123．ネットワークカードのインストール不調、故障など　　　 目　次

今回は、経験談である。Ｌａｎｅｅｄのｌｄ１０／１００ＡＬという１００Ｍｂｐｓイーサカードを買ってきて、ＥＬＥＣＯＭのＨＰからドライバを落としたが、これが曲者カードでＷｉｎ９５のハードウェアウィザードの虫と重畳して、丸一日かかった。おまけに１枚は壊れてしまった。

症状はこうである；

　１．カードをＰＣＩバスに挿し、ＰＣを起動。ＰｎＰでカードを認識し、ハードウェアウィザードが起動。ドライバの在り処をA:\として教える。これも、実はおかしいのだが、その話は、７．で。

　　A:\には、落としたドライバが解凍して入れてあり、ちゃんと．ｉｎｆファイルがある。 にも拘わらずＷｉｎ９５のハードウェアウィザードはこれを見つけられず、「次へ」ﾎﾞﾀﾝがグレーアウトしたままであり、何もできない。この症状、結構、色々なカードで経験しているから、Ｗｉｎ９５のハードウェアウィザードがアホなのだろう。

　　分からないのは、うまく行くカードもあることである。．ｉｎｆを見つけるだけということなら、見つからない訳がない。．ｉｎｆの内容までみて形式が間違っているのを認識して、「次へ」ﾎﾞﾀﾝがグレーアウトしたままにしているのなら、このドライバファイルが誤っているのだから、絶対にインストールできないはずである。が、事実は、２．で述べる方法でインストールできる。Ｗｉｎ９５のハードウェアウィザードは．ｉｎｆの中をみているのだが、虫がいて、あるいは、．ｉｎｆの書き方との間に不整合があって、ドライバ情報が読み取れないのだと、思ったのだが、Ａ：から、c:\tempに中身をコピーしておくと、認識する。つまり起動時ＰｎＰは、なんともアホなことに、フローッピが読めないのである。一度は読みにいくので、その後のｒｅｓｅｔがプログラムのどこかのパスだけで書き忘れたのだろう。まあ、こんなことは珍しくもないのだが、普通は、出荷前にテストで分かるものだ。だって、こんな浅いところにある虫なのだから。ＭＳの製品は、皆、半製品だ。ついでに言うと、c:\tempから、つまりハードディスクからは読めるが、結果は同じ。不明なデバイス、つまり？となる。

　２．仕方ないので、キャンセルして、ドライバを組み込まないで、起動する。ここで注意が必要である。キャンセルすると、Ｗｉｎ９５（多分Ｗｉｎ９ｘ全体も）は、ＰｎＰで見つけたハードの扱いに困り、デバイスマネージャの？マークの部位に登録してしまう。これが重大な、大抵の人の気が付かない問題を引き起こす。（これは、以前、モデムのところでも書いた問題）

　　さて、ＰＣが起動した。だが、ハードのドライバはキャンセルしたので、組み込んでいない。それで、今度は、ＰｎＰではなく、手動ハードウェアウィザードで入れることになる。コントロールパネル→ハードウェアから、手動で機器をネットワークアダプタと指定する。この時、決して、自動で機器を検索させてはいけない。起動時に既に存在だけは認識して、？に放り込んだので、新しい機器の認識には引っかからないのである。 手動で機器の種類を指定し、一覧は使わず、ディスクからドライバを入れることにする。つまり、A:\を指定する。そうするとどうだ、ちゃんと、．ｉｎｆファイルを認識しし、中身も認識し、正確にはわすれたが、

　　Ｌａｎｅｅｄ　ｌｄ１０／１００ａｌ　ファーストイーサネットワークカード
　　Ｌａｎｅｅｄ　ｌｄ１０／１００ａｌ　シリーズ　ファーストイーサネットワークカード

のような記述が表示される。だいたいＥＬＥＣＯＭもいい加減で、この二つが、同じなのかどうかがさっぱりわからない。まったくＰＣ業者はマヌケばかりだ。起動時ＰｎＰウィザードと、起動後のハードウェアウィザードでは、異なる処理らしく、この現象は、何回か、１００回位は経験している。

　　というわけで、無事ドライバは入った。だけれど、何故か「再起動しろ」といういつものメッセージがでない。ホー、ＰｎＰカードは、ＵＮＩＸみたいに、ＯＳの再起動はしなくていいんだ、と感心してはいけない。そんな訳はないのである。言われなくても再起動する。で、デバイスマネージャを見ると、ネットワークアダプタの項目ができていて、　Ｌａｎｅｅｄ　ｌｄ１０／１００ａｌ　ファーストイーサネットワークカードがちゃんと表示されている。ただし、！付きで。試しにそのプロパティを開くと、なんとリソースタブがない。最近のカードはリソースを食わずに動くんだ、これでＩＲＱ不足に悩まされることは無くなった、なんて訳もない。リソースが割り当てられなかったから、！なのである。

　　３．さて、ここで初級者は、途方に暮れる。中級者なら迷わず、このＬａｎｅｅｄ何とかを削除して、再度、ドライバを組み込もうとする。で、実行、再起動。なんと、起動時ＰｎＰでカードが見つからず、そのまま立ち上がってしまう。当然、デバイスマネージャにはネットワークアダプタ項目はない。さっき、削除したからね。これは、ＰｎＰは、新しいカードを、なんのカードだかわからないが、とにかく、見つけたことは見つけ、で、既に、最初に？に放り込んである事が原因である。後で入れたネットワークアダプタのドライバは、このハードに関連付けられていないので、削除したって、関係ないのである。ここにあるＰＣＩコントローラとか、何とかを削除しないと、ＰｎＰにとっては、新しいハードは存在しないのである。

　　４．で、削除して、再起動。これで、１．に戻り、Windows無限ループ地獄に入ることになる。

　　５．考えてみれば、分かるが、

　ａ）　起動時に見つけると、．ｉｎｆを読めないので、何のカードか分からず、？に入る。これを削除して再起動すると、起動時ＰｎＰは見つけるが、何のカードか分からず。。。

　ｂ）　で、起動してから手でドライバをいれても、問題のカードは「不明なデバイス」というものとして認識済みだから、手で入れたネットワークアダプタのドライバに相当するカードはない。Ｗｉｎは何のことか分からず、とにかくドライバは言われた通りにいれるが、それを割り当てるハードが見つからない。存在しないカードにリソースなど割り当てない。これで、再起動しても、何もおこらず、起動する。が、ネットワークカードは動かない。

のどちらかになる。

さて、不明なデバイスの削除もダメ。削除せずに、手で、ドライバを入れてもダメである。本当は、削除して再起動したときに、ＰｎＰに見つからずに起動し、（つまり不明なデバイスにならず）起動後、手でドライバをいれたいのだが（イヤー、カードを入れずに起動し、通電中のＰＣにカードを差し込みたい衝動に駆られる）、ＰｎＰは何がなんでも見つけてしまう。

　　６．残された手段は、一つしかない。？を開き、不明なデバイスのプロパティを見るとドライバというタブがあるので、ここから、ドライバの更新を行う。すると、ハードウェアウィザードが起動し、手で、ドライバを入れることができる。間違っても、自動で探してはいけない。見つかっているものを、二度探すことはできない。たとえ、不明なデバイスでもそうである。

さて、これで、一応ネットワークは稼動する。次は、ネットワークアダプタのハード故障の診断についてである。このＨＰでもネットワーク不調の色々な場合を挙げているが、実のところ、オシログラフでもないと、本当のハード故障の診断は難しい。だが、上記で、こんなことがあった。どうしても一台が動かない。デバイスマネージャは、「このデバイスは正常に動いています」と言っている。ネットワークコンピュータ設定も問題ない。しかし、ネットワークコンピュータを叩いても、何も表示されない。ＴＣＰ／ＩＰでも、ＮｅｔＢＥＵＩでもである。pingを他のPCに打つと、Ｔｉｍｅｏｕｔではなく、忘れてしまったが、そもそもｐｉｎｇが打てないという意味のメッセージが出る。

　ｐｉｎｇ　１２７．０．０．１

はちゃんと応答があるので、ソフトモジュールは稼動している。しかし、

　ｐｉｎｇ　192.168.0.2　という自身のカードのＩＰアドレス

はだめである。つまり、ハードっぽい故障である。で、

c:\windows\winipcfg

をクリックしてやると、ＭＡＣアドレス（アダプタアドレス）が、FFFFFF... となって、オール１が立っている。ソフトがこれを読み出せないのか、カードが壊れたかである。

