Vine Linux

MENU of Vine Linux

私のメモです。参考になればいいですが、間違っていたらごめんなさい。

戯れ言国産ディストリビューションの雄

------------------------------------------

国産ディストリビューションの雄

Linuxのディストリビューションは、ここを見ると分かるように山ほどあるが、大きな流れはRedhat、Debian、Slackwareのどれをベースにしているかである。その中で、 Vine Linuxは、現在主流になっているRedhatをベースにした国産ディストリビューションである。「そこまでするか？！」というほどほぼ全てを日本語化/対応していて、その安定性にも定評がある。
　ただし、新機能を取り入れるのは遅いため、遊びに使うには面白みがない。そんなわけで、緊急用としてセカンドPCにインストールしている

○2.1のインストールと2.1.5へのアップグレード

セカンドPCのハードウェアは今となってはずいぶん古くなった。ビデオカードは MatroxのG200、サウンドカードはSoundBlaster16 AWE32である。Vine Linuxでももちろんサポートされている。問題はネットワークカードであるが、メインPCと同じPlanexのFNW-9802-Tなので、製品のドライバディスクにカーネル2.2系用のドライバが添付されているため、これも問題ない。
　そのため、2.1や2.1.5のインストールは楽勝であった。

Back to MENU

○Sound Cardの設定

Xの設定はインストーラが自動でやってくれたが、サウンドはさすがにやってくれない。しかし、さすが多機能なRedhatをベースにしているだけあって、rootでsetupコマンドを実行して設定できる。Setupで行う場合、SoundBlaster16はISAバスのデバイスなので、デバイスを自動認識してくれても、DMAやI/Oなどを手入力する。しかし、kudzuという起動時に実行されるデーモンでは、インストーラが認識しないデバイスもある程度自動で設定してくれる。 SoundBlaster16もkudzuによって自動設定されたので楽チンであった。

上で書いた方法で認識できるのは、カーネルで設定するSound（OSS）である。 alsaを使う場合は、alsaconfでDMAなど手入力する必要がある。

Back to MENU

○ネットワークの設定

ネットワークの設定は、インストール時に行える。ホストネーム、ネットワークカードのIPアドレス、デフォルトゲートウェイ、などなど。。。
　また、インストールが終了した後は、rootになってnetcfgコマンドで変更可能である。

せっかくLANを組んでいるのだから、sambaでのファイル共有とダイアルアップルーターの構築をしてみることにした。今回は、LAN特集が組まれたACSII Linux Magaxine (2001.04号) があるし、 sambaは前回使っているので楽勝と思いきや、、、これがうまく行かない。そう、パスワードファイルが無いのである。早速、雑誌に従って

# cat /etc/passwd | mksmbpasswd.sh > /etc/smbpasswd
# chmod 660 /etc/smbpasswd

としてみるが、やはりWindowsがLinuxマシンにログイン出来ない。うーんおかしいと思いながら、明示的にsambaにユーザーを教えるべく、smbpassコマンドで、
# smbpass -a "username"
としてパスワードを設定してみると、今度はちゃんと見れるようになった。
ところが、日本語のフォルダがめちゃめちゃに化けている(笑)。どっかに設定するところは無いのだろうか？と探してみると、「Global」設定の「advance」をクリックすると「codepage」ってのが出て来るではないか。これに違いないと思い、早速euc、sjisを試してみたら、eucの方で日本語のフォルダも読めるようになった。
ところが、その後設定をいじっていると、またLinuxマシンにログイン出来なくなってしまった。よくよく/etc/samba/smbconfを見てみると、設定をいじった後にcomitteを押すと何やら変なオプションまで勝手に設定しているようだ。そこでsmb.confを直に編集したら、ログインもOK、日本語もOKになった。
さて、ここまでは何とか来たけど、まだ問題がある。windowsから読み込めるけど書き込みが出来ないのである。これはしばらく不明であったが、日経Linux10月号を読んで解決した。書き込めない原因は、fstabでX Windowが起動する前にrootでマウントしているからである。と言うことは、sambaでwindowsからアクセスがあったときにマウント出来れば問題は解決する。早速その設定方法を見てみると、雑誌では「MOやcd-romの共有」ということで載っていた。アクセスがあったときに実行させるスクリプトを指定するのはroot preexecなそうなので、早速やってみると今度は書き込みも出来るようになった。これでsambaは一安心。
下はそのsambaの設定ファイル。参考までに。

