SSH その3

[0001 名無しさん＠お腹いっぱい。 NG NG]

SSHに関する情報交換のスレッドです。

FAQ、リンク集は >>2-5 あたり。

前スレ: http://pc.2ch.net/test/read.cgi/unix/1028157825/
前々スレ: http://pc.2ch.net/unix/kako/976/976497035.html

[0422 名無しさん＠お腹いっぱい。 NG NG]

sftp が .netrc を読むとは初耳だ。
ftp とは似て非ざるものぞ。

[0423 名無しさん＠お腹いっぱい。 NG NG]

>>422
×非ざる
○非なる
これでは否定の否定だ。

[0424 421 NG NG]

やっぱ.netrcはsftpじゃ読めないってこと・

[0425 名無しさん＠お腹いっぱい。 NG NG]

>>423
非（あら）ざる
非（ひ）なる

[0426 名無しさん＠お腹いっぱい。 NG NG]

>>421
sftpは.netrcを読まないので、自動ログインする場合は別の方法が必要になる。
パスフレーズなしの秘密鍵を使うとか。
つか、

> ftp -v -i XXXX.XXXX.XXXX.XXXX(接続先IP) < $HOME'/.netrc'

って使い方は合ってるの?
.netrcは標準入力に与えるんじゃなくて、ただ記述しておくだけ(ftpが勝手に読む)んだと
思ってたけど。

[0427 名無しさん＠お腹いっぱい。 NG NG]

man ハ偉大ナリ
man シル　man シル　man シル

[0428 421 NG NG]

>>422-426
レスさんくすです。
sftpは.netrcを読まないんですね。

>.netrcは標準入力に与えるんじゃなくて、ただ記述しておくだけ(ftpが勝手に読む)んだと
思ってたけど。

明示的にする為にわざとそういう書き方をしています。


シェル内にsftpを組み込む時、いちいち１つずつファイルを転送するコマンドを書かずに、
１つの転送スクリプトにまとめておき、sftpに一度で読み出すようにしたいんですが
何か方法ってあるんでしょうか。

[0429 名無しさん＠お腹いっぱい。 NG NG]

>明示的にする為にわざとそういう書き方をしています。

いや、それ間違ってるので。
標準入力に食わせるコマンド列と .netrc は文法が違うし、
そもそも -n という引数を与えなけりゃならんし。
詳しくは ftp の man を読んでくれ。
sftp の man も読むと答が載っててウマーだ。

[0430 名無しさん＠お腹いっぱい。 NG NG]

>>425
読み方なら知ってるよ。
それとも「似て非(あら)ざる」という言い回しがあると言ってるのかな？

[0431 名無しさん＠お腹いっぱい。 NG NG]

「あらざる」が否定の否定とはどういうことだ？

[0432 名無しさん＠お腹いっぱい。 NG NG]

「非(あらず)」が否定で、それにさらに否定の助動詞「ざる」がくっついてるから、かな。

[0433 名無しさん＠お腹いっぱい。 NG NG]

という恥ずかしい勘違いを>>423はやっちまったわけだな。

「非ず」は「あり」+「ず」だろ。

「似て非ざる」を「似て非なる」に訂正したはいいが、蛇足だったな。

[0434 名無しさん＠お腹いっぱい。 NG NG]

どうでもいい箇所の揚げ足とって面白いんだろうか？

[0435 名無しさん＠お腹いっぱい。 NG NG]

>>423=434
そんなに悔しいか。なら始めっから間違った知識でひとの揚げ足なんか取るなよ。

[0436 NG NG]

どうして誰も書かないのか不思議だが…、

　　　OpenSSH 3.8.1　＆　OpenSSH 3.8.1p1　　あげ！！！

[0437 436 NG NG]

あー、間違えたｽﾏｿ

移植版じゃない方（OpenBSD専用版）は 3.8 のままなのか

[0438 名無しさん＠お腹いっぱい。 NG NG]

