ksh

まずはサーバー側のパケットフィルター設定

fu$ doas pfctl -sr
pass in on egress inet6 proto tcp from any to any port = 80 flags S/SA
block return all
pass all flags S/SA
block return in on ! lo0 proto tcp from any to any port 6000:6010
block return out log proto tcp all user = 55
block return out log proto udp all user = 55

追加したのは、主要なI/F(egress)からのtcp6/80ポートは通行許可します。

fu$ doas netstat -an | grep LISTEN | grep 80
tcp          0      0  *.80                   *.*                    LISTEN
tcp6         0      0  *.80                   *.*                    LISTEN

待受状況にtcp6/80ならどんなIPでも受信しますってサイン。

次はクライアント側からサーバーに導通するか確認。IPは伏せ字にしてます。

ping6 -c 3 2401:...
64 bytes from 2401:...: icmp_seq=0 hlim=59 time=23.928 ms
64 bytes from 2401:...: icmp_seq=1 hlim=59 time=20.749 ms
64 bytes from 2401:...: icmp_seq=2 hlim=59 time=24.342 ms

こんな状況にもかかわらず、w3mでの閲覧はかないませんでした。やっぱり プロバイダーがルーターの中で関所を設けているのかなあ。

サーバー側のネットワークは長屋の人々が共用する設備。そんなネットワークに IPv6限定とはいえ、勝手にウェブサーバーを立てられて(オイラーのような人ね)、 もしそのサーバーが大ヒットしちゃったら、長屋の住民は迷惑を被る。 プロバイダーとしては、是非これを防止したいんだな。

だったら、サーバーとクライアントの役目をネットワーク上で反転したらどうだろう。 ひょっとしたら、プロバイダーのポリシーの違いで、上手くいくかも。

長屋ネットワーク(2401:…)をクライアント、既存の個人契約ネットワーク(2400:…) をサーバーにしてみる。

fu$ ping6 -c 3 2400:...
64 bytes from 2400:... icmp_seq=0 hlim=59 time=23.887 ms
64 bytes from 2400:... icmp_seq=1 hlim=59 time=29.408 ms
64 bytes from 2400:... icmp_seq=2 hlim=59 time=135.644 ms

クライアント側からサーバー目掛けて導通試験。逆にサーバー側からクライアント に向けても導通は有るはずだな(未確認だけど)。

fu$ traceroute6 2400:...
traceroute6 to 2400:... (2400:...), 64 hops max, 60 byte packets
 1  2401:... (2401:...)  3.507 ms  1.513 ms  1.274 ms
 2  2401:... (2401:...)  3.303 ms  2.599 ms  5.059 ms
 3  * * *
 4  * * *
 5  2400:... (2400:...)  10.467 ms  13.057 ms  10.165 ms
 6  2400:... (2400:...)  10.903 ms  10.827 ms  13.588 ms

トレース試験も、堂々と実施できるな。こんなホップで届いてしまうんですかね。 本当かどうか、ググルあたりに対して実験したら、通報されちゃったりして。

example.com 2400:... - - [28/Sep/2025:06:47:37 +0900] "GET /ipv6 HTTP/1.0" 301 0
example.com 2400:... - - [28/Sep/2025:06:47:37 +0900] "GET /ipv6/ HTTP/1.0" 200 138
example.com 2401:... - - [28/Sep/2025:07:00:26 +0900] "GET /ipv6 HTTP/1.0" 301 0
example.com 2401:... - - [28/Sep/2025:07:00:26 +0900] "GET /ipv6/ HTTP/1.0" 200 138
example.com 2401:... - - [28/Sep/2025:07:07:39 +0900] "GET /ipv6 HTTP/1.1" 301 0
example.com 2401:... - - [28/Sep/2025:07:07:39 +0900] "GET /ipv6/ HTTP/1.1" 200 138
example.com 2401:... - - [28/Sep/2025:07:07:40 +0900] "GET /favicon.ico HTTP/1.1" 404 0

そしてサーバーのログも確認。2400:… はLubuntuのw3mから、同一ネットワーク上に あるOpenBSD httpd への接続。次からの2401:… は、FuguIta 7.7 から、w3m及び Firefoxでの接続。firefoxって、faviconも要求するんですねぇ。

こうして、P2Pの実験は成功しました。やっぱりプロバイダーによっては制限を 設けているんですね。中々、教科書通りにはいかないっていう、良い体験をしました。

Q: 簡単にネットワーク実験をするにはどんな手段が有りますか？

A: なるほど！プロバイダー側で inbound IPv6 を遮断していた、ということが確認できたんですね 👍 実験環境では ISP 制限を避けるために「完全に自分で制御できる仮想ネットワーク」を立てるのが王道になります。

以下のような選択肢があります：

## 1. ネットワークシミュレーション系ディストリビューション

• /GNS3/（Linux 上で利用） Cisco/Juniper/FRRouting などのルータ仮想機器を並べて実験可能。 実際の IP スタックでルーティング・FW・NAT・IPv6 実験ができる。
• EVE-NG GNS3 と同様の用途で、複雑な仮想ネットを GUI で構築できる。

## 2. 軽量ルータ系 OS を組み合わせて自作

• VyOS Debian ベースのルータディストリ。IPv6、BGP/OSPF、FW/NAT、VPN、仮想ネットワーク構築に強い。 → 普通の PC 上に複数 VM を立て、仮想スイッチでつなげば「小さなインターネット」を作れる。
• OpenBSD / FreeBSD pf / ipfw を駆使して自前のルータ・FW環境を組める。 → 既に OpenBSD をお使いなので、サーバーとルータ VM を分けて仮想環境を作るのも手。

