きなこもちのチロルチョコ普及委員会

続きを読む »

ていうか今の今まで気づいてなかったんだけど、ちゃんとFreeBSD4のUPDATINGみたら、デフォルトでHTTは切ってあるから、使うんならloaderにいれとけよって書いてあるじゃん。どうりで、SMPつけたkernelでtopして見たら全プロセスがCPU0に割り当ててるわけだ。
ということで、machdep.hlt_logical_cpus=0 を /boot/loader.conf に書いておきましょう。と自分メモ

« 戻す

続きを読む »

cyrus-sasl2。まだ本体とsaslauthdが分離する前に入れた時のものだったので、普通にportupgradeするとsaslauthdが入らないことに。なのでsaslauthdも新規に入れることにして、-Rオプション付けてcyrus-sasl2本体もアップデート。

# portupgrade -N -R -M 'WITHOUT_GSSAPI=yes WITHOUT_KERBEROS4=yes WITHOUT_PLAIN=yes
 WITHOUT_OTP=yes WITHOUT_NTLM=yes' security/cyrus-sasl2-saslauthd

しかしここで問題が。パスワードのdbが今までと互換じゃないっぽくて、読んでくれない。ファイル名もsasldb2->sasldb2.dbになってるし。

# file sasldb2
Berkeley DB (Hash, version 7, native byte-order)
# file sasldb2.db
sasldb2.db: Berkeley DB 1.85 (Hash, version 2, native byte-order)

昔のdb_dumpしたら中身はbdb3っぽいんだけど、何でいきなり1.85とかになってるんだ。ってportsのMakefileみたら分かりましたがな…明示的にBDB_VER指定してあげないと、勝手にndbmが使われるのね。昔は勝手にbdb3にしてくれたのに。ということでWITH_BDB_VER=3つけて解決。

お次はcyrus-imapd。portsでcyrus-imapd2->cyrus-imapd22に入れ替えるように指定すればおｋ。もちろんsaslと同じdb指定ね。

# portupgrade -o mail/cyrus-imapd22 cyrus-imapd

しかし、mailboxes.dbがよめねーぜと言われて全然見れね。なんでやねんって、ちゃんとマニュアル読みましょう。rootでファイル作られると困るので、cyrusのユーザーで以下作業

# sudo -u cyrus /usr/local/cyrus/bin/cvt_cyrusdb /var/imap/mailboxes.db berkeley 
  /var/imap/mailboxes.db.new skiplist
# mv /var/imap/mailboxes.db.new /var/imap/mailboxes.db
# sudo -u cyrus find /var/imap/user -name \*.seen -exec /usr/local/cyrus/bin/cvt_cyrusdb 
  \{\} flat \{\}.new skiplist \; -exec mv \{\}.new \{\} \;

« 戻す

続きを読む »

で、書きあがった /etc/pf.rules

# macros
int_if = "rl0"
ext_if = "ng0"
flets_if = "ng1"
gif_if = "gif0"

tcp_services = "{ ssh, http }"
tcp6_services = "{ ssh, http }"
icmp_types = "{ echoreq, unreach, timex }"
icmp6_types = "{ echoreq, unreach, timex, toobig, neighbrsol, neighbradv }"

priv_nets = "{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8 }"
v6_priv_nets = "{ fec0::/10, ::ffff:0.0.0.0/96, ::224.0.0.0/100, ::127.0.0.0/104, 
::0.0.0.0/104, ::255.0.0.0/104, ::0.0.0.0/96 }"   (←一行
v6_malicious_6to4 = "{ 2002:e000::/20, 2002:7f00::/24, 2002:0000::/24, 
2002:ff00::/24, 2002:0a00::/24, 2002:ac10::/28, 2002:c0a8::/32, ff05::/16 }"   (←一行
v6_mynet = "vvvv:vvvv:vvvv:vvvv::/64"

# DCC host and port
dcc_host = "xxx.xxx.xxx.xxx"
dcc_port = "yyyy"

# IPv6 tunnel host
gif_host = "zzz.zzz.zzz.zzz"

# options
set block-policy return
set loginterface $ext_if

# scrub
scrub in all
scrub out all random-id max-mss 1414

# nat
nat on $ext_if inet from $int_if:network to any -> ($ext_if)
nat on $flets_if inet from $int_if:network to any -> ($flets_if)
# rdr (for DCC)
rdr on $ext_if inet proto tcp from any to ($ext_if) port $dcc_port -> $dcc_host port $dcc_port

# filter rules
block log all

pass quick on lo0 all

block drop in  quick on $ext_if inet from $priv_nets to any
block drop out quick on $ext_if inet from any to $priv_nets
block drop in  quick on $gif_if inet6 from $v6_priv_nets to any
block drop out quick on $gif_if inet6 from any to $v6_priv_nets
block drop in  quick on $gif_if inet6 from $v6_malicious_6to4 to any
block drop out quick on $gif_if inet6 from any to $v6_malicious_6to4

# 6to4 tunnel
pass on $ext_if inet proto 41 from $gif_host to ($ext_if)
pass on $ext_if inet proto 41 from ($ext_if) to $gif_host

# TCP outer to inner
pass in quick on $ext_if inet proto tcp from any to ($ext_if) \
   port $tcp_services flags S/SA keep state

# IPv6 TCP outer to inner
pass in quick on $gif_if inet6 proto tcp from any to $v6_mynet \
   port $tcp6_services flags S/SA keep state

