カラカニのメモ帳

蝉が泣き始めた日の一覧

kani — 2012-07-23T14:07:38+09:00

2012年

2012年7月16日 - 杉並区。

Zend Guard

kani — 2012-07-13T13:58:26+09:00

難読化ツール。PHPを最適化してバイナリ形式に変換し、難読化してくれる。

Zend Guardを利用したPHPアプリケーションはZend GuardかZend Guard Loaderモジュールを搭載したサーバーで実行することができる。

Zend Guardは有償なのに対して、Zend Guard Loaderは無償で利用できる。

vsftpd

kani — 2011-11-21T18:29:42+09:00

FTPサーバー。めったに使わないけどたまに使う。SMTPサーバー同様、セットアップは大抵1年に数回しかしないからどの製品を使ってるのかよく忘れる。

CentOSにVsftpdをインストールする

1. yumでインストールします。

#yum install vsftpd

2. 設定ファイルを変更します。

#vi /etc/vsftpd/vsftpd.conf

anonymous_enable=NO # 匿名ログインを禁止します
listen=NO # xinetdで起動する場合には"NO"に変更します。スタンドアロンで動作させる場合にはYESのままにします。

3. ファイヤーウォール(iptables)を設定します。

#vi /etc/sysconfig/iptables

パッシブモード用の設定です。RELATEDというのが重要です。
設定されていない場合には設定してください。

-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

こういった形のエントリが1行増えます。もちろん21というのは
アクセスに必要なポート番号です。ルール名は必要に応じて変更してください。

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

編集が終わったらiptablesを再起動して設定を反映してあげます。

#service iptables restart

OSにip_conntrack_ftpモジュールを組み込みます。このモジュールでOSが接続を追跡できるようになり、パッシブモードで動作するよう動的にポートを開いてくれます。
先ほどのiptablesに設定したRELATEDという設定と関連しています。

#vi /etc/sysconfig/iptables-config

IPTABLES_MODULESというエントリに "ip_conntrack_ftp" を設定します。
NATの背後にある場合には、"ip_nat_ftp"も設定します。
複数設定する場合にはスペースで区切ります。

IPTABLES_MODULES="ip_conntrack_netbios_ns ip_conntrack_ftp"

iptables-config ファイルで設定しても現在動作中のOSには反映されないため、
動的にモジュールを読み込んであげるようにします。

#modprobe ip_conntrack_ftp

※このコマンドは何も出力しません。もしエラーが発生した場合にはメッセージが表示されます。

4. xinetdで起動するよう、設定ファイルを配置します。

(この項目はxinetdでvsftpdを起動する場合にのみ行います。)

#cp -p /usr/share/doc/vsftpd-2.0.5/vsftpd.xinetd /etc/xinetd.d/vsftpd

デフォルトで disable=yes となっており無効化されているので、 disable=noに変更して動作するようにしてあげます。

#vim /etc/xinetd.d/vsftpd

disable = no

設定ファイルを反映させるためにxinetdを再起動します。

service xinetd restart

終わり

以上でした。社内LAN内でたまに動作させるだけの目的のため、特に設定変更せずデフォルトで使っています。

匿名アクセス(anonymous)はたまにドツボにはまる以外に特に役にたった経験が無いため無効にしてあります。

OSの操作に慣れていると何も見なくても上記の設定はできるようになります。が、デフォルトの設定で不都合がある場合が多いと思うのでマニュアルは読んでおいたほうが良いと思います。

ところで最近の公開サーバーではセキュリティのためFTPではなく、FTPSがよく使われています。多くのFTPサーバーはFTPSで動作させることができ、設定もそんなに難しくないので、FTPアクセスは無効にし、FTPSでのアクセスに制限しても良いと思います。

phpMyAdmin

kani — 2011-09-08T17:48:29+09:00

テーマの変更

複数のサーバーを扱っていたり、本番環境と開発環境で扱っている場合によく誤操作とかしそうなので、それぞれのサーバーごとにテーマは変更しておいたほうが便利で安全です。