なんで、 3.8p2 じゃなくて 3.8.1p1 なのだろう？？

[0439 436 NG NG]

http://www.itmedia.co.jp/enterprise/0404/20/epn06.html
にハメられた…コンチックショ

[0440 名無しさん＠お腹いっぱい。 NG NG]

>>438
"p" は patch level の "p" でなくて portable の "p" のことと思われ。

つまり、本家が 3.8 → 3.8.1 に上がって、
portable もそれに追従すると 3.8.1p1 になる、と。

[0441 名無しさん＠お腹いっぱい。 NG NG]

早速 3.8.1p1 を入れようと思うが
元の ssh と同じ prefix じゃないとヤバいのかな？

[0442 名無しさん＠お腹いっぱい。 NG NG]

>>440
つーか、3.8.1 はでてねーんだなこれが。>>437 のとおり。
see ttp://www.openssh.com/

[0443 名無しさん＠お腹いっぱい。 NG NG]

>>442
あ、はい、それは了解してますが、一般的なバージョン付けの話ということで。
紛らわしい話をしてしまってスマソ。

[0444 名無しさん＠お腹いっぱい。 NG NG]

超初心者です。
sshを使うように命ぜられましてtelnetでログイン後
a@a ssh-keygen -t rsa1
enter
パス入力*2

と行っているのですが、prng_seedが作成されません。
identityとidentity.pubは作成されています。
その後authorized_keysを作成してidentityをbinaryでローカルにFTPしても
やはりログインできません。

別の人が同じ手順でやると、きちんと出来るのですが
何かユーザーに権限とか必要なのでしょうか。

[0445 名無しさん＠お腹いっぱい。 NG NG]

宿題だか研修だか知らんが、まあ頑張れ

[0446 名無しさん＠お腹いっぱい。 NG NG]

>>444
情報が少なすぎorあいまい。
ローカル、リモートを区別するために、それぞれ命名すること。
各種の操作をどちらで行ったか書くこと。
telnetかsshとか両者がからむときは、どちらからどちらへの操作か書くこと。
OS, sshのバージョンも場合によっては必要。
ssh -vの結果を、うまくできる人と比較すること。
本当に同じ手順で同じことをやったの？
ところで、秘密鍵をFTPで転送したりするの？

[0447 名無しさん＠お腹いっぱい。 NG NG]

>>442
OpenBSDのcvs headのsshは3.8.1だよん

[0448 名無しさん＠お腹いっぱい。 NG NG]

sftpでうpろーどできんの？

[0449 名無しさん＠お腹いっぱい。 NG NG]

>>444
~/.ssh/は0700じゃないとダメなので確認する。
authorized_keysも0600が望ましい。

[0450 名無しさん＠お腹いっぱい。 NG NG]

あ、秘密鍵送ってんのか。駄レスｽﾏｿ

[0451 名無しさん＠お腹いっぱい。 NG NG]

初心者なので分からないのですが、
あるPCにSSHログインした場合、どんなログ情報が残るのですか？
220.xxx.xxx.xxx -> 159.xxx.xxx.xxx
とだけしか残りませんか？
その後のディレクトリの移動もログに残りますか？
ログの場所はどこですか？教えてください。すいません...。

[0452 名無しさん＠お腹いっぱい。 NG NG]

>>451
管理者に聞いて下さい。

[0453 名無しさん＠お腹いっぱい。 NG NG]

特定のディレクトリに入ってきたら
ログを取るような設定は出来ますか？

[0454 名無しさん＠お腹いっぱい。 NG NG]

(´-`).｡ｏＯ(何がしたいんだか…)

[0455 ばんざぁ〜い！君でしこってよかったぁ NG NG]

いえぇ〜い！ばんざぁ〜い！君でしこってよかったぁ
このままずぅ〜っとずぅ〜っと　死ぬまでオナニ〜

>>454
恐らくＳＳＨなんてどうでもいくて　かまってほしかっただけなのでは？
質問内容自体が具体性に欠け漠然としているので
さして緊急でもなかろうて

[0456 名無しさん＠お腹いっぱい。 NG NG]

>>427
これ気に入った。

[0457 名無しさん＠お腹いっぱい。 NG NG]

