Macintoshの共用フォルダと言えばNetatalk

サーバーでnetatalk を確認する。

Netatalkをインストール

以上でサーバー側(debian GNU/Linux -6.0.2.1 Squeeze)のインストールは終了。

Macintoshから接続する

... Mac mini G4 MacOS X 10.4.11

debian GNU/Linux -6.0.2.1 Squeeze
MacOS X 10.4.11、10.6.8

Windowsの共用フォルダと言えばSamba

# aptitude install samba
以下の新規パッケージがインストールされます:
libavahi-client3{a} libavahi-common-data{a} libavahi-common3{a}
libcups2{a} libtalloc2{a} libwbclient0{a} samba samba-common{a}
samba-common-bin{a}
更新: 0 個、新規インストール: 9 個、削除: 0 個、保留: 43 個。
14.4 MB のアーカイブを取得する必要があります。展開後に 41.3 MB のディスク領域が新たに消費されます。
先に進みますか? [Y/n/?]

いつもながら、簡単この上なく...Debianの皆さんに感謝。

百聞に勝る一見の映像宣伝

パチンコのCM満載になってその「権威」が落ち続けているテレビCMだが、一方インターネットでは、新たな動画CMが流され始めている。   

テレビを超えた Youtubeの1分 CM

最近増え始めているのが、Youtubeなどの動画サイトに企業宣伝の動画を流す動きである。

会社の設備や製造工程が流れ、社長がアップで「我が社の誇りは◯◯です」などと訴える映像は、今まではテレビCMでしか流すことはできなかった。

だがインターネットを利用すれば、こんなことは簡単に実現できるのである。
Youtubeを初めとする動画サイトに動画を掲載するだけでいいのだ。

「御社はどう行ったらいいですか」と会社の場所を聞かれ、
「Google Mapで会社名を検索してください。赤い風船がでますから」と応えるのは、もはや当たり前のようになっている。
昨今は、Google Mapに登録もできないようでは、21世紀の企業としてはいかがなものかということなのだろうか。

同様に、「どんな製品があるんですか」と聞かれ、
「Youtubeで社名を検索してください」と応える時代になって来ているのかもしれない。

ガンブラー(Gumblar)を門前払いする

ガンブラー(Gumblar)でFTPのパスワードを盗まれ、サイトに不正アクセスされて書き換えられる被害が目立っている。
Gumblarが関わる手口は、おおよそのところ

• パソコンにTROJ_DROPR.GBが、潜り込む。
• TROJ_DROPR.GBは、TSPY_KATES.SMOD(カテス)というプログラムを作り、レジストリを書き換えたあと消滅する。
• TSPY_KATES.SMODは、ネットワークのトラフィックを盗み見て、webサイトの管理パスワードを 193.104.12.20、210.51.166.228、67.212.81.67、91.215.156.74などに送信する。
• 盗んだパスワードでサイトにアクセスし、webページを改ざんしてウイルス(Gumblarというプログラム)を仕掛ける。
• 改ざんしたwebページを表示するとウイルスに感染する。

といったものだ。

大手企業などのサイトの書き換え被害が明らかになっているが、パスワードを盗まれてもFTPでサーバーにアクセスできなければ、webページを書き換えられることはない。

TCP Wrapperの設定

TCP Wrapperの設定で FTPのアクセスを制限し、サイトの意図しない書き換えを防ぐことができる。

TCP Wrapperは、inetdで起動されるサービスに対するアクセスをportごとに制御したり、通信履歴をとることができるソフトウェアで DebianではDefaultでinstallされている。
inetdで起動されるサービスはinetd.confに記載されており、 hosts.deny、hosts.allowファイルにこれらのサービスのアクセスを許すドメインやホストを指定することで、危険なホストからのアクセスを遮断することができるようになる。

