我が家に猫たちがやって来ました。
現行の猫と同じくスコティッシュフォールド。しかも
- 男の子
- 女の子
両方ともサバトラの折れ耳です。
我が家に来て思ったのが、昨年の3月末、虹の橋を渡っていた茶トラの子の子猫時代と面影が重なっているということ。
俗に「着替えて帰ってくる」と言われていますが、まさにそんな言葉を実感しています。
投稿者: manualmaton Page 1 of 292
RHEL系Linuxに備わっているfirewalld。非常に柔軟で（比較的）直感的に使える仕組みだったのでメモを残します。
特に驚きだったのがzoneの概念。
ufwが基本的に「システム全体に対してポートを開けるか閉じるか」をシンプルに管理するのに対し、firewalldは「接続するネットワークの信頼度に応じて、ファイアウォールのルールを瞬時に切り替える」という柔軟性がありました。
そもそもfirewalldにおけるゾーンとは？
一言で言うと、ゾーンとは「接続元のネットワークやインターフェース（LANカードなど）の『信頼度』に応じたグループ分け」のことです。
従来の iptables などでは、「このIPアドレスからのこのポートへの通信を許可する」といった細かいルールを1つずつ書く必要があります。
一方、firewalld では以下のようなステップで考えます。
- あらかじめ「拒否」「自宅用」「パブリック（公共）」といった、ルールの異なる箱（ゾーン）を用意しておく。
- ネットワークインターフェース（例:
eth0）や、特定のIPアドレスをその箱に割り当てます。
これにより、「カフェのWi-Fiに繋いだ時は『パブリック』ゾーンに切り替える」「会社のLANに繋いだ時は『社内』ゾーンに切り替える」といった管理が、一瞬でできるようになります。
代表的なプリセットゾーン
firewalld には、最初からいくつかのゾーンが用意されています。
| ゾーン名 | 信頼度 | 主な用途・特徴 |
|---|---|---|
drop | 最低 | すべての受信パッケージを破棄します（応答すら返さない）。こちらからの送信は可能です。 |
block | 低 | すべての受信を拒否します。drop と違い、相手に「拒否しました」という通知（ICMP）を返します。 |
public | 低〜中 | デフォルトのゾーン。 不特定多数がいる公共のネットワーク用。自分が許可した通信（sshなど）だけを通します。 |
external | 中 | ルーターとして使う場合の「外側（インターネット側）」用。マスカレード（NAT）が有効になります。 |
**home / internal** | 高 | 自宅や社内LANなど、周囲のコンピューターを信頼できる場合用。お互いの通信が少し緩く許可されています。 |
trusted | 最高 | すべてを許可します。完全に安全だと分かっているネットワーク専用です。 |
ゾーンの3つの重要なルール
インターフェースは必ずどこかのゾーンに属する
ネットワークカード（eth0 や wlan0 など）は、必ずいずれか1つのゾーンに紐付けられます。何も設定していない場合、自動的に public（デフォルトゾーン）に属します。
IPアドレス単位での割り当ても可能
「インターフェース全体は public だけど、上司のPCのIPアドレス（192.168.1.50）だけは trusted ゾーンとして扱う」といった柔軟な設定が可能です。
ルールはゾーンごとに設定する
「Webサーバー（80番ポート）を開放したい」となったら、「public ゾーンに対して80番ポートを許可する」というように、ゾーンに対して設定を紐付けます。
もっと有り体に言うと
『ジョジョの奇妙な冒険』第5部における『マン・イン・ザ・ミラー』です。
ここには『スタンド力』は おれの許可なくしては入る事はできない
『おまえ本体』だけ入る事を許可した
ここにある物は全て命のない『物質』だけだ―――おまえとオレだけ！他に『生きてる物』はいない………
という「許可」と「許可しない」を、鏡の世界ではなく「ゾーン」ごとに決められる能力、と言っていいでしょう。
よく使う基本コマンド
ゾーンの状態を確認・操作するための、代表的な firewall-cmd コマンドです。
現在のデフォルトゾーンを確認する
firewall-cmd --get-default-zoneすべてのゾーンの設定を確認する
firewall-cmd --list-all-zones特定のインターフェース（例: eth0）のゾーンを変更する
firewall-cmd --zone=home --change-interface=eth0特定のゾーン（例: public）にサービス（例: http）を許可する
firewall-cmd --zone=public --add-service=http --permanent`
- ※
--permanentをつけた後は、設定を反映させるために以下が必要です
firewall-cmd --reloadLinuxサーバーを構築する際は、まず「このサーバーはどこに置かれていて、どのゾーンを適用すべきか」を考えていきましょう。
そのケーススタディを行っていきます。
ケーススタディ
各部署が持っているサーバを管理するためシステム部が一括でzabbixのエージェントを入れたいという状況。
- システム部だけにzabbixサーバへのssh接続（ターミナル操作)と管理画面（Web管理画面)の閲覧と操作を許可
- それ以外の部署が所属するNWには上記2つを拒否。
- zabbixサーバそのものを司る大本のzabbixサーバはエージェントの通信を許可。
- ただし、zabbixのエージェントは通るようにします。
Step 1: システム部専用ゾーンの作成と「IP」の紐付け
まずは 192.168.1.0/24 だけが所属する専用のゾーン illuso を作ります。
- ゾーンの新規作成
sudo firewall-cmd --permanent --new-zone=illuso- 一度リロードして、OSに新しいゾーンを認識させる（重要）
sudo firewall-cmd --reload作成したゾーンに「部内NWのIPセグメント」を紐付ける
sudo firewall-cmd --permanent --zone=illuso --add-source=192.168.1.0/24Step 2: システム部専用ゾーンに「許可サービス」を追加
Step 1 で作ったゾーンに、ssh, http, https の鍵（許可）を配置します。
- システム部専用ゾーンに対して SSH を許可
sudo firewall-cmd --permanent --zone=illuso --add-service=ssh- システム部専用ゾーンに対して HTTP を許可
sudo firewall-cmd --permanent --zone=illuso --add-service=http- システム部専用ゾーンに対して HTTPS を許可
sudo firewall-cmd --permanent --zone=illuso --add-service=httpsStep 3: 上位監視サーバー専用のゾーン作成と設定
社内のZabbixサーバー（192.168.12.6）だけが所属する man-in-the-mirror を作り、Zabbix Agent用の 10050 ポートを許可します。
- 上位サーバー用のゾーンを新規作成
sudo firewall-cmd --permanent --new-zone=man-in-the-mirror- 再度リロードして、新しいゾーンを認識させる
sudo firewall-cmd --reload- そのゾーンに「上位ZabbixのIP」を紐付ける
