この備忘録を開始。現状、取り立てて書くことはない。
Windows2000ProffesionalのRouting and Remote Access
を使って、IPパケットフィルタリングを設定した。
参考にしたページは、
@ITのページ 。
（０）デフォルト設定の保存
@IT
のページでは、コマンドプロンプトから「netsh」とタイプすると書いてあるが、
僕の場合は{SystemDrive}\winnt\system32へ移動しないとnetshは起動できなかった
（pathが通っていないためであろう）。
そこで、まずは「スタート」→「アクセサリ」→「コマンドプロンプト」でコマンドプロンプトを
起動して、下のようにsystem32へ移動した
C:\>cd winnt\system32
バックアップは、下のようにdumpを使って行える。
無事成功したかどうか、テキストエディタで確認するとよい。
C:\WINNT\system32> netsh dump > {ディレクトリ}\ファイル名
（１）RRASサービスの起動
「スタート」→「設定」→「コントロールパネル」→「管理ツール」→「サービス」でサービスを
起動する。サービスの「Routing and Remote Access」をダブルクリックして、
「スタートアップの種類」を「自動」に変更。
（２）フィルタリングの設定
オフラインモードで設定する。オフラインでの入り方は下の通り。
C:\WINNT\system32>netsh
netsh>routing
routing>ip
routing ip>
これでオフラインモードになる。後はコマンドプロンプトrouting ip> の後に各種設定を加えていけば良い。また利用できるコマンド等は「？」をタイプすると見ることが出来る。まずはインターフェースの確認。
routing ip> show interface
State Type Interface
-------------- -------------- ------------------------
有効 専用 ローカルエリア接続
有効 ループバック ループバック
有効 内部 内部
さて、肝心のセキュリティポリシーであるが、これは非常に簡単。
「ＬＡＮ上のＰＣのＩＰアドレス以外の接続は、全て拒否。
ＬＡＮ上のＰＣからの接続は全て受け付ける」
まず、show filterを実行すると、デフォルトでは全てが有効（＝０）になっている
。ちなみに僕の場合は
@IT
の
例にあるような「インターネット接続」はない。
これを上記のポリシーに従って、次のように変更した。
： routing ip> add filter name="インターネット 接続" filtertype=input
srcaddr=0.0.0.0 srcmask=0.0.0.0 dstaddr=0.0.0.0 dstmask=0.0.0.0
proto=tcp-est srcport=0 dstport=0
設定内容：短縮形で入力している。xxxはLAN上のＰＣのアドレス、yyyはルーターのアドレス。
routing ip> add filter "ローカル エリア接続" input 192.168.0.xxx 255.255.255.255
0.0.0.0 0.0.0.0 any
routing ip> add filter "ローカル エリア接続" input 192.168.0.yyy 255.255.255.255
0.0.0.0 0.0.0.0 tcp-est 0 0
この設定の注意点は、「追加されたポリシー（addで行うポリシー）は、全体のポリシー（setで行うポリシー）の逆のactionをする」ことである。そのため、１行目無しで２，３行目を追加してしまうと、デフォルトの全体ポリシーは「forward」なので、本来は受け付けたいものが受け付けないことになる。
設定が終了したら、次のコマンドで確認。
routing ip> show filter "ローカル エリア接続"
ＯＫならば設定を確実に反映するよう、commitと入力してから終了。
（３） 確認
では、ちゃんと設定されているかを確認したところ、次のような状態。
○ＬＡＮのＰＣからはちゃんとアクセスできる
○インターネットが見れない（ＴｏＴ）
パケットは出て行ってるが、inputで落とされている。TCP接続でこちらから接続要求を出したもの（tcp-est）は通す設定にしたのに。。。
とりあえず今日はここまで。。。。。。。。。うぅ、負け犬だぁーーーーー。
netshに関していろいろ調べていたら、
@ITのページ
に「DNSの応答を正しく受けるために、UDPの53番ポートを通す」ということが分かった（読み飛ばしていた！）。但し、この設定方法では、ソースポートの詐称によるアクセスで丸裸になることが、
Eiji James Yoshida
氏のレポートで分かった。ちなみにこのページはマイクロソフトの「
IIS5.0セキュリティ対策ハンドブックPrart1
