「ネットワーク・セキュリティ」カテゴリーアーカイブ

【雑記】書きたかったこと。出来事。買ったものとか(2023年2月中旬〜7月中旬)

ども。こんばんは。

気づけば7月も半ば、猛暑ですね。。

溜まりに溜まった雑記です。

■マウスピースを入れる布(2023/02/18)

アクセサリーの保存・プレゼント用ポーチ ベロア調巾着袋 Lサイズ 黒×5枚セット/包装 ラッピング

Amazonで¥820。

Gottsuの付属のポーチ?の紐が切れてしまったので購入。
こういう袋ってなんていう商品なんだろう?と思ったらジュエリーケースとかアクセサリーポーチとかで検索したらいいみたい。

まぁまぁいい感じ。

■龍が如く 維新! 極(2023/02/27)

Amazonで¥6,291。

まだ途中までしかプレイしてない・・・。

■新しいマウスピース(2023/03/04)

詳しくは↓こちら

サックス練習 – 54 – 新しいマウスピースと音質改善への取り組み

■テンセグリティが体験できるブロック(2023/03/04)

ZHGONG 組み立てブロック玩具を構築する反重力デバイス、クリエイティブ・テンセグリティ彫刻小説物理学のバランスDIYおもちゃのレンガKinderrätsel 6歳以上でご利用ください,グレー (Color : Gray)

Amazonで¥639。

ブロックになってて組み立て式。

取説見ながら作れば普通に組み立てはできるけどちょっと建付けが悪い気もする。

しかし不思議だなぁ。実際触っても不思議。

■ベルポーチ(2023/03/05)

PROTEC A312 アルトサックス用ベルinポーチ

Amazonで¥2,200。

マウスピースも2つになったし、やっぱり荷物が増えたらこれしかない缶ぁということで買いました。

ネックも入るっぽいですが、とりあえずマウスピースを2つ入れてます。まだ余裕ありそう。

ここにモノを突っ込むのはどうなんやろうと思いつつ、やっぱり便利ですね。

■法事で大阪へ(2023/03/15)

ちょっと大阪いってきました。

■電動エアダスター(2023/03/29)

楽天ポイントが余ってたので購入。

エアダスター 電動 充電式 電動エアダスター 強力 エコ 3段階風量調整 LEDライト付 ガス不使用 環境にやさしい ノズル付き エアーダスター ブロアー 小型 不燃性 エアスプレー キーボード PC 掃除 プラモデル

楽天で¥7,980。※全てポイント払い。

うーん、箱シンプル。

中身は本体とUSB Type Cケーブル(Type A to C)とノズル。

おしりのフィルターが掃除できるように取り外せる。かなりホコリが溜まる。

まぁ、ポイントでも溜まってない限り買わないかなぁ。と思いつつ、充電すれば無限に使えるので意外と利用頻度高いですね。
サックスのメンテにも使ってます。

■ドラえもんの温度・湿度計(2023/03/29)

【送料無料】 温湿度計 おしゃれ ドラえもん I’m Doraemon アナログ 温度計 温湿計 置き 掛け 兼用 風邪対策 ウィルス対策 熱中症対策 湿度計 観葉植物 小型 スリム コンパクト ミニ 便利グッズ インテリア雑貨 おしゃれ シンプル 健康管理 プレゼント 新生活 ギフト

楽天で¥2,200。※全てポイント払い。

ひとつ上の電動エアダスターと一緒にポイントで購入。

かわいい。オフィスの暑い寒い騒動に終止符を打つために購入。

■消費電力が見えるUSB Type-Cケーブル(2本目)(2023/03/31)

Mcdodo Type C Type Cケーブル 出力スクリーン表示 USB Cケーブル 1.2m 100W PD急速充電 高速データ転送 E-Markerスマートチップ搭載 アルミ合金外装 高耐久ナイロン編み typec usbケーブル MacBook iPad Air/Pro Galaxy Xperia Androidなど機種 その他のUSB-C機器対応 型番CA-1100 ブラック

Amazonで¥1,699。

過去にかったやつが壊れたので買い替え。

なんやかんや見えるのは便利だなぁ。

前回のやつとの違いはちょっと高級感がでた?くらい?

■大阪行ってきた(2023/04/05)

ちょいと仕事で大阪へ。
ホテル高すぎてビビった。

■digital dream labs vector 2.0(2023/04/11)

正直いつ注文したのかも忘れていたのが届いた…

とりあえず適当にセットアップして。あと技適ないんで、技適未取得機器を用いた実験等の特例制度に届け出を行っております。
やり方は完全に忘れましたが、マイナンバーカードがあればすぐできるし、申請ではなくて届け出なのですぐに利用開始できます。

動かしている様子はこんな感じ。

ちなみにESCAPE PODっていうDDLのサーバがなくても手元のRaspberry Piでサーバを動作させるライセンスも買ってるんだけど、全然登録うまく行かないしDDLサポートからの連絡も全然帰ってこないしで正直今はただの置物に…。

■ファンフィルター(2023/04/14)

SilverStone PCファンフィルター140mm(マグネット付き) SST-FF144B

Amazonで¥1,210。

後輩がESXi用にと、以前購入したものと同一構成のDH470を貸してくれたのでそれ用に。

■小型VGAモニターがついに壊れた(2023/04/12)

ある意味伝説の?小型モニターに謎の線が入るようになってしまった。まだまだ使いたいんだけど…。

参考:俺はVGAを少し甘く見ていたのかもしれない ― 小型モバイルディスプレイ購入

■ヘッドホンかけるやつ(2023/04/14)

サンワサプライ 回転式ヘッドホンフック PDA-STN18BK

Amazonで¥1,245。

これは会社用。かなり便利。

■新しいFortiGateとCatalyst(2023/04/17、23)

FortiGate 60Eのライセンスが切れたのと、10G対応のいい感じのCatalystがあったのでヤフオクで購入。

FortiGate 60F ライセンス 2025年4月まで
→¥45,000。安い!

Cisco Catalyst WS-3650-48PD-S
→¥26.000。10GアップリンクのうえPoEもついてこの値段は激アツ。

このブログ書いてる時点でまだ未着手っていうorz

それから、このCatalyst 3650は電源コードがちょっと特殊なので、日本ACコード JIS8303-C15/12A 2.5M PSEを買いました。

楽天で、¥1,848。普通の電源コードに比べてちょっと形状が違います。

■リプレイス用のLANケーブル一式(2023/04/24)

リプレイスするぞー!ってことでケーブル購入。

サンワサプライ LANケーブル CAT6A より線 10Gbps/500MHz ギガビット イーサネットケーブル ツメ折れ防止 RJ45コネクタ (0.5m) ブラック KB-T6AY-005BK

Amazonで¥455(3本購入)。

エレコム LANケーブル CAT6A 2m 爪折れ防止コネクタ cat6a対応 やわらか ブラック LD-GPAYC/BK2

Amazonで¥891(10本購入)。

エレコム LANケーブル CAT6A 1m 爪折れ防止コネクタ cat6a対応 やわらか ブラック LD-GPAYC/BK1

Amazonで¥800(10本購入)。

 

 

 

■10G SFP+トランシーバー(2023/04/24)

10GBase-T SFP+モジュール, 10G T, 10Gカッパー, RJ-45 SFP+ CAT.6a, 最大30m, 光トランシーバ, Cisco SFP-10G-T-S、Meraki、Netgear、Ubiquiti UF-RJ45-10G、Mikrotik、D-Link、Supermicro、TP-Linkなど互換

Amazonで¥9,200。

※まだ使ってないのでCatalyst 3650で動くかは不明です。多分最悪「service unsupported-transceiver 」的なコマンドいれたら動くはず。

■リードケース(2023/04/24)

D’Addario WoodWinds ダダリオ リードガード アルトサックス&クラリネット用 4枚収納可能 Reed Guard DRGRD4ACBK ブラック 【国内正規品】
販売: アマゾンジャパン合同会社

Amazonで¥1,211。

知人の家にYAMAHA YAS-380を置かせてもらう事になったのでそれ用に。

これはまた湿気で加水分解してベタベタになりそうな素材だなぁ。

■Core i5 + 32GBメモリのミニPC(2023/04/24)

MINISFORUM Venus Series NAB5ミニPC 第12世代 Core i5-12450H 32GB 512GB PCIe4.0 SSD 小型pc Windows 11 Pro コンパクトPC インテル UHD Graphics 2x2500Mbps LAN HDMI×2 /USB-C×2 4K@60Hz クワッドディスプレイ出力 小型デスクトップパソコン

Amazonで¥68,883。

いい加減Sandy Bridgeで動いているML110 G5を退役させないと思い、主にvCenter用に購入。

ちっちゃい。

やはりACアダプタは大きめ。

本体はまじで小さい。

2.5Gbpsが2個ついてるのもポイント。

ワンタッチでトップカバーが開く。

メンテナンス性はかなりいい。

標準でWindows 11も入ってる親切設計。

BIOSはちょっと古めかしい。

そしてまぁ普通にESXiを入れるとこうなります。
これは12世代Intel CoreシリーズとESXiの相性というか、PコアとEコアが存在することに起因する問題ですね。

なんかゴニョゴニョやって起動。

あと、これに搭載されているNICはESXi 8.0以降はCommunity Dirver入れなくても良くなったので、ついでにvCenter含めて全体的に8.0にしました。

7.0から8.0も昔ながらに、一回テンポラリな仮想マシンが出来上がってバージョンアップされる感じ。

とりあえずいろいろやった気がするけど動いてる。詳細は失念…。

■2023年GWの振り返り

●海行ってきた!(2023/04/29)

風が強くてあんまり遊べなかった。

●実家に帰省(2023/05/02-05)

珍しく長めに。祖母の法事やらお墓参りやら。

■昔から使っているDNSサーバをv2v(2023/05/09)

参考:ちっちゃいPCもらったよ!