sudo firewall-cmd --permanent --zone=man-in-the-mirror --add-source=192.168.12.6- そのゾーンに 10050 ポート（tcp）の許可を与える
sudo firewall-cmd --permanent --zone=man-in-the-mirror --add-port=10050/tcpStep 4: 全員に開くポートの追加 と public の掃除
誰からでも受け付ける Zabbix Server（10051）や SMTP（25）を public に設定し、同時に、先ほど部内限定へお引越しさせた不要なサービス（ssh, http, https）を public から削除します。
- 自身の Zabbix Server ポート（10051）を全員に開放
sudo firewall-cmd --permanent --zone=public --add-port=10051/tcp- SMTP（25）を全員に開放
sudo firewall-cmd --permanent --zone=public --add-service=smtp- 【とても重要】どこからでも SSH できる状態を public から削除
sudo firewall-cmd --permanent --zone=public --remove-service=ssh- どこからでも HTTP できる状態を public から削除
sudo firewall-cmd --permanent --zone=public --remove-service=http- HTTPS も public から削除
sudo firewall-cmd --permanent --zone=public --remove-service=httpsStep 5: 設定の最終反映と確認
ここまでの --permanent（次回起動用の設定）を、一気に本番環境へ反映（リロード）させます。
- すべての設定を反映させます。
sudo firewall-cmd --reload反映が完了したら、正しく設定できているか各ゾーンを覗いてみましょう。
- 部内限定ゾーンの確認（sourcesにIP、servicesにssh http httpsがあること）
sudo firewall-cmd --zone=illuso --list-all- 上位Zabbix用ゾーンの確認（sourceにIP、portsに10050/tcpがあること）
sudo firewall-cmd --zone=man-in-the-mirror --list-all- 共通ゾーンの確認（servicesからssh, http, httpsが消え、zabbix-serverやsmtp、portsに10051/tcpがあること）
sudo firewall-cmd --zone=public --list-allまとめ
以上、手順は多いものの
- こいつは許可
- こいつは拒否
を極めて柔軟に行えるのはRHEL系Linuxの持つ特権だと思いました。とはいえ、
この条件は「これから入ろうとする邪魔者」を拒否するには有効ですが、入ってしまったものを取り除くのは極めて厄介です。とくにウィルス（マルウェア）の除去は
『マン・イン・ザ・ミラー』オレだけが外に出る事を許可しろォォォォーーーーッ
うおおおががががが だが！ ウイルスは許可しないィィィィィーーーッ
感染した部分は出る事は 許可しないィィィィィィィーーーッ!!
とはならないので注意が必要です。
（最後のこれが言いたいだけのエントリーを書き終えました）
昨日設定したfailbanとの連携。ufw.aggressive。
結論から言うと「あまりにも閾値が低すぎて自分自身がロックアウトを喰らう」結果になりました。
何が起きたのか？
自分のIPからのアクセスが全てのサービスにつながらなくなった。
これはSSH接続はのみならずWeb閲覧でも弾かれるを意味します。
取り急ぎ、「確実にignoreipされている」場所からアクセスし、
sudo fail2ban-client status ufwをしたところ、ものの見事にアクセスしていたIPアドレスが含まれています。
そのため、
sudo fail2ban-client set ufw unbaip IPアドレスとして条件を解除。
そんな中で見つけた挙動。Redminetneは比較的単純な通信が発生するため、
[ufw]
enabled = true
filter = ufw-aggressive
action = iptables-allports
logpath = /var/log/ufw.log
maxretry = 1
bantime = -1
# ignoreipには、自分自身のローカルホストと、巻き添えを防ぎたい大手検索エンジン（Googlebotなど）のIP帯を指定しますでは、大量のretryが発生し、fail2banはご丁寧に「こいつは大量アクセスを繰り返している」としてban。更に、当然ながら、iptables-allportsが含まれているため、自分自身が締め出しを食らったという次第。
対処
「閾値の緩和」に尽きます。「人間の通常の作業は問題ないがbotが引っかかる」を目安に修正しました。この時の注意点は 対象サイトに過度にアクセスしないことに尽きます。iptablesと手を組んでいる以上、無効の怒りを買わないよう、接続はSSHのみにとどめます。
修正ファイル /etc/fail2ban/jail.local
[ufw]
enabled = true
filter = ufw-aggressive
action = iptables-allports
logpath = /var/log/ufw.log
# ↓ 1 から 30 〜 50 程度に大幅緩和（ボットは防げて人間は誤検知しない絶妙なライン）
maxretry = 50
# ↓ 10分〜15分（600〜900秒）の間に規定回数叩いたらアウトにする
findtime = 900
bantime = -1
# ignoreipは、自分が今アクセスしているIPを真っ先に入れます
ignoreip = 127.0.0.0/8 ::1 設定後、
sudo fail2ban-client reloadを実行して設定完了。
設定終わって
- Growi
- Nextcloud
を操作して通常通りの作業が行えることを確認。
まとめ
今回、慌てずに作業できていたのが「どこからアクセスすれば安全か」を知っていたこと。
「頑固で融通が利かない門番」
を意図通りに動かすためには、門番が動く条件をきちっと動かす必要があるというお話でした。
インターネット上にWebサーバーを公開すると、ものの数分で世界中から自動スキャンやブルートフォースアタック（総当たり攻撃）の嵐に見舞われます。
アクセス元のIPアドレスが固定されていれば接続元を絞れますが、「自宅や出先からリモートアクセスして作業する」場合、ファイアウォールの門を広く開けざるを得ません。
この記事では、そんな環境でもサーバーを鉄壁に守るため、UFW（ファイアウォール）とFail2ban（ログ監視型自動遮断ツール）を組み合わせ、不審者を検知した瞬間に「すべてのポートから永久追放（永久BAN）」する強力なネットワーク保護の設定手順を解説します。
動作環境
- OS: Ubuntu 24.04 LTS
さっくりとした手順
- UFWの設定: 必要最低限のポート（SSH/Web）のみを許可
- Fail2banのインストール
- Fail2banの設定: UFWと連携し、不審なスキャンを一撃で永久BANする設定を追加
UFWの設定（SSHとWeb通信のみを有効化）
まずは不要なポートをすべて閉じ、必要な通信だけを通す基本的な防壁を作ります。
SSH接続の許可（過度な接続を制限）
単なる許可（allow）ではなく、短時間の連続アクセスを制限する limit を使うことで、ブルートフォースアタックの速度を鈍らせます。
