「IT」カテゴリーアーカイブ

IT, Linuxのこと, Windows, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

またまたSSL証明書な話

コメントする

ども。こんにちは。

またまたSSL証明書な話です。

先日作りなおしたばかりですが、やっぱりsha256対応にしたいなと思って作りなおすことにしました。

そのまえに、とりあえずPOODLE対策にSSLv3を無効化しておきます(忘れそうなので。)

SSLProtocol all -SSLv2 -SSLv3

↑こんな感じで、conf.d/ssl.confを変更。うちはもともと-SSLv2のみでした。

さて、証明書の作り直しと行きたいところですが、うちの認証機関(エンタープライズCA？AD CS？っていうのかな？)は、暗号化サービスプロバイダ(CSP)はsha1で作ってましたね。。。
※Microsoft RSA/Schannel Cryptographic Providerってやつですね。

あ、ちなみにうちのDCはWindows Server 2008 R2 Service Pack 1です。

こいつをsha256にしないと・・・

うーん。作り直し？なのかなー。と思って調べてみたら、コマンドでできる模様？
#てかM$さんも、自分とことGoogleでsha1やめるぽよ的な事言いながらちょいと不親切じゃないっすかね。。。

Upgrade Certification Authority to SHA256
http://blogs.technet.com/b/pki/archive/2013/09/19/upgrade-certification-authority-to-sha256.aspx

certutil -setreg ca\csp\CNGHashAlgorithm SHA256
net stop certsvc
net start certsvc

やってみますた。

あれ、何も考えずにCA証明書の書き換えやっちゃったけど、自動で出来てたっぽい？？んん。。。

なんか色々してたらCA 証明がいっぱいになった。。。

とりあえずなんか疲れたので適当にやったら出来ました。

まだまだ勉強不足ですねえ。

ではでは。またの機会に。

 

 

Cisco, IT, VMWare, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

Catalystとetherchannelとジャンボフレームと私

1件のコメント

ども。こんばんは。

やっとリプレース終わりました。

正直リプレース自体は抜線、結線含めても2、3時間の話なのですが、
ESXiからNASが見えなくなるという。。。当然仮想マシンイメージはNASの上という。。。

いや正確には見えるけど、通信ができない。というか、なんというかもうあれな状態。
ちなみにNASは一応、IP-SAN的に別セグメントにしている。

NASもESXiももともとリンクアグリゲーションをしていました。

んで、そのノリだったのですが、CiscoとESXi(今回は5.5)では、
etherchannelのonモードのみしか使えない模様。最初はactive(=LACP)にしていて失敗。
※ProcurveではTrunkモードだったのであんまり気にしていなかった。。

参考：ESXi/ESX および Cisco/HP スイッチによる EtherChannel/リンク集約コントロール プロトコル (LACP) のサンプル構成 (2052973)

まぁ、これはいいんです。さほどの話ではない。

問題はここから。

結局etherchannelをちゃんと設定しても全然ダメ。
NFSもマウントはされているけど、参照しようとすると切られる。。。

iSCSIもターゲットは見つかってるけどLUNが見えない。

5,6時間は調査しましたね。。

結論。ジャンボフレーム。

んあ。。。
えええええええええええええええええええ。

vlanでMTU 9000にしてたのに？！なんで？！

3750(config)# system mtu jumbo 9000
3750(config)# exit
3750# reload

知るかあああああああ！！！！！
※参考：http://www.cisco.com/cisco/web/support/JP/100/1003/1003323_148.html

じゃぁVLANで設定できるMTUって何よ？！

と思いつつ。。。

reloadかましたらｷﾀ━━━━(ﾟ∀ﾟ)━━━━!!

疲れた。。。。

Catalyst 3750G

 

無事できましたとさ。OSPFもちゃんと回ったし、とりあえずリプレース終わり！

ではでは。またの機会に。

メモ：
Switch Ports Model SW Version SW Image
—— —– —– ———- ———-
* 1 24 WS-C3750G-24T 12.2(37)SE1 C3750-ADVIPSERVICESK

IT, どうでもいいこと, アニメのこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

Catalyst買った&PSYCHO-PASS 2期も最高！

コメントする

ども。こんにちは。

Catalyst買いました。

最近Procurveが不調なことと、VM化を進めて、ポート数がだいぶ減って、24ポートでも耐えれるようになったこともあり、
3750Gを購入。

今使っているProcurveは似非L3なので、今度はちゃんとOSPFとかも回るはず。

全ポートギガのCatalystが3万程度で買える時代ですね～。

さって、リプレースしますか！

話変わって、PSYCHO-PASS２期も始まりましたね。

面白いですね。新編集版を見終わった直後に始まったので世界観そのままに楽しめています。

ではでは。またの機会に。

Firewall, Fortinet FortiGate, IT, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

