管理しているWebサーバのトラフィックはほとんどが中国と韓国からのアタック。帯域を食い潰し、メモリを使い切る程の負荷が続いています。仕方が無いので国単位でフィルタすることにしました。主義とか思想的な意図はないのですが、運用上やむを得ないので。環境はFreeBSD8.0。
IPアドレスの取得
apnicに国別のIPアドレスリストがあります。こちらでCIDR表記化されているので使わせてもらいました。
# wget http://nami.jp/ipv4bycc/cidr.txt
# perl -ne 'print \
"block in log quick proto tcp from $2 to any port = 80 group 100\n" \
if /^(CN|KR|TW|HK)\t(.*)/' cidr.txt > ipf.tmp
こんな感じでCIDRブロックのリストをipf.rulesに記述するための表記に変更してファイル化しておきます。上の例では、中国・韓国・台湾・香港に割り当てられているIPアドレスを取り出しています。
ちなみに2010/04/02現在の上記行数は2228行。長過ぎるので割愛しますが以下のような記述になります。
block in log quick proto tcp from 27.8.0.0/13 to any port = 80 group 100
block in log quick proto tcp from 27.16.0.0/12 to any port = 80 group 100
block in log quick proto tcp from 27.36.0.0/14 to any port = 80 group 100
block in log quick proto tcp from 27.40.0.0/13 to any port = 80 group 100
(以下続く)
ipfilterのインストール
# kldstat ※カーネルの状態を表示
# kldload ipl ※モジュールをカーネルにロード
# kldstat
# vim /boot/loader.conf
ipl_load="YES"
# vim /etc/rc.conf
ipfilter_enable="YES"
ipfilter_rules="/etc/ipf.rules"
ipfilter_flags=""
ipmon_enable="YES"
ipmon_flags="-D /var/log/ipflog"
touch /var/log/ipflog
以下、フィルタルールの設定。
# vim /etc/ipf.rules
#
# The following routes should be configured, if not already:
#
# route add 192.168.0.100 localhost 0
#
# 不正なIPパケットをすべて拒否してログに記録
block in log quick from any to any with ipopts
block in log quick proto tcp from any to any with short
########################################################
# 外部への出力（グループ 150）
pass out on bge0 all head 150
block out from 127.0.0.0/8 to any group 150
block out from any to 127.0.0.0/8 group 150
block out from any to 192.168.0.100/32 group 150
########################################################
# 外部（Internet）からの入力（グループ 100）
pass in on bge0 all head 100
# アドレス偽装防止
block in from 127.0.0.0/8 to any group 100
block in from 192.168.0.100/32 to any group 100
# UDP パケットもデフォルトで拒否
block in proto udp all group 100
# 接続が確立されたパケットの通過を許可
pass in quick proto tcp all flags A/A group 100
# 外部からの SSH接続を許可する
pass in quick proto tcp from any to any port = 22 flags S/SA group 100
# 外部からのFTPサーバへの接続を許可する
pass in log first quick proto tcp from any to any port = 21 flags S keep state group 100
# PASVポート
pass in log first quick proto tcp from any to any port 10000 >< 10100 flags S keep state group 100
# 外部からのDNSサーバへの接続を許可する
pass in quick proto tcp from any to any port = 53 flags S/SA group 100
# 中国、韓国からのアクセスを遮断
ここに上記の ipf.tmpの内容を書き込む。
# 外部からのWebサーバへの接続を許可する
pass in quick proto tcp from any to any port = 80 flags S/SA group 100
pass in quick proto tcp from any to any port = 443 flags S/SA group 100
# それ以外の外部からの TCP 接続を拒否し、ログに残す
block in log quick proto tcp all flags S/SA group 100