sudo ufw limit proto tcp from any to any port 22Web通信（HTTP / HTTPS）の許可
sudo ufw allow 80/tcp
sudo ufw allow 443/tcpUFWのログレベルを「中」に引き上げる
Ubuntuのデフォルト（low）では、UFWが自動で弾いた不審なアクセスのログが残りません。これではFail2banが検知できないため、ログレベルを medium に引き上げます。
sudo ufw logging mediumUFWを有効化して反映
※ この作業は何度やっても心臓に悪い作業です。
- 別のターミナルを開けてロックアウトされないようにする
- リモートコンソールできる環境にいる
を確実に確認してから作業を行います。
sudo ufw enable注意:
Command may disrupt existing ssh connections. Proceed with operation (y|n)?と聞かれたら、落ち着いてyを入力して続けます。
設定の確認
sudo ufw status verbose以下のように、状態が「アクティブ（ロギング: on (medium)）」になり、ルールが適用されていることを確認します。
状態: アクティブ
ロギング: on (medium)
Default: deny (incoming), allow (outgoing), deny (routed)
To Action From
-- ------ ----
22/tcp LIMIT Anywhere
80/tcp ALLOW Anywhere
443/tcp ALLOW Anywhere
22/tcp (v6) LIMIT Anywhere (v6)
80/tcp (v6) ALLOW Anywhere (v6)
443/tcp (v6) ALLOW Anywhere (v6) - 必須チェック:
- ここで一度別ウィンドウを開き、サーバーへ新しいSSH接続ができるか必ずテストしてください。問題なければ
sudo rebootで再起動し、再起動後も接続できることを確認します。
- ここで一度別ウィンドウを開き、サーバーへ新しいSSH接続ができるか必ずテストしてください。問題なければ
Fail2banのインストール
ログを監視して自動でブロックする必須ツールです。
sudo aptitude update && sudo aptitude install fail2ban筆者の好みでaptitudeを用いています。
起動確認
systemctl status fail2ban.serviceactive (running) と表示されていればOKです。
3. Fail2banの設定（一撃永久BANの罠を張る）
① ufw-aggressive フィルターの作成
UFWの拒否ログ（[UFW BLOCK]）をFail2banに認識させるための判定ルールを作成します。
※Ubuntu 24.04環境の仕様に合わせ、フィルターファイル名は ufw-aggressive.confとします。
sudo tee /etc/fail2ban/filter.d/ufw-aggressive.conf > /dev/null << 'EOF'
[Definition]
failregex = \[UFW BLOCK\].+SRC=<HOST> DST
ignoreregex =
EOFjail.local の作成・編集
Fail2banの挙動を定義するローカル設定ファイルを作成します。
以下のファイルを教義・信仰に沿ったエディタで編集します。
/etc/fail2ban/jail.local[ufw]
enabled = true
filter = ufw-aggressive
action = iptables-allports
logpath = /var/log/ufw.log
maxretry = 1
bantime = -1
# ignoreipには、自分自身のローカルホストと、巻き添えを防ぎたい大手検索エンジン（Googlebotなど）のIP帯を指定します
ignoreip = 127.0.0.0/8 ::1 66.249.64.0/19
[sshd]
enabled = true
filter = sshd
mode = normal
port = 22
protocol = tcp
logpath = /var/log/auth.log
maxretry = 3
bantime = -1
ignoreip = 127.0.0.0/8 ::1
# ignoreipには、自分自身のローカルホストと、ある程度回線が固定されているIP帯を指定します。この設定の「強さ」のポイント
bantime = -1:- 一度捕まった攻撃者は永久にBAN（解除なし）。
maxretry = 1（ufwセクション）:- 許可していないポートへ1回でもスキャンを仕掛けてきたら即アウト。
action = iptables-allports:- 特定のポートだけでなく、すべてのポートからの通信を完全遮断します。
ignoreip = ... 66.249.64.0/19:maxretry = 1は強力すぎるため、Webサイトを巡回するGoogleのクローラー（Googlebot）を誤って永久追放しないよう、あらかじめホワイトリストで保護しています。
設定の反映と効果確認
設定が完了したら、Fail2banに読み込ませます。
sudo fail2ban-client reload防御効果の確認
設定してわずか数分〜数十分。ログファイル（/var/log/fail2ban.log）を覗いてみると、その効果は一目瞭然です。
2026-05-17 07:14:26,476 fail2ban.filter [1720]: INFO [ufw] Found xxx.xxx.xxx.xxx
2026-05-17 07:14:26,623 fail2ban.actions [1720]: NOTICE [ufw] Ban xxx.xxx.xxx.xxx
2026-05-17 07:14:44,198 fail2ban.filter [1720]: INFO [ufw] Found yyy.yyy.yyy.yyy
2026-05-17 07:14:44,647 fail2ban.actions [1720]: NOTICE [ufw] Ban yyy.yyy.yyy.yyy世界中から飛んでくる不審なアタックやスキャンを、Fail2banが次々と検知し、その場で息の根を止めて（Ban）くれているのが分かります。
現在の捕獲状況は、以下のコマンドでリアルタイムに確認できます。
sudo fail2ban-client status ufwインターネットの荒波に晒されているサーバーであれば、10分も経たないうちに数十〜100以上の悪質なIPアドレスが Banned IP list: に積み上がっていきます。
もしうっかり味方や自分をBANしてしまったら？
万が一、設定ミスなどで必要なIPをBANしてしまった場合は、以下のコマンドで個別に救出（BAN解除）が可能です。
sudo fail2ban-client set ufw unbanip <解除したいIPアドレス>まとめ
固定IPを持たない環境であっても、「UFWで怪しい動きを検知し、Fail2banですべてのポートを即座に塞ぐ」という二段構えを構築することで、驚くほど強固なサーバーへと進化させることができます。
筆者はかれこれ4年ほどvps運用を続けている中、重篤な攻撃に晒されていないのは基本であるこのufwとfail2banのおかげ。
休息も慈悲も与えぬ。何があってもだ。
No rest, no mercy. No matter what.
