FreeBSDでBBルータを作ろう互助会 2Mbps
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
NGNG「PPPoEの方法」
「NATにする方法」
「NICを2枚使う方法」
「ファイヤーウォール設定・セキュリティ対策」
その他なんでもいいからここで質問＆アドバイスして輪を広げてこう。
悪質ブロードバンドルーター製品逝ってよし！
前スレ
FreeBSDでBBルータを作ろう互助会
http://pc.2ch.net/test/read.cgi/unix/1038060563/
最近のブロードバンドルータは安くて速いぞ。遅くてヘボいルーター作るなよ。
0521名無しさん＠お腹いっぱい。
NGNG100Mbpsクラスだと処理できないヨカーン。
フィルタリング処理にこだわるとどんどんツラくなる…>CPU
0522名無しさん＠お腹いっぱい。
NGNGPPPoEで接続できなくなっちゃったんだけれど、
誰か同じような症状の人いる？
0523名無しさん＠お腹いっぱい。
NGNG0524名無しさん＠お腹いっぱい。
NGNG0525名無しさん＠お腹いっぱい。
NGNG0526名無しさん＠お腹いっぱい。
NGNG0527名無しさん＠お腹いっぱい。
NGNG>Changes since version 3.15:
> Implemented PPPoE server functionality
これの絡みで、設定の記述がかわったのかもな。
とにかく設定晒すことをすすめるよ。
0528名無しさん＠お腹いっぱい。
NGNGipfwとipfilterを比べるものやipfilterとpfを比べるものは見つけたのですが、
ipfwとpfを比べているものやipfwとしてIPFW2を使って比較しているものが見当たらないもので。
0529名無しさん＠お腹いっぱい。
NGNGとりあえず他にもいるということだけ。
522ではないですが、設定を晒してみる。
flets:
new -i ng1 flets PPPoE1
# ルーティング設定省略
set iface up-script /usr/local/etc/mpd/flets.sh
set iface down-script /usr/local/etc/mpd/flets.sh
set bundle authname foo # 隠すのに意味は無いけど
set bundle password bar # 一応隠しておく
load client_standard
client_standard:
set iface disable on-demand
set iface idle 0
set bundle disable multilink
set link no acfcomp protocomp
set link disable pap chap
set link accept chap
set link mtu 1454
set link mru 1454
set ipcp yes vjcomp
set ipcp ranges 0.0.0.0/0 0.0.0.0/0
open iface
0530名無しさん＠お腹いっぱい。
NGNGyggdrasilを参考にしているかBSD Magazineか。とか。
0531名無しさん＠お腹いっぱい。
NGNGhttp://emotd.com/2003/12/25.html
Some netgraph string length constants have been changed.
ってことなんで、mpdを作り直す必要があるそうだ。
0532名無しさん＠お腹いっぱい。
NGNG/usr/local/etc/mpd/mpd.linksに
set pppoe service "hoge"
set pppoe disable incoming
set pppoe enable originate
を追加
0534名無しさん＠お腹いっぱい。
NGNGhttp://www.geocities.jp/hamdah3502213/osugi/osg.htm
mpd.confは
set link mtu 1448
set link mru 1448
ipnat.rulesは
mssclamp 1408
にしたほうが効率いいのかな？
0535名無しさん＠お腹いっぱい。
NGNG0536名無しさん＠お腹いっぱい。
NGNG0537名無しさん＠お腹いっぱい。
NGNG広末陽一郎さん(42・農業)ですが。
0538名無しさん＠お腹いっぱい。
NGNG0539名無しさん＠お腹いっぱい。
NGNGあとは使えるNICが増えたくらいか。
0540名無しさん＠お腹いっぱい。
NGNG0541名無しさん＠お腹いっぱい。
NGNGもやってみたいと思っています。
自宅のネットワークにRIPやOSPFを使ってブイブイいわせてる方いますか？
0542名無しさん＠お腹いっぱい。
NGNG0543名無しさん＠お腹いっぱい。
NGNGほらあんた、掃除のジャマなんだからいつまでも寝っ転がってないで
鷄モモと生姜買って来てちょうだい！
0544名無しさん＠お腹いっぱい。
NGNG何に使うの?
