Linux/CGP作業メモ

■UTM導入のメリット・デメリット

無償のUTMがあるということで導入を検討するに当り一応UTM自体の導入メリット・デメリットを整理してみる。個人のみならず、SOHOや中小企業向けという視野で思いついたことを書いておく。

自サーバを導入する際に同時にUTM製品を導入するメリット

・アンチウイルス＆アンチスパムをUTMに任せられるので自サーバの負荷が軽減できる
・UTM製品の仕様にもよるがSMTPだけでなくWeb/POP/IMAP/FTP等も対象になる
・受信送信の双方向で透過的にチェックができる
・透過的にチェックされるのでヘッダの修正等が最小限になる
・透過的故に自サーバに導入するソフトウェアの機能的メリットがスポイルされない
・構成によるがネットワーク全体が包括的に保護されるので安心感が高い
・Bridgeモードであれば導入も容易
・ネットワーク上で起きている攻撃等セキュリティ問題の把握が容易になる
・トラフィック状況などがより視覚的に把握できる
・ロードバランス機能が含まれている場合冗長化構成時にも有利

自サーバを導入する際に同時にUTM製品を導入するデメリット

・UTM自体の運用管理が増える
・構成要素が増えて障害ポイントが増えることになる
・障害が複雑化する可能性がある（透過的故に見えない＆再現や比較が難しい）
・暗号化された通信は対応していないプロトコルが多くチェックできない（結局サーバにも対策が必要）
・UTMは比較的高価かつランニングコストも高め（商用製品はSOHO利用キツイ…）
・サーバへのスループットは下がる（チェックするから。Firewall100M,UTM35Mのスループットくらい）
・管理しなければいけない事象が増えることになる（本来デメリットではないが…）
・心理的安心感でサーバ自体のセキュリティ設定がおろそかになる（ありがち(‘A`)）

有名どころを見る限り暗号化通信にUTMとして有効なのは
　Fortigate　https/smtps/pops
　Sonicwall　https
　Astaro　https
　untangle　なし

という状況なので、商用はもちろん、無償のuntangleでメッセージングをセキュアにという方向には一工夫必要になりそう。SSLラッパをうまく活用して、ブリッジモードのUTMが非暗号化通信をチェックできるような構成をちゃんと設計しないといけないかなぁと。

　[クライアント]→SMTPS→[SSLラッパ]→SMTP→[UTM]→SMTP→[メールサーバ]

みたいな構成か。やっぱり構成要素が増えるばっかりだなぁ…。
とりあえずhttpsのラッパは比較的導入が容易なのでWebMailなんかはちゃんと対策したいところ。
まだ未検証だけどAstaroの個人向け無償ライセンスがhttpsのスキャンに対応していると素晴らしいなぁ。
FortigateはさすがUTMの草分けなだけありますね。高いけどｗ

(まだ評価されていません)

Loading...

■DebianベースのUTM untangleのインストール
諸事情でUTMの検証をすることに。最終的に採用するかどうかは未定ながら、一応特徴を把握しておくために実際に使ってみる。要件は前日記の通り。あまりシステムに詳しくない担当者でも状況把握がしやすいとベター。ということで管理GUIが日本語対応しているuntangleから試す。

とりあえずインストールの記事を書こうと思ったが、DebianベースにしてはインストールGUIが非常に良くできていてWizardの通りに進めればインストール完了まではほとんど苦労はないものと思われる。
なので、ここでは気付いた点をいくつか付記する。

以下よりuntangle-7.2.isoをダウンロード。
http://www.untangle.com/

500M以下くらいのサイズなので、isoをCDに焼く。
untangleは基本的にEthernetが２口必要なので、対象マシンには必要に応じてEthernetカードを増設。
無線LANカードもDebianで認識できるものはInterfaceとしてリストされるが、無線LANの設定を行うGUIが一切ないので、Terminalから設定ができるスキルがないと使えない。ちなみにDebianはlennyらしい（aptのsource.listのコメントアウト部が全てlennyだった）。