のレベルで攻撃者にいかなる躊躇も容赦もしないのがVPSサーバの基本です。
RHEL9系ディストリビューション(Rocky Linux 9.7)にMySQLを導入したときのメモです。
そもそもDB（データベース）とは何なのか？
一言で言えば、「特定のルールに従って、整理整頓されたデータの集まり」です。
言うなれば「超高性能な図書館」のようなものです。
閲覧者、借りている人の帳簿を司り、膨大な本から一瞬で目的の1ページを探し出し、同時に何百人もの人が本を借りようとしても混乱が起きないように管理されています。
MySQLなどの「RDBMS」
MySQLは正確には「リレーショナルデータベース管理システム（RDBMS）」と呼ばれます。
- リレーショナル（関係性）： データを「表（テーブル）」の形式で管理し、複数の表を関連付けることができます。
- 管理システム： データそのものではなく、データを操作・管理するためのソフトウェアのことです。
何を司るのか（役割と機能）
MySQLが担っている主な役割は、大きく分けて以下の4つです。
- データの格納と検索（CRUD）
- データの登録（Create）、参照（Read）、更新（Update）、削除（Delete）の4つを、膨大な量の中から高速に行います。
- 整合性の維持(つじつまを合わせる)
- 「注文データはあるのに、注文したユーザーのデータがない」といった矛盾（バグの元）が起きないよう、データの整合性を厳しく見張ります。
- 同時実行の制御（排他制御）
- 例えば、残り1つの商品を2人が同時にクリックした際、どちらか一方が確実に買えるように調整し、「1つしかないのに2人に売れてしまった」という事故を防ぎます。
- セキュリティと権限管理
- 「この人は閲覧だけ」「この人は編集もOK」といった具合に、大切なデータへのアクセスをコントロールします。
なぜ大事なのか（存在理由）
なぜExcelファイルやテキストファイルで管理するのではダメなのでしょうか？
データの爆発に対応するため
テキストファイルだと、100万件のデータから1件を探すのに上から順に読み込む必要があり、時間がかかりすぎます。DBは「インデックス（索引）」という仕組みを持ち、瞬時にデータを見つけ出せます。
データの「信頼性」を保証するため（ACID特性）
銀行振込を想像してみましょう。
- Aさんの口座から1万円引く
- Bさんの口座に1万円足す
もし「1」の直後にシステムがダウンしたら、1万円が消えてしまいます。
こうならないよう、DBには「トランザクション」という仕組みがあり、「すべて成功するか、すべてなかったことにするか」のどちらかしか認めません。これが社会インフラを支える信頼性の正体です。
複数のプログラムから共有できるため
Linuxサーバー上で動く
- Webサイト
- スマホアプリ
- 管理画面
など、バラバラな入り口から入ってくる要求を、一つの窓口（MySQL）が交通整理して処理してくれます。
まとめ
MySQLは、システムにおける「記憶の番人」です。
- DBとは： 整理されたデータの基地。
- 司るもの： データの出し入れ、矛盾の防止、アクセスの交通整理。
- 大事な理由： 膨大なデータを「速く」「正確に」「安全に」扱うため。
LinuxにDBを入れるということは、そのサーバーに「確かな記憶力」と「厳格な管理能力」を持たせるということに他なりません。
ここまで踏まえ、LinuxにDBを入れていきましょう。
インストールとディレクトリ準備
MySQLサーバーのパッケージを導入し、MySQLサービスが利用するディレクトリの権限をあらかじめ適正化。
- MySQLサーバのインストール
sudo dnf install -y mysql-serverサービスの起動と初期ログイン
MySQLサービスを有効化し、初期状態でのログインを確認。
- サービスの有効化と起動
sudo systemctl enable --now mysqld- 初期ログイン（MySQL 8.0では初期状態はパスワードなし）
mysql -u rootrootパスワードの確定
ログイン直後にMySQLのroot顕現のパスワードを設定します。
※先ほどのDBの話に戻ります。DBは「システムのデータそのもの」を管理します。先ほどの図書館の例で言うと
- 利用者
- 所蔵されている本
- その本がどこにあるか（貸し出し中か、書架か）
- どのようなジャンルか、作者は？
まで全て記録されている状態です。ここで、例えば、悪意ある者が「『ハムレット』の作者は『クリストファー・マーロウ』である」としたい場合、悪意ある者はそのような行為ができてしまいます。
そのため、攻撃者はDBのroot権限を真っ先に奪います。それを防ぐためにも最初にrootパスワードを設定します。
- rootユーザーに対して新パスワードを適用
ALTER USER 'root'@'localhost' IDENTIFIED BY 'Your_Strong_Password';パスワードは自分の環境に合わせます。パスワード設定後、そのデータを適切な方法・手段・保管場所に格納してください。
- 権限設定
FLUSH PRIVILEGES;- コンソールから抜ける
EXIT- パスワードで入れるかを確認
mysql -u root -p設定したパスワードでログインできることを確認します。確認後、EXITで抜けます。
セキュリティの堅牢化 (mysql_secure_installation)
対話型スクリプトを用い、商用・本番環境に耐えうるセキュリティ設定を一括で適用します。 以下のように行ってください。
Enter password for user root:で、先ほどのrootパスワードが聞かれます。
その後、いくつかの確認事項があるのでYで答えます。
| 設定項目 | 内容 | 理由 |
|---|---|---|
| Remove anonymous users | Yes | 誰でも接続できる穴を塞ぐため |
