図 4 シンポリック・リンクになっているファイルびメ列 [aobee]% ls ー 1 /etc/ifconfig. * lrwxr—xr-x 1 root wheel 31 NOV 4 21 : 57 ifconfig. mpc52fec0 ー > /var/etc/net/ifconfig ・ mpc52fec0 lrwxr—xr-x 1 て 00t wheel 25 Nov 10 15 : 26 ifconfig. ne0 ー > /var/etc/net/ifconfig. neO lrwxr—xr-x 1 て 00t wheel 25 Nov 4 22 : 35 ifconfig. wi0 ー > /var/etc/net/ifconfig. wi0 [aobee]% 更するために EditStart 、 EditEnd というスクリプ トが用意されている。前者を実行するとファイルシステム が書込み可能になり、後者を実行すると読出し専用に戻る ( 図 3 ) 。 ネットワーク日定などのパラメータ・ファイルについて は、別の仕組みが用意されている。 /etc の下にある設定フ ァイルの一部 (ifconfig. * やホスト名を指定する myname など ) はシンボリック・リンクで、 /var/etc ディレクトリ の下のファイルにリンクしている ( 図 4 ) 。 /var は、さきほと第見明したように、 RAM ディスクなの で自由に書き換えられる。ただし、 ここに置かれたファイ ルは物理的に保存されるわけではない。 これらのファイルを修正したときは、変更後に sy Ⅱ cnv - ram コマンドを実行する。これを実行しないと、システム の停止時に変更内容力皸棄されてしまう。 その名が示すとおり、 syncnvram ば不揮発性メモリと のあいだで同期をとるコマンドである。これもシェル・ス クリプトで、 / var 以下にあるいくつかのファイルを tar コ マンドでアーカイプし、 CF メモリの ( ファイルシステム ではない ) パーティションに直接書き込む処理をおこなう。 これにより、 / var 以下の必要なファイルが保存される。つ まり、 CF メモリの一部の領域をシステム・パラメータ設 定用のイ寸軍発性メモリとして使っているのである。 もちろん、システムの起動時には、これを読み出さなけ ればならない。システム起動時の初期段階で RAM ディス クを作成してマウントしたあと、 CF メモリのこのパーテ イション上の tar ファイルから / var にこれらのファイル を書き戻す。そして、初期化スクリプトがこれらのファイ ルを参し、ネットワーク設疋をおこなっている。 このような処理を実現するため、 RPU-IOO のシステム 初期化スクリプトの構成は通常の NetBSD とはやや異な っている ( 図 5 ) 。 syncnvram コマンドには、 CF メモリ上の不揮発性メ モリ領域の初期化処理をおこなう機能もある。これに使わ れるのが、 /mntetc 以下の内容である。 syncnvram コマ 158 図 5 ネ用ヒファイルの構成 /etc/rc 」 oc /etc/bottomhalf 各種初期化ファイル /etc/tophalf RAM ティスクの準備 / va 「 / etc 中のファイルの準備 Ne 旧 SD の一般的な初期化処理 システムの設定やテーモンの起動など ロポット用ハードウェアの初期化 一部のロポット用プロセスの起動 ロポット用プログラムの起動 ンドにオプションを指定して初期化を実行すると、 CF メ モリには /mntetc 以下の内容力き込まれる。これ以降、 起動時にはこの内容に従ってシステムが / var 以下にセッ トアップされる。つまり、 / m ⅲ etc 以下には出荷時の言定 カ呆存されていることになる。 こで、ファイルの内容変更についてまとめておこう。 RPU-IOO では、変更するファイルがファイルシステム上 でどのように扱われているかによって操作手川頁カ畯わる。 読出し専用に戻す。 モードで再マウントし、変更後に EditEnd コマンドで Start コマンドを使ってファイルシステムを書込み可能 ・リンクしていない通常ファイルの場合、変更前に Edit- を CF メモリに保存しなければならない。 できる。ただし、編集後は syncnvram コマンドで変更 / var 以下にリンクしているファイルの場合、普通に編集 UNIX MAGAZ 工 NE 2005.6 にエラーで止まってしまう ( シャットダウンはおこなわれ shutdown コマンドも用意されているが、 wall がないため れば問題はない ( 再起動時には読出し専用に戻る ) 。なお、 ん、 halt コマンドや reboot コマンドを使って停止させ ァイルシステムに障害が発生する可能性がある。もちろ 後者の場合、読出し専用に戻さずに電源を切ると、フ

連載 /Red Hat Linux のツールたち 図 1 ATOK のインストール (SUSE92) # ls /media/cdrom suse : "/etc/opt/gnome/gtk—2. O/gtk. immodules" will be changed. DO you want to install " 工工工 MF " ? (Yes/no/abort)yes "ATOK for Linux" ()r "ATOK X for Linux") will be once uninstalled . ? (yes/no)yes 工 f you dO not accept the terms Of the license agreement ,P1ease select 'INO" If you accept the terms of the license agreement ,P1ease select "Yes" 111 accordance with the terms Of such license . This software is furnished under an end user agreement and may be used or copied on1y suse : ~ # /media/cdrom/bin/setupatok TRANS. TBL bin doc install_guide . pdf src 1 : iiimf—protocol—lib Preparing ・ l:iiimf—csconv Preparing ・ A starting script "llim" will be generated. "/etc/opt/gnome/gtk-2. O/gtk. immodules" will be changed. 