CDを対象マシンに挿し込んで、CDから起動しGUIのインストールを選択すればほぼ後はWizardで。
インストール時点から日本語を選択して進めることが可能。
インストール完了後、Web管理画面が自動的に開き言語選択を迫られるが、ここで日本語を選択するとフォントの関係で正しく表示されないため、最初はEnglishのまま進めること。難しい英語ではない。

初期設定が終わってuntangleのラック状管理画面が開くと、設定した各モジュールのラックが追加されていく（ダウンロード時間が必要なので少し待つ）ので、全てが完了したら別のマシンから以下のようにしてアクセスする。

https://host-IPaddress/

これでWeb管理画面にアクセスできる。ログインには初期設定で付けたパスワードが必要。
ここで日本語設定にすれば問題なく日本語表示に変更可能。

untangleのインストールされたマシンにはterminalからログイン可能なアイコンが表示されるが、一番最初にクリックした際にパスワードを設定するよう求められる。ここで設定したパスワードがrootのパスワードになるので必ずインストール直後にやっておくこと。untangleのコンソールはなぜかパスワードロックがかからなかった（何か設定があるのか？）ので、rootのパスワード＆コンソールへのアクセス管理はとても注意が必要。

インストール後メモリ使用量を見ると1Gのメモリ搭載マシンでは直後で7割近く使ってしまっているので、最低でもメモリ2Gは欲しいと思われる。CPUもPCMark05で3000以上はあった方がいいと思う。まだ具体的な動作評価はしていないが、PentiumM1.8GHzのマシンではCPU負荷が結構ある。untangleは重いという噂だったが、確かにそうかもしれない。インストールの内容を見る限りDebian上にuntangle専用のVMを動作させているようで、若干オーバーヘッドがあるのかもしれない。CPUパワーのあるマシンを利用することをオススメ。

インストール後の検証評価はまた後日。

(まだ評価されていません)

Loading...

仕事で調べたのでメモ。基本はメールのアンチウイルス＆アンチスパム対応を本サーバに届く前に実行できることを要件とする。可能であればWebMail/POP/IMAPにも対応できるとよい。
とりあえず、いくつかは試験してみることにして候補を挙げておく。untangleが最も要求に近いようなので、これから試していく予定。

■無償で利用可能なUTM(SecurityGateway)製品

untangle（IMAP対応）
http://www.untangle.com/
日本語情報少ないが、製品は日本語対応。Webの管理画面は日本語で設定可能。
ただし、管理クライアントには日本語フォント設定されていないため、別マシンからアクセスが必要。
管理インターフェースは分かりやすいような気がする…。Debianベースらしい。

Astaro Linux（IMAP未対応）
http://www.astaro.com/
個人用はフルファンクション。企業向け無償版は機能限定。
アプライアンスは使ったことあり。多機能かつ安定性高い。

Endian Firewall（IMAP未対応）
http://www.endian.com/en/community/overview/
日本語の詳細な説明が商用版には有り。肝心のドキュメント類は全部英語。
若干設定がわかりにくい気がする。

Free UTM（POP/IMAP対応？）
https://free-utm.com/
多機能そう。Mailサーバを自分持ちするタイプのような記述。ターゲットと違うかも？

RedWall（include load balancer)
http://www.redwall-firewall.com/
非常にコンパクトかつ軽量。USBやCDで起動されることを想定している。
マシンパワーによってはこれはよい選択になるかも。
ロードバランサー機能にも注目。

BrazilFW Firewall and Router（include load balancer)
http://www.brazilfw.com.br/forum/
良さそうな気がするのだが、言語の壁が…。

GB-Ware (2User Only)
http://www.gta.com/firewalls/gbware2user/

■その他近しい製品

pfsence (include load balancer)
http://www.pfsense.org/
BSDベース。アンチウイルス＆アンチスパムがないので対象外だが、ロードバランサー機能とPPPoEサーバ機能に注目。

eBox
http://www.ebox-platform.com/
統合サーバを構築可能な製品。今回メインサーバが別にあるので対象外。
機能自体の統合度合は面白そうなので、そのうち試してみたい。

smoothwaill
http://www.smoothwall.org/
比較的Firewall寄りな製品。こちらもアンチウイルス＆アンチスパムがないので対象外だが、ajaxな画面でコントロールできるということで注目。

■Spam発信元ブロック用IPリストのメモ

【7/31追記】GB-Wareを追加。2Userまで無償利用可能。

(まだ評価されていません)

Loading...

