SSH その3

[0001 名無しさん＠お腹いっぱい。 NG NG]

SSHに関する情報交換のスレッドです。

FAQ、リンク集は >>2-5 あたり。

前スレ: http://pc.2ch.net/test/read.cgi/unix/1028157825/
前々スレ: http://pc.2ch.net/unix/kako/976/976497035.html

[0467 名無しさん＠お腹いっぱい。 NG NG]

>>466
あれ？変換元の文字コードはいくつかから選択できたと思ったのだけれど。
気のせいだったかな。

[0468 名無しさん＠お腹いっぱい。 NG NG]

port forwarding を imap のために使っています。

しかし、ノートPCをスリープさせ、復帰させると多くの場合 port forwarding
のコネクションが切れてしまい、改めて port forwarding する必要があります。

zebedee というものが便利そうだと思ったのですが、これはサーバ側のポート
を開ける必要があるので、サーバの設定変更の権限のない私にはだめでした。

zebedee のように常時特定のポートを listen するような ssh のラッパーって
ありませんか？

[0469 名無しさん＠お腹いっぱい。 NG NG]

>468
シェルが解放されてるんなら、zebedeeをバッググラウンドで起動しとけばいいんじゃん？
一般ユーザでもできるよ。

[0470 名無しさん＠お腹いっぱい。 NG NG]

>>469
そうなんですか？
ちょっと試してみます。ぬりがとう。

[0471 468=470 NG NG]

>>469
すみません。誤解させたようです。

確かに shell は解放されているので、ユーザプロセスで zebedee を走らすこ
とは可能なんですが、サーバ側で走る zebedee はどこかのポートを listen し
なくてはなしませんよね？つまり、外からそのサーバのそのポートにつながる
ようにルータをいじらなくてはいけないと思うのですが、私は勘違いしてます
か？

上が正しいとすると私はルータの設定をいじれないので、やっぱり無理だと思
います。ちなみに、そのサーバには ssh だけがつながるようにルータが設定さ
れてます。(なので、ssh のラッパーがほしぃ...。)

[0472 469 NG NG]

>私は勘違いしてますか？
いやモロ正しいですｗ。
自宅サーバに外からつなぐ環境で試したので、ルータをいじれないところまで
考えていませんでした。ごめん〜。

特定のポートをリスンして、リクエストが来たら
PortForwarder ( ttp://www.fuji-climb.org/pf/JP/ )
をキックするスクリプトならチャチャっとすぐできるかもよ？　

[0473 名無しさん＠お腹いっぱい。 NG NG]

>>471
zebedee を使わない ssh ラッパーが有るのなら、その方が良いのは当然だが、

imap サーバにsshで入る事ができるのなら、
imap クライエント側(ノートPC)でzebedee をサーバ・listnmodeモードで動かす。
imap サーバ側で zebedee をユーザプロセスでクライエント・モードで動かす。
方法がある。この場合、imapサーバ側では、ポートをリッスンせず、ノートPCに接続しようとするだけだから、ポートを開ける必要が無い。

より具体的には、
ノートPCで zebedee をサーバ・listenmodeで動かしたら、
ノートPCからimapサーバへssh で入り、zebedee をクライエント・モードで動かす。
だから、スクリプトは難しくない。

既出かもしれないが、zebedee はデフォルトだと暗号化しない設定でコンパイルされているバイナリがあるので、keylengthパラメータを設定しておく方が無難。

[0474 468=470 NG NG]

>472
Mac なので、PortForwarder は使えませんが、自分でスクリプトを書こうかと
思いつつあります。

>473
そんな使い方があるとは知りませんでした。
紹介ありがとうございます。
しかし、ノートPCがオフラインからオンラインになる際にzebedeeを上げ直すの
はsshを張り直すのとコストが同じな気がするので、やっぱり、自分でスクリプ
トを書いてみます。

みなさまお騒がせしますた。

[0475 名無しさん＠お腹いっぱい。 NG NG]