複数のセグメントが同居してない限りあまりやくにはたたんと思うが
0545名無しさん＠お腹いっぱい。
NGNGそうなの?
pfって/usr/ports/security/pfのことだよね?
OpenBSD 3.4に入ったOS fingerprint機能のことかな?
0547名無しさん＠お腹いっぱい。
NGNGRelease4ではカーネルコンフィグに、
>pseudo-device vlan 4
とか書いてカーネル再構築すればvlanインターフェースが4つ使えるように
なったのにRelease5ではこれやってもうまくいきません。
仕様が変わったようです・・・・・
0548名無しさん＠お腹いっぱい。
NGNG> 仕様が変わったようです・・・・・
そうですか。
man vlanぐらいしてみたのか?
0549名無しさん＠お腹いっぱい。
NGNGBSD本体のインスコすら巧くいかねぇ．．
発売当時はDVDはみれるは、TVはうつるはで超ハイエンドだったのに
いまはゴミだな．．ｶﾞｸｰﾘ
0550名無しさん＠お腹いっぱい。
NGNGIRQとか手打ちしてもだめ？
0551名無しさん＠お腹いっぱい。
NGNG# ifconfig vlan0 vlan 101 vlandev ed1
# ifconfig vlan0 inet 172.16.0.1 netmask 255.255.255.0
0552名無しさん＠お腹いっぱい。
NGNG無料のお薦めのアンチウィルスソフトはありますか？
0553名無しさん＠お腹いっぱい。
NGNG特に無料に限ったウィルス対策ソフトの紹介ではないが、次を紹介しておく。
Postfixで使えるウィルス対策ソフト: http://www.kobitosan.net/postfix/ML/arc.4/msg00850.html
Antivirusスレ: http://pc.2ch.net/test/read.cgi/unix/1046547211/
個人使用などの条件なしで無料のがほしかったらclamavというのが/usr/ports/security/clamav/に入ってる。
それをメールサービスに適応するには/usr/ports/security/amavisなどがある。
clamavはメジャーなものにはちゃんと対応するのでライセンスが気になるならこれを使ったがいいね。
0554名無しさん＠お腹いっぱい。
NGNGさっそくの返答ありがとうございます。
このようなVirusソフトもあったのですね。
できれば、無償の方がありがたいです。
あの〜>>553さんの後半に書いてある内容ですが、
それってFreeBSDのportsで無償のアンチウィルスソフトがあるってことですか？
あと、いろいろ検索して今捜しているんですけど、
http://www.f-prot.com/download/home_user/download_fpbsd.html
↑これもそうでしょうか？ 使っている方とかいらっしゃいますか？
0555名無しさん＠お腹いっぱい。
NGNGPort: f-prot-4.3.3
Path: /usr/ports/security/f-prot
Info: F-Prot Antivirus for BSD Workstations
0556名無しさん＠お腹いっぱい。
NGNGとりあえずMyDoomっぼいメールは除去できている。
警告メールをsenderに送らずにrecips,adminだけに設定を書き直す必要があるけど。
0557553
NGNGF-protは「Postfixで使えるウィルス対策ソフト」の中で紹介されていたはずだが。
もしかして読んでないのか?
