環境

RaspberryPi

Raspberry Pi 4Bを利用しました。Raspbian (32bit)のバージョンは以下の通りです。

$ sudo apt-get install lsb-release
$ lsb_release -a
No LSB modules are available.
Distributor ID:	Raspbian
Description:	Raspbian GNU/Linux 10 (buster)
Release:	10
Codename:	buster

Ubuntu

$ lsb_release -a
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 18.04.6 LTS
Release:	18.04
Codename:	bionic

スマホの準備

スマホには予め「Google Authenticator」をインストールしておいてください。

設定手順

とりあえず最新の状態にする

$ sudo apt-get update
ヒット:1 http://raspbian.raspberrypi.org/raspbian buster InRelease                 
取得:2 http://archive.raspberrypi.org/debian buster InRelease [32.7 kB]            
取得:3 http://archive.raspberrypi.org/debian buster/main armhf Packages [392 kB]                      
425 kB を 7秒 で取得しました (57.1 kB/s)                                                              
パッケージリストを読み込んでいます... 完了

$ sudo apt-get full-upgrade
パッケージリストを読み込んでいます... 完了
依存関係ツリーを作成しています                
状態情報を読み取っています... 完了
アップグレードパッケージを検出しています... 完了
アップグレード: 0 個、新規インストール: 0 個、削除: 0 個、保留: 0 個。

常に最新の状態にしているので、ここで適用されるファイルはありませんでした。

ChallengeResponseAuthentication をyesにする

vim でも nanoでも構いませんが、sshd_configを開き、ChallengeResponseAuthenticationの値をyesに変更します。

2024/4/15 追記 ) KbdInteractiveAuthentication に名前が変わっていました。こちらの場合も同じようにyesにします（他の手順は同様です）

$ sudo vim /etc/ssh/sshd_config

libpam-google-authenticator をインストールする

$ sudo apt install libpam-google-authenticator
パッケージリストを読み込んでいます... 完了
依存関係ツリーを作成しています                
状態情報を読み取っています... 完了
以下のパッケージが新たにインストールされます:
  libpam-google-authenticator
アップグレード: 0 個、新規インストール: 1 個、削除: 0 個、保留: 0 個。
30.4 kB のアーカイブを取得する必要があります。
この操作後に追加で 104 kB のディスク容量が消費されます。
取得:1 http://ftp.jaist.ac.jp/pub/Linux/raspbian-archive/raspbian buster/main armhf libpam-google-authenticator armhf 20170702-2 [30.4 kB]
30.4 kB を 1秒 で取得しました (25.9 kB/s)              
以前に未選択のパッケージ libpam-google-authenticator を選択しています。
(データベースを読み込んでいます ... 現在 43570 個のファイルとディレクトリがインストールされています。)
.../libpam-google-authenticator_20170702-2_armhf.deb を展開する準備をしています ...
libpam-google-authenticator (20170702-2) を展開しています...
libpam-google-authenticator (20170702-2) を設定しています ...
man-db (2.8.5-2) のトリガを処理しています ...

日時を確認する

日時がずれていると正しく認証が出来ないため、必ず確認を行います。

$ date
2021年  9月 15日 水曜日 20:51:29 JST

google-authenticator を実行する

$ google-authenticator

いろいろ聞かれますが、yで進めました。

表示されたQRコードをGoogle Authenticatorで読み取ります。

/etc/pam.d/sshd を編集する

$ sudo vim /etc/pam.d/sshd

2024/12/20 追記 )上記画像の記載内容は以下です。

# 2FA
auth required pam_google_authenticator.so

この記載内容が間違っていると、sshのログオンすら失敗するので注意してください。

sshを抜ける

$ sudo systemctl restart ssh
$ exit

これで設定が完了です。

Google Authenticatorの動作確認をする

SSHで接続すると、以下のような流れになります。

% ssh <ip_address> -l <user>
Password: 
Verification code: <- ここでAuthenticatorの番号を入れる
Linux raspivpn 5.10.60-v7l+ #1449 SMP Wed Aug 25 15:00:44 BST 2021 armv7l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
$ 