[global]
coding system = euc
client code page = 932
workgroup = mygroupe
server string = samba
security = SHARE
encrypt passwords = Yes
os level = 2
dns proxy = No
oplock break wait time = 1
printing = lprng
[printers]
comment = All Printers
path = /var/spool/samba
printable = Yes
browseable = No
[dl]
comment = data folder
path = /mnt/c/dl
writeable = Yes
root preexec = /bin/mount /mnt/c
root postexec = /bin/umount /mnt/c

Back to MENU

○2.5 Betaのインストール

セカンドPCのVine Linuxは緊急用なのであまりいじることはなく、ときどきapt-getでセキュリティアップデートをしていたくらいである。だが、Vine Linux のウェブページに2.5βがあがったようなので、早速アップデートしてみた。

ISOイメージを焼いたCDからブートして、アップグレードインストールを行ったのだが、起動ディスク（インストーラの起動ではなく緊急用の起動）の作成に失敗、さらにアップデートしたVine Linuxでliloのインストールがめちゃくちゃで、起動しなくなってしまった。（lilo.confを見ると、元の2.2.19カーネルのままインストールしていた。さらに、元のカーネル2.2.19を削除している！！）
　最近作成したRamFloppyを使ってlilo.confを修正し、 lilo -vでインストールしようとしたが、RamFloppyにはliloがないようでcommand not found になってしまった。

Vine Linuxには取り立ててアプリケーションを入れているわけでもなく、設定もネットワーク以外はほとんどいじっていなかったので、別パーティションにしている /homeを残して他を再インストールすることにした。しかし、Vine25-beta2-20020326.isoでの再インストールは上記と同じエラーで起動すらしなかった。そこでVine25-beta1-20020314.iso をダウンロードしたCDでインストールしたところ、起動ディスクの作成に失敗はしたが起動できた。

○起動ディスクの作成

ようやく2.5βが起動したが、今後のアップグレードなどで起動ディスクが必要になりそうな気がする。ウェブで調べてみると、 HOLON LinuxのFAQで起動ディスクの作成方法を見つけた。それによると、
# fdformat /dev/fd0H1440
# mkbootdisk {kernel-version}
で起動ディスクを作れるようだ。しかし、実際にやってみると、mkbootdisk実行時にfloppyに bad i-nodeがあるとかで止まってしまう。

そこで、フォーマット方法を下のように変えると同じメッセージが出るが無事に作成できた。
# mk2ext /dev/fd0
# mkbootdisk -v {kernel-version}

Back to MENU

○WWWサーバの構築

とある理由から、WWWサーバを立ててみることにした。 WWWサーバといえば、apacheである。インターネット上に文書も豊富であり、設定に困ることも少ないだろう。そんなわけで、下の通りインストールと設定を行った。

インストール

言うまでもなく、下のコマンド一発でインストールできた。
# apt-get install apache
VineLinuxはDebian同様にapt-getが使えるので、インストールはこれで終わりである(楽チン!)。
apacheがちゃんと起動しているかどうかは、webブラウザを起動して、 URLに「http://localhost/」と入れてみるとわかる。こんなページが見えるはずである。
apacheが無事起動したら、次はapacheとブロードバンドルータの設定である。

apache(httpd.conf)の設定　(ちなみにバージョンは1.3.27-0vl2)

VineLinuxの場合、apacheの設定ファイルhttpd.confは /etc/httpd/conf/以下に置かれる。初期状態でほとんど設定が済んでいるため、編集するところといえばアクセス制限を加えるところくらいである。 .htaccessを使って認証を行うつもりなので、httpd.confを次のように編集^※した。
(アクセス制限を加えるには、access.confやsrm.confを使う方法もあるが、これらはhttpd.confでも設定可能なのでVineLinuxでは編集するなと書いてある。)

  <Directory /home/httpd/html>
     Options Indexes Includes FollowSymLinks MultiViews
     AllowOverride All (default: None)
     Order allow,deny
     Allow from all
  </Directory>

上の記述は、/home/httpd/html以下のディレクトリに対し、 .htaccessなどのファイルで設定を上書きすることを許可するように変更ている。後は、/home/httpd/html以下で認証を行いたいディレクトリに.htaccessファイルを置けば、認証を要求するようになる。

.htaccessの作成と諸設定

まず、.htaccessで使用するパスワードファイルを作成する。

# htpasswd -c {パスワードファイル} {ユーザー名}

-cは新しくファイルを作成する場合のオプションである。例えば、パスワードファイルを/etc/httpd/conf/.passwd.fishers、ユーザーをfishersなら下のようになる。