| Disallow root login remotely? | Yes | ローカル管理に限定し攻撃経路を遮断するため |
| Remove test database and access to it? | Yes | 不要なオブジェクトの排除 |
| Reload privilege tables now? | Yes | 設定内容を有効化するため |
注意事項
- これは失敗した手順です。
- なのでやってはいけないやつです。
- あくまでも私の失敗したときの記録として残します。
何をやりたかったのか？
「KVMで作成したディスク(LVM)を500→200程度に切り詰めようとしたところ失敗した」。
環境
- ホスト
- Rocky Linux 8.6
- KVM
- ゲスト
- Rocy Linux 9.7
- シックボリュームで構築
1. ゲストOS内でのデータ整理
まず、ディスク容量を空けるために /home を削除・再作成し、使用量を削減しました。
- 状態: 物理ボリューム（PV）500GB に対し、中身の合計（Root+Home+Swap）を 170GB 程度まで圧縮。
2. データの「前詰め」作業（pvmove）
LVMの「末尾」にあるデータを物理的にディスクの「先頭」へ移動させました。
- コマンド:
sudo pvmove --alloc anywhere /dev/vda2 - 結果:
pvdisplay -mにて、使用中セグメントが 0 ～ 73153 PE（約180GB圏内）に固まり、それ以降がFREEになったことを確認。
3. PVリサイズの試行（pvresize）
管理情報を 180GB に書き換えようと試みました。
- コマンド:
sudo pvresize --setphysicalvolumesize 180G /dev/vda2- 結果:
cannot resize to 46079 extents as later ones are allocatedにより失敗。 - 考察: LVMの内部メタデータや、目に見えない微細なフラグが末尾に残っていた可能性。
4. ホスト側での物理コピー（dd による強行突破）
「データは前に寄せた」という事実に基づき、ホスト側から物理的に180GB 分だけを切り出す作戦を敢行。
- 手順:
- ホスト側で新LV（180GB）を作成。
ddコマンドで旧LVから 180GB 分を抽出コピー。lvrenameを使い、VMが参照するターゲットを 180GB の新ディスクにすり替え。
5. 最終結果
- 起動: 成功。
- ログイン: 失敗。
- 状況:
virsh console等で応答なし。 - 結論: LVMおよびファイルシステムの整合性において、180GB という境界線で「管理情報の断裂」が発生。
教訓
- LVMの末尾は聖域:
pvmoveでデータを寄せても、LVM自身の管理領域（Metadata Area）の整合性を保ったまま物理サイズを削るのは、OS稼働中や単純なddでは極めて困難である。 - 切り詰めるなら「外から」より「中から」: 今回のように外部から
ddで削る手法は、パーティションテーブルとLVMヘッダの整合性が 1 バイトでも狂うとシステム停止に直結する。
やはり、この手のリサイズは「新たにサーバを作成し（リサイズした上で）データを流し込む」という地道な主だが一番です。
こちらの機器が届いてから4ヶ月ほどの使い心地について。
最初の結論
「買って良かった」につきます。
懸念事項の払拭
最後まで買うのをためらった理由が「今まで使っていた中古のThinkPad X13より200g重い。これは許容できるのか？」でしたが、ほぼ無視できるレベルでした。
というのも重心設計が優れていて、たたんだ状態での安定感はむしろこちらの方が高いという実感です。
より打ちやすくなったキーボード
これもまた完璧でした。キーピッチが広めでしっかりしたキーストロークがあり、下手すればデスクトップPCより入力しやすいまであります。
バッテリーの持ち
一番驚いているのはこれです。割とがっつり記事執筆やWebブラウジングをしている状態でも充電場所を求めてさまようことがないのは精神衛生上健全です。
健在のトラックポイント
ThinkPad最大の特徴、これが真価を発揮するのは電車の席など。ホームポジションから手を離すことなくカーソルを操作できるのが便利。
CPUとグラフィックスの強化。
『ライザのアトリエ3DX』が違和感なく動くという驚異の性能。この見た目と薄さでライトな3Dゲームが動く様は見ていて感動です。
頑丈さ
これが本日、この記事を書く理由となります。自転車の脇にローバックチェアを設置し、ノートPCを広げていたと言うときに突風が吹き自転車が倒れ、ハンドル部分が液晶のヒンジに直撃。
これは液晶が壊れたか……？ 思ったのですがわずかなヒビで済みました。下手なPCだったら「買って4ヶ月後に壊れました」とのエントリーを出すところでした。致命傷となるところが無事で済むという高タフネスさに、これを選定して良かったと思うことしきり。
結局のところ
PCが高騰し始めた頃に購入したというが購入理由の一つでしたが、
- 予想以上に軽く感じる筐体
- バッテリーの持ちと十分な性能
- 圧倒的タフネス
によりしばらく手放せないと思った次第です。
16枚+αのカードが織りなす心理戦を気軽に楽しめる小箱の秀逸な作品です。
ゲームの概要
プレイヤーは姫(若様)に恋文を届けるため、城内の様々な人の助けを借りながら届けようとしています。
「1枚カードを引く」
「どちらかのカードを使う」
のシンプルさです。
このゲームの好きなところ
和の自然なテイスト
本家『LOVE LETTER』の日本版と言うだけあって姫のイラストは十二単。更に若様への差し替えも可能。他の登場人物も
- 侍
- 浪人
- 陰陽師
- 女中
などの差し替えができていて雰囲気も満点です。
確率とカウンティングの入門に最適
カードに「セット全体の枚数」が含まれているため、場が進むにつれて相手が何を持っているかの推測がしやすくなっています。（対戦相手にとっても）その確率の推理や心理戦などが非常に楽しいです。