PuTTYに関する質問です。

WinXPで使っていたPuTTYを削除したのですが、調べてみると、
以前ログインしたホストキーがレジストリに残っているみたいです。
どこを削除すればこの情報が消えるのでしょうか？
初歩的な質問ですいません。

[0476 名無しさん＠お腹いっぱい。 NG NG]

「残っているみたい」なところを削除すればいい。

[0477 475 NG NG]

>>476
なるほど、解決しました。
ありがとうございます。

[0478 名無しさん＠お腹いっぱい。 NG NG]

>>477
そんなレスにいちいち感謝しなくていい。
ｴｽｴｽエッチしたことない俺でも言える。

[0479 476 NG NG]

仕方ないなぁ。
HKEY_CURRENT_USER\Software\SimonTatham
あたりを調べてみ。

[0480 476 NG NG]

もう解決したか、こいつはしつれー。

[0481 名無しさん＠お腹いっぱい。 NG NG]

自宅からお客のデータセンターにSSHでポートフォワードしたりしてメンテに活用してるんですが、
トラブルなんかのとき電話で連絡しあいながらだとメンバーとの連携がうまくいかないんです。

そこでデータセンター内にスタンドアロンのircdを上げようかと思ったんですが、
TCPとUDPの両方を使うような噂です。（スタンドアロンじゃない場合にUDPを使ってる？）
クライアントとの接続にもUDPが必須だとするとSSHのトンネルでは使えないですよね。

実験しようにも自由になる環境がなく、どなかた実績がある方がいれば
使えるのかどうか教えてもらいたいのですが・・・

[0482 名無しさん＠お腹いっぱい。 NG NG]

デスクで Windows を使っていて、Putty + Pagent を
使って FreeBSD に公開鍵認証で接続しています。
その FreeBSD から、何台かの Server に ssh で
接続しなければなりません。そこでの認証にも
Pagent を使うことはできないのでしょうか？
現在は FreeBSD 上で keychain を使っていますが
認証を 2 回しなくていけないのでちょっと面倒です。

[0483 名無しさん＠お腹いっぱい。 NG NG]

>>482
×pagent
◯pageant

エージェントのフォワードを使えばいいはず。

[0484 482 NG NG]

>>483
ありがとうございます。

ポートフォワードをすればよいとのことですが
よく理解できません。もうちょっとヒントを下さい。

[0485 名無しさん＠お腹いっぱい。 NG NG]

>>484
ポートフォワードなどとは誰もいっていない。

[0486 名無しさん＠お腹いっぱい。 NG NG]

>>482
同じアカウントなんだろ？
ならどのサーバーにも同じ公開鍵を置いておけば良いだけの話だ。

[0487 482 NG NG]

>>486
Windows から login するのは FreeBSD だけです。
その 他の Server は FreeBSD を経由して login
しないといけないのです。

他の Server への認証も pageant を使って認証
できますか？

[0488 名無しさん＠お腹いっぱい。 NG NG]

>>487
その FreeBSD 機のアカウントの公開鍵を
その先の何台かの Server に置いときゃいいのでは？

[0489 名無しさん＠お腹いっぱい。 NG NG]

>>487
エージェントのフォワードしろっつの

[0490 名無しさん＠お腹いっぱい。 NG NG]

manをみようともせず、具体的なやり方要求する教えて君は氏んでくれ。

[0491 482 NG NG]

>>488
その公開鍵の対になる秘密鍵は pageant で使っている奴を
流用するのですか？ その場合でも、もう一度 FreeBSD から
他の Server に login する時にパスフレーズを入力する
必要があると思います。

>>489
> エージェントのフォワードしろっつの
port foward と勘違いしてました。
ForwardAgent をすればできるようです。
ありがとうございました。

