ATOM Liteでインターホン鳴ったりボタン押されたらDiscordに通知するやつ作った

今までRaspberry Pi ZeroでやっていたのをATOM Liteに移した。
特別なことはしていないが慣れていないとそこそこ詰まりどころがあったのでまとめておく。

Grove端子

できあいのケーブルやユニバーサル基板用のメスコネクタは売っているが、ケーブル自作用のコンタクトやハウジングは公式には存在しない。
NS-TECHの1125を使っているらしくSMH200, YST200, HY2.0といったやつが互換品のようだがAliExpressでさえ僅かな店舗が出品しているという程度で入手難度が高い。
JST PHのコンタクトで代替できない事もないが刺さり具合が不安定。
現状日本で買えるのはGrove互換コネクタ HY2.0mm ハウジング・コンタクトピンセット / CON302-HY2-4P-5Pだけの様子。
以前はaitendoでも取り扱いがあったようだが長く入荷が無いらしくコンタクトの在庫が1個あるだけでハウジングは売られていなかった。

PlatformIO on VSCode

ATOM Liteでhttp postしてwebhookを叩いて通知を飛ばすやつ

家のインターホンはボタンが押されると2vが流れる拡張用端子がついていたのでGPIO32とGNDに繋いだ。

NginxとOAuth2 ProxyでWebアプリに認証をつける

こないだセットアップしたChronografを外部に公開するために認証を付ける。
OAuthのプロバイダとしてGitHubを使うとOrganizationとTeamで権限を付けられるのでわかりやすく便利。

Nginxの設定はわりと複雑だがSSLに関してはMozilla SSL Configuration Generatorがあり、OAuth2 Proxy向けの設定はConfiguration - OAuth2 Proxyに載っているのでさほど苦労はしない。
Let's Encryptのワイルドカード証明書の取得と更新を済ませてある前提。

OAuth2 Proxy

Releases · oauth2-proxy/oauth2-proxy
cookie-secretはpython -c 'import os,base64; print(base64.urlsafe_b64encode(os.urandom(16)).decode())'しろとConfiguration - OAuth2 Proxyにあった。
リポジトリに入っているoauth2-proxy.service.exampleはメンテされていないっぽいので適当に書いた。

wget https://github.com/oauth2-proxy/oauth2-proxy/releases/download/v5.1.0/oauth2_proxy-v5.1.0.linux-amd64.go1.14.tar.gz
tar xf oauth2_proxy-v5.1.0.linux-amd64.go1.14.tar.gz
sudo cp oauth2_proxy-v5.1.0.linux-amd64.go1.14/oauth2_proxy /usr/local/bin/

sudo tee /etc/systemd/system/oauth2_proxy.service << EOM > /dev/null
[Unit]
Description=OAuth2 Proxy
After=network.target

[Service]
Type=simple
Restart=always
ExecStart=/usr/local/bin/oauth2_proxy -cookie-secret=foo -email-domain=* -provider=github -client-id=bar -client-secret=baz -github-org=qux -github-team=quux

[Install]
WantedBy=multi-user.target
EOM

sudo systemctl enable --now oauth2_proxy

Nginx

sudo apt install nginx-light
sudo rm modules-enabled/50-mod-http-echo.conf
sudo rm sites-enabled/default
sudo systemctl reload nginx

sudo tee /etc/nginx/snippets/ssl.conf << EOM > /dev/null
# generated 2020-05-02, Mozilla Guideline v5.4, nginx 1.17.7, OpenSSL 1.1.1f, modern configuration
# https://ssl-config.mozilla.org/#server=nginx&version=1.17.7&config=modern&openssl=1.1.1f&guideline=5.4

listen 443 ssl http2;
listen [::]:443 ssl http2;

ssl_certificate /etc/letsencrypt/certificates/example.com.crt;
ssl_certificate_key /etc/letsencrypt/certificates/example.com.key;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;  # about 40000 sessions
ssl_session_tickets off;

# modern configuration
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers off;

# HSTS (ngx_http_headers_module is required) (63072000 seconds)
add_header Strict-Transport-Security "max-age=63072000" always;

# OCSP stapling
ssl_stapling on;
ssl_stapling_verify on;

# verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /etc/letsencrypt/certificates/example.com.issuer.crt;

# replace with the IP address of your resolver
resolver 127.0.0.1;
EOM

sudo tee /etc/nginx/sites-available/chronograf << 'EOM' > /dev/null
server {
  server_name chronograf.example.com;

  include snippets/ssl.conf;

  location /oauth2/ {
    proxy_pass       http://127.0.0.1:4180;
    proxy_set_header Host                    $host;
    proxy_set_header X-Real-IP               $remote_addr;
    proxy_set_header X-Scheme                $scheme;
    proxy_set_header X-Auth-Request-Redirect $request_uri;
    # or, if you are handling multiple domains:
    # proxy_set_header X-Auth-Request-Redirect $scheme://$host$request_uri;
  }

  location = /oauth2/auth {
    proxy_pass       http://127.0.0.1:4180;
    proxy_set_header Host             $host;
    proxy_set_header X-Real-IP        $remote_addr;
    proxy_set_header X-Scheme         $scheme;
    # nginx auth_request includes headers but not body
    proxy_set_header Content-Length   "";
    proxy_pass_request_body           off;
  }

  location / {
    auth_request /oauth2/auth;
    error_page 401 = /oauth2/sign_in;