>>456
うむ。特に黄金厨は。

[0458 名無しさん＠お腹いっぱい。 NG NG]

>453
Windows ならできるけど、Unix でもできるのかは知らない。

[0459 名無しさん＠お腹いっぱい。 NG NG]

「できるかは知らない」→「できるかどうかは知らない」

[0460 名無しさん＠お腹いっぱい。 NG NG]

>>441
なぜそう思うの？

[0461 名無しさん＠お腹いっぱい。 NG NG]

依存関係。ssh/ssl を利用しているバイナリを把握できないでいるので。
他に安全策などありましたらお知らせ下さいな。

[0462 名無しさん＠お腹いっぱい。 NG NG]

>>461
全部再コンパイルする

[0463 名無しさん＠お腹いっぱい。 NG NG]

SFTPでUTF-8なfsの日本語ファイル名を読めるクライアントってありませんか？

自宅のファイル鯖(FedoraCore1)を普段Sambaでマウントして、外出先でファイルが
必要となった場合はSFTPで取り出す・・っというような事をやってます。

Sambaの設定はUTF-8、fsもUTF-8なので自宅では問題ないんですが、外出先だとSamba
で保存した日本語ファイル名が文字化けします。

FedoraをEUCで運用＆>>210のパッチ・・・っという方法以外でありましたら
助言お願いします。

[0464 名無しさん＠お腹いっぱい。 NG NG]

>>463
emacs

[0465 名無しさん＠お腹いっぱい。 NG NG]

>>463
確かFilezillaにパッチをあててた人がいたけど、今ぐぐっても見つからない・・・

ここのページのリンクは切れてるけれど、どこかにあるはずなので探してみては？
ttp://yusukebe.com/archives/2004_03_12_033135.php

[0466 463 NG NG]

>>465
リンク切れのようですね。

ただ、色々探してみたところ、その改造版はEUC→SJISのような感じです。
UTF-8→SJISの物はやっぱりまだ無いんですかね。

あんまりUTF-8のfsってなさそうですし。。

[0467 名無しさん＠お腹いっぱい。 NG NG]

>>466
あれ？変換元の文字コードはいくつかから選択できたと思ったのだけれど。
気のせいだったかな。

[0468 名無しさん＠お腹いっぱい。 NG NG]

port forwarding を imap のために使っています。

しかし、ノートPCをスリープさせ、復帰させると多くの場合 port forwarding
のコネクションが切れてしまい、改めて port forwarding する必要があります。

zebedee というものが便利そうだと思ったのですが、これはサーバ側のポート
を開ける必要があるので、サーバの設定変更の権限のない私にはだめでした。

zebedee のように常時特定のポートを listen するような ssh のラッパーって
ありませんか？

[0469 名無しさん＠お腹いっぱい。 NG NG]

>468
シェルが解放されてるんなら、zebedeeをバッググラウンドで起動しとけばいいんじゃん？
一般ユーザでもできるよ。

[0470 名無しさん＠お腹いっぱい。 NG NG]

>>469
そうなんですか？
ちょっと試してみます。ぬりがとう。

[0471 468=470 NG NG]

>>469
すみません。誤解させたようです。

確かに shell は解放されているので、ユーザプロセスで zebedee を走らすこ
とは可能なんですが、サーバ側で走る zebedee はどこかのポートを listen し
なくてはなしませんよね？つまり、外からそのサーバのそのポートにつながる
ようにルータをいじらなくてはいけないと思うのですが、私は勘違いしてます
か？

上が正しいとすると私はルータの設定をいじれないので、やっぱり無理だと思
います。ちなみに、そのサーバには ssh だけがつながるようにルータが設定さ
れてます。(なので、ssh のラッパーがほしぃ...。)

[0472 469 NG NG]

>私は勘違いしてますか？
いやモロ正しいですｗ。
自宅サーバに外からつなぐ環境で試したので、ルータをいじれないところまで
考えていませんでした。ごめん〜。

特定のポートをリスンして、リクエストが来たら
PortForwarder ( ttp://www.fuji-climb.org/pf/JP/ )
をキックするスクリプトならチャチャっとすぐできるかもよ？　