2012年から使ってるDNSサーバやらなんやらをv2vして仮想マシン化。これも11年動いてたとかなかなか。

■あいみょんのライブBlu-ray(2023/05/17)

AIMYON TOUR 2022 “ま・あ・る” IN PIA ARENA MM [通常盤 Blu-ray] (特典なし) [Blu-ray]

Amazonで¥5,154。

ちょうどこれを見ながらブログ書いてます。

■クラファンでかったINKPLATE 2(2023/05/25)

3色表示可能な電子ペーパーを搭載したArduino互換ボード「Inkplate 2」

なんで購入したかも忘れた…。

kickstartarでEARLY BIRD: Inkplate 2 board + enclosureで37ドルだったと思う。

なんかに使おう。

■ネックストラップ(2023/06/04)

いつもAmazonで安いやつを買ってるけど今回は久々に?正規品。

ヨドバシカメラで¥1,350。

■新しいリガチャ!(2023/06/09)

買いました。

ロブナーです。
Gottsu Metal HL 2018はアルト用は合わないため、テナー用のスリムを。
MEYER 5MM用には、アルト用を買いました。

それぞれクロサワウインドで¥4,301。

これは別記事で書きたい…。

■新宿御苑前に行ってきた(2023/6/10)

言の葉の庭Wのモデルになった場所。

■サックスを落としてHigh F#キーをやらかす(2023/06/10)

やらかしました(´;ω;`)ブワッ

その後リペアにだしましたorz
今回は完全に自分の過失なので有償のリペアでしたが、このキー部分だけで済んだ(タンポ触らなくてよかった)ので、¥2,200でした。

■ブルーレイプレーヤー(2023/06/22)

パナソニック ブルーレイプレーヤー フルHDアップコンバート対応 ブラック DMP-BD90

Amazonで¥9,136。

これが噂の箱に直接伝票貼って送られてくるやつか…。

なぜ今更こんなものを買ったかというと…。
最近ちょっと落語にハマっていまして、会社の大先輩よりお借りしたこれを、寝室で寝ながら見るために買いました。

■短いHDMIケーブル(2023/06/22)

エレコム HDMI ケーブル 30cm 4K×2K対応 スーパースリム 環境に配慮した簡易パッケージ ブラック ECDH-HD14SS03BK

Amazonで¥699。

ひとつ上のBDプレイヤーに使うために。短くて安いという理由で購入。

■加熱式たばこ「Ploom X」を買う(2023/06/29)

過去iQOSやgloを買ったことがありますが、なんかまた買ってしまいました。

参考:iQOSはじめました
参考:glo(グロー)はじめました

またすぐやめそうだけど、キャンペーンで本体が¥980(Club JTで送料無料)で、さらに無料のスティックのサンプル券ももらったのでつい。

無駄にBluetoothがついてるけど、常時ペアリングではなく手動操作が必要。もうちょっとこれ便利に使えたらいいのに。

■Unihertz Titan Pocketのバックパネルが取れたのでアロンアルファでくっつけた(2023/06/29)

4月くらい?からこんな感じで後ろのパネル(バックパネル?リアパネル?)が浮いてきてまして。

どんどん外れてきたので思い切って外してみました。
お前ボンドでくっついとったんかーい!んで右側が端っこまでつボンドついとらんやんけ!

ということで、強引にアロンアルファでくっつけ直しました。失敗しました。まぁいいや。

■充電ステーション(2023/07/12)

UGREEN DigiNest Cube 65W PD 充電器 7ポート USB-C 電源タップ キューブ型 AC1250W 【USB-C×2 USB-A×2 AC差込口×3 GaN III (窒化ガリウム) 搭載 1.8m電源コード 一括スイッチ/アース/シャッター付き マルチ保護システム PSE技術基準適合】 充電ステーション テーブルタップ MacBook/Steam Deck/Switch/iPad/iPhone/Xperia/AQUOS/Galaxy/Pixel 各種機器対応 OAタップ/常時家電 卓上USB家電対応 CD268

Amazonで¥5,586。
※プライムデーセール

 

■ダンヒルの名刺入れ(2023/07/12)

[ダンヒル] 名刺入れ プレーン メンズ ブラック [並行輸入品]

Amazonで¥9,600くらい(たぶん)。
※プライムデーセール

2016年にかった名刺入れが破れてしまったので買い替え。

自分の名刺が取り出しやすくてすごい気に入ってたけど、流石に真ん中がガッツリ破れたので買い替え。

おお、こういうブランドのやつ初めて買った。

まぁわかってはいたけど、自分の名刺は取り出しにくい…。

■Ploom xのケース(2023/07/12)

ploom x 対応 ケース プルームエックス プルームX 収納ケース Ploom X 完全保護 まとめて収納 カラビナ付き ヒートステック キャリーケース 電子タバコケース 耐衝撃 指紋防止 おしゃれ 簡単に取り出し ケースをつけたまま充電可 持ち運び便利 男性 メンズ 女性 レディース ギフト 新型アイコスケース (カラー1)

Amazonで¥1,780。

ついつい買ってしまった。これはプライムデーのセールではなかったけど。

■SwitchBot ハブ2(2023/07/17)

SwitchBot スマートリモコン ハブ2 赤外線家電を管理 スマートホーム Alexa スイッチボット 学習リモコン 温湿度計機能付き 光センサー付き リモートボタン スケジュール シーンで家電一括操作 遠隔操作 節電·省エネ Google Home IFTTT Siri SmartThingsに対応 Hub2

Amazonで¥7,380。
プライムデーで買ったのにこれだけめちゃくちゃ届くの遅かった。

このハブ2は、温度計とハブがセットになっています。

いい感じ。ってか今日は本当に暑い。

あとは置き場所は考えないとだけど、とりあえずアプリいれてペアリングしてWiFi繋いで、アカウント作って、適当にリビングのシーリングライトやエアコンを登録。
無事動きました。

あとはAlexaとの連携とかぼちぼちやろうかな。
これで外からでもエアコンが操作できるぞー。

ふぅ。いっぱい書いた。
暑いですので皆様健康には十分ご注意ください。

ではでは。またの機会に。

Meraki Go GR12にリプレイスした&IPoEルータをUNIVERGE IX2106にリプレイスした!

ども。こんばんは。

我が家の無線LAN環境は、Cisco WAP150とArubaの303hを使っています。

【参考】
・Cisco関連
無線強化プロジェクト2nd Season – 6 – WAP150新しいファームウェアキタ━━━━(゚∀゚)━━━━!!
無線強化プロジェクト – 8 –
・Aruba
【雑記】書きたかったこと。出来事。買ったものとか(2018年8月分)

で、Aruba はAmazonデバイスの5Ghz帯利用と予備で残して、WAP150をリプレイスします。

リプレイスの理由は特にないですが、2022年のAmazonのブラックフライデーでやすかったので…

タイミングが良かったので¥25,925で購入できました!
ブラックフライデー前は¥36,000くらいだったと思います。

正直本物のMerakiじゃなくて「Go」なので、WPAエンタープライズが使えないのがちょっと微妙ですが、まぁWAPシリーズはもう後継でない気もするし、Goはサブスクリプションも要らなくなったし、WiFi6使いたいしとかそんな感じです。

では、やっていきます。

■開封

箱はシンプル。

開けたらすぐ出てきた。

下の段にはアプリのインストール方法とか書いた紙と付属品。

付属品の箱。

付属品はこんな感じで、LANケーブル、ACアダプタと、各種ネジ。

おー、白い。

そして、右がWAP150ですが、そんな黄ばむ!?っていうくらい黄ばんでますね。

設定していきます。

■初期構築

設定はAndroid/iPhoneアプリまたはmerakiのWebから行います。
基本的にローカルには画面とかないです。(後述しますがステータス表示用のUIはありますが設定変更はIPアドレスとVLANくらい?SSIDとかは全く設定できないみたいです。)