」からリンクされている。
主なセキュリティ上の脆弱性は、次の点である。
”DNSの応答を受けるためにUDP 53番ポート、FTPを通すためにtcp 20番ポート、NTPを通すためにUDP 123番ポートをあけること”
そこで、次のようにUDP 53番ポートを通すものは僕のDNSサーバーのアドレスのみに設定した。但し、xxxはLAN上のＰＣ、yyyはブロードバンドルーター、zzzはこれ↓を設定するＰＣのIPアドレスである。
routing ip> add filter "ローカル エリア接続" input 192.168.0.xxx 255.255.255.255
192.168.0.zzz 255.255.255.255 any
routing ip> add filter "ローカル エリア接続" input 192.168.0.yyy 255.255.255.255 192.168.0.zzz
255.255.255.255 tcp-est 0 0
routing ip> add filter "ローカル エリア接続" input PrimaryNameServer
255.255.255.255 192.168.0.zzz 255.255.255.255 udp 53 0
routing ip> add filter "ローカル エリア接続" input SecondryNameServer
255.255.255.255 192.168.0.zzz 255.255.255.255 udp 53 0
これでインターネットの接続できるようになった。でもこれだとFTPが使えない。そこでウェブページをアップするときだけ、次の設定
を加えることとした。
明日はLAN上のＰＣからポート詐称したアクセスの実験をしてみよう。。。
FreeBSDのIP Filterに関して調べていたら、上記のFTP用のport20をあける必要がないことが分かった。ftp転送で「PASV」というモードが使えるftp転送ソフトならＯＫなそうだ。僕が愛用している
ffftp
は、PASVモードが使えるので早速実験してみたら、下のようになった。
（１） PASVモードを非使用 → >NLST -alLで停止
（２） PASVモードを使用 → ＯＫ！
nmapとnmapFEをLAN上のVineLinuxにインストールして、RRASを実行している192.168.0.zzzのポートスキャンをしたところ次のようになった。
接続を許可しているLAN内のＰＣのIPからの結果
接続を許可していないLAN内のＰＣからの結果
また、IPアドレスをネームサーバー（インターネット上）に詐称してnmapを行った。すると応答がインターネットのネームサーバーへ飛んでいるようで、nmapのポートスキャンは失敗した。いずれにせよ、かなり安全になったようだ。RRASを起動すると、{
SystemDrive}\winnt\tempディレクトリにJETB04B.tmp、JETB113.tmpという一時ファイルが出来る。
インストールは出来たが起動できないgimp を再インストールした。どうやら単にWindowsでは/home/userに相当するディレクトリが無かったために、「構文が違います」というエラーが出ていたようだが、その辺を丁寧に直した（？） 日本語gimp をベクターで見つけたのでそれをインストールしてＯＫになった。ちなみに、gimpに関して日本で情報を発している人は よっしーさん 。
Yahoo!BBモデムのバージョンを1.1から3.2へ上げた。
○２００２年 ３月１０日
IBM製ハードディスクIC35L060AVER07-0にbad sectorが発生した模様。
TTTeditでウェブページを作成
している最中に、ハードディスクから「ガーガー」という音が出たのである。
そこで、ドライブ上で右クリック→プロパティ→ツール→エラーチェック（chkdsk）
したところ、あるところでハードディスクが「ガーガーガーガー」と言ってそこから先に
進まなくなってしまった。
仕方なくresetボタンで再起動後、「ファイルシステムエラーを自動回復する」を
チェックしてchkdskを開始したら、「このディスクの排他的アクセス権を取得できません」
というエラーが出て、再起動後にchkdskを実行するという。仕方なく再起動。
再起動後、起動途中でエラーチェックし始めた。見ると読みとり不能のセクターがある
ようだ。結局ディスクの復旧は終了して無事再起動した。
さて、単なるクロスリンクなのかホントにbad sectorなのかをログで確認した。ログは
マイコンピュータで右クリック→管理→システムツール→イベントビューア→アプリケーション
で表示される「Winlogon」に記載されている。見ると24kBのbad sectorがあったそうな。
このハードディスク、2001年11月に買ったばかりなのに。。。とりあえず１０ヶ月は
保証しているみたいなので、販売店に問い合わせてみようっと。