[0473 名無しさん＠お腹いっぱい。 NG NG]

>>471
zebedee を使わない ssh ラッパーが有るのなら、その方が良いのは当然だが、

imap サーバにsshで入る事ができるのなら、
imap クライエント側(ノートPC)でzebedee をサーバ・listnmodeモードで動かす。
imap サーバ側で zebedee をユーザプロセスでクライエント・モードで動かす。
方法がある。この場合、imapサーバ側では、ポートをリッスンせず、ノートPCに接続しようとするだけだから、ポートを開ける必要が無い。

より具体的には、
ノートPCで zebedee をサーバ・listenmodeで動かしたら、
ノートPCからimapサーバへssh で入り、zebedee をクライエント・モードで動かす。
だから、スクリプトは難しくない。

既出かもしれないが、zebedee はデフォルトだと暗号化しない設定でコンパイルされているバイナリがあるので、keylengthパラメータを設定しておく方が無難。

[0474 468=470 NG NG]

>472
Mac なので、PortForwarder は使えませんが、自分でスクリプトを書こうかと
思いつつあります。

>473
そんな使い方があるとは知りませんでした。
紹介ありがとうございます。
しかし、ノートPCがオフラインからオンラインになる際にzebedeeを上げ直すの
はsshを張り直すのとコストが同じな気がするので、やっぱり、自分でスクリプ
トを書いてみます。

みなさまお騒がせしますた。

[0475 名無しさん＠お腹いっぱい。 NG NG]

PuTTYに関する質問です。

WinXPで使っていたPuTTYを削除したのですが、調べてみると、
以前ログインしたホストキーがレジストリに残っているみたいです。
どこを削除すればこの情報が消えるのでしょうか？
初歩的な質問ですいません。

[0476 名無しさん＠お腹いっぱい。 NG NG]

「残っているみたい」なところを削除すればいい。

[0477 475 NG NG]

>>476
なるほど、解決しました。
ありがとうございます。

[0478 名無しさん＠お腹いっぱい。 NG NG]

>>477
そんなレスにいちいち感謝しなくていい。
ｴｽｴｽエッチしたことない俺でも言える。

[0479 476 NG NG]

仕方ないなぁ。
HKEY_CURRENT_USER\Software\SimonTatham
あたりを調べてみ。

[0480 476 NG NG]

もう解決したか、こいつはしつれー。

[0481 名無しさん＠お腹いっぱい。 NG NG]

自宅からお客のデータセンターにSSHでポートフォワードしたりしてメンテに活用してるんですが、
トラブルなんかのとき電話で連絡しあいながらだとメンバーとの連携がうまくいかないんです。

そこでデータセンター内にスタンドアロンのircdを上げようかと思ったんですが、
TCPとUDPの両方を使うような噂です。（スタンドアロンじゃない場合にUDPを使ってる？）
クライアントとの接続にもUDPが必須だとするとSSHのトンネルでは使えないですよね。

実験しようにも自由になる環境がなく、どなかた実績がある方がいれば
使えるのかどうか教えてもらいたいのですが・・・

[0482 名無しさん＠お腹いっぱい。 NG NG]

デスクで Windows を使っていて、Putty + Pagent を
使って FreeBSD に公開鍵認証で接続しています。
その FreeBSD から、何台かの Server に ssh で
接続しなければなりません。そこでの認証にも
Pagent を使うことはできないのでしょうか？
現在は FreeBSD 上で keychain を使っていますが
認証を 2 回しなくていけないのでちょっと面倒です。

[0483 名無しさん＠お腹いっぱい。 NG NG]

>>482
×pagent
◯pageant

エージェントのフォワードを使えばいいはず。

[0484 482 NG NG]

>>483
ありがとうございます。

ポートフォワードをすればよいとのことですが
よく理解できません。もうちょっとヒントを下さい。

[0485 名無しさん＠お腹いっぱい。 NG NG]

>>484
ポートフォワードなどとは誰もいっていない。

[0486 名無しさん＠お腹いっぱい。 NG NG]