とりあえず本体をDHCPが有効なネットワークにつなぎます。
初期設定でVLANなしでDHCPになっています。

web.meraki-go.comにアカウントを作ってログインします。
※言語は英語がおすすめです。日本語だと一部のメニューが表示(リンクをクリックしても飛べない)できない不具合がありました。

Add Hardware的なところからシリアル番号と名前(自分で決める)を入力して追加します。

おー、見えるようになった。

あとはSSIDの設定とかをしていきます。

以下は我が家特有のやつです。

固定IPアドレスとVLANタギングを有効にする。
※うちではSSIDごとに若干VLANを分けているので、GR12本体をまずTrunk接続にできるようにします。
※当然対抗側はTrunkです。

あとは、適当にSSIDの設定をします。SSIDは4つしか登録できませんでした。
冒頭にも書きましたが、802.1xは未対応です。
そもそもやる意味もあんまりないですがMACアドレスフィルタもないです。

SYSLOGとかSNMPも対応してないようです…

SSID側はほとんど設定することなくて、周波数帯、パスワード、WPAのバージョン、VLANタギングの有効化とVLAN ID、ゲスト用かどうか(ゲスト用にすると、Merakiが下にセグメント作ってNATさせることもできるみたい)

あとは、ローカルの管理画面(ローカルステータスページ)のパスワードを変えました。デフォルトはユーザ名がシリアル番号でパスワードなしのようです。

ローカルステータスページは、以下の3種類のURLでアクセスできました。
※FQDNで接続する場合は、そのAP自身につないでないとだめです。設定画面見てると、「xxxx.dynamic-m.com」っていうDDNSっぽいのが払い出されてましたが、なんか待っても名前解決できるようになる雰囲気はない…

http://my.meraki.com/
http://ap.meraki.com/
http://IPアドレス

そのくらいかなぁ。あとはアカウントにMFAを有効化したくらい。
ファームウェアのアップデート時間もちょっと変えたかなー。

一応Webで設定したあと、Androidアプリも入れましたが、ほぼWebと同じものが表示されてただけでした。

まぁ端末の様子とかアプリケーションの利用状況とかいろいろ見えるから便利かもね。
※以下Webの画面ですがアプリでも見れます。

デバイス名はNetBIOS名とBonjour?とか色々駆使して表示してくれますが、自分で上書きすることもできます。どうしてもMACアドレスしか出なかった場合とか、変なDNS名で出ちゃったりした場合はわかり易い名前をつけることもできます。

全体の状況とか

アプリごとの使用状況とか(全体や端末ごとにも見れます)

ちょっと企業では嬉しいのが、接続に失敗した理由を出してくれます。
これ便利で、そもそもSSIDにつながらない理由ももちろん、IPアドレスがうまく設定できなかったとか、DNSの問題とか出してくれれます。ちょっと助かる。

まぁ構築はそんなところですかねぇ。

あとは、ファームウェアのバージョンがずっと「Not running configured version」でしたが、今見たらちゃんと表示されていました。

 

■トラブル発生!YouTubeやNetflixにつながらない

通信速度もWAP150より100Mbpsくらい早くなって(調子よいと500Mbpsくらい。もともとは250Mbpsくらい)ご満悦だったんですが、トラブル発生しました。

なんとYouTubeが見れません。あと、fast.com(Netflixが提供しているスピードテストサイト)で速度が測れません。
それからdアニメストアの動画再生ができません。

こんな切ないYouTubeの画面は初めて見た(T_T)

これめちゃくちゃ悩んでパケットキャプチャを見たところ、なんとGR12から送信されるパケットのうち、YouTubeとNetflix(ほかは未確認だが多分動画ストリーミング系?)などの一部IPアドレス宛のパケットにQoS(DSCPマーキング)ががかかってました。

以下NetflixのなんかのIPアドレス宛の通信のキャプチャです。
192.168.133.1はゲートウェイのFortiGateの送信元NATのIPアドレスで、この手前にMeraki Goにつながった端末と、有線の端末がいます。

・Meraki Go以外からの通信

・ Meraki Goを経由した通信

おわかりいただけるだろうか。Meraki Goを経由するとAF21が付与されているのである。

で、なんかよくわからんのですが、DSCPがついてると通信が帰ってこないんですよね。

ってことでFortiGateでその場しのぎで、ポリシーに以下を足しました。

config firewall policy
  edit ポリシーID
    set diffserv-forward enable
    set diffservcode-forward 000000
  end

通ったー!

うーん、やっぱりこれが問題だなぁ。ってことで、この時点では、NECプラットフォームズのAterm WG1200HS3(PA-WG1200HS3)が悪いんじゃないか?と考えました。

このルータは、OCNバーチャルコネクトにつなぐためにだけに存在しているルータです。導入の経緯は以下参照。

まぁ、こいつがDSCPマーキングされたパケット処理できないんじゃないかな?とかそんなことを考えていましたので、次章に続きます。

参考:OCNバーチャルコネクトでIPoE + IPv4 over IPv6接続 – 2 –

■IPoE接続用ルータをUNIVERGE IX2106にリプレイス

ここまでで、Meraki Goのリプレイスは完了、しかし、YouTubeとNetflix宛の通信にDSCPマーキングされてしまい、なぜか戻りパケットがこない、という状況になりました。
とりあえずFortiGateでDSCPを0に上書きして転送することで対処してますが、それもいまいち。

よろしい、以前購入したIX2106ならきっとうまくいくだろう、ということで随分前に購入したIX2106を構築しました。

参考:【雑記】書きたかったこと。出来事。買ったものとか(2021年7月、8月)

さて、久々に構築するのでファームウェアをアップデートしました。
※ファームウェアの入手方法は↑の参考記事を御覧ください。

で、OCNバーチャルコネクトの接続設定は、以下を参考にしました。

OCNバーチャルコネクト(動的IP)設定ガイド : UNIVERGE IXシリーズ | NEC

「設定例3 OCNバーチャルコネクト(動的IP)の設定 – IPv6 RA」を参考にしました。
うちはIPv6はクライアントには設定せず、IPv4をIPoEの中を流すだけです。
ひかり電話がありますが、この注意書きを見落としてました…

なお、ひかり電話契約有りの場合でも、ひかり電話対応機器(ひかり電話ルータ/ホームゲートウェイなど)のLANポートにIXルータを接続する場合には、設定例1のIPv6 RAでの設定をご利用ください。

しかも一回Webで「かんたん設定」をしてしまっており中途半端なConfigになってしまってます。整理はしましたが、設定例1の「IPv6パケットフィルタ」が残ってますね。。
これは、IPv6をクライアントにも払い出すような使い方をしたとき、クライアントへ外部からIPv6通信が通らないようにするACLだと思います。
今回私はトンネル流すだけなのでIPv6パケットフィルタはいらないはず、、、、、ですが、まぁ入れておきます。
これとは別でWebUIとSSHにはIPv4内部アドレスからのみつながるACLを適用済みです。

んで、まぁ正直コマンドもCiscoライクだし設定は難しくなくて、リプレイスは完了したんですが、

結局YouTubeみれんやかないかい!

はぁ。。。どうやらAtermのせいではなかったみたい。まぁおかげでずっとやろうと思ってたリプレイスが終わりましたが、、、

で、納得行かないけど今こうなってます。(FortiGateは設定をもとに戻してます)

(略)
!
class-map match-all any
match any normal
!
policy-map no-qos-policy
class any
set ip dscp 0
class class-local
class class-default 
!
(略)
!このインターフェースがFortiGateとつながってるいわゆるLAN側
interface GigaEthernet1.0
ip address x.x.x.x/24
service-policy enable
service-policy input no-qos-policy
no shutdown
!

 なんか、うーん、なんか違うくね…そうじゃなくね…と思いながらまぁ無事YouTubeも見れるようになったし、fast.comで速度も履かれるようになったし。まぁいいか。

てかこれ、OCNバーチャルコネクトがDSCPマーキングだめってことなのかなぁ?

