さくらのVPSでsquidを設定してあったので、使ってみようと思ったのだが、使えない。
クライアントで プロキシ設定してもサーバに到達しない。firewalldやssやtcpdumpやnmapで確認する限り、どう考えてもサーバの前で止まっている。
ssで表示される、listenしているポートはすべて利用可能でsquidだけが通らない。
さくらインターネットが止めてるんじゃないか？サポートに問い合わせてみようか、と思って思い出した。さくらインターネットがパケットフィルタを提供していることを。
以前、こんなのfirewalldでやるからいらない、と無効にしたと思っていたのだが、見たら動いていて、自分が使っているポートが許可されていてsquidだけが空いてなかった。
またメモリ不足になりdnfが実行できなくなった。
不要なサービスが起動しているかもしれないしその他設定のチューニングでなんとかなるかもしれないが、そもそもこのサーバはサンドボックスというか、実験的にいろいろやってみるためのサーバなので、そんな細かいチューニングをしつつなんとかやっていかなければならないようなら、メモリを増やそうと思った。
だいたい、今までは1Gで、少なすぎたのだ。GUIも使わないしアクセスもごく少ないのでそれで運用していたが、今時1Gじゃね。と、2Gにした。2Gでも少ないだろう。Windowsパソコンだったら絶対無理だ。なんとか起動はするだろうが実用に耐えない。
スケールアップはいったんサーバを停止して、さくらインターネットのコントロールパネルでボタンをカチっと押すだけで完了する。時間は10分もかからなかったと思う。
昨日から今日にかけてpostfix/dovecotの設定をやった。
まずはubuntu 23.10(digital ocean)で、そしてcentos sgreanm release 9（さくらのVPS）で。
同じ設定をしたのだが設定個所や内容は微妙に異なる。osが違うというだけではなく、設定を紹介している人の理解とかやり方によるように見える。つまり、やり方は一つではない。
ubuntuでやった時はgmailのアカウントに送れなかったので、centosでやってみたのだが、こちらはspfもdkimも設定していないのに送れた。
ドメイン名は違っていて、centosでやった方のドメインは逆引きを設定している。逆引きがあれば（spfやdkimがなくても）、gmailに送れるのだろうか？
あと、iphoneの証明書の信頼は、ただCA証明書をインストールするだけではだめで、
Settings > General > About > Certificate Trust Settings
で、ENABLE FULL TRUST FOR ROOT CERTIFICATESを有効にする必要がある。
証明書を作るとき、サーバの秘密鍵は暗号なしで作るのが楽。
いつもこういう風にしているが、
#openssl genrsa -aes256 -out ./server.key
Enter PEM pass phrase:
これでよい。
# openssl genrsa -out ./server.key
秘密鍵を暗号化して作った場合でも、以下のようにして解除できる（パスワードを入力する必要あり）。
# openssl rsa -in server.key -out server.key
※このエントリーを書いた後再確認したらgmailあてに送れるようになっていた。理由はよくわからない。備忘録のため残しておく
私はdigital oceanのVPSを使っていて、さくらインターネットで管理しているドメインの名前をつけている。そのサーバをメールサーバにしたのだが、色々やったあげくgmailアカウントにメールが送れなかった。
使ったのはpostfix/dovecotである。
postfixは送信（MTA）、dovecotは受信（MDA）でいいのだろうか？
何度か設定したが、いつもこの２つが不可分なような気がしてならない。
ただメールを送受信するだけなら簡単なのだが、まずSSL対応するのが面倒。
証明書が必要だったり、追加設定もたくさんある。設定ファイルも複数あるし。
いつもiPhoneをクライアント（MUA）として確認しているが、iphoneのメール設定もいつも忘れるのと、昔はメールと言えばSMTP/POPだったのに、いつの間にかIMAPが標準になって、でもiphoneの設定画面にはimapとpopが両方あって、どちらも使えるように見える。
あとサブミッションポートというものもよくわからない。25を587に変えるだけじゃないのか？
設定方法についてはいろんな人がブログなどで説明しているのでそれらを参考にすればできるのだが、バージョンやOSの違いなどで微妙な差がある。ブログとかだと記載ミスとかあるし、おそらく書き漏らしている手順とかもあるだろう。実際、書かれている通りにやってみてもうまくいかないことが何度もあった。
メールサーバなんか自分建てるものではない、と改めて思った。
とりあえずSSL対応してiPhoneで送受信できたのだが、gmailのアカウントに送ると、エラーになって帰ってくる。このことについても情報はたくさんあるのだが、「SPFまたはDKIMが必要」と言っている人が多いが、どうも両方必要なようである。さらに、逆引き設定も必要なようである。
SPFは簡単だがDKIMはめんどくさい。一体なんでこんなことをしなければならないのかと思いながらやっとの思いで設定を終えた。
しかしやはりgmailに送れない。ただし送れない理由がSPFとDKIMがなかった時と違っていて、「550-5.7.25 PTR record setup」がない、となっている。
逆引きが必要ならやればいいと思ってさくらインターネットのドメインコントロールパネルで追加しようとしたが、レコードの種類の選択に「PTR」がない。ドメインコントロールパネルは何度も使ったことがあるが逆引きを登録したことはそういえばなかったか。あったような気がするが、結論を言うとドメインコントロールパネルでは逆引き登録ができない。
ただし、さくらのVPSのホストの逆引き登録はサーバ自体の設定でできる。
しかし、今回私がメールサーバにしたのはdigital oceanのサーバで、そのアドレスの逆引き登録はできないのだ。
理由はよくわからないのだが、逆引き設定というのは間違いやすいとか間違うと重大な問題が起こるとかがあるのだろうか。
DNSサーバをdigital oceanのものにするとか、さくらのVPSのサーバをメールサーバにするとか、色々方法はあるだろうが、めんどくさいな....