# TCP outer to inner (for DCC)
pass in quick on $ext_if inet proto tcp from any to $dcc_host \
   port $dcc_port keep state

# ICMP
pass in inet proto icmp all icmp-type $icmp_types keep state

# ICMP6
pass in inet6 proto icmp6 all icmp6-type $icmp6_types keep state

# IPv6 RIPng
pass in on $gif_if inet6 proto udp from fe80::/10 port 521 to ff02::9 port 521
pass in on $gif_if inet6 proto udp from fe80::/10 port 521 to fe80::/10 port 521

# keep state
pass in  on $int_if inet from $int_if:network to any keep state
pass out on $int_if inet from any to $int_if:network keep state
pass on $int_if inet6 all keep state

pass out on $ext_if inet proto tcp all modulate state flags S/SA
pass out on $ext_if inet proto { udp, icmp } all keep state
pass out on $gif_if inet6 proto tcp all modulate state flags S/SA
pass out on $gif_if inet6 proto { udp, icmp6 } all keep state

# keep state (Flet's)
pass out on $flets_if inet proto tcp all modulate state flags S/SA
pass out on $flets_if inet proto { udp, icmp } all keep state

« 戻す

続きを読む »

5.3-Rマシンはどうかしらないけど、手元の5-STABLEマシンでは /etc/rc.d/pf をみるとこの中でpf.koを読んでくれてるので、kernelに必要なconfigはALTQのみ(無くても動くけど毎回怒られるので五月蝿くて嫌になる)。ということで、

options ALTQ

だけ入れてkernel作り直し。私はついでにipfw周りのconfigをはずす。やっておかないと、無駄にipfwが効いてdeny anyとかになってはまることに(←やったのかよ

次はpfのrules作り。デフォルトの /etc/pf.conf には触らず、 /etc/pf.rules というファイルに書く。/usr/share/examples/pf/faq-example1 の内容を基本に、上美谷さんのものも参考にゴリゴリっと。

# macros
int_if = "rl0"
ext_if = "ng0"
flets_if = "ng1"

tcp_services = "{ ssh, http }"
icmp_types = "{echoreq, unreach, squench, timex}"

priv_nets = "{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8 }"

# options
set block-policy return
set loginterface $ext_if

# scrub
scrub in all
scrub out all random-id max-mss 1414

# nat/rdr
nat on $ext_if from $int_if:network to any -> ($ext_if)
nat on $flets_if from $int_if:network to any -> ($flets_if)

# filter rules
block log all

pass quick on lo0 all

block drop in  quick on $ext_if from $priv_nets to any
block drop out quick on $ext_if from any to $priv_nets

# TCP outer to inner
pass in quick on $ext_if proto tcp from any to ($ext_if) \
   port $tcp_services flags S/SA keep state

# ICMP
pass in inet proto icmp all icmp-type $icmp_types keep state

# keep state
pass in  on $int_if from $int_if:network to any keep state
pass out on $int_if from any to $int_if:network keep state

pass out on $ext_if proto tcp all modulate state flags S/SA
pass out on $ext_if proto { udp, icmp } all keep state

# keep state (Flet's)
pass out on $flets_if proto tcp all modulate state flags S/SA
pass out on $flets_if proto { udp, icmp } all keep state

# IPv6
pass on gif0 all
pass proto { 41, 58 } all

exampleのやつにFlet’sスクウェア向けのnatをつけて、mssを調整して、外部インターネットからsshとhttpを通すようにしただけ(ほんとはもっと書いてるんだけど、わざわざ穴教えるようなことはしない(笑))。なんでIPv6スルーしてるかというと、pfのv6のサンプルとか無くてまんどくなって、ip6fwでやらせてるからorz

rulesが出来たら、rc.confに仕込んで有効にしますよっと。ついでにログ鳥にpflogdも起動。

# pf
pf_enable="YES"
pf_rules="/etc/pf.rules"
pflog_enable="YES"

/var/log/pflog にtcpdump形式のバイナリがでてくるので、そいつを見て必要に応じてrulesを書き加えるなりして完成。ちゃんと読むもの読めば、意外にできるもんです。

ipfwは既にkernelからはずしてて、natdも捨てられるようになったので、mpdのup-scriptも上美谷さんに習って書き換え。とはいっても、rc.dのスクリプトを動かすだけだけど。

#!/bin/sh

/etc/rc.d/pf stop > /dev/null 2>&1
/etc/rc.d/pf reload > /dev/null 2>&1
/etc/rc.d/pf start > /dev/null 2>&1

さらに追記。私としてはもはや生活の一部となっているIRCのお話。この手のフィルタには必ずといってもいいくらい付きまとうDCCは、やはり問題が。これだけはlibalias使うipfw+natdの優れている点といえるのかなぁ。仕方ないので、市販ルーターよろしく、DCC SENDするクライアントのhost/portを決め打ちしてrdrして後ろ向き解決

# DCC host and port
dcc_host = "xxx.xxx.xxx.xxx"
dcc_port = "yyyy"

# rdr (for DCC)
rdr on $ext_if proto tcp from any to ($ext_if) port $dcc_port -> $dcc_host port $dcc_port

# TCP outer to inner (for DCC)
pass in quick on $ext_if proto tcp from any to $dcc_host \
   port $dcc_port keep state

« 戻す