「無料に限ったわけではない」というのは「無料のものもあるけど、有料のものも登場するよ」という意味で
使っていたんだが。
「無償のほうがありがたいです」などととぼけたことを言っているんだから読んでないんだろうけどな。
なんか教えがいが無いな。
clamavの話題もF-PROTの話題も「Postfixで使えるウィルス対策ソフト」で紹介されてるよ。
それを読んでなお疑問があったら聞きなさいな。
0558553
NGNGhttp://www.kobitosan.net/postfix/ML/arc.4/thrd9.html#00850
のページの「[postfix-jp:0xxxx] RAV Antivirusの代替品」という青文字をすべてクリックして読むべし。
ちなみに、xxxxのとこは数字が入る。
0559名無しさん＠お腹いっぱい。
NGNGそんで、Matroxのi5299が4つ載った4ポート10/100のPCIのLANカード
を\9,800(新品)で保護してきますた。まだ、レジの奥に10枚ぐらいある
ようです。店の名前は、忘れましたが昌平童夢館のそばのOttoの系列
点で、NW機器とか、PCサーバとかを置いてあるサーバ系のジャンク屋
です。
これと、EdenのMini-ITXでDMZのOKな静音ファイアーウォールを作り
たいと思いまつ。
0560名無しさん＠お腹いっぱい。
NGNGだけど、きちんと認識した。dmesgはこんな感じ。
pcib3: <DEC 21152 PCI-PCI bridge> at device 16.0 on pci0
pci2: <PCI bus> on pcib3
fxp0: <Intel 82559ER Embedded 10/100 Ethernet> port 0xa000-0xa03f mem 0xdf000000
-0xdf01ffff,0xdf083000-0xdf083fff irq 11 at device 4.0 on pci2
fxp0: Ethernet address 00:20:fc:1e:d3:b0
inphy0: <i82555 10/100 media interface> on miibus2
inphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
fxp1: <Intel 82559ER Embedded 10/100 Ethernet> port 0xa400-0xa43f mem 0xdf020000
-0xdf03ffff,0xdf081000-0xdf081fff irq 9 at device 5.0 on pci2
fxp1: Ethernet address 00:20:fc:1e:d3:b1
inphy1: <i82555 10/100 media interface> on miibus3
inphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
fxp2: <Intel 82559ER Embedded 10/100 Ethernet> port 0xa800-0xa83f mem 0xdf040000
-0xdf05ffff,0xdf080000-0xdf080fff irq 5 at device 6.0 on pci2
fxp2: Ethernet address 00:20:fc:1e:d3:b2
inphy2: <i82555 10/100 media interface> on miibus4
inphy2: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
fxp3: <Intel 82559ER Embedded 10/100 Ethernet> port 0xac00-0xac3f mem 0xdf060000
-0xdf07ffff,0xdf082000-0xdf082fff irq 10 at device 7.0 on pci2
fxp3: Ethernet address 00:20:fc:1e:d3:b3
inphy3: <i82555 10/100 media interface> on miibus5
inphy3: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
きちんと、4ポート認識した。これ、PCIx6のマザーに指したら、24ポートの
最強ルータできるね。なんに使うかわからんが。
# 最近、ネタがないようなので、振ってみた
0561名無しさん＠お腹いっぱい。
NGNGNIC 8枚目
http://pc3.2ch.net/test/read.cgi/jisaku/1068045331/
のひとだね。
AHA6944Aが売っていたころはやった？ので、ちょっと懐かしい4portNICねた。
当初はdigital2115xPCI-PCIブリッジが使えなくてはまっていたみたい。
Adaptecのはdeだったけど、今回のはfxpということでいいなーといってみたり。
#でも4ポートも何に使っていいのかわかんない。
0562名無しさん＠お腹いっぱい。
NGNG0563名無しさん＠お腹いっぱい。
NGNG0564名無しさん＠お腹いっぱい。
NGNG0565名無しさん＠お腹いっぱい。
NGNG0566名無しさん＠お腹いっぱい。
NGNG別の方が望ましいんじゃない？
うちは一緒
中とってjailとかが良いかもな
0567名無しさん＠お腹いっぱい。
NGNG場所のこととか電気代のこととか考えると一緒ってのもありかと
うちはデーモンをjailに放り込んでルータと外向けの鯖で１台
4.6だとjailで運用はちとやりにくいけど
今はだいぶやりやすくなったようで
4.9にしたいなぁ
0568名無しさん＠お腹いっぱい。
NGNG0569名無しさん＠お腹いっぱい。
NGNGやはり4ポートのNICに、直接各PCのNICをケーブルで繋いだほうが、
パフォーマンスは上がる？
0570名無しさん＠お腹いっぱい。
NGNG微々たる（ｒｙ
0571名無しさん＠お腹いっぱい。
NGNGもれは別構成にしてる。
互いが別マシンという構成がいいなら当然そうなりそうだけど...