    # pass information via X-User and X-Email headers to backend,
    # requires running with --set-xauthrequest flag
    auth_request_set $user   $upstream_http_x_auth_request_user;
    auth_request_set $email  $upstream_http_x_auth_request_email;
    proxy_set_header X-User  $user;
    proxy_set_header X-Email $email;

    # if you enabled --pass-access-token, this will pass the token to the backend
    auth_request_set $token  $upstream_http_x_auth_request_access_token;
    proxy_set_header X-Access-Token $token;

    # if you enabled --cookie-refresh, this is needed for it to work with auth_request
    auth_request_set $auth_cookie $upstream_http_set_cookie;
    add_header Set-Cookie $auth_cookie;

    # When using the --set-authorization-header flag, some provider's cookies can exceed the 4kb
    # limit and so the OAuth2 Proxy splits these into multiple parts.
    # Nginx normally only copies the first `Set-Cookie` header from the auth_request to the response,
    # so if your cookies are larger than 4kb, you will need to extract additional cookies manually.
    auth_request_set $auth_cookie_name_upstream_1 $upstream_cookie_auth_cookie_name_1;

    # Extract the Cookie attributes from the first Set-Cookie header and append them
    # to the second part ($upstream_cookie_* variables only contain the raw cookie content)
    if ($auth_cookie ~* "(; .*)") {
        set $auth_cookie_name_0 $auth_cookie;
        set $auth_cookie_name_1 "auth_cookie_name_1=$auth_cookie_name_upstream_1$1";
    }

    # Send both Set-Cookie headers now if there was a second part
    if ($auth_cookie_name_upstream_1) {
        add_header Set-Cookie $auth_cookie_name_0;
        add_header Set-Cookie $auth_cookie_name_1;
    }

    proxy_pass http://127.0.0.1:8888/;
    # or "root /path/to/site;" or "fastcgi_pass ..." etc
  }
}
EOM

sudo ln -s /etc/nginx/sites-available/chronograf /etc/nginx/sites-enabled/chronograf
sudo nginx -t
sudo systemctl reload nginx

UbuntuにTelegrafとInfluxDBとChronografとKapacitorを入れた

せっかくだしinfluxDataで揃えたがChronografとKapacitorはaptで管理できないのがつらい。
しかしChronografはInfluxDBの管理ができたりLog Viewerでsyslogを見れたりという感じで便利度は高い。
Telegrafはデータを集めてInfluxDBへ投げてくれるやつで、Kapacitorはアラートを飛ばすやつ。

インストール

InfluxDBとTelegrafは公式リポジトリからaptで入るがChronografとKapacitorはDownloadsから落として手で入れる必要がある。
インストールの手順もこっちに書いてありドキュメントがとっ散らかっていて厳しい。
kapacitorはsudo systemctl start kapacitorしてやる必要があった。
後から気づいたがUbuntu 20.04でドキュメントに従うとインストールされるInfluxDBが古いものでInstall InfluxDB on Ubuntu 20.04/18.04 and Debian 9 | ComputingForGeeksによると18.04向けのリポジトリが使えるよとのことだったのでそうした。
GitHubのIssueを見ると指摘されて更新するみたいなのを繰り返しているのであまりメンテされていないようだ。

設定

どれも特に設定することなくデフォルトで動く。
Telegrafはinfluxdata/telegraf: The plugin-driven server agent for collecting & reporting metrics.を見てプラグインを追加したconfigを出力したのでrsyslog側の設定が必要になった。
telegraf --input-filter syslog:cpu:disk:diskio:mem:net:netstat:processes:procstat:swap:system --output-filter influxdb config | sudo tee /etc/telegraf/telegraf.conf
また、rsyslogはTCPで通信するとsyslogがエラーまみれになる問題があり、omfwd: TCPSendBuf error -2027 · Issue #3910 · rsyslog/rsyslogを見てUDPに切り替えた。

グラフ

ChronografのHost ListやLog ViewerはTelegrafプラグインでInfluxDBへデータが投入されると自動的に使えるようになる。
Log Viewerでsyslogを見るのは手軽な割になかなか便利で検索クエリをセーブさせてくれたら文句無いのにな…という感じ。 System Log Viewer

