ルータをOpenWrtからpfSenseに乗り換える

ミニPCのProxmox VE環境は今3つになっていて、それぞれにルータとしてOpenWrtを入れています。

OpenWrtのいまいちなところ

OpenWrtはアプリ追加でいろいろできて便利なんやけど、

たとえばVPN機能とかは別途Debianとかで動かしたほうが安定するので、最近はできるだけOpenWrtに特別な機能を持たせない方向で運用していました。

あと、ルータはインターネット境界にあるシステムなので、セキュリティ対策のためにバージョンアップ対応は必須。でも細かいバージョンアップ(24.10.4→24.10.5とか)でも、あとから入れたアプリが全部消えて入れなおしになるので、それを毎回3台対応するのが微妙に苦痛でした。

pfSense

最近IPv6対応がらみで知ったのが、pfSenseというオープンソースのファイアウォールOS。

おためしで入れてみると、けっこう使いやすくて好感触。たとえばDDNSとかはOpenWrtでやると設定がけっこうめんどくさいんですが、pfSenseだと設定項目が最低限でさくさく。

カスタマイズ性はOpenWrtと比べると高くないと思うけど、その分ごちゃごちゃしてなくて質実剛健な印象です。

ミニPC3台のうち、実家と千葉に置きっぱなしの2台についてはルータ機能をpfSenseに置き換えた方が運用が楽になりそう〜。

ということで、さくっと置き換えてしまいました。

あらかじめネットワークをIPv4とIPv6の両対応にしておいたので、遠隔地でもIPv6で接続して操作することで、OpenWrtとpfSenseのIPv4アドレスを生きたまま入れ替えて本番化するという芸当が簡単にできて便利。

OpenWrtに残った機能

ということで、OpenWrtが残ったのは旅先ルータだけに。

ここには、接続先ドメインによって金盾越えさせるかどうかを自動振り分けする複雑怪奇なしくみが構築されているんですが、これはさすがにpfSenseでは無理でした。こういうのこそまさにルータの仕事。

あと、pfSenseはWi-Fiの設定項目があるもののミニPC本体のWi-Fiモジュールが扱えません。USB Wi-Fiのドングルも認識しないので、実質有線専用かな。

ノートPCをリサイクルに出す

PCリサイクルのためのエコゆうぱっくの伝票が昨日届きました。

申し込みが木曜で、届いたのが翌週の木曜。dynabookのリサイクルセンターって、電話番号からするとたまたま千葉県内みたいなんですが、意外と時間がかかっています。

PCは自分で郵便局に持ち込むこともできるし、取りに来てもらうこともできるようです。どちらにしても梱包は自分で。

ふつうのゆうパックだったらローソンで出すこともできるけど、エコゆうぱっくは郵便局のみ。簡易郵便局でもだめなようです。

そして送料は着払いでした。

メインで使ってた期間はそんなになかったけど、12年弱お疲れさまでした。

世界が平面でないことをはっきり実感する方法

「今いるこの世界は丸い地球ではなく平面だ」と主張している人たちがアメリカにいるという話をたまに聞きます。

宇宙飛行士の人だったら、丸いの自分で見た！って言えると思うけど、人から聞いた話とかでなく自分の経験で平らじゃないってはっきり実感するのってけっこうむずかしいと思うねんなあ。

「遠くから来る船が帆先から見える」的なことは昔から言われてるけど、目にする現象としてはけっこう細かくて地味やし・・・

・・・と思っていたんですが、もっとはっきりわかる体験を思い出しました。

この世界が平面だったら、世界のどこでも日没がほぼ同時になるはずです。太陽という物体がその平面を縦に横切るタイミングで一斉に。

山とかがあってちょっと早く隠れるみたいなことはあっても、「どこかが真っ昼間なのにどこかが真夜中」ってことにはなりようがないです。

日本と中南米でビデオ通話をしたときに、昼と夜とが逆転しているのを毎回見ていたので、これを平面世界で説明するのは相当厳しいと思います。平面の裏側だという主張かもしれないけど、それだと日本から中南米に行く途中にその面のはしっこを見ていないといけないし。

