443ポート以外が絶滅しそうです あちこちでポートは閉じられています。ssh や sftp もプロキシ利用も、各種ポートでは、全く外部に出れず、接続できないネットワークが多いです。 TCP/IPなのにIPとポートを使った通信ができない、壊れたネットワークが当然になりました。 これらの接続制限にとても不便を感じることが多いです。 サーバー管理者の気分一つでポートが空いたり閉じたり、私が触ってたネットワークではポリシーが統一されず、クソネットワーク管理者に振り回されて、動くはずのものが動かず、不便なことが多かったのです。そこで仕方なく４４３を使っています。 私達が利用する端末では80/443 のポートの外部接続が閉じられることは少なく、443であれば通信できます。 そのため、443ポートに様々なアプリケーションを起動していると思います。 443 ポートとIPアドレスが枯渇する・・・ よほどのG

最近北米の自宅と日本の実家に VPN を設けていろいろやれたらいいなーと思い、ルーターを物色したらなかなかすごいヤツを発見したので、買ってみました。 EdgeRouter とは 地元サンノゼのネットワーク機器ベンチャー Ubiquiti Networks のルーター製品群です。このルーターはデータセンター等で使われる Linux 系高機能ソフトウェアルーター Vyatta （Brocade の vRouter の源流）R6.3 をベースにした EgdeOS 搭載のルーター製品ですが、信じられないコストパフォーマンスと、 amazon.com での評価が異常に高いのが特徴です。 ちなみに私が買ったのは最廉価モデルの EdgeRouter X ですが、ハードウェアオフロード有効時でルーティング最大 940 Mbps 、IPsec VPN 最大 200 Mbps 、RIP / BGP / OSP

OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。 というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。 というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。 前提条件 とりあえず以下のような感じの検証環境で試しました。 IPアドレス 説明 ホストO

先月から出稼ぎで東京に来てます。毎年、プロジェクトの特性上、３〜４月に空きが出てしまうので、仕方のないことなんですが。 で、最近ネットワーク図を書く仕事をしているのですが、ちゃんとしたネットワーク図を仕事で書くのは初めてのことでしたので、「コツ」をつかむまでだいぶ時間がかかってしまいました。 その過程で、いろいろと参考にしたサイトをまとめてみます。 書籍 ネットワーク現場の教科書　改訂版 （マイコミムック） (MYCOMムック) 作者: IDG出版社/メーカー: 毎日コミュニケーションズ発売日: 2011/03/31メディア: ムック購入: 1人 クリック: 9回この商品を含むブログ (2件) を見るこれはネットワークの教科書　改訂版 （マイコミムック） (MYCOMムック)の実践編的な内容ですが、本当に役に立ちました。ネットワーク図を書く際には、物理構成図と論理構成図をきちんと分けて書か

管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinSCP等を使えばffftpに依存する必要はない。*2

自宅サーバのインフラ設計書を公開します。 Design paper of the home server（抜粋） 昨夜にTwitterで公開したら予想外に反響があったので、ちゃんとエントリに残すことにしました。クラックされるおそれがあるので、細かい部分は公開できないことをご了承ください。 内容はこんな感じ。 要件概要 機器仕様 ネットワーク設計 ソフトウェアスタック設計 共通基盤設計 サーバ詳細設計 上記にバックアップ設計や運用管理まわり*1を加えれば、インフラの設計書はだいたいこんな感じではないかと思います。 インフラの要件定義は難しい 一方で、インフラの要件定義は十分に標準化が進んでおらず、会社やチームによって文化がかなり違います。特に受託開発（SI）の場合は、お客様の中にインフラに詳しい人がいなくて調整に苦労することも多いと思います。費用と可用性のトレードオフの部分はなかなか伝わりづ

JANOG25が1月に終わったかと思えば、もう梅雨の季節です。何かと時の移り変わりが早く感じるようになってきました。人に言わせるとそれは歳のせいだと。なんとなく、認めたくない気もしますが、エンジニアが集まる宴会などに出席するといつの間にか自分が年上の部類に入っているのに違和感を覚えつつも、そういう年になったのかと思うばかりです。 さて、感傷に浸っている場合ではありません。すぐに夏がきます。夏はイベントの季節です。インターネット関連のイベントも夏から秋にかけて目白押しで、私がかかわっているものだけで三つほど開催されます。 ネット管理者注目のイベント 三つのイベントの概要をご紹介しましょう。 1) JANOG26 7月の7日、8日の二日間で、今回はなんと都内での開催です。 JANOGが東京で開催されるのは珍しいと思う方も多いかと思います。ですが、実は二つ前のJANOG24も東京の日経ホールで開