工工 im Preparing ・ 1 : atokx 0 : off 1 : off 2 : on 3 : 0 Ⅱ 4 : off 5 : on 6 : off A starting script "at0kx2" will be generated. atokx2 0 : off 1 : off 2 : on 3 : on 4 : of f 5 : on 6 : off lnstallation has been completed. suse : ~ # ロ 図 2 ATOK と IIIMF サーヒスの走カ (SUSE92) suse:¯ # Starting Starting /etc/init . d/llim start serVICe IIim daemon I/O warning : failed to load external entity service atokx2 daemon /etc/init . d/at0kx2 start done "/etc/iiim/le . xmI . conf done cdrom にマウントされるので、スーパーユーザーの権限 でインストール・スクリプト /media/cdrom/bin/setup- atok を実行します ( 図 1 。下線部はユーザーによる入力 ) 。 初めに ATOK のライセンス条項への同意を求められ、 続いて IIIMF をインストールするかと訊かれます。いず れも、、 yes " と答えると、 IIIMF と ATOK パッケージの インストール、それぞれのサービス起動スクリプトのコピ ーと登録が自動的におこなわれます。 なお、 ATOK のインストール・ガイド (/media/cdrom /install-guide. pdf) には、、、 OS をフェイルセーフ・モー ドで起動したうえでインストールしなさい " と書かれてい ます。 GRUB の起動メニューである /boot/grub/menu . lst を見ると分かるように、フェイルセーフ・モードでは OS をランレベル 3 で起動しますが、私が試したかぎりで は通常のモード ( ランレベル 5 ) でも問題はありませんで 0 UN 工 X MAGAZINE 2005 . 6 こで、 /etc/XII/xim3 に ATOK 用のパッチを適 用します。 SUSE92 の場合は、 ATOK に付属の / opt / at0kx2/sample/client-patch/client-patch. suse92 を 実行するだけです ( 図 3 ) 。 上記のガイドには、インストール後に OS を再起動せ よとも書かれていますが、図 2 のようにコマンド行から サービス起動スクリプトを実行すれば再起動する必要は ありません。なお、 IIIMF のサービスを起動するとき、 /etc/iiim/le. xml.conf の読込みに失敗した " という意 味の警告メッセージが表示されます。しかし、サポート情 報 4 によれは無視しても問題はないようです。 これでインストール作業は完了です。あとは、 X を再起 3 X の走川に実行されるシェル・スクリプトで、入力メソッドのセットアッ プをおこないます。 4 http://faq.justsystem.co.jp/faq/1003/app/jsfaq ・ jsp ? 28674 十 0250 145

らの方法は ACPI カーネルにも適用できますが、カクカク の度合いは最初の 2 つの方法よりもひどくなるようです。 根本的には、 VMware Workstation が SpeedStep に 対応してくれるのを待っしかないでしよう。 走カ時には LD-LIBRARY-PATH を削除する 環境変数 LD-LIBRARY-PATH になんらかの値を設 定している状態で vmware コマンドを実行すると、以下の ようなエラーメッセージが表示され、コマンドの実行に失 敗します。 $ vmware /usr/local/lib/vmware/bin/vmware : relocation=> error : /usr/local/lib/vmware/lib/* 1ibgtkmm-2.4. so. 1/libgtkmm—2.4. so. 1 : - undefined symbol : gtk—action—get—type ユーザーが実行する vmware コマンドはシェル・スク リプトで、内部で LD-LIBRARY-PATH を設定してか ら VMware 本体のバイナリファイルを起動します。どう やら、このときに LD-LIBRARY-PATH か第殳定されてい ると、それが邪魔をするようです。そのため、 vmware コマ ンドを実行するときは、竟変数 LD-LIBRARY-PATH をかならず削除しましよう ( 環境変数を削除するには、 sh 系のシェルでは unset 、 csh 系では unsetenv コマンドを 使います ) 。 なくなった機能 祗園精舎の鐘の声、諸行無の響きあり・ 新たな機能が追加された一方で、以下の機能がなくなり ました。 UTF-8 をサポートしていないので、以下のようにファイル たとえば、私カ駛っている端末クライアント (aterm) は ァイルを、、共有 " するのは簡単ではありません。 