>>490
はい、氏にますよ。

[0492 名無しさん＠お腹いっぱい。 NG NG]

man sshd_configに載ってなかったのですが、
デフォルトのディレクトリを決めて、
それより上位のディレクトリにはいけないように
するにはどうすればよいのでしょうか？
あと、suでroot権限を持つのを禁止するにはPAMの設定で決めるのでしょうか？
configファイルでなんとか設定できないでしょうか？

[0493 名無しさん＠お腹いっぱい。 NG NG]

>>492
シェルの起動後にsshdからいろいろ制御するのは困難でしょうね。
authorized_keysで使えるコマンドを制限できるので、
chroot環境か独自シェルだけにするとかは可能だけど。

[0494 名無しさん＠お腹いっぱい。 NG NG]

>>492
あちこち見られたら困るようなユーザには
シェルを使わせるべきではない。

> あと、suでroot権限を持つのを禁止するにはPAMの設定で決めるのでしょうか？
ssh とは関係ない。
使用している OS のスレで聞いてくれ。

[0495 名無しさん＠お腹いっぱい。 NG NG]

>>492
"ssh chroot"でぐぐればぁ〜

suの質問ははげしくスレ違いだけど
PAMでもできるし〜、rootのパスワードつぶしてsudo使うってのもあるよね

[0496 名無しさん＠お腹いっぱい。 NG NG]

なんか、安全なバッシュあったべ？

[0497 名無しさん＠お腹いっぱい。 NG NG]

安全靴でバスケはしないよ？

[0498 名無しさん＠お腹いっぱい。 NG NG]

バッシュ ザ スタンピード

[0499 名無しさん＠お腹いっぱい。 NG NG]

フランコ・バッシュ

[0500 名無しさん＠お腹いっぱい。 NG NG]

俺は492では無いですが、自分もやってみたかったんでググってみました
http://nadmin.org/howto/chrooted-ssh.html
ここっぽいんですが、
/path/to/chroot/./home/username
の意味がサッパリ分かりません。
どういう意味なのでしょうか？（pathとかtoとか

[0501 名無しさん＠お腹いっぱい。 NG NG]

>>500
そのまんま chroot 先の path って意味でしょ。

[0502 500 NG NG]

???
ｻﾊﾟｰﾘです(汗
例を挙げて頂ければ嬉しいのですが；

[0503 名無しさん＠お腹いっぱい。 NG NG]

>>502
ごくありきたりな書き方なのでわからないならくだ質で聞いてください

[0504 500 NG NG]

>>503
分かりました。
すみませんスレ汚しをしてしまって。
ではでは

[0505 名無しさん＠お腹いっぱい。 NG NG]

WinSCP 使ってると、稀にリモートサーバーの特定のパスが
すりかわったようになってしまうことがある。そんかことって、ない？

例えば
/path/to/dokka
に移動したいのに、移動してみると常に
/home/jibun
になってしまうとか。

起動しなおしても直んない。Windows ごと再起動すれば良かったかも。


・・・てなことを質問するスレはどこにあるでしょうか？

[0506 名無しさん＠お腹いっぱい。 NG NG]

「コマンド」→「キャッシュをクリア」で治りました。
ども。

[0507 名無しさん＠お腹いっぱい。 NG NG]

ルータ経由で外に出るのですが、接続LAN内からはrootログインOK、外からはダメみたいなことってできますか？

[0508 名無しさん＠お腹いっぱい。 NG NG]

ルータ経由で外に出るのですが
ルータ経由で外に出るのですが
ルータ経由で外に出るのですが
ルータ経由で外に出るのですが

外からはダメみたいな…

[0509 名無しさん＠お腹いっぱい。 NG NG]

>>507
authorized_keysでアドレス制限がかけられる。他にもいろいろある。

[0510 名無しさん＠お腹いっぱい。 NG NG]

rootログインを制限することで何が安全になりますか？

[0511 名無しさん＠お腹いっぱい。 NG NG]

rootでログインできなくなります。

[0512 名無しさん＠お腹いっぱい。 NG NG]

