Related posts:

1. Sociable Pluginを導入 + はてなボタンを追加
2. AWStatsに脆弱性が発見されました？
3. AWStats Ver.6.95完全日本語版完成間近

主なポイントとしては、

• 設定ファイル(awstats.[servername].conf)の完全日本語化
• 一部残っている英語を日本語化し、かつ全体的に”自然な”日本語になるように修正
• 検索語をAWStats本体の機能に依存しないで独自にデコード(誤爆があるようですが…)
• 日本の検索エンジン(gooとか)やブラウザ(Sleipnir, Lunascape)の検知機能追加
• AWStats 7.0 Betaで追加されたWindows 7検知機能を追加(実際はWindows Server 2008を読み替えているだけみたいですが…)
• 画面の表示上の最適化

などとなっています。

近日中に公開する予定です(Ver.7.0はベータからなかなか動きませんし…)。

Related posts:

1. AWStatsに脆弱性が発見されました？
2. AWStats Ver.6.95 完全日本語版
3. Sociable Pluginを導入 + はてなボタンを追加

以下、JVNに掲載された内容を一部引用します。

AWStats には、設定ファイルディレクトリを指定する際に、”\\” の処理に起因する脆弱性が存在します。これにより、攻撃者はネットワーク上に存在する任意の設定ファイルを指定することが可能です。

これだけでも気が付く人は気が付いたと思いますが、実はそれほど重大な問題ではありません。大元のUS Certの記事の一部を引用しますが、

An attacker can instruct the web server to load a malicious configuration file located on a malicious SMB file share. The malicious configuration file can contain arbitrary commands to be run on the vulnerable remote server as the web service account.

要するに、”ネットワーク上に存在する任意の設定ファイル”といってもSMB file share、いわゆるWindows共有上にある設定ファイルに限定されるため、影響は非常に限定的であるといえるでしょう。細かく言うと、AWStatsが動作しているサーバがWindows共有があるネットワーク上に属し、そのサーバがWindowsもしくはSambaが動作しているUNIX系のサーバで、更にその同一Windows共有上に不正な設定ファイルを置いてそれを指定しない限りは、悪用はできないということになります。

Workaround(回避策)としてAWStats 7.0を利用することと書かれていますが、7.0は現時点でベータ版ですし、上記の条件に合致しない限りは、特に気にする必要はないと思います。

Related posts:

1. AWStats Ver.6.95完全日本語版完成間近
2. APC (Alternative PHP Cache) の導入
3. Nexus Sをドコモで利用する際の制約

原因究明のきっかけとなったのが、別件で検索した時にたまたま引っかかった“教えて! 宅ファイル便”のこのページでした。

要するに、mod_deflateを利用してサーバ側でコンテンツの圧縮を行っている場合は、圧縮ファイルはそのターゲットから外さないと、二重圧縮になっておかしなことになる、ということでした。この投稿を参照して、関連個所の記述に赤文字の行を追加したところ、問題が解決したように見えました。

SetOutputFilter DEFLATE
BrowserMatch ^Mozilla/4 gzip-only-text/html
BrowserMatch ^Mozilla/4\.0[678] no-gzip
BrowserMatch \bMSI[E] !no-gzip !gzip-only-text/html
SetEnvIfNoCase Request_URI \.(?:gif|jpe?g|png)$ no-gzip dont-vary
SetEnvIfNoCase Request_URI \.(?:zip|gz)$ no-gzip dont-vary
Header append Vary User-Agent env=!dont-vary

二重に圧縮されても、原理的には問題なさそうな気がするのですが…
とりあえず問題は解決したので良しとします。

No related posts.