Passwordの次に、Verification codeが要求されます。Google Authenticatorで表示されているコードを入力するとSSHで入れるようになります。

まとめ

以上、RaspberryPiでSSHログイン時にGoogle Authenticatorを利用する方法でした。青色マーカーの箇所を実行すれば簡単に設定できますので、SSHを利用される方は一度ご確認頂けると良いと思います。

syslogサーバにログを転送することで、Wifiルーターのログは10000行までだった。とか、メモリ上に記録するため電源が落ちたタイミングでクリアされちゃった。等の不測の状況からログを守る事が出来ます。

ざっくり検証用の内容となっています。実際に現場で使う場合は、他のセキュリティ対策も必ず行なってからご利用ください。

RasPi環境準備

以下の環境で確認しました。

• RasPi 3B+
• USBメモリ起動
• Ubuntu Server 20.04 LTS

Raspberry Pi Imager で起動USBを作成する

いつもの通り、Raspberry Pi Imagerを使ってOSイメージを作って行こうとしましたが。。。

ああ。そうでした。Ubuntuではエラーが出るのを忘れていました。（USBメモリによってはエラーにならないものもあるようです。）

balenaEtcherで起動USBを作成する

balenaEtcherはUbuntuの起動USBが作成出来ます。まずはUbuntu 20.04.2 for Raspberry Pi をダウンロードしておきます。

Install Ubuntu on a Raspberry Pi | Ubuntu

Ubuntu is an open-source operating system for cross-platform development, there's no better place to get started than wi（続きを読む）

ubuntu.com

balenaEtcherを起動して、ダウンロードしたOS、インストール先USBを指定して、Flash!をクリックします。

無事完成です。

USB起動

作成したUSBメモリでRasPiを起動しましょう。

初回ログイン時は、ユーザ：ubuntu、パスワード：ubuntuでログインが出来ます。ログイン時にパスワード変更が求められるので複雑なパスワードに変更します。

ファイアウォールの設定(ufw)

とりあえずufwの設定をしておきます。sshなどを使う方はルールを適時追加してください。

sudo ufw disable
sudo ufw default deny
sudo ufw allow proto tcp from 192.168.1.0/24 to any port 514
sudo ufw allow proto udp from 192.168.1.0/24 to any port 514
sudo ufw enable

rsyslogのセットアップ

ようやく本題のsyslogサーバのセットアップを行なっていきます。syslogサーバとして、rsyslogを使いました。

rsyslogインストール

sudo apt-get install rsyslog -y 

バージョン確認

$ rsyslogd -v
rsyslogd  8.2001.0 (aka 2020.01) compiled with:
	PLATFORM:				aarch64-unknown-linux-gnu
	PLATFORM (lsb_release -d):		
	FEATURE_REGEXP:				Yes
	GSSAPI Kerberos 5 support:		Yes
	FEATURE_DEBUG (debug build, slow code):	No
	32bit Atomic operations supported:	Yes
	64bit Atomic operations supported:	Yes
	memory allocator:			system default
	Runtime Instrumentation (slow code):	No
	uuid support:				Yes
	systemd support:			Yes
	Config file:				/etc/rsyslog.conf
	PID file:				/run/rsyslogd.pid
	Number of Bits in RainerScript integers: 64

See https://www.rsyslog.com for more information.

状態確認

$systemctl status rsyslog 

● rsyslog.service - System Logging Service
     Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2021-02-08 11:48:06 UTC; 1min 39s ago
TriggeredBy: ● syslog.socket
       Docs: man:rsyslogd(8)
             https://www.rsyslog.com/doc/
   Main PID: 3778 (rsyslogd)
      Tasks: 4 (limit: 974)
     CGroup: /system.slice/rsyslog.service
             └─3778 /usr/sbin/rsyslogd -n -iNONE

systemd[1]: Starting System Logging Service...
rsyslogd[3778]: imuxsock: Acquired UNIX socket '/run/systemd/journal/syslog' (fd 3) from s>
systemd[1]: Started System Logging Service.
rsyslogd[3778]: rsyslogd's groupid changed to 110
rsyslogd[3778]: rsyslogd's userid changed to 104
ubuntu rsyslogd[3778]: [origin software="rsyslogd" swVersion="8.2001.0" x-pid="3778" x-info="http>
lines 1-17/17 (END)

