mainare

はじめにミニPC(GMKtec-G2)にOpenWRTを導入していく。 GMKtec-G2にはRealtek製の無線であるRLT8852BEが搭載されているが、現時点だと公式で用意されているイメージやパッケージにRTL8852BEが用意されていないようなので、カスタムビルドとかいう黒魔術を行うハメになった。（非エンジニアにはキツい）大まかな手順は以下。 1. OSのイメージファイルを準備（カスタムビルド） 2. ミニPCへ導入（要USBメモリ） 3. ネットワーク初期設定（WebGUIにアクセスするまで） OSのイメージファイルを準備(カスタムビルド) OpenWRTをインストールする際、以下3つの選択肢がある。 1. 公式にあるビルド済みのイメージでインストールする。必要な機能はインストール後にパッケージマネージャーで追加する。 2. イメージビルダーを用いてプリインストールのパッケージを追加した状態のイメージを作成してインストールする。インストール後でもパッケージマネージャーから機能を追加できる。 3. カスタムビルドにより新たに作成したイメージを用いてインストールする。パッケージマネージャーで提供されない機能を追加したい場合はこの手段を用いる。カーネルのバージョンが異なってしまうせいか、パッケージマネージャーで追加できる機能に制限が出てしまう。特にドライバなどカーネルに関連が深いパッケージが軒並み追加できなくなる。 ※パッケージマネージャーで提供されないもので、カーネルに深く関連しないものはカスタムパッケージなどを作成して後から追加できるみたい。パッケージマネージャーで提供されないドライバなどを後から追加するとなると、可能ではあるが現実的ではなく、上記の項目３の方法を取ったほうがまだマシ、ということらしい今回使うミニPC(GMKtec-G2)はRealtek製の無線、RLT8852BEが搭載されているが、この記事を書いている時点ではパッケージマネージャーで RTL8852BEのドライバーが提供されていない。そういったものを追加するにはカスタムビルドを行う必要があるとのこと。カスタムビルドを行うとデメリットととして、公式のイメージとカーネルバージョンが異なってしまう。公式のイメージとカーネ...

UTMFW①インストール

UTMFW UTMFWというOpenBSDベースのUTMがあるらしい https://github.com/sonertari/UTMFW 搭載機能だけ見れば、商用UTMに負けず劣らずのように見える（サンドボックスとかは流石に無い）とりあえずインストールしてみた。インストール以下からイメージファイルをダウンロードしてくる後述するrufusを使う場合、ISOではなくIMGのファイル落とす（ISOだとエラーが出る） https://github.com/sonertari/UTMFW/blob/master/README.md rufusなどを使って、USB等に焼く。 https://rufus.ie/ja/ 前回に引き続き、LANポートが２つあるミニPC(GMKtec-G2)にインストールしていくインストール要件として、ネットワークインターフェースが2つ必要らしい本体にUSBを挿入し起動この画面でF7を押下してブートメニューを開く USBを選択 Iを入力してインストーラーを起動キーボードレイアウトを設定する。 jp を入力ホスト名を任意に入力ネットワークインターフェース毎にIPv4とIPv6の設定がある任意に設定するドメインを任意に設定するルートのパスワードを設定する sshd を使うかどうか。たぶん使うので素直にyes よくわからん。デフォルト no で良さそう root での ssh ログイン許可かな？とりあえず no にしとくタイムゾーン設定どのディスクにインストールするかどうか。? 入力でたぶんリストが出るどうせ検証用機だし面倒だったので (A)utoでやった。たぶんディスク設定の最終確認。大丈夫なら done を入力よくわからんけど、インストールしたいデータが置いてある場所を選ぶ感じ？今回は disk を選択（重要）これはデフォルトの no でさっき disk って選んだけど、どの disk にあるんだ？って聞いてるんだと思う USBメモリにあるので、sd1 を選択 sd1(USBメモリ)のどのパーティションにインストールしたいデータがあるのか？と聞いてると思う。なんかよくわからんけど a っぽいので a にした。インストールが開始され、無事おわったっぽいので done を入力なんかまだインストールが続くらしいの...

