「Firewall」カテゴリーアーカイブ

Firewall, IPv6, IT, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

お酒の飲み過ぎには気をつけましょう。FortiGate 40C購入。

コメントする

ども。こんばんは。

タイトルまんまです。。

久々に記憶をごっそり持って行かれまいた。

どうやって家に帰ったかがわからないのはもちろん、ポケットにはマクドナルドのレシート(ソフトツイスト2つ買っている・・・)

謎の捻挫、コンビニで謎の買物。Edyの履歴だと品物まではわからないが\1500ほど。。おそらくタバコとお茶と何か。
↓
さっきふと玄関を見たら謎のエロ本が落ちしている・・・。
多分謎の買い物の正体はこれ。。いつも行ってるコンビニなのに・・・。

そしてなりより今日は朝から強烈な二日酔い・・・。

ギアがリバースに入りっぱなしです。

 

記憶が無いのは怖いですね。。何をやらかしたかわからない。
もしかしたらとんでもないことをしてて他所様に迷惑をかけているかもしれないと思うと
禁酒でもしようかと思いますが。。。まぁ喉元過ぎれば熱さを忘れるかのように来週には飲んでいるでしょう・・・

ちょっとは控えます。。

話変わって、FortGate 40Cを買ってみました。(まだ届いていません)

ヤフオクで\1,3000。

5.0系以上を使うために。。それだけ。。。

一応50Bをリプレースして、50BはIPv6回線用に回す事にします。

ではでは。またの機会に。

Firewall, IT, Juniper Networks SRX, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

JunosのFTP経由アップデート

コメントする

ども。こんばんは。

以前書きましたが、SRX210-POEが最近容量不足でJunosのアップデートがGUIから出来ません・・・。

「/」が足りない・・・
※「/var/tmp/install」に展開される模様。

毎回USBでやるのも手間なので、FTP経由に切り替えました。

request system software add

request system software add ftp://id:[email protected]/temp/junos-srxsme-12.1X46-D20.5-domestic.tgz no-copy reboot unlink partition

でも失敗しました。

結局USBかよ・・・。

こんな感じかな？
※丁寧にやるならちゃんとUSB用のディレクトリ作ったりしたほうがいいですね・・・。

mount_msdosfs /dev/da1 /mnt/
cli
request system software add /mnt/junos-srxsme-12.1X46-D20.5-domestic.tgz no-copy reboot unlink

うーん。そろそろゲートウェイ入れ替えようかなあ。

次は何がいいかなー。

ではでは。またの機会に。

Cisco 1812-J, Firewall, IPv6, IT, Linuxのこと, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

IPv6その後。。。

コメントする

ども。こんばんは。

ゴールデンウィークも終わりですね。。。

さて、昨日の続きな話ですが、、、さっきもう一回WEBの閲覧を試してみたら全滅・・・。

よくよく見たら、Dialerのinに当てたACLでDHCPv6のパケットを止めていた模様。。。。

素人かよー。。。。
ACLのログとっててよかった。

まぁ、それはACLを追加して・・・と。

結局やっぱりIPv6に対応していると謳っているサイトでも、上位のNSがIPv4オンリー？のパターンが多いんじゃないだろうか。。。
というのが昨日からの感想。

例えば「google.co.jp」はちゃんとAAAAレコードがある。

$ dig AAAA google.co.jp +noall +answer

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1 <<>> AAAA google.co.jp +noall +answer
;; global options: +cmd
google.co.jp. 287 IN AAAA 2404:6800:4004:800::101f

がしかし。

$ dig AAAA google.co.jp +noall +answer +trace

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1 <<>> AAAA google.co.jp +noall +answer +trace
;; global options: +cmd
. 183782 IN NS g.root-servers.net.
. 183782 IN NS l.root-servers.net.
. 183782 IN NS c.root-servers.net.
. 183782 IN NS h.root-servers.net.
. 183782 IN NS b.root-servers.net.
. 183782 IN NS f.root-servers.net.
. 183782 IN NS k.root-servers.net.
. 183782 IN NS i.root-servers.net.
. 183782 IN NS a.root-servers.net.
. 183782 IN NS e.root-servers.net.
. 183782 IN NS m.root-servers.net.
. 183782 IN NS j.root-servers.net.
. 183782 IN NS d.root-servers.net.
;; Received 228 bytes from ::1#53(::1) in 576 ms

jp. 172800 IN NS a.dns.jp.
jp. 172800 IN NS b.dns.jp.
jp. 172800 IN NS c.dns.jp.
jp. 172800 IN NS d.dns.jp.
jp. 172800 IN NS e.dns.jp.
jp. 172800 IN NS f.dns.jp.
jp. 172800 IN NS g.dns.jp.
;; Received 426 bytes from 2001:500:3::42#53(2001:500:3::42) in 395 ms

google.co.jp. 86400 IN NS ns1.google.com.
google.co.jp. 86400 IN NS ns2.google.com.
google.co.jp. 86400 IN NS ns4.google.com.
google.co.jp. 86400 IN NS ns3.google.com.
;; Received 112 bytes from 2001:2f8:0:100::153#53(2001:2f8:0:100::153) in 237 ms

