さくらのVPSユーザに意識して欲しいことの話

お兄様 @phase_d

さくらのVPS関連のつぶやきやブログ記事を見たり運用してたりすると、アプリとか上層レイヤーばっかり注目されてて、TCP/IPな低層レイヤーのセキュリティがないがしろにされてる疑念を抱くな。

ヤハウェ @yahweh_sa

@phase_d ほう。その見解にいたった理由とどういったセキュリティがないがしろなのか教えてけろ。

お兄様 @phase_d

@yahweh_sa 真面目に考え出したら、結構な連続ツイートになりそうなので、また明日にでもまとめて

ヤハウェ @yahweh_sa

@phase_d 了解。結構興味深いコメントだったので是非

お兄様 @phase_d

というわけで、@yahweh_sa のリクエストにお答えして、さくらのVPSにまつわる周辺事情に対する雑感をつぶやいてみようかな。長くなるので、あとでTogetterするか。

お兄様 @phase_d

前にも少しつぶやいたけど、さくらのVPSを使ってると隣近所からの不審なパケットが思いの外多い。たいていは無害なブロードキャストではあるけど。

お兄様 @phase_d

で、「さくらのVPSで◯◯」系の記事を見ると、いきなりApacheの設定を始めたりして、iptablesとか/etc/hosts.allowとかに触れてないエントリーがたまにあるのが気になる。

お兄様 @phase_d

「さくらのVPSで◯◯」なエントリーは、別にさくらのVPSに特化した内容じゃないことも多いけどねぇ。お前、さくらのVPSって言いたいだけちゃうんかという。

お兄様 @phase_d

触れてる記事があっても、インバウンドを制御する例は多いんだけど、アウトバウンドまで制御する例はあまり見かけないのよね。多少は流派の問題かもしれんけど。ご本尊ですらOUTPUT ACCEPTだし。 http://t.co/5XH3244R

お兄様 @phase_d

まあかくいう俺も気になって後からアウトバウンド制御はするようになったんだけどね。

お兄様 @phase_d

あるいはTwitter経由で流れてくるのを眺めてると、「習作」として借りてみたという人が意外と多そうという感想を持ってしまうのよね。

お兄様 @phase_d

さくらのVPSは習作として使うにはコスト的にもスペック的にも申し分はないんだけど、「自由に使えるグローバルIPアドレスが無防備に提供される」ことがメリットでありリスクであることを忘れないでほしいな。

お兄様 @phase_d

前に使い始めてから数分で怪しいsshアクセスが来たとかそんな話も見たことあった気がするし。

お兄様 @phase_d

特にさくらのIPアドレスはたまに絨毯爆撃のようなポートスキャンが飛んでくることがあるので、穴を残しておくことは非常に危険。ましてや初期状態では完全に素のCentOSが提供されるので、もう無防備なんてもんではない。

お兄様 @phase_d

VPSがどういうユーザ層に人気があるのかを想像すると、Webアプリ屋が多いのかなという気がしてる。で、これは偏見なんだけど、Web屋の人は特にTCP以下の低いレイヤーのことについて知らなかったり理解してないことが多いと思うのよ。

お兄様 @phase_d

ワタクシはインフラ屋なので、逆に高いレイヤーのことはよくわからんけどな。特にPHPとかの言語とかDBの話とかはよくわからんのよ。本当は勉強したいんだけどねぇ。

お兄様 @phase_d

「VPSを運用する」ということは特にL3からL5までの知識と理解が必要なのよ。使い方によってはL7まで知らなきゃいけないけど、L3L4辺りはどうやっても切り離せない。それは自由なグローバルIPアドレスが使えるがゆえ。

お兄様 @phase_d

その辺が忘れ去られたまま、「ひゃっほー、格安で好き勝手にWebアプリ動かせるぜ」という思いで借りてる人が多いんじゃないかなぁという疑念があるわけです。

お兄様 @phase_d

OSI参照モデルの全レイヤーをまんべんなく理解してる人ってのもそうそういないとは思うけどね。だからこそアプリ屋とインフラ屋ってのは分業することが多いんだろうし。

お兄様 @phase_d

余談だけど、公開サーバにおいてアウトバウンドパケットって制御すべきなのかなぁ。可能であれば制御すべきだとは思うんだけど、どんなパケットがあるか想定できないと難しいのも事実。

お兄様 @phase_d

というオチのあるんだかないんだかな話。平野綾ないいともTLのこの隙なら言えるぜ、というわけでもないけど。

ヤハウェ @yahweh_sa

@phase_d おお、そういうことかいな。確かにTCPWrapperやiptablesをちゃんと導入時にやるのを紹介してるサイトはないわな。ぶっちゃけ、さくらのIPからアタックは結構聞くんだよね。

お兄様 @phase_d

@yahweh_sa そうなんだよね。さくらは攻撃元にも攻撃先にもどっちにもなりやすいから、タチが悪い。世界中からハニーポットだと思われてるんじゃないかとすら思える。それだけ適当な運用のサーバがいるのかもしれんが。最低限の設定だけで防げはするけどね。