XG FirewallでのSSLインスペクション有効化

XG FirewallでのSSLインスペクションの有効化をしたものの、アップしてなかったので再度の手順確認も含めて記載

参考は以下公式サイト

【Sophos XG Firewall: SSL CA 証明書のインストールガイド】

XG Firewallにログインして【証明書】>【認証局（CA）】タブのページ内にある【SecurityAppliance_SSL_CA】をダウンロード

ダウンロードした証明書をインポートするが、Google Chromeだと云々描いているものの、コントロールパネルのインターネットオプションと行き着く設定画面は同じだった

Google Chrome Ver.80.0.3987.149では【設定】>プライバシーとセキュリティの【もっと見る】でメニュー表示を増やして>【証明書の管理】を開く

【証明書】ダイアログが表示されたら【信頼されたルート証明機関】タブの【インポート】をクリック

ファイル選択ダイアログが表示されるので上でダウンロードした証明書を選択する

拡張子がデフォルトの物と違うので【.*】で全ファイル表示した方がわかりやすい

問題なくインポートされれば一覧にXG Firewallの証明書が表示される

次にWindows 10のスタートボタン横の【ここに入力して検索】欄に【MMC】と入力して【Microsoft Management Console】を起動する

【ファイル】>【スナップインの追加と削除】を開いて【証明書】を選んで真ん中の【追加】ボタンで右側へ追加する

新しいダイアログが表示されるので【コンピュータアカウント】を選んで次へ

移管した画面で【完了】を押してスナップインの一覧を閉じると元の画面に証明書の一覧が表示されている

【信頼されたルート証明書】を右クリックして【すべてのタスク>インポート】から上でダウンロードした証明書をインポートする

無事インポートに成功すればこちらも一覧にXG Firewallの証明書が表示される

インポートが完了したらXG FirewallでSSLインスペクションを有効にする

【保護】>【ファイアウォール】から該当のインターフェース or VLANからWAN（インターネット）抜けのルールを選んで、【Webマルウェアスキャンとコンテンツスキャン】項目の【HTTPSの暗号化解除/スキャン】にチェックを付けて保存する