設定の編集

/etc/rsyslog.confに設定を行います。オリジナルのファイルはバックアップしておきましょう。

sudo cp /etc/rsyslog.conf /etc/rsyslog.conf.org
sudo vim /etc/rsyslog.conf

以下のようにファイルを編集しました。（必要に応じて変更してください）

# /etc/rsyslog.conf configuration file for rsyslog
#
# For more information install rsyslog-doc and see
# /usr/share/doc/rsyslog-doc/html/configuration/index.html
#
# Default logging rules can be found in /etc/rsyslog.d/50-default.conf


#################
#### MODULES ####
#################

module(load="imuxsock") # provides support for local system logging
#module(load="immark")  # provides --MARK-- message capability

# provides UDP syslog reception
module(load="imudp")
input(type="imudp" port="514")

# provides TCP syslog reception
module(load="imtcp")
input(type="imtcp" port="514")

# allowed
$AllowedSender UDP, 127.0.0.1, 192.168.1.0/24
$AllowedSender TCP, 127.0.0.1, 192.168.1.0/24

# provides kernel logging support and enable non-kernel klog messages
module(load="imklog" permitnonkernelfacility="on")

###########################
#### GLOBAL DIRECTIVES ####
###########################

#
# Use traditional timestamp format.
# To enable high precision timestamps, comment out the following line.
#
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# Filter duplicated messages
$RepeatedMsgReduction on

#
# Set the default permissions for all log files.
#
$FileOwner syslog
$FileGroup adm
$FileCreateMode 0640
$DirCreateMode 0755
$Umask 0022
$PrivDropToUser syslog
$PrivDropToGroup syslog

#
# Where to place spool and state files
#
$WorkDirectory /var/spool/rsyslog

#
# Include all config files in /etc/rsyslog.d/
#
$IncludeConfig /etc/rsyslog.d/*.conf

# logs
$template ClinetMessage,"/var/log/rsyslog/%fromhost%/messages.log"
*.* -?ClinetMessage

変更箇所は、MODULESのコメントを外す、$AllowSenderの追記、$template の追記になります。

（左が変更後、右が変更前です）

rsyslog.confの編集が終わったらrsyslogを再起動します。

$ sudo systemctl restart rsyslog

動作確認

rsyslogのステータスにエラーが表示されていなければOK です。

$ systemctl status rsyslog 

あとはクライアント側（wifiルーター、PCなど）にログ転送を仕込んで完成です。

正常に動作した場合、var/log/rsyslog/配下に、クライアント側のログが転送されているのが確認出来ると思います。

うまく行かない場合

ログが転送されて来ない場合は、以下をご参考にしてみてください。

• ファイアウォールの確認
  • UFWを一時的に停止し、ログが転送されるかどうか切り分ける
  • UFWのログを参照し、転送されたログがブロックされていないこと
• rsyslogの確認
  • systemctl status rsyslogに何かエラーが含まれているかどうか
  • /etc/rsyslog.confの編集内容の確認
• クライアント側の確認
  • 設定の見直し。転送先IPの確認など。

Zabbix のエージェントをインストール

前回、Raspberry Pi 3B+（Lite上）にZabbixを入れましたので、監視対象にエージェントも入れてみました。

www.taktools.net

2020.09.27

出ていたメッセージ

「Disk read/write request responses are too high」という警告が表示されていました。サーバ側のディスクアクセスがいっぱいいっぱいって事ですね。”トニーお腹がすいて力が出ないよ～”という状態です。いや逆か。

エラーメッセージを頼りに検索してみると、以下のフォーラムにたどり着きました。

Just a moment...

www.zabbix.com

badfiles さんのコメント曰く、zabbixは多くのコミットとトランザクションがあるので、innodb_log書き込みが増えちゃうとのこと。調整したらうまく行きますよって書いてます。

my.cnf

my.cnf の調整をする必要がありそうなので、まずは読み込み順番を調べました。

$ mysql --help
mysql  Ver 15.1 Distrib 10.3.23-MariaDB, for debian-linux-gnueabihf (armv7l) using readline 5.2
Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.

