SSL通信のデコード＋保存

久しぶりの投稿。

企業フォレンジックとしてクライアント端末からインターネットへ向けたパケットをすべて採取しておいて何かあったらそこから検索するっていう、かなり乱暴な気もするけど保全性もいいよねって事で方法の話。

HTTPS通信とか。どうすんの？って話になるけど、デコードしてやって中身を見ないとアレだね。
で、どうやって実装するんだろうって思ってたらあるんだね。

今回調べたのはi-FilterSercer+SSLアダプタの組み合わせ。SSLアダプタを入れるとそれだけでHTTPSのPostを記録できるみたい。でもそれじゃあまりおもしろくないから、外部のウイルスゲートウェイへデコードして渡す時のためのICAP通信を横取りしちゃう。
これで非暗号化されたパケットが取れるって仕組みらしい。

それをTAPなりでフォレンジック製品に投げてやる。

(　´_ゝ｀)ﾌｰﾝ。なるほど。

クライアントからすると、HTTPSを一旦終端してしまうi-FilterServerの証明書と実際にアクセスしているサイト（例えばGoogleとか）の証明書が異なるから証明書の警告みたいなのが出る。
これは仕様として仕方がない。

でもねー。なんかもう少しスマートにならないもんかね。と思ったり。
これまでは不正な証明書は危険だからって散々植え付けてきたわけでしょ。
それを今回の仕組みからは無視してって、リテラシーの面からしてもどうなのかと思う訳で。

とまぁ、面白い仕組みもあるなぁって事でした。

yum remove openssl はダメ！絶対！

SSL関係の一掃をしたかったから、面倒だしyumで全部消しちゃー
って
yum remove openssl
を実行。

そしたら！
rebootとかyumとか、それはものすごいやつまで消えちゃった(´・ω・`)

実行する前に「まじでいいの？」的なメッセージは出てたけどね。

ダメ！絶対！って事で良い子のみんなは真似しないように。

IBMの新ストレージ V3700登場！

ついにｷﾀ━(ﾟ∀ﾟ)━!
V7000の弟分。V3700が登場！

発表があった日は一人で盛り上がってしまった。

DS3500も多機能になったけど、Vじゃなきゃできない事も多く。
たとえばSSDが乗るかとか。
SSD載せるような提案なんかめったにないけど、やっぱり十分な機能があるのはありがたい。

DSは数台扱ったけど、これは何台ぐらい扱うことができるかな。

楽しみ＼(^o^)／

hpのvmware+hpppではまる。

OEMのvmwareってあるじゃん。
今回はそれの話。
めったに使うことないんだけどね。

インストールするESXiのイメージはvmwareからダウンロードするんだけど、これが普通の所じゃなくてTools&Driverみたいな所にある。
まぁこの時点で判りずらい。
HITACHIとかNECとかもここにあるみたい。

で、今回はまたのはUPSクライアントソフト。
vMAにインスコしてホストをシャットダウンするためにhppp（hp power protecter)っていうのを入れる必要があるらしい。

最新バージョンのESXiだった5.1の環境にぶっこんで動作確認したら・・・落ちない。
念のためにvMAから直接コマンド発行したら落ちる。わけわかめ。

hpに問い合わせてみるとだね・・・
hpppが動作対象としているのは無印の5.0までです。だって。
仕方がないから再度ダウンロードしようとvmwareのサイトを見ても・・・ないよ。

5.0 u1ならあるんだけど。無印はないの。
またサポートに問い合わせ。
現在返事待ちなんだけど。なんかめんどくさいねｗ

※追記
その後連絡があった。
当初は5.0無印のOEMイメージは存在しないとの事だった。
が、Web上で過去のOEMイメージ履歴を発見。再度聞いてみると、過去にはあったがバージョンが古いものはダウンロードできなくなっているとのこと。
なんか話が全然違うよね。
過去に存在してないなら「ならしょうがないか」ってなるけど、UPSを使うために必要な最低限のOEMイメージが古いからダウンロードできなくなってますって、ふざけてんの？って話じゃない。