これでSSLインスペクションが有効化され、httpsのサイト閲覧時も保護が有効になる

一部サイトやダウンロード時に失敗することがあるので、その場合は【保護】>【web】の【例外】タブから【例外リストの追加】で設定する

過去記事

【SSLインスペクション有効時にGoogleDriveに同期できない問題】

フィルムデジタル化用の新しいガジェット

以前Amazonで購入したトレス台のタッチボタンが壊れたようでまったく点灯せず、使い物にならなくなってた

このままだと撮影したフィルムがデータ化できないので、他の商品を探していたところドスパラ（上海問屋）で良さそうなものを見つけた

調光機能付き薄型トレース台 A4タイプ DN-915905

商品としてはAmazonで購入したもの同様のトレース台なのでそもそもフィルムスキャン用の商品ではないが、代替品としては悪くない

店頭で触った感じもタッチスイッチがケーブル側に付いていたので耐久性もありそうだなと思い、他も検討した上でオンラインで注文

実際に届いた商品ではスイッチが物理スイッチにマイナーチェンジされていた
個人的にはこちらの方が信頼性があるのでうれしい誤算だった

とりあえず年末撮影したフィルムを取り込んでテスト
十分明るさもあるし実用範囲内かな

色温度は一応6,500～7,000Kになっているけど、カメラ側の設定も併せて弄れば十分使えるし、後は取り込んでGIMPで弄ればいいか

早めの梅と内裏雛祭り

撮影日：2020/02/24
撮影場所：錦帯橋周辺


今年は暖かったので梅の開花も早かった

多少散り始めの木もちらほらあったので、それ以外の物も見ながらぶらぶらと

また、今年も【 岩国城下町ひなまつり 】をやっていたので、足を延ばして少し散策してみた

COVID-19の影響か観光客もまばらで、昨年展示していたいところでも一部展示をしてないところがあって物悲しい雰囲気となっていた

歩き疲れたので観光交流所である【松がね】ではす餅を食べて休憩
車で来てなければ金雀の飛翔を試飲したいけど仕方ない

今年は梅だけでなく桜の開花も早そうだ
良いタイミングで身に行けたらいいけど

Cloud ReadyからUbuntu Mate 19.10へ変更

以前Cloud ReadyをインストールしたPCでの作業ではLinux環境を起動するのに時間がかかるため、自分の使い方ではいまいちだと判明したのでOSの入れ替えを行う
■古いPCへのCloud Readyインストール

今回はPCスペックを加味してUbuntu Mateを選択
昨年末頃に19.10の最新バージョンが出てたらしい
 Ubuntu MATE 19.10 Release Notes


公式サイトからISOファイルを拾ってきRufusでインストール用のUSBメモリを作成

PCのブートをUSBからに変更して起動したらあとは画面の指示通りにインストールする


言語とキーボード設定を日本語にすればそれだけで日本語環境で構築されるから非常に便利

ひとまずいつものupdateとUpgradeを実行した上でいくつかソフトウェアをインストール

Kindleアプリ入れたいけどWineとの相性なのかイマイチうまく行かない
この辺はやはりChromebook買ってからAndroidアプリ使う方が無難かな

とりあえずWeb閲覧とちょっとしたターミナル利用には十分なレスポンス

CPUスペックが低いノートPCの再利用ならこちらの方が使いやすいかもしれない

古いPCへのCloud Readyインストール

Microsoft社がWindows7のサポートを終了するとのことで実家から相談があり、PCの買い替えを勧めたところ、今使っているWindows7のノートPCを譲り受けることになった