テーマはphpMyAdminのインストールディレクトリの配下の themes ディレクトリに配置されています。

<install_directory>/themes/<each_themes>

デフォルトテーマは config.inc.php に次の様な行を追加します。

$cfg['ThemeDefault'] = 'xp_dirty';

単一のphpMyAdminで接続先のサーバー毎にテーマを変更する

単一のphpMyAdminを使って複数のサーバーにアクセスする、ということをやっている人もいるかと思います。
で、単一のphpMyAdminを使っていながら、接続先のサーバー毎にテーマを変更する方法が公式のドキュメントで扱われてなかったり、やいろんなブログで取り上げられてなかったのでここで取り上げます。

ズバリこうやるそうです。公式サイトのwikiに書いてありました。

$i=0;
$i++;
$cfg['Servers'][$i]['auth_type'] = 'cookie';
$cfg['Servers'][$i]['host'] = '127.0.0.1';
$_COOKIE['pma_theme-' . $i] = 'big_green';

$i++;
$cfg['Servers'][$i]['auth_type'] = 'cookie';
$cfg['Servers'][$i]['host'] = '127.0.0.2';
$_COOKIE['pma_theme-' . $i] = 'big_blue';

$i++;
$cfg['Servers'][$i]['auth_type'] = 'cookie';
$cfg['Servers'][$i]['host'] = '127.0.0.3';
$_COOKIE['pma_theme-' . $i] = 'big_red';
# Needed for server base theme
$cfg['ThemePerServer'] = true;
http://wiki.phpmyadmin.net/pma/themes

どうやらCookieを見て判断しているみたいですね。

複数のVMで開発環境をセットアップしていたりする場合には便利ですね！

Plesk

kani — 2011-09-06T15:01:13+09:00

一部のレンタルサーバー会社では無償で提供されています

が、CPanelの様に「使わなかったらアンインストールしたらいいや」という性質のものではなさそうです。
動的なアプリケーションを使いたい場合にはたとえ無料でも使わないほうが良いです。
GUIで管理したいのであればWebminやCPanelを使って管理したほうが簡単だと思います。
自分はCUI派ですが。

どんな問題があるかというと…

独自のhttpdパッケージが動いてておいそれとアップグレードできないっぽい
デフォルトでウェブサイトのルートディレクトリ直下にcgiを置けない
それ以外に思いがけないところで詰まる

Apacheの設定ファイルを書き換えたいとかであれば、少なくともレンタルサーバー会社のサポートは期待できないので自分でPleskのサポートサイトで情報を検索するくらいのことはしたほうが良いと思います。

あまりいい思い出がありません。

バックアップファイルの場所と解凍方法

バックアップファイルは、

/var/lib/psa/dump

に生成されます。そのファイルの解凍方法は若干特殊です(tarファイルではありません)。

http://kb.parallels.com/1757

OpenVPN

kani — 2011-06-29T20:42:23+09:00

昔からよく使ってるVPNアプリがOpenVPN。最近はL2TP over IPSecも使おうとしてるのですが、Mac OS/iOSからの接続をうまく管理出来ていないっぽく、設定に四苦八苦してます。

ルーティングの設定について

OpenVPNはL2TP/IPSecよりもルーティングの設定が柔軟にできるような気がするのですが、設定ファイルの記述方法が分かりにくくて今まで引っかかってました。
ひょっとしたらL2TP/IPSecでも柔軟なルーティング設定ができるのかもしれないですが、よくわかってません。

ルーティング関連の設定で、理解している部分だけメモしておきます。

[記述は全てサーバー側]

route - OpenVPN サーバーで、サーバー自身のルーティングを設定します。
push "route x.x.x.x y.y.y.y" - サーバーが、OpenVPNクライアントに対してルーティングを設定するよう指示します。通常、クライアント先のネットワークが指定されます。
ccd/(COMMON_NAME)ファイル内の設定内容 - サーバーがどのネットワークがどのクライアントに対応付けられているのかを記述します。