通話相手側が何か細工をしているのでは？という主張なら、平面派の人同士で通話してもらってその細工を解明してもらえば。

ネーミングの労力

名前つけ作業が苦手です。

特に一度決めてしまうと、あとで変えるのが大変なタイプのは。

たとえばサーバのホスト名だと、社内向けのメールサーバに

mail

と名づけたとします。

すると、あとでファイルサーバ機能が相乗りしてきて、その後メール機能が廃止されたりすると、ファイルサーバなのにmailというホスト名のサーバが残るみたいなことが起こったりします。

それだったら、最初から役割とは無関係の星の名前とか鉱物の名前とかをつけておけば、あとあとも気持ち悪さを抱えずにすんだのになあってなります。

LAN内のサブネットのアドレス割り当てもそう。

サブネットが1つしかないなら

192.168.0.0/24

でいいと思うんですが、3つあったときに

192.168.0.0/24
192.168.1.0/24
192.168.2.0/24

とするとして、どの用途に先頭の192.168.0.0/24を割り当てるかとかで迷います。

さらに旅先用ルータとかだと、接続先の宿のネットワークとかぶってはいけないという縛りもあるので、センスが問われてしんどいです。

で、IPv6。

IPv4のプライベートIPアドレスに相当するのはULA(ユニークローカルアドレス)で、サブネットとしては先頭2文字固定の

fdxx:xxxx:xxxx:yyzz::0/64

こういう形になるんですが、このうちxx:xxxx:xxxx(グローバル識別子)の部分はランダム生成が推奨されているようです。

printf “fd%02x:%04x:%04x::/48\n” $((RANDOM%256)) $RANDOM $RANDOM

たとえばこういうコマンドで。これがめっちゃ楽。何も考えなくていい。

fdxx:xxxx:xxxx::0/48

そして生成されたこの部分を組織全体のサブネットとするのが推奨されているようなのですが、その中をさらに分けるyyzz(サブネット識別子)の部分はふつう人が設計するようです。

そこで推奨されているのが、拠点番号をyyに入れて拠点の中での用途番号をzzに入れるという方式。

たとえば

yy
東京拠点：01
大阪拠点：02

zz
LAN：01
VPN：02

みたいな。

うちの場合は、旅先・千葉・実家の3拠点あるので、yyを01・02・03とするみたいなことなんですが、どれを01にするかを考えるのがまずしんどい。

そしてたとえば旅先拠点には10個ぐらい細かい用途別のサブネットがあるのですが、これに順番をつけるのはもっとしんどい。zzの部分。

どう決めても、あとで増えたり減ったりしたときに「気持ち悪いなあ」ってなりそう。

ということで、yyもzzもランダム生成で割り当てることにしました。これで今後も一切考える必要がなくなってすっきり。

苦手つぶしの傾向

最近IPv6のことがわかってきて、「IPv6対応するとインターネットから侵入されやすくなるんじゃないか」という無知からくる不安が解消されてきました。
(あながちまちがいではないけど、ポイントを押さえておけば大丈夫。)

IPv6の根本の設計思想が理にかなっていてけっこう気に入ったので、それならいっそのこと旅先ルータだけでなく家庭LAN内も全部IPv6対応してしまえ！できることならIPv4を撲滅するぐらいの勢いで。

ということで、最近熱中しています。

苦手つぶしの傾向

去年からProxmox VEとかLinuxとか自動でのサーバ証明書更新(Let’s EncryptとZeroSSL)とか、手になじむほどに使い込んできているけれど、思えばこれって会社員時代の最後あたりで苦しんでいたテーマと関係しています。

当時こういうのがうまく使いこなせていたら、もうちょっとなんとかなったんじゃないかというような。

今さら戻る気はさらさらないけど、戻るつもりに見えるような行動を取ってしまっています。この「手になじませることへのこだわり」みたいなのは、自分から見てもちょっと異常。

そういえば、中国のこともそう。

支払いはできないし、言葉は通じないし、インターネットの接続制限はあるしで、「これはあかん！」っていう経験があったので、それをめっちゃつぶしにいったのがここ2年の話。

ほかにもいろいろ思い浮かぶけど、力のかけかたとして「これはあかん！」経験に引っぱられすぎている気がします。

SNSで誰かの誹謗中傷ばかりしていて自分の人生を生きていない人みたいな？