せっかくなので以前から気になっていたChromiumOSを試したいので、

Cloud Readyでもインストールして使ってみることに

スペックはやはり低い

東芝製（現dynabook(社）のdynabookシリーズ「PB452/22FS」

15.4型の低スペックモデル

CPU：Celeron B820 1.7GHz

メモリ ：DDR3-10600 2GB x1

HDD：320GB 5400rpm SATA

LAN：100BASE-Tまで

Wi-Fi：IEEE802.11b/g/n

流石にスペックが低いので、メモリとSSDを購入して換装することに

メモリはAmazonで安く売ってたよくわからんメーカー製4GB x2

ChromiumOS系だと4GBでも十分だろうけど安かった

SSDはCrucial社製の120GB

普段はSanDiskばかり選ぶけどこの価格帯だとこっちの方がレビューが良かったのでテスト用で

後はマザーボード用のボタン電池とACアダプタ（猫にかじられて断線）とバッテリーを互換品で買い揃えて全体的なクリーニング

やはりバラしたら内部のファン付近に埃が溜まっていた

インストール用のUSBメディアは「 neverware 」のサイトから個人用の無料版をダウンロードしてURL先の指示通り作成

PC本体に作成したUSBメディアを指してBIOSでブート順序をUSBに切り替えて（空のSSDなら不要だった）起動すればロゴ画面が出てくる

Googleアカウントのログインを促す画面が出てくるので自分のアカウントでログイン

右下のメニュー画面からWi-Fiの設定もやっておく

ログインできたらすぐ初期画面が立ち上がって来る

Windwosのセットアップよりシンプルでいい

このままだとUSBから起動してるだけで動作が遅いのでSSDにOSをインストールする

右下のメニューを開いてInstall OSを実行

インストールするかの確認やディスクの中身消えるが良いかのダイアログが出てくるので同意して実行

インストールが完了して再起動すると言語選択の画面が出てくるので表示もキーボードも日本語に変更して次へ進む（USBブートでも出てきた気がする）

デバッグモードは今回利用しないので無視する

Wi-Finの設定忘れずやり直しておく

個人情報やらなんやらの注意書きが出てくるのでさっと目を通してcontinueして初期セットアップを終了させる

 一応OSのアップデートもチェックするが、ダウンロードしてすぐだったのでなかった
これもWindowsよりも早くてい良いな

また、最近のバージョンからChromiumOS上でLinuxが動かせるようになったらしいので有効化しておく

設定のLinux（β版）をオンにするだけでインストールされるから楽でいい

このままだと日本語入力などもLinux上でできないので、その内にまた設定しよう

ざっくり使った感じだと、Playストアが利用できない一昔前のChromebookの様な感じ

やはり新型でChromebookを買った方がAndroidアプリも使えるので、色々と捗るのは間違いない

8年前のPCでCPUスペックが低いのでたまに動作が遅くなるものの、メモリを増やしてSSDに換装したので起動と終了はすごく早い

まぁお金かけずに遊べるPCが手に入ったので良しとしよう

ESXiのvSwitch上でのVLAN設定

XG FirewallにVLAN設定しただけだとL2SWにVLANが届かなかったので調べたところ、ESXiの仮想NW側にも設定がいる事を忘れていた


ESXiの仮想NWのVLAN設定は以下の3つ


・EST ( EXternal Switch Tagging ) VLAN ID : 0
　ESXi外の物理スイッチのアクセスポートに接続し、VLANタギングは無効化される
　VLANを分けない単一NWで利用　

・VST ( Virtual Switch Tagging ) VLAN ID : 1 ～ 4094
　ESXi外の物理スイッチのトランクポートに接続し、ESXi上の仮想スイッチがタギングを行う
　VLAN環境で仮想サーバ等のホストを扱う場合に利用

・VGT ( Virtual Guest Tagging ) VLAN ID : 1 ～ 4095
　ESXi外の物理スイッチのトランクポートに接続し、ESXi上のホスト側でタギングする
　今回の様にVLANを管理する仮想ルータを利用する際に使用


設定はESXiの管理画面にログインし【ネットワーク】-【VM Network（名前は任意）】を開き、【設定の編集】にてVLAN IDを【 4095 】に変更する

これでXG Firewall からL2SWまでVLANタグが届くようになった


ESXiの【Management Network】のVLAN IDも当然変更しておく必要があるが、VSTでデフォルトVLANのVLAN1にしたらアクセスできなかったので、デフォルトVLANと同じNWのIPを振った上でVGTモードに設定した

SSLインスペクション有効時にGoogleDriveに同期できない問題

XG FirewallでSSLインスペクションを有効にした際、Windows10上のGoogleDriveと同期するための【バックアップと同期】がログインエラーで接続できなくなった

Googleの仕様を見る限りレジストリを弄るか、該当URLを除外リストに入れろとのこと


■レジストリ弄る場合
【 ドライブファイルストリームを構成する 】

■ホストを例外リストに入れる場合
【 Google ドライブのファイアウォールとプロキシの設定 】



ひとまず影響の少なそうな除外リストで対応することにして、ページ上にあるホストをメモ帳などにコピペして、ポート番号などの不要な個所を削除して加工する

次にXG Firewallにログインして【 保護 - Web 】から【 例外 】タブを開いて、【 例外リストの追加 】からリストを作成する

【 名前 】はわかりやすく【 google 】
【 URLパターン一致 】に上記でコピーしたホスト名を続けて入れていく
【 選択したチェックまたはアクションをスキップする 】から【 HTTPS復号化 】にチェックを入れて設定を保存する

おそらく【 googledrive.com 】だけでもイケたかもしれないが念のため一通り登録してみた

再度【 バックアップと同期 】のアプリを開いてテストすれば無事二要素認証も通過してログインできた


XG Firewallの仕様上、先頭に【 * 】や【 ? 】などのワイルドカードを利用した正規表現は利用できなかったのでそれだけ除外したのがどれだけ影響が出るか少し心配だ