前回レッツノートSCのレビューで「今のところ、なんとしても手に入れたいCopilot+ PCの機能が一つも無いので困っていません」と書いたばかりなのですが、NPU活用という観点では、ローカルLLMには以前から大きな関心を寄せていました。

Copilot+ PCを手に入れたのが去年の今頃・・・CPUでもGPUでもなくNPUが搭載され、その性能が40TOPS以上。セキュリティやプライバシーを気にせず大手を振ってAI三昧と聞けば、嫌でも期待は大きくなります。これが実現できてこそAIの夜明けです。

しかし、実機を手にして早速トライしたものの、NPUを活用したローカルLLMに関する実用的な情報にはなかなかたどり着けませんでした。技術バリバリの方であれば実現できたのかもしれませんが、私のようなただのオッサンにはかなりハードルが高く感じられました。

「Copilot+ PCでローカルLLMが動く」という記事をまれに見かけても、その内容はLM StudioやVS Codeの拡張機能で動かすといったもので、対象はARMアーキテクチャのみ。

OSで提供されるCopilot+ PC向けの機能はどれも（私には）不要なものばかり。正直に言って「だまされた」と思いました。

来る日も来る日もCopilotさんに尋ね続けました。

Ryzen AI 7 PRO 360搭載のラップトップ、NPUを使ってローカルLLMできるようになりましたか？

こんなことを繰り返しながら「もう疲れたよ、パトラッシュ」と化した私は、身辺が慌ただしくなった時期と重なったこともあって、ローカルLLMという言葉からしばし遠ざかることになりました。

諦めたらそこで終わり

状況が一転したのは今月で、たまたま見つけた先人の記事。

AMDの第２世代NPUで動作するLLM基盤に衝撃を受けて興奮が止まらないお話 #Windows – Qiita

記事の公開日は8月。なんと！私が別件で右往左往していた夏の間に状況が変わっていたようで、鼻息荒く早速やってみました。

検証機スペック

ThinkPad T14s Gen6、OSはWindows 11 Pro 24H2です。セールのタイミングだったのと、営業さんとの交渉でかなり安価に入手できました。

余談ですが、このマシンはアイキャッチ画像にしているもので、スキンシールはPDA工房さま製です。パームレスト部分もオーダーで作っていただいた同素材のものを貼っていて、とても気に入っています。

構築手順

まずはNPUドライバーのバージョンを確認しましょう。「FastFlowLM」のQuick Startにはこのようにあります。

Important

⚠️ Ensure NPU driver verison is >= 32.0.203.311 (check via Task Manager→Performance→NPU or Device Manager).

デバイスマネージャーをチェックしましょう。

こちらはアップデート後のキャプチャです。

FLMのインストーラーをダウンロードします。なお、FLMはライセンスが2つに分かれており、ランタイム部分はMIT、バイナリ部分は「FastFlowLM Proprietary Binary License Agreement」となっています。年間収益1000万米ドルまでは商用ライセンス不要で、米国デラウェア州法が適用されます。利用前に必ずご自身で内容を確認ください。

FastFlowLMのインストーラーをダウンロードしましょう。

インストーラーを実行します。ボタンポチポチだけで大丈夫です。

↑いうまでもありませんが、I accept the agreementを選んでくださいね・・・

ここまででFLMを使う準備は整っていますが、Lemonadeがあるとさらに簡単に使えますのでインストールしましょう。GitHubのリポジトリはこちら。

NPU、AMD Ryzen AI 300 series。この文字が見られる日を待ちわびておりました。

では、インストーラーをダウンロードしましょう。

GitHub – lemonade-sdk/lemonade: Lemonade helps users run local LLMs with the highest performance by configuring state-of-the-art inference engines for their NPUs and GPUs. Join our discord: https://discord.gg/5xXzkMu8Zk

こちらもボタンポチポチで進めていきます。

ポップアップが見えたらLemonade起動完了です。これで準備が整いました。

いよいよローカルLLMとご対面！

せっかくなら少しでも性能の良いモデルを試してみたいので、ここではgpt-oss-20bを動作させることを目標に進めていきます。

FLMのインストールが終わったときに、デスクトップへアイコンが2つ作られています。このうち「flm serve」をダブルクリックして実行します。

コマンドプロンプトが起動し、デフォルトモデルのllama3.2:1bのダウンロードが始まります。

軽量モデルですので直ぐにダウンロードは終了し、FLMの準備が整います。このコマンドプロンプトは開いたままにしておきましょう。

次に、タスクトレイにあるLemonadeのアイコンを右クリック→Model Managerを選択します。

ブラウザが起動しlocalhost:8000/webapp.html#model-managementが表示された、左ペインにある「FastFlowLM NPU」を選択します。

右ペインからgpt-oss-20b-FLMを探し、下向き矢印のアイコンをクリックしてモデルをダウンロードしましょう。インストーラーをデオフォルトで進めた場合はドキュメントにモデルが保存されます。

ダウンロードが完了するとモデルを起動するロケット？のアイコン、モデルを削除するゴミ箱のアイコンが表示されます。

参考までに、llama-3.2-1B-NPU2が保存されたフォルダのサイズが1.21GBに対し、GPT-OSS-20B-NPU2が保存されたフォルダのサイズは13.4GBでした。脳ミソは大きい方が高性能ということでしょうか。

では、先ほどのロケット？のアイコンをクリックしてからLLM Chatへ移動します。右上のモデルがgpt-oss-20b-FLMになっています。

ここでは「あなたはローカルLLMで、利用時はインターネット接続不要ですか？また、あなたはどのように私を助けてくれますか？できるだけ正確に答えてください。」と聞いてみます。タスクマネージャーでNPUのゲージが動くことも見逃せません。

いかがでしょうか。大規模言語モデルが目の前のラップトップで動いている・・・なんたるロマン。ようやくAIの夜明けを迎えた気分です。

他と比べてどうか

性能や応答速度をChatGPTやClaude、CopilotといったクラウドAIと比べるのは、そもそもの機材スペックがどれだけ違うかという話なので、比べること自体がナンセンスであります。

では、たとえばMacと比べるとどうかと言われれば、同じ質問で試して4倍弱時間がかかっています。ollama+gpt-oss-20bをメモリ24GBのM4 Proで動作させるとこんな感じです（こちらはCLIで動かしていますので、比較では無く参考ということで）。アクティビティモニタの値もなんとなく見てみます。

個人的に思うことは以下の通りです。

• 出力速度は確かに速いが、速すぎて見づらい感ある
• Copilot+ PCはNPUのさらなる高性能化を期待
• Appleシリコンすごい

まとめ

比べれば遅いとはいえCopilot+ PCでNPUを使ったローカルLLM、十分実用的な速度で動作していると思います。ちなみに、先ほどの動画収録時の電源とバッテリー設定は「最適な電力効率」で、ファンもほぼ回らず静かなまま。NPUってやっぱりすごいんだなあと思います。餅は餅屋です。