基本的な設定は、hosts.denyですべてのサイトのアクセスを不許可にし、hosts.allowで指定したホストだけアクセス可能にするというやり方だ。

hosts.denyの設定

hosts.allow の設定

ftpの接続許可を指定するなら次のようになる。
telnetを、ネットワーク内だけでは許す設定もできるが、不要なサービスは少ない方が危険が少なくなる。メールサーバーのテストで使うこともあるが、Debianのパッケージの導入は aptitude install telnetd-sslでできるのだから、普段は消しておいたほうが確実だろう。

これらの設定はサーバーインストール時に接続するユーザのipアドレス、ドメインに合わせて行なう。ユーザのISPの変更があればそれに合わせて hosts.allowの記述を変える。細かい設定をすると運用が大変になるので、ドメインなど包括するような範囲で制限するのがいい。

上記の場合、sample.or.jp、sample.com以外からftpの接続できない。
たとえ正規のユーザ名とパスワードを使っても、sample.or.jp、sample.com以外からは、サーバーにアクセスできなくなるということである。

設定の確認は、tcpdmatch 、tcpdchkで行う。
sshdは inetd.confに記載されていないので TCP Wrapperの対象外になる。

この設定では、サーバーにアクセスしたとき接続を拒否されるが、ルーターでフィルタリングすれば、ネットワークに入る前に弾くことができる。

Gumblarの変異にも対策

サイトの書き換えはこの方法で対策できるが、FTPのパスワードを盗まれることを阻止できるわけではない。

今のところ Gumblar関係はサイトの書き換えでマルウェアを読み込ませる手口だが、パスワードを売り渡したり、セキュリティの甘いサーバーから重要なデータを盗み出して売ったりするケースも考えられる。
sslで送信される銀行やカードなどの情報を盗み、クラッキング辞書などで解析し、そのユーザに成りすます犯罪もありうる。

FTPのアクセスログ、syslogなどを定期的にチェックし、あやしいアクセスに注意する必要がある。

php scriptで送信していたメールが突然文字化けした。
最初に動かしたのは 6年ほど前で、以後メール送信部分に変更はなかった。scriptが動いているsystemは、昔は debian woody、debian sarge、debian etch、そして今は debian lennyだ。
メールが化けたクライアントの環境は、Windows XP、Outlook express 2006である。

文字化けは1台だけ?

文字化けとなるメールを開いた時のクライアントのメーラーのエンコードは「西ヨーロッパ言語(Windows)」になっていた。 「日本語自動選択」にエンコードを指定すると文字化けは解消される。
[ツール] -> [オプション] -> [読み取り] -> [フォント] のエンコードは「日本語自動選択」が指定されていた。

文字化けしているクライアントと同じ環境を用意し、文字化けメールを受信して開くと日本語で正常に表示された。エンコードは「日本語自動選択」となっている。
他のメーラーで同じメールを開けてみたが、すべて文字化けせずに表示された。

いろいろ試したが、以下をヘッダに記述することで解決した。
ダブルクォーテーションでくくるのがキモ。
さまざまな文字コードのページが動いているサーバーのため、phpなどの初期設定はセキュリティ関係を除いて defaultのまま。文字コードの指定は個別のページ側で行っている。

EUC-JPで記述している scriptのとき

UTF-8で記述している scriptのとき
関数SEND_mail()は自作のメール送信script。
    function SEND_mail($to,$subject,$headers,$message)
SMTPを載せていないサーバーでメールを送信するための fsockopenを使ったもの。

virtual userを記載したファイルを作り、main.cfで、 virtual_alias_maps = hash:/etc/postfix/virtualのようにファイルを指定する。

実ユーザ名を書いて、実ユーザ本人と別アドレスの転送もできる。.forwardをユーザごとに書くより virtual_alias_mapsに一括して書いた方が管理が楽になる。