　　７．ＥＬＥＣＯＭのこのドライバ、Ｗｉｎ９５フォルダーには、readme.txtしか入っていない。Ｗｉｎ９８フォルダには、．ｉｎｆファイルが入っている。おまけにルートにも同じ名前の．ｉｎｆがある。中身を読んでみると、両方ともに、Ｆｏｒ　Ｗｉｎ９５　ＯＳＲ２、Ｗｉｎ９８．．．とある。同じ内容に見えるが、ファイルの大きさが違う。Ｗｉｎ９５フォルダに担当が、．ｉｎｆを入れ忘れたのか、これで正常なのか、まあ、ＰｎＰがまともに動かないのだから、チェックしていないことだけは確かである。

因みに、ｌｄ１０／１００Ｓという箱入りのＮＩＣを、秋葉にいっている余裕がなかったので近所の「他店より１円でも高かったら、申し出てください」という大手の店で、４００円以上も高く（というか、同じ機種ではないのでこの表現は妥当ではないが。もともとＧｒｅｅｎＨｏｕｓｅだったかのような安い機種(\780@DosV パラ,2002/03/04)が置いてない。バルクじゃなく、箱入りでもである）泣く泣く買ったら、一発でインストールできたから、Ｅｌｅｃｏｍが悪いに違いない。



124．家庭サーバ用ＰＣのマウスとキーボードのはずし方　　　 目　次

これが結構難しい。サーバにするｐｃには、電源と、ＬＡＮ以外のケーブルをその背面から出さず、きれいサッパリとしておきたいのだが。

　　　サーバ----ハブ---ＰＣ

という構成。この為には、次の条件を満たす必要がある。

　１．ＢＩＯＳ／ＯＳにマウス、キーボードが無い、と文句を言われず、起動する
　２．サーバの電源投入後、キーボードから何も入れる必要なく起動する
　３．ＬＡＮ上の他のＰＣからサーバを操作できる
　４．ＬＡＮ上の他のＰＣからサーバをシャットダウンさせられる（これは３の一部であるが、多少の意味はある）

まず、２．、３．、４のチェックから始める。当然、サーバはまだフル装備で、モニタ、マウス、キーボードは要る。

　・３．、４．のためには、サーバにＶＮＣ、他のＰＣにはVNCviewerをインストールしておく。

ＶＮＣの在処


　　サーバがNTなら、VNCをサービスとして入れておく。こうすると、Logon以前にも、VNCが稼動し、
　　他のPCから見える。詳しくは、ここ。ここも

　　Win9xなら、VNCショートカットをスタートアップにいれておこう。

以上で、他のPCから、サーバのデスクトップが見えて操作できることを確認。

これで、３．，４．はクリアできた。ついでに、ASDOWNなどをサーバに入れ、そのショートカットをデスクトップに置いておく。ショートカットを右クリックして、コマンドライン(リンク先)のプログラムへのパスの後ろに、

　/poweroff　 /t　0　　　（０は数字のzero。time＝０秒後にpoweroffするの意味）

というパラメータをつけておけば、それをダブルクリックするだけで、シャットダウン→電源断ができる。VNCのカーソルの動きはもどかしいので、これが便利である。勿論、NTは、別途、自動電源断の設定をしておく。Win9xなら、何もしなくても良い（居候のようにATのM/Bではダメであるが）。

次に、一般にネットワークを組み込むと、Win9xでは、必ず、IDとパスワードを聞いてくるようになる。これが、９８には虫がいて、生ではネットワークが参照できなかったりと、色々厄介だが、とにかく、そのあたりは、解消しておく。この自動ログオンは、MSのＰｏｗｅｒＴｏｙｓ のＴｗｅａｋＵＩでできる。ＰｏｗｅｒＴｏｙｓは今となっては、ＰｏｏｒＴｏｙｓで必要ないものばかりだが、ＴｗｅａｋＵＩのこの機能だけは使おう。
下記が詳しい。ＭＳは、Ｗｉｎ９５　ＯＳＲ２しか保証というか、想定していないというが、Ｗｉｎ９８でも、Ｍｅでも、ＮＴでもＴｗｅａｋＵのネットワークLogonは動いている。保証はしないが。

http://homepage1.nifty.com/redstar313/introsof.htm

解凍したら、必ず、c:\powerというフォルダをつくり、その中に入れる。そして、tweakui.infを右クリックして、installを選択すれば、コントロールパネルに、アイコンができている。networkからlogonに設定。

以上で、
　・サーバの電源を入れ、途中で止まらず、勝手に立ち上がること
　・他のＰＣから、サーバをＶＮＣｖｉｅｗeｒ経由で操作できること
　・他のＰＣから、サーバをＶＮＣｖｉｅｗeｒ経由でシャットダウン、できたら電源断できること

を確認する。ここまでは、それほど面倒ではない。以下は、ＢＩＯＳの作りに依存するので、ＰＣ次第である。

電源を切り、キーボードをはずす。マウスと、モニターとＬＡＮだけにする。
これで、起動する。何事もなく、Ｗｉｎが起動すれば、ｏｋ。次に進む。
ＢＩＯＳがキーボードエラーを出すが、出すだけで、そのまま立ち上がれば、これも問題なし。次に進む。
キーボードエラーを出して止まってしまったら、ＢＩＯＳセットアップに入り、キーボードを使わないという項目がどこかに無いか、探す。あれば、それをonにしておく。確か、IBM-PCにはこの項目があった。

キーボードは普通、無くてもまず、問題なく起動する。

これが解決したら、次にキーボードを付け、マウスをはずす。マウスもキーボードもなく、途中で、止まったら、電源を切るしかなくなる。まあ、それでも問題はない。次回起動時にＳｃａｎＤｉｓｋが走るだけである。が、鬱陶しいし、実は、必ずキーボードが必要になるので、とにかく付ける。

そうすると、ＢＩＯＳで、マウスが無いといわれるか、どうかである。もし言われたら、上記キーボードと同じ処置をしておく。それでもダメなら、マウスははずせない。居候のさるＰＣでは、なんと、マウスを外すと、ＩＤＥが見えなくなる。ＢＩＯＳで確認してもＩＤＥには何もついていない。これでは、起動すらできない。なんという設計かね。

ＢＩＯＳを無事とおりこしたら、今度はＯＳである。キーボードの時は何も言わなかったＷｉｎが、マウスには厳しくて、「マウスがついていない」というウィンドウが開いて、止まる。止まるのはとにかく困る。まだＶＮＣは起動していないから、他のＰＣから、操作できないから。で、キーボードのスペースを叩くと、次回からはこのメッセージを出さないにチェックが入る。次にＥｎｔｅｒで、ブートが続行する。マウスが無い時の、タブ、矢印、スペース、Ｅｎｔｅｒ、Escは重要な操作キーである。もし、不安なら、コントロールパネル→ユーザ補助で、テンキーでマウスカーソルを動かせる設定ができるので、どこかで調べて設定しておくといい。

一般には、タブ／矢印で、フォーカスが項目を移動、スペースで設定、Ｅｎｔｅｒで選択、Escで取り消しである。さて、これでＷｉｎが立ち上がる。今度はシャットダウンしなければならない。これは色々な方法がある；

　・左下のウィンドウズキーで、スタートメニューを出し、矢印で項目を移動し、Ｅｎｔｅｒで選択で、Windowsの終了を選ぶ
　・ウィンドウズキーが無いキーボードでは、Ｃｔｒｌ＋Ｅｓｃで同じことができる
　・Ｃｔｒｌ＋Ａｌｔ＋Ｄｅｌでシャットダウンを選ぶ(Sを押すか、タブして、Enterする）
　・Ａｌｔ＋Ｆ４でアプリをどんどん終了していけば、その内、Ｗｉｎの終了となる
　・どれも分からんという人は、サーバなど建てない方が良いと思うが、いきなり、電源スイッチオフでかまわない。
　　ＨＤＤのアクセスランプが点いていない時にネ＾＾；

以上で、すべて終了。モニターとＬＡＮだけにして、起動。様子をみていよう。まだモニターは外さないほうがいい。ブート途中で止まると、ＶＮＣが起動していないから、どんなメッセージがでているかわからないから。