Usage: mysql [OPTIONS] [database]

Default options are read from the following files in the given order:
/etc/my.cnf /etc/mysql/my.cnf ~/.my.cnf 

/etc/my.cnf /etc/mysql/my.cnf ~/.my.cnfの順番のようです。

RasPi 3B+ のメモリ容量を確認します。

$ free -m
              total        used        free      shared  buff/cache   available
Mem:            925         223         364          17         337         630
Swap:            99           0          99

以下の値をmy.cnfに記載して、再起動してみます。

innodb_log_buffer_size=xxM
innodb_buer_pool_size =xxM
key_buer_size =xxM
max_allowed_packet=xxM

結果的にうまく行ってないのでxxとしてあります。

既に出ているイベントを確認済にしておきます。

が、しばらくすると、またイベントが出てました。

swapを無効にしてみる

swapを無効にしてみます。

$ sudo swapoff --all
$ sudo systemctl stop dphys-swapfile
$ sudo systemctl disable dphys-swapfile
Synchronizing state of dphys-swapfile.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install disable dphys-swapfile
Removed /etc/systemd/system/multi-user.target.wants/dphys-swapfile.service.

inavtive（無効） になりました。

$ systemctl status dphys-swapfile
● dphys-swapfile.service - dphys-swapfile - set up, mount/unmount, and delete a swap file
   Loaded: loaded (/lib/systemd/system/dphys-swapfile.service; disabled; vendor preset: enabled)
   Active: inactive (dead)
     Docs: man:dphys-swapfile(8)

: Starting dphys-swapfile - set up, mount/unmount, and delete a swap file..
: want /var/swap=100MByte, checking existing: keeping it
: Started dphys-swapfile - set up, mount/unmount, and delete a swap file.
: Stopping dphys-swapfile - set up, mount/unmount, and delete a swap file..
: dphys-swapfile.service: Succeeded.
: Stopped dphys-swapfile - set up, mount/unmount, and delete a swap file.

メッセージは変わりませんでした。

Raspberry Pi 4B でやってみる

RasPi 3B+だと性能が足りないのかなと思い、RasPi 4Bに変更してみましたが、結果は変わらずだったので、USBメモリブートでやってみました。

SD Card Copier

こんな感じでSDカードをUSBへコピーします。

From とToを指定して、Startを押します。逆だとクリアされてしまうので注意。

しばらく放置すると、コピーが完了します。

シャットダウンします。

シャットダウン後、RasPiからSDカードを抜いて、コピーしたUSBを挿して起動します。

結果

やはり同じイベントが記録されてしまいます。チューニングが必要のようです。

RasPiだと無理なのかもしれませんが、もう少し試行錯誤をしたいと思います。

良かったら他の記事も読んで頂けると嬉しいです。よろしくお願いします。

Raspberry Pi 3B+ に Zabbix 5.0 をインストール(その２)

Raspberry Pi 3B+ に Zabbix 5.0 をインストールした話のその２です。今回はOS選択時にLiteを選択してコマンドラインからZabbixをインストールしてみました。

www.taktools.net

2020.09.27

対象のサーバ

とりあえずの対象はUbuntuサーバの２つとしました。１つはKVMホスト、１つはKVMゲストの２つとなります。どちらもUbuntuサーバとなります。ホスト・ゲストに関わらず、手順は同じです。

Agentのインストール

wget https://repo.zabbix.com/zabbix/5.0/ubuntu/pool/main/z/zabbix-release/zabbix-release_5.0-1+focal_all.deb
sudo dpkg -i zabbix-release_5.0-1+focal_all.deb 
sudo apt update 
sudo apt -y install zabbix-agent

zabbix_agentd.confのServer,ServerActive,hostnameを編集します。

sudo vim /etc/zabbix/zabbix_agentd.conf

設定後は再起動しておきます

sudo systemctl restart zabbix-agent 
sudo systemctl enable zabbix-agent

ポートの確認

デフォルトでは、 Zabbix Agent は 10050 番ポートで Zabbix Server からのアクセスを待ち、 Zabbix Server は 10051 番ポートで Zabbix Agent からのアクセスに応答します。忘れずにそれぞれのポートを開けておきましょう。