ファイルを更新したら、Postfix 2.xでは、vmailbox、vuid、transportなどの指定を行わなくても、virtualが使えるようになった。

Submission OB port25

master.cfの 587に関する記述を確認する。

main.cfに記述を追加する。 warn_if_rejectをつけてもよい。

設定を変えたら、

端末 -> サーバー -> 中 & 外 587を使って送信テスト

接続、非接続をテストする。ISP等の別ネットワークからサブミッションポートを介して接続し、メール送信ができることを確認する。

実験で生まれたゴミメールを片付ける

メールキューの確認。いらないメールを削除する。
設定が終わったら状況を確認する。

Apacheの設定や、hostsallowの設定や、proftpd、sshや、そのほかの穴ふさぎの設定もしなければなりません。wordpressやnucleusの置き方もあるし。
さらに続く。

Spamerの手口を知る

mail Headerからわかる情報「Received: from」に続く「ks24736.kimsufi.com [91.121.25.168]」が送信ホスト名とIPアドレスとなる。
DNSに登録しないオレオレメールサーバーを勝手に接続すると(unknown [113.20.174.65])のようになる

/etc/postfix/main.cf

smtpd_sender_restrictions でメールの送り主、smtpd_client_restrictionsで SMTP接続を要求するクライアント、mtpd_recipient_restrictionsでメールの送り先の規制をする。
記述の順番に注意する。先に全部 rejectしたら後は許可されない。
warn_if_rejectをつけてもよい。

ファイルを更新したら、


さらに続く。

eximを追い出してPostfixを installする

インストールの途中で、「メール設定の一般形式の設定」を行う。

Etchまでは、exim4-config conflicts with postfix から始まって、exim4-base、exim4-daemonなどの依存関係やコンフリクトで結構面倒だったが、Lennyではaptitude一発でPostfixのインストールができるようになった。

Post Office Protocol server (POP3)

確認なければ導入する。
procmailもあるとよい。
IMAPを使うならば courier-imap、courier-imap-sslをインストールする。IMAPを使うと、Gmail、Yahoo! mailのようなブラウザで送受信するメールが扱える。

送受信テスト

hostから外部へのメール送信を行う。途中で vi に行くと長い文を書くのが簡単。
unixの授業でみんな遊んだ mail。大概、学外にも飛ばせたもんだ。

端末、外部ネットワークから登録ユーザ、バーチャルユーザ(あれば)が、メール送受信できることを確認する。

popauth

APOPのための設定外部のネットワークからAPOPで受信認証し、メール受信できることを確認する。

SMTP Auth

main.cfに追加
sasl2認証テスト
認証用の文字列を用意する。
使用する端末の文字コードの設定で、文字の表示が異なる場合がある。

MacOS X tarminalの文字セットエンコーディングと表示の例

    dGVzdDgAdGVzdDgAa2l0YTgydHR0dA==   <- これが正解の文字列のとき
   dGVzdDjCpTB0ZXN0OMKlMGtpdGE4MnR0dHQ=  <- UTC−8のとき
   dGVzdDg/MHRlc3Q4PzBraXRhODJ0dHR0  <- EUCのとき
   dGVzdDhKXEIwdGVzdDhKXEIwa2l0YTgydHR0dA==  <- ISO2022-jpのとき
   dGVzdDgAdGVzdDgAa2l0YTgydHR0dA==  <- s-jis
作る時に端末のtarminalの文字セットエンコーディングを s-jisにするとよいようだ。

外部のネットワークから、送信認証をしてメール送信できることを確認する。

さらに続く。

パッケージマネージャの設定

パッケージを読み込むサイトを指定する。
お勧め通り自国を指定すると、自国にあるミラーホスト ftp.jp,debian.org がアーカイブミラーのサイトに推奨される。どのサイトでも構わない。
プロキシサーバーを使っている時は、そのproxyのアドレスを入力する。
...aptの設定がはじまるのでしばらく待つ。