なんだかね、脱力感に襲われて。
今日はもうやる気ないです。

二度とhpのOEMなんか使うか！って気分です。（個人的な感想）


さらに追記：2012/11/某日
結局5.1でも構成できることが判明。
hpの中の人ですら本国の情報見ないのか(´・ω・`)
もうわけわかめ。

仮想ストレージ製品

サーバ仮想化、デスクトップ仮想化は当たり前の世の中になってきたけど。
ストレージの仮想化という波も結構前からあるようで。

StoreMagicってvmで使うやつとか評価してみたけど、個人的にはイマイチ。
ギミック使ってる感じで「ガンバって作った」感じはキライじゃないんだけど、運用まで面倒みなきゃいけないとなるとちょっとね・・・

おととしぐらいから目をつけてるのはSAN Symphony。
Windowsサーバにインストールしてローカルストレージや外付けドライブを包括してフロントとして機能する。
つい最近、これが仮想化専用モデルとして安価な構成も可能となったとの案内を受けた。
StoreMagicと比較の話が出たり。まぁその辺がターゲットなんだろうなとは思うけど。
http://itpro.nikkeibp.co.jp/article/NEWS/20121025/432568/


でもSAN Symphonyの良いところはvmwareに依存しない事。
仮想ホスト上だったら、何でもいい　って話だったと思う。

WindowsServer2012でも、ストレージ関連の機能としてPool管理が付いたりシンプロが可能になったり騒がしくなってきたので楽しみなジャンルだなぁ。

個人的にはハードウェアにお任せしたい感じなんだけどね。

ローエンドストレージでも多機能な時代

我が社クラスで扱うのは、ローエンド製品。

IBMだとDS3500。hpだとMSAあたり。
ローエンドっていっても付随するものの値段を考えたらそれなりになっちゃうからそれなりの規模じゃなきゃ提案できない。
半期に１台提案できればイイ方かな。

そんな中、IBMのDS3500に特化したAdvancedセミナーに参加できた。
新ファームになってもの凄い進化を遂げたらしい。


個人的に機能の目玉は
・Dynamic Disk Pool（DDP）
・Thin Provisioning
の２つだと思う。

DPPは11本以上のディスクでPoolを構成し、そこからLUNを切り出すイメージ。
RAIDと何が違うのか。文字ではものすごく説明しずらい。

こちらに詳細あり。
http://www-06.ibm.com/systems/jp/express/campaigns/storage/ds3500/

メリットとしては、リビルドやLUN作成時間の短縮やホットスペア領域の無駄が少なくなる。といった点。

シンプロについては、DDPを前提とした機能。
論理容量をがっつり取っても実際に使ってるぶんしか物理領域を消費しない。
もう少し高価な聞きに標準装備されていることが多い機能。


その他の機能はあまり使うことがないから・・・本当は便利な機能なんだろうけどね。
私がVMwareを使うことが少ないからって点もあるかもね。

XenServerの無償ライセンス残日数をZabbixで監視

echo $((( $(date -d `xe host-license-view | grep expiry|cut -f2 -d :|cut -c2-9` +%s)- $(date +%s))/86400))

 これをSSHで接続して投げるといいよ。

YAMAHA RTX ローカルインタフェースと同じネットワークを別へルーティングで・・・ハマるの巻

久々にYAMAHAルータでハマるなどしたのでメモ。

単なる凡ミスだけど、恥ずかしがらずに晒してやるぜ（ｷﾘｯ

LAN1：10.10.10.254/24
LAN2：PP 　Tunnel1

みたいなインタフェース構成。
ルーティングに10.10.10.0/24 gateway tunnel 1 が紛れこんでた。

LAN1の物理インタフェースが該当ネットワークを持っていても、別の仮想インタフェースに対してルーティングできてしまう！
つまり、LAN1インタフェースのIPに通信しても、ARPの学習は行われるけど通信はできないって状態が発生。
Pingは通らないんだけど、MACは登録される。みたいな状態。

