Mimori's Algorithms Diary

RELENG_3 (FreeBSD-3.5.1) に対する修正が7月8日に行われた模様。

libcだけ替えようかとも思ったが、libcの入れ替えで下手すると色々コマンドが動かなくなってはまるので、make buildworld; make installworld の方が安全かも。

OpenVPNベースにして書き換えた。いろいろ手抜きだけど。

引数で指定している設定ファイルを全部 /usr/local/etc/openvpn に集めて引数としてはすべて /hoge で指定。 あと必要な実行ファイルは /bin/sh, /sbin/ifconfig、 必要そうなデバイスファイルは /dev/null, /dev/random, /dev/tun0, /dev/tun1, /dev/tun2, /dev/tun3, /dev/tun4, /dev/urandom, /dev/zero

syslogdの起動時に-l /usr/local/etc/openvpn/var/run/log オプションで、chroot後に /var/run/log となる位置にソケットを作っておく。

これで --chroot /usr/local/etc/openvpn をつけて動作しつつsyslog経由でログも取れた。pidファイルだけはchroot前のパスなので注意。 --user, --group を使う場合は /etc/group と /etc/passwd が必要なのだが、/etc/passwd に関しては /etc/pwd.db, /etc/spwd.db も必要なため、 /local/chroot/vpn/etc/master.passwd を作成した後、以下のコマンドを実行する必要がある。

/usr/sbin/pwd_mkdb -p -d /local/chroot/vpn/etc /local/chroot/vpn/etc/master.passwd

FreeBSDでは --mlock オプションは使えない。

zebraがらみのスクリプトが動かないけど、これを統合するにはもうちょっとディレクトリ構成考えないと美しくない。 OpenSSHに倣って /var/empty …は嫌だから /var/chrooted かなあ。

ちなみにportsではなく「自分でコンパイルしたもの」は /local 以下に置くことが多い。ただし/localはシンボリックリンクで /var/local または /home/local が実体。 そういう流れからすると /local/chroot/vpn/ あたりが妥当か。

余裕あったらついでに /local/chroot/named/ とかも作るかなあ。

jail/chroot mini tree 構築用 Makefile が便利そう。

@ FreeBSD4.0以降のバージョンで看守になってみる。(jail)

別にzebraの再起動をかけなくてもospfdはちゃんとインターフェースを認識してくれる。 *1 OpenVPNのおかげじゃなくてもしかするとFreeBSD4.5R+zebra0.92a_1のおかげかもしれないけど、ともかく素晴らしい〜

MTUが1300になったのが互換性上の変更だが、最大の機能向上は --single-session であろう。

OpenVPN付属のverify-cnはperlで書かれているが、chroot環境でperlを動かすのは面倒なのでBoureneShellスクリプトを作った。 CNフィールドが最後に来ている場合、x509文字列の最後に/がつかないので、自分でくっつけてあげるのがミソ。 でもってオプションに --tls-verify /sbin/verify-cn,vpn.hoge.com という感じで指定。

#!/bin/sh

# Verify X509 Common Name
#
# Return 0 if cn matches the common name component of X509_NAME_oneline,
# 1 otherwise.
#
# For example in openvpn, you could use the option:
#  --tls-verify "./verify-cn Test-Client"

# check number of arguments
case $# in
  3)
    ;;
  *)
    exit 1;
    ;;
esac

cn=$1
depth=$2
x509="$3/"

case $depth in
  0)
    case $x509 in
      */CN=$cn/* )
        exit 0;
        ;;
      *)
        exit 1;
        ;;
    esac
    ;;
  *)
    exit 0;
    ;;
esac
exit 0;

台風一過の折、晴れてvtun完全廃止達成。

前売りチケットベースでポケモン映画が前年1.5倍の売り上げだそうで。神田うの 釈由美子だから?…ってことはないよなあ。

GapNATの下にぶら下っていてもUPnP使えるのかな。後で確認しよう。 VoIPも使ってみたいんだけど電話は相手がつながってこそなので中々難しいっす。

月影十番勝負の情報を集めようとしたらこんなRPGが。あとでやろう。

次回の月影十番勝負は佐藤アツヒロなところが楽しみなのだ。

W-CDMAの暗号化の国際標準がKASUMIとは知らなんだ。 KASUMIを実装したOpenSSLとか出ないかのう。個人的な萌えポイントとして(笑)

KTRACEを有効にしたカーネルだとダメらしいんでKTACEを無効にしてカーネルだけ作り直し

@ FreeBSD-SA-02:29 Buffer overflow in tcpdump when handling NFS packets

HDDの中身の完全コピーを行っても認識してくれなかった。 HDD自体の型番はD540X-4D 4D080H4と同じなのに、コントローラーボードが以下のように異なっている。左がRetPotの中のもの、右が秋葉原で買ってきたベアドライブ。

コントローラーボードを交換しようかと思ったが、コントローラーボードを止めているねじに対応したドライバーがなくて中断中。 トルクスなんだけど手元にあるトルクス用ドライバーよりも小さかった。トルクスドライバーセット必要かなあ。