SELinuxなんか無効にするのが当たり前となって10年くらいたった。（自分の中で）
さくらのVPSも、conohaのVPSも、SELinuxはデフォルトで無効じゃないか？
自分で無効にした覚えがないから。
初めてCentOSをさわった頃、たしか4か5の頃、なんかおかしいなと思ってSELinuxを無効にしたらうまくいった、ということがあって、そのうち最初から無効にするようになった。
私がLinuxを使うのはほとんどが実験や検証的な場合だったのでそれでよかった。
だが、セキュリティについていろいろとうるさくなってきた昨今、
「めんどくさいからオフる」
という思考回路を改めた方がいいのでは？と感じている。
そこで、とりあえず自分が使っているcentos8のSELinuxを有効にしてみた。
参考
https://access.redhat.com/documentation/ja-jp/red_hat_enterprise_linux/6/html/security-enhanced_linux/sect-security-enhanced_linux-working_with_selinux-enabling_and_disabling_selinux
いまSELinuxが有効かどうかは
getenforce
でわかる。
disabled
になっている。
Enforcingだと有効、Permissiveだとポリシーをチェックするが動作は止めない、disabledだとポリシーもチェックしない無効な状態である。
enforcing/permissiveの切り替えは setenforceコマンドでできるが、
disabledにする、disabledから再度有効にするには、
/etc/selinux/config
を書き換える必要がある。
有効にするなら
SELINUX=enforcing
上記のRedHatの情報を見ると、SELinuxが無効の状態から有効にするときにはいったんpermissiveにして再起動し、ログをチェックして問題がないことを確認してからenforcingにする、と書いてあった。
また、必要なSELinuxのパッケージをインストールしておく必要がある。
（私の場合は事前になんでもかんでも突っ込んでいた）
その通りにやってみると、私の場合sshdに関する以下のようなログが記録された。
Apr 29 03:03:12 god setroubleshoot[1550]: SELinux is preventing /usr/sbin/sshd from name_bind access on the tcp_socket port xxxxx. For complete SELinux messages run: sealert -l 78b09f6f-3440-421f-976d-55edb0af1088
port xxxxx の xxxxx は実際には数字が記録されていて、この数字はsshで使用するポートをデフォルトの22から変更したポート番号である。
「SELinuxが有効だとsshのポート変えられないのか！じゃあ無効にしよう！」
ではなく、
SELinuxの設定でもsshで使用するポートを変更あるいは追加すればよいのだ。
semanage port --list
で現在の設定が表示される。
sshでgrepすると
# semanage port --list | grep ssh ssh_port_t tcp 22
追加するには
# semanage port --add --type ssh_port_t --proto tcp xxxxx
ubuntuにする。
初期ログインをrootでしようとしたら入れない。
ubuntuで入る。
ubuntuってrootになれないんだっけ。
なんかするときは sudo しないといけない。
めんどくさいな...
まずユーザを作り、su権限を付ける。
sshのポート番号を変える。
さくらのVPSのパケットフィルタを無効にする。
apache2をインストールする。
firewallはデフォルトで無効。
有効にする。
80とsshのポートを開ける。
pingはデフォルトで返すのか。
拒否するにはちょっとめんどくさそうなのでそのまま。