FreeBSD7になって、入れなおそうかと思ったけど、

なんかうまくできなく挫折。

でも家にインターネットからリモートで入りたいので調べてみることに。

1番簡単なのは、SSHからの転送。

家のクライアントPCにリモートデスクトップしたいだけなので、

これが1番簡単なのでこれを使うことに。

というか、POPTOPいらないや。

3389番ポートだけ接続すればリモートデスクトップは成功しました。

sshへの辞書攻撃がうざいので、対策をしました。

いろいろ調べてみると結構いろいろソフトはあるようです。

SSHパスワード認証に対する総当たり攻撃への対抗ツール

この中で、bruteblockをチョイス。

現在FreeBSDとipfwで合致するのがこれだったので。

で、説明書をと思ったのですが、

BruteBlockV0.0.5

を呼んでもいまいちわかんない。

１．makeでインストールしろ、オプションなんてない。

２．コンフィグファイルを設定。見て大体わかったというかFreeBSDだと使える設定ファイルを

すでに用意してあったので、それを使用する。

（ちょっと違うところあるのでそれはauth.log見つつ変更うちの環境だと

May 19 10:28:01 hostname sshd[1119]: Invalid user aaron
from ???.???.???.???

ってなログが多くてうまく拾ってくれないことが多かった。)

３．Logがburuteblockに送られるようにする。

４．ipfwでtableで通信を遮断する設定を追加する。

（ここがはじめわからなかったが、ipfwにはtableという変数を使って設定することが可能。）

例にある。$(fwcmd) add deny ip from me to table\(1\)は、

ipfwがtable1に書いてある内容を遮断するということらしい。

いままで使用してなかったのでtableって何だろ？と思ってえらい調べました。

まあ、manに書いてあったのだけど、こういうときは真っ先にmanしないとだめですね。

ipfwには、tableが1～127くらい設定できてそれを変数として使用することが可能なようです。

コマンドで書くときは、括弧で囲んでそれをエンコードしないといけないので上のようになるらしい。

中ではipfw add deny ip from me to table(1)になる。

tableの番号は、コンフィグで書かれた番号なのでもし複数する場合は、変更する。

うまくいけば、複数回ログオン試行後にauth.logに以下のようなログが出力される

May 19 10:28:01 hostname bruteblock[863]: Adding 64.33.51.237
to the ipfw table 1

これで動作完了。

うるさいログが少しはマシになりそうです。

ちょっとはまったこと。

portでqmailをインストールして、controlファイルとか書いて起動をしたのだが、

テストで、mailコマンドを使うとメールがローカルに入っていかない。

エラーは、

relay=[127.0.0.1], dsn=4.0.0, stat=Deferred: Connection
refused by [127.0.0.1]

とでて、配送されてない。

迷ったのは、refusedの文字。拒否されてる？ってことは設定間違いか。と一生懸命調べましたが。

解決策が見出せず。迷っていました。

で、telnetで25ポートを叩いてみるとConnection refusedの文字が出ました。

そこから、起動してないポートをたたくとConnection refusedの文字が出るということが分かり。

inetとか起動してないから、timeoutになると思っていたんだが、なんかrefused返すのがあるのかな？

qmail-smtpdを起動してみると、メールが配信されるようになりました。

qmail-smtpdってリモートだけと書いてたから、起動してなくても良いと思っていたのに。

参考：文書とか

FreeBSDでは、初期にsshdを起動するかの設定変更が可能ですが

初期設定では、Keyがないとログインできない設定です。

Keyなしでも入れる設定に変えるのもいいのですが

それよりもKeyの作成をしたいと思います。

で、ssh-keygenの使用方法

ssh-keygen

なんだけど、まあ、なにやればいいのかわかんない。

単にKeyを作成するなら、

ssh-keygen　-t　(ras/dsa)