かつてと比べればMac環境も増えたけれど、世の中のシェアでいえば圧倒的に多いWindowsユーザーの選択肢が増えたこと、これは普通にうれしいです。もっともっとこういうことが簡単にできるようになると良いですね。夜は明けたので、陽が昇るのはこれからかな？

SCは今年発売されたばかりのモデルなので、マイナーチェンジがあるとしても、むこう数年はなにかしらの参考にしていただけるのではと思います。

購入機のスペック

• 外寸　　幅 約273.2mm×奥行き 約208.9mm×高さ 約19.9mm
• 重量　　約0.949kg（付属バッテリーパック装着時）
• CPU　　Core™ Ultra 7 プロセッサー 255H
• メモリ　64GB LPDDR5X SDRAM
• SSD　　1TB
• モデム　無し

CF-SC6を選んだ理由

主業務とモバイル兼用。デスクでは外付けモニタを常時使っているので、モバイル環境を優先して小型軽量機をターゲットにしました。

64GBモデルは非常に高価ですが人気があるようで、注文から納品まで50日近く要しました。

プレミアムエディションだからモノが良いのか

「プレミアムエディションだから作りがすばらしい」的な意見を聞くことがありますが、作り自体はプレミアムエディションもスタンダードモデルも変わらないと思っています。スタンダードモデルも丁寧に組み上げられているので、何の心配も要りません。

では、価格差の原因はなにかといえば、単純に選べるスペックと保証内容の差で、私はこれまでThinkPadを長く使ってきましたが、プレミアムエディションと同等クラスのモデル・保証を選択すると、おおよそ同じような価格帯になります。

しかし、保証に対する考え方は人それぞれです。たとえば、個人の場合は月額制で複数のデバイスを保証する保険もありますので、そちらでカバーしたいという方がおられるかもしれません。また、スペックも「CPUはCore Ultra 5で良いけれど、メモリはもうちょっと欲しい」とか、より柔軟に選択したい方がおられるかもしれませんが、今のところそれは叶いません。

スペックと保証内容は自由に選べる方が、多くのユーザーにとってはありがたいだろうと思います。

いざ、開梱

この段ボールを設計する人、すごいなあと感心します。自分で設計・作成できたら楽しそう・・・

天板側はSVやSZの頃と比べるとスッキリしていますね。SRと比べるとヒンジの形状が変わっているのが分かります。

バッテリーがスライダーを使った脱着式からネジ止め式に変わりました。これによりバッテリー容量が大きくなり、本体の堅牢性向上にも寄与しているそうです。

ドライバーが無いとバッテリー交換できないじゃないかという意見もありますが、ドライバーを持っていたとて、セカンドバッテリー搭載機でなければ、バッテリーを交換するためには一度PCをシャットダウンしなければなりません。

今は電源を使えるカフェが増えたり、客先でもコンセントをお借りできることが多くなりました。そう考えると、その日の行動にあわせて小型のアダプタなりモバイルバッテリーを持ち歩く方が、スペアバッテリーを持ち歩くよりもメリットが大きいように感じます。

とはいえ、携行品に制限がある場合もあるでしょうから、ドライバーを使わずに脱着できるとより多くの人にとって好ましいだろうと思います。

電源投入前所感

初回電源投入時はアダプタ接続必須です。本体との接続は従来のバレル型からType-C(PD)になりました。汎用性があってこれはこれで良いのですが、資料などを置く場所確保と、USBポートは外部機器用に空けておきたい派なので、自宅ではアマゾンで購入したバレル型のケーブルに付け替えています。

ZEKE 充電ケーブル レッツノート(Panasonic)用 パソコン PD Type-C – DCプラグ外径5.5mm-内径2.5mm 45W/65W対応 15Vトリガーケーブル 1.5m（アフィリエイトリンクです）

あと、アダプタ本体がレッツノートを模したデザインになりました。小型軽量ですしかわいいなと思うものの、もしこの開発コストで本体価格がいくばくかでも上がったのであれば、従来のアダプタで良かったと思います。

さて、アダプタをつないで電源を入れます。これも話題になっていますが、電源スイッチが本体側面のスライド式からキーボード面のボタン（指紋センサー兼用）に変わりました。

　　

　　電源ボタン兼指紋認証センサー↓　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　

こことか→　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 ←こことか　　　　　　　　　　持つかも　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 持つかも

辛口と称するYouTubeのレビュー動画を見たら、電源ボタンがこの位置になった理由を開発陣から聞いて「ナルホド！」と大げさに納得した感を出しておられました。カバーを開いたままPCを持ち歩くとき、ヒンジ付近をつまんで持つ方がおられるので、誤って電源ボタンに触れてしまわないようあの位置になったのだそうです。

（心の声：それなら、あんな微妙な位置ではなくど真ん中でええやん・・・）

なお、本体前面にあった電源・充電・ストレージのアクセス状況などを示すインジケーターは残されています。

あと、私の買ったモデルはモデム非搭載ですが、搭載機の場合は本体右側面にSIMカードスロットがあります。以前はバッテリーを取り外した奥にありましたが、バッテリーがネジ止め式になったので本体側面へ移動させたのだろうと思います。

SIMカードスロットの蓋が開け閉めしにくいというレビューもありましたが、SIMカードは一度入れたらそうそう取り出すことはないと思うのです（1つのSIMを複数のデバイスで使い回すのでしょうか？）。

「開け閉めし易いか？」という質問に対しては「しにくいです」という答えになるかもですが、私の場合は別に困らないと思います。

電源投入

どうということはなく、見慣れたWindows 11です。

消費電力や排熱はかなり細かく制御されている印象です。レッツノートのファンは騒々しいイメージでしたが、このマシンは比較的静かで、手持ちのThinkPadよりSCの方が一枚上手です。ただ、それはCore UltraとRyzen AIとか、その辺の違いが影響しているのかもしれません。

ちょっとうれしいこと

左手に持ったiPhoneで撮影しました。膝上などではきびしいですが、デスクの上だと片手でカバーを開閉できます。地味に便利です。

キーボードとタッチパッド

IMEのON・OFFキー（半角/全角）はWindowsしか使わない、レッツノートユーザー以外の方にとっては変態的な位置にあると言えます。あと、個人的にはCopilotキー不要で、それなら右Altキーの方がよかったです。

Macを使った経験のある方にとっては、数字の1が左端にあるのはおなじみです。IMEのON・OFFは、変換・無変換キーにアサインするとしっくりくると思います。

これまでのレッツノートと異なり、左下のCtrlとFnの位置が入れ替わりました。重箱の隅をつつけばそれぞれのキーの大きさが違うということになりますが、元々BIOSやユーティリティで入れ替えできたので、私にとっては見た目が変わっただけで使い勝手に影響ありません。

キーボードそのものは剛性感もあって完成度は高いです。キーストロークが2mmあるのはとてもありがたくて、日頃はHHKBを使っていますが、SC本体だけで長時間入力するのもそう辛くありません。少し重ための打鍵感も心地よいです。ただ、キーを打ち付けるように入力する方は、剛性感の高さゆえ少し指が痛くなるかもしれません。