しっかりとしたコンポーネント
スリーブ不要の分厚いカード。ゲーム中に使うカードも少ないため、スリーブの心配がありません。得点チップなどもない潔さは鞄の隙間にすんなりと入ります。
このゲームの少々残念なところ
少しテキスト量が多い
言語依存は高め。（といってもTCGに比べれば微々たるものですが）お子様や初心者相手に「広げて即プレイ」というわけにはいきません。プレイヤーエイドカード（サマリー）も文字を詰め込みすぎな形です。
賛否が分かれる「家老」の存在。
本家と異なるバリエーションとなる『家老』の存在。手札の合計値が「12」を超えるとサドンデス。その理不尽さは『家老死』なる言葉があるほど。これはさすがに運の問題とはいえ、それをゲームの一強とみることができるか、笑えない冗談と取るかはプレイヤーのコンセンサスが必要なところです。
まとめ
- カードのみの潔いコンポーネント
- スターターにも時間調整にもちょうどいいプレイタイム
- サドンデスや当てずっぽうでも勝てるうんと戦略のバランス
- ある程度のリプレイ性
などがほどよく混じった素晴らしい作品。
「ボードゲームを全く知らない初心者に何を遊ばせるか？」という問いに対しての筆者のある種の答えとなるゲーム。このゲームの反応を元に「重いゲームへの適性はあるか？」「どんなゲームに興味を持てそうか？」の一種の試金石となっている作品です。
惜しむらくは2026年現在、市場に流通していないこと。なので、本作のオリジナルをプレイ済みの方も、見かけたら遊んでいただきたい作品です。
まず、このデッキの使い道は自分の好みでした。
統率者
- 《光輝の創造者、サヒーリ/Saheeli, Radiant Creator(DRC)》
デッキ
クリーチャー
- 《オーロラの変幻者/Aurora Shifter(M3C)》
- 《乱動の地図作り/Roil Cartographer(MH3)》
- 《潮の星、京河/Keiga, the Tide Star(CLB)》
- 《破片撒きのスフィンクス/Sharding Sphinx(MOC)》
- 《蜥蜴丸/Lizard Blades(NEO)》
- 《改革派の霊気砲手/Aethertorch Renegade(KLD)》
- 《極楽鳥/Birds of Paradise(RVR)》
- 《金脈のハイドラ/Goldvein Hydra(OTJ)》
- 《恐竜の卵/Dinosaur Egg(LCC)》
- 《シャイラ専有地の賢者/Sage of Shaila's Claim(KLD)》
- 《獣性を築く者/Architect of the Untamed(DRC)》
- 《警戒するラッドスタッグ/Watchful Radstag(PIP)》
- 《進化の証人/Evolution Witness(MH3)》
- 《世界魂の代弁者、ニッサ/Nissa, Worldsoul Speaker(DRC)》
- 《浄化のドルイド/Druid of Purification(DRC)》
- 《ピーマの先駆者/Peema Trailblazer(DRC)》
- 《猛る霊気コブラ/Rampaging Aetherhood(DRC)》
- 《サイクロプスの超伝導師/Cyclops Superconductor(MH3)》
- 《ティラニッド・プライム/Tyranid Prime(40K)》
- 《崇高な飛行士/Empyreal Voyager(KLD)》
- 《ならず者の精製屋/Rogue Refiner(DRC)》
- 《つむじ風の巨匠/Whirler Virtuoso(DRC)》
- 《双子唱者、アドリックスとネヴ/Adrix and Nev, Twincasters(MKC)》
- 《フラクタルの花、エシックス/Esix, Fractal Bloom(MKC)》
- 《テルカーの技師、ブルーディクラッド/Brudiclad, Telchor Engineer(M3C)》
- 《整備長、ピア・ナラー/Pia Nalaar, Chief Mechanic(DRC)》
- 《極楽の羽ばたき飛行機械/Ornithopter of Paradise(DRC)》
- 《静電気式打撃体/Electrostatic Pummeler(KLD)》
- 《歩行格納庫の自動機械/Stridehangar Automaton(DRC)》
- 《ワームとぐろエンジン/Wurmcoil Engine(SOM)》
- 《三重の稲妻巨人/Threefold Thunderhulk(SOC)》
インスタント
- 《語りの調律/Tune the Narrative(MH3)》
- 《秘儀の否定/Arcane Denial(WOC)》
- 《不許可/Disallow(DRC)》
- 《混沌のねじれ/Chaos Warp(WHO)》
- 《エレクトロサイフォン/Electrosiphon(PIP)》
ソーサリー
- 《霊気との調和/Attune with Aether(DRC)》
- 《自然の知識/Nature's Lore(S99)》
- 《冒涜の行動/Blasphemous Act(DRC)》
- 《慮外な押収/Confiscation Coup(DRC)》
アーティファクト
- 《太陽の指輪/Sol Ring(DRC)》
- 《改良式鋳造所/Retrofitter Foundry(DRC)》
- 《稲妻のすね当て/Lightning Greaves(DRC)》
- 《抽出機構/Decoction Module(DRC)》
- 《好奇のタリスマン/Talisman of Curiosity(DRC)》
- 《秘儀の印鑑/Arcane Signet(DRC)》
- 《独創のタリスマン/Talisman of Creativity(WHO)》
- 《織木師の組細工/Woodweaver's Puzzleknot(KLD)》
- 《パンハモニコン/Panharmonicon(DRC)》
- 《霊気池の驚異/Aetherworks Marvel(DRC)》
- 《ウギンのきずな/Ugin's Nexus(KTK)》