例えば、次のような構成になっているとします。

                  +----------+
インターネッツ----| サーバー | 
     12.34.56.78  +----------+
       |               | 172.31.1.1
       |               |
       |               |       OpenVPNのネットワーク(172.31.1.0/24)
       |               |
       | 87.65.43.21   |             +----------+
  +-----------+        +-------------| ｸﾗｲｱﾝﾄ A |
  | 制限ｻｰﾊﾞｰ |        |  172.31.1.4 +----------+
  +-----------+        |                                         +- - -
                       |             +----------+                |
                       +-------------| ｸﾗｲｱﾝﾄ B |-- - - - - - - -+- - - 
                       |  172.31.1.6 +----------+ 192.168.1.0/24 |
                       |                                         +- - - 
                       |             +----------+
                       +-------------| ｸﾗｲｱﾝﾄ C |
                          172.31.1.8 +----------+

この時、サーバーの設定はこんな感じになってるんじゃないかと思います。

push "route 192.168.1.0 255.255.255.0"
route 192.168.1.0 255.255.255.0

client-config-dir ccd

push "route 87.65.43.21 255.255.255.0"
server.conf

iroute 192.168.1.0 255.255.255.0
ccd/ｸﾗｲｱﾝﾄ B

多分、こう言うことになると思います。

ところで、87.65.43.21の制限サーバーとはなんぞやということなのですが、
これはサーバーです。このサーバーのアクセスを12.34.56.78からのみに制限し、
セキュリティを確保したいという場合に、こうやって書くと良いよ、ということを
例示したものです。

こうすることで、クライアントAやクライアントCはOpenVPNでサーバー(12.34.56.78)に
接続するだけで、クライアントのルーティングを 12.34.56.78 経由で自動的にやってくれます。

この設定をしないと、例えばSSHなんかだと、わざわざ一度 12.34.56.78 に接続して、
改めて、87.65.43.21 に接続しなおすということがなくなるのです！

既出だったらごめんなさい。

例示したIPアドレスについて

12.34.56.78 や、87.65.43.21 は実在しうるIPアドレスです。ひょっとしたら秘密の組織が管理しているものかもしれないので気をつけましょう。
自分は昔、03-1234-5678 にテストデータをFAX送信したことがあります。本当に気をつけましょう。

L2TP over IPSec

kani — 2011-06-12T13:27:48+09:00

簡単に説明。

CentOSのレポジトリにあるOpenSwanはNAT Traversal機能にバグがあるらしいので、公式サイトにあるRPMをダンロードします。

CentOSのレポジトリにあるxl2tpdは同様にバグっぽいらしいので、公式サイトからソースをダウンロードし、コンパイル、インストールします。

※Mac/iPadからの接続で問題が起きているようなのですが、xl2tpdかopenswanのバグか分かっていないのです。

IPSec

kani — 2011-06-11T07:32:08+09:00

Cent OS 5.5 の OpenSwan(オープンソースの実装) にはNAT Traversal機能にバグが有るらしいです。

I'd upgrade, 2.6.21 is really old and buggy.
http://lists.openswan.org/pipermail/users/2011-January/019926.html

Openswan は Cent OS 5.5 の標準レポジトリにパッケージがありますが、Version 2.6.21 ベースです。

ところが、このバージョンの Openswan の NAT-T（NATトラバーサル）にはバグがあるようで、NAT-T により IPsec の ESP プロトコルが over UDP でカプセリングされて IPsec が確立しても、その後の L2TP パケットは、そのまま通そうとしてしまいます。つまり、IPsec 接続しかできず、L2TP によるトンネリングが行えません。

xl2tpd 側で回避できればいいのですが、回避策は無いようでした。

Cent OS 6 がリリースされれば RHEL6 の Openswan は 2.6.24 ベースみたいなのでバグが解消されてると思いますが、Cent OS 5.x 系ではソースから入れるのが無難なようです。
http://www.limber.jp/?Internet%2FL2TP%20over%20IPsec%20on%20iOS%2F%A5%A4%A5%F3%A5%B9%A5%C8%A1%BC%A5%EB%A4%C8%C0%DF%C4%EA

firefoxアドオン

kani — 2011-06-10T14:10:36+09:00

ScreenGrab

これ便利。今までスクリーンをスクロールしてExcelに貼り付けるという無駄な作業しなくてよくなった。

http://www.screengrab.org/
便利。

PCA-DAV2

kani — 2011-05-17T01:30:17+09:00

Linuxと暗視カメラで監視システムを構築しようと思い、市販の赤外線カメラとキャプチャユニットを買ってきました。

暗視カメラ(赤外線カメラ)