リーフ型キーボード・・・正直その効果がよく分かりません。もしリーフ型になっていないレッツノートがあったなら、比べてみたら違うのでしょうか。

タッチパッドは個人的に10段階評価（10が最高）で6.5か7くらいです。タッチ感がそう気持ちいい訳ではなく、思い通りに動かせるかと言われれば思い通りに動かないときもあって「使える環境ならマウスを使う」、そんな感じです。

あと、ThinkPadを使っているからそう感じるのかもしれませんが、タッチパッドの円形デザインを活かして、クリックボタンを円の下側だけでなく上側にも付けてほしいと思いました。（ThinkPadはタッチパッドの上部にクリックボタンがあります）。

マシンパワー

Visual StudioやVisual Studio Code、Cursorなどを使ったプログラミングやメール・ドキュメント作成は何ら問題ありません。64GBメモリはマルチタスクをおおいに助けてくれます。

NPU搭載のCore Ultra 7 255Hですが、LLMは厳しいと思います。軽量なモデルであれば動作するかもしれませんが、軽快に動くことと実用に値することは別の問題なので、クラウドAIを使いながら効率よく作業するのが吉です。

バッテリーのスタミナ

まだがっつり一日外で作業したことがないのですが、前述の用途であればさほど心配要らないと思います。批判の多い解像度(1920×1280)ではありますが、バッテリーのスタミナには大いに貢献していると思います。

ディスプレイ

昔のレッツノートの液晶は本当に酷かったと思いますが、今のモデルは何の心配も要りません。3:2の縦横比も私は気に入っています。FCはどうして16:10に戻しちゃったのでしょうね？

SCのディスプレイ解像度は1920×1280で、設定の「拡大/縮小」は125%が推奨値です。

ちなみに手持ちの14インチThinkPadはFHDディスプレイで150%が推奨値。不思議なのですが、私にはThinkPadは125%の方が見やすくて、SCは150%の方が見やすいです。

コーディングや文書入力がメインなので、発色で困ったことはありません。一般の方が楽しむ分には、写真の表示もなんら問題ないと思います。

ブラックは汚れが目立つ？

私は悲しいくらい皮脂汚れで悩むタイプです。汚れないか？と言われれば「汚れます」ということになりますが、クロスで拭けば普通に取れます。ThinkPadではちょいちょい無水エタノールが出動しますが、SCではまだそこまで必要を感じていません。

今のところ唯一の不満

キーボードバックライトが無いことです。外出先では手元が暗いことも多いので、これは非常に不便です。消費電力を気にしているとしても、バックライトは任意にON・OFFできますから、これはなんとか実装して欲しかったです。

あと、できればSDカードリーダーは残してほしかったです（セキュリティを気にするならBIOSで止めるとか、他にやり方はあると思うのです）。

まとめ　SCプレミアムエディション、人に勧めますか？

今まで買ったパソコンの中で一番高額な買い物でしたが、ビルドクオリティの高さや手厚い保証もあるので、保証期間内は何の心配も無く使い続けられると思っています。

一方で、このマシンが5年後どのような立ち位置にあるのだろう？と考えることはあります。特に気になるのは、NPUが今後どのようにパソコンの使い方を変えていくかという点です。

たとえば、SCはCopilot+ PCではありません。私としては今のところ、なんとしても手に入れたいCopilot+ PCの機能が一つも無いので困っていませんが、もし数年内に「これは！」と思う機能がCopilot+ PCに実装されたとしたら、SCではそれを使うことができません。

PC調達の別のアプローチとして、安価で必要十分なものを短いスパンで買い換えるという考え方があります。不満がなければそのまま使い続けられますし、あらたに魅力的なモデルが出てきたら、買い換えや買い増しを検討するのも私は悪い選択ではないと思います。

一口にモバイルPCと言っても軽量化に特化したもの、質実剛健なもの、最新スペックを取り入れたもの、スタイリッシュなもの・・・色々あります。軽量化や最新スペックを求めるのであれば、多分レッツノートではないと思います。あと、正直に言えば、使っていてワクワクする類いのマシンでもありません。

では、一体どこが良いのか。

私が思うに「当たり前のことを当たり前にこなす道具」としては最高だと思います。クルマで言うと「走る・曲がる・止まる」がちゃんと出来るクルマ。

買って直ぐ気付く良さというよりも、ある程度使い続けて時間が経ったときに「レッツノート、やっぱり良いな」と、かみしめると言えば大げさですが、しみじみ感じるようなものかもしれないと思います。

ご興味をお持ちの方、安心してお求めください！

ちょっと指がむくんで辛かったので、別の指に付け替えたらいつの間にかすっぽ抜けて無くなっていたというオチです＿|￣|○

Apple Watchを手に入れたのは、コロナでマスク着用が日常となった頃でした。当時のiPhoneではマスクをしているとFace IDが動作せず、都度マスクをずらすかパスコードの入力が必要でとても不便だったんですよね。

その頃、Apple Watchを着用しているとFace IDなしでもロックを解除できることを知って購入に至りました。それより前からApple Watchを認知してはいたのですが、この時に購入を決心したのです。

なぜ決心が必要だったか

気にはなっていたもののずっと購入を見送っていたApple Watch。なぜかというと気に入って使っていた腕時計があったからです。当時で15年くらい？ほぼ毎日着用していた機械式の腕時計。べらぼうにいいやつとかではなく、ただ純粋に気に入って使っていたものです。

相棒も使いたい・・・試してみた

両腕に時計をつける「本田圭佑巻き」と呼ばれるスタイルを試した時期もあったのですが、あれは本田圭佑さんだからサマになるのだと思います。私がやると「ただの頭がイッてる人」でした。

やっぱり相棒が気になる

それから数年経ってApple Watchとの生活もすっかり日常となりました。入浴のタイミングで充電するのに取り外すくらいで、それ以外はほぼ着用しっぱなし。心拍数をはじめとするバイタルサインをモニタできるのは、たとえそれが目安程度のものであっても結構重宝しました。そういえば会議なんかで発言するときは心拍数が高くなっているお知らせがよく届いてたっけｗ

でも、腕に巻かれることなく机の上で出番を待ち続ける相棒の姿を見ると「やっぱりこっち使いたいなあ・・・」と、そんな気持ちになるのでした。

そして、スマートリングが気になる

たまにApple Watchを外して相棒を腕に巻くと「そうそう、これこれ」といった感が即座に訪れるのですが、体をモニタしてくれるものが無くなったことへの不安もあったりしました。自分の体のことを後回しにしてしまいがちなので、年齢的にも客観的な視線で体調をモニタしてくれる存在を求めていた、というところかと思います。

そして、いつしか気付けばスマートリングへ意識が向くようになっていました。どことなくゴツたらしいイメージで敬遠していたのですが、知人が使っているのをみると意外にそうでもなくて・・・これだったら使ってみてもいいかなと思うようになったのでした。