これで無事、起動すれば、他のＰＣからＶＮＣｖｉｅｗｅｒで、サーバを操作してみる。まずは、シャットダウン。うまくいったら、モニタも外して本格的に運用する。ネットワークコンピュータでファイルサーバにしてもよし、ＨＴＴＰｄをいれて、Ｗｅｂサーバにしてもよし。

このサーバ、ファイアウォールなどを入れると、ＶＮＣviewerの接続要求を蹴ったりして他のPCから見られなくなる。ＶＮＣｖｉｅｗｅｒのパケットは通すようにする。などなど、色々な状況で、ＶＮＣを動かなくすることが考えられる。解決は、簡単だが。

最悪、電源ケーブル引っこ抜きである。企業サーバでは困るが、家庭サーバでは、なんということは無い。ＯＳは普通、遅延書き込みといって、ユーザがエディタなどを使っていて、保存しても、実はまだＨＤＤに書き込まず、ＤＲＡＭのなかにもったままのことがある。そんなときにコードを引っこ抜くと、データが消失するし、ファイルの整合が取れなくなったりするので、ＳｃａｎＤｉｓｋが動くのである。このことを知っていれば、電源引っこ抜きが何を起こすか自分の操作と合わせて判断できる。最近のＡＴＸ　Ｍ／ＢとWindowsの組み合わせは最悪で、日に３度は、Windows98ＳＥ、Ｍｅなどが固まって、しかもパワースイッチでも電源が切れず（長押しで切れるが）、プラグ引っこ抜きを毎日のようにやっている今日この頃である。





125．PgPを入れようとして、起動しなくなった時　　　 目　次

ＰｇＰという暗号アルゴリズムは立派なものだが、このＷｉｎｄｏｗｓ９ｘ／ＮＴ版のインストーラは碌でもないもの(registryを使うソフトは皆、碌でもないな。まあ、サービスもどきで自動起動程度は仕方ないが。あんなところに情報を集める意義は薄い)だから、使わない方が良い。

インストール最中に固まって、何もできなくなった。で、ハードリセット。ＳｃａｎＤｉｓｋで破損を直し、その後、停止。正確には、Ｗｉｎｄｏｗｓの旗がﾊﾀﾒｲﾀ後、消えて黒い画面になり、３２ｂｉｔモードに移りかけたところで停止する。ここは、ネットワーク参照に行っているところだから、その辺りだろう。ＰｇＰは、要らぬことにダイアルアップアダプタとか、ＮＩＣを触りたがる。

再度、Ｒｅｓｅｔして、Ｆ８で起動メニュー、Ｓａｆｅモードで起動、コントロールパネルからＰｇＰの削除を試みるが、uninstall情報を作る前に固まったので、これができない。

１．regeditでpgpを検索して、全部消す。

これは山のようにある。なるほど、serviceでＲＵＮさせているか、これで止まるのだ。

２．後は、スタートアップにあるショートカットを一つ消す。

これできれいに起動する。



126．無線ＬＡＮの使い方；ELECOM LANEED LD-WL 11/PCC を LD-WL 11/APと共に初代Windows95　で使う方 　　802.11b wireless LAN　　　　　 目　次

ＬＡＮＥＥＤの板やカードは本当にひどい。ドライバーがなかなか素直に入らない。で、お決まりの苦闘であった。とはいえ、メルコやコレガの評判もこんなものだから、ネットワーク業界の問題かもしれない。１００万円位の機器ならこんな思いはしなくてすむのだろう。AlliedTelesisが廉価版をコレガと別名／子会社扱いにしている理由が透けて見える。確かに１０年前には家でこんなことが出来るとは思えなかったのだから。。。ン万円もした２４００ｂｐｓのアイワのモデムで喜んでいた古き良き時代だった。

最近のカードはＷｉｎ９５を無視しているものが多く、Ｗｉｎ９８以降が大嫌いな居候には、嫌な時代である。ところが、ＰＣＣはＷｉｎ９５対応である（ＰＣＣ２もカタログ２００２　３→５　月号では、Ｗｉｎ９５対応と書いてあるが、ＨＰでは、ダメと書いてある）。ＯＳＲ２対応なら時々あるが、初代Ｗｉｎ９５対応なのである。それで購入。しかし、ドライバーＣＤのルートには３種の．ｉｎｆファイルがある。

　oemsetup.inf；　これはＷｉｎＮＴ用である。
　wl11pcc.inf；　Ｗｉｎ９ｘ/Me/2000/XP用
　wl11usb.inf；　多分、名前からして、ＵＳＢ用

初代Ｗｉｎ９５のアホウィザードとあいまって、全然、入らない。こんな症状になる；
　・アルファベット順で前の方にある、oemsetup.infが勝手に選択され、他のものは表示されていても、選択できない。さすがに、ＮＴ４．０のドライバでは９ｘは動かない。
　・それで、oemsetup.infを他の場所に移し、ウィザードから見えないようにして、何とか入った。しかし、ドライバが入った後、お定まりのネットワーク関係ファイルのコピーが始まらない。大体、ＰＣカードなら、うまく入ればピコッっと言って、即時使える用になるはずが、それも無い。デバイスマネージャで見ると、シッカリ！が付いていて、リソースが割り当てられていない。

普通なら、これで途方に暮れる。このＨＰを熟読している人なら、ハタと気が付くことがある。Ｗｉｎ９５のネットワーク回りは、バグだらけ、バグの中に多少動くコードが混じっているということだ。で、

　　・ＭＳＤＵＮ３．１を入れる

これだけである。ついでに、ＴＣＰもｕｐしておこう。
記憶が薄れて、確とした事は言えないが、ＩＥ４以上が入って入れば、ＭＳＤＵＮ３．１も入っていたと思う。

これで、再度、ドライバを入れれば、ピコッっと言って、一応、動き出す。

ＮＴ４．０の方は、簡単に動いた。ただし活線挿抜に対応していないので、最初からカードを挿入し、それから電源を入れて立ち上げる。ドライバーを入れた後、ＳＰを掛け直す事を忘れると、動かない。ＳＰ４以上とIE４以上は相性が悪いので、必ず、トラブル。ＳＰ４が再インストール出来なくなるので、このようにして直す 。

さて、ドライバーは動いたが、ＡＰと、ＮＩＣ両方の設定をしないと、通信できなかったり、近所にプライバシーを放送で公開したりというハメになる。もっとも、126bitの最強ＷＥＰをかけても、AirSnort で簡単に破られるそうではあるが 。

2001年8月20日 2:20pm PDT 　ほぼすべての主要なワイヤレス・ネットワークでやりとりされるデータを不正に入手して分析できるツール『エアスノート』(AirSnort)が、一般に公開された。これで今日のワイヤレス・ネットワークの安全性がさらに低下することになる。

　　-- http://www.hotwired.co.jp/news/news/technology/story/20010821301.html より引用

インターネット・セキュリティー会社、米アットステーク(@Stake：ボストン)の研究者、ティム・ニューシャムは12日(米国時間)、30秒もかけずにセキュリティーを破れるワイヤレス・ネットワークのパスワード・システムの脆弱性について詳細に発表した。これは、ワイヤレス・ネットワークの安全を確保するはずの『WEP』(Wired Equivalent Privacy)プロトコルに発見された3つ目の脆弱性となる。

　　--http://japan.cnet.com/News/2001/Item/010713-2.html?rn　より引用

 まあ、鍵は破られる為にあるようなもの。それでも普通の善良な人々にできることではないから、かけることは有意義である。

さて、ＬＡＮＥＥＤのマニュアルには書いてない点で、困った点だけを記す。

ＮＩＣのユーティリティでは、プロファイルが設定できる。プロファイルって、無意味語。これだけでは誰も何のことか分からない。こんな名前を付けた連中も、どう呼んでいいのか分からないので、「それ」とか「あれ」とかいうのりで付けたのだろう。ここでは「設定」の事。．ｉｎｉファイルと言った方が分かり易い。毎回、色々な設定をしていたのではかなわないので設定の一群をファイルにして保存するのだが、そのファイル名だと思えばよい。設定ファイル名と訳した方が分かりやすいのだがＰＣ界なんて、計算機関係の出来の悪い連中の集まりだから、そんな気のきいたことはしない。