agent側

sudo ufw allow proto tcp from 192.168.xxx.0/24 to any port 10050
sudo ufw status

server側

sudo ufw allow proto tcp from 192.168.xxx.0/24 to any port 10051
sudo ufw status

Zabbix Server側でホストの追加

ブラウザからサーバのアドレスを開き、先ほどagentをインストールしたサーバーを追加してみます。

右上の[ホストの作成]を選択します。

監視対象のホストの情報を入れていきます。

テンプレートとして、[Template OS Linux by Zabbix agent]を選択しました。

無事、ホスト（KVMホスト）が追加されました。あとは監視対象を順次追加していく形となります。

KVM上のゲストも同様の手順で追加出来ました。

今後、Zabbixの利用方法やアラートの仕込み方などを確認したいと思います。

良かったら他の記事も読んで頂けると嬉しいです。よろしくお願いします。

タンタン

兄ちゃん、また何か届いたよ

ふーちゃん

今回は薄っぺらいから、猫エサじゃないね。

それは猫エサじゃないよ。SSDだよ。

前回、デルアンバサダーになって、Inspiron 15Z (5523)からInspiron 15 3000に移行したというお話をしました。今回は、その余ったPCをどうしたのか？という話になります。

みなさんパソコンを乗り換えた際はどうしてますか？捨てるにはちょっと勿体ないですよね。

という事で、WindowsからUbuntu 20.04 LTSに変更して、延命したいと思います。

Ubuntu 20.04 LTSは2025年4月までサポートされるので安心ですね。

SSDは安い製品を選択しました。

それでは、ガシガシと分解していきます。精密ドライバが必要です。ピンセットもあると助かります。ネジはほぼ同一規格のようですが無くさないようにしましょう。あと、あれれ余ったぞ。みたいにならないように、ネジの位置は覚えておきましょう。

SSD換装後の写真を撮り忘れていました。

SSD換装後は分解した逆の手順で組み立てます。ネジを無くさないように。余らせないように注意しましょう。

Ubuntuは以下のサイトからダウンロードしました。MacからはbalenaEtcherでインストールUSBを作成しました。

Ubuntu 20.04 LTS 日本語 Remix リリース

Ubuntu 20.04 LTS 日本語 Remix リリース | Ubuntu Japanese Team

www.ubuntulinux.jp

起動後は以下の設定を行いました。

体感速度的にも速くなったと思います。SSD換装は安くて効果があるのでおすすめですが、分解の際は十分に注意して、無理だなあって思ったら諦める事も大事です。使用していないノートPCがあれば試してみてください。

タンタン

兄ちゃん、sshでログインしたら、なんか出たよ

Welcome to Ubuntu （バージョンとか）

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/advantage

（略）

xx 個のパッケージがアップデート可能です。
0 個のアップデートはセキュリティアップデートです。

*** システムの再起動が必要です ***
Last login: いついつ。どこから。

ふーちゃん

それは再起動せなあかんな

でも昼間は誰か使ってるから、夜に再起動やな

タンタン

夜は眠たいから起きてられへん

きみたちはずっと寝てるんじゃないの？

自動で再起動するように仕掛けとこうね。

*** システムの再起動が必要です ***

は文字通り再起動が必要という内容です。昼間は誰かが利用しているかもしれないので、夜間に再起動する事にします。

$ sudo crontab -e

こんな感じで再起動のコマンドを記述します。

毎日再起動しても特に問題は無いので、毎日午前２時に再起動としました。

週に１回（例えば土曜日の午前２時）で良いという場合は、

0 2 * * sat /sbin/shutdown -r now

のようにします。

なお、セキュリティアップデートは以下のコマンドで自動適用されるようにしています。

$ sudo apt install unattended-upgrades
$ sudo dpkg-reconfigure -plow unattended-upgrades

出来ればOSを問わず、月１回はセキュリティチェックデーを設けたいですね。