Amazfit Helio RIng購入

それでも少し迷ったけれど、長年気になっていたことを解消できるのであればと購入したのがAmazfit Helio RIngです（以下はアフェリエイトリンク）。

Amazon.co.jp

sandambara.com

ラッキーなことに丁度私が購入するタイミングで１万５千円近く値下がりしました。近々新しいモデルが発売されるのかもしれないですが、どうあがいてもApple Watchよりもできることは少ないガジェットなので、あまり資金を投入したくなかったので本当に助かりました。

長くなったので使ってみた感想など含め、続きは次回に。

歴史的な円安となっては価格的なメリットはあまり無い気もしますが、「ドメイン原価」が変な角度で突き刺さって「Cloudflare使ってるんだよね」と言いたいだけでドメイン移管しました。

お名前ドットコムでの更新日は1月25日。移管したのは12月31日で（comドメインだと15日以上残日数があればOK）、サポートが手薄な時期に切り込むあたり後先考えない性分が如実に表れていると言えます。

やる事のまとめ

全体の流れをつかみ辛い気がしたのでまとめておきます。

• Cloudflareにアカウント作成（FreeプランでOK）
• Cloudflareにクレジットカード登録
• 対象ドメインのネームサーバーをCloudflareに変更（重要！）
• お名前ドットコムでwhois情報公開代行設定解除
• お名前ドットコムでAuthCode取得
• Cloudflareで移管手続き開始
• お名前ドットコムからトランスファー申請確認メールが届く
• 移管完了

ハマりポイント

サイトが日本語化対応してくれているので難易度はそう高くないと思いますが、分かり辛かったのはあらかじめ対象ドメインのネームサーバーをCloudflareへ切り替えが必要なことです。これを後回しにするといつまでもステータスが保留のまま先へ進まないので、移管に関係なく先にアカウントを作ってCloudflareへ向けておくのがいいかもしれません。

準備が必要なこと

お名前ドットコムのサイト内全般、何がどこにあるか分かりにくいうえ広告が邪魔で作業を進めにくいですから、あらかじめ目的となるページを抑えておくのがよいかもしれないと感じました。マストとなるアクションはwhois情報公開代行の無効化とAuthCodeの取得です。

あと、ドメイン移管をやろうとするような人には大した問題ではないと思いますが、お名前ドットコムのネームサーバーをそのまま使っていた人はCloudflareへ切り替えが必要ですので、そこも確認しておきましょう。

もう一つ、お名前ドットコムのサイト内で他社への移管状況を確認できるページがありますが、ステータスが変わるタイミングでメールが届きます。逆の言い方をすればメールが来ないうちはステータスが変わりませんので、リロードするだけ無駄ですからここを見る必要は無いと思いました。

なぜ弊サイトが死んだか

下調べなしで作業突入する方が悪いのですが、移管手続きが終わってめでたしめでたしではありませんでした。弊サイトにアクセスできなくなってしまいました。

最初に出たエラーは「リダイレクト回数が多すぎます」です。これを解決するには2つのアクションが必要でした。

Cloudflareのダッシュボード→SSL/TLS→概要をたどると「暗号化モードを設定する」という画面が表示され、初期値は「自動SSL/TLS」です。これを「カスタムSSL/TLS」へ変更し、さらにその中から「フル（厳密）」を選択する必要がありました。

もう一つはDNSのプロキシステータスを「DNSのみ」に変更が必要でした。同じくダッシュボード→DNS→レコードを確認します。

この部分、初期値ではこうなっています。

この2つを変更することで無事サイトが表示されるようになりました。

管理画面にアクセスできない

念のためにと管理画面へアクセスしたら403で死んでおり、ここは直感的にWAFの影響を受けているのだろうと思いました。

ダッシュボード→WAF→セキュリティ→ツールへ移動し、自宅のグローバルアドレスをホワイトリストに登録しました。

移管手続き開始からここまで約1.5時間、ようやくメデタシメデタシです。

意外だったこと

Cloudflareはデフォルトでwhois情報公開代行が有効となりますが、Registrant CountryとRegistrant State/Provinceは公開されます。私の場合は特に問題ありませんが、完全匿名ということにはならないようです。

学び

色々ちゃんと下調べしましょう。

WinMergeのような優れものもありますが、手っ取り早く複数のファイルの中身が同じか確認できるコマンドがあります。

テスト用に2つのテキストファイルを用意しました。いずれも中身は「sandambara」とだけ書かれたファイルです。

コマンドプロンプトを起動し、以下のコマンドを実行します。

certutil -hashfile <filename>

先ほどのsandambara-1.txtを<filename>の箇所に入力します。

C:\>certutil -hashfile C:\sandambara-1.txt
SHA1 ハッシュ (対象 C:\sandambara-1.txt):
f3e1ad4bd2dcb9489d34ac96318c228bea4aa5e8
CertUtil: -hashfile コマンドは正常に完了しました。

続いてsandambara-2.txtのハッシュ値を調べてみましょう。

C:\>certutil -hashfile C:\sandambara-2.txt
SHA1 ハッシュ (対象 C:\sandambara-2.txt):
f3e1ad4bd2dcb9489d34ac96318c228bea4aa5e8
CertUtil: -hashfile コマンドは正常に完了しました。

sandambara-1.txtとsandambara-2.txtのハッシュ値を比べてみます。

sandambara-1.txt:f3e1ad4bd2dcb9489d34ac96318c228bea4aa5e8
sandambara-2.txt:f3e1ad4bd2dcb9489d34ac96318c228bea4aa5e8

ファイル名は異なりますがハッシュ値は同じですので同一ファイルと言えます。では、sandambara-1.txtをコピーして別ディレクトリへ保存し、sandambaraの文字列の後ろに半角スペースを一つ足したものと比べてみましょう。

C:\>certutil -hashfile C:\sandambara\sandambara-1.txt
SHA1 ハッシュ (対象 C:\sandambara\sandambara-1.txt):
ec875200f766256704b685ab48fe14d5d1ba6eb5
CertUtil: -hashfile コマンドは正常に完了しました。

ハッシュ値を見てみます。

オリジナル　　　：f3e1ad4bd2dcb9489d34ac96318c228bea4aa5e8
半角スペースあり：ec875200f766256704b685ab48fe14d5d1ba6eb5

ファイル名は同じですが半角スペースを付与したものはハッシュ値が異なります。また、ハッシュ値を求める際にディレクトリの違いは影響しませんので、2つのファイルの中身は異なると言えます。

このコマンドは<filename>の後ろに引数でアルゴリズムを指定できます。これは先ほどの半角スーペースありファイルをsha256でハッシュ化した値です。

sha256:9f3684650a4bbb2f9547c44d9291ac0476592863566cafa6e4d298d014fa36f1

当たり前ですが先ほどのハッシュ値(sha1)とは値が異なります。

sha1  :ec875200f766256704b685ab48fe14d5d1ba6eb5
sha256:9f3684650a4bbb2f9547c44d9291ac0476592863566cafa6e4d298d014fa36f1

何かの時に役立つかもしれないので、知っておいて損は無いコマンドです。あと、certutilは他にもたくさん引数がありますので、是非深掘りしてみてください！

C:\>certutil -?

