梅崎 皓太 の記事一覧

こんにちは、GMOインターネット ネットワークチームの梅崎です。今回は先日取得した 一陸特 （第一級陸上特殊無線技士）の免許について養成課程で「へえ～」となったことやこれ知ってたほうが便利だなということを書いていきたいと思います。 そもそも一陸特とは？ 陸上特殊無線技士とは簡単に言うと陸上の無線局を扱うのに必要な免許となっています。扱える操作内容や電波出力によって一～三級までの資格がありさらにその上位資格もあったりします。詳しくはWikipediaで なぜ取得したのか？ 弊社ではローカル5Gを構築しておりまして、社内にも無線について学んだ人がいた方が良いよねとなりまして養成課程を受講してきました。実際、免許取得時の諸元等、ここはこういう意味だったのか！と視界が広がった気分になっています。 本編 どこからどこまでが電波？ 電波や赤外線、可視光線、紫外線やX線、γ線といった電磁波と呼ばれているもののうち日本の法令では300万メガヘルツ以下の周波数のものを「電波」として扱うらしいです。 正直、案外厳密に決まっているものなんだなーと思いました。まあ法令なので厳密で当然と言えば当然ですが。 電流の表皮効果 電流が電線を流れる際に高周波になればなるほど電線の中心の電流密度が小さくなり、表面だけを電流が流れるらしいです。導体の抵抗は断面積に反比例するので、同じ導線でも周波数が高ければ高いほど抵抗が大きくなってしまいます。（高周波になると、後述のものと合わせてあんまり電線使わないらしいです） 高周波でのコイルやコンデンサの挙動 リアクタンスは周波数によって変わるため高周波になればコンデンサの静電容量が小さくともリアクタンスはとても小さくコイルのインダクタンスが小さくとも リアクタンスはとても大きくなってしまいます。 ……? 簡単に言ってしまうと電線同士の距離が近いと電線がコンデンサで接続されているように振る舞ってしまい、電線が少しでも捩れると電線にコイルを挿入したようになってしまう。 高周波の世界では、そんな線の取り回し一つで回路が全く違う挙動をしていまうピーキーな世界なのです。 導波管 高周波では前述の理由もあり、導波管というものを使ってエネルギーを送るらしいです。雑に言ってしまうと導体の筒の中を電波として飛ばしちゃうというものです。 電力を電波として筒で送るなんてことがあるとは驚きでしたが、よくよく考えると同じ電磁波を送る光ファイバーもあるのでさもありなんと感じました。 空中線とは？ ローカル5Gの免許取得で空中線という単語をよく見ていて正直、 空中線？？となっていたのですがなんのことはなく「アンテナ」の邦訳というだけでした。 なんだか、過去のアンテナが空中に電線を張ったものだったので見たまま空中線と読んだのでは？とのこと WWII頃の軍艦の画像で謎のワイヤーが張られていると思うのですが、あれもアンテナらしいです。それを聞いて確かに空中線だわ……と思いました。 色々出てくるdB〇〇 ・dBmが電力の表示に使われ、1mWの何倍か？という値・dBμが電圧のの表示に使われ、1μVの何倍か？という値 アンテナ利得の文脈で・dBiとあれば、三次元的に偏りのないアンテナを基準にしたもの・dBとあれば、半波長ダイポールアンテナを基準にしたもの（dBdとも書くらしい） 単位を最後まで書かない文化のようで、ちょっと困っちゃいますが……とりあえず上の4つを覚えておけば大丈夫そうでした。 dBの計算方法 1倍で0dB2倍で3dB3倍で4.8dB7倍で8.4dB10倍で10dB（エネルギーのとき） これだけ覚えておけば、サクッと概算ができて便利でした（例：5倍なら10/2倍で10dB-3 dB →7dB） 締め 色々書いていると長くなってしまったのでまた、知っておくと便利なものがあれば投稿しようかと思います。 ここまで読んでいただいてありがとうございました。

こんにちは、GMOインターネット ネットワークチームの梅崎です。今回は弊社ネットワークチームの検証環境にあるWebサーバー群のために、プライベート認証局を立てた話です。※構築には easy-rsa を利用させていただきました。　作成されたファイルのパスなどはデフォルトのものを記載しております、適宜読み替えてください。※本文中の設定/コマンドはそのままコピペできなかったらごめんなさい。　