NetBSD、OpenBSDパーティションを削除し、SystemCommanderでWindows2000を もうひとつのハードディスクへ移動しようとしたが、bad sectorが邪魔をして 移動に失敗。仕方なくプリライマリとセカンダリのハードディスクを交換して 元セカンダリハードディスクの第一パーティションにWindows2000をインストール した。この際、FreeBSDが起動しなくなった。 Kondara、Debianhaは何とか起動できた。
ハードディスクを入院させるために、壊れているハードディスクのパーティションを
開放し、FAT32でフォーマットし直した。その際、bad sectorのチェックでは、
セクタ382587,383860,417446,766255,766256,770314内のクラスタが破壊していた。
フォーマット後は、「Dumy File Maker」というソフトでハードディスク全体を
上書きした。
Cygwinをインストールした。インストール方法は atmarkit のページが詳しい。というより、Cygwinのウェブサイトから ダウンロードしたインストーラを使えば一発である。 但し、TextモードをDOSではなくUnixにしておかないと、下のXを入れても エラー になるので注意。 さらにCygwin/XFree86をインストールする。これも 上記のatmarkitのページの通りである。 もちろん、無事Xが起動した。
さらに、ProjectHeavyMoon
から、コンパイル済みのrpm-3.0.6.bin.tar.gz
をとって来てインストール。インストール方法は下の通り。
（Cygwinのシェルで）
# cp {Download Dir}/rpm-3.0.6.bin.tar.gz /
# cd /
# tar zxvf rpm-3.0.6.bin.tar.gz
うーん、楽チン。これでLinuxのようにrpmでCygwin用のrpmパッケージをインストールできるようになった。
SpeedFan というフリーソフトがあり、これでマザーボードやハードディスクの温度が測れるのだが、 デフラグを数回繰り返すとハードディスクの温度が５０℃を超えてしまった。デフラグ１回 につき１℃前後温度上昇するようなので、、意図的に１０回弱連続でデフラグをしたら あっさり５０℃を超えてしまった。
以前買った静音ファンでは 夏場はちょっとパワー不足かも知れない。そこで新しく3000rpmのファンを買ってきて 電源ファンとしたら、２０回以上のデフラグor表面テストでも５０℃を超えなくなった。
でも、ちょっと五月蝿い。そのうち2300〜2500rpmのファンに交換しよう。。。
Windows用のnmap、 nmapNT をインストール。
光学式マウスをゲットしてきた。３５００円くらいだったけど、さすがに使いやすい。 買ってきたヤツは、SANWA SUPPLYの MA-5UPOSである。
ファイルで右クリックして出てくる「アプリケーションから開く」に、名前が表示されないもの や、すでに使わなくなっているものが登録されている。この削除方法を調べたところ、 Nacelleというウェブページに 削除方法が 記載されていた。
これに従って、レジストリエディタを使って
以下にある各拡張子の余分なアプリを削除していくが、mozillaだけはなぜか削除できない。
編集後に一度ログアウトしても、再起動しても同じであった。とりあえず、これは断念した。
また、「アプリケーションから開く」をクリックしたときに、なぜか登録されているmozillaだけ アプリケーション名が表示されない。これはちょっとレジストリをいじってみて、次の箇所を 修正すれば良いことが分かった。
「アプリケーションから開く」で表示される値は、
に設定されたデータである。そのため、その値に適当な名前を記述することによって解決した
ELECOM製のマウス M-N1URSV も問題なく使えているのだが、いかんせんちょっと小さくて手が疲れる。そこで、動くかどうか 不明だが、前々から欲しかった同じくELECOM製のマウス M-FGUP2RB を買ってきた。幸い、これは全てのOSで問題なく動いてくれた。ホッ。
ハードディスクＳＴ３６００１５Ａを買った。 PC-UNIXが入っている方のIBM製DTLAはセカンドPCのサーバ用になった。また、SystemCommander7を使って OSを移動したが、BSD関係はすべて起動しなくなってしまった。。。おかげで再インストールだよ、全く。
一年ぶりにハードウェアをいじったことになるなぁ（笑
今回は、２ndＰＣの電源ファンが異音を発し始めたので交換することになった。
2000回転程度のファンを捜して、松下のPanaflo
FBA08A12Lにした。
家に戻って早速交換しようと電源を外してみたら、電源ファンがコネクタじゃなくてはんだ付けされて いるヤツだった。結局、買ってきたファンをケースファンとして使い、元々ケースファンにしていた ファンを電源ファンにした。