プラグインを含めて色々な手段があることはすぐにわかりましたが、その中で気になったのが以下のページで紹介されているAPC(Alternative PHP Cache)でした。

WordPress を高速化する5つの方法 | Sun Limited Mt.:

簡単に言えば毎回毎回生成されるPHPの中間コードをキャッシュすることにより高速化を目指すというもので、PHPで書かれたコードであればWordpressに限らずあらゆる場面で効果があります。

PHPの拡張として動作するため、レンタルサーバなどでは取りにくい対策ではありますが、逆に言えば自宅サーバならではの対策とも言えるため、まずはこちらをやってみることにします。導入については、上に紹介したページからリンクされているこのページを参考にしました。

ちなみに、環境は以下の通りです。

# uname -a
Linux www.starplatinum.jp 2.6.18-164.el5 #1 SMP Thu Sep 3 03:33:56 EDT 2009 i686

# /usr/sbin/httpd -V
Server version: Apache/2.2.3
Server built:   Sep  3 2009 17:38:51
Server’s Module Magic Number: 20051115:3
Server loaded:  APR 1.2.7, APR-Util 1.2.7
Compiled using: APR 1.2.7, APR-Util 1.2.7
Architecture:   32-bit
Server MPM:     Prefork
threaded:     no
forked:     yes (variable process count)
Server compiled with….
-D APACHE_MPM_DIR=”server/mpm/prefork”
-D APR_HAS_SENDFILE
-D APR_HAS_MMAP
-D APR_HAVE_IPV6 (IPv4-mapped addresses enabled)
-D APR_USE_SYSVSEM_SERIALIZE
-D APR_USE_PTHREAD_SERIALIZE
-D SINGLE_LISTEN_UNSERIALIZED_ACCEPT
-D APR_HAS_OTHER_CHILD
-D AP_HAVE_RELIABLE_PIPED_LOGS
-D DYNAMIC_MODULE_LIMIT=128
-D HTTPD_ROOT=”/etc/httpd”
-D SUEXEC_BIN=”/usr/sbin/suexec”
-D DEFAULT_PIDLOG=”logs/httpd.pid”
-D DEFAULT_SCOREBOARD=”logs/apache_runtime_status”
-D DEFAULT_LOCKFILE=”logs/accept.lock”
-D DEFAULT_ERRORLOG=”logs/error_log”
-D AP_TYPES_CONFIG_FILE=”conf/mime.types”
-D SERVER_CONFIG_FILE=”conf/httpd.conf”

# /usr/bin/php -v
PHP 5.1.6 (cli) (built: Apr  7 2009 08:00:04)
Copyright (c) 1997-2006 The PHP Group
Zend Engine v2.1.0, Copyright (c) 1998-2006 Zend Technologies

まず、おもむろにpecl経由でAPCの導入を試みます。

# pecl install APC

しかし、参考ページと同じく、”phpizeがない”とエラーが出ます。そちらではそこであきらめてソースからコンパイルしていますが、同じことをやっても芸がないので、少しだけ追いかけてみます。

少しGoogle先生に聞いてみたらすぐに回答に辿り着きました。どうやら、php-develパッケージを入れればいい模様なので、yum経由でインストール。

# yum install php-devel.i386

再度上のコマンドを叩くと、今度はapxsがないと言って怒られます。こちらもすぐにGoogleで対策が見つかったので、httpd-develパッケージを同じくyumでインストール。

# yum install httpd-devel

本来であれば、Apacheのコンパイル時にapxsが有効になっていることを確認する必要がありますが、何も考えずにapxsを入れたら通ったので、いいことにします。これでAPC本体のインストールが完了しました。

続いて、APCを有効にする設定を行います。これも簡単で、以下の1行を/etc/PHP.iniに追加するだけです。場所はどこでもいいと思いますが、下の場所に入れるのが美しいでしょう。

;;;;;;;;;;;;;;;;;;;;;;
; Dynamic Extensions ;
;;;;;;;;;;;;;;;;;;;;;;
;
; If you wish to have an extension loaded automatically, use the following
; syntax:
;
;   extension=modulename.extension
;
; For example:
;
;   extension=msql.so
;
; Note that it should be the name of the module only; no directory information
; needs to go here.  Specify the location of the extension with the
; extension_dir directive above.