FortiTokenメモ

コメントする

・FortiGate上にメールサーバの指定必須。
※Activation Codeがそこ経由でくる。CLiからでもコード見れるけど。

・標準で2つまで無償

・3rd Party AccouFFntだとうまくいかない。QRコードを使うべし
※Pendingのままになって認証失敗になる。

・FortiCareのアカウントは知らなくても関係なし。

Firewall, Fortinet FortiGate, IT, Linuxのこと, Windows, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

証明書とADな話

コメントする

ども。こんばんは。

家の中のいろんな証明書が失効してまして。

ちょっと勉強がてら更新です。

今回の方針としては・・・

・Active Directory証明機関で署名する

ということにしています。
※どうせオレオレ証明書なので、ドメインに参加しているPCはCAの証明書をインポートしているので。

んで、CSRをopensslで作ったのですが、証明書テンプレートの情報がないらしく、証明機関で署名出来ない。。。

諦めてIISで作ります。

今回はドメイン全体の証明書が欲しかったので、IISでドメイン証明書を作成。
どういう設定か忘れてしまいましたが、自動で証明機関が署名してくれました。

これをpfxでエクスポート。

この状態だとちょっと使いにくいので。。。

まずはpfxを変換

openssl pkcs12 -in cert.pfx -out cert.txt

中身をキーと証明書に分けて保存。(テキストエディタとかで)

Apacheとかでも使うので、パスフレーズを外す

openssl rsa -in localhost.key -out localhost.key

こんな感じですかね。

今回更新したのは

・Apache
・Dovecot
・FortiGate

です。ApacheやDovecotはさほどでも無いですね。

FortiGateはpfxでも対応していたみたいです。。今回はせっかくばらしたので、certとkeyをそれぞれインポート。
管理画面とSSL-VPN用に当てました。

管理画面はCLIで。

config system global
set admin-server-cert “インポートした証明書”

そんな感じ。

■おまけ

ついでにFortiGateのSSLインスペクション用のCA証明書をADで配布するようにしました。

まずはFortiGateの管理画面から「Fortinet_SSLProxy」をダウンロード。

ADでグループポリシーの管理で、
「コンピュータの構成->ポリシー->Windowsの設定->セキュリティの設定->公開キーのポリシー->信頼されたルート証明機関」
にインポート。

んでまぁ適当にgpupdateしておく。

こんな感じです。多分正しいFortiGateでのSSL復号化(SSL Inspection)の使い方・・・だと思いたい。

ではでは。またの機会に。

IT, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

通信が遅いと思ったら

コメントする

最近、デスクトップのマシンからNASへのファイルコピーが遅いと思ったら・・・

なんとリンクが100Mbpsというオチでした。。。

うーん。原因不明。

なんとなくIntelのユーティリティで診断とかしてるうちに直った模様。。。

しかもチーミングしてて、片方だけ100Mbps。。。

えー。。。もっと早く気づこうよ。。。

IT, Windows, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

今更ながらプリンタを買った。

コメントする

ども。こんばんは。

すごく今更ですが、プリンタを買いました。

一人暮らししててはじめてかった。。。

今は複合機でも1万も出せば購入できるんだたな・・・

しかも家庭向けなのにSNMPやProxyの指定、NTPの指定・・・とかとかごく当たり前にできるんですね。

今回購入したのはブラザーのDCP-J4215N。

http://www.brother.co.jp/product/printer/inkjet/dcpj4215n/

手差しだけどA3も行けるということで購入。\11,000ほど。

普通に初期設定してOK。Win 8.1でもドライバも自動で入る。

一昔前みたいにドライバを一生懸命インストールする・・・なんてのは不要なんですね。。

昔はDOS/V Power Reportの付録CDにプリンタやスキャナのドライバが入っていたものです。

なつかしい。。。

ではでは。またの機会に。

Firewall, Fortinet FortiGate, IT, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

FortiGateでのSSL復号化(Deep Inspection/ssl-ssh-Inspection)について

コメントする

ども。こんばんは。

FortiGateネタでは本日最後。

5.2.0からはどうやらSSL系のサービスを許可すると勝手にそのポリシーでssl-ssh-inspection(5.0系まででいうところのDeep-Inspection)が働く模様。

デフォルトではハンドシェイクまでしか見ない「certificate-inspection」になる模様。

こいつをdeep-inspectionに変更すれば中身までバッチリ。

んで、CAの証明書をFortiGateの管理画面からダウンロードしてインストール。
※ちなみにFirefoxってあんまり使ったことなかったけど、Windows側に証明書入れてもダメなのね。。。知らなかった・・・。