一応MerakiのサポートにはDSCPマーキングをやめれないか問い合わせてますが、回答がありません。

企業向けならこういう動画配信サイトとかにQoSかけるのは納得行くけど、せめてOffにさせてほしい…

まぁなんだかんだありましたが、リプレースは完了。満足しています。

ではでは。またの機会に。

Android 12へWiFi証明書をインポートする方法のメモ

ども。こんばんは。

前回ハマった件の個人的なメモです。

参考:■AQUOS R5G(SHG01)の画面を割ってしまう(2022/07/25)

Android 11の2020年12月のアップデートより、802.1xを使う無線LANの設定で、CA証明書を「検証しない」設定ができなくなったようです。(メーカによって例外ありかも。Unihertz Titan Pocketは少なくとも前述のアップデーより新しいものが適用されていますが、「検証しない」が選べます。Chromebookも特にこの操作は不要です。)

以下のブログが大変詳しいので、詳細はこちらをご参照ください。

■環境

・Android
機種:AQUOS R5G(SHG01)
バージョン:Android 12

・NPS
Windows Server 2012 R2 (AD、NPS、RADIUS)

・AP
Cisco WAP150

・その他
PEAPを利用しています。

■ハマったことまとめ

AndroidにWiFiの証明書を入れるには秘密鍵も必要。(証明書だけじゃだめ。)

第1のハマりポイントは、証明書(PKCS#12な.pfx)をOneDrive経由でやり取りしたこと。(Windows Server→macOS→OneDrive→Android)

第2のハマリポイントは、自己署名なのでCA証明書もAndroidにインストールする必要があったこと。

■OneDriveに.pfxをおいてはいけない

詳細は調べてないのですが、どうもOneDriveに置くと、壊れるようです。

AndroidにOneDrive経由で証明書をインストールしようとすると、正しいパスワードを入れろと言われて、抽出できませんでした。

PKCS#12がだめなのかも?と思って、certとpemに変換しようとして、macOS(OneDriveからデスクトップのコピーして)のopensslコマンドで色々しようとしていたときのエラー。
正直どうやってもこれの原因がわからずかなり苦労しましたが、普通にOneDriveに一旦おかずに直接コピーしたらOKでした。

4307043884:error:0DFFF0A8:asn1 encoding routines:CRYPTO_internal:wrong tag:/AppleInternal/Library/BuildRoots/20d6c351-ee94-11ec-bcaf-7247572f23b4/Library/Caches/com.apple.xbs/Sources/libressl/libressl-2.8/crypto/asn1/tasn_dec.c:1144:
4307043884:error:0DFFF03A:asn1 encoding routines:CRYPTO_internal:nested asn1 error:/AppleInternal/Library/BuildRoots/20d6c351-ee94-11ec-bcaf-7247572f23b4/Library/Caches/com.apple.xbs/Sources/libressl/libressl-2.8/crypto/asn1/tasn_dec.c:317:Type=PKCS12

また、Exchange Onlineだとpfxファイルは規定ではメールに添付できないみたい。(設定変更で許可できる)
今回はGmailでAndroidに転送しました。

■AndroidへのWiFi証明書のインストール

NPSのPEAPのプロパティはこんな感じ。
※今回NPSはADと同一サーバです。

いい感じにpfxをエクスポートします。
この辺そんなに詳しくはないんですが、まぁいい感じに証明書ストアから抜きます。
※秘密鍵もセットでエクスポートする必要がある。(これがなぁ、Android意味不よなー。macOSとかはべつに秘密鍵なくてもつながるのに。)

で、これを抜いたやつをすぐにOneDriveにおいたのが良くなかった、というのが第1ハマりポイント。

で、これをインポートします。

なんだかんたんじゃん。OneDriveにさえ置かなければ!!!

だがしかし。まったくWiFiにはつながらねぇ…

正直エラーメッセージも何も出ないので、仕方なくADBログを確認(logcat)。

あ、M2のMacbook Airでも、以前のIntel版で使ってたADB(platform-tools)をファイルでコピーしたらそのままADBは使えました。(というか、iCloudでデスクトップ同期してたので勝手にデスクトップにいた。。)

すると、こんなエラーが。

08-14 00:29:59.545 1642 1663 I EthernetTracker: interfaceLinkStateChanged, iface: wlan0, up: true
08-14 00:29:59.558 3042 3042 I wpa_supplicant: wlan0: Associated with xx:xx:xx:xx:xx:xx
08-14 00:29:59.558 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-SUBNET-STATUS-UPDATE status=0
08-14 00:29:59.558 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-STARTED EAP authentication started
08-14 00:29:59.568 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-PROPOSED-METHOD vendor=0 method=25
08-14 00:29:59.568 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-METHOD EAP vendor 0 method 25 (PEAP) selected
08-14 00:29:59.582 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-PEER-CERT depth=0 subject=” hash=xxx
08-14 00:29:59.583 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-PEER-ALT depth=0 DNS:hoge.fuga.domain.com
08-14 00:29:59.583 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-PEER-ALT depth=0 DNS:fuga.domain.com
08-14 00:29:59.583 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-PEER-ALT depth=0 DNS:fuga
08-14 00:29:59.583 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-TLS-CERT-ERROR reason=1 depth=0 subject=” err=’unable to get local issuer certificate
08-14 00:29:59.587 3042 3042 I wpa_supplicant: wlan0: CTRL-EVENT-EAP-FAILURE EAP authentication failed

うーん、CA証明書付でエクスポートしたやつをインポートしたのにー…

もうよくわからんので、ADのCA証明書(これは秘密鍵は不要)をAndroidにインストール。

CA証明書を入れた状態で改めてWiFiの接続設定を開いたところ…

なるほど。こういう感じで本当は表示されないとだめだったけど、CAが信頼されていない(オレオレ)が故に、選択肢に出てこなかったということか!(多分)

ということで無事繋がりました。

この仕様どうなんだろう…

ではでは。またの機会に。

log4jの脆弱性(CVE-2021-44228)は意外とIPSやWAFでの検知が難しいかも

ども。こんばんは。

週末にビッグな脆弱性の話題が飛び込んできました。

通称log4shellと呼ばれるこの脆弱性はApache Log4j 2.15.0より前の2系のバージョンに影響があるとされています。

サーバサイドはじめ多くのJavaで書かれたプログラムに影響するのではないでしょうか。

【参考】

この脆弱性の厄介なところは、外部からクラスファイルを読み込めてしまうことによる影響と内部のロギングに利用していることで、影響範囲が膨大なところではないでしょうか。
例えばデバッグ目的でユーザからの入力をログに出したりするようなケース…ありえすぎる…

脆弱性のあるlog4jにとある文字列が渡されることで、JNDIという機能を通じて外部のladp/ldapsサーバ、dnsサーバ、rmiサーバと通信してしまう、更にladp(だけ?)サーバの応答を細工することでクラスファイルを読んで実行してしまうようです。
※ldapじゃなくてdnsにするとdnsクエリが飛びます。脆弱性が有効か試す上ではdnsが利用される可能性もありますね。

JNDI Lookupについて調べてみると「jndi:ldap」という感じの文字列が含まれるのでこれをWAFとかで弾いちゃえばいいじゃん、という気がしますが、そんなに単純でも無いようで、もうちょっと考えないとWAF やIPSが比較的簡単にバイパスされる恐れがあります。

以下参考ツイート。

実際に以下のサイトを参考においらもdocker上で脆弱なspring-bootを使ってテストしてみました。

https://github.com/christophetd/log4shell-vulnerable-app

参考ツイートはもちろん、こんな感じでもexploitは成立しました。
※別で用意したサーバにちゃんとldap通信が飛んできました。

${lower:j}ndi:ldap〜

現在各セキュリティ製品ベンダーから続々と対応するシグネチャが出ていると思います。

上記のようなパターンにも対応できているのかは要確認だと思われます。(実際においらは検証しましたが細かくは書きません…)

log4jの対策済みバージョンへの更新はもちろんですが、上記のようなバイパスの可能性はあるとしても、IPSやWAFがある場合は、シグネチャを有効化しておくことに越したことはないとは思います。今後上記のようなパターンに対応してくる可能性もあると思いますので。

【追記】
ちなみに、影響を少しでも抑えるという意味では、ファイアウォールやiptables/firewalldなんかで不要なLDAP通信を遮断するのも有効ではないかと思われます。そもそもインターネット直抜けでLDAP通信なんてそんなに無いだろうし、あったとしても宛先が限定できると思います。

クラウドとかだとアウトバウンド方向の通信の制御は最近あまりしない気もしますが、一昔前だと割と外向きもファイアウォールで制御してた気がするんですよね。
今回エクスプロイトが成立するかのチェックにDNSが使われるケースがありますが、DNSも本来であれば設定されたDNSサーバ以外のDNSサーバへの通信は塞いでおけばという気もします。
※昔気質の「DMZ」があるイメージのとあるネットワーク屋の感想ですが。。。

 

ではでは。またの機会に。

【雑記】書きたかったこと。出来事。買ったものとか(2021年7月、8月)

ども。こんばんは。

いつもの雑記です。2ヶ月分。

■携帯用のネックストラップが壊れたの買い替えた(2021/07/03)

