- 鍵のパスフレーズ変更
鍵のパスフレーズ変更 
作成した鍵のパスフレーズを変更したい場合は、以下のコマンドを実行する。
% ssh-keygen -p
#br
概要
リモート通信を暗号化してくれるOpenSSHのTips
目次
- 秘密鍵・公開鍵でログイン
- 鍵のパスフレーズ変更
- authorized_keysのオプション
- rssh
- Port Forward
秘密鍵・公開鍵でログイン
アカウントのパスワードを使用せずに、鍵交換でログインする。
秘密鍵・公開鍵の作成から。
% ssh-keygen -t dsa -t dsa: DSAという鍵の種類で作成(SSH2で使用)。 -t rsa: RSAという鍵の種類で作成(SSH2で使用)。 -t rsa1: SSH1で使用する場合はこれで。
以下のような出力が出る。
普通に使うなら保存場所はデフォルトで。
パスフレーズは任意のものを指定する。
Generating public/private dsa key pair. Enter file in which to save the key (/home/foo/.ssh/id_dsa): Enter passphrase (empty for no passphrase):
出来た公開鍵id_dsa.pubをログインしたいサーバへauthorized_keysというファイル名でコピーする。
追記していけば複数の鍵でログインできるようになる。
上書きしないようにcpは使わない方がいいと思う。
% mkdir -m 700 ~/.ssh % cat id_dsa.pub >> ~/.ssh/authorized_keys
いちいちパスフレーズを入力するのが煩わしい時は、.bash_profileや.zprofileに以下を記述しておく。
eval `ssh-agent` ssh-add .ssh/id_dsa
コンソールにログインするときに以下のようにパスフレーズを尋ねられるので入力する。
Agent pid 1335 Enter passphrase for .ssh/id_dsa:
こうしておくと、以降はパスフレーズの入力を省略してSSHが使用できる。
authorized_keysのオプション
authorized_keysの各鍵の先頭にオプションを入れられる。
以下のように記述すると、ホストを制限できる。
from="192.168.xxx.xxx" ssh-dss AAAAB3N............
以下のように記述すると、そこに入れたコマンドした許可されない。
command="ls -l ." ssh-dss AAAAB3N............
つなげて書くには,(カンマ)で区切る。
from="192.168.xxx.xxx",command="ls -l ."
ssh-dss AAAAB3N............command=は意味ないと思うかもしれない。
しかし、rsyncとかscpだけを許可してバックアップのデータなどを送らせる専用ユーザなどで使用できる。
ただ、以下のように書いただけでは動作しない。
command="rsync" ssh-dss AAAAB3N............
どうやって書けばいいかは、クライアント機で実際にrsyncを実行してみる。
その時に、vvオプションで出力を冗長化する。
rsync -e ssh -avvz testfile foo@bar:/home/foo/data/
上記のように打つと以下のような出力になると思う。
opening connection using ssh -l foo bar rsync --server
-vvlogDtprz . /home/foo/data/
building file list ...上記のrsyncから始まる部分をコピーして、使う。
command="rsync --server -vvlogDtprz . /home/foo/data/" ssh-dss AAAAB3N............
これで、この鍵を使用してログイン時の動作はコマンド一つに限定される。
scpは使ってないので良くわからない。
しかし、これだけでは制限を回避できる方法もあるらしい。
やらないよりましだとは思うが…。
rssh
scp,sftp,rsyncなどのコマンドだけに動作が制限されるシェル。
一つ上の項目で書いたのと合わせて使用した。
ユーザfooのログインシェルをrsshにする。
% useradd -s /bin/rssh foo # 新規 % usermod -s /bin/rssh foo # 既存のユーザを変更
rssh.confを編集する。
# ログのファシリティの設定。ここでは"user"にしてある。 logfacility = LOG_USER # どのコマンドを許可するか。 # ここで設定するとデフォルトの設定になる。 #allowscp #allowsftp #allowcvs #allowrdist allowrsync # umask umask = 027 # ここでchrootするパスを設定すると、 # どのユーザでアクセスしてもここにchrootされるんだと思う。 # 未確認。 #chrootpath = /usr/local/chroot # ディレクトリ名にスペースが入っているとき。 # 下記のように"(クォート)で括る。 #chrootpath = "/usr/local/my chroot" ########################################## # ここから下は各ユーザ毎に設定できる。 # "user=ユーザ名:umask:許可・不許可:chrootのパス" # chrootしない時は下記のように。 # 最後の5桁の数字はそれぞれコマンドの許可・不許可を設定する。 # 0が不許可で、1が許可。 # 順番は、"rsync,rdist,cvs,sftp,scp"。 #user=rudy:077:00010 # cvsだけ許可、chrootなし。 #user=rudy:011:00100: # cvs, with no chroot # rdistだけ許可、chrootなし。 #user=rudy:011:01000: # rdist, with no chroot # rsyncだけ許可、chrootなし。 #user=rudy:011:10000: # rsync, with no chroot # scpだけ許可、chrootあり。 #user=rudy:011:00001:/usr/local/mychroot # ここもディレクトリ名にスペースが入っている時はクォートする。 #user=rudy:011:00010:"/usr/local/my chroot" # 今回使用したのはこれ。 # fooにrsyncだけを許可。chrootのパスは/mychroot user=foo:027:10000:/mychroot
chrootしないなら、これだけで使用できる(rssh.confはchrootしないように書き換える)。