していますが、 UTF-8 で書き込まれるため、 UNIX とフ 共有フォルダは日本語のファイル名やフォルダ名にも対応 の共有フォルダ機能を使いなさい " ということだそうです。 samba が含まれなくなったのは、、、代わりに VMware 5.0.0 でも Samba を使いたい ・ raw ディスクから Windows XP か起動しない。 ・ raw ディスクのスナップショットがとれない。 ・ Samba が含まれていない。 34 図 13 raw ディスクのスナップショットがとれない Snapshots cannot be ー謎・ n 「ⅲ " " 日 ch ⅲ・ 3 with ph ) に創 d 秋 3. 名が化けてしまい、 nkf で変換する必要があります。 $ ls $ ls ー nkf -W 新規テキストドキュメント . txt Samba がないのなら自分でインストールすればよいの ですが、そこまでしなくても比較的簡単に解決できます。 VMware Workstation 4.5. x の Sarnba をそのまま使 えばよいのです。 まず、 4.5. x をインストールします (VMware Work- station 4.5. x がインストール済みなら、何もすることは ありません ) 。インストールが終ったら、次のコマンドを実 行して samba の設疋ファイルを保存しておきます。 # cp /etc/vmware/vmnetl/smb/smb. conf 疇 - /etc/vmware/vmnetl/smb/smb. conf . vm4 # cp /etc/vmware/vmnet l/smb/private/smbpasswd 疇 , /etc/vmware/vmnetl/smb/private/smbpasswd. vm4 次に、仮想ネットワークの設定内容を引き継ぐために、 4.5. x をアンインストールせずに 5.0.0 をインストールし ます。インストールが終ったら、 4.5. x のパッケージから 下記の 2 つのファイルを取り出し、 vrnware コマンドをイ ンストールしたディレクトリにコピーします。 ・ vmware—smb(l ・ vmware—nmb d 最後に、 /etc/vmware/locations の末尾に次の 1 行を 追加します。 answer VNET—I—SAMBA yes これで準備完了です。次のコマンドを実行すると、以前 と同じように Host ー O ⅲ y ネットワークで Samba カ吏え るようになります。 /etc/init . d/vmware restart raw ティスクのスナップショットがとれない 仮想 PC に raw ディスクを使用すると、スナップショ ットがとれなくなりました ( 図 13 ) 。どうやら、これは仕 様のようです。 とても残念です。 0 UNIX MAGAZ 工 NE 2005 . 6

特集 SOHO 向けサーバーの構築 [ 1 ] 図 19 ルータのログ窈列 Apr 10 04 : 35 : 07 router NAT: TCP connection accepted , from 207 . XX . XX . XXX : 36242 to 192 .168.0.2 : 80 (ethl) Apr 10 05 : 23 : 08 router FIREWALL TCP connection denied 、 from 66 . XX . XXX . XX : 47589 to 192 .168.0.2 : 80 (ethl) 図 20 Apache を常時定力させるための言聢 (/etc/rc. local などに〕ロ ) if [ —x /usr/sbin/apachectl —a —f /etc/httpd/conf/httpd.conf ] ; then /usr/sbin/apachectl start fi バーの access 」 og や error 」 og に何も記録カ長っていな い場合は、 TCP wrapper がアクセスを遮断している可能 性がある。このようなときは、 /etc/hosts. allow に次の 1 行を追加すればよい。 httpd : ALL とくに、 ServerType として inetd を設定した場合は、 この点にも注意が必要である。 上記の点を確認したうえで必要な修正をおこない、アク セスカ河能になったら、常時起動するように設疋する。 Vine Linux であれば、次のようにするだけである。 # chkconfig httpd on それ以外の OS の場合は、 DNS のときと同じく、図 20 のような言古を /etc/rc. local などに追加する。 suEXEC の利用 Apache には suEXEC という、 CGI プログラムをヨ殳ユ ーザーの権限で実行するための仕組みがある。 suEXEC の利用の司否は、適切に言定された suexec コマン ドがインストールされているかどうかにかかっている。、適切に 設疋された " というのは、、、所有名が root で、所有者にスティッ キー・ビットが立っている " ということである。 たとえば、 "ls —I /usr/sbin/suexec" としたとき、ノヾー ッション情報が —rws—x—x 1 root となっていればよい。 Vine Linux の場合、 suexec はインストールされてはいる が、スティッキー・ビットは落とされた状態になっている。利用 するときは、 # chmod u + s /usr/sbin/suexec としたうえで、下記のいずれかのコマンドを実行する。 # /etc/rc . d/init . d/httpd restart # apachectl restart suEXEC カ坏リ用可能になっていれば、 error 」 og の最初のほ うに次のようなエントリがある。 [Sun Apr 10 04 : 30 : 54 2005 ] Cnotice] suEXEC• mechanism enabled (wrapper : /usr/sbin/suexec) ところで、 Apache の開発者たちは、 suEXEC を Apache のデフォルトに含めないことに決定した。これは、 suEXEC が CGI や SSI の実行権限を狭めてシステムの安全性を高めはする が、適切に言当しないと危険を招き寄せるおそれもあるため、そ の原理を十分に理解したユーザーに利用を限定しようと考えたか らである。 れているときは、ファイアウォール上の定に原因がある。 BB ルータでは、ファイアウォールや静的 NAT の設定を 変更したあと、それを保存して再起動しないと反映されな い場合もあるので注意が必要である。 ファイアウォールへのアクセスは成功しているが、サー ☆ やや駆け足ではあったが、ネットワークの言気 t 方針を立 て、 DNS サーバーを設置して Web サーバーを動かすまで の手順を、サービスの必要性や設疋ーヒの注意点などを中心 に説明した。 依然として、サーバーの設置は難しく面倒だと感じるだ ろうか。文章を読んだだけでは感覚的に分からない部分も 多いので、外部に公開するかどうかは別にして、実際に動 かしてみると理解しやすいのではないかと思う。 次回は、メールサーバーとその周辺に関する話をする予 定である。 ( あらき・ひろゆき ) 97 UNIX MAGAZ 工 NE 2005 . 6

連載 /Red Hat Linux のツールたち DeIeting the package " iiimf—server" DO you want tO delete above packages? (Yes/seIect/no/abort)yes iiimf—gnome—im—switcher iiimf—libs—devel liimf—server DO you want tO insta11 "IIIMF"? (Yes/no/abort)yes ? (yes/no)yes If you dO not accept the terms of the license agreement ,P1ease select "NO" If you accept the terms of the license agreement ,P1ease select "Yes" in accordance with the terms Of such license . This software is furnished under an end user agreement and may be used or copied 0 Ⅱ 1y [root@fedora3 tmp] # sh setup_for_fedora3 図 4 ATOK のインストールとサービスのカ (FC3) suse : ~ # ロ patching file etc/X11/xim suse : ~ # /opt/at0kx2/sampIe/cIient—patch/cIient—patch. suse92 client—patch. redhat9 client—patch. turb010f client—patch. vine30 client—patch. P1am040 client—patch. suse92 suse : ~ # ls /opt/at0kx2/samp1e/c1ient-patch/ 図 3 /etc/X11/xim へのパッチの適用 (SUSE92) 1 : iiimf—rc Preparing ・ A starting script "llim" will be generated. "/etc/gtk—2. O/i386—redhat—1inux—gnu/gtk. immodules" i11 be changed. 1 : atokx Preparing ・ A starting script "at0kx2" will be generated. lnstallation has been completed. [root@fedora3 tmp] # /etc/init . d/llim start Starting llim: [root@fedora3 tmp] # /etc/init . d/atokx2 start Starting at0kx2 : Croot@fedora3 tmp] # ロ 動すれば ATOK カ駛えるようになります。 OS を通常の モード ( ランレベル 5 ) で実行している場合は、現在のセッ ションを終了 ( ログアウト ) すれば X サーバーがリセット されるので、ログインしなおせば大丈夫です。 FC3 の場合 FC3 は ATOK の対応ディストリビューションに含ま れていませんが、メーカーのサポートサイト 5 にインストー ル方法カ書かれています。まず、 FC3 用のインストール・ スクリプト (setup-for-fedora3) とアンインストール・ス クリプト (uninstall-for-fedora3. (h) をダウンロードし ます。 次に、 ATOK のインストール CD をマウントし、インス 5 http://faq.justsystem ・ co ・ jp/faq/servlet/index?SID= jsfaq&PID=0250&SC=12 146 トール・スクリプトを図 4 のように実行します (SUSE92 の場合と同じくランレベル 5 でインストールをおこなって も問題はありませんでした ) 。手川頁は SUSE92 とほとんど 同じですが、 FC3 には IIIMF が標準でインストールされ ているため、これを ATOK のインストール CD に付属 のパッケージと置き換えるかどうかと訊かれます。これに 、 yes" と答えると、既存の IIIMF パッケージカ哨リ除され たあと、 ATOK に付属の IIIMF と ATOK のパッケー ジがインストールされ、それぞれの起動スクリプトがイン ストールされます。 SUSE92 の場合と同じく、各サービスをコマンド行から 起動すれば OS を再起動する必要はありません。 OS をラ ンレベル 5 で運用している場合には、 x を再起動 ( 再ログ イン ) すれば、 ATOK カ駛えるようになります。 ただし、 IIMF を使わない日本語入力システムに変更 [ OK ] UNIX MAGAZ 工 NE 2005.6