■ASUS UL20AにUbuntu 10.04 beta2をインストール

MSI U100にUbuntu 10.04LTS Daily Buildを入れる

こちらの記事でbeta2前の10.04をatom搭載netbookのU100にインストールしたところかなり快適だったので、これならCULVならもっと快適なんじゃね？と思って、メインモバイルであるUL20A（Ubuntu9.10/Photofast V2 SSD 32Gで使用）に10.04 beta2をインストールして使ってみることにした。

基本的にU100の記事とやったことはほぼ同じ。おそらくinstall記事は他所でもいっぱいあるので割愛。
UL20Aにinstallした結果を書いておく。

起動時間：電源on→デスクトップ表示　約20秒
　　　　　電源on→無線LAN接続表示　約22秒
終了時間：電源offダイアログ→電源ボタン消灯　約4秒

キーボード・ファンクションキー・有線LAN・無線LAN・音声出力・ヘッドフォン端子有効。
再起動はできず。9.10と同様にフリーズして止まる。電源off→電源onの操作が必要。

起動時間が9.10より相当速くなり、Ubuntuロゴがほとんど表示されない。
SSDの効果テキメン！CPUがSU2300なのでatomより相当快適になるだろうと思ったが、本当に素晴らしいレスポンスに。
Ubuntu 10.04はnetbookもだが、CULVの評価が相当見直されるのではないかと思う。

UL20Aは無線LANがアンテナの実装の問題で若干弱いが、こちらもU100と同様に体感的に向上している印象。10.04のレスポンスが全般に向上した結果、無線LAN自体の印象が左右されているだけかもしれないが、好印象なのは間違いない。まだ利用回数が少ないので定量的な判断はできないが、今のところ頻繁に接続が切れる場所でも切れる回数が激減したことは素直に嬉しい。

正式リリースが本当に楽しみ。

唯一の不満は、Google Chromeでブックマーク同期がちゃんと設定できなかったこと。U100ではちゃんとできていたのに、UL20Aでは「セットアップ中」のまま変化なし。何度やっても同じ状況になるため、やむを得ずU100のブックマークをコピーして利用することに。ちなみのブックマークファイルの位置は以下。

(まだ評価されていません)

Loading...

■Ubuntu 10.04 beta2 でAndroid SDKを使う準備
Nexus Oneでいろいろ実験するためにAndroid SDKをインストールしてみる。
一番やりたいことは単純にフォントの入れ替えだったりするけど、カスタムROMもそのうちやってみよう。

今回はほとんど以下のサイトを参照させていただき、その手順のままいけました。
違ったのは10.04にはsun-java6-jdkがないこと。代わりにopenjdk-6-jdkを利用する。

参考URL
ジャンク☆ニュース 臥龍
http://d.hatena.ne.jp/garyo/20100314/p2

１）eclipseのインストール
Ubuntuのパッケージは利用しない。
Eclipse IDE for Java Developersを本家よりダウンロードする。
http://www.eclipse.org/downloads/

ダウンロードしたら任意の場所に移動して展開しておく。

２）JDKをインストール

３）Android SDKをダウンロードする
http://developer.android.com/sdk/download.html?v=android-sdk_r05-linux_86.tgz

ダウンロードしたら任意の場所に移動して展開しておく。

パスを追記しておく

４）各設定方法は参考URLを参照。

(まだ評価されていません)

Loading...