仕事用の携帯には紛失防止のためストラップをつけています。
ずっとHameeのHandLinkerを使ってたのですが、割と何でもいいやと思って似たようなのを買いました。

ネクストラップ ストラップ 2WAY 吊下げひも リングストラップ iPhone ストラップ 携帯 ひも 首掛け フィンガーリング 脱着式 ブラック
Amazonで¥1,199。

これ、まんまHandLinkerだわ。。

■あいみょんのライブBlu-ray(2021/07/06)

いやー、良かったわー。通算3本目のライブ映像ですね。

AIMYON TOUR 2020 “ミート・ミート” IN SAITAMA SUPER ARENA (初回生産限定盤) (Blu-ray)
Amazonで¥5,355。

■耳かきスコープ(2021/07/06)

なぜこんなものを買ってしまったのか。。。
なんかファイバースコープっぽいもの?WiFiで映像が飛ばせるカメラ?があれば便利じゃなかろうかとかそんな理由ですが意外と満足しています。自分の穴という穴の中を見ました。

耳かき カメラ みみかき 耳掃除 スコープ カメラ付き耳かき カメラiphone 対応 イヤースコープ 3.0mm 極細レンズ 500万画素 LEDライト照明 IP67防水 耳掃除 無線WIFI スマホ&タブレット対応 耳掻き 子ども お年寄り プレゼントIOS&Android対応 日本語取扱説明書付き
Amazonで¥2,899。

中華製の怪しい感じ、一応技適ついてんのよね。
※一応総務省のHPで番号チェックしましたがちゃんと載ってるぽいです。

普通の耳かきも入ってた笑

取説。
WiFiでスマホとアドホックにつないで専用アプリでみます。

アプリはGoogle Play ストアで配信されてます(以前はapk配布だったとか)。ものすごい権限要求してくるのねこのアプリ。取説で拒否しろってのもなかなかおもしろい。ってかこれ素人には使えないわな。

こんな感じ。結論から言うとアプリには写真へのアクセス含めなんの権限も与えなくても見るだけなら大丈夫。

■巷で流行りのバブルーン(2021/07/10)

完全にノリで買った。近所のドラッグストアでいくらだったかな。おいらんちの洗面台だとYouTubeやTikTokで見るほど汚れは出なかった。
てかもうすでに流行ってない気がする。

■Lenovo Yoga Table 2のタッチが反応しなくなってしまった(2021/07/11)

Windows Update経由でオプションのドライバを当てたら、何が悪かったのかタッチが反応しない状態に。。。

あとスリープも入らなくなたぽい。あと、画面の回転センサーもおかしくなったぽい。もういい加減退役かな。iPad買ってからは大して使ってないからいいけど。。。

で、切り分けのために、無駄にこんなものを買った。
※まぁこれのおかげでタッチ操作だけの問題だってことがわかったんだけど。
どうするかなー。どうやって直そうか思案中のまま放置中。

iBUFFALO USB(microB to A)変換アダプター ブラック BSMPC11C01BK
Amazonで¥399。

■憧れの超音波洗浄機(2021/07/22)

マイナポイントとau povoのキャンペーンでもらったポイントでau payの残高が結構あったので、買ってみた。

シチズン(CITIZEN) SWT-710
au payマーケットで¥7,680。

シチズン(CITIZEN) WL100 ※MICRO MAGICKとかいう専用の洗浄液(時計バンドとメガネ専用らしい)
au payマーケットで¥884。

使う前に、結構万能だと思ってたけど、あらっていいものといけないものがあるらしい。
時計なんかバンド以外を突っ込むのは絶対ダメらしい。
スマホ突っ込んでる人いるっぽいけど、たとえ防水でも細かい泡が入り込む可能性があるらしい。
一部Amazonの紹介ページから洗えるものとあらえないもの引用して起きますが、大事なことがいっぱい書いてるのでマニュアルは読むべし。

マニュアル:https://www.citizen-systems.co.jp/support/download/electronic/manual/health/data/ultrasonic/SWT710_torisetsu.pdf

洗浄できるもの:
貴金属、プラスチック類、ガラス類、陶磁器類。
例えば、メガネ、アクセサリー、時計バンドの他に、
・歯ブラシ、入れ歯
・シェーバーの刃
・化粧ブラシ
・印鑑
・ナイフ、フォーク
・缶切り
・万年筆のペン先 なども洗浄可能。

洗浄できないもの:
べっ甲(メガネなど)、宝石付きの貴金属やメガネ、象牙・石材・木製品、腕時計本体(防水型を含む)、コンタクトレンズ、宝石(真珠、トルコ石、オパール、翡翠、エメラルド、珊瑚、コハクなど)、偏光レンズ付のメガネやサングラス、メガネのレンズがプラスチックの場合、キズやはがれなどがあるメガネフレームなど

とりあえずメガネ洗う。

動作音はこんな感じ。

ちなみに時計のベルトはこんな感じで洗浄できます。

洗浄前

洗浄後。おおー。きれいになってる。

知り合で使い方いれば喜んでお貸しします。

■無線LAN中継機(2021/08/04)

無線LANコンバータ?WiFiコンバーター?イーサネットコンバータ?目的として購入。

会社で構築中のネットワーク機器なんかをラボまで運ばずに気軽にNTP同期したり、ライセンス認証したりファームウェア更新したりするのにいいかなーと思って購入しました。

TP-Link WIFI 無線LAN 中継器 11ac/n/a/g/b 433+300Mbps 11ac対応 3年保証 RE200
Amazonで¥2,100。

中継機ですが、電波を出さずいわゆるイーサネットコンバータ的に使えます。まぁ手軽で安いし満足です。

■Shuttle DH470他、新しい超小型ESXiマシン(2021/08/26)

こちらは以下の記事にアップしています。

Core i9-10900でまた超小型最強ESXiを作ってしまった…Shuttle DH470で作る10コア20スレッド 64GBメモリのESXi

■巻取り式ライトニングケーブル(2021/08/28)

6年くらい前?に買った巻取り式のライトニングケーブルが接触不良になったので買い替え。
正直かばんに入れっぱなしであんまり活躍はしてないけど無いのも不安なので購入。

オウルテック 超タフシリーズ 巻取りライトニングケーブル Apple認証 iPhone/iPad 用 2年保証 120cm ホワイト AO-CBRKLT12-WH
Amazonで¥1,780。

ちょっと誤算。でかかった。

お道具箱にいい感じに入らねえ。まぁいいか。。。

■細くて短めのAC電源ケーブル(2021/08/28)

まぁ何でもよかった。
後述のNECのルータが電源ケーブルが付属していないとのことだったので購入。
電源ケーブルは結構家の中に探せばあるんだけど、どれも太くて長いのでたまには新品を購入。

アイネックス AC電源ケーブル 極細ストレートタイプ 0.5m ACP-05S-BK
Amazonで¥562。

 

■NEC UNIVERGE IX2106(2021/08/29)

言わずとしれたNECのルータ。

IPoE(うちはOCNバーチャルコネクト)接続用に、WG1200HS3を使っていますが、まぁスタティックルートもかけないし、セッションテーブルかNATテーブルが貧弱なのか大量に通信流すとあふれるっぽいんですよね。

FortiGate 60Eか60Fが手に入ればForiOS 7.0でMAP-eなどIPoEが使えるのですが、60Fはまだ高いorz

ならば、思い切って業務用ルータでも買うかーと。
長いことYAMAHAのRTX830をヤフオクで狙っていましたが、正直結構高い。相場としては4万は覚悟しないとって感じです。
球数は結構あるんですが人気もありますねー。
まぁどうせ1GbpsならRTXじゃなくてもいいかなってことで初めてのNECです。なお、IX2107のほうが上位機種なのになぜかオークションの相場は安い。。。
IX2106も相場的には3万〜3万5千円くらいのようですが、今回は¥22,000で落札できました!なんやかんやで結構入札して負けてます。粘りがちですね。

思ってたよりだいぶ小さいですね。
勝手なイメージで、1Uの半分の幅かと思ってました。
おそらく1/3ですね。3台横に並べて1U(19インチ)かな。

コマンドはCiscoライクで触りやすいです。

それと、勝手な推測ですが、中古市場でUNIVERGEよりRTXが人気な理由って多分ファームウェアの入手性だと思います。
YAMAHA はすぐ手に入りますが、NECはそうも行かない。

以下のダウンロードページからはダウンロードできず、以下のリンクが案内されています。

UNIVERGE IXシリーズ ダウンロード
https://jpn.nec.com/univerge/ix/download.html

↓入手方法はこちら、をクリックすると・・・。

Q.1-1 最新ソフトウェアの入手方法を教えてください。
https://jpn.nec.com/univerge/ix/faq/common.html#Q1-1

本装置をバージョンアップするためのソフトウェアは、指定の販売代理店を通じてご提供致しております。

本装置をお買い上げ頂きました販売代理店にご相談ください。

ところがですね、これを個人でも申請すればダウンロードサイトを教えてもうことができました。

ただ、多分個人向けでは無いと思うので、あんまり手順は細かく書きませんが、まぁググれば申請書のようなものが手に入りますのでその記載のとおりに申請します。会社名は「個人」と書いて申請させていただきましたが、とてもレスポンスが良く20分くらいでお返事をいただけました。

とりあえずダウンロードした最新のファームウェアを適用するところまで終わったので、ぼちぼち暇を見つけて構築していきます。

ではでは。またの機会に。

【雑記】書きたかったこと。出来事。買ったものとか(2021年4月、5月)

ども。こんばんは。

雑記です。

■新しいマイク(2021/04/04)

こちらでの記事で。
サックス練習 – 40 – 新しいマイク!