(気をつけてはいますが、ワードプレスに慣れていないもので変な空白が……) 先に最終的になにをしたのかを 準備 easy-rsa をgit clone openssl-easyrsa.cnfを編集して [ easyrsa_ca ]セクションを変更(中間認証局を作らない場合はpathlen は0でも大丈夫だと思います) - basicConstraints = CA:true + basicConstraints = critical,CA:true,pathlen:1 [ easyrsa_ca ]セクションに下記追加 nameConstraints=critical,@name_constraints 下記セクションも追加※ 192.0.2.0/255.255.255.0 はご自身の環境に合わせてください [name_constraints] permitted;IP.1 = 192.0.2.0/255.255.255.0 permitted;DNS.1 = invalid.invalid 認証局を作る 初期化と認証局の秘密鍵や証明書作成は下記コマンドで鍵長などはお好みで、2022年現在だと4096bitもあれば大丈夫だと思います ./easyrsa init-pki ./easyrsa build-ca できた認証局の証明書(./pki/ca.crt)をダウンロードして「信頼されたルート証明機関」にインポートすればOKです サーバー用の証明書 サーバー用の証明書は下記コマンドで./easyrsa gen-reqは実際に秘密鍵を利用するサーバーで実行する方がおすすめです※192.0.2.1の箇所はご自身のサーバーのIPアドレス に合わせてください ./easyrsa gen-req hogehoge nopass ./easyrsa --subject-alt-name='DNS:invalid.invalid,IP:192.0.2.1' sign-req server hogehoge 後はコマンドの実行結果に出ているディレクトリに秘密鍵(./pki/private/hogehoge.key)と証明書(./pki/issued/hogehoge.crt)があるので実際に使用するだけです※Nginx等の利用の場合はサーバーの証明書へ認証局自身の証明書をcatかなにかでくっつける必要があります 以上で内部向けページも緑鍵に 目指せ「この接続ではプライバシーが保護されません」の撲滅！ 本編 はじめに 昨今では常時TLS化もわりかし行われていますが社内向け環境だと自己署名証明書、いわゆオレオレ証明書を利用していることが多いのかなと思っております。 もしサーバーがグローバルIPアドレスを持っていればLet's Encrypt等の利用も考えられるのですが、プライベートIPのみの環境ですとそれもできないです。 これを解決するためにはサーバーの証明書を個別にPCに登録するか、個人的に認証局を立てそれをPCに登録するかの二択だと思います。 ただ、サーバーの証明書を個別に登録するのはサーバーが増えたり減ったりすることも考えるとかなり手間です。かといって認証局を立てるとその秘密鍵が漏洩した場合、最悪すべての通信に中間者攻撃の恐れがあるため、気軽に立てるにはかなり荷が重い仕事になってしまいます。 そんなこんなで仕方なくセキュリティエラーを無視する日々でした…… そんなある日 証明書に載せられる情報について色々調べていたある日のこと、なんの気なしにプロファイルを眺めているとhttps://datatracker.ietf.org/doc/html/rfc5280#section-4.2.1.10制限するための方法が普通に書いているではありませんか！ということで、このオプションはどうやって適用できるのか、何ができてどんな挙動なのかを調べてみました。 認証局の証明書へ制限事項を追加 下記の設定を追加すれば認証局の証明書を作る際に、証明書へ制限事項の情報を追加できました。 nameConstraints=critical,@name_constraints [name_constraints] permitted;IP.1 = 192.0.2.0/255.255.255.0 permitted;DNS.1 = invalid.invalid nameConstraintsというのが、この認証局が発行するサーバー証明書に含むことができるSubject Alternative Name(以降SAN)のブラック/ホワイトリストとなっております。※昨今ではブラウザはホストと証明書の組み合わせが正しいかの確認にSubject Alternative Nameを利用しています。ざっくりいうと「このIPのサーバーにしか証明書は発行できません」という感じです。 設定中のcriticalは「この項目を理解できない実装はとりあえず証明書エラー扱いにしてくれ」というフラグです。 設定中のIPやDNSは値の形式を表していて内容は見たままなのですが、存在しない 値の形式は全許可扱いになるため要注意です。(例えばDNSの制限/許可がないとデフォルトで全許可です、危ない！) とあるブラウザの不思議な挙動 上記のような設定でいろいろな認証局とサーバー証明書を作って試したのですが、Chromeの挙動が意図したようにはなっていなかったのです。 