;; connection timed out; no servers could be reached

肝心のネームサーバ(ns1～ns4)がIPv6のアドレスを持っていない(AAAAレコードがない)んですが・・・。

これじゃiPv6オンリー環境ではGoogleにも繋げないの・・・？
本当に？あれ、俺なんか間違ってるのかな・・・・。

結局、せっかく用意したIPv6用BINDも上記の理由であまり使い物にならず既存のDNSサーバいforwardするはめに・・・。
※一応forward firstにはしてみた。

なんか一気に冷めたなー。

 

一応、うちにもIPv6のテストサイトを作りました。

http://ipv6.hits-net.com/

あ！AAAAレコード追加したけど、うちのNSもIPv6のIPアドレス持ってねーや・・・。

そういうことなのかorz

ちなみにNeGi projectさん(http://negi.ipv6labs.jp/)なんかは、ちゃんとNSもIPv6アドレス持ってますね。。。

うちの本格的な対応はいつになることやら・・・。
IPアドレスは潤沢にあるんだけどなー・・・。

ではでは。またの機会に。

– おまけ –

ブラウザでIPv6アドレスで直接アクセスするときは[]でくくってね。
http://[2400:4124:a667:4901:20c:29ff:fe09:49ce]/

Cisco 1812-J, Firewall, IPv6, IT, Linuxのこと, VMWare, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

IPv6の世界に行く

1件のコメント

ども。こんばんは。

だいぶ前にチャレンジしてほったらかしなIPv6対応をしてみました。

えと、VM上に新しいネットワークを足してそれを1812Jと直結。

新しくCentOSをつくって、eth0をIPv6用、eth1をIPv4用途することに。

1812Jは既に設定済みだったので、とりあえずぶっさす。

一番苦労したのはCiscoのACL。。。

結局inspect(CBAC)ってのでやってみた。
参考：http://www.infraexpert.com/study/acl9.htm

 

その後BINDとSquidを構築。

うーん。できたけど、だから何？って話だな・・・。
内部にはIPv4アドレスを持っているけど、デフォルトゲートウェイはv6側に向けているので、
明日からv6オンリーな世界になっても大丈夫！・・・なはず。

あと、思ったより見れないサイト多すぎ。。。

AAAAレコード持ってても、そもそもDNSサーバのIPアドレスがv6じゃないサイトが多い気がする？

こりゃv6普及しねーだろうなあ。。。

今はDHCPなのでゆくゆくはちゃんと固定iPにします。

ではでは。またの機会に。

Cisco 1812-J, Firewall, IT, Juniper Networks SRX, Linuxのこと, NAS(QNAP), NAS(ReadyNAS), VMWare, Windows, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

ホスト名のネタ切れ

コメントする

ども。こんばんは。

SATAカードは22時頃に届きました・・・。ということで今日は諦めて
ひたすらデータのコピーをしています。

QNAP上のiSCSIに保存していたデータをQNAP上にコピーするという・・・。

んでまあ、NFSやらCIFSやらにまみれてもう権限がぐちゃぐちゃ。
あとで整理しないとなー。

それと、もうホスト名がネタ切れですねー。

今回のReadyNASは「stratos4」にしました。
ディスクが4発だから・・・。
※QNAPは「SPRING-8」です・・。ディスクが8発だから・・・。

もうね。ホスト名がいろんなところからきているからわけがわからないよ。

自分の整理も込めて。。。

・dgw
SRX。もう適当。Default Gatewayの略。

・cobra
Procurve。ハブ→ヘビ→コブラって格好いい！
超適当。

・tachikoma
メインのLinuxサーバ。攻殻機動隊から。

・tachikoma-ng
tachikomaのリプレース先にするつもりだったCentOS。
New Generation・・・。

・max
サブのLinuxサーバ。
ホスト名考えるのが面倒くさくて、ムサシ、マックス、ロキ、コナンのどれかからつけようとしていた名残。
なんやかんやでマックスだけ採用・・・。

・jigabachi-av
Windowsテレビ録画サーバ。
まぁ、タチコマ(Linux)の敵ということで・・・・。これも攻殻機動隊から。

・oniyanma-ng
Windows Server。
jigabachi-avと来ればoniyanma。。。
これも攻殻機動隊から。
※oniyanmaという2008サーバが過去にいました。
NGはこれまたNew Generation的な・・・。

