我が家のネットワークでは、 お兄ちゃんが今年受験生になるし、夜中にフィルタで接続を切っている…つもりだったが、23:00過ぎにアクセスがある。

squidでコンテンツフィルタの設定

squidから呼び出しているコンテンツフィルタじゃなく、 acl…time の設定で切ろうかと思いつつ squid.conf を見ていたら、SSL_port がフィルタを通っていない。

最近は、youtube や google は、https 使っているし、 筒抜けじゃん。

(( /etc/squid/squid.conf ))
#url_rewrite_access deny SSL_ports (コメントアウト)
url_rewrite_access deny localhost
url_rewrite_access deny !proxy_filter
url_rewrite_access allow all
url_rewrite_program /var/www-support/filter/redirector.pl

4/25朝…
パパ：23:00～動画を見た気配あるんだけど、なぜかなぁ？
兄：息抜きで見始めたら思わず….
パパ：昨日・今日と、実力診断テストだよね…

redirector側のhttps対処

前述の設定で、https の問い合わせが、redirector側のプログラムに 渡されるようになった。しかし、httpsの場合には、redirectorに渡るデータの 書式は、以下のようになる。

ホスト名:ポート番号 端末IP IDENT CONNECT

このため、少しプログラムを修正。

4/26:この変更を加えたら、アクセス禁止時間帯でも、 https通信ばかりを使っていたゲームは動いていたのに、 動かなくなったた。おかげで、子どもがすねている。

うーむ、Debian のパッケージで、以前から保留2個って 出るんだけど、"dpkg –get-selections | grep hold" しても 特に何も出てこないし、full-upgrade しても何も出ないし… いったい何がひっかかってるんだろ…

# aptitude -s full-upgrade
インストール・削除・更新されるパッケージがありません。
更新: 0 個、新規インストール: 0 個、削除: 0 個、保留: 2 個。
0  バイトのアーカイブを取得する必要があります。
展開後に 0  バイトのディスク領域 が新たに消費されます。

WZR-450HPのファームのバグ？で、止まっているはずのDHCPが動いていて、 予想外のIPアドレスが使われていて、侵入されたのかと心配したことから、 DHCPがlocalhostで動いていることと、他に動いていないことを確認するように nagios3を設定してみた。

ただし、dhcp動作確認のcheck_dhcpは、rootじゃないと動かないので、 sudoで動くようにしておき、動いていないのが正常なので、negate pluginで反転させる。

(( /etc/sudoers ))
Cmd_Alias DHCPCHECK = /usr/lib/nagios/plugins/check_dhcp
nagios ALL= NOPASSWD: DHCPCHECK
(( /etc/nagios-plugins/config/local.cfg ))
define command{
command_name  check-no-dhcp
command_line  /usr/lib/nagios/plugins/negate
/usr/bin/sudo -u root
/usr/lib/nagios/plugins/check_dhcp -s 255.255.255.255 -t 1
}
define command{
command_name  check-local-dhcp
command_line  /usr/lib/nagios/plugins/check_procs -C 'dhcpd' -c 1:
}
(( /etc/nagios3/conf.d/localhost_nagios2.cfg ))
define service{
use              generic-service
host_name        localhost
service_description  DHCP-other
check_command      check-no-dhcp
}
define service{
use              generic-service
host_name        localhost
service_description  DHCP-local
check_command      check-local-dhcp
}

職場のmovabletypeのバージョンも、パッケージ更新と共に新しくなり、 操作メニューで日本語が使えなくなった。 だれかが作っているかとWebを探していたら、今使っている movabletype-opensource(5.2.7) だけど、本家 Six Apart で movabletype 6 を出すのに合わせて、MTOS のサポートは切れるらしい。

HNS(Hyper Nikki System)から MovableType に切り替え、かなり経つが、 オープンソースの協力が大きい、WordPress に乗り換える時期かな…

ちょいと、手間がかかるだろうし、はぁ…

昨日より、Nagios から、下記のようなメールが1時間おきに届くようになった。

Sub: PROBLEM Service Alert: localhost/Disk_All is CRITICAL **
DISK CRITICAL
- /run/user/1000/gvfs is not accessible: Permission denied

確認すると、gvfs はGNOME のデスクトップの仮想ファイルシステムとの ことであるが、パッケージ更新で入った様子。 昨日 xrdpd 経由で、作業した後からの症状。ひとまず使わないので、 動かないように設定する。

(( /etc/environment ))
GVFS_DISABLE_FUSE=1

いつかは普通に使うようになるかもしれないので、設定をメモ。

Debian/testingで運用しているけど、パッケージを、"aptitude full-upgrade" を実行したら、samba 4.0 が候補に表示されてて、 やばいかと思ったけど、そのまま入れてしまった。

samba 3.6→ 4.0 だし、4.0 で Active Directory サポートで、 大幅に変わって四苦八苦のうえ、ダウングレードの羽目にあうかと 思ったけど、意外と何もなく動いている。

/etc/init.d/samba の中身も変わっていて、 /etc/init.d/{smbd,nmbd,samba-ad-dc}をそれぞれ起動するようになっている。 ただ、Active Directory 絡みの設定が無いので、 /etc/init.d/samba-ad-dc は自動的に動かない。

他の資料を見ると、smbd,nmbd で動く「レガシーバイナリ」と、samba の 単一サーバで動く「sambaバイナリ」があるらしい。 Debian のパッケージは、設定ファイルから自動判断して、 /usr/sbin/{smbd,nmbd} を起動するか、/usr/sbin/samba を起動するか うまく調整してくれているようだ。

ということで、Active Directory 絡みの設定を書いてないので、 無難に移行が済んだということか…

自宅外から、自宅へのメールが届いていないことが判明。 原因を調べてみると、どうも postgrey が起動していない。 なんで起動しないのと、手作業で postgrey を起動していると、pid ファイルが原因ぽいことが 分ってきた。手作業で起動スクリプトを治そうとしたけど、 動いたり動かなかったり。改めて、"postgrey pidfile debian" で調べていたら、 perl 起動時の "-T" オプションあたりが関係していて、 その根本原因は、perl-base 5.18 になっているため。

作者がパッチを提供しているというけど、パッケージには反映されていないようなので、 パッチの差分を /usr/sbin/postfix に手作業で修正した。

if($opt{dbdir}) {
$opt{dbdir} =~ /^(.*)$/; $opt{dbdir} = $1;
}
+    # untaint what is given on --pidfile. It is not security sensitive since
+    # it is provided by the admin
+    if($opt{pidfile}) {
+        $opt{pidfile} =~ /^(.*)$/; $opt{pidfile} = $1;
+    }
+    # untaint what is given on --inet. It is not security sensitive since
+    # it is provided by the admin
+    if($opt{inet}) {
+        $opt{inet} =~ /^(.*)$/; $opt{inet} = $1;
+    }
# determine proper "logsock" for Sys::Syslog
my $syslog_logsock;