具体的には、特定のIPアドレスのみ許可、DNS表記は不可としたく認証局の証明書に「すべてのDNS表記は不許可、IPは特定のプレフィックスのみ許可」や「この特定のDNS表記は許可、 IPは特定のプレフィックスのみ許可 」サーバーの証明書のSANはIPアドレス表記のみとした際 証明書自体は問題なしと出るのですが、Chromeの画面上だと証明書エラーとなる事象が起きてしまいました。※Firefoxだと問題なくページが表示される。 他にもいろいろ試していると、どうにもChromeはDNS表記の制限がある場合に、サーバー証明書へDNS表記のSANが無いとエラーと判断しているのではと思います。 ただ、検証環境ではIPでサーバーへアクセスできれば十分ですし、権威DNSサーバーを立てるのも面倒なので困ってしまいました。 その回避策として DNS表記のSANが無いとエラーになるのなら　・サーバー証明書 へは適当なドメインのSANを追加　・認証局の証明書へはそれへの許可のみをすれば実質IPだけの運用ができるのではと考えました。 とは言うのものの、勝手に変なドメイン名を利用するのも趣味ではなく、いい感じのTLDが無いか調べてみるとhttps://datatracker.ietf.org/doc/html/rfc6761#section-6.4名前解決を失敗するためのTLDがあり、自由に使っていいとも書いていたのでこいつを使っちゃおうということで 認証局の証明書はIPアドレスと「DNS invalid.invalid 」を併記でサーバー証明書にもとりあえずSANへ 「DNS invalid.invalid 」 を入れておこうということで落ち着きました。 まとめ まとめると下記を書けば大丈夫です。 nameConstraints=critical,@name_constraints [name_constraints] permitted;IP.1 = 192.0.2.0/255.255.255.0 permitted;DNS.1 = invalid.invalid (実はちょっぴり不安なので、やっていること間違えていればご教授ください。特にセキュリティ的にあかんことになっていると最悪なので！) 最後に これにてプライベートな検証環境にも鍵マークが現れました? 今後はLet's EncryptのようにACMEに対応したいなーという野望を……！ACMEに対応できれば構築中のおうちk8sの証明書の管理がはかどりそうですしACMEの認証局側の実装はOSSとして公開してくれているようなので、今後は検証環境への導入を頑張るぞい ということで、以上「社内検証環境用にプライベート認証局立ててみた」でした。ここまで読んでいただきありがとうございました。 付録 試した証明書の組み合わせと結果を下に貼っておきます。 　・縦が認証局の証明書のnameConstraints　・横がサーバー証明書のSANです。 10.0.12.36でアクセスした場合 test.example.comでアクセスした場合

今回の記事では、自組織向けのサービス提供を想定し、一般的な4G回線とVPSの組み合わせと、ローカル5G環境とローカルサーバーの組み合わせを比較しています。詳しくは下記内容をご確認ください。 はじめに こんにちは、GMOインターネットの梅崎です。今回は GMO Developers Night#21 ローカル5G基礎 〜ローカル5Gの技術担当がスピーカー登壇〜 にて行ったデモのご紹介をしていきたいと思います。 本エントリーの概要 自組織用にモバイル回線を使ってサービスを提供する場合を想定して、「一般的な4G回線とVPSの組み合わせ」「ローカル5G環境とローカルサーバーの組み合わせ」を比較し、ざっくりとどういった差があるのかをまとめたものです。 構成 以下に検証を行った際の各回線のDEMO用の構成図を紹介いたします。 ローカル5G＋ローカルサーバー ローカル5G環境のコアに直結したサーバーにコンテンツを載せ、クライアントPCはUE(CPE、置くだけWi-Fiのようなもの)に有線で接続しました。 4Gデザリング＋VPS 4G環境はVPSへコンテンツを載せ、クライアントPCはテザリング→Wifiで接続しました。 ローカル5G・4Gの比較 上記構成で各回線の速度を比較していきます。 帯域と遅延の測定 ローカル5G側 帯域については約500Mbpsと100MHz幅での設備側の上限近く出ており、遅延についても4msと規格内に収まる値となりました。限界は実測で497Mbpsほどでした。 トラフィック負荷試験、iperfにて測定 ローカルサーバーに載せたツールにて測定 遅延はおおよそ4ms以下でした。 