■Abyss Web Server X1のインストール

Abyss Web Server X1のダウンロード

日本語ファイルのダウンロード

展開

日本語ファイルの配置

設置する場所に移動

所有権を変更

サーバの起動（root権限のデーモンとして）

管理コンソールにアクセス
http://hostname:9999/
一般ユーザからのアクセス
http://hostname:8000/

管理コンソールにアクセスしたら日本語選択してスタート。

■AbyssWebServer X1のアドバンテージ
・GUIの管理コンソールのおかげで初心者にもわかりやすい
・日本語のランゲージファイルも用意されている
・AntiHackingシステムが標準装備
・帯域コントロール機能が標準装備
・軽量でパフォーマンスも良好
・取得するlogのコントロールができる
・RubyやPHPとも組み合わせて利用可能
・SSL対応
・無料で使える

■AbyssWebServer X1のディスアドバンテージ
・利用可能なホスト名はひとつ
・HTTPかHTTPSか択一
・WebDAVは使えない

高機能で有料なX2との詳細な比較は以下
http://www.aprelium.com/abyssws/summary.html

帯域制限ができるのと、AntiHackingシステムが最大の選択ポイント。
個人サーバにはとてもオススメ。

(まだ評価されていません)

Loading...

■Ubuntu 10.04LTS Lucid Lynx
今月末には正式リリース予定で、明日にもbeta2が出ようかというところで、所用のために手持ちのNetbbok MSI U100（SSD換装済み）に Ubuntu 10.04をインストールすることに。
現状はやはりUbuntu系のLinuxMint8がインストールされていたのだが、USB起動した10.04がかなり速かったので、勢いSSDにインストールしてしばらく使ってみることにした。
試すのはbeta1でも良かったけど、どうせなら最新をということでDaily Buildを選択。

10.04のDaily Buildは以下よりダウンロード
http://cdimage.ubuntu.com/daily-live/current/lucid-desktop-i386.iso

UnetbootinでUSBメモリに書き込み。Ubuntu用は以下からダウンロード
https://launchpad.net/~gezakovacs/+archive/ppa/+packages

Unetbootinはいろんなディストリビューションを焼くにも便利なのでよく使ってます。
なかなかオススメ。

MSI U100にUSBメモリを挿し込んで電源オン。F11キーでUSBメモリから起動。
boot選択してデスクトップ表示までちょうど１分。使ったUSBはTrancendのJF V30 2Gでそんなに速いUSBメモリではありません。9.10に比べてもかなり速い起動と感じられます。

ここでデスクトップにある Install Ubuntu 10.04 をクリックしてインストーラを起動。インストール先のSSDはKEIANの32G。全体を10.04用にフォーマットして使用。後は通常のUbuntuのインストールとほとんど同じです。インストールでは日本語を選択してみましたが、インストールの最中一部は日本語表示されるものの、まだほとんどが英語メッセージのままです。

インストールが終わったら再起動。
電源ボタンを押してからデスクトップが表示されるまで35秒ほど。atomマシンでこれはかなり速い印象です。メニューや各標準アプリケーションもほぼ日本語化されていて、日本語入力含めて十分使える状態になっているのがすごいですね。beta2前のビルドとは思えない。

U100ではインストールデフォルトでキーボード・ファンクションキー・有線LAN・無線LAN・音声出力・ヘッドフォン端子が適切に動作することを確認しています。

特に無線LANはLinuxMint8で使用していた時よりも、感度と接続速度が良くなっているように感じます。ダウンロード速度を計測していたわけではないのですが、体感がかなり向上しました。
また、ヘッドフォンからの出力がかなり良くなった印象でちょっとびっくりしました。10.04ではファイルブラウザで表示されているmp3アイコンにマウスポインタを載せるだけで、プレビュー再生されます。mp3自体はクリックすると動画プレイヤーで再生されるのですが、ここで再生に必要なプラグインが導入されている必要があります。この品質がかなり良い印象でちょっとU100を見直してしまいました。