動詞:
  -dump             -- 構成情報またはファイルをダンプします
  -dumpPFX          -- PFX 構造をダンプします
  -asn              -- ASN.1 ファイルの解析

  -decodehex        -- 16 進エンコード ファイルをデコードします
  -decode           -- Base 64 エンコード ファイルをデコードします
  -encode           -- ファイルを Base 64 にエンコードします

  -deny             -- 保留中の要求を拒否します
  -resubmit         -- 保留中の要求を再送信します
  -setattributes    -- 保留中の要求の属性を設定します
  -setextension     -- 保留中の要求の拡張機能を設定します
  -revoke           -- 証明書を失効します
  -isvalid          -- 現在の証明書のディスポジションを表示します

  -getconfig        -- 既定の構成の文字列を取得します
  -ping             -- Active Directory 証明書サービスの要求インターフェイスを PING します
  -pingadmin        -- Active Directory 証明書サービスの管理者インターフェイスを PING します
  -CAInfo           -- CA 情報を表示します
  -ca.cert          -- CA の証明書を取得します
  -ca.chain         -- CA の証明書チェーンを取得します
  -GetCRL           -- CRL を取得します
  -CRL              -- 新しい CRL を公開します [または Delta CRL のみ]
  -shutdown         -- Active Directory 証明書サービスをシャットダウンします

  -installCert      -- 証明機関の証明書をインストールします
  -renewCert        -- 証明機関の証明書を更新します

  -schema           -- 証明書スキーマをダンプします
  -view             -- 証明書の表示をダンプします
  -db               -- 未処理データベースをダンプします
  -deleterow        -- サーバー データベースの行を削除します

  -backup           -- Active Directory 証明書サービスのバックアップを作成します
  -backupDB         -- Active Directory 証明書サービス データベースのバックアップを作成します
  -backupKey        -- Active Directory 証明書サービスの証明書と秘密キーのバックアップを作成します
  -restore          -- Active Directory 証明書サービスを復元します
  -restoreDB        -- Active Directory 証明書サービス データベースを復元します
  -restoreKey       -- Active Directory 証明書サービスの証明書と秘密キーを復元します
  -importPFX        -- 証明書および秘密キーをインポートします
  -dynamicfilelist  -- ダイナミック ファイル リストを表示します
  -databaselocations -- データベースの場所を表示します
  -hashfile         -- ファイルに暗号化ハッシュを生成し表示します

  -store            -- 証明書ストアをダンプします
  -enumstore        -- 証明書ストアを列挙する
  -addstore         -- 証明書をストアに追加します
  -delstore         -- 証明書をストアから削除します
  -verifystore      -- ストアの証明書を確認します
  -repairstore      -- キーの関連付けの修復、または証明書プロパティやキーのセキュリティ記述子の更新を行います
  -viewstore        -- 証明書ストアをダンプします
  -viewdelstore     -- 証明書をストアから削除します
  -UI               -- CryptUI を呼び出します
  -attest           -- キーの構成証明要求を確認します

  -dsPublish        -- 証明書または CRL を Active Directory に公開します

  -ADTemplate       -- AD テンプレートの表示
  -Template         -- 登録ポリシー テンプレートの表示
  -TemplateCAs      -- テンプレートの CA を表示します
  -CATemplates      -- CA のテンプレートを表示します
  -SetCASites       -- CA のサイト名の管理
  -enrollmentServerURL -- CA に関連付けられた登録サーバーの URL を表示、追加、または削除します
  -ADCA             -- AD CA の表示
  -CA               -- 登録ポリシー CA の表示
  -Policy           -- 登録ポリシーの表示
  -PolicyCache      -- 登録ポリシー キャッシュ エントリを表示または削除します
  -CredStore        -- 資格情報ストアのエントリを表示、追加または削除します
  -InstallDefaultTemplates -- 既定の証明書テンプレートをインストールする
  -URLCache         -- URL キャッシュ エントリを表示または削除します
  -pulse            -- パルス自動登録イベントまたは NGC タスク
  -MachineInfo      -- Active Directory コンピューター オブジェクト情報を表示します
  -DCInfo           -- ドメイン コントローラー情報を表示します
  -EntInfo          -- エンタープライズ情報を表示します
  -TCAInfo          -- CA 情報を表示します
  -SCInfo           -- スマート カード情報を表示します

  -SCRoots          -- スマート カード ルート証明書の管理

  -DeleteHelloContainer -- Hello ログオン コンテナーを削除します。
     ** このオプションを使用した後、削除を完了するには、サインアウトする必要があります。**
  -verifykeys       -- 公開/秘密キー セットを確認します
  -verify           -- 証明書、CRL、またはチェーンを確認します
  -verifyCTL        -- AuthRoot または Disallowed Certificates CTL を検証します
  -syncWithWU       -- Windows Update と同期します
  -generateSSTFromWU -- Windows Update から SST を生成します
  -generatePinRulesCTL -- 暗証番号ルールの CTL を生成します
  -downloadOcsp     -- OCSP 応答をダウンロードし、ディレクトリに書き込みます
  -generateHpkpHeader -- 指定されたファイルまたはディレクトリの証明書を使用して HPKP ヘッダーを生成します
  -flushCache       -- lsass.exe などの選択したプロセスで、指定したキャッシュをフラッシュします
  -addEccCurve      -- ECC 曲線を追加します
  -deleteEccCurve   -- ECC 曲線を削除します
  -displayEccCurve  -- ECC 曲線を表示します
  -sign             -- CRL または証明書に再び署名します

  -vroot            -- Web 仮想ルートとファイルの共有を作成または削除します
  -vocsproot        -- OCSP Web プロキシの Web 仮想ルートを作成または削除します
  -addEnrollmentServer -- 登録サーバー アプリケーションを追加します
  -deleteEnrollmentServer -- 登録サーバー アプリケーションを削除します
  -addPolicyServer  -- ポリシー サーバー アプリケーションを追加
  -deletePolicyServer -- ポリシー サーバー アプリケーションを削除
  -oid              -- ObjectId の表示、または表示名の設定をします
  -error            -- エラー コード メッセージ テキストを表示します
  -getreg           -- レジストリ値を表示します
  -setreg           -- レジストリ値を設定します
  -delreg           -- レジストリ値を削除します

  -ImportKMS        -- キーのアーカイブのユーザー キーおよび証明書をサーバー データベースにインポートします
  -ImportCert       -- データベースに証明書ファイルをインポートします
  -GetKey           -- アーカイブされた秘密キーの回復 BLOB の取得、回復スクリプトの生成、
      またはアーカイブされたキーの回復を行います
  -RecoverKey       -- アーカイブされた秘密キーを回復します
  -MergePFX         -- PFX ファイルの結合
  -ConvertEPF       -- PFX ファイルを EPF ファイルに変換します