extension=apc.so

あとはhttpdの再起動を行って、動作を確認するだけです。
phpinfo()のみを書いたPHPファイル(通常phpinfo.phpという名前になります)用意してアクセスすれば、APCが有効になっているかどうかわかります。私の環境でアクセスしたところ、

こんな感じで確認できました。
最適化は何もしていない状態なので、設定値はすべてデフォルトのままです。

なお、APC導入時に/usr/share/pearに入るapc.phpをWebサーバで表示できるパスに置いてアクセスすることにより、Web経由でキャッシュのヒット状況など現状の確認ができるようになります。また、apc.phpを編集することにより、管理業務的な作業も実施できるようになります。

管理業務を行うためには基本的にログインが必要となりますので、apc.phpを編集してパスワードを設定する必要があります。認証不要で管理画面にアクセスできるように設定することも可能ですが、外部からのアクセスがない環境などを除けば、そのように設定するべきではありませんので、注意してください。

コンテンツが少ないうえに、自宅サーバとしてはかなり贅沢な環境で回しているので、正直効果は体感できませんでした….と書くことになるかと思ったら、意外にも体感できるレベルで速度が向上しました！

記事を書く時や管理画面にアクセスする時など、現状ではこのサーバの最大のヘビーユーザは自分になるわけですが、投稿のプレビューや記事間の移動のスピードが明らかに向上しました。

導入可能な環境でWordPressを運用しているのであれば、マイナスはないのでとにかく入れてみることをお勧めいたします。驚くほどパフォーマンスが向上するかもしれませんよ？

Related posts:

1. WebkeepersのVPSにWordPressを導入
2. ローカルアクセスをログから除外する
3. AWStats Ver.6.95完全日本語版完成間近

自宅にサーバを立てている方であれば、インターネット経由で自宅サーバのターミナルにアクセスしたい、と一度は思われたことがあるのではないでしょうか。言い方を変えれば、sshのポートを開放して、自宅の外から自由にアクセスしたい、ということです。

しかし、単純にsshのポートを外部から許可するだけでは、セキュリティ的に超危険です。実際にやってみればわかりますが、しばらくすると海外から猛烈な勢いでブルートフォース攻撃を受けることになります。もっとも、管理人の経験では組み込みのアカウント(bindとか)を有効にしたり、ありがちなアカウント(testとかアプリ名)を作成しない限りにおいては、そう簡単にやられてしまうことはありません。とはいっても、怖いのも事実です。

しかし、sshの認証方式として、公開鍵認証のみを有効にすれば、認証の仕組み自体に致命的なセキュリティホールが発見されでもしない限りは、不正侵入を受けることはまずあり得ません。今回、管理人がその設定を行いましたので、その手順を参考までにご紹介します。

sshのクライアントはいろいろありますが、管理人はPuttyを愛用しているので、こちらで話を進めます。
Puttyには、専用の公開鍵生成ツールであるPuttyGenというツールがあるので、こちらを利用します。公式サイトなどからputtygen.exeを入手して起動すると、以下のような画面が現れます。

公開鍵ペアを生成するには、”Generate”をクリックします。マウスを適当に動かすように促すメッセージが表示されるので、右端にたどり着くまで動かしまくります(マウスの座標が、公開鍵ペアを生成するための乱数として利用されているのです)。

終了すると、生成された公開鍵ペアの情報が表示されます。

key_commentを必要に応じて修正し、パスワードを入力して、”Save private key”をクリックします。名前はなんでもかまいませんが、既定の拡張子(ppk)を利用するようにしてください。
また、上部の反転している部分をコピーして、適当なファイルに保存しておきます。ちなみに、保存し忘れた場合は、puttykeygen.exeを起動してから”Load”を選択して、保存した鍵情報を読み込ませれば、同じ内容が表示されます。
鍵の生成はここまでで終了です。

続いて、サーバに鍵情報を登録します(以下の手順はCentOS 5で確認)。

今回作成した公開鍵ペアを利用して接続する際に利用するユーザのホームディレクトリに、.sshというディレクトリがあることを確認します(一度でもsshで接続したことがあれば、自動的に生成されているはず)。