マシンの再起動かけたらospfでのルーティングの時にtunインターフェースをつかまえてくれなくなった。 やはりそう簡単にはうまくいかんのう。

セッションを確立できていなくてもtunインターフェースがifconfig的に有効ならOKなので、 /usr/local/etc/rc.d/ ディレクトリの中で openvpnよりzebraの起動の方を後して対処してみた。あとなんとなく3秒待ってからzebraを起動するようにしてみたり。

最近直接ウィンドウシステムでログインできなくて困っていて、 apt-get update; apt-get dist-upgrade したのが悪さしたのかと思ったら、ログイン画面で8文字以上(たぶん)のパスワードが入らないのが原因だった。 うむむ〜

テレビで柊さんを見る日が来るとは〜みたいな。映画は情報を集めれば集める程つまらなそうというか、まっさらな気持ちで見に行きたかったす。原作読んじゃったしね…

新事実としては、今年8月から来年2月までジブリは休業して来年から宮崎監督の新作を作るという話が鈴木プロデューサーよりあった。 これでハウルがぽしゃったのは決定ですな。ちなみに別方面より細田守 監督はどっか〜ん40話の担当をしているという噂。 で、40話って何時だ?

ActiveScriptRubyをASP上で使うのはやばそうという話なのでせめてCOM+化すれば…みたいなことが書いてあったので COM+の勉強。.wscファイルを直接ドロップして登録することもファイルの指定で登録することもできなかったので、 一旦普通に登録してから、コンポートのインポートを利用して登録。

通常namedの設定は /var/named に置いてあって、 /var/named/var/named -> .. のシンボリックリンク作成と、/var/named/var/run ディレクトリの作成さえすれば named のオプションに -t を指定して設置完了。めちゃめちゃ簡単だった。 一応OpenVPNに倣って dev/ やら etc/passwd 周りも作ったけどね。

@ 砂場でBINDを動かす

@ named を安全に立ち上げる

@ 後日談

VBで言うところの Implements ObjectControl は、スクリプティングホストでは <implements type="ObjectControl"> だと思うのだがうまくいかない。

ObjectContextへのアクセスはGetObjectContextを呼ぶだけなので Implementing with Script Components という例も見つかり、トランザクションのサポートは不可能ではない模様。

と思ったが、

objCurr = WIN32OLE.new "MTxAS.AppServer.1"
objCurrObjCont = objCurr.GetObjectContext()

で返ってきたのはnilだった。

自転車欲しいなあ〜楽天で39800円。10kgを切ったというところがミソらしい。

JPNIC-DOMAIN-TALK から流れてきたのはちょっとビックリ。

管理上の都合で甘々な管理のWindows2000ベースFTPサーバーに侵入をくらって *1 どうしても消せないフォルダーが出来てしまった。

最初の方は空白やらcom1,com2という名前ではあったものの、8.3ショートファイル名がついていたおかげで普通の英数字に変更できたが、 最後にcom3という名前でショートファイル名のない フォルダーが残った。どうしても消えない。attrib com3 とかやると \\.\com3\ パスが見つかりません と言われるし。 com3デバイスを作ればいいのかとUSBの先にシリアルデバイスをくっつけて作ってみても状況は変わらず。 ディスクエディターみたいな奴で無理やりファイル名を変えればいいと思うのだが…

@ Windows2000便利メモ

3600円ぐらいだったら出すかな。ネット上の動画配信フォーマットの本命だと思ってるので。

SPECTRA F11入手手配完了。SSH-HDTV 買わないと。ぷらっとホームだと8月2日発送とかになってるな…eARENAでもFaithとBLESSで在庫なしな模様。

SolarisやFreeBSD3のsyslogdだと-pオプションで指定したUNIX domain ソケットは追加じゃなくて変更になってしまう。(複数開けない)

chrootする手間かけるんだったらDJBdaemontools使うのもいいかなあ。

0.6へのアップグレードは urgency: high とか書いてあるよ。FreeBSDのportsは0.5のままだったけど、元々ports使ってないのでさくさくインストール。

News! のところにある EAP/TLS authentication with FreeRADIUS and Windows XP のPDFは、無線LANの802.1x認証をfreeRADIUSにやらせる設定例。 802.1xをしゃべるアクセスポイントなんて持ってないけど、OpenSSLとWinXPで証明書使っているあたりは楽しそうである。

あと、ログがradiusユーザ権限で作成されるので、newsyslogしてrootの持ち物になってしまってログが止まっていたのを修正した。 radiusのログに関しては是非ともSQLに投げたいけどそれは後日…

IE6にして 嬉しいと感じたことはないのだが、これはおそらくIE6が標準への追随を目指したからなんだろうと。間違ったDOCTYPEを指定した場合にやたらと文章がセンタリングされる問題の時に薄々気づいていたけど、

Internet Explorer 6 は W3C CSS1 テスト スートに 100 パーセント合格します。ご参考までに Internet Explorer 5.5 は約 86 パーセント合格していました。