性欲を持て余す。

[0513 名無しさん＠お腹いっぱい。 NG NG]

もしかするとFAQかも知れないんですが..
ファイアウォールの中の計算機(会社や大学など)に外から入りたい場合、
普通はその中の計算機から
inner% ssh -R 12345:localhost:23 outer
して、ファイアウォール外のホスト outer のポート12345にアクセスすれば
(例えば)telnet で外から入ることができますよね。

ただ、現在はセキュリティ上の考慮から、ほとんど全て?のファイアウォール外
のホストは、特定の既知ポート以外は閉じて外からアクセスできなくなっている
ような気がします。
ということは、この ssh のポートフォワードを使って外から自分の普段使っている
計算機に入るのは事実上無理ということでしょうか？
中身が0で攻撃されてもOKの、踏み石としてだけのサーバーがあれば
いいんですが..。
何かやり方があるようでしたら教えて下さい。

[0514 名無しさん＠お腹いっぱい。 NG NG]

一体何のための火壁だよ

[0515 名無しさん＠お腹いっぱい。 NG NG]

>514
セキュリティ的に危険なのは承知として、
ssh の -R は本来それができる機構ではなかったかな、という意味でした。

[0516 名無しさん＠お腹いっぱい。 NG NG]

インターネット上にsshのポートが空いてるホストはいくらでもあるよ。
外部ホストは自宅のWindows(cygwin)やOSXでもいいわけだし。

でも事を運ぶまえに管理者へ相談は必ずしてね。最悪泣きをみるから。

[0517 名無しさん＠お腹いっぱい。 NG NG]

ﾘﾓ-ﾄで設定してていきなり iptable -t filter -P INPUT DROP

orz

[0518 名無しさん＠お腹いっぱい。 NG NG]

>>516
22番が空いてる無料サーバはいくらでもあるみたいですが、
ポートフォワードができるような他のポートを使える(サーバを立て
られる)ようなサーバはあまりないような気がするんですよね..。;
# それができると、せっかく telnet を禁止していても、例えばstoneで抜け道
を作ることができるからでしょうか。

>でも事を運ぶまえに管理者へ相談は必ずしてね。最悪泣きをみるから。
そうですね。うーん。

[0519 名無しさん＠Ｅｍａｃｓ NG NG]

> 中身が0で攻撃されてもOKの、踏み石としてだけのサーバーがあれば

中身がなくても、踏み台として使われるから攻撃されちゃだめだよ。

[0520 名無しさん＠お腹いっぱい。 NG NG]

>>518
そりゃお前みたいなユーザがいるとセキュリティ計画めちゃくちゃになるからなあ。
管理者も大変だわ。

[0521 名無しさん＠お腹いっぱい。 NG NG]

>>520
「お前みたいな」なんて言われる筋合いはない。
可能性の話として議論できないのかなぁ。

[0522 名無しさん＠お腹いっぱい。 NG NG]

殺伐としてて(･∀･)ｲｲ!!

[0523 名無しさん＠お腹いっぱい。 NG NG]

SSH：Special Service Hourって友達が言ってたんですけど本当ですか？

[0524 名無しさん＠お腹いっぱい。 NG NG]

あなたのような、ならいいのかしら

>>521
えー、そりゃできないよ。そういうホストを仮定できる環境が
思いつかない。一般的でない。
自分がよくても管理者（多かれ少なかれおまいもそうじゃろ？）が
ヒドい目にあうぞな。だから気をつけてね >>518

[0525 名無しさん＠お腹いっぱい。 NG NG]

>>521
幼稚すぎて可能性の議論とは認められない。従ってお前呼ばわりされてもしょうがない。

[0526 名無しさん＠お腹いっぱい。 NG NG]

一体何のための火壁だよ

[0527 名無しさん＠お腹いっぱい。 NG NG]

火壁に触る奴は無差別にそのIPを他所にバラ撒くで手を打とうかね

[0528 ﾈﾀﾆﾏｼﾞﾚｽｶｺ(ry NG NG]