>>482
同じアカウントなんだろ？
ならどのサーバーにも同じ公開鍵を置いておけば良いだけの話だ。

[0487 482 NG NG]

>>486
Windows から login するのは FreeBSD だけです。
その 他の Server は FreeBSD を経由して login
しないといけないのです。

他の Server への認証も pageant を使って認証
できますか？

[0488 名無しさん＠お腹いっぱい。 NG NG]

>>487
その FreeBSD 機のアカウントの公開鍵を
その先の何台かの Server に置いときゃいいのでは？

[0489 名無しさん＠お腹いっぱい。 NG NG]

>>487
エージェントのフォワードしろっつの

[0490 名無しさん＠お腹いっぱい。 NG NG]

manをみようともせず、具体的なやり方要求する教えて君は氏んでくれ。

[0491 482 NG NG]

>>488
その公開鍵の対になる秘密鍵は pageant で使っている奴を
流用するのですか？ その場合でも、もう一度 FreeBSD から
他の Server に login する時にパスフレーズを入力する
必要があると思います。

>>489
> エージェントのフォワードしろっつの
port foward と勘違いしてました。
ForwardAgent をすればできるようです。
ありがとうございました。

>>490
はい、氏にますよ。

[0492 名無しさん＠お腹いっぱい。 NG NG]

man sshd_configに載ってなかったのですが、
デフォルトのディレクトリを決めて、
それより上位のディレクトリにはいけないように
するにはどうすればよいのでしょうか？
あと、suでroot権限を持つのを禁止するにはPAMの設定で決めるのでしょうか？
configファイルでなんとか設定できないでしょうか？

[0493 名無しさん＠お腹いっぱい。 NG NG]

>>492
シェルの起動後にsshdからいろいろ制御するのは困難でしょうね。
authorized_keysで使えるコマンドを制限できるので、
chroot環境か独自シェルだけにするとかは可能だけど。

[0494 名無しさん＠お腹いっぱい。 NG NG]

>>492
あちこち見られたら困るようなユーザには
シェルを使わせるべきではない。

> あと、suでroot権限を持つのを禁止するにはPAMの設定で決めるのでしょうか？
ssh とは関係ない。
使用している OS のスレで聞いてくれ。

[0495 名無しさん＠お腹いっぱい。 NG NG]

>>492
"ssh chroot"でぐぐればぁ〜

suの質問ははげしくスレ違いだけど
PAMでもできるし〜、rootのパスワードつぶしてsudo使うってのもあるよね

[0496 名無しさん＠お腹いっぱい。 NG NG]

なんか、安全なバッシュあったべ？

[0497 名無しさん＠お腹いっぱい。 NG NG]

安全靴でバスケはしないよ？

[0498 名無しさん＠お腹いっぱい。 NG NG]

バッシュ ザ スタンピード

[0499 名無しさん＠お腹いっぱい。 NG NG]

フランコ・バッシュ

[0500 名無しさん＠お腹いっぱい。 NG NG]

俺は492では無いですが、自分もやってみたかったんでググってみました
http://nadmin.org/howto/chrooted-ssh.html
ここっぽいんですが、
/path/to/chroot/./home/username
の意味がサッパリ分かりません。
どういう意味なのでしょうか？（pathとかtoとか

[0501 名無しさん＠お腹いっぱい。 NG NG]

>>500
そのまんま chroot 先の path って意味でしょ。

[0502 500 NG NG]

???
ｻﾊﾟｰﾘです(汗
例を挙げて頂ければ嬉しいのですが；

[0503 名無しさん＠お腹いっぱい。 NG NG]

>>502
ごくありきたりな書き方なのでわからないならくだ質で聞いてください

[0504 500 NG NG]

>>503
分かりました。
すみませんスレ汚しをしてしまって。
ではでは

[0505 名無しさん＠お腹いっぱい。 NG NG]