そのディレクトリの下に、”authorized_keys”という名前で新しいファイルを作成し、先ほど保存した鍵情報(上部で反転していた部分)をそのファイルの内容として貼り付けます。自分以外の人がそのマシンを利用するのであれば、自分以外の人がそのファイルを触れないように権限設定をしてください (chmodで700にする)。

ここまでの手順で公開鍵認証が利用できるようになっているはずですが、パスワード認証も相変わらず利用できてしまうので、パスワード認証を無効にする必要があります。sshの設定ファイル(管理人の環境では/etc/ssh/sshd_config)を開くと、

#PasswordAuthentication yes

このような行があるはずです。この行自体は設定としては無効ですが、デフォルトでパスワード認証が有効にされているということが読み取れます。この行を、以下のように書き換えます。

PasswordAuthentication no

書き換えてからファイルを上書き保存し、sshdを再起動すると、パスワード認証が無効になり、公開鍵認証のみが有効になります。

最後に、Puttyから公開鍵を利用して認証をするための設定をします。
これは簡単で、Putty起動後の設定画面で、利用する公開鍵を指定するだけです。

左側の”Category”の中のConnection – SSH – Authを選択してから、”Browse…”で先ほど保存した秘密鍵のファイルを指定します。Puttyには接続先のサーバに応じて設定内容を保存する機能があるので(手順はここでは省きますが)、その機能を利用すれば二度と設定する必要はありません。

この設定を行った上で、先に設定変更を行ったサーバに接続をすると、

login as: XXX
Authenticating with public key “rsa-key-20070910″
Passphrase for key “rsa-key-20070910″:
Last login: Mon Sep 10 01:40:36 2007 from 192.168.0.3
[XXX@www ~]$

このような形で認証が行われ、秘密鍵ファイルを持つ端末からのみアクセスができるようになります。
#”rsa-key-20070910″というのは、鍵ペア生成時のデフォルトのコメントです。

このような設定を行えば、/var/log/secureには山のようにブルートフォース攻撃がやってきますが、安心して外部からsshで接続することができるようになります。

No related posts.

AWStatsであれば、設定でそのようなアクセスを統計から除外することもできますが、Apache側の設定でログを取得しないように設定することができます。してみたところ、気分的にかなり快適になりました。

設定は非常に簡単で、デフォルトで以下のように書かれている設定を、

CustomLog logs/access_log combined

以下のように書き換えるだけです。

SetEnvIf Remote_Addr 192.168.0. no_log
CustomLog logs/access_log combined env=!no_log

見れば一目瞭然ですが、リモートアドレスが192.168.0.0/24なアクセスを”no_log”という名前で環境変数として設定しておき、それに合致しないログを記録する、ということになります。

SetEnvIfのリファレンスマニュアルはこちら。

Related posts:

1. AWStats Ver.7.0 完全日本語版
2. Sociable Pluginを導入 + はてなボタンを追加
3. APC (Alternative PHP Cache) の導入

独自ドメインのWebサーバ(www.starplatinum.jp)を運用することを目論んで契約したのですが、Wordpressを入れてアクセスしただけでhttpdがリソース不足で落ちてしまったり、原因は不明ですがyumがフリーズしてしまってほとんど使い物にならなかったりと、かなり残念な結果となってしまったからです。
静的なコンテンツのみを配信する、アクセス数があまり多くないWebサーバであれば回ったのかもしれませんが、PHP + MySQLで動的なページを生成するWordpressは、128MBのメモリには荷が重すぎたようでした。

すでに書いていますが、結局のところ自宅サーバ用のマシン(Valore Ion 330-BD)を組んで、そこにコンテンツを移行した上で、固定IPを2つ提供してくれるISP(IPP)と契約をし、当面はwww.bflets.dyndns.orgとwww.starplatinum.jpとを平行運用してゆくこととしました。

