MEMO

FortiGate使いやすくていいですね。でも機種選定するときメーカー公表のファイアウォールスループットだけでは、性能差がわかりにくいんですよね。サイジング難しい。 カタログ値だと50Eと60Eで同じだし。CPUとメモリはどうなってるの？と確認しようと思っても書いてない。。。。 というわけで実機にあたって調べてみたのがこれ。 機種 カタログ FWスループット ASIC CPU コア数 メモリ 40F 5Gbps SOC4 ARMv8 4コア 1918MB 50E 3Gbps なし ARMv7 2コア 2024MB 60E 3Gbps SOC3 ARMv7 4コア 1866MB 60F 10Gbps SOC4 ARMv8 8コア 1919MB 80F 10Gbps SOC4 ARMv8 8コア 3718MB 90E 4.0Gbps なし Atom C2338@1.74GHz 2コア 2010MB 100E 7.4Gbps SOC3 ARMv7 4コア 3039MB 100F 20Gbps SOC4 ARMv8 8コア 3616MB 200F 27Gbps SOC4 D-1627 8コア 7978MB カタログ数値だけだと50Eも60Eも90Eも変わらなそうでしたがCPUが50Eは2コアなのが60Eは4コアに加えてASICも積んでるし！　90EのCPUはAtomの2コアでSOCなしってことはCPUパワーだけでゴリゴリするマッチョな機種。100Eは60Eと構成同じ。。。と興味深いです。世代が変わると60Fはいきなり8コア。100Eのスペック越えてきたけどホントかな。ルータやFWってカタログ値では劣る上位機種の方がやっぱりCPU性能が良くてトラブル発生時や高負荷に耐えられるとかままあるのでカタログ数値だけ鵜呑みにするのは危険だよね。高スループットは専用チップで負荷がオフロードされる時というのを忘れないようにします。 200FもXeonだ！！！D-1627 90Eまではランチボックス形状でファンレス。100Eからはラックマウントでファン付きです。100Eは結構ファン音しますからサーバ室に設置必須です。一方新しい100Fのファンはさすが静音化していて起動が完了するとフ...

ちょっと古いLSI MegaRAIDをCentOS8から認識しない。というか、この表現は正確じゃないので訂正。認識しないのではなくて、無効にされている。 LSIのMegaRAIDはメジャーどころなのにRedhatEnterpriseLinux8/CentOS8の標準カーネルではサポートしないということになったらしい。 RedHatもプロダクション向けの商売なので、仕方ないか。 手元のサーバに付けているのは富士通のD2607（SAS2008）って便利なカード。たぶんD2616（SAS2106）も使えないはず。新し目のD3xxx は最近のものだから標準カーネルでも使えると思う。 SATAのDISKからCentOS8を立ち上げて確認した、富士通D2607についてのdmesgのメッセージはこちら。 kernel: Warning: megaraid_sas 0000:02:00.0 [1000:0073] - Support for this device has been removed in this major release. Please check the removed functionality section of the release notes. lspci -v　で認識はしている。ただ使えないだけ。 02:00.0 RAID bus controller: LSI Logic / Symbios Logic MegaRAID SAS 2008 [Falcon] (rev 03) 標準カーネルを別のものに差し替えれば動く。 方法１ CentOS8と同じカーネル4.18のバージョンのcentosplus yum update --enablerepo=centosplus yum install --enablerepo=centosplus kernel-plus reboot 方法２ ELREPOから最新カーネル5.3.2のkernel-ml まず http://elrepo.org/tiki/　の手順でレポジトリを追加 rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org yum install https://www.elr...

NetApp 検証機欲しいなぁとヤフオク見てるんだけど、当然新しいのは高いし今更7modeの古いOSのも欲しくないしで買っていません。 ユーザ企業も５年リースのリプレースでまた買い直しはコストパフォーマンス悪そう。と思ってたらOntap-selectっていうPCサーバのディスクをストレージとして提供する製品があるらしいので今後はそっちが増えるのかな。 さて今回は、ZabbixでNetAppを監視するテンプレートに、CPUやストレージだけでネットワークインタフェースは入っていなかったので、手作業で登録した手順です。 NetAppって多数のネットワークインタフェースを用途により使うのに加え、HA機はコントローラが２個入ってるから確認が大変ですが、Zabbixのスクリーンに管理LAN側とストレージLAN側とで整理して登録するとわかりやすいです。 手順 1．適当なLinuxサーバにZabbix3.4をインストール 2.NetAppのテンプレート取得 https://share.zabbix.com/search-by/vendor?value=NetAPP 何種類かあって試しましたがどれも似たようなものです。 zbx_export_templates (13).xml 2018-06-19 zabbix 3.4.x を使いました。デフォルトではCPUやストレージ領域を監視できます。 3.NetApp(OnTAP9)のSNMPを有効にします。sshで繋いでからコマンドで SNMP有効化 options -option-name snmp.enable -option-value on コミニュティ設定 system snmp community add -community-name コミニュティ名 -type ro 設定確認 system snmp show 4．NetAppのネットワークインタフェースのOIDを調べます。 http://www.mibdepot.com/cgi-bin/getmib3.cgi?win=mib_a&r=netapp&f=netapp_2_2_2.mib&v=v2&t=tree NetAppのMIBは1.3.6.1.4.1.789　からのようです。表...