WinSCP 使ってると、稀にリモートサーバーの特定のパスが
すりかわったようになってしまうことがある。そんかことって、ない？

例えば
/path/to/dokka
に移動したいのに、移動してみると常に
/home/jibun
になってしまうとか。

起動しなおしても直んない。Windows ごと再起動すれば良かったかも。


・・・てなことを質問するスレはどこにあるでしょうか？

[0506 名無しさん＠お腹いっぱい。 NG NG]

「コマンド」→「キャッシュをクリア」で治りました。
ども。

[0507 名無しさん＠お腹いっぱい。 NG NG]

ルータ経由で外に出るのですが、接続LAN内からはrootログインOK、外からはダメみたいなことってできますか？

[0508 名無しさん＠お腹いっぱい。 NG NG]

ルータ経由で外に出るのですが
ルータ経由で外に出るのですが
ルータ経由で外に出るのですが
ルータ経由で外に出るのですが

外からはダメみたいな…

[0509 名無しさん＠お腹いっぱい。 NG NG]

>>507
authorized_keysでアドレス制限がかけられる。他にもいろいろある。

[0510 名無しさん＠お腹いっぱい。 NG NG]

rootログインを制限することで何が安全になりますか？

[0511 名無しさん＠お腹いっぱい。 NG NG]

rootでログインできなくなります。

[0512 名無しさん＠お腹いっぱい。 NG NG]

性欲を持て余す。

[0513 名無しさん＠お腹いっぱい。 NG NG]

もしかするとFAQかも知れないんですが..
ファイアウォールの中の計算機(会社や大学など)に外から入りたい場合、
普通はその中の計算機から
inner% ssh -R 12345:localhost:23 outer
して、ファイアウォール外のホスト outer のポート12345にアクセスすれば
(例えば)telnet で外から入ることができますよね。

ただ、現在はセキュリティ上の考慮から、ほとんど全て?のファイアウォール外
のホストは、特定の既知ポート以外は閉じて外からアクセスできなくなっている
ような気がします。
ということは、この ssh のポートフォワードを使って外から自分の普段使っている
計算機に入るのは事実上無理ということでしょうか？
中身が0で攻撃されてもOKの、踏み石としてだけのサーバーがあれば
いいんですが..。
何かやり方があるようでしたら教えて下さい。

[0514 名無しさん＠お腹いっぱい。 NG NG]

一体何のための火壁だよ

[0515 名無しさん＠お腹いっぱい。 NG NG]

>514
セキュリティ的に危険なのは承知として、
ssh の -R は本来それができる機構ではなかったかな、という意味でした。

[0516 名無しさん＠お腹いっぱい。 NG NG]

インターネット上にsshのポートが空いてるホストはいくらでもあるよ。
外部ホストは自宅のWindows(cygwin)やOSXでもいいわけだし。

でも事を運ぶまえに管理者へ相談は必ずしてね。最悪泣きをみるから。

[0517 名無しさん＠お腹いっぱい。 NG NG]

ﾘﾓ-ﾄで設定してていきなり iptable -t filter -P INPUT DROP

orz

[0518 名無しさん＠お腹いっぱい。 NG NG]

>>516
22番が空いてる無料サーバはいくらでもあるみたいですが、
ポートフォワードができるような他のポートを使える(サーバを立て
られる)ようなサーバはあまりないような気がするんですよね..。;
# それができると、せっかく telnet を禁止していても、例えばstoneで抜け道
を作ることができるからでしょうか。

>でも事を運ぶまえに管理者へ相談は必ずしてね。最悪泣きをみるから。
そうですね。うーん。

[0519 名無しさん＠Ｅｍａｃｓ NG NG]

> 中身が0で攻撃されてもOKの、踏み石としてだけのサーバーがあれば

中身がなくても、踏み台として使われるから攻撃されちゃだめだよ。

[0520 名無しさん＠お腹いっぱい。 NG NG]

>>518
そりゃお前みたいなユーザがいるとセキュリティ計画めちゃくちゃになるからなあ。
管理者も大変だわ。

[0521 名無しさん＠お腹いっぱい。 NG NG]

>>520
「お前みたいな」なんて言われる筋合いはない。
可能性の話として議論できないのかなぁ。