- 《ゴンティの霊気心臓/Gonti's Aether Heart(M3C)》
- 《特製の闘車/Bespoke Battlewagon(DRC)》
- 《模倣メカ/Imposter Mech(NEC)》
- 《秘密の複製機/Esoteric Duplicator(BIG)》
- 《世界歩きの兜/Worldwalker Helm(BIG)》
- 《イゼットの発電装置/Izzet Generatorium(MH3)》
エンチャント
- 《革新の時代/Era of Innovation(DRC)》
- 《テフェリーのヴェール/Teferi's Veil(WTH)》
- 《倍増の季節/Doubling Season(PZA)》
- 《降霜断崖の包囲/Frostcliff Siege(TDM)》
プレインズウォーカー
- 《崇高な工匠、サヒーリ/Saheeli, Sublime Artificer(WAR)》
土地
- 《島/Island》
- 《島/Island》
- 《島/Island》
- 《島/Island》
- 《山/Mountain》
- 《山/Mountain》
- 《山/Mountain》
- 《山/Mountain》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《焦熱島嶼域/Fiery Islet(WHO)》
- 《天啓の神殿/Temple of Epiphany(WHO)》
- 《嵐削りの海岸/Stormcarved Coast(WHO)》
- 《凍沸の交錯/Frostboil Snarl(DRC)》
- 《シヴの浅瀬/Shivan Reef(DRC)》
- 《溢れ出た区画/Overflowing Basin(DRC)》
- 《ヤヴィマヤの沿岸/Yavimaya Coast(DRC)》
- 《繁殖池/Breeding Pool(DIS)》
- 《内陸の湾港/Hinterland Harbor(PIP)》
- 《冠水樹林帯/Waterlogged Grove(WHO)》
- 《蔦明の交錯/Vineglimmer Snarl(WHO)》
- 《隠れた茂み/Sheltered Thicket(WHO)》
- 《根縛りの岩山/Rootbound Crag(DRC)》
- 《カープルーザンの森/Karplusan Forest(DRC)》
- 《霊気拠点/Aether Hub(DRC)》
- 《遊牧民の前哨地/Nomad Outpost(DRC)》
- 《風変わりな果樹園/Exotic Orchard(DRC)》
- 《産業の塔/Spire of Industry(DRC)》
- 《祖先の道/Path of Ancestry(DRC)》
- 《統率の塔/Command Tower(DRC)》
- 《ケトリアのトライオーム/Ketria Triome(IKO)》
- 《ヘリオス１/HELIOS One(PIP)》
- 《アカデミーの廃墟/Academy Ruins(DRC)》
- 《霧深い雨林/Misty Rainforest(ZNE)》
実際の盤面。
倍増の季節の影響下、サイクロプスの超伝導師のコピーとなったサヒーリの構築物が2体並び、死亡誘発で5点×2を対象に向けて吹っ飛ばしました。
雑感
- エネルギーの支払いが面倒とはいえ、パワー5のEtB/死亡誘発が使い回せるのは極めて大きい。
- 《高名な者、ミシュラ》と異なり、パーマネントなら何でもコピーできるのが強い。
- 目を見張ったのが進化との相性の良さ。特に《ティラニッド・プライム》により継続的に進化の種ができる。
- 要、エネルギーの安定供給。
- もう少しエネルギーが得られるようなパーツ
- または、上陸でエネルギーを増やす手段など
総じて、「いかようにもいじる可能性に満ちた」デッキ。昨年、買っておいて良かったです。
久しぶりに統率者4人の卓が立ったため、対戦を行いました。
デッキはこちら。
統率者
《リスの将軍、サワギバ/Chatterfang, Squirrel General(MH2)》
デッキ
クリーチャー
- 《大釜の使い魔/Cauldron Familiar(ELD)》
- 《骨術師の達人/Osteomancer Adept(BLB)》
- 《ズーラポートの殺し屋/Zulaport Cutthroat(BLC)》
- 《威名のソルジャー、セフィロス/Sephiroth, Fabled SOLDIER(FIN)》
- 《無情な無頼漢/Ruthless Knave(XLN)》
- 《実験的な菓子職人/Experimental Confectioner(WOE)》
- 《悲哀の徘徊者/Woe Strider(BLC)》
- 《巣穴の魂商人/Warren Soultrader(MH3)》
- 《無慈悲な略奪者/Pitiless Plunderer(RIX)》
- 《無情な屍技術師/Ruthless Technomancer(NEC)》
- 《ヘイゼルの醸造主/Hazel's Brewmaster(BLC)》
- 《溜め込む親玉/Hoarding Broodlord(MOM)》
- 《エルフの神秘家/Elvish Mystic(TSR)》
- 《金のガチョウ/Gilded Goose(MOC)》
- 《ラノワールのエルフ/Llanowar Elves(_BR)》
- 《極楽鳥/Birds of Paradise(RVR)》
- 《森を護る者/Sylvan Safekeeper(MH3)》
- 《茨越えの餌あさり/Thornvault Forager(BLB)》
- 《献身のドルイド/Devoted Druid(UMA)》
- 《裕福な亭主/Prosperous Innkeeper(BLC)》
- 《小走り樫/Scurry Oak(MH2)》
- 《不屈の補給兵/Tireless Provisioner(BLC)》
- 《リスの小走り/Scurry of Squirrels(BLC)》
- 《ペレグリン・トゥック/Peregrin Took(LTR)》