http://www.ykmusen.co.jp/cctv/okugaicamera/mtc-840cm.html
↑ここに書かれているカメラを購入しました。

暗視カメラ動作中はたくさんのLEDが(弱く)赤く点灯し、王蟲みたいな感じに地味にひかります。

秋葉原の電気屋のおじちゃんにいろいろ試してもらい、結局これに落ち着きました。
屋内で使ってみましたが、4-5mであれば結構余裕で状態が確認できます。

ちなみに、アナログカメラなので解像度がさほど高くないと感じる人もいるかもしれないです。

キャプチャユニット(USB)

Princeton USBビデオキャプチャーユニットデジ造 Vista対応版

これです。このサイトを見て製品を決めました。

が、上記サイトの設定では動きませんでした。なんでだろう？チップセットが違うのかな…

上記サイトに、/etc/modprobe.d/em28xx.confを作成して編集する行がありますが、自分の環境(Ubuntu 11.x)では次のようになりました。

options em28xx card=68

めちゃくちゃ面倒くさかったのですが、1番から順番に試していきました。正常に動作すると、/var/log/messagesにこんな感じの出力が出てきます。

em28xx: New device USB 2861 Device @ 480 Mbps (eb1a:2861, interface 0, class 0)
em28xx #0: chip ID is em2860
em28xx #0: i2c eeprom 00: 1a eb 67 95 1a eb 61 28 50 00 11 03 6a 22 00 00
em28xx #0: i2c eeprom 10: 00 00 04 57 06 02 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom 20: 02 00 01 00 f0 10 01 00 00 00 00 00 5b 00 00 00
em28xx #0: i2c eeprom 30: 00 00 20 40 20 80 02 20 01 01 00 00 00 00 00 00
em28xx #0: i2c eeprom 40: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom 50: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom 60: 00 00 00 00 00 00 00 00 00 00 22 03 55 00 53 00
em28xx #0: i2c eeprom 70: 42 00 20 00 32 00 38 00 36 00 31 00 20 00 44 00
em28xx #0: i2c eeprom 80: 65 00 76 00 69 00 63 00 65 00 00 00 00 00 00 00
em28xx #0: i2c eeprom 90: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom a0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom b0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom c0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom d0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom e0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: i2c eeprom f0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
em28xx #0: EEPROM ID= 0x9567eb1a, EEPROM hash = 0x1369388a
em28xx #0: EEPROM info:
em28xx #0: AC97 audio (5 sample rates)
em28xx #0: 500mA max power
em28xx #0: Table at 0x04, strings=0x226a, 0x0000, 0x0000
em28xx #0: Identified as Terratec AV350 (card=68)
VIA 82xx Audio 0000:00:11.5: PCI INT C -> Link[LNKC] -> GSI 10 (level, low) -> IRQ 10
tvp5150 1-005c: chip found @ 0xb8 (em28xx #0)
em28xx #0: Config register raw data: 0x50
em28xx #0: AC97 vendor ID = 0x83847650
em28xx #0: AC97 features = 0x6a90
em28xx #0: Sigmatel audio processor detected(stac 9750)
tvp5150 1-005c: tvp5150am1 detected.
type=1505 audit(1305472679.126:7): operation="profile_replace" pid=635 name=/sbin/dhclient3
type=1505 audit(1305472679.134:8): operation="profile_replace" pid=635 name=/usr/lib/NetworkManager/nm-dhcp-client.action
type=1505 audit(1305472679.134:9): operation="profile_replace" pid=635 name=/usr/lib/connman/scripts/dhclient-script
type=1505 audit(1305472679.142:10): operation="profile_replace" pid=636 name=/usr/sbin/mysqld
type=1505 audit(1305472679.150:11): operation="profile_replace" pid=637 name=/usr/sbin/tcpdump
type=1503 audit(1305472681.334:12): operation="open" pid=808 parent=807 profile="/usr/sbin/mysqld" requested_mask="r::" denied_mask="r::" fsuid=0 ouid=0 name="/sys/devices/system/cpu/"
type=1503 audit(1305472681.470:13): operation="open" pid=828 parent=827 profile="/usr/sbin/mysqld" requested_mask="r::" denied_mask="r::" fsuid=0 ouid=0 name="/sys/devices/system/cpu/"
em28xx #0: v4l2 driver version 0.1.2
type=1503 audit(1305472681.890:14): operation="open" pid=943 parent=835 profile="/usr/sbin/mysqld" requested_mask="r::" denied_mask="r::" fsuid=0 ouid=0 name="/sys/devices/system/cpu/"
type=1503 audit(1305472686.140:15): operation="open" pid=960 parent=959 profile="/usr/sbin/mysqld" requested_mask="r::" denied_mask="r::" fsuid=0 ouid=0 name="/sys/devices/system/cpu/"
type=1503 audit(1305472686.260:16): operation="open" pid=971 parent=970 profile="/usr/sbin/mysqld" requested_mask="r::" denied_mask="r::" fsuid=0 ouid=0 name="/sys/devices/system/cpu/"
em28xx #0: V4L2 device registered as /dev/video0 and /dev/vbi0
usbcore: registered new interface driver snd-usb-audio
usbcore: registered new interface driver em28xx
em28xx driver loaded