# htpasswd -c /etc/httpd/conf/.passwd.fishers fishers

パスワードファイルは、誰でも読めるディレクトリ(drwxr-xr-x)以下に置かないといけない。 VineLinuxでは、/rootはroot以外は閲覧できない(drwxr-x---)ため、/root以下にパスワードファイルを置くと認証できないので注意(認証のプロンプトさえでない。)。

次に.htaccessを記述し、認証をしたいディレクトリ以下に置く。 .htaccessの書式は、次のようになるようだ。

  AuthUserFile /etc/httpd/conf/.passwd.fishers
  AuthName "Fishers 'Private Area "
  AuthType Basic
  require valid-user

AuthUserFile

パスワードファイルのある場所を示す。相対ディレクトリでもいいが、その際の基準ディレクトリは/etc/httpd/confになる。

AuthName

認証を要するディレクトリの名称のようだ。適当に付けておけばOKだろう。

AuthType

認証のタイプの指定である。DigestとBasicがあるらしいが、 Digestに対応しているブラウザは少ないらしい。そのため、基本的にはBasicを選択することになる。

require

認証を要求するユーザー名を記述する。そのディレクトリ以下をWWWで閲覧する人すべてを示すのが上述である。パスワードファイルに記述したユーザーだけにしたければ、そのユーザー名を記述すれば良い。

ネットを調べると、.htaccessなどのファイルを読まれないように、次の設定を.htaccessに記述しておくといいと書いてある。 VineLinuxのhttpd.confでは、この記述がhttpd.confにあり、全ディレクトリに適応されているため、.htaccessに記述する必要は無い。

  <Files ~ "^\.ht">
    Order allow,deny
    Deny from all
  </Files>

ここまで来れば、設定を有効にするためにapacheを再起動させる。

# /etc/init.d/httpd restart

不要なサービスの停止

次のようにして、動しているサービスを確認できる

# su -
(rootのパスワード入力)
# setup

これで出てくるメニューから「システムサービス設定」を選べばよい。あるいは、VineLinuxのページの通り、 chkconfigコマンドを用いてもいい。それが僕は面倒なので、これらの実体がある/etc/rcN.d/(Nはランレベルに当たる数字) で、SXXサービス名をKXXサービス名にmvしている。 apacheを起動する予定のランレベル3では、次のサービス以外は止めてしまった。

S01murasaki
S05kudzu
S10network
S12syslog
S20random
S45usbmgr
S56rawdevices
S75keytable
S85gpm
S85httpd
S95atd
S99local

ブロードバンドルータの設定

apacheの設定が終わったので、いざ、公開である。しかし、僕の家のPC環境はこんな風なので、ブロードバンドルータに穴を空けないと外部から閲覧できない。 BRL-04Fでは、ローカルサーバで設定できる。WebブラウザでBRLー04Fの IPアドレスを入力→パスワード入力→「アドバンスド設定」→「バーチャルコンピュータ/ローカルサーバ」でローカルサーバの設定ができる。そのウィンドウで、

「ローカルサーバをアプリケーション名で指定」をチェック
アプリケーション名「HTTP(TCP80)」を選択
「転送先IPアドレス」に、サーバにするPCのIPアドレス(192.168.xxx.xxx)を入力
「ローカルサーバの追加」をクリック

本当に設定が完了しているかを確認するために、 56kモデムで接続してブロードバンドルータのWAN側ポートのIPアドレスを Webブラウザに入れてみたところ、ちゃんと/home/httpd/html/index.htmlが見れた。（DNSサービスに登録してないので、IP直打ちしないと見れない）

Nimda対策（ログのカスタマイズ）

WWWサーバを立ち上げ、しばらくしてログを見てみると、１時間置きくらいにcmd.exe?～とか、root.exe?～というアクセスがある。調べて見ると、どうやらNimdaワームのようである。apacheが感染の恐れはないが、アクセスログが膨大になり解析が面倒である。そのため、/etc/httpd/conf/httpd.confに以下の太字を追加すると良いらしい（参考：FreeBSD でインターネットサーバ構築）。

SetEnvIf Request_URI default\.ida virus
SetEnvIf Request_URI root\.exe virus
SetEnvIf Request_URI cmd\.exe virus
CustomLog /var/log/httpd-access.log combined env=!virus
CustomLog /var/log/virus.log combined env=virus

上のようにすると、CodeRedやNimdaからのアクセスは/var/log/httpd/virus.log に記録されるようになり、それ以外のアクセスは通常のログファイル（/var/log/httpd/access_log）に記録されるようになる。