だそうなので。W3Cの決定プロセスにMicrosoftが強い影響力を持っているとは思うけど、それでも ドキュメント化された標準に従っているだけでも、undocumentedな謎の仕様を駆使していたかつてのwindowsアプリケーションに比べればはるかにましというもの。 その代償がMicrosoftの注力がコンシューマー商品じゃなくて.NETという名のサーバー群からお金を取るという方向性になったのだと思うが。

侵入検出システム使いたいんだけど、acidがPHP要求してくるのがいまいち…portsがmysql要求するのもいまいち…

IE5のオブジェクトモデルに関するヘルプファイルなんだが、OfficeXPに入っているという話なのでセットアップする羽目に。…でも見つからないなあ。

ジョブスが.NETに対抗するらしいというので、そしたら名前は .NeXT(どっとねくすと) てのはどうでしょ。

普段qmailを使っているわけだが、setuidされているファイルの調査をしたら古いrootにsetuidされたsendmailが残っていた。 /etc/make.confにNO_SENDMAIL=trueがアダになってかなりセキュリティ的に間抜けだった模様。rm /usr/libexec/sendmail/sendmail をかけた。

FreeBSDの場合 NO_HOGE=true を指定した場合、make worldでインストールされないせいで古いのが残ってしまうという状況に対して、 自動的に対処する方法が不明。freebsd-securityメーリングリストには /kernel より古いファイルを探せとかいう投稿があったが…

GPGもS/MIMEもつかえるのかー。しかしBecky!単体で通信路をSSLにすることは出来ない模様。

GPGrelayがSSLをしゃべってくれるのが一番いいのかな…と一瞬思ったが、Becky!の利点はimapなのでそういう訳にもいかんか。

フレッツトップページがほとんど見れなくてさー

フレッツADSLな知人に申し込みお願いしようかと思ったら、よく考えたら会社の回線がBフレッツだった。さて8月上旬までに来るかな(笑) 離れたサークル間での連絡手段としては、到達可能なトランシーバの次に確実と思われ。 回線速度については前日設営の時にでも計測したいところだけど、上流はBfletsビジネス1回線相当の予想…とすると一人じゃ回線一杯まで計測できんか。

.Macか。つまらん

Microsoft Script Debuggerを入れてもさっぱりScriptのデバッグが出来んので、もっかいVisual Studio .NETでもインストールするかとやってみた。 英語版を入れようとするとComponent Updateからやれと言われてComponentまで英語版にするのは嫌だなあともう一度日本語版をやってみるとやはり途中でファイルが無いと言われる。

結局キャンセルしてMSDNからダウンロード決行。MSDNも調子悪くてPassportの認証直後にサーバーエラー続出したけど、なんとかダウンロードを開始した。 で全部ダウンロードしたものはDVDに焼けるよという文章で気づいたが、もしかしてネットワーク経由でCDROMマウントしてるからCDROM入れ替えの指示が出ないだけ? なんてこったい。VisualStudio6の時は比較的独立していたから気づかなかったよ。

NT4.0で稼動中のマシンからUltra Wide SCSIでバックアップを取りたいという話で、当初SCCIハードディスクを要求されたのだが、 SCSIの72GBハードディスクがあまりに高いのでIDE-SCSIコンバーターを使ってみた。

注意点としては3.5フロッピーで使っている電源が必要で、通常のSCSIケースでは電源分岐ケーブルが必要になるところ。この電源分岐ケーブルぐらいは同梱して欲しいなあ。

BIOSが1998年のDC-390Fにこのハードディスクを接続したらBIOS画面でこける。BIOS画面ではHDDの電源を切っておいて、OS起動の時点で電源を入れると無事認識。

というわけでBIOSアップデートが吉だろうと試みたのだが、反対にBIOSアップデートに失敗して全く使えなくなってしまった(泣)カードのRevが3以上じゃないとダメだったらしい… 同じ製品名で実は中身違うってやめて欲しい。

T8ドライバーを調達してHDDコントローラーボードの交換をしてみた。コントローラーボードとHDD本体の間は直接端子が接触している構造でボードの交換はとても楽ちん。 これぐらいモジュール化が進んでいるんだったらキャッシュサイズを変えたバージョンのHDDを出そうという気になるかも。

しかしコントローラーボードを交換してもRecPotでは認識してくれなかったのだった。(というより交換したコントローラーボードがHDD本体を認識しなかったのかもしれない) さすがに手が出せる範囲はここまでなのでHDD換装実験はこれにて終了。

主な設定ファイルそのままでアップグレードしたら、1回だけ認証成功したようでいて、動いているうちにこけてしまった。

radiusd.conf を0.6についてきたもので完全に上書きした上で設定し直し。 といっても現状では users ファイルを直接見る以外の認証は何もしてないので、ログを取るとかradius proxyやらないとかその程度で簡単に済んだ。 電話番号認証をPAMに渡すとかは出来ないよなあ。たぶん…SQLやLDAPなら任意のフィールド書けそうだけど。