>>523
Secure SHell

[0529 名無しさん＠お腹いっぱい。 NG NG]

>>513
ssh のポートフォワードを使わなくても、
sshで ファイアーウォールの内側から外に出る事ができるのなら、
ファイアーウォールの外から内側に入る事は可能。

ただし、許可されていない方法(管理者が知らない方法を含む)で、外部から内部へ入った場合、不正アクセス禁止法で刑事訴追される場合がある。管理者は告発する事ができる。

# 今じゃ、管理者の御叱言だけでは、すまされない。

[0530 名無しさん＠お腹いっぱい。 NG NG]

cygwin で

ssh-keygen -t rsa

してパスワードを適当にうったところ

open ~/.ssh/id_rsa failed: No such file or directory.
Saving the key failed: ~/.ssh/id_rsa

となり失敗します．
たしかに， .ssh 自体が最初からないのですが，
なければ作ってはくれないのでしょうか？

[0531 名無しさん＠お腹いっぱい。 NG NG]

>>530
ssh-keygenは~/.sshがなければ勝手につくってくれる。
ホームに至るまでのパーミッションがおかしいのでは？

[0532 名無しさん＠お腹いっぱい。 NG NG]

ホストAとBの間で複数のサービスをトンネリングするとき、
サービスの各ポートを仮想化して実際のポートを
１つにまとめることはできませんか？

HOST-A　　　　　　　　　　　　HOST-B
　｜　　　　　　　　　　　　　　　　｜
============================================ TCP over http/443など１つ。
　｜　　　　　　　　　　　　　　　　｜
　<---------ftp------------>　…仮想ポート1,2
　｜　　　　　　　　　　　　　　　　｜
　<---------telnet --------->　…仮想ポート3
　｜　　　　　　　　　　　　　　　　｜
　<---------その他 -------->　…仮想ポート4
　｜　　　　　　　　　　　　　　　　｜
　<----------------------->　…仮想ポート5
　｜　　　　　　　　　　　　　　　　｜
=============================================
　｜　　　　　　　　　　　　　　　　｜


sshの話題じゃないかもしれませんが、
トンネリング扱ってるスレが他に見当たらないので。
（適当なスレがあったら移動します）

VPNってのがそうなんでしょうか。
ちなみにSoftEtherみたいな大掛かりなのは導入したくないです。

[0533 名無しさん＠ＸＥｍａｃｓ NG NG]

>>532
> ホストAとBの間で複数のサービスをトンネリングするとき、
> サービスの各ポートを仮想化して実際のポートを
> １つにまとめることはできませんか？

いまんとこ SOCKS only だから御希望の動作とはちと違うかもしれ
ないけど、OpenSSH の dynamic port forwarding で似たようなこと
が可能なんじゃないかな。

[0534 ｳｻﾁｬｿ NG NG]

微妙にスレ違いでｽﾏｿ。

SFU に SSH でログインすると、ホームじゃなくて / に入ってしまう…。
これは、「そんなワケの判らないもの使うな」って神の啓示なんだろうか。

教えて！エロい人！！

[0535 名無しさん＠お腹いっぱい。 NG NG]

何を教えればいいんだろう。

[0536 名無しさん＠お腹いっぱい。 NG NG]

>>534
それはきっと神の啓示だと思われます。

[0537 ｳｻﾁｬｿ NG NG]

そうか！神の啓示だったんだ！！


…って、自己解決しますた。ｽﾏｿ。
どうもドメインユーザーだとそうなってしまうらしい。

ssh +usachan hoge

だとローカルアカウントのホーム C:\Documents and Settings\usachan
に入るけど、

ssh DOMAIN+usachan hoge

だと / に入ってしまう模様。
別ドメインの同名ユーザーが、同じディレクトリにログインしてしまうとは…。
こりゃ Cygwin 使えってこと？

[0538 名無しさん＠お腹いっぱい。 NG NG]