これはまぁ別になんとも無い話。無事にSSL内のEICARも検知・ブロックできた。

問題はAndroid。同じように証明書を入れるのはいいのだが、LINEでのメッセージ送受信ができなくなる模様。

いろいろ考えた挙句、SSL-Exemtpで、FortiGurad URLカテゴリの69(Instant Messaging)を除外してやれば
とりあえずうまくはいった。とりあえずは・・・。
※LINE自体はNaver.Lineとかそんな名前でアプリケーションコントロールで識別出来ているので、
これがもしPaloAltoだったら、簡単にSSL Decryptionの対象外にできるはずなのに。。。

まぁ結局やっぱり怖いので、一旦Androidデバイスからの通信についてはSSL復号化は解除して様子見ですね。

しっかしいろいろGUIで設定出来ないのは本当に辛い。。。辛いというよりパラメータを探すのが面倒。。。

ではでは。またの機会に。

 

Cisco 1812-J, Firewall, Fortinet FortiGate, IPv6, IT, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

FortiGate 40Cへのリプレースは一旦完了。

コメントする

ども。こんばんは。

リプレースは一旦完了です。

とりあえず気づいたことはこちらに書いています。

んー。40C(デスクトップモデル)のせいなのか、Deep-Inspectionの設定がCLIオンリーだとか、
諸々使い勝手が悪い。というのが印象。

あと、今回は初めてデバイス制御でのポリシーも作ってみた。

うーん。うちのHTL22はAndroid Tablet扱いになってる。。

思ったほど5.0系と変わらないけど、デスクトップモデル(2桁機種)への扱いがより酷い。。

さて、リプレース終わったFortiGate 50Bは、4.0 MR 3 Patch 18化後、IPv6回線用のCisco 1812Jの代わりにするべく格闘中です。

PPPoEが全然つながらない。。Ciscoより難しいっておい・・・。

 

FortiGate 40C

 

 

しっかし最近のHTL22(HTC J ONE)の紫カメラ具合の悪化がやばい・・・

ではでは。またの機会に。

Firewall, Fortinet FortiGate, IT, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

FortiOS 5.2.1メモ(更新終了)

コメントする

FotiOS 5.6に以降したのでこちらは更新終了です。大して更新しなかったけど・・

FortiOS 5.6メモ(随時更新したい)

 

FortiGate 40C/v5.2.1,build618 (GA)にて確認した内容。
※5.0系以降で、デスクトップモデル(いわゆる2桁機種、40C、60D、80C…)は大きく区別されている為注意。

・ダイナミックルーティングの設定(OSPF)
GUIからの設定不可。
Feature(フィーチャー)や、set gui-xxではGUIに出ない

以下設定方法メモ

config router ospf
set router-id xxx.xxx.xxx.xxx ← 必須
config area
edit 0.0.0.0
next
end
config ospf-interface
edit “internal1” ←このへんは適当？
set interface “internal1”
next
end
config network
edit 1
set prefix xxx.xxx.xxx.xxx 255.255.255.0
next
end
config redistribute “connected”
end
config redistribute “static”
end
config redistribute “rip”
end
config redistribute “bgp”
end
config redistribute “isis”
end
end

設定後は普通にルーティングモニタから見ることが出来た。

再配布の設定は

# config router ospf
(ospf) # config redistribute staticとかconnectとか

・VLANサブインターフェースの作成

何故かGUIから出来ない・・・(40Cのせいか？)
CLIからは作成可能

・extendet-utm-logが標準に？？(確認中)

とくに何も考えなくてもロギングされている模様。
なおメモリ上にURLフィルタ、アプリケーションコントロール(Application Control)の”モニタ(Monitor)”のログを表示するには、

config log memory filter
set severity information
end

などで、デフォルトのwarningから下げる必要あり。
※syslogdはデフォルトでinformational。

・4.0/5,0のようにFortiViewではなく各UTM機能の状況をモニタリング

# config system global
(global) # set gui-utm-monitors enable
(global) # end

Security ProfileのMonitorに追加される。
※デフォルト無効、フィーチャーにも表示なし。

なお、FortiViewはDsik logging必須！が、FortiCloudにログをアップすれば同等の見方ができる。

・SNMPの設定はCLIオンリー

になった模様。

・ポリシールートもCLIオンリー

になった。

・SSL-VPNの設定がガラッと変わった。。。

まず「VPN->SSL->Settings」で待ち受けインターフェースやトンネルのプールなどを決定。
ポリシーでは、今までのようにWAN->InternalへのアクションSSL-VPNはなくなった模様。

ssl.rootから内部へのポリシーをつくるだけになった？
※払いだされrうルーティングはSSL-VPNのSettingsで決定？？？

てか、5.0の特のアイデンティティベースなんちゃらはどこいったんだよー。。。

続く・・・