■たこ焼き器(2021/04/26)

岩鋳 Iwachu たこ焼23穴 IH対応 黒焼付 南部鉄器 24025

¥4,177。

これでたこパしました。美味しく焼けて満足。

■サックスのおもちゃ?(2021/04/26)

後輩の子供にプレゼント。

BONTEMPI ボンテンピ シルバーサックスフォン 8keys 42cm (324331) 楽器 アルトサックス おもちゃ 知育玩具 子供 3歳 プレゼント

¥2,860。

もうちょっとで3歳になるくらいの子供でも音は出せるみたいです。キーは押しっぱなしにしないと音が出ない模様。開放音はない。
音色はピアニカ?ハーモニカ?的な感じ。
4キーと8キーがあり、今回は8キーを購入しました。
半音階は出ないので、ドレミファソラシドだけ1オクターブのみです。
これで楽器が好きになってくれたら嬉しいな。
もうちょっと大きくなったら本物買おうね。

■プラズマクラスター交換ユニット(2021/04/28)

年明け位からずっとユニット交換ランプが点滅していていい加減に変えないとと思って購入。
今日現在まだ交換していません・・・。

【純正品】 シャープ プラズマクラスターイオンイオン発生ユニット IZ-C90M

一個¥2,417。うちの加湿器は、SHARPの加湿空気清浄器KI-GS50。

■ゲーミングヘッドセット(2021/05/28)

Logicool G ロジクール G ゲーミングヘッドセット G533 PS5 PS4 PC Switch Xbox ワイヤレス Dolby 7.1ch usb ノイズキャンセリング 折り畳み式 マイク付き 軽量 15時間バッテリー 国内正規品

¥10,500。

色々あってちょっとゲームでもするかってことで購入。

特にこだわりはなく、ワイヤレスで遅延が少なそうなのを選択。
Bluetooth接続のものでもいいんだけど、低遅延なapt-X LLに対応したいい感じのがなかったので、独自ワイヤレス式のこいつを選択。

2017年の製品なので、充電がMicro-USB orz
Micro-USBはもう増やさないぞ!と決めてたけどまぁしゃーない。。。

PS4でも使えるけど、2chステレオでしか使えないので注意!
ワイヤレスサラウンドヘッドホンに関してはこちらの記事で。

【超絶妥協】2020年サラウンドヘッドホン選び

なにも考えずにPCに接続した様子。
PCはWindows 10 21H1。ASRockのDesk Mini A300

普通に音も出るしマイクも使えるけど、ステレオになっている。

Logicool G Hubっていうソフトをインストールする。

インストールして再起動すると、7.1chになる。

あと、G Hub側でもサラウンドをオンにしないとだめかな?

このG Hubは若干不安定だけど、よくできていて、ゲームを認識できるみたいで、ゲームごとにサラウンドの設定などが自動で切り替えられます。

Apex Legendsをインストールしてみましたが、ちゃんと認識しました。
Apex Legends起動時はサラウンドかつサラウンドモードをFPSに切り替わるようにしています。

ちなみに、今回のプレイ環境はDeskMini A300で、Ryzen 5 3400Gを載せており、GPUは内蔵のRadeon RX Vega 11です。

1920だと流石に厳しいですが、解像度を落とせば、Apex Legendsでもギリギリ30fpsくらい出ました。最初の降下シーンは結構きついですが・・・。

■ケーブルの長いUSB3.0ハブ(2021/05/28)

エレコム USBハブ U3H-FC04BBK 【超小型・軽量設計】 USB3.0 Aポート×4 ケーブル1.5m ブラック MacBook/Surface/Chromebook他 ノートPC対応

¥1.799。

DeskMiniをダイニングに置いてるんですが、リビングだとワイヤレスキーボードやマウスが届かないんですよね。。
※体ひねってダイニングの方に向けば届かなくもないですがとぎれとぎれです。普段は基本リモートデスクトップで操作するので困らないんですけど、流石にゲームするにはちょっとなーということで。

距離的には2mもないくらいなのですが、壁があるのがだめなようで、見通しできる場所までレシーバを延長するためにケーブルの長いハブを購入しました。

以前、USB Typeのハブを購入しており、そいつを延長でもいいのですが、USB Type-Cのメスは規格違反なので。。。売ってますけどね。

リビングまで引っ張り出せたので、受信環境が超絶向上しました。

■激安のBluetooth 5.0アダプタ(ドングル)(2021/05/28)

Bluetoothアダプタ 5.0 【TELEC認証済(認証番号:217-204183)】 Bluetoothアダプター Bluetooth USBアダプタ 【低遅延 無線 小型 ドングル 最大通信距離20m Ver5.0 apt-X対応 EDR/LE対応(省電力)】Windows 7/8/8.1/10(32/64bit) 対応 Mac非対応 (Bluetooth 5.0)

¥1,090。

ノリで買いました。レビューもそこそこで、とにかく安い。(さらに安いのもありましたが、現実的に使えるレベルだとこれが一番無難そう。)

ドライバーのダウンロード元がDropboxっていうなかなかのはっちゃけぶり。
※後になって8cm CD-ROMが入ってることに気づきました。

無骨なデザイン。シンプルイズベスト。

とりあえず、挿せば普通につかえました。
まぁ、チップはRealtekのが入ってますからね。

で、特にドライバは意識せず、LogicoolのM336をつないで使ってました。

Amazonのレビューを改めてみていると、ドライバを入れないと対応するBluetoothプロファイルが少ないらしい?という話があり、入れてみることにしました。
※AmazonのレビューをみててCDが同梱されてることに気づきました。。。

でまぁ、ドライバなんでDropboxのほうが新しいかな?と思いCDは放置して、Dropboxからダウンロードしました。

URLはこちら。(パッケージに記載の通り)
5.zipって。。。

https://www.dropbox.com/s/vcvemz9rwr711rl/5.zip

よかった。ちゃんとRealtekだ。

インストールしても、デバイスマネージャーの表記とかは変わってない気がしますね。ちゃんとドライバのバージョンとか控えとけばよかった。
あと、インストール後ペアリング済みだったM336が繋がらなくなったぽいので再度ペアリングしました。

うーん、まぁ、いいや。あんまり気にしないでおこう。

まぁそんな感じです。


以下、今後書こうと思っているネタのメモ。

・FortiGateでWANインタフェースで公開するサーバ用のVirtual IPのインターフェース設定を間違ってanyにしてたら、WAN以外のインターフェースから出ていくときも、Global IPアドレスにNATされて参った話。まぁVIP作り直しで解決するけど。

・2枚のNICでチーミング(ボンディング)してたら、片方のNICが認識されなくなったんだけど、もう一枚のNICはせっかく生きてるのに、いかれた方のNICが時折100Mbpsでリンクアップするもんだから、Catalyst側のether channelで、ミスマッチが起きてせっかく生きてるの方のNICをsuspendしやがって、結局全断した話。

OSが認識しなくなったNIC:100Mbps
いけてるNIC:1000Mbps

なぜイケてる方をsuspendしやがる・・・。

・ラズパイが起動しなくなった。4ヶ月ぶり、2回目。
PCに繋げば読み込めるのにbootできない。起動後緑LED点灯しっぱなし。ちなみにRaspberry PI 3 Mobdel B。
イメージ焼き直したら普通に起動した。
Pi 3 Bは、ネットワークブートはだめっぽいけど、USB bootは行けそうなのでUSBに変えるかなぁ。まぁ古いしそろそろSDカードは限界だろうなあ。

SDカード買い換えるなら、いっそPi 4の8GBのやつに買い換えようかなぁと思うけど、まぁ別に特段用途ないしなぁっていう感じ。

・kusanagiをyum updateしたら、

–> 依存性解決を終了しました。
エラー: パッケージ: kusanagi-php7-7.4.20-1.noarch (kusanagi)
要求: libonig.so.105()(64bit)
問題を回避するために –skip-broken を用いることができます。
これらを試行できます: rpm -Va –nofiles –nodigest