○iptablesの設定

apacheのログをカスタマイズして、うっとうしいNimdaを無視しているが、よくよく考えればiptablesでDROPして応答しない方がいいと思われる。そこで、iptablesを設定することにした。

その方法の概要は、iptablesをapt-getでインストールし、 chainルールとtableを作成し、iptablesを起動時に有効にすればＯＫである。
詳細には次のように行った。

iptablesのインストール

# apt-get install iptables

chainルールの決定と作成

chainルールを決める前に、ポリシーを決定する必要がある。僕の場合は、ブロードバンドルータがポート80番しか通さないので比較的安全^※であること、及びNimdaワームの攻撃があるIPアドレスが知人のIPアドレスではないことから、Nimda ワームの攻撃を掛けてくるIPアドレスのみをDROPすることとした。
※Vinelinuxが外部へあけているポートは80番だけというのも安心材料だと思う。

コマンドラインからchainを設定してもいいが、いちいち打つのが面倒なので、次のシェルスクリプトを書いた。また、こうすることによって、/etc/sysconfig/iptablesを直接編集しなくても良くなる。

# /bin/sh
iptables -F　　（chainルールの初期化）
iptables -P INPUT ACCEPT　　（INPUTポリシーの設定）
iptables -P FORWARD ACCEPT　　（FORWARDポリシーの設定）
iptables -P OUTPUT ACCEPT　　（OUTPUTポリシーの設定）
iptables -A INPUT -i eth0 -s 217.xxx.0.0/16 -d 0/0 -j DROP　　（NimdaのIPアドレスをDROPに設定）

シェルスクリプトが完成したらそれを実行し、エラーが出なかったこと、及びiptables -Lで自分の予定通りに設定されていることを確認する。

tableの作成

上記のシェルスクリプトを起動時に走らせれば良いのだが、 Redhat系Linuxではiptablesのchainが設定できた状態で次のコマンドを実行する必要がある。

# iptables-save > /etc/sysconfig/iptables

これによって、/etc/init.d/iptablesスクリプトが読み込むファイルが作成され、「システムサービス設定」でiptablesをOS起動時に有効にした際に、上記で作成したchainを実行してくれるようになる。

OS起動時にiptablesを立ち上げる

後はOS起動時にiptablesを起動するようにすればＯＫである。コンソール上で「setup」とタイプして起動するメニューから、「システムサービス設定」を選択し、iptablesにチェックを入れれば良い。或いは、次のように実体（/etc/init.d/iptables）にシンボリックリンクを貼れば良い。

# ln -s /etc/init.d/iptables /etc/rc3.d/S08iptables

○Windowsの共有フォルダのマウント

上述のネットワークの設定では、Linux上のファイルを Windowsから見るための設定であった。今度は逆に、Windowsの共有フォルダをLinuxでマウントできるようにした。これは、ウェブのコンテンツが別のＰＣの共有フォルダにある時に便利である。

必要なアプリケーション

samba-client、samba-common。
# apt-get install samba-client
でsamba-commonもインストールされる。

必要なカーネルのサポート

smbfsをサポート（CONFIG_SMB_FS=m）
さらにdefaultの言語をcp932に設定しておくと便利である。
（CONFIG_SMB_NLS_DEFAULT=y、CONFIG_SMB_NLS_REMOTE="cp932"）
smbfsがサポートされていない場合は、カーネルの再構築をする必要がある。
（VineLinux2.6のGENERICカーネルではsmbfsをサポートしてます）

smbfsのマウント

上記の準備が出来たら、次のコマンドでマウント出来る。

# mount -t smbfs -o username=ユーザー名,password=左記ユーザーのパスワード //マシン名/共有フォルダ名 /マウントポイント

オプション-oでは、workgroup=ワークグループ名も指定可能であるが、特に無くても mountはできる。また、オプションにcodepage=cp932,iocharset=euc-jpで日本語の NLSや文字セットを指定できるようだが、 Vinelinuxのsamba-client-2.0.10_ja_1.2-0vl1では出来なかった（2.2では無いため？）。

上記のmountコマンドだと、パスワードがディスプレイに丸見えになる。それが嫌な場合は、passwordを書かなければよい。コマンド実行後にパスワード入力を求められるが、その際はディスプレイに表示されないからである。

smb.confの設定

smbfsではなぜかmount時に/etc/smb.confを読みに行くようだ。 mount自体には支障は無いようだが、globalセクションを設定しておくと codepage等の入力の必要が無くなるかも知れない。。。。
（VinelinuxではデフォルトNLSがcp932に指定されているため、この確認は出来なかった。）