ちなみに、実装上の問題でsyslogdとPostfixは同一のchroot空間、IPアドレスだけど
別のjail空間を使ってる。
こんなふうにしてるもんで。
jail /jaildir/mail mailhost 10.0.0.1 syslogd -s
jail /jaildir/mail mailhost 10.0.0.1 postfix start
互いに相手を停止できないからちょっと安全かと思ってみたり。
まあ、jailしててもDoSには無力だけどね。
0572名無しさん＠お腹いっぱい。
NGNGきちんと設定しとけば、一緒でも別でもセキュリティレベルは一緒。
分けてたってルータがやられれば、そこから鯖にも入られるんだからね。
分けるかどうかは別の要因で決めればいい。
0573名無しさん＠お腹いっぱい。
NGNGPC-PCの通信が多いなら、真ん中にルータがあるより、スイッチで繋がってる方が速い。
0574名無しさん＠お腹いっぱい。
NGNGpostfix空間がやられたときに、syslogd空間だけやられずに残ってることに、どのくらい意味があるのかだな。
あるなら、いいけど。
0575566
NGNGもちろん信用度が
jail>>>ルータ機能>サーバ
って条件下での話でしょ
攻撃できる条件を下げる意味とか、被害が広がらないって意味もあるし
メインの空間が残ってれば復旧が楽って話もあるな
無いよりは有った方が良いじゃね？
0576名無しさん＠お腹いっぱい。
NGNG0577571
NGNGjailの中でpostfixとsyslogdを起動するスクリプトを書くのがまんどくさかったので
あんなふうにしてるだけ。
rc使うと余計なものまであがってしまうしね。
そういう手抜きだけど、少しは意味があるようにも思う。
psしてもsyslogdの存在が見えないからscript kittyの教科書通りの攻略法が
使えなくなるという利点はあるだろうね。
本体に飛ばしてるので/var/log/消しても足跡は残るし。
syslogd止められないのでログは出るし。
0578名無しさん＠お腹いっぱい。
NGNGリピータハブと組み合わせたもので・・・ｳｯ,.
0579名無しさん＠お腹いっぱい。
NGNG0580名無しさん＠お腹いっぱい。
NGNG0581名無しさん＠お腹いっぱい
NGNGThis version of AntiVir is licensed for private and non-commercial use.
AntiVir has detected the following in a mail sent through your server:
Worm/NetSky.Q wormWorm/NetSky.Q worm (x2)
The mail was not delivered.AntiVir for UNIX
Copyright (C) 1994-2002 by H+BEDV Datentechnik GmbH. All rights reserved.
For more information see http://www.antivir.de/ or http://www.hbedv.com/
0582名無しさん＠お腹いっぱい。
NGNGCで書き直した版が使いたい。
0583名無しさん＠お腹いっぱい。
NGNG0584名無しさん＠お腹減った。
NGNG書き直した版って何ですか？
0585名無しさん＠お腹いっぱい。
NGNGttp://sourceforge.net/project/shownotes.php?release_id=139920
0586名無しさん＠お腹いっぱい。
NGNG0587名無しさん＠お腹いっぱい。
NGNG0588名無しさん＠お腹減った。
NGNGlinux-igdの対応待ち->Microsoftの対応待ち では？
http://linux-igd.sourceforge.net/
お手伝いするなら、こちらの方へ♪
0589名無しさん＠お腹減った。
NGNGNeBSDのpkgsrcを作ってみたら、Makefileのパッチが大変。
0590名無しさん＠お腹いっぱい。
NGNG他にこのような症状になった方おられますか？どうすれば直るのでしょうか？
0591名無しさん＠お腹いっぱい。
NGNG4.9R-p7
mpd.confとmpd.linksを貼ってみたら?
0592名無しさん＠お腹いっぱい。
NGNGどうりでChangeLogに見当たらないわけだ。
0593初期不良
NGNGCeleron667MHz 512MB のマシンに換えて、FreeBSD5.2.1R をいれて
ルータにしてみますた。
最初今まで通り、ipfw+natd+mpd でやったら 30Mbps 前後しか出ない...
top で見てると natd の負荷がトラフィックとともにぐんぐん上がっていく...