ただし、外部の DDNS はインターネットにつながったグ ローバル IP アドレスを提供するので、そのままだと LAN 内のクライアントからの名前解決要求に対してもグローバ ル IP アドレスが返される。つまり、 LAN 内からサーバ ーにアクセスしようとしても、ルータへのアクセスになっ てしまうのである。 市販の一般的な BB ルータを利用している場合、 LAN 内からのアクセスに対しては静的 NAT は機能せす、たと えばⅥ b サーバーヘアクセスしたつもりがルータの設定 用インターフェイス (Web フォーム ) が起動されるといっ た事態になる。この状態で LAN 内からサーバーに正しく アクセスするには、 IP アドレスを直接指定するか、あるい は各マシンの hosts ファイルなどに言当するしかなく、か なり不便である。ことに hosts ファイルを使う方式では、 LAN 内でも外出先でも利用する可能性の高いノート PC をクライアントとしている場合、接続ごとに異なるファイ ルを用意して使い分けたりしなければならないので非実用 的である。 内部向け DNS の設置とクライアントの言錠 このような問題を防ぐには、 LAN 内向けの DNS サー バーを用意すればよい。この DNS サーノヾーは LAN 内か らの問合せにのみ応答すればよく、外部からのアクセスを 処理する必要はない。 DNS のサービスには、ひろく普及している BIND8 を 使うことにする。 Vine Linux の場合、 BIND のインストールはパッケー ジを用いて次のようにする。 # apt—get install bind BIND だけでなく、多くのサーバーはプロセスの権限を 無制限にしないために専用のユーザーとグループを作成し、 その権限で実行されるようになっている。サーバーが root の権限で実行されていると、サーバープロセスにバッフア・ オーバーランなどの問題があった場合、攻撃者に無制限の アクセスを許すおそれがあるからである。 以下では、ユーザー named 、グループ narned で BIND を実行する。これらのユーザーとグループがない場合に は、それぞれ作成しておく。このとき、ユーザー named は 8 http://www.isc ・ org/o 原稿時点での最新版は 9.2.4 。 UNIX MAGAZ 工 NE 2005.6 特集 SOHO 向けサーバーの構築 [ 1 ] 83 ルドに " などのはカな文字を言辷する。 passwd コマンドを実行するか、 /etc/shadow のパスワード・フィー ロックするには、 passwd ー 1 n れ med " のように一 1 オプション付きで 9 パスワードがロックされたアカウントではログインできない。パスワードを と rndc. conf で利用する。 ファイルが作成される。これらを、それぞれ named. conf 132. key と Krndc. 十 157 十 06132. private という 2 つの すると、カレント・ディレクトリに Krndc. 十 157 十 06 Krndc . + 157 + 06132 # dnssec—keygen —a hmac—md5 —b 512 —n user rndc 下のように実行する ( 、、 06132 " の部分は不定 ) 。 キーを作成するには、 dnssec-keygen コマンドを以 ーを定義する。 から導入してもキーが設疋されていないときは、自分でキ されているはずである。自力でビルドしたり、パッケージ パッケージを用いて導入した場合は、すでにキーが設定 リカく正に更新されないようにするための仕組みである。 工ントリのリロードができない。これは、 DNS のエント 持している。このキーが正しく定義されていないと、 DNS とき、その更新を BIND に反映させる際に必要なキーを保 /etc/rndc. conf のほうは、 DNS 工ントリの変更があった BIND 自体の設疋は、 /etc/named. conf に言当する。 rndc. conf の 2 つである。リスト 1 ~ 2 にそれぞれの例を BIND の設疋ファイルは、 /etc/named. conf と /etc/ BIND の設定 めのデータの用意をおこなう。 これらの作業が終ったら、 BIND の設定と名前解決のた —s /bin/false # useradd —g named —d /var/named —m , # groupadd named 折り返しています。以下同様 ) 。 グループは次のようにして作成する ( 誌面の都合上、で useradd/groupadd コマンドを使う場合、ユーザーと 万が - ー - ・にもクラックされないようにするためである。 れた (well-known) 名前は悪意の攻撃を受けやすいので、 してログインできないようにしておく。この種のよく知ら パスワードをロックし 9 、シェルは /bin/false などを設疋