で質問に答えるだけ。

ほかで使いそうなオプションは、

-b　（bit）の鍵の強度bit数　ただし、rsaにしか使用できなかった。

homeに.sshというDirectoryができ、中にid_rsa(dsa)とid_rsa(dsa).pubができているので

id_rsa(dsa).pubの方をauthorized_keysに名前変更か追加する。

id_rsa(dsa)は、リモート起動するPCに持っていく。

Keyさえ設定すれば、FreeBSDの初期値でlogonできるようになります。

ちなみにｓｓｈのサーバ設定は、

/etc/ssh/sshd_configなのだが

さくっと見てみたが、

sshd_config

sshd_config 解説 : マロンくん.NET

（この中でPasswordAuthenticationをYesとしていますがこれは、keyを作成したのであれば、

Keyをもっている人だけのがいいのでnoにしましょう。FreeBSDのデフォルトはnoです。

Keyを使わないでパスワードをそのまま使用できるという意味なので勘違いしないように）

変更は、1点、UsePAMをnoにする。新しい項目なのでいまいちつかめないのだが、

英語見ても大体しか理解できないし。

補足：Protocol　プロトコルのバージョンです。1と2がありますが、使うほうだけでいいでしょう。

FreeBSD QandA 1947（1.2の違い。）

いつもながらに適当にやってたので、すこし環境設定を調べてみようということで

WindowsのVirtualPCでいろいろやりつつ勉強を。

とりあえず、CUIオンリーのサーバマシン構築のため

インストールは、X　Windowなしでインストール。

カーネルとかのソースは勉強するためにすべて入れて、セットアップ。

初期設定で、ユーザとルートパスワードとネットワークIFの設定を終了させる。

これでインストールは終了で、これからが本番。

まず最初にするのは、コンパイラの設定がいいかなと思って調べてみる。

portsを作成するときやKernelを再構築するときにｇｃｃを使って作成するらしいので

そこで使うｇｃｃのオプションを設定しなければならないらしい。

gcc自体が使うのが/etc/make.confを見てオプションを読み込むらしいので

設定してみる。

参考Url

【FreeBSD】kernel/portsを最適化コンパイルする

otsune’s FreeBSD memo :: /etc/make.confの設定例

読んでみるとあまり設定しすぎても変になると書いてあるので

CPUTYPEのみ設定することにする。

覚書資料：

見本：/usr/share/examples/etc/make.conf

実物：/etc/make.conf

FreeBSD6でも7でもデフォルトでは、P3程度での最適化されているようです。

P4以降だとカーネル等もコンパイルしなおすほうがいいのかもしれません。

見本を見るとcore2やopteronなどあるのでそれらの場合は変更してみるのがいいかも。

まあ、サーバだとあまり変わらない気もしますが。

スラッシュドット・ジャパン | FreeBSD 7.0-RELEASE登場

7.0が出たのでサーバマシーンを新しくするか迷い中。

性能はどうでもいいけど、省電力に重点置いて組み直す予定。

少し前に買ったワットチェッカーだと120W（アイドル）になってて

ちょい多いので100W以下にはしたい。おそらく1番の問題は5個付いてるHDD

だと思われるので、Core2でHDD2台、Memory4Gくらいになると思う。

どうせならamd64に移行する予定。

ただBackupどうするか迷い中。Mainの方のデータとんだ件も考えて、

Raidだけでは心許ないので全体バックアップを考えた方がいいのかもしれません。

続きを読む →

うまく情報を見つけられない。

Webをいろいろ見てみると、設定の仕方は書いてあっても

設定の説明をしているページは少ないです。

いわゆるSoftwareDesign的な書き方をされてるページが多いが

UnixMagazine的な書き方をしているページは少ないです。

みんな英語の説明書読んでるのかな。大体だと読めるんだけど理解するには

結構不足なのと、読むのが遅いです。

sendmailで見つけたページで使えそうなのは、

http://www.imasy.or.jp/~ume/published/sendmail-auth/ sendmail.mcの解説

http://www.imasy.or.jp/~ume/published/sendmail-milter/ 解説としては、
説明部分がすくないが図での解説あり

http://www.linux.or.jp/JM/html/sendmail/man8/sendmail.8.html Sendmailの起動コマンド一覧

くらいでした。FreeBSD系からのデータが多いな。Linuxはこうすれば動くよと書くが説明ないからなにしてるか

分からないし勉強には使えない。

ハックするにはやっぱりBSD系がいいですね。

FreeBSD自体のUPDATE用コマンド

「freebsd-update」（6.2Rから組み込み済み）

いま入ってるのは6.1なんだがこれのために6.2できれいに入れなおすかな。

Portで入れてもいいのだが6.2のがすっきりする感じがする。

Ports用コマンド

「portsnap」（6Rから組み込み済み）

初回起動時は、

portsnap fetch （リストの更新をDLする。）

postsnap extract （リストの展開と更新をする。）

を実行。

2回目以降は、

portsnap fetch （リストの更新をDLする。）

postsnap update （リストの更新をする。）

をします。そのときのPortsリストをすべて更新します。

extractには、update+展開の機能があるので初回にextractすれば、updateはいらない。

portsの現在のバージョン比較する。

「pkg_version」

portsnapを実行した後に、実行すると現在入っているVersionと最新のVersionを比較してくれる。

portsで入れたソフトの更新

「portupgrade」

portupgrade -all （入っているすべてのソフトをUpgradeする。）