このあと

Raspberry Piに付けたセンサーで計測したデータを投入する

追記

結局ChronografとKapacitorは使わなくなった。
とにかく機能が不足していてやはりGrafanaの方が圧倒的に便利。
Log Viewerでsyslogを見るというのもTelegraf / InfluxDB / Grafana as syslog receiver – NWMichl Blogで公開されているjsonをインポートするとGrafanaでも苦労なくできる。
デフォルトだとInfluxDBのログとかがうるさいのでSetting>Variables>$appnameでRegex/^(?!influxd|grafana-server)/を追加したぐらい。

Let's Encryptのワイルドカード証明書の取得と更新

APIが整備されてるCloudflareと1バイナリのLet's Encryptクライアントであるlegoの組み合わせでお手軽にワイルドカードな証明書を手に入れられる。
この機会にドメイン自体をCloudflareに移管したので更新料も安くなった。

aptで入るlegoは古いのでReleases · go-acme/legoから落とす必要があり、CloudflareのAPI TokenはAll zones - Zone:Read, DNS:Edit以上が必要。
更新はcron.monthlyにまかせ、証明書が更新されたらNginxをリロードする。

wget https://github.com/go-acme/lego/releases/download/v3.6.0/lego_v3.6.0_linux_amd64.tar.gz
tar xf lego_v3.6.0_linux_amd64.tar.gz lego
sudo mv lego /usr/local/bin/lego
CLOUDFLARE_DNS_API_TOKEN=xxxxxxxxxx sudo -E lego --accept-tos --path /etc/letsencrypt --dns cloudflare --domains example.com --domains *.example.com --email letsencrypt@example.com run
sudo chmod -R a=rX,u+w /etc/letsencrypt

sudo tee /etc/cron.monthly/lego << EOM > /dev/null
#!/bin/sh
CLOUDFLARE_DNS_API_TOKEN=xxxxxxxxxx lego --accept-tos --path /etc/letsencrypt --dns cloudflare --domains example.com --domains *.example.com --email letsencrypt@example.com renew --renew-hook systemctl reload nginx
EOM
sudo chmod 755 /etc/cron.monthly/lego

Vultrの高周波数プランを契約してUbuntu 20.04 LTSをセットアップした

これまではさくらのVPS(v3) 2Gを使っていたが便利なサービスが増えすぎてVPSで何かを動かすことが激減し2Gプランは過剰だしストレージがHDDのままなのもなという感じだったので、VultrのHigh Frequency Computeの1GBメモリで月$6のプランに移ることにした。
CPUが3GHz以上でSSDもNVMeなので速いというやつ。

Raspberry Pi 4を買って使わなくなったSSDを繋ぐというのも考えたがUPSも用意しないといけないし自室がクソ狭くちょうどよい場所がないので諦めた。

アフィリエイトリンクを載せておくのでもし良ければここから登録して欲しい。

Ubuntu 20.04 LTS

rootでログインして新しくユーザを作りrootログインを無効化する

apt update && apt upgrade -y && apt autoremove -y
adduser ebith
gpasswd -a ebith sudo
passwd -l root
reboot

Swapが無いので作っておく、NTPサーバが海外向けなのでntp.nict.jpへ向ける、タイムゾーンを設定する

参照: Vultr における Ubuntu 16.04 Server の設定メモ - 今日も微速転進

sudo dd if=/dev/zero of=/swapfile count=2048 bs=1M
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo "/swapfile none swap sw 0 0" | sudo tee -a /etc/fstab

sudo sed -i -e "s/NTP=1.time.constant.com 2.time.constant.com 3.time.constant.com/NTP=ntp.nict.jp/" /etc/systemd/timesyncd.conf
sudo systemctl restart systemd-timesyncd

sudo timedatectl set-timezone Asia/Tokyo

パスワードログインを不許可に

母艦からssh-copy-idしておく。
sshdのポートは適当に変更する。番号を決めるにはGoogleが便利
ちゃんとパスワードでログインできなくなっているか確認するにはssh -v -o PubkeyAuthentication=no -p xxxxx user@hostname

sudo sed -i -e "s/PermitRootLogin yes/#PermitRootLogin yes/" /etc/ssh/sshd_config
sudo tee -a /etc/ssh/sshd_config << EOM > /dev/null
PasswordAuthentication no
PermitRootLogin no
Port 22
EOM
sudo systemctl restart sshd

sudoのパスワードを長持ちさせる

sudo visudoしてDefaults timestamp_timeout = 30を追記

ファイアウォール

Vultr側でファイアウォールの設定をすることにしてufwは止めた

sudoeditでvimを使う

sudo update-alternatives --config editor

その他

  • ssh-keygen -t ed25519して公開鍵をGitHubに登録する
  • sudo hostnamectl set-hostname example.comでホスト名を設定する