リスト 1 /etc/named. conf 列 IN { リスト 2 /etc/rndc. conf 窈列 1 2 3 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 acl niamod { 192 .168 . 0 . 0 / 24 ; 127 . 0 . 0 . 1 ; options { allow—transfer { niamod; allow—query { / / query—source address directory "/var/named" ・ YYY . YYY . YYY . YYY ; XXX . XXX . XXX . XXX ; / / put your forwarders { none ; provider ' S file "named . type hint ; ー IN { localhost ; "rndckey" port DNS 1 2 3 5 6 7 9 10 11 12 13 options { default—server default—key server localhost { 53 ; "rndckey' key key "rndckey" { secret " く put your private key>" ・ algorithm hmac—md5 ; ZOne ZOne zone key "niamod. jp" IN { type master ; "localhost" IN { file t'niamod . type master; " 0 . 168.192. i Ⅱー addr. arp file "niamod . zone" ー IN { type master; file "localhost . zone" allow—update { none ・ file "named .10Ca1" type master; "0 . 0 .127 . in—addr. arpa" allow—update { none algorithm hmac—md5 ; "key" { secret " く put your key code here>" ファイルの内容を見ると、たとえは図 7 ~ 8 のようにな っている ( 当然のことながら、得られるキーの値は環境に よって異なる ) 。これらのファイルから、下線部を named. conf の 51 行目と rndc. conf の 12 行目にある、、 (put 84 # chmod 640 /etc/rndc . conf # chown root . named /etc/rndc . conf を 640 にしておく。 root 、グループを named にしたうえで、パー rndc. conf には秘密鍵カ第当されているため、所有者を your ・・・〉 " の部分に転記する。 ッション named. conf の残りの部分は、全体についてのアクセス 、、ゾーン (zone)" と呼ばれる管理単位ごとのデー 制限と、 タソースに関する定義である。 6 ~ 20 行目では、全体のアクセス制限などを設定してい る。 directory" で、 DNS のゾーンごとのデータソース になるファイルの十内場所を指定する。 、、 allow-query" では、問合せを許可する範囲を指定する。 この DNS サーバーは LAN 内のアドレスだけを管理する ので、もちろん LAN 内からの問合せしか受け付けない。 したがって、ルータで UDP の 53 番ポートを転送するよ うに指定していなければ、外部からのアクセスはないはず こでも念のためによけいなアクセスは排除するよ うにしておく。 アクセス範囲はここに直接書いてもいいが、 1 ~ 4 行目 で定義しているアクセスリストを使ってもよい。この例で は、 niamod という名前を付けたアクセスリストの範囲の みを許可している ( 複数のアクセスリストを定義し、より ネ辧隹な DNS を制御をおこなうことも可能だが、 こでの 説明の範囲を越えるので省略する ) 。 forwarders では、この DNS サーバーが知らない範囲 ( 外部のホストやドメイン ) に関する情報の問合せの転送先 を指定する。通常は、契約しているプロバイダの DNS サ ーバーを指定すればよいだろう。このように、 DNS では 問合せを受けたサーバーが知らない情報を別の DNS サー ーに転送することで、ネットワーク全体の情報が得られ るようになっている。 22 ~ 47 行目は、ゾーンの設定である。この部分で最低 限必要なのは、ルート DNS (DNS 空間全体の頂点に位置 " とロ するサーバー ) への情報が書かれている、、 zone ' ーカルアドレス ( 127.0.0.1 ) 、 LAN に関する正引き、逆 UNIX MAGAZINE 2005 . 6

連載 /Red Hat Linux のツールたち 図 18 /etc/iiim/htt. xml. conf の変更 ・・修正育莎 10 11 12 13 14 ・修正後 10 11 12 13 14 く listen type="tcp"> く /listen> く port > 9010 く / port > く hostname>localhost く /hostname> く listen type="tcp"> く /listen> く po て t > 9010 く / port > く hostname>localhost く /hostname> 今回インストールした IIIMECF は TCP を用いて htt と通信しようとしますが、 htt はデフォルトではこれを 受け付けない設定になっています。そこで、設疋ファイ ル /etc/iiim/htt. xml.conf を書き換え、 TCP コネク ションを受け付けるように設定します。 htt. xml. conf の 11 ~ 14 行目に TCP コネクションに 関する設疋か第当杢されていますが、デフォルトではコメ ントアウトされています。そこで、図 18 のように、 10 行目のコメント記号を 14 行目の直後に移動し、設定を 有効にします。修正後、、、 /etc/init. d/llim restart" を実行すれば、 htt か再起動して変更が反映されます。 4. Emacs の成疋 /. emacs ( ホーム・ディレクトリの . emacs) に、 IIIM- ' ("localhost")) (setq iiimcf¯server—control—hostlist (setq coding-category¯utf—8 'utf-8) (require 'un¯define) ECF を利用するための定を追加します。 