で、色々設定する。一つ設定したらその度に変更ボタンを押しておこう。
普通のＷｉｎｄｏｗｓのソフトのように最後にＯＫを押せば反映してくれると思ったら、全然、していない。

air1.JPG


ところで、このプロファイル、名前を付けて選択し、ＯＫで、ユーティリティを終了、再度ユーティリティを開くと、空白の欄になって、選択されていない。

タスクトレーにユーテリティのアイコンがあるから、それを右クリックして、チェックを付けてやらないと、選択されない。あるいは、変更ボタンを押すのかもしれない。アホも良い極まれりである。

そういえば、ＡＰのユーテリティでは、パスワードをいきなり聞いてくる。初回設定とか、そんなじゃない。それで、自分のパスワードを決めて入れたら、拒否された。これは分からない。マニュアルには何気なく、defaultになっていると有ったのを思い出し、defaultと入れたら、はいれたが、あの作りのマズサは憤怒を通り越して噴飯ものである。一体、どういう大脳の構造をしていたら、ああいう事を考え出せるのか、不思議でさえある。

air2.JPG

セキュリティ

さて、これは無線の場合、非常に重要である。３種程仕掛けがある。

しかし、どの仕掛けも穴だらけだから、無線ＬＡＮは、プライバシーを放送しているつもりで使うこと。ＰＣやルータにはしっかりＦｉｒｅＷａｌｌを建てることが原則である。

ＥＳＳ−ＩＤ（アクセスポイント（ＡＰ）、カード両方で設定）；　これは何の意味もないセキュリティ（とは呼べないが）である。

ＥＳＳＩＤ，ＳＳＩＤといろいろに表記され、定まっていない（SSID: Service Set IDentification。ＥはＥnhancedか、Extendedで、どっちも「拡張」とか「強化」の意味)。これは、ネットワークコンピュータのワークグループみたいなものである。同じＥＳＳＩＤのグループ同士でしか通信できない。ワークグループは他のワークグループからもアクセス可能であるが、ＳＳＩＤでは、異なるグループからはまったく見えない。電波状態さえモニタできない。と読むと結構使えるセキュリティのように感じるが、そうではないことは、下記。尚、買ってきて、デフォールトのＳＳＩＤのままでは、同じくデフォールトのままの人との間で、電波が丸見えになるから注意。ついでにＡＰにアクセスして、有線ＬＡＮ側にも侵入される。総当たりで、色々なＥＳＳ−ＩＤを試されたら、破れるかも知れない。まあ、暗証番号のようなものか。

ところで、ＳＳＩＤを破るのは、とても簡単、というか破られる仕組みがわざわざつけてある。カード側のＥＳＳ−ＩＤをＡＮＹとすると、これは予約語で、全ＡＰにアクセス可能になる。この規格を作った連中は相当のアホだね。これほど意味の無い構造はない。錠を付けた。でも鍵は要らないよ。錠の横のボタンを押せば、誰でも開錠できるよというのだから。近頃のＩＴの連中は、ＰＣも通信も、白痴だね。（言い訳としては、駅のＨｏｔＳｐｏｔのような一般に有料でＡＰを公開している場合、ＳＳＩＤが邪魔だから、万能合鍵を作ったということである）

ＭＡＣアドレス（アクセスポイントのみ）；　ＭＡＣであって、Ｍａｃではない。Media Access Control　アドレス。物理的媒体、たとえばカードそのもののアドレスなので、カードの中のＲＯＭに工場で書き込まれている。２層アドレス。ＩＰアドレスは３層アドレスで、カードのアドレスには違いないが、カードには書き込まれていない。ＴＣＰ／ＩＰソフトが管理している儚いものである。ＴＣＰ／ＩＰの代わりにＩＰＸ／ＳＰＸとか、Ｎｅｔｂｕｉを使えば、ＰＣの中には存在さえしない。ソフト的なもの。

ＭＡＣアドレスも世界で唯一しかない（ことになっている）。それで、ＡＰで、ＡＰに予め貴方が登録したＮＩＣのＭＡＣアドレスしか受け付け無いようにしておけば、ＡＰを通して、有線ＬＡＮに侵入される恐れはなくなる（ことになっている）。ＥＳＳ−ＩＤと違って。ＮＩＣのＭＡＣアドレスは、ＮＩＣの中のＲＯＭに書かれている（書き換え可能な物がある／あった）ので、これを偽装するのはなかなか厄介で難しいだろう。もっとも、ドライバを書ける技術があれば、ＭＡＣアドレスなど変え放題ではある。

ＷＥＰ（アクセスポイント、カード両方で設定）；　上の二つは、侵入を阻止する手段。窓を破って、ＰＣや、ＬＡＮに入られないためである。ＷＥＰはこれと違う。出している電波を読まれない手段である。電波は、出さざるを得ない。これを盗聴（傍受という官公庁用語みたいな表現もある）されるのは上の２つの方法では防げない。電波に暗証番号や、パスワードが乗っていたら、平文では読まれてしまう。それで、暗号化するのである。

しかし、１２８ｂｉｔでさえすぐ破られてしまう。暗号というものはパターンをもっていてはいけない。たとえば、英語はｅという字の出現頻度が最大である。暗号文の中で、最大の出現頻度のコードは従って、ｅである確率が高い。これでｅが分かれば、その構造を解析して、他の文字も分かる、という小説を子供の頃読んだ。ＷＥＰもパターンを探られてたちまち破られる構造らしい。

ところで、ＬＡＮＥＥＤは、全然バージョン管理していないのか、ＡＰは、設定項目が、ＥＳＳ−ＩＤとなっているが、ＮＩＣ側のユーティリティは、上の最初の図のごとくＳＳＩＤである。困ったものである。

ＷＥＰに至っては、ＡＰそのもののfirmwareは、４０ｂｉｔと１２８ｂｉｔなのだが、付属ＣＤの設定ユーテリティは４０ビットしか対応していない。Ｗｅｂの設定ユーティリティで見ていて、偶々見つけた。ユーティリティが古いので、ＨＰからＤＬしなければ、ファームと合わないのである。 おまけに、ＮＩＣは６４ｂｉｔと１２８ｂｉｔである。ＡＰの１２８ｂｉｔを見つける前の状態は、１２８ｂｉｔと６４ｂｉｔと４０ｂｉｔの組み合わせで、一致するものが無かった。これではＷＥＰは使えない（でも、やってみたら40bitで動いた。64bitは40bitと互換性があるらしい）。ＬＡＮＥＥＤは上級者以外は使わない方が良いだろう。といいながら、居候はその安さに負けて、いつも、買ってしまうのだが。この、ＡＰ＋ＮＩＣも定価５万円（これはそもそもやりすぎ）を１８０００円で買った。新品である。

その他の注意；

無線ＬＡＮカードとアクセスポイントの組み合わせは、異なるメーカ間では、基本通信はできても、ＷＥＰ、ＥＳＳ−ＩＤ、ＭＡＣアドレス制限などのアクセス制御が効かない場合があるので、互換性をＨＰで調べてから買う。 ８０２．１１(aもbも付かない。つまり旧方式)の売れ残りが時々安く出ている(2002.3.14現在、ＡＰ＋ＮＩＣｘ２で12800円など；居候の経済観では、これは高い。４８００円でないと買う気がしない）。最大２Ｍｂｐｓであるが、アクセス制御が無いか、甘いので、それを念頭に置いて置く。

無線LANの使い方その２；ｱｸｾｽﾎﾟｲﾝﾄ＋無線LANｶｰﾄﾞと、無線LANｶｰﾄﾞだけのLANの違い



127．「Netware互換シェルが使えません」に対処する方　　　 目　次

１２６項目で、コントロールパネルのネットワークを弄くっていたら、起動時にこのメッセージが出るようになってしまった。Ｎｅｔｗａｒｅとは、ＩＰＸ／ＳＰＸ絡みである。９８か、２０００以降は、こんなプロトコルは入らないが、９５では、デフォールトで入っている。これを消したので、出るようになったのだろうが、普通は、そんなことにはならない。犯人は、ＭＳＤＵＮ３．１である。これを入れると、ＮＤＳ=Novell Directry Services関係が入る（らしい）。とにかく、ＭＳＤＵＮ３．１を入れると、なにやらバーチャルネットワークだったか、が一杯ネットワークに入ってしまう。その中に、ＮＤＳとか、NDIS、Netware、Novell などという文字列を含むエンティティ（これも無意味語）、があって（削除してなくて）、かつ、ＩＰＸ／ＳＰＸを削除してしまっていると、出るメッセージである。ＩＰＸ／ＳＰＸはNovell社独自のＴＣＰ／ＩＰ相当のプロトコルである。それがなくては、ＮＤＳ／ＮＤＩＳは動かない。とにかく、ネットワークコンピュータの設定窓の中は、

netcmp0.jpg


これだけで良い。詳しくは、ここ

上記で動かない時は、再度、Microsoftではなく、Ｎｅｔｗａｒｅのサービスとかクライアントをインストールして、その後、それらを再度削除すれば、変に残っていたnetware関係の残滓がuninstallされてこのメッセージは出なくなる。下記、参照。

netware1.jpg

http://support.microsoft.com/default.aspx?scid=kb;EN-US;q149757

The NetWare Compatible shell is not available.
Contact your network administrator.