インストール後は以下のソフトを導入。

Ubuntu Tweak
http://ubuntu-tweak.com/

Google Chrome
http://www.google.com/chrome?platform=linux&hl=ja

Adobe FlashPlayer 10.1RC
http://labs.adobe.com/downloads/flashplayer10.html

ウインドウの動作も非常にキビキビして9.10よりも更に快適になった印象です。
UI周りはデザインが一新されていますが、OSXに慣れていると今回のデザイン変更はむしろ使いやすいかもしれません。ウインドウの操作ボタンがOSXと同じ配置（左上）になったからです。
atomマシンとは思えない速度でさくさく動作してくれるので、9.10ではxubuntuを使ったりしたのですが、このリリース以降はUbuntuのままで行けそうな感じがします。
beta2の一歩手前でこの快適さ。正式リリースが楽しみになってきました。

あれ、なんか普通のblogっぽくなってるなｗ

(まだ評価されていません)

Loading...

CentOS5上で運用しているMyNETSのサイトで今年に入ってからしばしば高負荷が発生してアクセス障害になっていたので、友人らと原因を調査。不幸中の幸いというか高負荷発生時に友人がOSにログインしていたため原因が判明。結果、あるパターンの壊れたアニメGIFのファイルがアップロードされた際にImageMagickが変換しようとして高負荷状態を発生させていた。該当ファイルを抽出し、他のCentOS5のマシンで手動でconvertして再現確認。WindowsやMacOSX，Ubuntuでは該当ファイルはconvertでエラー表示で正しく処理中断になるため、CentOS用パッケージの問題と推測。

　既にこちらの内容は役に立ちません
　最新のx86_64版の話題はこちらを参照してください
http://blog.isnext.net/issy/archives/362

■ImageMagickのアップデート
CentOSはextraとepelがリポジトリ追加されているが、ImageMagickは

と、最新の6.6.0-10には遠く及ばない。

しかたがないので、最新版のtarballを落としてきてインストールしてみた。

いろいろ警告は表示されるものの一応インストールできた。…が

とすると変わらず高負荷発生。
おそらく警告が出ていた中に対策に必要なものがあるということだろう。
（4/11追記：コンパイルして導入するとデフォルトでは/usr/local/bin/convertにインストールされるため、CentOSのデフォルト/usr/bin/convertと異なり、そもそもここでの動作確認は適切な状況ではなかった）

しかたないので、Fedora用に用意されているrpmファイルをダウンロードしてインストールする。

ということで不足しているパッケージの追加をすべく
http://rpm.pbone.net/

で必要なライブラリを含むパッケージの在りかを探す。
必要なのは
OpenEXR
fftw3
Graphviz
djvulibre

epelでなんとかなるものはそこからinstall

graphvizは最新版が必要なので、本家のCentOS用リポジトリを追加。

djvulibreはdagリポジトリにあるのでそこから追加。

これで再度（追記を確認してください。これやっちゃいけません）

今度は無事に導入。

正しくエラーになったので、これでOK。
これCentOSへのDoSになるんで報告すべきか悩み中。

…と思ったら、MyNETSで動作させてみたところ、GIF以外がリサイズできなくなってることが判明。
正しく動作していないのは、Fedora用を使ったからなのか、バージョンアップでコマンド変更があったのか。
追跡調査中。

— 4/11追記 —
調査の結果、Uvhでインストールしてはいけないことを確認。
そりゃそうか。別OS用だしね。

入れ替え時にやること。
既存のImageMagickをアンインストール

アンインストールの確認

一応他に入っていないか、残存libがないか確認

CentOSではconvertsは/usr/bin/convertになるので
コンパイルインストール等を行って他にあったら残存lib含めて消しておく

Fedora用最新版を新規インストール

念のため再起動

これで正しくMyNETSで動作することを確認しました。
CentOSでアニメGIF投稿を受け付けるWebアプリで画像変換にImageMadickを利用している場合には、最新版へのアップデートをオススメします。

(まだ評価されていません)

Loading...