- 《秘密を知るもの、トスキ/Toski, Bearer of Secrets(MKC)》
- 《終わりなき巣網のアラスタ/Arasta of the Endless Web(BLC)》
- 《永久の証人/Timeless Witness(MH2)》
- 《深き森の隠遁者/Deep Forest Hermit(BLC)》
- 《悪魔の職工/Fiend Artisan(IKO)》
- 《根花のヘイゼル/Hazel of the Rootbloom(BLC)》
- 《歩行バリスタ/Walking Ballista(AER)》
- 《アカデミーの整備士/Academy Manufactor(BLC)》
- 《カルドーサの鍛冶場主/Kuldotha Forgemaster(SOM)》
- 《マイアの戦闘球/Myr Battlesphere(TDC)》
インスタント
- 《命取りの論争/Deadly Dispute(BLC)》
- 《切断マジック/Saw in Half(BLC)》
- 《新緑の命令/Verdant Command(MH2)》
- 《蓄え放題/Cache Grab(BLB)》
- 《召喚の調べ/Chord of Calling(M15)》
- 《暗殺者の戦利品/Assassin's Trophy(ACR)》
- 《ウィンドグレイスの裁き/Windgrace's Judgment(BLC)》
ソーサリー
- 《発掘/Unearth(A25)》
- 《群がり庭の虐殺/Swarmyard Massacre(BLC)》
- 《根鋳造の弟子入り/Rootcast Apprenticeship(BLC)》
- 《大渦の脈動/Maelstrom Pulse(BLC)》
エンチャント
- 《清掃人の才能/Scavenger's Talent(BLB)》
- 《アクロゾズの約定/Promise of Aclazotz(LCC)》
- 《想起の拠点/Bastion of Remembrance(BLC)》
- 《美食家の才能/Gourmand's Talent(BLC)》
- 《パンくずの道標/Trail of Crumbs(ELD)》
- 《殺しのサービス/Killer Service(NCC)》
- 《イトリモクの成長儀式/Growing Rites of Itlimoc(XLN)》
- 《似通った生命/Parallel Lives(WOT)》
- 《陰湿な根/Insidious Roots(MKM)》
アーティファクト
- 《太陽の指輪/Sol Ring(BLC)》
- 《恐竜の遺伝子/Dino DNA(REX)》
- 《魔女のかまど/Witch's Oven(ELD)》
- 《頭蓋骨絞め/Skullclamp(BLC)》
- 《アシュノッドの供犠台/Ashnod's Altar(4ED)》
- 《ヌカコーラ自動販売機/Nuka-Cola Vending Machine(PIP)》
- 《前兆の時計/Clock of Omens(5DN)》
- 《旗印/Coat of Arms(EXO)》
- 《囀り吐き/Chitterspitter(BLC)》
プレインズウォーカー
- 《飢餓の潮流、グリスト/Grist, the Hunger Tide(MH2)》
バトル
- 《イコリアへの侵攻/Invasion of Ikoria(MOM)》
土地
- 《沼/Swamp》
- 《沼/Swamp》
- 《沼/Swamp》
- 《沼/Swamp》
- 《沼/Swamp》
- 《沼/Swamp》
- 《沼/Swamp》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《森/Forest》
- 《見捨てられたぬかるみ、竹沼/Takenuma, Abandoned Mire(NEO)》
- 《ゴルガリの腐敗農場/Golgari Rot Farm(RAV)》
- 《疾病の神殿/Temple of Malady(BLC)》
- 《森林の墓地/Woodland Cemetery(TDC)》
- 《黄昏のぬかるみ/Twilight Mire(TDC)》
- 《ラノワールの荒原/Llanowar Wastes(TDC)》
- 《緑ばんだ沼/Viridescent Bog(BLC)》
- 《汚れた森/Tainted Wood(BLC)》
- 《草むした墓/Overgrown Tomb(RAV)》
- 《屍花の交錯/Necroblossom Snarl(BLC)》
- 《風切る泥沼/Hissing Quagmire(OGW)》
- 《眠らずの小屋/Restless Cottage(WOE)》
- 《不気味な辺境林/Grim Backwoods(BLC)》
- 《群がりの庭/Swarmyard(TSR)》
- 《風変わりな果樹園/Exotic Orchard(BLC)》
- 《祖先の道/Path of Ancestry(BLC)》
- 《統率の塔/Command Tower(BLC)》
- 《新緑の地下墓地/Verdant Catacombs(ZEN)》
- 《成長の揺り篭、ヤヴィマヤ/Yavimaya, Cradle of Growth(MH2)》
「害獣」ことサワギバを押し出したアリストクラッツ。
盤面のシステムクリーチャーはおろか除去耐性を持たない生物群を否定し、無限も決まりやすいという、ゲームチェンジャーが入っていないのにブラケット3以上の動きをするお気に入りです。
サワギバ→無慈悲な略奪者で相手のクリーチャー全否定。（サワギバの能力起動。略奪者の誘発により宝物トークン発生。
サワギバがトークンに反応してリスを生成し、除去耐性を持たない全てのクリーチャーが+x/-xされます）。
流石に略奪者は除去されるものの、《溜め込む親玉》で《切断マジック》を探して親玉自身に打ち2枚サーチ。《巣穴の魂商人》と《ズーラポートの殺し屋》の無限ライフルーズ成立。
ここでの隠れたMVPが《陰湿な根》。トークンクリーチャーがマナクリーチャーとなる、《大地の知識》に似たような動きがキモでした。
ヘイトが向けられても押し切れるデッキということで使っているスタイルです。