128．YahooBB!、802.11b 速度の実測、転送の途切れなど　(ELECOM LANEED LD-WL 11/PCCとLD-WL 11/AP)　　　 目　次

YahooBB!
我が家では、１．２Ｍｂｐｓが最大値だが、１Ｍｂｐｓが巡航速度。
ＮＴＴから２．６Ｋｍだからこんなもの。これ以上早くても、どうせWebサーバや、太平洋海底ケーブルが律速要素だから体感的には余り変わらないだろう。昔話では、１２８ｋｂｐｓのISDN／ＭＰ契約を一般家庭と契約しながら、バックボーンへの自社回線を６４ｋｂｐｓでつないでいたインチキＩＳＰがいたらしい。どこがネックかを考えておかないと、アクセスライン（家庭と最寄の通信会社の拠点）だけ速くしても仕方ない。

Ｖｅｃｔｏｒからのダウンロードが７００ｋｂｐｓ〜１Ｍｂｐｓ
米国からは２００〜３００Ｋｂｐｓ。時間帯なのか、700Kbps出ることもある。

無線ＬＡＮ（公称１１Ｍｂｐｓ）
１．８Ｍｂｐｓ程度。接続状況１００％、電波強度１００％。
つまりＡＰの１ｍ横で、この程度。８０２．１１の２Ｍｂｐｓでは、６４ｋｂｐｓというのもうなずける。
これでもＡＤＳＬより速いのだから、木造家屋で、ＡＰ１階、自室２階（接続状況８０％強、電波強度６０％強）という環境で、１ＭＢ程度のファイルは１０秒程度でインターネットから落ちてくる。

が、なぜか、必ず、４００ＫＢ位のところで、止まって固まるか、その後１Ｋｂｐｓになる。HTTPでのDLなら、キャンセルして再試行すればレジュームで続けられる。英語版ファイアウォールとか、モニタとか色々いれたのが原因のようだ。ＭＳＤＵＮ３．１再インストールで解決(Win95/SP1　PC)。インターネットに限らず、ＬＡＮ内転送も同じ。無線ＬＡＮの問題だろう。他のノート（WinMe)でも同じ事が起きた。こちらは、MTUをモデムの時のままにしておいたかららしい。EditMtu (Win95にも使えた)でMTUとRwinを調節して、ほぼ直った。ほぼ、というのは、固まることはなくなったが、２MB位を転送すると、途中で、５〜１０秒くらい停止することが３，４回起きる。今度、Rwinを微調整してみよう。

そういえば、１００Mbpsの有線LANでも、Win95→NT４．０方向において、SMBでファイル転送すると、この現象が起きる。NT→Win95では起きない。Realtechのような安いチップでは、割り込みの設計の問題で息継ぎが起きると聞いたことがあるが、色々理由はあるものだ。

８０２．３の１０Ｂａｓｅ−Ｔが、細かなファイルを多数送ると、２台しか接続していない環境でも３Ｍｂｐｓ。
１０ＭＢ位の大きなファイル１個で、５Ｍｂｐｓ。




129．家庭サーバのセキュリティ確保のために　　　 目　次

セキュリティは一般には難しい。なぜ難しいかは簡単で、あまり大声で原因を言えないからである。言えば、まねする馬鹿者が必ず出てくるから、説明がおざなりになる。

当面、家庭サーバでのセキュリティには２面を考えておく；

　１．侵入；家庭のサーバに入られ、そこを拠点にして、ＬＡＮ上の他のＰＣにも入られる。
　　　この場合、入られるとは、簡単にいえば、ファイル共有などをしていれば、ファイル見放題、消し放題ということ。

　２．盗聴；これは無線ＬＡＮ以外ではあまり考えられないが、一部のＣＡＴＶなどでは、ＣＡＴＶケーブルがＬＡＮに
　　　なっているので、他の家庭のPCが見放題になる場合がある。これはむしろ上記１．である。

このほか、メールなどを出すと、

　　盗聴／改竄
　　成済まし／否認
　　ウィルス
　　ワーム

などの問題が出る。

１．侵入

思われているほど、そんなに簡単にできることではない。普通の家を狙う泥棒と同じである。侵入するためには鍵＝パスワードを手に入れなければならない。
こんな手を使う；
　・Social Engineeringを使う
　・辞書を使い、全可能性の試行；exhaustive search

家に入られない為には、鍵をかける。見知らぬ人があなたに近寄ってきて、あなたの家で火が出ているようなので、調べてあげるから鍵を下さい、といわれて、あなたは鍵を渡すだろうか？渡さないに決まっている。ところが、これがパスワードとか、銀行通帳とか、クレジットカードのナンバーとかだと渡してしまうお人よしが世間には一杯いるらしい。銀行から出てきた人を待ち伏せ、銀行員を騙り、今お渡しした通帳にミスをしてしまったので、通帳とハンコを貸してください。すぐ直しますのでと言われて渡してしまう人、電話でISPを騙り、あなたのメールアカウントにウィルスが入ってしまいましたので(どうやったらこんなことができるか知らないが)、IDとパスワードを教えてください、と言われて教えてしまう人、中には、さっき渡したおつりの中に偽札が混じっていたかもしれないので、取り替えるから渡してといわれて、渡してしまう素直な人もいる。こういうことは、不思議なことに後を絶たない。

さて、このやり口をソーシャルエンジニアリング（社会工学）と、詐欺師達は称している。この詐欺師、クラッカー（金庫破り；クラックcrack=破る。普通の英語）とも言う。ハッカーとも呼ぶが、昔、無知な人たちが、そう呼んだため。本来ハッカーは、プログラムの鉄人の意味。

このsocial、社会と言うより、世渡りとか口八丁といってもいいかもしれない。というより直裁に、詐欺と言った方がいい。SocialEngineering＝詐欺術である。まあ、詐欺は、社会的現象ではある。なんとなく分かるでしょ。

侵入を止めるには、
　・鍵（錠）をかける
　・（外錠の）鍵を渡さない

これだけのことである。Webサーバを建てた場合、これは公開しているから鍵（内錠）はかけられない。例えば、Webではなく現実の世界で、あなたの描いた絵を公開したいとする、１日２４時間、１年中、あなたの家の客間を公開して、そこに飾る。これでは危なくて仕方ない。どうしてもやりたいなら、庭の一角にプレハブでも建てて、塀に小さなドアをつけ、そこからだけ出入りできるようにしておく。絵を持っていかれたり、落書きされたりしないよう、あなたが付きっ切りで監視してはいられないだろうから、監視カメラとビデオをつけておく（これがｌｏｇに相当）。この位は考えるだろう。

他の門や母屋のドアは鍵（内錠）をかける。

もうおわかりだろう。これがパケットフィルタリングである。


Webサーバは普通、８０番のポート（門ネ）を開いている。他のポートはとりあえず全部閉じよう（ポートのフィルタリング）。

店を開けている以上、誰（どのIPアドレス）が尋ねてくるかはわからないので、IPアドレスでは、普通、拒否しない。皆、一応対応しなければならない。対応して、８０番にきた人は８０番にだけ入れてあげる。他のポート、例えば１７８番に来た人は拒絶する。ただ、顔で（IPアドレスで）常連の泥棒さんであることが分かっていれば、訪ねてきたポート番号など聞く必要はない。いきなりお引取り願う。これがIPアドレスでのフィルターリングである。

基本は鍵をかけて入れない事である。つまり、全ポートを閉じる。高目の(1万円以上）ブロードバンドルータならその機能がある（外からのパケットをfilterする、と謳っているもの。ＢＢＲｘｐはこの点ダメ）。必要に応じていれるようにする。