Samba 4 はWindowsのユーザ識別SIDをUnixのUID/GIDに対応させるため、idmap.ldbに記録されるxidNumberを使いますが、idmap.ldbはサーバごとに異なり同期もされませんので、ドメインコントローラーになるSamba ドメインコントローラごとにUID/GIDが異なります。 ユーザにUNIX属性を追加することでサーバ間でUID/GIDを共通化させる方法が知られていますがこの場合sam.ldbが追加で使われます。 ところが今回検証したsamba4.3.5ではユーザやグループにUNIX属性を追加しUID/GIDの設定をしても sam.ldbに必要な行が追加されず反映されませんでした。（2018/10/31） 以来新規のSamba4ドメインコントローラでUNIX属性を付加することを試していないので、4.3.5のバグだったか、新しいバージョンでもそうなのかは不明です。 方法は２つ。いや３つで３つ目が小規模環境では本命？ 方法１：sam.ldb の既存該当ユーザやグループのエントリに、objectClass: posixAccount （ユーザ） 、 objectClass: posixGroup (グループ)の行を追加する。 Windows端末のユーザ管理ツールRSATでユーザやグループ登録したとき。またコマンドラインから、samba-tool user add USERNAMEやsamba-tool group add GROUPNAMEでUNIX属性なしで登録したときは、UNIX属性をRSATで与えると同時に、sam.ldbに手動でobjectClass: posixAccount（ユーザ）や、objectClass: posixGroup（グループ） の行を追加します。 注意としては、sambaの生DBを編集するから編集時にはsambaを停止しておいたほうが良さそうなのと、キャッシュを削除して再起動しないと(すぐに)反映されないことです。     1.sambaを停止     2.ldbedit -H /usr/local/samba/private/sam.ldb として該当ユーザエントリに、objectClass: posixAccountを...

いつのまにか実害なかったものの samba-tool ntacl sysvolcheck でエラーが出ていたのが、samba4のアップデートで詳しいエラーメッセージが表示されるようになって解決して一安心。 smb.confで[global]に vfs objects = shadow_copy 　（シャドウコピー） とか wide links = yes 　(シンボリックリンク) を書くと、sysvolフォルダでも上記のモジュールが有効になって、 samba-tool ntacl sysvolcheck samba-tool ntacl sysvolreset がエラーとなる。 正しい方法は、これらのパラメータは面倒でも必要な共有フォルダごとに書く。 、、、気がきかないなぁ、そもそも sysvolフォルダで指定してはいけないパラメータなんだったら、sambaプログラム側で sysvolフォルダで勝手に無効にしてくれたらいいのに。 実行例 vfs objects = shadow_copy を[global]セクションに書いて、 samba-tool ntacl sysvolcheck を実行した場合のエラー . . . ERROR (<class 'samba.provision.ProvisioningError'>): uncaught exception - ProvisioningError: VFS ACL on sysvol directory /usr/local/samba/var/locks/sysvol/hoge.hoge.net O:LAG:BAD:P(A;OICI;0x001f01ff;;;LA)(A;OICI;0x001200a9;;;AU)(A;OICI;0x001f01ff;;;SY)(A;OICI;0x001200a9;;;SO)(A;OICI;0x001f01ff;;;BA)(A;OICI;0x001f01ff;;;BA)(A;OICI;0x001200a9;;;AU)(A;OICI;0x001f01ff;;;SY)(A;OICI;0x001200a9;;;SO)(A;OICI;;;;WD)(A;;0x001f01ff;;;BA)(A;;0x001...

いつから付いたんだろうって西日本のサポートページを確認すると、2013/3/28のバージョンアップからだった。 L2TP/ipsecでつなごうとYAMAHA RTX1200/RTX810なんかでみんな頑張ってたけど、自宅に端末をつなぐだけならルータ買わなくていいじゃん。iPhoneなんかそのまま繋がってひかり電話の子機にして通話できたし、Windows8からも繋がってしまった。 まずVPNサーバ機能を有効にする。 適当なユーザを登録する。 表示をクリック。 事前有効鍵をメモして、あとは、グローバルIPを調べて、iPhoneやWindowsからつなげるだけ。 iPhoneはL2TPを指定。Win8はここの設定のようにしたらいけた。 https://vpn-ninja.net/win8_2.html レジストリの修正が必要なのは モバイルルータなんかでプロバイダーからプライベートアドレスが配布される環境でだけなのかな、お互いフレッツ環境だと必要なかった。 日常的にリモートVPNが必要なら、固定IPを使うか適当なダイナミックDNSを使おう。

１．Ubuntu16.04デスクトップで RFC3041の 一時IPv6アドレス  ネットワークマネージャでデフォルト無効ですが、 有効（一時アドレス優先）にすると一時IPv6アドレスが実際のアクセスに使われる。 この操作で IPv6設定のsysctlの設定値が変わる。詳しくはこことかここ。 http://dr.slump.jp/IPv6/rfc3041/ https://news.mynavi.jp/article/ipv6-6/ 有効（一時アドレス優先）のとき use_tempaddrには ２が設定される。次のコマンドで確認できる。 hoge$ sysctl -a| grep use_tempaddr  ・ ・ net.ipv6.conf.[インタフェース名].use_tempaddr = 数字   　<= 0　　無効 　==1        有効　ただし通常アドレス優先 　>1           有効　匿名アドレス優先 割り当てられた匿名アドレスが使われる時間は次のパラメータにより設定されていて、標準では１日。翌日新しいアドレスに変わる。 sysctl -a |grep temp_valid_lft   　604800=7日 sysctl -a | temp_prefered_lft      　 86400=1日 ２．dnsmasqがNetworkManager経由で動いているから /etc/resolv.confを手修正してはいけないのと、実際に使っているDNSサーバを調べる手順。 dnsmasqが使われるようになった Ubuntu12.04の変更点が 技術評論社のWEB解説にある。 Ubuntu Weekly Topics 2012年3月2日号 「DNSレゾルバの変更・・・」 http://gihyo.jp/admin/clip/01/ubuntu-topics/201203/02 /etc/resolv.confは常に127.0.0.1...