RS-RHT　ロードスター　NC3　（MX-5） MAZDA　

2015年4月8日水曜日

2015年4月7日火曜日

PLフィルター　その２

★PLフィルターとは偏光フィルターのことです。

これを使えば、フロントガラスの映り込みを軽減できるのではないかと考えました。

白丸部分に、フロントガラスに映りこんだ、エアコン吹き出し口が映っています。

その１　映り込みが軽減されています。

その２　映り込みが軽減されています。（別の日）

2015年4月5日日曜日

オープンレゾルバ対策後のmessagesログ

大量のＤＮＳ不正アクセスログ（おかげさまでブロックしていますが・・・）

・・・・・・
Apr 4 03:04:24 dns-sv named[20402]: client 91.236.32.114#65284: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:24 dns-sv last message repeated 4 times
Apr 4 03:04:24 dns-sv named[20402]: client 91.236.32.114#34526: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:24 dns-sv last message repeated 4 times
Apr 4 03:04:24 dns-sv named[20402]: client 91.236.32.114#29743: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:24 dns-sv last message repeated 4 times
Apr 4 03:04:25 dns-sv named[20402]: client 91.236.32.153#57969: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:25 dns-sv last message repeated 4 times
Apr 4 03:04:25 dns-sv named[20402]: client 91.236.32.153#47488: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:25 dns-sv last message repeated 4 times
Apr 4 03:04:25 dns-sv named[20402]: client 91.236.32.153#47114: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:25 dns-sv last message repeated 4 times
Apr 4 03:04:27 dns-sv named[20402]: client 91.236.32.153#48856: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:27 dns-sv last message repeated 4 times
Apr 4 03:04:27 dns-sv named[20402]: client 91.236.32.153#21389: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:27 dns-sv last message repeated 4 times
Apr 4 03:04:27 dns-sv named[20402]: client 91.236.32.153#65282: query (cache) 'r3a.es/ANY/IN' denied
Apr 4 03:04:27 dns-sv last message repeated 4 times

・・・・・

「'r3a.es/ANY/IN' denied」　　<---　不正なdns使用を完全に弾いています。

今回の不正元ｉｐアドレス
client 91.236.32.153

この赤い部分が、不正ネットワーク　このネットワークをファイヤーウォールでブロックしたい

ルーターのパケットフィルターでブロックする

フィルタエントリ番号「２４」を設定
以後このIPのログが、dnsサーバのmessagesログにのこることは無くなりました。

2015年4月4日土曜日

bind9 オープンリゾルバ対策

【重要】オープンリゾルバ対策にご協力ください（2014/03/28）

コマンドラインによる、確認方法（digコマンド）
# dig www.yahoo.co.jp @自分のdnsサーバ（ipアドレス又はホスト名）
※dnsサーバと無関係のネットワークからテストすること
これで引けなければ【OK】
引けたら、【NG】　　<---　オープンレゾルバ状態

★ bind9の対策
----------------------------------------------------------------------
設定例1）権威DNSサーバーのみを運用している場合
----------------------------------------------------------------------
リゾルバーとしての動作を禁止します。（例）
//======================================
// /etc/named.conf
//======================================
options {
　　...
　　recursion no; 　　　　　　　　　　　// リゾルバーとして動作しません「全て禁止」
　　allow-query { any; }; 　　　　　　　// 何処からのクエリでも受け取ります
　　allow-recursion { none };　　　　// リゾルバーとして動作しません「ここで指定ipを許可」
　　　　　　　　　　　　　　　　　　　　　　　　noneではなくて、許可ネットワークを指定する
　　allow-query-cache { none; }; 　　// キャッシュの内容を返しません
　　...
};

★ 実際の対策
// generated by named-bootconf.pl
acl internet {　　　　　　　　　　<-----　acl で許可したいネットワークを記述
xxx.xxx.xxx.xxx/27; <-----　自身のグローバルアドレス
192.168.0.0/24; <-----　自身のローカルアドレス
127.0.0.1; <-----　自分（サーバ）
};
options {
directory "/usr/local/bind9.x.x/etc";
allow-query { any; }; <-----　全てのリスエストに答える
allow-transfer { none; }; <-----　セカンダリーが無いので「none」
allow-recursion { internet; }; <-----　②　自分自身が利用できるようにする。
/* <-----　今回コメント
recursion no; <----　①　すべて不許可　②を記述した場合①は省略可能
*/ <-----　今回コメント
version ""; <-----　バージョン情報を隠す
};

初め、①、②が無い状態で、dnsがうまく機能しましたので、これで道筋がある程度たちました。
logへのエラーがなくなりました。（外、内どちらも引けました。）

①、②　が無い状態で、dnsサーバとして正常に動作しますが、オープンレゾルバとして動作してしまいます。

そこで下記を試してみました。

（１）①のみで②無しの場合、「dnsサーバ」自身でdnsが内部、外部、共に引けなくなりました。

（２）②のみで①無しの場合、dns正常動作、オープンレゾルバ　対策OKとなりました。

※①だけだと全て禁止、　②だけだと指定IPのみ許可となるようです。

多分本来なら、　①、②の両方記述し、①で全面禁止した後、②で自分のネットワークのみ許可とするのが、正しいような気がしました。

やっと理解できました。

ネットで調べたり、上位プロバイダーから指示は、「recursion no」のみだったので、私が、思い違いしてしまったようです。

なんにしてもうまくいきました。
よかったです。

【対策完了日】2015-04-04

★ チェックサイトは下記サイトで確認できます。

(1)http://www.cman.jp/network/support/nslookup.html

ホスト名に、「www.yahoo.co.jp」　とか　「www.google.co.jp」　と入力
DNSサーバ(問合せ先DNSを指定する場合のみ)の欄に自身のdnsサーバを記入し「nslookup」を押す

------------------------------------------------------------------------
下記のように引けなければ「オープンリゾルバ対策」済みです。
Non-authoritative answer:
*** Can't find www.yahoo.co.jp: No answer <--- Can't findと出れば【OK】
------------------------------------------------------------------------

------------------------------------------------------------------------
下記のように引けたら　【NG】　オープンリゾルバ動作しています。
Non-authoritative answer:
www.yahoo.co.jp canonical name = www.g.yahoo.co.jp.

Authoritative answers can be found from:
yahoo.co.jp nameserver = ns12.yahoo.co.jp.
yahoo.co.jp nameserver = ns02.yahoo.co.jp.
yahoo.co.jp nameserver = ns01.yahoo.co.jp.
yahoo.co.jp nameserver = ns11.yahoo.co.jp.
ns12.yahoo.co.jp internet address = 124.83.255.101
ns02.yahoo.co.jp internet address = 118.151.254.149
ns01.yahoo.co.jp internet address = 118.151.254.133
ns11.yahoo.co.jp internet address = 124.83.255.37
------------------------------------------------------------------------

(2)http://info.interlink.or.jp/support-tool/server.html　
「dig(DNS)応答確認」を選択し、ホスト名に「www.yahoo.co.jp」、問い合わせDNSに自身の固定IPアドレスを入力のうえ、【digの実行】をクリックします。
テスト中...の後、「digステータス：問い合わせ先DNSが存在しません。」と赤字で表記されればオープンリゾルバ対策は成功しています。
「digステータス：　digコマンドが終了しました。」と緑色で表記されればインターネット側からDNSサーバが利用可能な状況になっています。