この鍵、実は正確には内錠である。家の内側からかける錠で、鍵はない。だから、盗まれることも無い。Webサーバの場合、他の部屋（ポート）にはこの内錠をかける。これは非常に安全で堅牢な方式である。普通、絶対、侵入できない。錠が壊れていたり、錠を取り付けているネジが外に出ていて、錠ごと外せたり、ドアが外れる場合は別で、これがＯＳやアプリのセキュリティホールに相当する。泥棒どもは、こういうことがないかと、ドアをゆすったりするわけである。
なお、Webサーバは開けっ放しであるが、普通は、ReadOnlyのプロトコルだからクラッカーどもも何もしようがない。ところが、HPを変更するには、遠隔からならFTPを使うが、これには鍵＝パスワードがいる。ドジなＷｅｂＭａｓｔｅｒだと、このパスワードを自分の部署名とか、passwordとかにしていたりするので破られるのである。

さて、外錠をかけるには鍵がいる。これは内錠ほど堅牢ではない。鍵を盗まれれば泥棒に入られる。泥棒は、いかにしてこの鍵を盗むかに知恵を使う。これがSocialEngineeringである。この場合の鍵とは、パスワードである。

あなたのパスワードが何かを知らなければ、クラッカーも侵入の方法がない。彼らの手口は、

　・SocialEngineeringを駆使して、聞き出す；上記の手口。
　・幾つかの簡単な万能合鍵を試す；名前、誕生日、電話番号、住所、guest、password、visitorなど
　　これはアンケートなどを装った電話で簡単に聞きだせる。アンケートなんかに答えちゃイカンノデスヨ。
　・大規模合鍵を使う；一般語辞書、アイドル名辞書、人名辞書など数十万語の辞書を使い、それらを組み合わせ、
　　片っ端から試す。
　　パスワードに、ryoukoinochiとかmatsutakakoなんてつけたら破って下さいというようなものである。
　　クレジットや銀行カードなんて、計算機で自動試行したら、４桁数字だから、０．０...００ｘ秒で破られる。
幸い、これらはインターネット上では使わないし、人間が手でいれるし、３回試したら、ﾛｯｸされる。

家サーバの場合、このパスワードはメールサーバやFTPサーバで使う。WebサーバのようＲｅａｄＯｎｌｙな使い方（ｐｕｔというｗｒｉｔｅメソッドもあるが、大抵は賢明なことに実装していない）なら、危なくないが、ＳＭＴＰやＦＴＰは、勝手に使われたら危ない。ＰＯＰなどで、ＩＤ（メールアカウント）とパスワードが破られたら、あなたのメールは見放題、消し放題になる！！ことは簡単にわかるでしょ。ＦＴＰは、フォルダとファイルの読み書き、作成／削除などができるエクスプローラみたいなものだから、危なくてしかたない。しっかり、パスワードで保護しましょう。ＳＭＴＰサーバは、昔は認証機能がなかった。だから、誰かが、Ｔｅｌｎｅｔでつないで、そこから、スパムメールを発信しまくりであった。ＳＭＴＰの２５番ポートに内錠をかけては意味がない。メールが出せなくなる。それで、外錠を付け、合言葉（パスワード）を知っている相手にだけ外錠を開くことにしたのが、最近のAuthenticatedSMTP：認証機能付きＳＭＴＰサーバである。勿論、メーラ側も対応していないと、合言葉を話せない。

外錠が内錠ほど堅牢でないのは、上のように鍵を盗まれる可能性があること。もう一つは、原理的にはパスワードは、必ず破られることである。これは、普通の家には原理的には必ず侵入可能であるということと同じである。バッキンガム宮殿でさえ侵入され、エリザベス女王の部屋にまで泥棒か何かしらないが入り込んだではないか。それが、いやなら、Fortnoxのように、莫大な金をかけて軍隊を投入した厳重警備がいる。

パスワードは、例えば１２８ｂｉｔなら、１０の３８乗程度だから、全数サーチexhaustive　searchすれば、いつか一致する。それが、１日か、１万年後かの問題であるが、全部試行するまで、１万年かかったとしても、偶然、最初の一回目で一致してしまうかもしれない。これがパスワードの怖いところである。まあ、しかし、やるしかないし、２重、３重にしておくことも意味がある。

さて、侵入の危険はこの程度である。
　・内錠をかける（パケットフィルタリング）
　・外錠をかける（パスワードをかける）
　・外錠の鍵は誰にも渡さない
　・でも、合鍵は１００億年かかるかもしれないが原理的にはつくることができる。
　　偶然、１回で出来てしまうかもしれない。

ＮＡＴ/ＩＰマスカレード（ＩＰ仮面という意味）

実は、もう一つ技術がある。金を隠してしまうことである。外から一切中が見えないようにしておく。これがブロードバンドルータ（ＢＢＲ）などがやっているＮＡＴ/ＩＰマスカレード（ＩＰに仮面をかけて本当の顔を隠す）である。インターネットは、グローバルＩＰアドレスでしかアクセスできない。パケットを配信するルータが知っているのはこのグローバルＩＰアドレスだからである。グローバルＩＰアドレスとは、住所である。ところで、プライベートＩＰアドレスというものがある。これは、例えば、企画部とか、技術部にあたる。自社の中（ＬＡＮ）でなら、このアドレスで届くが、世界的（インターネット）には無理である。グローバルアドレスは日本、東京都千代田区霞ヶ関１−ｘ−ｘのようなもの。これで、世界どこからでも会社まで届く。しかし、企画部御中とだけ書いた郵便物は郵政事業庁には届けようがない。これがプライベートアドレスである。

会社の中から、どこかへ出すときには、その封筒には、グローバルアドレスしか書かないようにする。ただ、会社の郵便室は、その郵便への返事をどの部署に返していいかわからなくなるので、内部記号（適当な空きポート番号）を振っておき、返信には住所とともにそれを書いてもらうようにする。しかし、外からは何がなんだかわからない。この考え方で、内部ＰＣのＩＰアドレスをマスクするのでマスカレードという。

したがって、ＢＢＲを使えば、外からは、内部のＰＣにアクセスできなくなる。

　　　インターネット----ADSLモデムなど----ＢＢＲ--PC--PC--PC

というか、見えない。逆にいえば、内部にサーバを建てても外からその存在さえわからないので、サーバの意味がない。従って、例えば、２５番ポート、８０番ポートに来たパケットだけは特定の内部ＰＣに回すようにＢＢＲを設定する。これがバーチャルコンピュータ／サーバ機能である。このＰＣは、外から見えているのと等価である。もし、Ｗｅｂサーバや、メールサーバにバグがいて、Ｗｅｂサーバに書き込みができてしまい、おまけにフォルダ間移動ができてしまうと、非常に怖いことになるし、Ｗｅｂサーバが落ち、ＯＳが見えてしまい、ファイル共有、ＮＦＳやＳＭＢ、が使えるようになったら、他のＰＣまで危うい。

コンピュータへの侵入は、パスワードクラッキングだけではない

ＯＳやアプリに虫がいて、過負荷やら、考えられていないエラーが起きると、ＯＳに入ってしまえることがある。いきなり、ＤＯＳになって、

Ｃ：＞

なんて画面になったら、これである（サーバにWindows/DOSを使うかｱ？という疑問はさておく）。
これは虫なのだから、予め予測できない。予測できれば、虫などにはならない。で、これを狙っていろいろおかしなことをやるクラッカーがいる。land攻撃とか、smurf攻撃とかいろいろの名前が付いている。

ネットワークでは、ＩＰパケットの中の送り元のアドレスを、送り先アドレスや、プライベートアドレスに書き換えたりすると、気が狂って、ＯＳに落ちてしまう実装のネットワークソフトがあるらしい。それで、ＢＢＲでは、パケットフィルターリングで、そのドジなソフトにそんなパケットがわたる前に、捨ててしまうようにしておく。