ソフトウェアの選択とインストール

配布CDの構成のために、パッケージの利用状況の統計をとる「popularity-contest」に参加するか聞かれる。
ここで「No」を選択しても、

を実行すると変更ができる。

ソフトウェアの選択

「デスクトップ環境」...　GUI環境 GNOME 2.22
「ウェブサーバ」　...　apache2が入る。
「印刷サーバ」　...　
「DNSサーバ」　...　bind9が入る。
「ファイルサーバ」　...　sambaとかnetatalkとかが入るかも。
「メールサーバ」　...　eximが入る。指定しなくてもeximは入るのだが...?
「SQLデータベース」　...　postgresqlが入りそう
「ラップトップ」　...　
「標準システム」　

今回は実験用兼スペアサーバーとして「ウェブサーバ」を選択する。

ハードディスクへのGRUBブート・ローダーのインストール

システムの起動時に実行されるブート・ローダーの「GNU GRUB」をインストールする
Debianだけをインストールしているなら。「はい」を選択。
Windowsを先にインストールしているなら。「はい」を選択。/boot/grub/menu.lst の設定を直せば windowsの優先起動ができる。


パッケージがインストールされたら、CDを出して Reboot する。

RAIDに不具合が発生すると、 /etc/mdadm/mdadm.conf の MAILADDR に設定したメールアドレスに通知が届く。

Debian のRAID不具合で届くメール

片側のHDDが動作不良になったときは、同内容のメールが不具合が生じたアレイの数だけ届く。

RAIDに不具合が生じたときの HDD交換

不具合が生じた HDDを、新しい HDDに入れ替えて稼働させる。
installのときスペアデバイスを用意しておくと作業が簡単になる。

交換手順

1. 故障したHDDをアレイから外す。
2. shutdown する。
3. 不具合が生じた HDDを外す。
4. 新しい HDD(スペアデバイス)を取り付ける。
5. 起動する。
6. 追加 HDD に、アレイに合わせた Pertitionを切る。
7. 追加 HDDをアレイに組込む。
8. 同期を確認する。
9. 追加した HDDに GRUBの設定を行う。

primaryで不具合が発生したとき、primaryにスペアデバイスを取り付けても構わない。
master(primary)でのみ bootするハードウェアならば、動作している HDD を master(primary)に入れ替え、新しい HDDを slaveに入れる。BIOSの変更で起動ディスクを変更できればそれでもいい。

不具合が発生した状態で再起動すると起動メッセージに次のような警告が現れる。
スペアデバイスのアレイを装着し、デバイスを追加する。同期の状態を確認する。HDDの作動LEDの点灯状態で、同期の終了を知ることができる。watch コマンドを使うのもいい。
まっさらなHDDを組み込むときは、fdiskでパーティションを切ってからアレイに追加する。

クリーンインストールでRAIDを設定する

Debian Installer で「パーティションの設定」に進んでからの説明。

「パーティションの設定」で各パーティションのサイズを設定する。
異なる容量の HDD を使う場合、RAIDは容量の少ない HDD側の最大容量に合わせることになる。あまった容量をRAIDにせず、/local、/opt、/tmpなどにしてもよい。

パーティションの設定

最初にRAIDでない「パーティションの設定」と同じように、希望のパーティション構成に合わせてパーティションのサイズを決める。
RAIDにしないときと異なるのは、

• アレイにするパーティションは、各々のHDDに同じサイズに切る。
• 「利用方法」で「RAIDの物理ボリューム」を指定する。
  「ext3ジャーナリングファイルシステム」などは選択しない。

ことである。
サイズが異なるパーティションを指定すると、アレイは容量の小さいパーティションのサイズになる。一部だけ、例えば /homeだけをRAIDにすることもできる。RAIDにしないパーティションのサイズは好みで構わない。
「RAIDの物理ボリューム」を選んだパーティションは、「MD デバイスの作成」を行ないアレイを指定してからマウントポイントを指定する。