って、これ普通の動きなのかな。

hpの安スイッチ 1810G で思いだした

この安スイッチ、Auto　DoS機能ってDoSプロテクション機能があるんだけど・・・

これをEnableにすると、なぜかFTPが切断されるって不具合が発生。

標準はDisableだから、明示的に有効にしなければ問題ないはず。

結構ハマったので備忘録。

前のBlogに書いたかな？

まぁいいや。

この手の安スイッチの余計な機能はフレームの転送だけに専念してもらうべきだね。

ループガードもDisableのままね。

HPの安スイッチ 1810G-24の初期IPアドレスなど

いつも忘れてしまうので。

1810Gの初期設定

IP：192.168.2.10/24

パスワード：なし

シリアルからつなげないネットワーク機器って・・・アレだと思わないかい？ｗ

Interopに思いをはせる

むちゃくちゃ行きたかった。

先月あったクラウドや情報セキュリティなどのExpoに強制参加させられたため、interopは参加できなかった。orz

私じゃない人が会社から行ってたみたいだけど、たいしてネットワークに興味もない人と、ネットワークを知らない人。

行っても、きっと「ふーん」で終わりだと思う。

文句言ってても仕方ないので、今年もエアインターロップ #airinterop に参加！

実際に参加できない人が架空のInteropを作り上げるｗ

「エアーInterop とは Interop に参加できなかった人たちが参加した気になるためのものだ！可哀想なのは分かってるから可哀想なんていっちゃダメだぞ！お兄さんとの約束だ！」

とのこと。

これはこれで非常に楽しい。

行きたいのに行けないというフラストレーションからか、ものすごい発想の連続ｗ

ぜひ、まとめを見てもらいたい。

東京には面白い人が大勢いるねｗ

@sho7650　さんが、まとめてくれたのでどうぞ。

http://togetter.com/li/320247

印刷遅い：ThinPrintでの改善を調査

仮想PC-シンクライアント環境で印字が遅いとの事なので調査。

PDFやPPTファイルが顕著らしい。画像系　って事みたい。

ThinPrintのDesktopEngineを仮想PCにインスコ。

シンクライアント側にはTPGってアプライアンスを設置。

AutoConnectじゃなくて仮想PC上にプリンタポートとプリンタを手作りしての確認。

ファイルサイズ3MB程度であれば、どっちでも大差なし。

標準：45秒とThinPrint：38秒って感じで。。。

でも２割削減されてるじゃんっていわれれば確かにそうかな。

もっと枚数が増えたり容量がでかいファイルだと顕著に早くなるんだろうか（謎

XenDesktop Provisioning GoldenImageは・・・

今更だけど備忘録。

GoldenImageを作成する仮想マシンは、Xen-Server-Toolsをインストールしない事。

これがあると、うまくvDiskに接続できない。

eDocにしっかりと記載があるね。

XenServer Pool環境での不一致

複数台でのPool構成なXenServerだけど、XenCenterから仮想ゲストのコントロールが効かない仮想ホストが現れた。

マイグレートや、ゲストコントロールをしようとすると黄色のアイコンとなり制御不能となる。

Pool Masterでxe-toolstack-restart　などを試したがNG。

仮想ホストすべてを一度シャットダウンし様子を見たが３日程度で同じ状況が再現された。

とりあえず複数台での構成なので異常の出ているホストをPoolから外してXenServerの再インストールを行った。

再度Poolへ入れた所、１ｗ程度経過する現在。特に異常は発生していない。

異常の発生しているホストについては、XenCenterから仮想ゲストが稼働している状況でホストのシャットダウンを実施した過去がある。その後もXenCenterからのシャットダウンを行っても落ち切らないなどの異常が見られた。このような状況だったので異常が出てもおかしい状況ではない。

ただ、トリガーは・・・XenCenterからのシャットダウン？？

オペミスだったようであるが、この状況を私が見ている訳でないしこれ以上を把握することは困難である。いずれにしても１年以上安定稼働をしていた訳だし、オペミスをしてから異常が発生するようになった。という事で。おそらくトリガーはサーバの不正シャットダウンなのではないか？と思う。

