SUSE Linux Enterprise Server で Cockpit Web Console が接続されない問題を修正する

Cockpit Web Console が SUSE Linux Enterprise Server (SLES) ホストに接続できない場合は、まず を試行しhttps://SERVER_IP:9090、次に がcockpit.socketリッスンしていること、およびファイアウォールがサーバーのネットワーク インターフェイスで使用されているゾーンで Cockpit サービスを許可していることを確認してください。標準的なインストールでは、これらのチェックにより、URL またはポートの誤り、非アクティブなソケット、Cockpit パッケージの不足、または受信接続のブロックといった最も一般的な原因が解決されます。

このガイドは、systemd を使用し、構成済みの製品リポジトリから Cockpit が利用可能な SLES システムに適用されます。SUSE の最新の SLES 16 Cockpit ガイドには、以下のパターンインストールおよびソケットアクティベーションコマンドが記載されています。パッケージの可用性と名前は、SLES サービス パック、モジュール、およびサポート権限によって異なる場合があるため、古い SLES 15 ホストでは、インストール エラーをサービス障害として扱う前に、有効になっている SUSE リポジトリから Cockpit が提供されていることを確認してください。

症状から始めましょう

ブラウザのエラーメッセージを使用して原因を絞り込んでください。タイムアウトや「サイトにアクセスできません」というメッセージは、通常、ルーティング、ファイアウォールルール、またはアクティブでないリスナーが原因です。接続拒否は、多くの場合、選択したアドレスとポートで接続を受け付けているものがないことを意味します。Cockpitのサインインページが表示された場合は、Webサービスにアクセスできる状態です。その後の認証エラーは、別のアカウントまたはポリシーの問題です。証明書の警告は、HTTPSネゴシエーションがサーバーに到達したものの、ブラウザが証明書またはその名前を信頼していないことを意味します。

例えば、管理者がアドレスが のサーバーを開けないとします192.0.2.25。https://192.0.2.25:9090そのサーバーを管理できるはずのマシンからテストしてください。Cockpit は通常、ポート 9090 で HTTPS を使用します。IP アドレスだけを入力すると別のサービスが開く可能性があり、 を使用すると、http://期待されるログイン画面ではなくリダイレ​​クトやブラウザの警告が表示される可能性があります。

1. URLとアクセス可能性を確認する

SLESコンソールまたは信頼できるインベントリからサーバーの現在のアドレスを確認し、ポート番号を明示的に含めてください。

https://192.0.2.25:9090

クライアント側から、TCPポート9090に到達可能かどうかをテストします。netcatがインストールされているLinux管理ワークステーションで、以下を実行します。

nc -vz 192.0.2.25 9090

TCP接続が成功したとしても、それはポートに到達可能であることを示しているだけであり、ログインが機能することを示しているわけではありません。タイムアウトが発生した場合は、サーバーのアクティブなファイアウォールゾーン、上流のネットワークファイアウォール、ルーティング、およびVPNアクセスを確認してください。接続が拒否された場合は、SLESホスト上のリスナーを確認してください。netcatが利用できない場合は、ブラウザからテストするか、承認済みの別のTCP接続ツールを使用してください。承認されていないユーティリティを本番ホストにインストールしないでください。

2. Cockpitがインストールされ、ソケットが有効になっていることを確認します。

SSH またはローカルコンソール経由で接続し、ソケットを調べます。Cockpit は通常 systemd ソケットアクティベーションを使用します。systemd は Cockpit に代わって着信接続を待ち受け、必要に応じて Web サービスを開始します。そのため、調査すべきキーユニットは通常cockpit.socket、継続的に実行されているものではなく、ですcockpit.service。

sudo systemctl status cockpit.socket
sudo ss -ltnp | grep ':9090'

アクティブ/リスニング状態のソケットと、ポート9090にバインドされたリスナーを探してください。ユニットが見つからない場合、Cockpitがインストールされていない可能性があります。有効なリポジトリがCockpitパターンを提供するSLESリリースでは、SUSEは次のようにインストールすることを推奨しています。

sudo zypper refresh
sudo zypper in -t pattern cockpit

Zypperがパターンが見つからないと報告した場合は、SUSE管理者に製品、サービスパック、有効なモジュール、リポジトリの状態、およびサポート権限を確認してください。コマンドを成功させるためだけに、無関係なサードパーティのリポジトリを追加しないでください。Cockpitがインストールされていることを確認したら、ソケットを有効にして起動します。

sudo systemctl enable --now cockpit.socket
sudo systemctl status cockpit.socket

この--nowオプションはソケットを即座に起動し、今後の起動時にも有効にします。systemdがユニットの失敗を報告した場合は、繰り返し再起動する前に正確なエラーを確認してください。

sudo journalctl -u cockpit.socket -b --no-pager
sudo journalctl -u cockpit.service -b --no-pager

