y2blog

ホスティング環境を ConoHa VPS から WebARENA Indigo VPS へ変更した

このサイトはここ数年間ConoHa VPSで運用してきたが、サービス利用期間（まとめとくサービス）が8月上旬で切れることから、別なVPSサービスへ移行することにした．

ConoHa VPSサービスが始まった頃はWebベースの管理コンソールのレスポンスもそれ程遅くはなく、GUIによる管理機能も豊富で、値段の割にはかなり先進的なVPS環境だと言えるだろう．

ConoHa VPSのインフラ基盤がV3に変わってからは、管理コンソールのレスポンスが極端に悪化してしまい、管理コンソール上で何か操作をする度に、反応が帰ってくるまで何秒も待たされるようになってしまった．

VPSの管理機能が豊富なことについては他の国産VPSと比較してダントツに優秀なのだが、管理コンソールのレスポンスの遅さにこれ以上耐えきれなくなったというのが本当の所だ．

管理コンソールのレスポンスについては多少改善されてはいるようだが、抜本的な改善を行うというような姿勢は全く感じられない．少なくともConoHa VPSサービスではユーザのエクスペリエンス向上に取り組む（コストを掛ける）という視点はないのだろう．

管理コンソールの問題以外にも、VPS仮想環境の性能が以前よりも低下しつつあると感じられる．きちんとした定量的な測定を行ったわけではないが、仮想基盤がV3に切り替わった当初に作ったVPSインスタンスと最近新しく作成したVPSインスタンスとでは、明らかに基本性能に違いが見られる．

見かけ上のVPSの基本スペックは同じなのだが、最近作成したVPSインスタンスの方が性能が劣っている傾向が見られる．恐らく仮想基盤の物理的なスペックや性能をコストダウンのために下げている、あるいはキャパシティーに見合ったインフラの増強が行われていないのではないかと思われる．（単なる推測）

このサイトは単純なLAMP環境で構築されているので、他のVPSへの移行は簡単（HTMLコンテンツとSQLデータのコピーだけで済んでしまう）なので、さくらインターネットやエックスサーバーなど何処へでも移設することは簡単だ．

今回、移行先としてNTTPCが運用しているWebARENA Indigoを選んだ一番の理由は、コストパフォーマンスが良さそうだったからだ．国産のVPSの料金はドングリの背くらべで、サーバのスペックや性能も大体似通っているが、WebARENA Indigoは月額上限が設定された時間課金で利用できるので、テスト的に利用してみるには打って付けの環境だった．（ConoHa VPSの場合、まとめとくサービスを使って予め利用期間を定めた上で料金前払いを行わないともの凄く割高なサービスとなってしまう）

今回ConoHa VPSから移行するに当たって管理・運用機能で一番問題となったのが、仮想基盤側でのファイアウォール機能の違いだった．ConoHa VPSでは仮想基盤側のファイアウォールはIPv4/IPv6に対応しているが、IndigoのファイアウォールはIPv4だけにしか対応していなかったことだ．

インターネットトラフィックのうち、IPv6の割合が50%を超えている（　『ついに国内のIPv6利用率が50％超え、IPv4のままでは何がまずい？』日経XTECH　）状況で、日本の大部分のVPSプロバイダが未だにIPv6に対応できていないという情けない状況が続いている．

WebARENA Indigoでは、提供されるVPSのインスタンスはIPv4/IPv6のデュアルスタック環境となっている（初期状態ではIPv4だけが有効な状態）が、仮想基盤側のファイアウォールではIPv4の設定しかできないという残念な仕様だ．

多くの場合、本番用の環境と開発・テスト用の環境とでは外部との通信環境の設定や条件を変える必要があるが、仮想基盤側のファイアウォールが使えない場合は、全ての通信環境の設定や条件をVPSのOS側のファイアウォール環境（iptablesやnftablesなど）で細かく設定しなければならない．

OS側のファイアウォール環境を設定した経験があればお分かりだろうが、これは大変面倒な作業で、設定ミスが発生し易いので、とても神経を使う面倒な作業だ．OS側のファイアウォール環境は一度設定すれば後は殆ど弄りたくないというのが本音だろう．

私の場合は、仮想基盤側のファイアウォールのルールセットとして本番用のルールセットと開発・テスト用のルールセットを複数用意して、仮想基盤側で簡単に設定を切り替えるという運用をしている．開発・テスト用のルールセットでは、自宅や限られた環境からのアクセスしか出来ないようにしてある．

Indigoでの仮想基盤側のファイアウォール機能はあまりにも貧弱で、各ルールの優先順位なども自由に変更できないので殆ど使い物にならないが、HTTP/HTTPSだけを一般公開し、SSH等の接続は特定のIPアドレスだけに許可するというような簡単の内容であれば容易に設定可能なので、それなりに使い道はありそうだ．

Indigoでは仮想基盤側のファイアウォールはIPv4のみなので、OS側でIPv6を有効にした場合、IPv6用のファイアウォールをOS側で実装しなければならない．今回は、IPv6用のファイアウォールとして nftables を利用してみることにした．nftablesは以前のiptablesよりは大分ましになったが、これを使いこなすにはかなりの慣れと修練が必要であることは確かだ．

今回は、nftablesの設定については触れないが、nftablesに関する知見が得られたらnftablesの設定例を紹介する予定だ．