pingコマンドにて測定 4G側 帯域については約100Mbpsと私の想像よりは早かったのですが、遅延については60ms弱と5Gに比べ最大12倍ほど遅いという結果になりました。 VPS側の帯域に上限があったため、Googleさんが提供しているツールにて測定 遅延も30ｍs~64msと比較的長いことが確認できます。 pingコマンドにて測定 所感 ローカル5G側 速度については4Gの実測値の約5倍とかなり高速となっていました。また、今後利用可能な電波帯が広がるにつれ、更に速くなっていく余地を残している点も期待できます。遅延についても現時点でPPPoEでの有線接続より速くなっています。(PPPoEは簡単にネットで調べたぐらいですが、10～20msほどのようでした)また、プロファイルを調整すれば遅延はさらに4分の1以下に短縮でき、端末側で実施していたことをサーバー側にオフロードするなど、様々なサービスが発展していくのはと感じました。 4G側 速度については思いの外速いなというのが正直な感想でしたが、遅延は大きくっローカル5Gとは10倍以上の差となってしまっていました。4G側も他の一般利用者と共用となっていることなど不利な点はあり、純粋な規格自体の比較にはならない状態ではありますが、ある意味、"ローカル"5Gの自組織以外の影響を受けづらいという、旨味が見えたのではと思います。 動画ダウンロードを試す ローカル5G側 https://www.youtube.com/watch?v=Eb0q4Iz4t8U&list=PL-nSubl7UrR54IRbUcW5leXPWavjTSPzY 4G側 https://www.youtube.com/watch?v=uM3EruVOK_A&list=PL-nSubl7UrR54IRbUcW5leXPWavjTSPzY 所感 かなり重めにした動画を使ったのですが、4Gはガクガクでまともに再生できない状態にもかかわらず、ローカル5Gでは再生時間よりも目に見えて速く読み込みが完了している状態でした。さらにいい点として、ローカル5Gの方はそもそも外と通信が発生しないので、通信量の削減など効率的にネットワーク資源を利用できると思います。 4Gだと30Mbps以下で動画時間の3倍以上の時間で落とし終わるのに対して、5Gだと250Mbps以上で動画時間の半分以下で落とし終わりました。 ※ちなみに、YouTube推奨だと4k, 60fpsで約50Mbps以上だそうなので100Mbpsの動画でも30Mbps出せていない、4G回線では4k動画は視聴は難しそうですね。 動画MTGを試す ローカル5G側 https://www.youtube.com/watch?v=PqUt6xifmZc&list=PL-nSubl7UrR54IRbUcW5leXPWavjTSPzY 4G側 https://www.youtube.com/watch?v=vTmo7lKYPSw&list=PL-nSubl7UrR54IRbUcW5leXPWavjTSPzY 所感 個人的には予想外なぐらいに差が出てしまっていました。特に↓のぐーぱーのところは下のカメラ(録画PCのもの)と左のカメラ(別のPC)で4Gと5Gで目に見えた差が出てしまっていました。 ローカル5側 4G側 下記画像のようにトラフィックについては大した量ではないため、カメラ映像の遅延の原因はおそらく帯域の問題というよりは通信遅延ではないかと思います。 3台のクライアントで上り8Mbps下り3Mbpsほど、帯域より通信の遅延が映像の遅れに影響していることがわかりました。 サーバーから見たトラフィック この状態でもローカル5Gの方が遅延は少なくなったとは言えるのですが、正直なところ、今回は一般的なWebカメラを利用していることもありローカル側のカメラ映像も200msほど遅延が発生しておりまして、ざっくりの単純計算でも1.3倍以下の差しか無い状態です。・4G : 200 + 60(udpならこの半分？) = 260ms・5G : 200 + 4(udpならこの半分？) = 204ms とは言うものの、逆に前処理が短いものですと、以下のように10倍以上の差の恩恵を受けられるようになっています。・4G : 60ms・5G : 4msその点はサービス側をカリカリにチューニングして行ける腕の見せどころかなと思います?。 まとめ ローカル5G(+ローカルサーバー)にすると ・帯域幅の増加と低遅延で高速化　(まだまだ、増速の余地あり)・自組織以外の通信の影響をうけない・外部接続の通信が減る　(ランニングコストの削減が見込める) 今後必要かなと思うところ ・低遅延のポテンシャルを活かすためには、ソフト/ハードウェアの工夫が必要 余談 あと、個人的には多数接続も試したいのですが、数が数千～数十万といったオーダーなのでどうやって試すか……?。