ためしに ipfilter+ipnat+mpd にしたら 80Mbps 前後、ほぼ直結と
同じ速度が出た...
natd はもうお役ごめんか...
ipfw から ipfilter に移行するのは面倒なんだけど、
ipfw も同時利用できるんだよね？だったら ipfw で詰めた設定を
そのまま使うだけでいいかな？それとも ipfilter でやった方が
軽くなる？
0594名無しさん＠お腹いっぱい。
NGNGipfwとipfの開発者が顔をつき合わせたときも、そんな結論になったような。
0596名無しさん＠お腹いっぱい。
NGNG今日から光ﾕｰｻﾞｰに成長したんで、それまでのCATV向け設定を変更してPPPoE
出来るようにしている最中です。
とりあえずpppのnatを使った設定で問題なく動くところまできています。
で、次にppp+ipfw2+natdで動かそうとして詰まっています。
pppのnatを無効にした上で
>ipfw -f flush
>ipfw 10000 divert natd all from any to any via tun0
と直接加えると一切外(DNSとかGWとか）と繋がらなくなってしまいます。
とりあえず一番簡単にnatdを動かすならこれでいいと思ったんですが、何か
勘違いしていますでしょうか？
FreeBSD5.2.1
0597名無しさん＠お腹いっぱい。
NGNG0598名無しさん＠お腹いっぱい。
NGNG0601596
NGNG○dummynet使う際にどうせipfw2使うから、一緒にnatdにしようかと。
0602名無しさん＠お腹いっぱい。
NGNGFreeBSD 5.2.1 + mpd 3.18 を試しているんですが一向に接続できません。
[PPPoE] ppp node is "mpd504-PPPoE"
[PPPoE] using interface ng0
[PPPoE] IPCP: peer address cannot be zero
[PPPoE] IFACE: Open event
[PPPoE] IPCP: Open event
[PPPoE] IPCP: state change Initial --> Starting
[PPPoE] IPCP: LayerStart
[PPPoE:PPPoE] [PPPoE] bundle: OPEN event in state CLOSED
[PPPoE] opening link "PPPoE"...
[PPPoE] link: OPEN event
[PPPoE] LCP: Open event
[PPPoE] LCP: state change Initial --> Starting
[PPPoE] LCP: LayerStart
[PPPoE] device: OPEN event in state DOWN
[PPPoE] PPPoE originate option is not enabled
[PPPoE] device is now in state OPENING
[PPPoE] device: DOWN event in state OPENING
[PPPoE] device is now in state DOWN
[PPPoE] link: DOWN event
[PPPoE] LCP: Down event
これが延々と繰り返されます。
ｶｰﾈﾙｵﾌﾟｼｮﾝにもnetgraph関連の例の４つを加えてコンパイルしてあります。
何方かｱﾄﾞｳﾞｧｲｽいただけませんでしょうか？
0603602
NGNG---
default:
load PPPoE
PPPoE:
new -i ng0 PPPoE PPPoE
set iface addrs 1.1.1.1 2.2.2.2
set iface route default
set iface disable on-demand
set iface idle 0
set iface mtu 1454
set bundle disable multilink
set bundle authname foo@foo.xxx.ne.jp
set link no acfcomp protocomp
set link disable pap chap
set link accept chap
set link mtu 1454
set link mru 1454
set ipcp yes vjcomp
set ipcp ranges 0.0.0.0/0 0.0.0.0/0
open iface
---
PPPoE:
set link type pppoe
set pppoe iface fxp1
set pppoe service "whatever"
0604初期不良
NGNG>set iface addrs 1.1.1.1 2.2.2.2
の行が無い以外全く同じ設定で tepco 光 point に繋がってます。
set iface up-script /usr/local/etc/mpd/mpd.linkup
の行もあるけど内容は ipf, ipnat のリフレッシュだけ。
#!/bin/sh
/sbin/ipf -y
/sbin/ipnat -CF -f /etc/ipnat.rules
たぶん同じところからのこぴぺだな...
そんなことより漏れは mpd のログが出なくて困ってます。
/usr/local/etc/rc.d/mpd.sh のコマンドラインに
-s "daemon" をつけて
syslog.conf に daemon.* /var/log/mpd/log
たら一瞬出たんだけど、mpd.sh restart させたら
また出なくなっちゃった...
0605名無しさん＠お腹いっぱい。
NGNGnatdは動いているか?