こうなって、こうやったら

# yum update –enablerepo=remi

エラー: パッケージ: php-pecl-zip-1.19.2-1.el7.remi.5.4.x86_64 (remi)
要求: php(api) = 20100412-64
削除中: kusanagi-php7-7.3.28-1.noarch (@kusanagi)
php(api) = 7.3.28
次のものにより更新された: : kusanagi-php7-7.4.20-1.noarch (kusanagi)
php(api) = 7.4.20
インストール: php-common-5.6.30-1.el7.remi.x86_64 (@remi-php56)
php(api) = 20131106-64
利用可能: kusanagi-php7-7.2.13-1.noarch (kusanagi)
php(api) = 7.2.13
利用可能: kusanagi-php7-7.3.0-2.noarch (kusanagi)
php(api) = 7.3.0
利用可能: kusanagi-php7-7.3.1-1.noarch (kusanagi)
php(api) = 7.3.1
利用可能: kusanagi-php7-7.3.2-1.noarch (kusanagi)
php(api) = 7.3.2
利用可能: kusanagi-php7-7.3.3-1.noarch (kusanagi)
php(api) = 7.3.3
利用可能: kusanagi-php7-7.3.4-1.noarch (kusanagi)
php(api) = 7.3.4
利用可能: kusanagi-php7-7.3.5-1.noarch (kusanagi)
php(api) = 7.3.5
利用可能: kusanagi-php7-7.3.6-1.noarch (kusanagi)
php(api) = 7.3.6
利用可能: kusanagi-php7-7.3.7-1.noarch (kusanagi)
php(api) = 7.3.7
利用可能: kusanagi-php7-7.3.8-1.noarch (kusanagi)
php(api) = 7.3.8
利用可能: kusanagi-php7-7.3.8-2.noarch (kusanagi)
php(api) = 7.3.8
利用可能: kusanagi-php7-7.3.8-3.noarch (kusanagi)
php(api) = 7.3.8
利用可能: kusanagi-php7-7.3.9-1.noarch (kusanagi)
php(api) = 7.3.9
利用可能: kusanagi-php7-7.3.9-2.noarch (kusanagi)
php(api) = 7.3.9
利用可能: kusanagi-php7-7.3.10-1.noarch (kusanagi)
php(api) = 7.3.10
利用可能: kusanagi-php7-7.3.11-1.noarch (kusanagi)
php(api) = 7.3.11
利用可能: kusanagi-php7-7.3.12-1.noarch (kusanagi)
php(api) = 7.3.12
利用可能: kusanagi-php7-7.3.12-2.noarch (kusanagi)
php(api) = 7.3.12
利用可能: kusanagi-php7-7.3.13-1.noarch (kusanagi)
php(api) = 7.3.13
利用可能: kusanagi-php7-7.3.14-1.noarch (kusanagi)
php(api) = 7.3.14
利用可能: kusanagi-php7-7.3.14-2.noarch (kusanagi)
php(api) = 7.3.14
利用可能: kusanagi-php7-7.3.15-1.noarch (kusanagi)
php(api) = 7.3.15
利用可能: kusanagi-php7-7.3.16-1.noarch (kusanagi)
php(api) = 7.3.16
利用可能: kusanagi-php7-7.3.17-1.noarch (kusanagi)
php(api) = 7.3.17
利用可能: kusanagi-php7-7.3.17-2.noarch (kusanagi)
php(api) = 7.3.17
利用可能: kusanagi-php7-7.3.18-1.noarch (kusanagi)
php(api) = 7.3.18
利用可能: kusanagi-php7-7.3.19-1.noarch (kusanagi)
php(api) = 7.3.19
利用可能: kusanagi-php7-7.3.20-1.noarch (kusanagi)
php(api) = 7.3.20
利用可能: kusanagi-php7-7.3.21-1.noarch (kusanagi)
php(api) = 7.3.21
利用可能: kusanagi-php7-7.3.22-1.noarch (kusanagi)
php(api) = 7.3.22
利用可能: kusanagi-php7-7.3.23-1.noarch (kusanagi)
php(api) = 7.3.23
利用可能: kusanagi-php7-7.3.24-1.noarch (kusanagi)
php(api) = 7.3.24
利用可能: kusanagi-php7-7.3.25-1.noarch (kusanagi)
php(api) = 7.3.25
利用可能: kusanagi-php7-7.3.26-1.noarch (kusanagi)
php(api) = 7.3.26
利用可能: kusanagi-php7-7.3.27-1.noarch (kusanagi)
php(api) = 7.3.27
利用可能: kusanagi-php7-7.4.19-1.noarch (kusanagi)
php(api) = 7.4.19
利用可能: php-common-5.4.16-48.el7.x86_64 (base)
php(api) = 20100412-64
利用可能: php-common-5.4.45-18.el7.remi.x86_64 (remi)
php(api) = 20100412-64
利用可能: kusanagi-php7-7.0-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.2-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.2-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.4-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.5-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.6-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.7-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.8-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.9-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.9-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.10-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.10-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.11-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.12-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.13-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.14-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.15-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.16-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.16-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.17-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.18-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.19-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.20-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.21-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.23-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.3-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.4-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.5-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.6-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.6-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.7-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.8-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.8-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.9-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.10-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.11-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.11-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.12-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.3.0-1.noarch (kusanagi)
見つかりません
エラー: パッケージ: php-pecl-zip-1.19.2-1.el7.remi.5.4.x86_64 (remi)
要求: php(zend-abi) = 20100525-64
削除中: kusanagi-php7-7.3.28-1.noarch (@kusanagi)
php(zend-abi) = 20131226-64
次のものにより更新された: : kusanagi-php7-7.4.20-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
インストール: php-common-5.6.30-1.el7.remi.x86_64 (@remi-php56)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.2.13-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.0-2.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.1-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.2-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.3-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.4-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.5-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.6-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.7-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.8-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.8-2.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.8-3.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.9-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.9-2.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.10-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.11-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.12-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.12-2.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.13-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.14-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.14-2.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.15-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.16-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.17-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.17-2.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.18-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.19-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.20-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.21-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.22-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.23-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.24-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.25-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.26-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.3.27-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: kusanagi-php7-7.4.19-1.noarch (kusanagi)
php(zend-abi) = 20131226-64
利用可能: php-common-5.4.16-48.el7.x86_64 (base)
php(zend-abi) = 20100525-64
利用可能: php-common-5.4.45-18.el7.remi.x86_64 (remi)
php(zend-abi) = 20100525-64
利用可能: kusanagi-php7-7.0-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.2-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.2-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.4-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.5-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.6-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.7-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.8-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.9-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.9-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.10-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.10-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.11-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.12-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.13-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.14-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.15-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.16-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.16-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.17-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.18-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.19-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.20-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.21-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.0.23-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.3-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.4-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.5-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.6-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.6-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.7-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.8-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.8-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.9-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.10-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.11-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.11-2.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.2.12-1.noarch (kusanagi)
見つかりません
利用可能: kusanagi-php7-7.3.0-1.noarch (kusanagi)
見つかりません
問題を回避するために –skip-broken を用いることができます。
これらを試行できます: rpm -Va –nofiles –nodigest

こうしたらいけた。

# yum update –enablerepo=remi,remi-php56

そして、ノリでphp7に移行するため、kusnagi php7してhash -rしたら

このサイトで重大なエラーが発生しました。

になった。話。kusnagi php-fpmで切り戻したけど、なんかのプラグインがphp7で動かない臭いので要調査してphp7への再移行する。

以下参考。

KUSANAGIモジュール更新情報

ではでは。またの機会に。

Enterprise Mobility + Security E3ではじめるゼロトラスト入門 – 7 – FortiGate のSSL-VPNをSSOにする

ども。こんばんは。

今回は、FortiGateのSSL-VPN接続(Webモード)をAzure ADを使ったSSO(シングル・サインオン)で実装します。

基本このあたりのチュートリアル通りです。

チュートリアル:Azure Active Directory シングル サインオン (SSO) と FortiGate SSL VPN の統合

Configuring SAML SSO login for SSL VPN web mode with Azure AD acting as SAML IdP

先にハマった?ポイントを・・・。

FortiGate SSL-VPNのSSOはSP-Initiatedのため、FortiGate側からフローを開始することで認証が行われます。(前回行ったAWSはIdp-Initiatedなため、Idp(Azure AD)からフローを開始します。)

完成形がこちらの画面ですが、「Single Sign-On」のボタンを表示させるためには、SAMLの設定をするだけではだめで、実際に「SSL-VPN」インターフェースから、LAN側等へのポリシーを設定し、そのポリシーの送信元にSAMLユーザを含むグループを指定する必要があります。。。