  -add-chain        -- (-AddChain) 証明書チェーンの追加
  -add-pre-chain    -- (-AddPrechain) 前証明書チェーンの追加
  -get-sth          -- (-GetSTH) 署名付きツリー ヘッドの取得
  -get-sth-consistency -- (-GetSTHConsistency) 署名付きツリー ヘッド変更の取得
  -get-proof-by-hash -- (-GetProofByHash) ハッシュによる照明を取得する
  -get-entries      -- (-GetEntries) エントリを取得する
  -get-roots        -- (-GetRoots) ルートを取得する
  -get-entry-and-proof -- (-GetEntryAndProof) エントリと照明を取得する
  -VerifyCT         -- 証明書の SCT を検証する
  -?                -- この使用法のメッセージを表示します


CertUtil -?              -- 動詞の一覧 (コマンドの一覧) を表示します
CertUtil -dump -?        -- "dump" 動詞のヘルプ テキストを表示します
CertUtil -v -?           -- すべての動詞のヘルプ テキストをすべて表示します

CertUtil: -? コマンドは正常に完了しました。

環境

• Windows11(22H2)
• Windws Server 2022 Standard(21H2)

いずれもDebian11で動かしているVirtual Box上の仮想マシンです。

新バージョンのPostgreSQLインストール

今回私は14.7を選択しました（15はスキーマの取り扱いが変わるのでまたの機会に）。いずれのプラットフォームでもこちらから入手できます。

ダウンロード

ダウンロードリンク PostgreSQLのWindows インストーラ、Linux ディストリビューション・パッケージ、ソースアーカイブ等のサイトへのリンク集です。

www.postgresql.jp

この後の作業で新旧両方のDBを並行稼働させますから、新DBのポート番号は旧DBと異なるポート番号を指定しましょう。

pg_hba.conの編集

移行元・移行先ともpg_hba.confのMETHODを全てtrustに変更します。変更前にオリジナルのバックアップを忘れないようにしましょう。あと、サービスの再起動もお忘れなく。

作業用ディレクトリ作成

旧DBの内容を取り出し保存する先を作成します。今回私はCドライブ直下にworkというフォルダを作りEveryoneフルコントロールとしました。

pg_upgrade実行

ここまでの準備だけで引っ越し作業をまるっと行ってくれるpg_upgrade.exeという非常に便利なツールがあります。

あとはこれを実行するだけです。

pg_upgrade

www.postgresql.jp

公式ドキュメントでは上記のように記述されていますが、コマンドプロンプトを管理者として実行し、下記要領でユーザー名を指定して実行すればうまくいきました。

pg_upgrade -U postgres -d 旧データベースクラスタのパス -D 新データベースクラスタのパス -b 旧データベースbinディレクトリのパス -B 新データベースbinディレクトリのパス

その際、先ほど作成した作業用ディレクトリへ移動してから実行します。私の環境ではこんな感じです。

cd C:\work
"C:\Program Files\PostgreSQL\14\bin\pg_upgrade.exe" -U postgres -d "C:\Program Files\PostgreSQL\9.6\data" -D "C:\Program Files\PostgreSQL\14\data" -b "C:\Program Files\PostgreSQL\9.6\bin" -B "C:\Program Files\PostgreSQL\14\bin"

ターンッ（Enterキー）

整合性チェックを実行しています。
-----------------------------
Checking cluster versions                                   ok
Checking database user is the install user                  ok
Checking database connection settings                       ok
Checking for prepared transactions                          ok
Checking for system-defined composite types in user tables  ok
Checking for reg* data types in user tables                 ok
Checking for contrib/isn with bigint-passing mismatch       ok
Checking for user-defined encoding conversions              ok
Checking for user-defined postfix operators                 ok
Checking for incompatible polymorphic functions             ok
Checking for tables WITH OIDS                               ok
Checking for invalid "sql_identifier" user columns          ok
Checking for invalid "unknown" user columns                 ok
Creating dump of global objects                             ok
Creating dump of database schemas
                                                            ok
Checking for presence of required libraries                 ok
Checking database user is the install user                  ok
Checking for prepared transactions                          ok
Checking for new cluster tablespace directories             ok

この後pg_upgradeが失敗した場合は、続ける前に新しいクラスタを
initdbで再作成する必要があります。

アップグレードを実行しています。
------------------
Analyzing all rows in the new cluster                       ok
Freezing all rows in the new cluster                        ok
Deleting files from new pg_xact                             ok
Copying old pg_clog to new server                           ok
Setting oldest XID for new cluster                          ok
Setting next transaction ID and epoch for new cluster       ok
Deleting files from new pg_multixact/offsets                ok
Copying old pg_multixact/offsets to new server              ok
Deleting files from new pg_multixact/members                ok
Copying old pg_multixact/members to new server              ok
Setting next multixact ID and offset for new cluster        ok
Resetting WAL archives                                      ok
Setting frozenxid and minmxid counters in new cluster       ok
Restoring global objects in the new cluster                 ok
Restoring database schemas in the new cluster
                                                            ok
ユーザーリレーションのファイルをコピーしています
                                                            ok
Setting next OID for new cluster                            ok
Sync data directory to disk                                 ok
Creating script to delete old cluster                       ok
Checking for hash indexes                                   ok
Checking for extension updates                              notice

環境にALTER EXTENSIONコマンドで更新すべき機能拡張があります。以下のファイル
    update_extensions.sql
を、psqlを使用してデータベースのスーパーユーザーとして実行することで、これらの機能拡張
が更新されます。


アップグレードが完了しました
----------------
オプティマイザーの統計情報は、pg_upgrade では転送されません。
新サーバーを起動した後、以下のコマンドを実行することを検討してください:
    C:/Program Files/PostgreSQL/14/bin/vacuumdb -U postgres --all --analyze-in-stages

このスクリプトを実行すると、旧クラスタのデータファイル delete_old_cluster.batが削除されます:


c:\work>

後はupdate_extensions.sqlとvacuumdbの実行だけですが、これらを実行する前に新DBのpostgresql.confを編集してポートを5432へ戻しておきます。このタイミングでpg_hba.confを修正しても問題ありませんが、他から繋ぎに来られる可能性があるのであれば後回しにしましょう。

update_extensions.sql実行

ここまでの作業でサービスは停止していますので、ポートを変更したらサービスを起動します。update_extensions.sqlの中身は「ALTER EXTENSION “adminpack” UPDATE;」だけですのでpostgresでログインして直接実行しても構いません。

vacuumdb実行

後はvacuumdbの実行です（DB名を***で伏せています）。

c:\work>"C:/Program Files/PostgreSQL/14/bin/vacuumdb" -U postgres --all --analyze-in-stages
vacuumdb: データベース"***"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"postgres"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"template1"の処理中です: 最適化のための情報を最小限生成します(1対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"postgres"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"template1"の処理中です: 最適化のための情報を複数生成します(10対象)
vacuumdb: データベース"***"の処理中です: 最適化のための情報をデフォルト数(全て)生成します
vacuumdb: データベース"***"の処理中です: 最適化のための情報をデフォルト数(全て)生成します
vacuumdb: データベース"***"の処理中です: 最適化のための情報をデフォルト数(全て)生成します
vacuumdb: データベース"***"の処理中です: 最適化のための情報をデフォルト数(全て)生成します
vacuumdb: データベース"***"の処理中です: 最適化のための情報をデフォルト数(全て)生成します
vacuumdb: データベース"postgres"の処理中です: 最適化のための情報をデフォルト数(全て)生成します
vacuumdb: データベース"template1"の処理中です: 最適化のための情報をデフォルト数(全て)生成します

c:\work>

この作業は旧DBのデータベースクラスタ削除を含んでいます。「このスクリプトを実行すると、旧クラスタのデータファイル delete_old_cluster.batが削除されます:」の日本語は微妙で「このスクリプトを実行すると、delete_old_cluster.batが旧クラスタのデータファイルを削除します:」と書きたかったのでしょうね。