ショボショボの評価環境を作るところでハマるｗ

個人的にはちょっと無いわぁ　というマザーを買ってもらったのでvmwareの評価環境を作成しようと思い・・・

ハマったのでメモ。

BIOSTART TZ68A+ とi7 2600K2700K　の組み合わせ。

BIOSを最新の1.9.3.6（20012-01-02）とすると、vShere5のインストール初期段階でPSODが発生。

Initialize scheduler　のところで発生しているようだ。

その後XenServerで試してみるも同じようにインストーラ起動の途中でハング。

結局BIOSを購入時のものに戻したら何て事なくインストール完了。

ワケワカメ。

ARP ユニキャスト通信が別のマシンにも届く

ARPの通信量が多すぎてルータが悲鳴をあげるなどｗ

変なポイント

・１つのIPアドレスについて２つの連続したMACアドレスがARPを送出

・ARPの量がハンパない

・上記ARPはユニキャストで送信されているのに関係ないルータでパケットを取得しても届いている

そこの環境が判らないんだけど、チーミング設定したサーバから出ている２本のLAN線が変な風に刺さってるとか？

スイッチの設定しくってるとか？

そんなところじゃないの？って意見でまとめた。

なんか気に入らないらしい。ARPのユニキャストが、他のマシンに届くのは変だと思う。っていうから、変だけど、現在取得しているパケットの状態がすでに変なんだから、そこが変って事にこだわってもアレじゃない？って話をするけど何か気に入らないらしいｗ