下記はchroot環境の準備。rsyncでのみ動作確認している。
OSはRHEL4UP5。
使用するものをコピー。
% mkdir -p /mychroot/usr/bin
% mkdir -p /mychroot/usr/libexec
% mkdir -p /mychroot/usr/libexec/bin
% cp -p /usr/bin/scp /mychroot/usr/bin/
% cp -p /usr/bin/rsync /mychroot/usr/bin/
% cp -p /usr/libexec/openssh/sftp-server /mychroot/usr/libexec/
% cp -p /usr/libexec/bin/rssh_chroot_helper
/mychroot/usr/libexec/bin/それぞれに必要なライブラリをコピーする。
何が必要かは、以下のコマンドでわかるらしい。
% ldd `which scp`
libcrypto.so.4 => /lib/libcrypto.so.4 (0x00b1d000)
libutil.so.1 => /lib/libutil.so.1 (0x00169000)
libz.so.1 => /usr/lib/libz.so.1 (0x00cf1000)
libnsl.so.1 => /lib/libnsl.so.1 (0x003dc000)
libcrypt.so.1 => /lib/libcrypt.so.1 (0x00c43000)
libselinux.so.1 => /lib/libselinux.so.1 (0x00b05000)
libgssapi_krb5.so.2 =>
/usr/lib/libgssapi_krb5.so.2 (0x001ee000)
libkrb5.so.3 => /usr/lib/libkrb5.so.3 (0x00763000)
libk5crypto.so.3 => /usr/lib/libk5crypto.so.3 (0x00f9f000)
libcom_err.so.2 => /lib/libcom_err.so.2 (0x00e7d000)
libresolv.so.2 => /lib/libresolv.so.2 (0x00821000)
libc.so.6 => /lib/tls/libc.so.6 (0x00202000)
libdl.so.2 => /lib/libdl.so.2 (0x00f05000)
/lib/ld-linux.so.2 (0x005ca000)
% ldd `which rsync`
libpopt.so.0 => /usr/lib/libpopt.so.0 (0x00b3f000)
libresolv.so.2 => /lib/libresolv.so.2 (0x00791000)
libc.so.6 => /lib/tls/libc.so.6 (0x00612000)
/lib/ld-linux.so.2 (0x005f8000)上記で出力されたファイルを全てコピーする。
rsshのドキュメントを見ていくと、/etc/ld.so'も全てコピーせよとある。
% mkdir /mychroot/etc % cp -rp /etc/ld.so' /mychroot/etc/
パスワードファイルも必要みたい。
% cp -p /etc/passwd /mychroot/etc/
後で気づいたのだが、rsshがsyslogに出力するタイムゾーンがずれていた。
そのため、これもコピー。
% cp -p /etc/localtime /mychroot/etc/
これもドキュメントに従ってコピー。
% cp -p /lib/libnss_files.so.' /mychroot/lib/
ログの出力のためにこれがいるとのこと。
% mkdir /mychroot/dev
それからsyslogを再起動する。
再起動時に-a /mychroot/dev/logというオプションを付けるらしい。
RHELなら/etc/init.d/syslogなんかに記述するのだと思う。
今回設定したサーバは、syslog-ngを使用していたので、/etc/syslog-ng/syslog-ng.confに下記を追記した。
unix-stream ("/dev/log");
と、なっているところを…
unix-stream ("/dev/log");
unix-stream ("/mychroot/dev/log");これでsyslog-ngを再起動する。
/mychroot/dev/logというソケットファイルが出来ていればOK。
chrootするユーザのホームディレクトリもいると思う。
% mkdir -p /mychroot/home/foo % chown foo:foo /mychroot/home/foo
これで自分の環境では動いた。
2009/03/13追記
Debianではrssh_chroot_helperに'suidビットが立っていない'。
以下のようにすれば動作する。
% chmod u+s rssh_chroot_helper
Port Forward
こんな時に便利。
- 社内LANのPC(mypc.example.com)から、
- 全然関係ない社外PC(stranger.example10.com)のポート3333番にTELNETでつなぎたい。
- だけど間にFWがあるので3333番に通信できない。
- だけどSSHで自分の家のLinux(myhome.example99.com)には繋げる。
そんな時はSSHのトンネルを通してやる。
ちょっとややこしいので図に書きたいが後日…。
% ssh -L 10000:stranger.example10.com:3333
myhome.example99.com -l foo上記の意味は、
- localhost(この場合だと"mypc.example.com")の10000番にアクセスすると、
- stranger.example10.com の3333番へ、
- ssh で myhome.example99.com へ張ったコネクションを使って通す。
"-l foo"はmyhome.example99.comへSSH接続するユーザ名を入れる。
これで、以下のようにするとTELNETでstranger.example10.comの3333番へアクセスできるはず。
% telnet localhost 10000
これがFTPでもHTTPでもなんでも同様。