このあと

  1. 古いVPSで動いてるやつを移す
  2. さくらのVPSをちゃんと解約する
  3. Telegraf + InfluxDB + Grafanaで無駄可視化やりたい

新しく組んだPCのブルースクリーン(VIDEO_SCHEDULER_INTERNAL_ERROR)とKernel-Power 41が解決するまで

要約

PCを組むべく買ったパーツの中でGPU初期不良だったがそうと気づくまで1ヶ月以上かかり修理に更に一ヶ月以上かかった。

関連記事

流れ

  1. 新しくPCを組むが1日に1回程度の頻度でBSoD(VIDEO_SCHEDULER_INTERNAL_ERROR)する
  2. BSoDの発生はまばらでゲームも遊べるのでGPUドライバのバージョンを変えてみたりしながら様子見する
  3. 不意のBSoDは変わらず続くので困ったなと思いつつイベント ビュアーを確認するとBSoDのタイミングでKernel-Power 41が記録されていることに気づく
  4. ググってKP41はGPUが原因とは限らないと知り対策に迷走する
  5. 古いGPUを借りることができたので交換してみたところ収まった
  6. どうやらそもそもGPU初期不良だったということらしい
  7. 初期不良の期間はとっくに過ぎていたので通常保証対応を申し込む
  8. サポートへの連絡からGPUが戻ってくるまで一ヶ月以上

雑感

PCパーツは初期不良対応の期間は最低でも2週間できれば一ヶ月あるところで買うべき。
初期不良の対応期間が1週間しかないところで買ったのであっという間に過ぎ去ってしまい、 GPUが怪しいとは思いながらも他のパーツを疑うということをしてしまった。
何かあった時に手早く交換や返品対応してくれるAmazonがこういうときは強い。

パーツをまとめ買いしちゃうと初期不良チェックが大変なので避ける。

原因を切り分けるためにも別のPCが一台欲しい。
新しくPCを組んだからと言って古いPCを即処分するのは良くない。

困った時にググるのは良いがハードウェアが関係してくるトラブルは原因が様々すぎるので参考にとどめる。

アスクはチャットサポートが無く、メールの返信も遅く電話するのが最も早いという今どきつらいやつ。
サポートの対応自体は丁寧かつ簡潔で不満は無いのだが価格上乗せで払ってるしもうちょっと頑張ってほしいところ。
昔に比べると保証期間伸びたしこれでもまだマシな方というのが悲しい。

RMAに関しては申請から返送品の到着まで2週間足らずで保証期間が3年もあるEVGAが本当に強い。
個人輸入する必要があるしAmazon.comでは品薄なことが多いので手軽さには欠ける。

Windows 10 Version 1903 インストールメモ

Ryzen 7 3700XとRadeon RX 5700 XTで新しいPCを組んだ時のやつ。

Windows

これまでも何度かWindows 10のインストールをしているが面倒なだけで利点が見えないので毎回オフラインアカウントだしCortanaはオフでWindows 10の特色を殺す感じになってる。

アプリケーション

MSYS2

Vim用にGit、Tridactyl用にPythonをインストールする。
$PATHにC:\msys64\usr\binを追加しておく。

Google 日本語入力

前のPCで忘れずにキーマップをエクスポートしておく。

Firefox

Firefox 69からuserChrome.cssがデフォルト無効になった。
about:configからtoolkit.legacyUserProfileCustomizations.stylesheetsをtrueにする必要がある。

Tridactyl

AMOから削除されたりしていてなかなか大変そう。
Windowsで普通に:nativeinstallしてもUnicodeDecodeErrorだとかでexeが死んで.tridactylが読み込まれない。
かといってMSYS2のPythonではpyコマンドが付いてこないのでTridactylからPythonを見つけられない。
その場合リポジトリからnative_main.pyを持ってきてnative_main.batの2行目をcall python -u .\native_main.pyにするとちゃんと動くようになる。

Vim

UnixWindowsで設定ファイルの配置が変わるの忘れがち。
%USERPROFILE%/vimfiles/vimrcになる。
参照: starting - Vim日本語ドキュメント

だいなファイラー

今年5年ぶりの更新があった。
シャットダウンを阻害するので手動で終了させてあげないといけないのだけが不満。

Keypirinha

Fenrirから移ってきた。
目的としてはスタートメニューのアプリとC:\ebith\appに入れたポータブルなアプリの起動なのでignored_packagesで不要なパッケージを無効にしてFilesCatalog.iniにスキャンしたいフォルダを指定した。

keypirinha.ini

[app]
hotkey_run = Ctrl+Space
ignored_packages = Bookmarks

[gui]
hide_on_focus_lost = yes
show_on_taskbar = no

apps.ini

[main]
scan_desktop = no
scan_env_path = no

filescatalog.ini

[profile/app]
activate = yes
paths = C:\ebith\app\**
filters = + ext: .exe

自作スクリプトなど