動します。 CIDR 番号は、最後の変数としてリストされます。
     • route -nコマンドを実行して、プロキシーのゲートウェイを表示します。

3. これで、プロキシーおよび PVM との接続が確立されます。 以下のようにして、プロキシー・インスタンスと PVM インスタンスの両方で接続を ping できます。

   • プロキシー・インスタンスでは、ping <private IP of powervs vm>コマンドを使用して PVM のプライベート IP を ping できます。
   • PVM インスタンスでは、ping <private IP of proxy>コマンドを使用してプロキシーのプライベート IP を ping できます。

4. VM に squid (プロキシー・キャッシング・サーバー) をインストールする必要があります。

5. 以下のステップを実行して、squid をセットアップします。

   a. 以下のコマンドを実行して、squid ベースをインストールします。

   • sudo yum update -y
   • sudo yum install epel-release
   • sudo yum install squid

   これらのコマンドを実行するには、root 権限が必要です。 インストールが完了すると、squid 構成ファイルは/etc/squid/squid.confの場所に保管されます。

   b. 以下の例で提供されている設定を参考にしてください。 構成例で示されている値は、以下を示しています。

   • Acl localnet src 192.168.0.0/16: プロキシーで受け入れられる IBM プライベート・ネットワークの IP 範囲。
   • Acl ibmprivate dst 161.26.0.0/16 および Acl ibmprivate dst 166.8.0.0/14: このプロキシーが RHEL サテライト・サーバーおよび SLES RMT サーバーのこの場所に移動する IBM ネットワークの IP 範囲。
   • Acl SSL_ports port 443 8443: RHEL サテライト・サーバーおよび SLES RMT サーバーとの通信に使用されるポート。
   • http_port 3128: squid を listen しているポート。 これは、 Power Virtual Server VM から squid プロキシーへの通信ポートとして使用されます。

   # Recommended minimum configuration:
   #
   
   # Example rule allowing access from your local networks.
   # Adapt to list your (internal) IP networks from where browsing
   # should be allowed
   acl localnet src 10.0.0.0/8     # RFC1918 possible internal network
   acl localnet src 172.16.0.0/12  # RFC1918 possible internal network
   acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
   acl localnet src fc00::/7       # RFC 4193 local private network range
   acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines
   acl localnet src all
   acl ibmprivate dst 161.26.0.0/16
   acl ibmprivate dst 166.8.0.0/14
   acl FTP_ports port 21 20 1025-65535
   acl SSL_ports port 443 8443
   acl Safe_ports port 80          # http
   acl Safe_ports port 21          # ftp
   acl Safe_ports port 443         # https
   acl Safe_ports port 22
   acl Safe_ports port 8443
   acl Safe_ports port 70          # gopher
   acl Safe_ports port 210         # wais
   acl Safe_ports port 1025-65535  # unregistered ports
   acl Safe_ports port 280         # http-mgmt
   acl Safe_ports port 488         # gss-http
   acl Safe_ports port 591         # filemaker
   acl Safe_ports port 777         # multiling http
   acl CONNECT method CONNECT
   
   #
   # Recommended minimum Access Permission configuration:
   #
   # Deny requests to certain unsafe ports
   http_access deny !Safe_ports
   
   # Deny CONNECT to other than secure SSL ports
   http_access deny CONNECT !SSL_ports
   
   # Only allow cachemgr access from localhost
   http_access allow localhost manager
   http_access deny manager
   
   # We strongly recommend the following be uncommented to protect innocent
   # web applications running on the proxy server who think the only
   # one who can access services on "localhost" is a local user
   #http_access deny to_localhost
   
   # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
   ## Example rule allowing access from your local networks.
   
   # Adapt localnet in the ACL section to list your (internal) IP networks
   # from where browsing should be allowed
   http_access allow localnet
   http_access allow localhost
   
   # And finally deny all other access to this proxy
   # http_access deny all
   
   # Squid normally listens to port 3128
   #http_port 10.220.54.36:3128
   http_port 3128
   
   # Uncomment and adjust the following to add a disk cache directory.
   #cache_dir ufs /var/spool/squid 100 16 256
   
   # Leave coredumps in the first cache dir
   coredump_dir /var/spool/squid
   
   #
   # Add any of your own refresh_pattern entries above these.
   #
   refresh_pattern ^ftp:           1440    20%     10080
   refresh_pattern ^gopher:        1440    0%      1440
   refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
   refresh_pattern .                 0     20%     4320
   

   c. sudo systemctl start squid コマンドを使用して、squid 構成ファイルを保存し、squid を開始します。

   d. sudo systemctl stop squid コマンドを使用して squid を停止できます。

   e. sudo systemctl restart squid コマンドを使用して squid を再始動できます。

ステップ 5: cloud-init スクリプト (RHEL および SLES) を使用した VM のカスタマイズ

cloud-init スクリプトを実行して、RHEL および SLES の VM をカスタマイズできます。

1. ssh root@<External IP”>コマンドを使用して、RHEL または SLES VM にログインします。

2. /usr/share/powervs-fls/powervs-fls-readme.mdの場所に README ファイルが生成されます。 cloud-init スクリプトを実行するために必要な変数に関する関連情報については、README ファイルを参照してください。

3. /usr/local/bin/ロケーションにある cloud-init スクリプトを実行します。 _ルート_としてスクリプトを実行します。 sudo su rootコマンドを使用して、ユーザーを_ルート_に切り替えることができます。

   a. RHEL の場合は、以下のコマンドを実行します。

   . /usr/local/bin/rhel-cloud-init.sh -a Activation_Key -u Capsule_server_url -p Proxy_IP_and_port -o Org -t Deployment type

   cloud-init スクリプトのオプションと値については、ステップ 2 (/usr/share/powervs-fls/powervs-fls-readme.md ロケーション) で生成される README ファイルを参照してください。

   -a = アクティベーション・キー

   -u = 登録しようとしている RHEL カプセルサーバーの URL

   -p = "private_ip_of_powervs_vm":3128

   -o = アクティベーション・キーに関連付けられた編成

   -t = この VM のデプロイメント・タイプ (RHEL、RHEL-SAP、RHEL-SAP-NETWEAVER)

   b. SLES の場合は、以下のコマンドを実行します。

   . /usr/local/bin/sles-cloud-init.sh -s RMT_Server_address -p private_ip_of_proxy_vm:3128

   -s = 登録に使用している SLES Repository Mirroring Tool (RMT) サーバーの URL

   -p = "private_ip_of_powervs_vm":3128

   システムがすでに登録されている場合は、次の2つのコマンドを実行して、再登録する前にシステムの登録を解除する必要があります： SUSEConnect --de-register

   SUSEConnect –cleanup

   登録が失敗し、ログに以下の注記が表示された場合:

   Could not register with SLES RMT servers, Please verify connection to the proxy server. If proxy is verified, it may be an issue with SLES RMT servers undergoing maintenance. If so, please try executing the command again within a few minutes

   その場合は、ネットワークの問題かもしれませんので、後でもう一度登録を試みてください。