152 Emacs を起動しました。 行し、 FC3 から ssh で SUSE92 にリモートログインして SUSE92 上で、、 telinit 3 " を実行してランレベル 3 に移 バーとの通信ができるようになったはずです。ためしに これで、 Emacs から IIIMECF を用いて IIIMF サー の行を削ります。 いる CtrI 十 \ ( バックスラッシュ ) のほうがよければ、 十 space を割り当てています。デフォルトで設定されて 最後の行は日本語入力 ON/OFF のトグル設疋で、 Ctrl (global-set—key "\C¯ ' toggle—input—method) (require iiimcf¯sc) iiim—server—control) (setq default—input—method (setq iiimcf—server—control—default—language この方法では最低限の日本語入力機能は使えますが、次 のような不具合や制約があります。 最初の数回は日本語入力が ON にならない UNIX MAGAZINE 2005.6 はこがき・はやお ) ☆ 法や利用方法などを紹介する予定です。 次回は、、、 Wnn8 for Linux/BSD" のインストール方 ただし、 SUSE92 と同様の不具合や制約があります。 IMECF カ駛えるようになります。 iiim/htt. xml.conf を変更し、 ~/. emacs を修正すれば II - コマンドで簡単にインストールできます。このため、 /etc/ インストール CD の 4 枚目に泉されているので、 rpm の RPM パッケージ (iiimf-emacs-12.1ー4. i386. rpm) は (emacs-common) に含まれています。また、 IIIMECF FC3 では、 Mule-UCS が Emacs の RPM パッケージ FC3 の場合 はそれなりに使えるといったレベルでしよう。 るかもしれません。現時点では、緊急避難的な手段として これらの不具合は、 IIIMECF の開発が進めは解決され 推測や郵便番号変換などの機能力駛えません。 別ウインドウで候補が表示できないためか、変換候補の ・推測機能などカ駛えない います。 れないため、何を選んでいるのかが分かりにくくなって 補の一覧が表示されますが、選択中の候補が反転表示さ 複数の変換候補がある場合、 Emacs のエコー領域に候 ・エコー領域の変換候補が反転表示されない トレスを感じます。 このような現象が起きるのは最初だけですが、やはりス すると、やっと日本語入力が可能になります。 しか入力できません。さらに Ctrl 十 Space を 2 回入力 ラインの表示が、、 ATOK " となり、半角アルファベット たようにみえます。ところが、何かキーを押すとモード に、、あ連 R 漢 " が表示され、日本語入力が ON になっ になります。再度入力すると、 Emacs のモードライン Wrong type argument: arrayp, ⅲ 1 " というエラー Emacs を起動した直後に Ctrl 十 Space を入力すると、

ネットワーク・ミニ実験室 0 図 2 ~/. rhosts ファイルの言ホ例 (host2 の user2) rcp コマンドは、ホストとユーザー名の組合せで認証をお こないます。パスワードのような、、秘密の情報 " を使わな hostl userl ・← hostl の userl からのアクセスを許可 ー hos し 3 ・一 h0St3 からのアクセスを拒否 いので、認証機構としてはかなり弱い部類に入ります。当 +@9r0 叩 1 ← groupl に含まれるホストからのアクセスを許可 然ながら、インターネット経由のファイルコピーには向い 図 2 はホスト host2 のユーザー user2 の . rhosts ファ ていません。 はじめに、 rcp の認証の設疋についてみておきましよう。 イルの例です。 1 行目の、 rcp は、次の 2 つのファイルを参照してアクセスを制御し hostl userl ます。 は、 hostl の userl からのアクセスを、 host2 の user2 の /etc/hosts. equiv アクセスとして扱います。 2 行目の、 ・ . rhosts —host3 これらのファイルにはとくに決まった呼び方がなく、会 は、 host3 からのアクセスを拒否します。 3 行目の、 話のなかではもつばら、 +@groupl 「ホスツイクイプ・ファイルに xxx を追加して ~ 」 は、ネットグループ groupl に含まれるホストのアクセス 「誰々のアールホスツ・ファイルのパーミッションを確認 制御です。この例のようにユーザー名が省略されている場 してえ」 合は、名前が user2 のユーザーからのアクセスを許可し のように使います。 ます。 しかし、これでは説明しにくいので、イ上まとめて、、ア アクセス権限ファイルの書き方やパー ッションのルー クセス権限ファイル " と呼ぶことにします。 ルは、 OS や rcp コマンドの実装によってすこしずっ異な 2 種類あるアクセス権限ファイルのうち、 /etc/hosts. ります。言髫田については、実際に使用する OS のマニュア equiv はシステム管理者が用意するファイルで、そのホス ルで確認してください。 ト全体のアクセス権を規定します。一方、 . rhosts はユー ユーザー名が同じ場合 ザーが用意するファイルで、ユーザーごとの特別なアクセ rcp の設疋で間違いやすいのは、アクセス権限ファイル ス制御を設疋できます。 . rhosts ファイルはユーザーのホ をどのホストに置くか、アクセス権限ファイルに何を言当 ーム・ディレクトリの直下に置きます。 するかです。 これらのファイルでは、許可するアクセスや拒否するア 図 3 は、 rcp でリモートホスト上のファイルをローカル クセスを次のように言します。 