後は動作確認を済ませて終了です！

WSL2インストール

PowerShellを起動しコマンド一発です。拍子抜けするほど簡単でした。

wsl --install

このコマンドですとUbuntuがインストールされます。Ubuntuで良い場合はこれでOKなのですが、私はPostgreSQLを慣れた環境で使いたかったのでRHEL系を探してみました。

wsl --list -o

利用可能な一覧が表示されます。

OracleLinux8.5で作ることにしました。

wsl --install -d OracleLinux_8_5

インストールが始まり少し待つと別ウインドウでOracleLinuxが表示されます。ユーザー名とパスワードを入力するとインストール完了です。なんとも簡単です。

要るものを最初に入れる

後の作業で必要になるものや自分が使いやすいエディタを忘れないうちに入れておきます。キャプチャは取っていませんがdnf updateもやっておきましょう。この記事を作ったときはやり忘れていました（あはっ）。

sudo dnf install epel-release

sudo dnf install nano htop neofetch

neofetchは完全に個人的な趣味ですw

最初にやること（systemdを使えるようにする）

WSL環境ではsystemctlを使おうとすると「System has not been booted with systemd as init system (PID 1).」とお𠮟りを受けます。そのまんまで「systemdがPID1じゃない」ということなのですが、これを恒久的に解消するための作業を最初に行います。出でよ、ジェニー！

wget https://github.com/arkane-systems/genie/releases/download/v1.36/genie-1.36-1.fc33.x86_64.rpm

sudo dnf install genie-1.36-1.fc33.x86_64.rpm

ここでpsコマンドを使って状況を見てみましょう。

では、genieを初期化→開始します。

genie -i

ちょっと時間がかかるので気長に待ちましょう。

そして・・・

genie -s

再度psコマンドを実行してみましょう。

これでめでたくsystemctlを使えるようになったのですが、このままではwslを再起動するとまた元に戻ってしまいますので対処します。

nano ~/.bashrc

ここの末尾へ追記します。

if [ "`ps -eo pid,lstart,cmd | grep systemd | grep -v -e grep -e systemd- | sort -n -k2 | awk 'NR==1 { print $1 }'`" != "1" ]; then
  genie -s
fi

こんなふうにしておきます。

と、ここまで来て「WSLの再起動ってどうするんだろ？」と思ったら一度wslを落としてしまうんですね。PowerShellに戻って実行してください。

wsl --shutdown

これで再度WSLを起動させればOKです。genie -iのときと同じように「！」がいっぱい表示されます。

これで何を意識しなくてもsystemctlを使えるようになりました。先人たちの記事がとても参考になりました。感謝！です。

PostgreSQL15のインストール

以前の記事ではソースコードからコンパイルしました(PostgeSQL10)。

コピペ対応！PostgreSQLをソースコードからインストールする

今日は私が愛用するデータベース、PostgreSQLをソースコードからインストールしていこうと思います。インストーラーがある時代になぜソースコードからと思われるかもしれませんが、makeしているときの画面がカッコイイからです（単純）注意事項...

sandambara.com

2020.08.12

今回は最新バージョンの15をdnfでインストールしていきます。そのままだと15が入ってくれないので準備を行います。

sudo dnf install https://download.postgresql.org/pub/repos/yum/reporpms/EL-8-x86_64/pgdg-redhat-repo-latest.noarch.rpm

sudo dnf -qy module disable postgresql

sudo dnf install postgresql15-server

これでPostgreSQL15のインストールが終わりました。折角なので設定もしてしまいましょう。

sudo -i -u postgres
/usr/pgsql-15/bin/initdb -D /var/lib/pgsql/15/data

実ははじめWSLをUbuntuで組んだのですが、Ubuntuのポスグレではinitdbが見当たらなくて焦りました。Ubuntuは先日10年サポートの発表もあったので、使い勝手が揃っていると嬉しいですね。

さて、環境変数を設定しましょう。

nano ~/.bash_profile

末尾に加筆します。

export PATH=/usr/pgsql-15/bin/:$PATH
export LD_LIBRARY_PATH=/usr/pgsql-15/lib/:$LD_LIBRARY_PATH
export PGDATA=/var/lib/pgsql/15/data

読み込みなおして完了です。

source ~postgres/.bash_profile

コマンドが通ることを確認しておきましょう！

nano $PGDATA/pg_hba.conf
nano $PGDATA/postgresql.conf
pg_ctl start

Apacheのインストール

ここは普通にdnf installだけで行えます。セキュリティ対策については触れておりませんのでご注意ください。

sudo dnf install httpd
sudo systemctl enable httpd
sudo systemctl start httpd

PHP8のインストール

Apache同様セキュリティ対策には触れていませんのでご注意ください。

まずremiリポジトリを追加します。

sudo dnf install https://rpms.remirepo.net/enterprise/remi-release-8.rpm

デフォルトのバージョンがいくつか見てみます。

sudo dnf module list php

PHP8を入れられるようになりましたので進めます。DBアクセスにはPDOを使いたいので一緒に入れましょう。

sudo dnf module install php:8.0
sudo dnf install php-pdo php-pgsql

動作テスト

テストファイルを作ります。

sudo nano /var/www/html/index.php

ここへ

<?php
phpinfo();

Apacheを再起動してブラウザでlocalhost/index.phpへアクセスしてみましょう。

sudo systemctl restart httpd

DBに適当なテーブルを作ってPDOもぜひ試してみてください。最後までご覧くださって有難うございました！

今回は迷惑メール対策のうち「なりすましメール対策」について、各認証方式の違いを覚え書きとして記しました。

なりすましメール

受信者が不利益・被害を被るケースの一つに「なりすましメール」があげられます。Amazonや楽天、あるいはクレジットカード会社を装ったメールを受け取った経験がある方は多いのではないでしょうか。

以前は本文が露骨に機械翻訳だったり中国語っぽかったりでそれと気づき易かったのですが、最近はパッと見ただけでは分かり辛い巧妙なものも多いですね。

これ以外では「ドメインを詐称する」という手口があります。受信者もなりすましと気付きにくいうえ、個人や企業のアイデンティティであるドメインのイメージが悪化することで被害が大きくなります。

今回登場するSPF・DKIM・DMARCはいずれもこのなりすましを防ぐための認証手段です。

SPF(Sender Policy Framework)

「DNSに登録されているレコードと送信元サーバーのIPアドレス」で真偽判定するのがSPF認証です。

spfには複数のサーバーを登録することが可能で、この仕組みが威力を発揮するのは例えば外部サービスのお問い合わせフォームなどを利用する場合です。サービス提供者側のサーバーをspfへ併記することで、無事なりすましメール判定を回避することができます。