本当は音声もキャプチャできるらしいのですが、自分の環境では必要なかったので音声のキャプチャは試していません。

実際に、ffmpegでキャプチャする場合には、こんな感じのコマンドラインでキャプチャできます。

ffmpeg -y -f video4linux2 \
-s vga -r '29.95' -tvstd NTSC -i /dev/video0 \
-aspect '4:3' -r 出力フレームレート \
-vcodec libx264 output.mp4

ここで重要なのは、 "-tvstd NTSC" の部分です。どうもデバイスの初期状態ではPALとして認識しているようなので明示的にNTSCと指定してあげる必要があります。そうしないと表示が乱れます。
よくわかっていないのですが、"-r 29.95"というのもあったほうがよいかもしれません。出力フレームレートは出力形式に合わせて設定してあげましょう。

motion (Linuxの監視カメラ用ソフトウェア)

これはすごいです。Linuxでこんなフリーのソフトウェアがあるというのに驚きました。

motionというのは監視カメラ用ソフトウェアで、

動作を検知し、任意のスクリプトを起動する
動作を検知し、録画を開始する
出力した各フレームにキャプチャ時刻を記録する
簡易ストリーミングサーバー機能を搭載している
複数のカメラに対応している

という立派なソフトウェアです。カメラにアクチュエーターが付属している場合には(おそらくネットワークカメラの類)、カメラの角度も設定することができたりするようです。

ストリーミング機能はmotion Jpegを利用しているようで、iPhoneなどで表示できます。Androidでは表示できませんでした。
PCではもちろん正常に表示できます。

motionの高度な設定

これはおまけ話なのですが、通常は/dev/video0 のデバイスはどれか一つのプロセスのみが利用できるため、motionが動作している場合にはほかのプロセスが利用できません。

が、ループバックデバイスというものを利用すると、motionでキャプチャしているものをループバックデバイスを利用して異なるプロセスが利用できるようにしてくれるらしいです。

マニュアルには「ここに説明書きが書いてるからそんなに難しくないよ」と書かれていますが、実際には何かをコンパイルしたり小難しい設定をしていたので、コンパイルからのインストールに慣れていない人や、Linuxのデバイスがどのようなものか簡単な知識がない人にはちょっと難しいかもしれないです。

PCのスペック

画像を保存する際にCPUを消費するのですが、それ以外ではさほど高スペックのPCは必要ありません。

今回、自分はVIAのEPIA-M10000を使いました。(Mini ITX. CPUはオンボード。動作周波数: 1MHz。シングルコア)。メモリは256MBytesなので、いまどきの環境からするとかなり低スペックですが、監視目的(フレームレートは1～4fps程度で構わない)にはさほど問題はありませんでした。

もっとも、Webカメラで全世界にストリーミング、ということをしたい人はそれなりのスペックのPCを用意したほうがよいかもしれません。