iptables で守り、tc netem で揺らす

通らない原因を1つに決めつけない

この章でできるようになることは、ping が通らないときに「ネットワーク全体の障害」と即断せず、どの種類の失敗かを分けて説明できることです。Ch4 で learner01 から webserver01 172.16.20.10 へ届く道を確認しました。この章では、その同じ道を題材にします。

受講者が操作するのは learner01 だけです。tc netem で遅延とロスを入れ、iptables で ICMP だけを落とします。どちらも sudo が必要ですが、変更対象は自分の演習VMの一時設定です。

操作が通信にどう効くかをライブビューで見る

VLAN10 (172.16.10.0/24)
  learner01 / 受講者VM
        |
        | tc netem: delay 100ms / loss 5%
        | iptables OUTPUT: ICMP だけ DROP
        |
  l3router01 172.16.10.1 / 172.16.20.1
        |
VLAN20 (172.16.20.0/24)
  webserver01 172.16.20.10  ← ping / curl の相手

この章を終えるとできること

守る、揺らす、戻す、切り分けるの 4 動作を身につけます。

iptables と tc netem の考え方

1. 守る＝iptables：パケットに対する関所

iptables は、Linux のファイアウォールを操作する代表的なコマンドです。この章では filter テーブルだけ扱います。NAT やポート転送は Part 4 以降に回します。

最初は sudo iptables -L -n -v や sudo iptables -S OUTPUT で読みます。Part 1 Chapter 4 の grep と組み合わせれば、DROP だけを探すこともできます。

2. 揺らす＝tc netem：送信キューに遅延やロスを入れる

tc は Linux の traffic control を扱うコマンドです。netem は network emulator の略で、NIC の qdisc（キューイング規律）に delay や loss を足せます。

3. なぜ実機でやるのか

この演習の delay と loss は、画面上の表示だけを変える疑似値ではありません。learner01 の NIC から出るパケットの送信タイミングや欠落が実際に変わり、Proxmox と物理スイッチを通った後の ping / curl の体感に出ます。

重要: ping が失敗しても、原因は1つではありません。道がない、ICMP だけ捨てている、遅延やロスが大きい、相手の HTTP だけ落ちている、などに分かれます。この章では「ping 不通＝サーバ障害」と決めつけない練習をします。

演習：8手で遅延・ロス・ICMP block を入れて戻す

hostname
ip a
IF=ens18
ip -br addr show dev $IF
# 例: ens18 UP 172.16.10.20/24

tc qdisc show dev $IF > ~/netem-before.txt
ping -c5 172.16.20.10 > ~/ping-before.txt
cat ~/netem-before.txt
tail -n 2 ~/ping-before.txt

sudo tc qdisc add dev $IF root netem delay 100ms
tc qdisc show dev $IF
ping -c5 172.16.20.10
# → time= が通常よりおおむね 100ms 分大きくなります

sudo tc qdisc change dev $IF root netem delay 100ms loss 5%
tc qdisc show dev $IF
ping -c5 172.16.20.10
curl http://172.16.20.10/
# → ping は一部 drop、curl は TCP 再送で遅く感じることがあります

sudo tc qdisc del dev $IF root
tc qdisc show dev $IF > ~/netem-after.txt
ping -c5 172.16.20.10 > ~/ping-after.txt
cat ~/netem-after.txt
tail -n 2 ~/ping-after.txt

sudo iptables -A OUTPUT -p icmp -d 172.16.20.10 -j DROP
sudo iptables -S OUTPUT
ping -c5 172.16.20.10
curl http://172.16.20.10/
# → ping は失敗、curl は HTTP で成功します

sudo iptables -D OUTPUT -p icmp -d 172.16.20.10 -j DROP
sudo iptables -S OUTPUT
ping -c5 172.16.20.10
# → 64 bytes from 172.16.20.10 ... に戻ります

cat ~/netem-before.txt
cat ~/netem-after.txt
diff -u ~/netem-before.txt ~/netem-after.txt || true
tail -n 2 ~/ping-before.txt
tail -n 2 ~/ping-after.txt

つまずきポイントと全部戻す手順

ip -br addr
IF=ens18
ip -br addr show dev $IF

sudo iptables -S OUTPUT
sudo iptables -D OUTPUT -p icmp -d 172.16.20.10 -j DROP

sudo tc qdisc del dev $IF root 2>/dev/null || true
sudo iptables -D OUTPUT -p icmp -d 172.16.20.10 -j DROP 2>/dev/null || true
tc qdisc show dev $IF
sudo iptables -S OUTPUT
ping -c3 172.16.20.10
curl -I http://172.16.20.10/

AI に相談

修了確認

この章で見た遅延、ロス、ICMP block を 2 問だけ確認します。

💡 修了確認の段階ヒント（問 1・問 2 共通）

次は修了演習へ

この章では、Ch4 で届くようになった webserver01 への通信を、あえて遅らせたり、ロスさせたり、ICMP だけ止めたりしました。次の Chapter 6 では、Part 2 の各章を 1 本につなぎ、⑨ tc と ⑩ iptables も含めて curl のゴールまで進みます。