10000を通るパケットはすべてnatdが待ち受けているportに転送されるから
そこで待ち受けてくれるプログラム(natdなど)が居ないとそこでパケットが
先に進めなくなってるぞ。
natdが動いているなら>>599を疑ったりgateway_enable="YES"になってるか確認したり
というのがあるが。
まあ、有益な助言がほしいならipfw -a listとps -ax|grep natdをさらせ。
...そういえばALTqってまだFreeBSDのcvs treeに入ってないんだっけ?
0606名無しさん＠お腹いっぱい。
NGNGあんまり本質的な部分ではないけど、/etc/serviceに
natd 8668/divert # Network Address Translation
なんて定義が書いてあるわけで、わざわざ10000とかにするよりはnatdとか8868とか
書いておいたほうが判りやすいような。そうでないとnatdのほうの設定も変えなきゃ
ならないし。
0607初期不良
NGNG10000 はポート番号じゃなくて ipfw のフィルタ番号だろ？
ってよく見たら add が抜けてるね。
>ipfw 10000 divert natd all from any to any via tun0
単なる書き間違い？
0608596
NGNG605氏の言うとおり、natdをage忘れてますた・・・ ○|￣|＿ ｵﾚｯﾃ,ﾀﾞﾒｽｷﾞ
逝ってきます
0609名無しさん＠お腹いっぱい。
NGNG0610606
NGNG0611名無しさん＠お腹いっぱい。
NGNG0612名無しさん＠お腹いっぱい。
NGNG一万円のrooterで
・IPv6トンネル対応
・SNMP対応
・IP unnumbered対応
のものがあるなら紹介してくれ。いやまぢで。
0613名無しさん＠お腹いっぱい。
NGNGHDDは無い方が良いんじゃねーの？
信頼度はメモリの方が上だろ
0614名無しさん＠お腹いっぱい。
NGNGdtcpsも使いたいし。
0615名無しさん＠お腹いっぱい。
NGNGipnat.rulesに次の１行を書いています
rdr ng0 0/0 port 9999 -> 192.168.0.1 port 9999 tcp
この状態で 'ipnat -l' で見ると
RDR 192.168.0.1 9999 <- -> 192.168.0.1 9999 [221.yyy.yyy.yyy 4290]
RDR 192.168.0.1 9999 <- -> 210.xxx.xxx.103 9999 [220.zzz.zzz.zzz 1853]
このような結果を返す事があります。この時の状態は
[Client](192.168.0.1)--(192.168.0.254)[鯖](210.xxx.xxx.103)--(aaa.bbb.ccc.ddd)[ISP]
となっています。
１行目の、変換前後のアドレスがどっちもｸﾗｲｱﾝﾄを指しているのが気になるんですが
ipnatってこれで正常な挙動なんでしょうか？
0616名無しさん＠お腹いっぱい。
NGNGFreeBSDのnetgraph経由でmpd使ってることぐらいは推測
出来るけどさ。
0617615
NGNGあぁ、すみません。質問の基本でした。FreeBSD4.8+mpd3.18, ipnatやipfilterは4.8付属のままです。
というかひたすら延々と試行錯誤してるけど、もう挫けそう・・・素直にmpd+ipfw+natdにしようかな・・・
質問ばっかで申し訳ないんですが、誰かとどめを刺してください。
ipfilter+ipnat+ipfw(&dummynet)で帯域制限って、inとoutを別々に制限出来ない？
（というか、片方しか制限出来ない？）
ipnatよりipfwが先に処理されるならin側の制限が出来ず、ipfwよりipnatが先に処理されるなら
out側の処理が出来ない気がするんですが。
0618名無しさん＠お腹いっぱい。
NGNG手元のログでは ppp node is "....." の次の行に
exec: /sbin/ifconfig fxp0 up
というのが入ってる。 PPPoEを乗せるインターフェースはfxp1で合ってる？
あと、mpd.linksに
set pppoe disable incoming
set pppoe enable originate
を追加してみるとどうよ。
0619名無しさん＠お腹いっぱい。
NGNG0620619
NGNG2003.08 -175
2003.09 -251
2003.10 -378
2003.11 -500
2003.12 -520
2004.01 -546
2004.02 -562
2004.03 -578
2004.04 -579
2004.05 -620(5/16時点)
ネタ振りがあった２件がほとんどだね。
■ このスレッドは過去ログ倉庫に格納されています