3. コックピットがアクティブなファイアウォールゾーンを通過することを許可する

ホストファイアウォールが接続を切断した場合、アクティブなリスナーに到達できなくなる可能性があります。SLES は、現在のリリースではファイアウォール管理に firewalld を使用しています。まず、アクティブなゾーンとそれに割り当てられているインターフェイスを特定します。

sudo firewall-cmd --get-active-zones

次に、管理インターフェイスを含むゾーンに、名前付きCockpitサービスを追加します。publicホストで報告されている実際のゾーンに置き換えてください。

sudo firewall-cmd --zone=public --add-service=cockpit --permanent
sudo firewall-cmd --reload
sudo firewall-cmd --zone=public --query-service=cockpit

最終コマンドは を報告するはずですyes。ネットワークインターフェイスが別のゾーンにある場合、 でサービスを開いてもpublicそのインターフェイスのルールは修正されません。SUSE の Cockpit ドキュメントではcockpitfirewalld サービスを使用しています。すべてのトラフィックを開放したりファイアウォールを無効にしたりするよりも、指定されたサービスを開く方が望ましいです。ホストルールが正しいのにクライアントがタイムアウトする場合は、クラウドセキュリティグループ、境界ファイアウォール、VPN ポリシー、ネットワーク ACL も確認してください。

SLESイメージで異なるファイアウォール管理設定を使用している場合は、firewalldコマンドを無条件に適用するのではなく、そのシステムのポリシーに従ってください。リモート管理されている本番サーバーでファイアウォールルールをフラッシュしたり、ファイアウォールを無効にしたりしないでください。サービスが危険にさらされたり、現在の管理パスが中断されたりする可能性があります。

4. 接続障害と証明書またはログインの問題を区別する

ログインページが読み込まれると、Cockpitへのネットワークパスが正常に機能しています。Cockpitは通常、ブラウザ接続がHTTPSを使用することを想定しており、TLS証明書を提示します。自己署名証明書または名前の不一致に関する警告が表示されても、ソケットがダウンしているわけではありません。ラボホストの場合は、警告を受け入れる前に、信頼できるチャネルを通じてフィンガープリントを確認してください。管理対象システムの場合は、サブジェクト名が管理者が使用するホスト名と一致し、かつ証明書チェーンがブラウザで信頼されている証明書をインストールしてください。

ログインページが表示されるものの認証情報が拒否された場合は、ユーザー名、パスワード、アカウントの状態、およびサーバーの認証ポリシーを確認してください。Cockpit は通常、システムアカウントに対して認証を行います。Cockpit は独立したユーザーデータベースではありません。トラブルシューティング中は、コマンドやログにパスワードを入力しないでください。ページは読み込まれるものの、インターフェースが空白のままになる場合、またはログイン後に接続が切断される場合は、ブラウザの開発者コンソールと最近の Cockpit ログを確認してください。リバースプロキシが WebSocket 接続をサポートしていない場合、または誤ったプロトコルやホスト情報を転送している場合にも、障害が発生する可能性があります。

5. 基本事項を確認したら、ログとプロキシ設定を確認する

新規接続試行中に短いログウィンドウをキャプチャします。

sudo journalctl -u cockpit.socket -u cockpit.service --since "10 minutes ago" --no-pager

バインドエラー、権限エラー、証明書エラー、およびテスト時刻と一致するメッセージを探してください。サーバーがローカルでリッスンしているにもかかわらずリモートクライアントが接続できない場合は、Cockpitの設定を変更する前に、ネットワークパスとfirewalldゾーンを調査してください。直接アクセスは機能するもののプロキシ経由のアクセスが失敗する場合は、一時的に許可された直接ルートで比較し、プロキシのWebSocketアップグレードサポートと転送ヘッダーを確認してください。最初のステップとしてCockpitのオリジンまたはTLS設定を変更することは避けてください。プロキシの信頼設定が間違っていると、セキュリティが弱まる可能性があります。

修理内容を確認してください

変更を一つずつ加えた後、以下の結果を確認してください。

• systemctl status cockpit.socketソケットがアクティブで、リスニング状態であることを示します。
• SLESホストは、通常TCP 9090番ポートでリスナーを起動しています。
• ファイアウォールルールは、管理インターフェースに割り当てられたゾーンに存在します。
• クライアントはサーバーにアクセスできhttps://SERVER_IP:9090、Cockpitのサインインページが表示されます。
• 認証後、ページは接続されたままになり、最近のログには該当する起動エラーや接続エラーは記録されていません。

ソケットがアクティブでローカルチェックが成功しているにもかかわらず、リモートTCPテストがタイムアウトする場合は、残りの障害はCockpit自体の外部、例えば上流のファイアウォール、ネットワークルート、DNSレコード、またはVPNルールにある可能性が高いです。サポート対象のSLESシステムでサービスが失敗した場合は、ユニットの状態とジャーナル出力を保存し、別のディストリビューション向けの修正プログラムを適用するのではなく、SUSEのドキュメントまたはサポートチャネルで正確なサービスパック構成を確認してください。

公式資料

• SUSE: Cockpit を使用した SUSE Linux Enterprise Server の管理
• コックピットプロジェクト：起動とsystemdソケットの有効化
• コックピットプロジェクト：TCPポートとアドレス
• コックピットプロジェクト：HTTPSと証明書
• コックピットプロジェクト：トラブルシューティングに関するよくある質問
• SUSE: SLES 15 SP5 ファイアウォールの設定と firewalld ゾーン