もし今後VPSに乗り換えることがあるとすれば、ISPのBフレッツオプション並みの価格で、”使い物になる”リソースを提供するVPSサービスが提供されるようになった時、でしょうか…

Related posts:

1. Sociable Pluginを導入 + はてなボタンを追加
2. 自宅サーバ用ISP変更 (3)
3. このサイトについて

最近のHDD容量の増大スピードは尋常ではないので、通常であれば多少のディスクの無駄使いは問題にならないのですが、今回はサーバ機器更改に伴ってストレージがSSDになるので、数GBと言えども貴重なスペースです。

VMWare謹製ツールであるVMWare Toolsが導入されていれば、基本的にこちらを利用すればいいのですが(解説ページ)、実際に利用してみると、CentOSをデフォルト設定でインストールすると採用されるLVM(Logical Volume Manager)では利用できないようでした。

更に調べてみたところ、vmshrinkというツールがありました。
公式なツールではありませんが、実際に利用してみたところ問題なく利用でき、仮想ディスクのサイズも半分くらいになって大助かりでした。ちなみに管理人の環境は、以下の通りです。
・OS : Windows Server 2008 R2 (x64)
・VMWare : VMWare Server 2.0.1
・仮想OS : CentOS 5.3 (x86)

まずは、仮想な背中からファイルをダウンロードします。
UNIXであればvmw-060510.tar.gzをダウンロードすれば良いでしょう。
ファイルを展開すると、こんな状態になります。

[root@www vmw]# ls
DOS          OpenBSD-3.8      Windows         vmshrink-eucj.txt  vmw.txt
FreeBSD-6.0  README-eucj.TXT  src             vmshrink-sjis.txt
Linux-FC4    README-sjis.TXT  vmftp-eucj.txt  vmshrink.txt
Minix-3.1.1  README.TXT       vmftp-sjis.txt  vmw-eucj.txt
NetBSD-3.0   Solaris-10       vmftp.txt       vmw-sjis.txt

OSの名前のディレクトリには、コンパイル済みのバイナリが格納されています。
今回のターゲットはCentOS 5.3なので、強いて選ぶならばLinux-FC4ですが、念のためソースからコンパイルします。make一発で通りました。

[root@www vmw]# cd src
[root@www src]# make
Making ‘all’ for Linux (Makefile.Linux)
make[1]: ディレクトリ `/root/vmw/src’ に入ります
gcc -O2 -DHAVE_STDINT_H -DHAVE_CLOCK_SETTIME -DHAVE_SIGLONGJMP -DHAVE_NANOSLEEP -DHAVE_ICONV_H -c vmw.c -o vmw.o
gcc -O2 -DHAVE_STDINT_H -DHAVE_CLOCK_SETTIME -DHAVE_SIGLONGJMP -DHAVE_NANOSLEEP -DHAVE_ICONV_H -c vmtool.c -o vmtool.o
gcc -O2 -DHAVE_STDINT_H -DHAVE_CLOCK_SETTIME -DHAVE_SIGLONGJMP -DHAVE_NANOSLEEP -DHAVE_ICONV_H -c termutil.c -o termutil.o
as  vmcall.gas.s -o vmcall.gas.o
gcc  vmw.o vmtool.o termutil.o vmcall.gas.o -lrt -o vmw
gcc -O2 -DHAVE_STDINT_H -DHAVE_CLOCK_SETTIME -DHAVE_SIGLONGJMP -DHAVE_NANOSLEEP -DHAVE_ICONV_H -c vmshrink.c -o vmshrink.o
gcc  vmshrink.o vmtool.o termutil.o vmcall.gas.o  -o vmshrink
gcc -O2 -DHAVE_STDINT_H -DHAVE_CLOCK_SETTIME -DHAVE_SIGLONGJMP -DHAVE_NANOSLEEP -DHAVE_ICONV_H -c vmftp.c -o vmftp.o
gcc -O2 -DHAVE_STDINT_H -DHAVE_CLOCK_SETTIME -DHAVE_SIGLONGJMP -DHAVE_NANOSLEEP -DHAVE_ICONV_H -c vmshf.c -o vmshf.o
gcc  vmftp.o vmshf.o vmtool.o vmcall.gas.o   -o vmftp
make[1]: ディレクトリ `/root/vmw/src’ から出ます