ホストにコピーする例です。ここで、 + ホスト名 ・ host2 ( リモートホスト ) の用 e を hostl ( ローカルホス + ホスト名ユーザー名 ーホスト名 ト ) にコピーする ーホスト名ユーザー名 ・ hostl と host2 には同じ名前のユーザー・アカウント なお、、、十 " はアクセスの許可、、、一 " はアクセスの拒否を userl がある ユーザーは hostl に userl としてログインしている 未し、前者は省略してもかまいません。 ・ hostl 上で rcp コマンドを実行する ホスト名やユーザー名の代わりに、 /etc/netgroup に記 ・ file は host2 の userl カ第売み込めるファイル 述したネットグループを指定することもできます。ネット グループを使うときは、 と仮定します。 これをユーザーのアクセス権限ファイル . rh 。 sts で制御 +@ネットグループューザー名 + ホスト名ネットグループ するには、次のようにします。 ・ . rhosts は host2 ( リモートホスト ) 側に置く。 のようにネットグループ名の前に、、@" を付けます。 55 UNIX MAGAZINE 2005 . 6

SC 翡 好評発売中 ! 実践セキュリティ ーーー頼れるファイアウォールを作る ス以外はいっさい拒否するクローズな資源なのかによって 異なる。上例では、原則としてすべてのアクセスを拒否す るので、 deny → allow の順で指定し、アクセスはいっさ い許可しない (allow がない ) 亘暠になる。 上記のように設疋しておくと、この Web サーバーのど の URI ヘアクセスしても、すべて閲覧禁止 (Forbidden) のエラーが返されるようになる。 当然だが、このままでは Web サーバーとしての用をな さない。そこで、以下の部分で必要に応じてアクセスを許 可していく。 許可するアクセス 許可するアクセスの種類は、サイトの実情に合わせて決 定すべきである。ただし、基本的に外部に漏らしてはなら ない情報 ( システムのログや /etc/passwd などのアカウ ント情報、各デーモンの定ファイルなど ) は、攻撃者の足 がかりにされるおそれがあるので、正当な権限のない者の 目に触れたりしないように十分注意する。 また、 CGI プログラムにクロスサイト・スクリプティ ングやバッフア・オーバーランなどの脆弱性が含まれてい ると、システム全体を危険にさらすおそれがある。 SSI の うち、サーバー上でなんらかのプロセスを走らせ、その出 力を得るようなものは CGI に準じる扱いにしなければな らない。したがって、最初に /etc や /var などのディレク トリへの httpd 経由のアクセスを許可しないように設疋 する。 次に検討すべき点は、各ューザーに独自のページをもた せるかどうかである。 SOHO などで業務目的の Web サイトを構築するのな ら、社員が個人的な情報発信に利用する必然性はない。な んらかの理由があってユーザー独自の Web ページの開設 を許可するのなら、ユーザーの知識やモラルのレベルをよ く考え、各自のディレクトリ内で何をおこなうのか、その ために何を許可して何を禁止するのかを決める必要がある。 十分な知識のないユーザーに対して無制限に CGI を設置 する権限を与えれば、システムに危険がおよぶ可能性がき わめて高くなる。 また、モラルの低いユーザーは、通常はアクセスできな いはすの /etc/passwd や /var/log/httpd/access 」 og などにシンポリック・リンクを張り、自分のディレクトリ 実践 自一崎博出宀 : セキュリ - アイ ・白崎博生著 ・ A5 判、 288 ページ ・ ISBN 4-7561-4296-6 ・ 2 , 940 円 ( 税込み ) ASCII 本書は、日本でトップクラスのセキュリティ技術者 によるファイアウォールの構築・運用指南書であり、 ネットワーク・セキュリティの本質を理解するため の第一級の解説書でもある。本質が分かっていれば、 日常的に起こるさまざまな問題にも容易に対処でき る。これからファイアウォールを構築する人はもち ろん、運用に携わっている人にもせひ一読をお勧め する。 ( 奈良先端科学技術大学院大学山口英 ) 【目次から】 1 章常時接続って何 ? 基本的な用語 / 現在の常時接続事情 / 常時接続は嬉し い ? / 常時接続時の危険性 2 章攻撃の手法 スキャン / TCP / 旧への攻撃 / アプリケーションへの攻撃 3 章ファイアウォールの基礎知識 セキュリティ対策は必要 ? / セキュリティ対策とポリシー / フ ァイアウォール / ファイアウォールを構成する要素 / ファイ アウォール構築のポイント / Script Kiddie 4 章ファイアウォールを作ろう ( ルータ編 ) 端末型接続と LAN 型接続 / プロトコル / RTA55i で作るフ ァイアウォール / フィルタリング機能 / フィルタ設定の操作 手順 / DMZ を作る / 攻撃検知機能 5 章ファイアウォールを作ろう (Linux 編 ) 端末型接続と LAN 型接続 / netfi は e 「 / netf ⅱ te 「の仕組み / iptab s / ipchains との互換性 / フィルタリング・ルールの 設定 / アドレス変換の設定 / ipta es の設定例 / ipchains/ipchains の設定例 6 章攻撃されたときの対処 セキュリティ動向を知る / 相談するところ / 連絡先アドレス の探し方 / 攻撃か事故かを冷静にみきわめる / 消さないで、 そのログ / 典型的な対応 / ケーススタディ / やってはいけ ないこと 株式会社アスキー 〒 1 02 ー 8584 東京都千代田区九段北ト ] 3-5 日本地所第一ビル 電話 (03) 6888 ー 5500 ( 営業局 ) 93 UN 工 X MAGAZ 工 NE 2005.6