Hyper-v 上で Proxmox を動かす時に詰まった所

以下2点 ①Hyper-v 上で別の仮想化環境(Proxmox等)を動かす時は、「入れ子になった仮想化の構成」を設定する必要がある。 ②ホストOSから、Hyper-v 上にある Proxmox の VM にアクセスするには、Hyper-v上の仮想スイッチにて「MACアドレスのスプーフィングを有効にする」にチェックを入れる必要がある。ホストOS → Hyper-vのスイッチ → Proxmoxのスイッチ → VM 詳細は以下ページ入れ子になった仮想化による仮想マシンでの Hyper-V の実行

UTMを頑張って作る①pfSenseのインストール

統合脅威管理 (UTM) とは　たぶん以下のような複数のセキュリティ機能を有するFWのこと。商用だとPaloAltoやFortigateが有名? ・侵入防止（IPS）・アンチウィルス・アンチマルウェア・ウェブフィルタリング・VPN ・DPL 使用するハードウェアとかソフトウェア・ GMKtec-G2 2万円ぐらいで購入したミニPC。NICが二つある。・pfSense オープンソースで配布されているFreeBSDベースのファイアウォール/ルータ。この他にSophosやEndianを検討したが、本記事作成段階ではUEFI非対応だったためインストールできなかった。・Suricata オープンソースのIDS/IPS。pfSenseのパッケージマネージャから導入できる。・sslsplit TLS通信を復号化してくれる。通信の殆どは暗号化されているため、Suricata等で検査する前に復号化しなければならない。主に内外の通信を復号するのに使う予定。（透過フォワードプロキシ的な）・SSLProxy 　こちらも復号化してくれるやつ。sslsplitはミラーパケットを送信することしかできないが、こちらは復号化後の通信を他のツールで処理した後、再び暗号化できるらしい。（調査中・BVCP bhyveをWebUIで操作できるやつ。FreeBSDは無線ドライバ周りが弱く、GMKtec-G2が搭載しているRealtek RTL8852BE は非対応なため、バーチャルマシンを立ち上げ無線の通信を行わせる必要がある。 ※そのほか、随時追加予定（アンチマルウェアとか） pfSenseインストール https://www.pfsense.org/download/ からUSB用をダウンロードしてくる。ダウンロードしたファイルを解凍し、 https://rufus.ie/ja/ rufusでUSBメモリに書き込む。いじれる設定は特になかった。 PCにUSBメモリを差し込み起動する F7を押してブートローダ画面へ。 USBを選択する。インストーラが起動する。特筆する点もあまりないの...

SSLproxyで透過プロキシを構成し、Suricataにより通信を検査・遮断する

はじめに Suricataは無償で利用できるIDS/IPSですが、TLSなどの暗号化通信を検査できません。ペイロード部分を検査するには通信を復号する必要があります。また、通信を復号するとき、インバウンド通信とアウトバウンド通信では複雑さが異なります。インバウンド通信を検査する場合はサーバ自身が秘密鍵を持ち、復号機能を備えていることが多いため比較的容易です。一方、アウトバウンド通信を検査する場合は秘密鍵がないため手順が複雑になります。この記事ではSSLproxyというソフトウェアを用いてアウトバウンド通信の復号と検査、再暗号化を実現していきます。なお、検証目的で行ったもので実環境での運用を想定したものではありません。以下は留意事項・proxmoxのVM環境を用います。・pfSenseやubuntuの初期セットアップは省略します。・Suricataはinline modeを用います。・Suricataのアラートの送信元・送信先IPアドレス情報がプロキシの内部IPアドレスになります。本来のIPアドレス情報を知るには復号時、通信に追加されるsslproxyヘッダの内容を確認する必要があります。 Proxmox上に展開しているpfSenseに、新たに赤色で示されるセグメントとホストを追加していきます。セグメントを追加するまずはプロキシなどを設置するMonitorセグメントを構成していきます。 proxmox上でブリッジを作成し、pfSense上でインターフェースとしてアサインします。 proxmoxでOVSブリッジを追加する proxmox上でブリッジを作成します。この時OVS Bridgeを選択して下さい。Linux Bridgeは同セグメント内通信をpfSenseに転送せず、Suricataで検査できないためです。（インラインモードでの話。他のモードであればLinux Bridgeでも同セグメント内通信を監視できるようです。）OVSの通信経路の設定は後述する各ホストのセットアップが完了してから行います。作成できない場合は、proxmoxのCLI上で以下コマンドを発行しインストールしてください。 apt update -y apt install -y openvswitch-switch 作成したOVS BridgeをpfSenseのVMに追加していきます...

不正行為を報告

Powered by Blogger