対象のパーティションの容量が不足すると、パッケージを読み込む過程でエラーが表示され、パーティションを切り直さないとインストールができなくなる。

「パーティションの設定」ではパーティションのリサイズもできる。
「マルチディスク設定アクション」で「MD デバイスの作成」を行なったパーティションは、一旦「MD デバイスの削除」でマルチディスクデバイスを削除したあとサイズを変更する。

「RAIDの物理ボリューム」を指定すると、「ディスクのパーティシニング」のメニュー上部に、「ソフトウェアRAIDの設定」の項目が現れる。

RAIDのアレイ設定

アレイのペアになるようにパーティションの切ったら「ソフトウェアRAIDの設定」に進む。
「マルチディスク設定アクション」メニューで「MD デバイスの作成」さらに「RAID1」「RAID1アレイのアクティブデバイスの数」に 2(default)、「RAID1アレイのスペアデバイスの数」に 0(default)を指定。さらに「RAID1マルチディスクデバイス」でアレイにするパーティションを指定する。

不具合時に交換するスペアのための HDDを接続しているときは、「RAID1アレイのスペアデバイスの数」でその数を入力する。
スペアデバイスはアレイに組み込まれない。不具合発生時に # mdadm /dev/md0 -a /dev/hdd2 などでアレイに組み込む。

GRUBを入れるパーティションは、最初にMDデバイスの設定をする。
その後、ヘッドシークの合理性に合わせて順番に指定する。

アレイを指定すると「マルチディスク設定アクション」メニューに戻るので、すべてのアレイを指定するまでこの作業を繰り返す。指定が終わったら「マルチディスク設定アクション」メニューの「完了」をクリックする。

設定が終了すると「ディスクのパーティショニング」の初期画面に戻る。

マウントポイントの設定

「ディスクのパーティショニング」画面に 「マルチディスク設定アクション」で指定した「RAID1デバイス 0」から「RAID1デバイス n」が追加されるので、各 RAID1デバイスに、「パーティションの利用方法」、「マウントポイント」を設定する。

作業は、従来のパーティション設定とおなじように、「利用方法」->「ext3ジャーナリングファイルシステム」、「マウントポイント」->「/usr」などの設定を行う。

「パーティショニングの終了とディスクへの変更の書き込み」をすると、installerは構成を登録しパッケージの導入に進む。

RAIDの確認

installerのrebootの後、RAIDの確認を行う。

RAIDの双方の md0から起動する改造

RAIDのすべての起動パーティションから起動するための設定を行う。

installerの最後のGRUB書き込みは、RAIDの起動ディスク側(primary)の/bootにのみ行われる。他方(secondary)の/bootを起動可能にするために、GRUBを書き込む。
md0に /bootがあることが前提。

「/」の中に"/boot"があるときは"/boot/grub/stage1"。"/boot"でパーティションを切っているときは、"/grub//rub/stage1"になる。

RAIDに不具合が生じた時 mailで連絡する設定

RAIDに不具合が生じたとき、警告を受け取れるよう設定する。不具合が発生すると次のようなメールが届く。

実際に RAIDが片肺で起動するか確認

RAID 1が設定され、いずれのHDDからでも bootできることを確認する。
稼働中に片肺になっても稼働すること、片肺状態で、生きている HDDで再起動できることを確認する。

hda(sda)の電源を外し起動することを確認する。
PCによっては primary/master HDDでしか起動しないものがある。
IDEなら hdbのモードを cable select(slave)から masterに変更し、起動できることを確認する。SCSIは ID か primary/secondaryの指定を変えて確認する。
HDDが１台では起動しないハードウェアもある。その場合は２台のHDDを接続してテストする。

RAIDに不具合が生じたときの HDD交換

片肺になったとき復旧できなければ RAIDにした意味がない。
不具合が生じた HDDを、新しい HDDに入れ替えて稼働を続けたい。

さらに debianのRAID復旧 に続く。
debian GNU/Linux Lenny