# 外部の DNS に問い合わせた帰りのパケット
pass in proto udp from any port = 53 to any group 100
# 外部NTPサーバからの帰りは許可
pass in proto udp from any port = 123 to any group 10
# RFC2979
pass in proto icmp all icmp-type 3 group 100
########################################################
# ループバックへのルール（グループ 0）
pass in quick on lo0 all
pass out quick on lo0 all
# ipf -Fa -Z -f /etc/ipf.rules ※設定の反映
# ipfstat -i ※入力側のルール確認
設定を反映させて完了。後は「tail -f /var/log/ipflog」とかして楽しみます。
対処の結果、滝のように流れていたhttpdのログはほとんどなくなり、CPU、メモリ、swapなどの全ての負荷がほぼゼロになりました。ちょっと寂しいかも。でもよかった。
参考
http://www.lns.sci.osaka-u.ac.jp/lab/admin/ipfilter.html
http://nami.jp/ipv4bycc/
]]>
買いたてほやほやのiPadさん。
開けるとこんな感じ。箱のサイズとiPadのサイズがほぼ同じ。上げ底で厚くしてありました。
紙一枚のマニュアルに、取りあえずシンクしてねと書いてあるのでMacとつなぐ、と。
Macに繋ぐと最初から日本語表示でした。使用には特に問題なし。iPadのApp Storeを起動すると「App Storeはこの国では使用できません。」と表示されて使えませんが、Mac側のiTunesのApp Storeでアプリを追加さればiPadアプリは問題なく使えます。
お約束としてまずGmailをセットアップしてGoogleカレンダーを同期。
複数のカレンダーが同期されずに困りましたがこちらで書かれているやりかたでうまくいきました。「http://m.google.com/sync」にアクセスした後で「言語を変更」をクリックしてEnglishにする必要があります。
YoutubeやMapなどの使い勝手もとても良さそうです。使うかどうかはわかりませんが。
取りあえずiPad用のアプリをいくつか入れて試してみました。こんな感じ。その他、iPhone用アプリも使えます。
Alice for the iPad-Lite
ArtStudio for iPad
Asphalt 5 HD
Evernote
forScore
NowPlaying
TweetDeck for iPad
USA TODAY for iPad
Virtuoso Piano Free 2 HD
銀のコーシカ 第一章
東京カレンダー
実際にアプリを試してみると購入前とは大きく印象が変わりました。
まず、700gの重量があるのでAlice、東京カレンダー等の電子書籍を片手で読む事は難しい。両手でホールドするかテーブルに置く方が良さそうです。ただグレア液晶なので、置くと反射してとても見づらいのが難点。
独自CPUのせいなのか反応速度はとてもよく、ゲームデバイスとしてもiPhoneより遥かに多くのことができそうです。レースゲームAsphalt 5 HDを入れてみましたが特に問題なく楽しめました。重いので長時間持ち続けないといけないゲームには向かないかも。
この中でのおすすめはAlice、Evernote、forScore、TweetDeck for iPad。
Aliceは飛び出る絵本のような書籍の新しい可能性を見せてくれるし、EvernoteはドキュメントビューワーとしてiPhoneよりも実用的。写真立てのように据え置きにしてTweetDeckを表示しておくとTwitterフリークには受けそうです。forScoreはとにかく楽譜が沢山入っていて素晴らしい。これで大量の楽譜を持ち歩く必要がなくなるかも。(オリジナルPDFも読めるようですがやり方不明。)
iPadは「見る」ことに主眼を置いているデバイスだと感じます。このようなblogを書いたり写真を整理したりプログラムを書いたりWebサイトを作ったり絵を描いたり画像を加工したり文書を作成したりというような、何かを「作る」ということはiPadではほぼできないと考えた方が良さそう。「作る」ことはMacのようなコンピュータに任せて、メールや動画やWebサイトや写真や文書を「見る」ことに特化したデバイスを作ってみたのかなぁ、というのがファーストインプレッションでした。
もちろんキーボードをつければそれなりにいろいろ書いたりできますが、iPadの本領はそっちではない気がします。そして、インターネットを「見る」だけで終わらせてしまう人が大半なのではないかとも思います。
まずはこの重くてホールドしづらい端末を両手で支えていろんなものを見てみたいところです。もしかすると何か新しい欲求が出てくるかもしれません。それに期待したい。
]]>
「β」グレードのMT車。フロントは結構好印象。格好いいかも。
インパネは・・・MAZDAインターフェースに慣れているのでちょっと違和感が。良くも悪くも普通。
蒸し料理に挑戦してみたくなったので蒸篭を購入。野菜が甘くて美味しいです。]]>
パッドの裏部分のツメがこんなことに。
強引に組み立てると隙間が。
パッド部分が盛り上がってしまい、常にマウスのボタンが押された状態になってしまいました。これでは使いものになりません。慌ててヤフーオークションで探して交換部品(トップケースというらしい)を注文。
すぐに届きました。手前が元のトップケース。
ツメも曲がっていません。
キーボードを外して・・
組み立て直して事なきを得ました。
余分なお金をかけてしまった。。]]>
これを機にThunderbirdはGmailでの運用に変更。iTunesはネットワーク上に移動。すっきりしました。
SSDは想像していた以上に速い。起動はそれなりですが、アプリケーションの立ち上げはほぼ瞬時です。Macbook Proはまだまだがんばってくれそうです。
参考
http://eos.at.webry.info/200812/article_2.html
]]>