メールサーバの注意

ＳＭＴＰサーバは、ＤＯＳ攻撃や、ｓｐａｍメールの温床になる。しかし、サーバである以上、内錠はかけられない。ところが、外錠のないSMTPサーバがある。これは使わない方がいい。SMTP認証を行えるものにすべきである。ＳＭＴＰ認証が使えない場合、POP before SMTP機能がついているものにする。これだと、一度、ＰＯＰで認証（ＩＤとパスワードをいれる）しないと、そのＳＭＴＰサーバではメールを送れないというものである。ＡｒｇｏＳｏｆｔのメールサーバは、AuthenticatedSMTPに対応している。最近のメーラも対応しているので、この機能をｏｎにしておくこと。

asmtp.JPG

上はメールサーバＡｒｇｏＳｏｆｔのＳＭＴＰ認証設定の一例の画面。ＰＯＰと同じにした場合。

ところで、せっかくパスワードで認証して侵入を防ごうとしても、そのパスワードを知られてしまえば何にもならない。詐欺にあって教えてしまったらすぐ変更する。その他、下記の盗聴によって知られてしまうかもしれない。パスワードがそのまま、インターネットを流れてしまうからである。それで暗号化したＰＯＰがＡｕｔｈｅｎｔｉｃａｔｅｄＰＯＰである。ＰＯＰって、もともとauthenticateするから、これ変な名前だな。本当は、encriptedPOPじゃないかとおもうが。ＡＰＯＰ対応メーラとＰＯＰサーバならまあ、安心である。ああ、当然、ＳＭＴＰも暗号化しておく。

asmtp2.JPG
これはメールクライアントＥｄＭａｘのＳＭＴＰ認証の暗号化の設定。グレーアウトしているが、ＣＲＡＭ−ＭＤ５で認証が暗号化option

盗 聴

自宅のＰＣへの侵入は以上で防いでも、自宅から出て行くパケットを盗み見られる可能性はある。インターネットのどこにでもその可能性はある。１０Ｂａｓｅ２などのバス型ＬＡＮなら、それにつながる全ＰＣに同じパケットが流れるので、その気になれば、読めてしまう。無線ＬＡＮなら、もうそんな面倒もいらない。なにしろ電波は放送である。それで、ＥＳＳ−ＩＤ，ＷＥＰ、ＭＡＣアドレスフィルターリングなどでアクセス制御、暗号化などをしているのである。

インターネット上の盗聴に対抗するには、ＰＧＰなどで暗号化する以外に方法はないだろう。

改竄

盗聴できれば、当然、書き換えして、偽のパケットを流すことが次の段階に来る。これが改竄である。

改竄できれば、他人のＩＰアドレスを発信元に書いて成済ましができる。このパケットに対する応答パケット−−ＴＣＰはコネクション型通信だからかならず応答パケットが返っていく−−は発信元に行ってしまうので、なんらかの方法で予めこれものっとっておく必要がある。

なりすますと、否認を行う。これをしたのはお前だろうと言われても、ＩＰアドレスが自分の物と違うので俺じゃない、と言い張るわけである。

インターネットでは、盗聴→改竄→自分になりすまされる可能性があるので、重要ﾃﾞｰﾀ、プライバシーデータは流さないのが賢明というものである。

ウィルスとワームはもう言うまでもない。知らん人からのメール、差出人が空白のメールは一切開けず、ごみ箱へ。

でないと、上に書いたような直接侵入ではなく、内部に味方を作り、これに内錠を開けさせるという手を取られる。いわゆる、トロイの木馬である。メールは、嫌でも門を通さざるを得ない。で、内部に入られてしまう。このメールにスクリプトやら、．ｅｘｅやらの実行可能なファイルが添付されていて、これを開いてしまうと、知らない間に、ＢＢＲのファイアウォールの設定を書き換えられるとか、ファイル共有設定がされるとか、何でもできてしまう。時代劇で、お姫様の行列の荷物の一つに忍者を忍び込ませてお城の中に潜入するというあれである。


その他の具体的な対策

下記はサーバを建てている場合のこと。サーバを建てるということは侵入されることと同義だから、建てない方が良いが、どうしてもと言う場合、下記位は対策する。

サーバを建てていない人は、全ＩＰアドレスからのパケットを破棄にしておく。安物のＢＢＲではそんな機能はないから、下記は何もしなくて良い。 159. 初心者用簡単ADSLセキュリティ確保法 参照

さて、家庭サーバを建てたら、下記の日本のＩＰアドレス以外は、ブロードバンドルータか、ファイアウォールで、全部シャットアウトしよう。海外と文通していたり、英語のＷｅｂサイトを開いていて、海外に公開したい人は別であるが、日本しか関係ない人は海外はシャットアウトしておいて方が無難である。実際、居候のサーバに悪さをしようとしてアクセスしてくるＩＰアドレスは、全て海外の物であった。日本にもろくでなしは山のようにいるが、６０億人より、1.2億に限定しておいた方が、多少は危険度が減る。

JPNIC がネームサーバの管理をしている IPアドレス（1997年1月21日付）

日本のＩＰアドレス；下記のＩＰアドレス以外は閉じよう。パケットを破棄する。
ただ、日本のIPアドレスは、アジアパシフィック地域のIPアドレスの部分だから、厳密には下のようにはなっていない。特に、携帯電話キャリア（ドコモ、KDDIなど）のIPアドレスはこの範囲の外にあるものもあり、下の桁が違うと中国辺りと同じになったりする。最初はここ以外を拒絶しておき、後は、少しずつ開いていくよりしかたなさそうだ。
133.0 〜 133.255
192.50.0 〜 192.50.255　
192.218.0 〜 192.218.255
192.244.0 〜 192.244.255
202.11.0 〜 202.11.255
202.13.0 〜 202.13.255
202.15.0 〜 202.19.255
202.23.0 〜 202.26.255
202.32.0 〜 202.35.255
202.48.0 〜 202.48.255
202.208.0 〜 202.255.255
203.136.0 〜 203.141.255
203.178.0 〜 203.183.255
210.128.0 〜 210.175.255

出典； http://www.cc.kurume-it.ac.jp/home/general/sibhome/net/net6.html

下記ポートは閉じよう（というか、Ｗｅｂ，メールサーバを建てていなければ、元々全ポート閉じるか、存在しないＤＭＺ　ＰＣに転送）；モバイルで使いたいと言う人は、閉じられないから、別途、自分でセキュリティを考えよう。
137-139　　　Microsoftﾈｯﾄﾜｰｸ共有ｻｰﾋﾞｽ/ｸﾗｲｱﾝﾄ
5900　　　　　ＶＮＣ
20-21　　　　　ＦＴＰ
23　　　　　　　Ｔｅｌｎｅｔ
110　　　　　　ＰＯＰ

以下は、他人と関わりたいプロトコルだから、閉じたら、あまり意味がないので、開いておく。

80　　　　ＨＴＴＰ
25　　　　ＳＭＴＰ


セキュリティ(クラッカー対策など)も役にたつよ。
無料ファイアウォール　日本語化キットもどこかにあるよ。
157. ウィルスの話；その本質と対策
159. 初心者用簡単ADSLセキュリティ確保法
　　


130．家庭サーバのセキュリティ確保のために：　侵入の手口の実例　　　 目　次

以下は、2002年３月某日、CHINANET Guangdong province（広東県） networkを用いた誰かが居候のＰＣに侵入しようとした実例のログの一部である。見ている目の前で、侵入していた。ストールのカッコウはコンピュータに卵を産む、（ここにも） だ（当然だが、メール宛先は無関係なのでアドレスは変えてある：　ｘｘｘｙｙは存在しない。又、居候の環境は消してある。太字は居候の注。ＳＭＴＰ認証をかけてあるので、このリクエストは拒否された）

02/03/10 4:37:40 - Requested SMTP connection from 61.144.176.191
02/03/10 4:37:40 - ( 15) 220 IsourouMailServer
02/03/10 4:37:41 - ( 15) HELO localhost
02/03/10 4:37:41 - ( 15) 250 Welcome [61.144.176.191]
02/03/10 4:37:42 - ( 15) mail from:＜kzfqdvk@ms6.hinet.net＞
02/03/10 4:37:42 - ( 15) 250 Sender "kzfqdvk@ms6.hinet.net" OK...
02/03/10 4:37:43 - ( 15) rcpt to:＜xxxd@ms1.hinet.net＞
02/03/10 4:37:43 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:44 - ( 15) rcpt to:＜xxxeyli@ms1.hinet.net＞
02/03/10 4:37:44 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:45 - ( 15) rcpt to:＜xxxg01@ms1.hinet.net＞
02/03/10 4:37:45 - ( 15) 550 User not local. Authentication required for relay