## 3. 仮想環境の基盤

• QEMU/KVM + Linux bridge QEMU の内部ネットワーク（=-netdev user=, =-netdev tap=）を使えば ISP に依存せず実験可能。 → ルーティングや IPv6 アドレス設計も自由にできる。
• VirtualBox / VMware 「ホストオンリーアダプタ」「内部ネットワーク」を使えば、外界に出ない閉じた実験用 IPv6 ネットを作れる。
• Mininet SDN 研究用。仮想スイッチ＋仮想ホストを Python スクリプトで即座に構築できる。 → トポロジを大量に作るなら楽。

## 4. 実験用 IPv6 ネットの作り方のイメージ

• ルータ VM（VyOS/OpenBSD/FRR）を立てる
• サーバー VM とクライアント VM を立ててルータに接続
• IPv6 プレフィックスは =fd00::/8=（ULA = Unique Local Address）を自由に割り当て
• ルータに NAT66 や FW 設定を入れて挙動をテスト
• 外界の ISP には一切依存しないので、ポート制限や FW に悩まされない

✅ まとめると、 「制限を一切考えずに IPv6/PF/HTTP 実験したい」なら /QEMU/KVM 上に複数 VM を立てて VyOS や OpenBSD をルータにする/のが一番シンプルです。 もっと GUI で柔軟にネット構築したいなら /GNS3/EVE-NG/。

OpenBSDのkshの正体。

ad$ echo $KSH_VERSION
@(#)PD KSH v5.2.14 99/07/13.2

199X年の頃はkshが自由に使える時代ではなかった。そこでパブリックドメイン版の kshを使う事にした。shはOpenBSDの生命線。/etc/rcは言うに及ばず、インソトーラー もshで記述されてる。根幹は変更するなって事で、ずっとこのパブリック版を保守 し続けている。頑固一徹。どこかのLinuxみたいな尻軽さんではないのです。 勿論、最新？のkshはパッケージになって提供されている。

FreeBSDのksh93に、その辺の事が記述されてたぞ。

ksh93u+m is the ksh93 reboot aims to develop bugfixes to the last
stable release (93u+ 2012-08-01) of ksh93, formerly developed by
AT&T Software Technology (AST). This ksh 93u+m reboot now incorporates
many of these bugfixes, plus patches from OpenSUSE, Red Hat, and Solaris,
as well as many new fixes from the community.

Between 2017 and 2020 there was an ultimately unsuccessful attempt to
breathe new life into the KornShell by extensively refactoring the last
unstable AST beta version (93v-). While that ksh2020 effort is now
abandoned and still has many critical bugs, it also had a lot of bugs
fixed. More importantly, the AST issue tracker now contains a lot of
documentation on how to fix those bugs, which made it possible to
backport many of them to the last stable release instead.

どんな風な挙動をするか？ 引数無しだと、変数(関数)の属性表示をしてくれた。

ad$ typeset
typeset COLUMNS
typeset -x HOME
typeset IFS
typeset -r KSH_VERSION
typeset -x LANG
typeset -x PATH
typeset -i -r PPID
 :

-x はエクスポート。-r はリードオンリー。-i は整数扱い。

シェルスクリプトを書けるようになりたいよね メニューにメニメニ記事が あって、楽しい。

シェルスクリプトの基本的な書式と考え方

6. シェルスクリプトの作り方（7/8）

Shellの基本を学ぶ（６）Variables 2

Home Page For The KornShell Command And Programming Language

kshのMakefileに、こんな設定が記述されてた。

LINKS=  ${BINDIR}/ksh ${BINDIR}/rksh
LINKS+= ${BINDIR}/ksh ${BINDIR}/sh

大体、こういうのの振り分けは、mainに記述されてるんだよな(こういう決め付けは、 厳に慎しめ。最初は間口を広くが常識です)。

ad$ grep strcmp main.c
        if (!strcmp(kshname, "sh") || !strcmp(kshname, "-sh") ||
            !strcmp(&kshname[strlen(kshname) - 3], "/sh"))) {
        if (strcmp(name, "rsh") && \
                strcmp(name, "rksh") && \
                strcmp(name, "rpdksh") && \
                strcmp(name, "pdrksh"))

ちょっと潜ってみると、

/* Returns true if name refers to a restricted shell */
static int
is_restricted(char *name)
{
        char *p;

        if ((p = strrchr(name, '/')))
                name = p + 1;
        /* accepts rsh, rksh, rpdksh, pdrksh */
        if (strcmp(name, "rsh") && \
                strcmp(name, "rksh") && \
                strcmp(name, "rpdksh") && \
                strcmp(name, "pdrksh"))
                return(0);
        else
                return(1);
}

機能の制限付きの検出ですか。

/* Check to see if we're /bin/sh. */
if (!strcmp(kshname, "sh") || !strcmp(kshname, "-sh") ||
    (strlen(kshname) >= 3 &&
    !strcmp(&kshname[strlen(kshname) - 3], "/sh"))) {
        Flag(FSH) = 1;

もう一つの視点は sh か否かの検出だな。こういうのは、一度内部フラグに変換 しておいて使用される。たとえば

if (restricted) {
        static const char *const restr_com[] = {
                "typeset", "-r", "PATH",
                "ENV", "SHELL",
                NULL
        };

こんな具合に制限付きの場合、PATHを書き換え不可にして、行動範囲を限定しちゃう とか。詳細はksn(1)だな。いやsh(1)もscriptを書きく場合は必読だな。kshのそれより ずっと簡潔に説明されてる。