・medusa
FortiGate。これも攻殻機動隊から。

・connect
Cisco 1812J。
つながる的な・・・。

・gate
サブプロキシ。元SSL-VPN。
入り口的な・・・。

・ARX-8
Windows 8クライアント。
フルメタル・パニックから・・・。
Windows 8にちなんで。。。

・TDD-1
Windows 7クライアント。
フルメタル・パニックから・・。深い意味はない。

・frontier
ESXiサーバ。マクロスから。

・oct
テスト用Windows 8クライアント。
octet(8)から・・・。

・nino
Zabbixサーバ。もともとninoっていう監視ソフトが動いていた。

・SPRING-8
QNAP。ディスクが8発。後は、実在の施設だけど、一応攻殻機動隊から。

・stratos4
ReadyNAS。
ディスクが4発だから。。割りと好きなアニメのタイトル。

・big-brother
Splunkのテスト用サーバ。
攻殻機動隊から。。。

・wgate
無線アクセスポイント。
Wireless Gate的な意味。。。

うーん。。適当。というか統一感がない。

ホスト名はちゃんと考えてつけましょう。。。

意外と動いているなー。

本当にこんだけいるのか・・・という疑問が湧いてきた。。。

ではでは。またの機会に。

Firewall, Juniper Networks SRX, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

JunOSアップデートにハマる

コメントする

ども。こんにちは。

やられました。

12.1R7系のリリースが終わる(?)とのことで、X系(っていうのか？)にアップデート

12.1R7.9→12.1X45-D15.5

ところがドハマり。

コミットが全然できなくなる。。。

アップデート時に

Format and re-partition the media before installation

のオプションを付けたことが敗因らしい。

以前デモライセンスを適用してIDPを使っていましたが、
そのせいで、コミットスクリプトなるものが使われてしまった模様。

で、パーティション飛ばしたために、このスクリプト(/var/db/scripts/commit/templates.xsl)が飛んだらしい。

んでんで、これを手に入れるにはIDPのシグネチャ更新が必要とのこと。

が、コミットできてないからIPも何も触れていない上、どのみちライセンスもない・・・

ということで、IDP周りの設定を手で消して・・・configの前の方にあるscriptの設定を飛ばして・・・やっとcommit完了。

罠だらけ・・・。

最初わからずにファームウェアを飛ばしてみたり、ダウングレードしたりと大変な目にあった・・・。

 

まぁお陰でUSB経由でファームウェア入れなおす技とか、コマンドからconfig流しこむ技とかが身につきましたけど。

うーん。やっぱり癖が悪いなあ。

ではでは。またの機会に。

Firewall, IT, Juniper Networks SRX, Linuxのこと, どうでもいいこと, セキュリティねた, ネットワーク・セキュリティ, パソコンのこと, 日常生活

某国からの大量のDNSアクセス・・・

コメントする

ども。こんばんは。

猛烈にDNSアクセスが来てました。5時間で20万件ほど。

とりあえずFWで弾いていますが、今なお分間15oo程度の件数でアクセスされている模様。
まぁアレの関連ですかね。単純にどっかのAレコードを聞いてるだけ見たいなので、
内容は無害っぽいですね。

セカンダリにはアクセスが無いみたいだな。。。

うーん。こまった。

たまたま監視画面を見てて異常なセッションとトラフィックで気づいたけど、
これ気づく仕組みって作れるんだろうか。

ではでは。またの機会に。

Firewall, IT, Juniper Networks SRX, Linuxのこと, Windows, どうでもいいこと, ネットワーク・セキュリティ, パソコンのこと, 日常生活

ZABBIXを入れた

コメントする

ども。こんにちは。

お盆も終わりですね。

最近SRXの負荷が高く、ちょっと監視しておかないとなあと思いまして。

ZABBIXを入れました。

過去に一回チャレンジしたのですが、面倒でやめてしまった。。。

改めて頑張りました。今回はLinux/Windows系は恐れずエージェントを入れました。
Exchange 2010はテンプレートがったのでそれも利用。

とりあえず良く見る項目はスクリーンとやらに出してみました。

zabbix

 

なんっか面倒臭いけど、使えば便利・・・なのか？

結局SRXはテンプレートが見当たらず。。。

SNMP MONITORING GUIDE 

を見ながらOIDを適当に・・・。ほうとうにあってんのか？笑

出来が良ければ公開したいなあ。

あ、FortiGateとVMwareまだ入れてないや・・・

ではでは。またの機会に。