受信したメールのヘッダを見ると「spf=pass」とか「spf=fail」といった記述がありますので、気になるメールがあれば一度チェックしてみましょう。

DKIM(DomainKeys Identified Mail)

DKIM認証はメールに付与された署名が正しいかどうかを判定するもので、下記はメールサーバーで署名する場合のイメージです。

DKIMは送信経路上のいずれかの地点で署名を付与します。外部サーバーからメールを送信する時、署名を付与する仕組みがなければ認証失敗となります。

こちらもSPF同様「dkim=pass」や「dkim=fail」といった記述をヘッダで確認できます。

DMARC(Domain-based Message Authentication, Reporting, and Conformance)

DMARCはSPFやDKIMのような単体の認証方法ではなく、「SPFもしくはDKIMの判定結果」と「アライメント」と呼ばれる判定結果を組み合わせた仕組みです。従って、SPFもDKIMも設定しない状態でDMARCを有効化すると全てのメールが認証に失敗するので注意が必要です。

DMARCの良いところは「認証失敗時にそのメールをどう取り扱うべきかDNSで公開できること」です。これはSPFの登録と同じでTXTレコードへ記述するのですが、「何もしない（none）」「隔離する（quarantine）」「受信拒否する（reject）」から選択できます。

また、受信者側サーバーから認証失敗の通知を受け取ることができますので、視覚的に状況を把握することが可能であることもポイントです（但し、生データはXMLですので何かしらツールが無いとキツイです）。

以上より、DMARCを有効化する際は一先ず「none」でどのようなレポートが上がってくるかを分析し、状況を見て「quarantine」もしくは「reject」へ変更するのが安全です。

まとめ

ドメイン認証はメール送信者側の立場で考えると、なりすましを防ぐだけではなく自ドメインのメールを確実に相手へ届けるために必要な手段でもあります。伝えたいこと・伝えないといけないことが伝わらなかった結果、言った言わないのトラブルになったり信用を失うことは避けねばなりません。できることは是非先に手を打っておきましょう！

2022年10月23日、青空広がる爽やかな日曜日。それは家族で昼食をとっていたときのことでした。

インターネット繋がらないんだけど何かしてる？

ボス

食事の直前まで機嫌よくツイッターを眺めていたのでボスのスマホが調子悪いのだろうと思い、私は目の前のソバに一味をタップリ振りかけながらボスにスマホの再起動を促しました。

軽くむせながらソバを食べていたところへ鶴の一声がかかります。

直ってないなんとかして

ボス

自分のスマホを取り出してみると確かにネットが使えません。なんで？？

ボスの命令は絶対です。ソバを胃袋に流し込み真っ赤に染まった汁を飲み干し、盛大にむせながら私は調査を開始しました。

全セグメントで障害発生

どうせアクセスポイントの調子が悪いんだろうと思って機器本体を眺めてみると、明らかにアカン感じの色を放っているランプを見つけました。「ほら、きっとこいつのせいだ」とすかさず電源OFF・ONしましたが、再起動後もランプの色は変わりません。

安物だったから壊れちゃったか・・・それにしても短命だったなと、古いアクセスポイントを引っ張り出そうとしたのですが、ちょっと気になったので別セグメントのアクセスポイントへスマホを繋ぎ変えてみました。

「・・・ん？」

ダメです。ボスが使うネットワークと同じ症状。アクセスポイントとはつながるのですがネットが一切使えません。他のセグメントも全部ダメ。重障害です。

ルーターの様子を確認してみた

全セグメント死亡。休日昼下がりのイベントとしてはかなりのハードモードです。夜は旧知のメンバーと数年ぶりに宴の約束があるので、なんとしても夕方までには復旧させねばなりません。とりあえずPCを持ってルーター(RTX1210）の元へ向かいました。

「これが死んでたらワイも死ぬ」

祈りながらルーターにログイン試行・・・すんなり入れました。見える範囲で異常はありません。なんだろう？ルーターから一度抜けて、再度各セグメントのアクセスポイントに接続しルーターへアクセスしてみるとこれもOK。LAN側に問題は無いようです。

念のためRTX1210を再起動させてみましたが変化ありませんでした。

sandambara家のネットワーク構成

以前記事にまとめましたが、我が家のネットワークは元々ホームゲートウェイ＋ひかり電話という構成だったところへRTX1210を投入し、その後VLANを作成し現在の構成に至ります。

フレッツ光＋IPoE化でハマった記録

先日自宅用に購入したRTX1210、早速活躍しております。何年も前に仕事でRTX1200を少し触っていたのですが、GUIの充実度や操作レスポンスなど、随分進化したんだなあ・・・と感動してしまいました。我が家のネット環境はフレッツ光隼＋OCN...

sandambara.com

2020.09.18

ここでホームゲートウェイを再起動してみましたがこれも変化なし。電話は普通に使えているのでホームゲートウェイから外の土管も問題無さそうです。

となるとプロバイダがあやしいかもと、OCNについて検索するも障害情報は見当たりません。Twitterでも騒いでいる人はいません。おっかしいなあ・・・

もしかして名前解決できない？

この辺りまできて、以前Cloudflareが死んだことをふと思い出しました。

Cloudflare ブログ

Get the latest news on how products at Cloudflare are built, technologies used, and join the teams helping to build a be...

blog.cloudflare.com

当時は「ふーん」くらいにしか思っていなかったのですが、夏頃にCloudflareのパブリックDNSが早いらしいという記事を見つけ、RTX1210で各セグメントに配布するDNSの値を1.1.1.1にしていたのです。

「http://IPアドレス」だとアクセスできるかも？と考え、とあるサイトにアクセスしてみると・・・普通に表示されました。原因は分かりませんが結論としてDNSが機能していないことが分かったので、ルーターの設定を変更（1.1.1.1→OCNのDNS）して無事解決に至りました。

試しにDNSを切り替えながらnslookupを試してみるとこんな感じでした。

反省会

後から気付いたことですが、少ないながらも同じ症状の方がおられることが分かりました。

この記事を書いている今も真実は闇なのですが、今回の反省点として「セカンダリDNSを設定していなかったこと」が挙げられます。不死身のサーバーなどこの世に存在しないのです。

善は急げ。早速RTX1210のコンフィグを修正しました。

dhcp scope option VLANID dns=1.1.1.1,202.234.232.6

8.8.8.8でも良かったのですが、まあ、1個は標準値（プロバイダの指定値）にしておこうかと。

復旧報

約1時間程度で復旧し、思っていたより傷が浅かったことに安堵しました。夜の宴も予定通りです。

ボスに復旧を伝えました。

あ、LINEちゃんと使えるようになったわ

ボス

その直後に放ったツイートがこちらです。

電気ガス水道インターネット、使えて当たり前ではないのです。「何も無いこと」を提供するために裏で働く人たちへの敬意と感謝を忘れないようにしたいですね（褒められたい）。