Search <book_title>...

Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

非武装地帯にある NetBackup クライアントとマスターサーバーの間の HTTP トンネルを介した通信について

NetBackup の配備設定では、特定の Web ポートのみを介して通信が行われる非武装地帯 (DMZ) にクライアントコンピュータを置くことができます。

すべての NetBackup クライアントは、セキュリティ証明書を配備し、ピアを認証して接続を保護するために、マスターサーバーの Web 管理サービスと通信できる必要があります。たとえば、NetBackup クライアントは、マスターサーバーに証明書を配備するために要求を送信します。これは、NetBackup の安全な通信のために不可欠です。DMZ 設定では、クライアントは Web サービス要求をマスターサーバーに直接送信できない場合があります。この場合、NetBackup クライアントは HTTP CONNECT プロキシ方式によって、メディアサーバー上の HTTP トンネルに接続要求と Web サービス要求を送信します。HTTP トンネルは接続要求を受け入れ、Web サービス要求をマスターサーバーに転送します。

HTTP トンネリング機能により、DMZ の NetBackup クライアントが Web サービス要求をマスターサーバーに送信できます。NetBackup メディアサーバーは、Web サービス要求を NetBackup クライアントからマスターサーバーに転送する HTTP トンネルを形成します。また、Web サービス通信では SSL (Secure Socket Layer) が使用されます。

メモ:

メディアサーバーのポート番号 1556 は、Web サービス要求を送信するために NetBackup クライアントからアクセスできる必要があります。

図: DMZ 設定での NetBackup クライアントとマスターサーバーの通信

単一ドメインまたはマルチドメイン環境で、DMZ の NetBackup クライアントがマスターサーバーへの Web サービス接続要求の送信を試みるときは、次の特定の順序に従います。

表: 接続要求を送信するための順序

順序	説明
1. NetBackup クライアントが、マスターサーバーへの接続要求の直接送信を試みます。	DMZ では、Web サービス接続要求が成功しない可能性があります。
2. 直接接続に失敗すると、クライアントは HTTP トンネリングを使用して Web サービス接続要求をマスターサーバーに送信するようにメディアサーバーが指定されているかどうかを確認します。	NetBackup クライアントが Web サービス接続の送信に使用できる優先メディアサーバーを定義できます。 Windows クライアントのレジストリまたは UNIX クライアントの `bp.conf` ファイルに WEB_SERVER_TUNNEL オプションを追加します。詳しくは、『NetBackup 管理者ガイド Vol. 1』で NetBackup クライアントの WEB_SERVER_TUNNEL オプションに関するセクションを参照してください。 http://www.veritas.com/docs/DOC5332
3. メディアサーバーが指定されていない場合、クライアントは NetBackup 構成で利用可能なメディアサーバーのリストを参照し、それらを使用して Web サービス接続要求を送信します。	NetBackup クライアントは、以前に成功した接続に基づいて自動的に更新されるメディアサーバーのリストを含む、内部キャッシュファイル (`websvctunnels.cache`) を保持します。このキャッシュファイルは、Windows と UNIX の両方で `bp.conf` ファイルと同じ場所にあります。

順序

説明

1. NetBackup クライアントが、マスターサーバーへの接続要求の直接送信を試みます。

DMZ では、Web サービス接続要求が成功しない可能性があります。

2. 直接接続に失敗すると、クライアントは HTTP トンネリングを使用して Web サービス接続要求をマスターサーバーに送信するようにメディアサーバーが指定されているかどうかを確認します。

NetBackup クライアントが Web サービス接続の送信に使用できる優先メディアサーバーを定義できます。

Windows クライアントのレジストリまたは UNIX クライアントの bp.conf ファイルに WEB_SERVER_TUNNEL オプションを追加します。

詳しくは、『NetBackup 管理者ガイド Vol. 1』で NetBackup クライアントの WEB_SERVER_TUNNEL オプションに関するセクションを参照してください。

http://www.veritas.com/docs/DOC5332

3. メディアサーバーが指定されていない場合、クライアントは NetBackup 構成で利用可能なメディアサーバーのリストを参照し、それらを使用して Web サービス接続要求を送信します。

NetBackup クライアントは、以前に成功した接続に基づいて自動的に更新されるメディアサーバーのリストを含む、内部キャッシュファイル (websvctunnels.cache) を保持します。このキャッシュファイルは、Windows と UNIX の両方で bp.conf ファイルと同じ場所にあります。

追加情報

HTTP トンネル機能の構成のために、次の追加オプションを使用できます。
- WEB_SERVER_TUNNEL_USE: このオプションを NetBackup クライアントで使用することで、HTTP トンネルを使用してデフォルトの通信の動作を構成できます。
- WEB_SERVER_TUNNEL_ENABLE: デフォルトでは、HTTP トンネルはメディアサーバーで有効になっています。このオプションをメディアサーバーで使用して、HTTP トンネル機能を無効にすることができます。
詳しくは、『NetBackup 管理者ガイド Vol. 1』を参照してください。
http://www.veritas.com/docs/DOC5332
NetBackup クライアント構成にドメイン内のメディアサーバーに関する情報が含まれていない場合は、マスターサーバーで nbsetconfig コマンドを実行します。Windows クライアント上のレジストリまたは UNIX クライアント上の bp.conf ファイルには、クライアントが接続要求および Web サービス要求を送信するために選択したマスターサーバーおよびメディアサーバーが含まれています。
DMZ の NetBackup クライアントで nbcertcmd -getCertificate コマンドを使用すると、次のいずれかのエラーが表示される場合があります。
- 終了状態 5955: ホスト名がマスターサーバーに認識されていません。(EXIT STATUS 5955: The host name is not known to the master server.)
- 終了状態 5954: ホスト名を要求元ホストの IP アドレスに解決することができませんでした。(EXIT STATUS 5954: The host name could not be resolved to the requesting host's IP address.)
マスターサーバーは、HTTP トンネルの IP アドレスと証明書を要求するホストの ID を照合できないため、トークンを使用してセキュリティ証明書を配備します。
HTTP トンネルを使用して証明書要求をマスターサーバーに送信する場合、NetBackup 監査レポートはメディアサーバーをユーザーとしてリストします。