ESXi用にML115 G5を買った。せっかくだからJumbo Frameしたい まとめ 環境はESXi 4.0 U1 ESXiはMTU 9000まで対応 VMのNICは、enhanced vmxnetか、vmxnet3必須 → http://kb.vmware.com/kb/1001805 http://kb.vmware.com/kb/1015556 ML115 G5内臓のBroadcomチップはJumbo Frame非対応 → http://kb.vmware.com/kb/1009473 何でもいいからJumbo Frame対応NICを使うべし。Intel Gigabit CT Desktop Adapterを買った インテル Gigabit CT Desktop Adapter EXPI9301CT 出版社/メーカー: インテル発売日: 2012/08/16メディア: Perso

ESX/ESXiのVM上で、ネットワークがすごい遅い 普段のインタラクティブな操作は問題ないが、大量のログをcatしたり、ファイル転送したりすると遅い ババっと転送されて、ピタっと止まる なんとなく大きいパケットを送ろうとした時に止まっている気がする CentOS4なら問題ないのにCentOS5だとダメ 結論としては、Guest OS側で、ethのTSO機能をoffにすればいい。 # ethtool -K eth0 tso off VMwareのforumを"tso off"で検索すると、山ほど事例が出てきます。

『社内に開発環境がない！』 ということで、なるべくコストをかけずに開発環境を量産してみた。 概要 今回やることの全体図はこんな感じ。 使ったもの グローバルIPひとつ 市販の無線LANルータ（有線ポートが4個ついてるバッファローのやつ） あまってるHPのデスクトップパソコン4台 HP Compaq Business Desktop dc7100 US スペック：Intel(R) Pentium(R) 4 CPU 2.80GHz/80GBHDD/2GBメモリに増量 無線LANルータのNAPT、多機能ゲートウェイ/プロキシサーバのDeleGate、サーバ仮想化技術のCitrix XenServer5を利用。 XenServerは無償のExpress Editionを利用。同時実行VM数や、使用できる物理メモリ容量、使用できる物理CPU数に制限があったり、XenCenterから複数のXenSer

追記 2009-04-03 まったくもってブコメでいただいた指摘の通りです＞＜ h2onda linux, tcpdump tcpdump(というかlibpcap)は、データリンク層(OSI layer2)レベルでパケットを取得する packet プロトコルを使ってるので、そうなります。参照: man packet(7) 2009/04/02 はてなブックマーク - h2ondaのブックマーク / 2009年4月2日 tt_clown network 細かいけど，図は逆（NIC が下）のが良いかなと思った．/ "ip"tables と言う位だから，IP層でパケットをフィルタしてるて事だろうな．tcpdumpはEthernet Frameも見えるので，後は分かるな？・・・てとこか． 2009/04/02 はてなブックマーク - tt_clownのブックマーク / 2009年4月2日 pack

This is the second post in the article series about Unix utilities that you should know about. In this post I will introduce you to the netcat tool or simply nc. Netcat is often referred to as a Swiss Army knife utility, and for a good reason. Just like the multi-function usefulness of the venerable Swiss Army pocket knife, netcat's functionality is as helpful. Some of its features include port sc

本稿で紹介するshd-tcp-toolsは、ポートフォワーディング（ポート転送）、ロードバランシング（負荷分散）、レートリミティング（転送速度制限）をTCP接続に施すためのツール群をまとめたものである。これが役立つのは、SSHサービスを提供したいが長時間に及ぶ単一のSCPオペレーションがサーバのインターネット接続を食い尽くしてしまわないよう、各ユーザが利用できる帯域幅に制限を設けておきたいという場合だ。 確かにポートフォワーディング機能はSSH自身にも用意されているが、これにshd-tcp-toolsを併用することで、ポート転送に対するレートリミティングが可能となる。ただしshd-tcp-toolsはTCPレベルで動作し、認証および暗号化に関する有効な機能を有していないため、SSHのポートフォワーディング機能をshd-tcp-toolsにて置き換えられるという訳ではない。つまりSSHとsh