これを知らなくて、Single Sign-Onボタンを表示させるのにめちゃくちゃ時間かかりましたが、ここさえ把握しておけば設定はかんたんです。

■Azure ADの準備

まずは、エンタープライズアプリケーションにFortiGate SSL VPNを追加します。
※FortinetのドキュメントだとNon Galleryになっていますが、今は存在するようです。

アプリケーションにユーザを割り当てます。

シングルサインオンの設定からSAMLを選択します。

例にのっとって、識別子(エンティティID)、応答URL、サイオンURL、ログアウトURLを設定します。

次に、「ユーザー属性とクレーム 」を設定します。
※ここで指定した属性をFortiGateが受け取ってユーザ名などを処理するイメージです。デフォルトで「name」 があるのでこれでユーザ名使えるのかなと思ったのですがうまく行かなかったので、下記のようにusernameを追加しています。この”username”はFortiGate側にも設定します。

冒頭で記載したMicrosoftのチュートリアルでは、グループについても追加していますが、グループの追加はグレーアウトして押せなくかったので、やっていません・・・。

 

続いて、SAML署名証明書から、証明書(Base64)をダウンロードします。

■FortiGateの設定

ここからFortiGateの設定をします。
今回FortiGateはForiGate 60E、FortiOSは6.2.5で、VDOM環境です。

まずは、先程ダウンロードした証明書をインポートします。
証明書(Certificates)のGUIが標準では表示されていないので、まずは、そこから設定します。

Global VDOMの[System]->[Feature Visibility]から、Certificatesを有効します。

対象のVDOMに移動して、証明書をImportします。

インポートした証明書の名前を覚えておきます。
※画面では、「REMOTE_Cert_1」 です。

続いてコマンドラインで以下の設定を導入します。

idp-entity-id 、idp-single-sign-on-url、idp-single-logout-url は、Azure ADの画面からコピペします。
なお、idp-single-logout-url には「?(クエッションマーク、はてなマーク)」が入っています。

FortiGateにCLIで?を入力する場合は「Ctrl+v」のあとに「?」を入力すれば、コマンド候補の代わりに「?」が入力できます。

「set user-name “username”」のusernameは、Azure ADのユーザ属性に自分で追加した名前です。

config user saml
    edit "azure"
        set entity-id "https://[FortiGateのFQDN]/remote/saml/metadata"
        set single-sign-on-url "[FortiGateのFQDN]/remote/saml/login"
        set single-logout-url "https://[FortiGateのFQDN]/remote/saml/logout"
        set idp-entity-id "https://sts.windows.net/xxxx/"
        set idp-single-sign-on-url "https://login.microsoftonline.com/xxxx/saml2"
        set idp-single-logout-url "https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0"
        set idp-cert "REMOTE_Cert_1"
        set user-name "username"
        set group-name "group"
    next
end

作成したユーザをグループに入れます。
※グループに突っ込まないと、そもそもポリシーで利用できません。
Microsoftのチュートリアルでは、さらにmatchをつかって、Group-IDで絞り込んでいますが、今回はそこまでやっていません。

config user group
    edit "SSLVPN_from_AzureAD"
        set member "azure"
    next
end

最後にポリシーに適用します。
※ポリシーに設定して、初めてログイン画面にSingle Sing-onボタンが表示されます。

■テスト

今回はSP-Initiatedなので、FortiGateの画面から行きます。

おお。できた。

ちなみに、パーソナルブックマークとか作ってもちゃんと保存されます。

設定は、ユーザ名「xx@xxx.xx#SAML設定名」としてconfigに保存されるようです。

あと、FortiClientもSAML Logonというのができそうなのですが、どうもこれは、有償版?か6.4の機能っぽい?

こんなふうにできるはず?

https://sites.google.com/frellsen.se/kimfrellsen/fortinet-ssl-vpn-with-okta-mfa-using-saml?authuser=0

 

今回はSSL-VPNに関してSSOを設定しましたが、管理画面もできるようなので、今後は管理画面もSSO対応を検討したいと思います。

【バックナンバー】

ではでは。またの機会に。

FortiGateで特定のイベントだけSYSLOGに出力する

FortiOS 6.2.4 6.2.5で動作確認ずみ。

FortiGateからSYSLOGでログを飛ばす際にWebfilter(URLフィルタ)のログだけ出したいような場合のフィルターの書き方を見つけたのでメモ。

以下の例は2番目のsyslogサーバ(syslogd2)のでwebfilterだけを飛ばす場合。

set forward-traffic enable(デフォルトでenable)のままでもトラフィックログは飛んでこなかった。

ちなみにlogidでフィルタしてもいいのだけど、webfilterだけでいいとかの場合は、↓のほうが楽な気がする。

一応blockもallowも飛んできました。

# show log syslogd2 filter 
config log syslogd2 filter
set filter “webfilter-level(information)”
end

その他filterで使えるもの

Please input the logid list or level (or both) as filters.

[logid(…)] [traffic-level(…)] [event-level(…)] [virus-level(…)] [webfilter-level(…)] [ips-level(…)] [emailfilter-level(…)] [anomaly-level(…)] [voip-level(…)] [dlp-level(…)] [app-ctrl-level(…)] [waf-level(…)] [dns-level(…)] [ssh-level(…)] [ssl-level(…)] [cifs-level(…)] [file-filter-level(…)]

See the following 2 examples.

example 1

set filter “logid(40704,32042)”

example 2

set filter “event-level(information)”

The available levels are as the following:

emergency,alert,critical,error,warning,notice,information,debug

昔は、webfilterとかipsとかの単位でかんたんにenable/disableできたような・・・。

FortiOS 6.2.5が出ていた

リリースノート

https://docs.fortinet.com/document/fortigate/6.2.5/fortios-release-notes/760203

我が家では以下の問題が解決

みんな大好き!MTUのコーナー
→なぜかMTUを手動で調整しないとPS4がPSNにサインインできない。

なぜかiPadのFacebookアプリが記事の読み込みができない。

特にそれらしいresoved issueはなさそうだけど、多分MTU周りの修正が入っていると思われますね。

みんな大好き!MTUのコーナー

ども。こんばんは。

MTUの話です。

職場ではネットワークのトラブルを聞きつける度に「MTUが大っきいんじゃない?」と詳しく聞く前に口にしますが、たまに当たるから馬鹿にできないんですよね。しかもMTU(MSS)周りって気づきにくいことが多いので、とりあえずどんなトラブルでもMTUを疑うようにしています。
※もちろん切り分けはOSI参照モデルの物理層から順番に!

【関連】
くどいほどにMSSとかMTUの話

FortiGateをリプレイスしまして、何故かPS4がPlaystation Networkにサインインできないという事象が発生しました。

ネットワーク診断をやってみると、インターネット接続は成功するのにPlaystation Netowrkだけ失敗する状況です。

PS4は、固定IPアドレスのInterlink回線から、Virtual IPでスタティックNATをしています。
SD-WAN Rulesで、出口はPPPoEにしてるんですけどねー。

FortiGate リプレイス前は、こんなトラブルなかったのですが、MTUを1454に設定したら直りました。

FortiGate側のPPPoE Status ReportはMTU 1454をちゃんとひろってるのになー。なんでPS4側で調整しないとだめなんだろ。

もしかして、SD-WANインターフェース関連・・・?なのか・・・?

FortiOS 6.2の問題なのかSD-WAN利用時の問題なのかは不明です・・・。

以下おまけです。IPoE(OCNバーチャルコネクト)側はどうなってるのかmacOSで調べてみました。macOSでDFを有効にしたMTUの調査用Pingコマンドはこんな感じです。

# ping -D -s 1432 8.8.8.8 -c 1
PING 8.8.8.8 (8.8.8.8): 1432 data bytes
76 bytes from 8.8.8.8: icmp_seq=0 ttl=53 time=56.544 ms
wrong total length 96 instead of 1460

— 8.8.8.8 ping statistics —
1 packets transmitted, 1 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 56.544/56.544/56.544/0.000 ms

1432(MTU 1460)が最大です。IPv6でカプセル化してるしこんなもん?なのかな?

念の為、インターリンク回線に収容しているLinuxでもチェックしました。

# ping -c 1 -s 1426 -M do 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 1426(1454) bytes of data.
76 bytes from 8.8.8.8: icmp_seq=1 ttl=54 (truncated)

— 8.8.8.8 ping statistics —
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 5.724/5.724/5.724/0.000 ms

想定通り、MTU 1454(1426にICMPヘッダとIPヘッダを加えた値)ですね。

ブラウザでお手軽に調べるのは以下のサイトが便利です。

http://www.speedguide.net/analyzer.php

ではでは。またの機会に。