vmshrinkのバイナリが出来るので、おもむろにそれを実行。引数は不要です。

[root@www src]# ./vmshrink
Wiping free space on / (43435 / 47550 MB free).
43387 / 43435 MB complete (C: cancel / S: skip)
Wiping free space on /boot (63 / 98 MB free).
62 / 63 MB complete (C: cancel / S: skip)
Complete

これだけで、仮想ディスクのサイズが実利用量にかなり近づくはずです。
メンテ時に実施してみてはいかがでしょうか。

Related posts:

1. Cent OS 5.6にPHP 5.2.4を導入
2. WebkeepersのVPSにWordPressを導入

自宅サーバをターゲットとした単一固定IPアドレスを割り当てるISPはそこそこありますが、これが複数固定IPアドレスとなると一気に話が変わってきます。単純に需要の問題なのかもしれませんが、複数固定IPアドレスとなると基本的に法人向けのメニューになってしまうため、かなり高額になってしまいます。そのため、ISP探しはかなり難航しました。

最終的に、今回の私の目的に合致するISPがあったので、そこと契約をしてみました。

通常、割り当てIPアドレスの数は、1つの次は4つ、その次は8つになります。
4つ割り当てられても、ネットワークアドレスとブロードキャストアドレスを除けば、実質使えるのは2つになるので、ターゲットはここになります。

固定IPアドレスのページで検索したところ、固定IP4つで月額3,800円と、NetPlatz(現在はIPPという名前の模様)が頭一つ安いサービスを提供しています。ということで、こちらのWebページをチェック。よくよく見てみると、ちょっと予想とは異なるサービスを提供していました。

少々驚いたのですが、なんと固定IPアドレス2つで月額3,000円というプランがあります。普通に考えれば固定IPアドレス2つというサービスは考えにくいのですが、とにかくメニューとして存在しています。また、こちらのISPの場合、固定IPアドレス4つでも、そのまま4IPを利用することが可能な模様です。今回の私の目的を考えると、固定IP2つというのは理想的なサービスなので、大きく心が動きます。

若干の制約はあるようですが(IPPのルータ設定情報ページ)、私が現在利用しているNetGenesis SuperOPT100であれば、問題はなさそうですし、ここ以外に同じようなサービスを提供しているところが見当たらなかったため、そのまま申し込みへ。金曜日の深夜に申し込んだのですが、手続きは人間が行っているということで、開通通知は土曜日の夕方に来ました。

自宅ネットワーク側に複数のサーバがあったとしても、このサービスであればデフォルトゲートウェイは一つになるので、公開もスムースに行きました。動的IPアドレス + DDNSで公開していたwww.bflets.dyndns.orgも結果的に固定IPアドレスになってしまいましたが、事実上問題はありません。

当面、ISPについてはこれで落ち着くと思います。結局のところ、
・IIJ4U基本サービス + Bフレッツ接続オプション
・livedoorプロバイダ
・IPP固定IP接続サービス(固定IP2つ)
・WebkeepersのVPS
これらの契約が残っていますが、VPSについては１か月以内の解約であれば無料ですし、livedoorは解約しても1,500円の損失で済みます。現在の接続形態の関係上、マルチセッションを張る意味はないので、IIJ4UのBフレッツ接続オプションも解約することになるでしょう。

これでwww.bflets.dyndns.orgのコンテンツをstarplatinum.jpに完全に移行することができたら、今度こそlivedoorプロバイダあたりに乗り換えてひと段落できるでしょう。

Related posts:

1. 自宅サーバ用ISP変更 (2)
2. 自宅サーバ用ISP変更 (1)
3. このサイトについて