　　　　　　　　　　　　　　　　・・・
02/03/10 4:37:46 - ( 15) rcpt to:＜xxxg3@ms1.hinet.net＞
02/03/10 4:37:46 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:49 - ( 15) rcpt to:＜xxxgchou@ms1.hinet.net＞
02/03/10 4:37:49 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:49 - ( 15) rcpt to:＜xxxgchyi@ms1.hinet.net＞
02/03/10 4:37:50 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:50 - ( 15) rcpt to:＜xxxgj@ms1.hinet.net＞
02/03/10 4:37:50 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:51 - ( 15) rcpt to:＜xxxglin@ms1.hinet.net＞
02/03/10 4:37:51 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:53 - ( 15) rcpt to:＜xxxgs@ms1.hinet.net＞
02/03/10 4:37:53 - ( 15) 550 User not local. Authentication required for relay
02/03/10 4:37:54 - ( 15) rcpt to:＜xxxlee1@ms1.hinet.net＞
02/03/10 4:37:56 - Error: [10054] Connection reset by peer
02/03/10 4:37:56 - SMTP connection with 61.144.176.191 ended. ID=15

これを見ると、
02/03/10 4:37:40 - Requested SMTP connection from 61.144.176.191
からメールサーバを不正利用しようとしている。自分のサーバを使わず、他のサーバのRelayを利用して、自分のアドレスを隠し、このようにＭａｉｌｉｎｇＬｉｓｔを用いて、大量のスパムメールを打つ。

02/03/10 4:37:41 - ( 15) HELO localhost
ここでは、当然自分のドメインなど名乗っていない。

02/03/10 4:37:42 - ( 15) mail from:＜kzfqdvk@ms6.hinet.net＞
02/03/10 4:37:42 - ( 15) 250 Sender "kzfqdvk@ms6.hinet.net" OK...
Requestは61.144. ＝ chinanet.cn.net／CHINANET Guangdong province network であるのに、差出人ドメインを、hinet.netと偽っている。
ＩＰアドレス、あるいは、ドメインから組織名や管理者を調べる方法は、このＨＰの先頭 、目次の上参照。

尚、
Error: [10054] Connection reset by peer
A connection was forcibly closed by a peer. This normally results from a loss of the connection on the remote socket due to a timeout or a reboot.

　　--http://support.ipswitch.com/kb/WSK-19980714-EM01.htm　より



131．ＭＴＵ，ＲＷＩＮに関するＵＲＬ　　　 目　次

ここは非常に良い。

../../../SiliconValley-SanJose/7682/editmtu 説

ここに置いてあるＥｄｉｔＭｔｕはお薦めである。

ＬＡＮ型ＡＤＳＬ（ＹａｈｏｏＢＢ）の場合
　ＭＴＵ＝１５００
　ＲＷＩＮ　＝　１４６０の倍数；　54020　 198560など

../../../../../www.geocities.jp/hamdah3502213/osugi/osg.htm 説
　ＭＴＵ＝１４５６
　ＲＷＩＮ　＝　１４１６の倍数；　56640　 192576など





132．素晴らしい暗号化ソフト　　　 目　次

久しぶりにベタ誉めしたいソフトを見つけた。ソフトとは須らくこうあるべしという見本である。難しい事を簡単に！ＰｇＰに爪の垢でも煎じて飲ませてやりたいほどのソフトである。

ED




133．Windows95でCGIを使う　　　 目　次

ＣＧＩと言っても何しろ、Win95でのことだから、制限がある。ＣＧＩプログラミングにはＰｅｒｌを使う。Ｐｅｒｌはインタープリタ言語だから、コンパイラなどは必要ないが、インタープリタがいる。要するに、Ｐｅｒｌの命令語を一つ一つ解釈（インタープリート）して、実行するプログラムだね。Ｐｅｒｌで書いたＣＧＩプログラム自体は、どこかでフリーソフトをもらってくる。

Ｐｅｒｌを稼動させる環境の構築＝Ｐｅｒｌのインタープリタをインストールするのは多少面倒である。

詳しくは、下記を見てもらうとして、Ｗｉｎ９５に限って、ここで説明する（というか、自分のメモ）

WindowsでＣＧＩ

Ｗｉｎ９５でＰｅｒｌを動かす環境は結構面倒である。
尚、以下、ＷｅｂサーバにはＡＮ　ＨＴＴＰｄを使っているものとして説明する。

　１．ＡｃｔｉｖｅＰｅｒｌというＰｅｒｌのinterpreterをここでダウンロード。

　Windows 95, 98, Me: Windows Installer 2.0+
　Windows 95: DCOM for Windows 95 and MSVCRT

から、Windows Installer 2.0+と、 DCOM for Windows 95(Win98以降には不要)と、 MSVCRT(Win98以降には不要)の３つをダウンロードする。

２．それが済んだら、同じページの右下のほうにＮｅｘｔという矢印があるから、それをクリック。ここでレジスタ（自分のemailなどを登録）する。 Email addressには、自分のemailアドレス、Ｎameには、名、姓（Tarou　Yamada)のように入れる。Companyには個人なら何も入れなくても良い。

済んだら、Ｎｅｘｔ。

３．ＡｃｔｉｖｅＰｅｒｌ　Ｗｉｎｄｏｗｓ　ＭＳＩ　をクリックしてダウンロード。ＡＳ　Packageの方は要らない

これで準備はできた。

４．　１．でダウンロードした３つをインストールする。ＭＳＶＣＲＴは、既に他の用途でインストール済みかもしれない。その場合、インストール不要だが、バージョンがわからないだろうから、とにかくインストールしてみる。

５．ＡｃｔｉｖｅＰｅｒｌ　Ｗｉｎｄｏｗｓ　ＭＳＩ　をインストール。

以上で、ＰｅｒｌプログラムをＣＧＩで動かす準備はできた。

６．フリーＣＧＩソフトで必要なものをＤＬする。

７．ダウンロードしたＣＧＩを自分のホームページの下にフォルダごと置く。
　例えば、E:\mywww\　にindex.htmlがおいてあれば、E:\mywww\chat などとしておけば良い。chatはcgiソフト（例えば、chat.cgi）が入っているフォルダー名。
このＣGIを呼ぶには、例えば、上記、index.htmlから呼ぶなら、同じフォルダ(mywww)内にあるから

<a href="./chat/chat.cgi">ちゃっと部屋</a>

のように書いておけば良い。

ＡＮ　ＨＴＴＰｄのインストールされているフォルダ内にもcgi-binというフォルダがあるが、そちらに入れても良い。その場合、例えば、カウンターなら、

<img src="/cgi-bin/wcnt313/wwwcount.cgi?gif" width=96 height=18 alt="Counter">

のようにパスを通しておく。　/cgi-bin　がＡＮ　ＨＴＴＰｄのインストールされているフォルダーにあることは、ＡＮ　ＨＴＴＰｄの設定のエイリアスで指定してある。
ただ、ここに置くことはセキュリティ上問題が無い訳でもないので、止めた方が良い。

８．Ｗｅｂサーバには、ＡＮ　ＨＴＴＰｄを使っている場合、サーバのＣＧＩの設定はここ。ただし、関係あるのは、７．のエイリアスの設定位である。

Ｐｅｒｌのプログラムの先頭には必ず、下記のようなパスが書いてあるが、Ｗｉｎｄｏｗｓでは関係ないので、そのままで良い。

#!/perl/bin/perl

ＵＮＩＸ系ＯＳでは、xx.plというPerlスクリプトを直接実行
できるので、その時に使うＰｅｒｌインタープリタ（Ｐｅｒｌ．ｅｘｅ
のようなもの）がどこに居るのかを、パスでＯＳに教え
なければ、実行ができない。Ｗｉｎｄｏｗｓではそんなこと
はできず、Ｐｅｒｌ．ｅｘｅの引数としてｘｘｘ．ｐｌを渡すから、
この記述は不要なのである。

Ｗｉｎｄｏｗｓ９ｘでは、ＤＯＳ窓を開いて、

　　ｃ：￥＞Ｃ：￥ｐｅｒｌ￥bin\perl.exe　　xxx.pl

として、xxx.plを実行する。

ＵＮＩＸでは、

ｃ：￥＞xxx.pl

で、実行できる（これはＤＯＳのプロンプトだが。。）


９．cgiで日本語を扱うには、jcode.pl という日本語化パッチが必要で、それをｃｇｉと同じフォルダに入れておく。ただし、上のリンクへ行くと、いかにもＵＮＩＸ使いらしい無造作なＦＴＰサイトになっているので、とっても分かり難い。フリーＣＧＩソフトのものには、既にjcode.plが入っているので、そのままで日本語が使える。comchatは最低限ＤＬしておいた方が良い。



このページの先頭　　　　目　次