○FTPサーバの構築

またまた、とある事情でＦＴＰサーバを立ち上げることになった。どのftpサーバがいいかいろいろ調べた結果、 ProFTP で立ち上げることにした。選定理由は、

wu-ftpはセキュリティホールが多いらしい
confファイルの記述がapacheに似ている

というところだろうか。。。作業内容は以下の通り。

ソフトウェアの選択とインストール

# apt-get install proftpd
でインストール終了。

設定の準備

設定をする前に、どのようにポリシーで運用するのかを決める必要ある。僕のftpサーバは、メンバーが端末からログインはしないことを考えて次のように決めた。

FTP公開のポリシー

メンバー以外のログインは不許可（端末からログインする人も不可）
メンバー全員が読み書き可能なディレクトリを作る
上記ディレクトリはメンバー以外には見せない
メンバーは/home/ftp以上は見れない
メンバーは自分専用のディレクトリを持つ

ユーザとグループの作成

上のポリシーを実現するため、次のようなディレクトリ構成にすることにした。

ftpのホームディレクトリ：　/home/ftp

メンバー個人専用のディレクトリ：　/home/ftp/メンバー名

メンバー全員が読み書き可能なディレクトリ：　/home/ftp/pub

そこで、次のようにメンバーとグループを作成した。
# groupadd mymembers
# useradd -g mymembers -d /home/ftp/各メンバー名 各メンバー名

また、pubディレクトリのグループをmymembersに変更する。
# chgrp mymembers /home/ftp/pub

さらに、pubディレクトリをメンバー以外見れないようにする。
# chmod 770 /home/ftp/pub

余計なユーザ、グループ、ディレクトリを作成しないように上記の通りにしたが、果たしてこれがベストなのかは全く自信なし（＾＾；；

/etc/ftpusersの編集

このファイルは、ftpログインを拒否するアカウントが書かれたファイルである。 VineLinuxでは、あらかじめrootなどは記述されている。後は抜けているのを記述するだけである。また、端末にログインするユーザはftpを許可しないのでそれも加えた。
※このファイルにgroupを加えると、加えたグループに属するアカウントがログインできなくなった。/etc/ftpgroupが無いのはその理由だろうか？

/etc/proftpd.confの設定

ProFTPの設定は、/etc/proftpd.confである。proftpd.confの記述は apacheに似ている。どのようなディレクティブが使えるかは、 infosienceさんのページを参考にした。また、設定例は Michizaneさんのページを参考にした。

VineLinuxの/etc/proftpd.confでほとんど事足りるのだが、次の箇所を修正/追記した。

サーバ名

ServerName "自分の好きな名前"

proftpdの起動方法（デフォルトのまま使用）

ServerType standalone # inetdとするとinetdから呼び出されます。

ftpユーザのルートディレクトリ

DefaultRoot /home/ftp/ mymembers # mymembersグループに属するアカウントは /home/ftpディレクトリ以上を見えないようにする

フィルタの設定

DenyFilter \*.*/ # ftpログインユーザの../../../.. （以下続く）によるDoS攻撃の予防

IPアドレス逆引きルックアップの設定

UseReverseDNS off # 処理速度向上のため無効

ログファイルのカスタマイズ

LogFormat	auth	"%t : %u@%a"			# 認証用にカスタムログを作成。書式は”時間：ユーザ名@IPアドレス”
ExtendedLog	/var/log/proftpd/auth.log  AUTH  auth   # 認証に関するログを上で定義した形（auth）で/var/log/proftpd/auth.logとして保存。もちろん/var/log/proftpdディレクトリを作成しておく必要がある。
TransferLog	/var/log/proftpd/trans.log              # ファイル転送のログを/var/log/xferlog から変更

ルータの設定

ProFTPの設定が終わったので、ブロードバンドルータに穴を空ける。 apacheの時同様、ローカルサーバで設定できる。 WebブラウザでBRLー04FのIPアドレスを入力→パスワード入力→「アドバンスド設定」 →「バーチャルコンピュータ/ローカルサーバ」でローカルサーバの設定ができる。そのウィンドウで、

「ローカルサーバをアプリケーション名で指定」をチェック
アプリケーション名「FTP(TCP21)」を選択
「転送先IPアドレス」に、サーバにするPCのIPアドレス(192.168.xxx.xxx)を入力
「ローカルサーバの追加」をクリック

Back to MENU

	ftpのホームディレクトリ	：　/home/ftp
	メンバー個人専用のディレクトリ	：　/home/ftp/メンバー名
	メンバー全員が読み書き可能なディレクトリ	：　/home/ftp/pub