お客様の環境で変な事になってて、お客様は困らないけどうちが困る。

なんか変よね？

わけわかめ

シンクライアント環境のプリンタ

VDI環境でのプリンタドライバ。

どこにインストールする？って話だけど、仮想PC側に入れても印刷はできるし、クライアントに直接ドライバをインストールしても問題ない。

でも、シンクライアント環境の場合はこの限りじゃない。

WindowsEmbeddedが入っている奴とか？プリンタスプールをするだけの十分な領域がないから。

必然的に仮想PCへのドライバ導入となる。

体感的には仮想PCよりもクライアント側にドライバいれた方が早いんだけどね。

仕方ないな。こりゃ。

働き方のあれこれ

某社のサラリーマンとして働いている訳だけど。

最近働き方について疑問に思うことが多くて。

でも、年齢的に転職は厳しいし、そもそも転職という事自体にも疑問があって。

じゃぁどうするの？って思ったところで。。。

現実解はこのまま今の会社でサラリーマンやっていくことなんだろうなぁ。

昇格していった人が手のひら返したように考え方や言うことが変わったり。

なかなか物事がすすまない組織だったり。

まぁそんなつまんない事も要因のいくつかとしてあるんだけど。

独立するにしても、守備範囲が著しく狭い。現在のポテンシャルじゃ苦しいよな。

結局、無いものネダリなのかなorz とか思考もまとまらない。

XenServerのゲストが黄色アイコンのまま制御できない場合の対処方法

vm-reset-powerstate

とかでも仮想ゲストの状態をコントロールできない。

さらにXenCenterから強制再起動とかもきかない状態。

ホストを再起動させればなんてこと無く復旧するんだけどね。

http://support.citrix.com/article/CTX131421

ここにでてましたー

# list_domains | grep <ゲストのuuid>

すると

xx | <ゲストのuuid>

って表示されるらしいので、このxxをメモ

/opt/xensource/debug/xenops destroy_domain –dom-id xx（先ほどの値）

これでいいらしい。試してないけどｗ

IBM x3550M4 アツイな。

http://www.redbooks.ibm.com/abstracts/tips0851.html#contents

TwitterのTLを何気に眺めていて発見。

出てたのね。3550M4。

redbooksをみて大興奮。

1Uサーバではhpは標準で1Gb4ポート。IBMは2ポート。

ここは差があるなぁという印象だったけど4ポートが標準になってる。

さらに10GbのポートがPCI-eを消費することなく搭載可能になっている。

これもイイね！

10Gbの普及の波について、サーバオンボード搭載がひとつの大きな波との声もあるので、x3650あたりではぜひとも10Gbを標準化して欲しい。

まぁつなぐスイッチがない　ってのも正直なところなんだけどｗ

3550は少し前に評価機を借りるまで触ったことがなかったんだよね。

標準は3650だから。でもいいマシンだと思った。

一足早くM4も出た事だし、3550押し面でいこうかしら。

XenDesktop/App プリンタのマッピングについて

昨日から、AccsessGateway経由でローカルプリンタがマッピングできないなぁと悩み続けて・・・

そもそもAG経由じゃできないのか？とか思ったが、とある方からできるよ！との回答が。

だよね・・・

って事で、悩みぬいた挙句に既存環境と見比べることにした。

（さっさとやれよ・・・）

で、ポリシーのルールについては問題なし。適用フィルタも問題なし。

むむむ・・・

じゃぁ何なのさ。ドメイン環境が違うからAグループポリシーとか関係あるの？

とか思ってちょっとグロッキーになりかけ。

ん？でもなんかWebInterfaceにもユーザエクスペリエンスの設定があったような気がする。

という事で該当するWebInterfaceのプロパティを確認。

ありましたー。

セッション設定→接続パフォーマンス→帯域プロファイルの中に

「プリンタマッピングを有効にする」のチェックがデフォルトでは外れてる。

これにチェックを入れて、IISサイトを再起動。（しなくてもいいはず）

接続すると、うまく認識されましたとさ。

XenDesktopでの印字について

XenDesktop＋フレッツグループによるVPNで利用している状況で

印字が遅い　との事なので試してみた。

導入前評価では十分なスピードと判断できたのに、どうしてだろうか。

評価環境を用意して、VPNではなくてAG経由で接続。

ppt、xls、docなどを試し印字。どれもそんなに遅くないし、帯域だって使ってない。

なぜ？

単純にアプリがスプール生成するのに時間がかかってるってだけじゃないの？

という気がする。

CitrixReciever関連

検証環境では、接続クライアント側に手動でCitrixRecieverを入れていたのでアレだけど・・・

実際の接続環境を想定してみると、Recieverが入っていないクライアントからの接続だって十分に考えられる。

それを意識してみると、WebIFから直接Reciverをダウンロードさせたい。

でも標準ではCitrixさんのサイトからのダウンロードになっているのでここの変更を行う必要がある。

 

Web Interfaceのログオン画面からのCitrixReceiver.exeの配布

webinterface.confでコメントアウトしてあるClientIcaWin32=　の行を有効としてOnline-Plugin WebとなっているのをCitrixReceiver.exeと変更すればOKだった。

が、ダウンロードがなかなか完了しなかったりするのだけど、これは何か理由があるんだろうか。

FireFoxだと終わったけどChromeだといつまでたってもダウンロードがおわらなかった。

で、インストール後にネイティブクライアントで接続しようとすると・・・

「CitrixHostedApps のすべてのロックダウン条件を満たす値がみつかりません。設定されているロックダウン条件が競合している可能性があります。」 

って出て接続できない・・・orz

接続クライアント側のレジストリをいじれば改善されるらしい。

V12n (Virtualization): 仮想化技術情報

HKEY_CURRENT_USER\Software\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions 

にある

EnableLockdownというDWORD値を 1 から 0 に変更する

らしい。

これって、実際の展開のときに非常に困るんだけど、みんなどうしてるの？

追記：CitrixRecieverになってから何か変わったんだろうね。

Online-Plugin Webのときは何もなかったから。とりあえずOnline-Plugin Webを配布することにしよう。

あと、Javaクライアントで接続すると証明書関連のエラーがでるｗ

安いSSL証明書つかったから中間証明書を手動で入れてやらなきゃなんだけど、すでにインポートしてあるのに。

Java用にどこか別のところにインポートしなきゃだめなの？ 

XenServer Pool環境構築時の注意点

こんばんは。

XenServer5.6のPool環境にサーバを追加する作業中ですｗ

せっかくMegaRAIDユーティリティとかインストールして準備万端のサーバだったのに・・・

LinuxPackのInstallが重要だなんて！

Pool環境で利用しているXenServerインストール時にLinuxPackを一緒にインストールしていれば、その後に追加するサーバも同じようにインストール時にLinuxPackをいれておかなければダメ！

後でインストールしてもダメらしい。

http://gihyo.jp/admin/feature/01/virtualize2010/0003

おかげさんで、２台のサーバにXenServerのクリーンインストールからｗ

その後Patchあてなどもあるので結構な時間をロスった。

まぁこれでも前倒しでできてるんだけどね。

と、言うことで構築ドキュメントはしっかりと。