SSHによる遠隔操作は、外部CGI実行プログラム（Perl,sh）からも
クライアントとして実現できますか？

それともやはりターミナル、専用クライアント（TTSSH等）しか不可能なのでしょうか。

[0539 名無しさん＠お腹いっぱい。 NG NG]

>>538
できるよん

[0540 名無しさん＠お腹いっぱい。 NG NG]

ただし、できるということが即やっていいことを意味しないので慎重に検討すべし。
ヘタすりゃ大穴が開きかねん。

[0541 名無しさん＠お腹いっぱい。 NG NG]

.ssh/authorized_keysにcommand=hogeとか書いておくのがふつ〜かな?
ただ、パスフレーズなしな公開鍵による認証にする場合が多いんで、鍵の管理には
注意が必要。

[0542 名無しさん＠お腹いっぱい。 NG NG]

Perl,shで書かれたCGI式のSSHクライアントを配布してる場所ありませんか？

Javaアプレット形式のクライアントは発見できましたが
あまり使い勝手が良くなかったので。

[0543 名無しさん＠お腹いっぱい。 NG NG]

>>542
webmin

[0544 名無しさん＠お腹いっぱい。 NG NG]

>>543
レンタルサーバーなのでインストールは出来ないです。。
PerlモジュールのURI::SSHや、
シェルスクリプトによるssh接続などのサンプルスクリプト等が
載っているページを探してるんですが見つかりません。。

[0545 名無しさん＠お腹いっぱい。 NG NG]

>>544
板違い。WebProg板へいってらっしゃい

[0546 名無しさん＠お腹いっぱい。 NG NG]

春山さん乙でつ

[0547 名無しさん＠お腹いっぱい。 NG NG]

だれそれ

[0548 名無しさん＠お腹いっぱい。 NG NG]

確かに春山は新山ほどには有名じゃないだろうけど
それでも知らないってのは弱すぎるんじゃね？

[0549 名無しさん＠お腹いっぱい。 NG NG]

あ、そうなの？
どっちも同程度に有名だと思ってた。

[0550 名無しさん＠お腹いっぱい。 NG NG]

で、何者なのさ。

[0551 名無しさん＠お腹いっぱい。 NG NG]

春山さんの著書
http://www.amazon.co.jp/exec/obidos/ASIN/4763191594/

新山さんはこっち
http://www.amazon.co.jp/exec/obidos/ASIN/4535512736/

[0552 名無しさん＠お腹いっぱい。 NG NG]

>549
春山っていうと、なんだろうな。東大、OpenSSH、goRua って感じかな。
新山っていうと、なんだろうな。東工大、djb、地下鉄話って感じかな。
新山って、山形のファン掲示板にも出入りしててちょっと恥ずかしい
感じを露呈してるけど、地下鉄話は結構よかったし、qmail 使おうと
したヤシなら一度は世話になってるんじゃないかと思うんで、
新山の方が名は売れてるんじゃないかな、と思う。

[0553 名無しさん＠お腹いっぱい。 NG NG]

なんだ、結局人の尻馬に乗っていきがってる香具師らか…
さむいの〜

[0554 名無しさん＠お腹いっぱい。 NG NG]

どっちもﾁｮｿだってことだろ

[0555 名無しさん＠お腹いっぱい。 NG NG]

紳士服?

[0556 名無しさん＠お腹いっぱい。 NG NG]

だれもが巨人の肩に乗ってるんだよ。

[0557 名無しさん＠お腹いっぱい。 NG NG]

そうでもないがな

[0558 名無しさん＠お腹いっぱい。 NG NG]

神降臨
「ファイル名を サーバ: EUC-JP ローカル: SHIFT_JIS となるように変換します.」
ttp://www.unixuser.org/~haruyama/software/filezilla_patch.html


以前公開されていたファイル名変換パッチとは別の方が製作なされたもよう。
ほんとうにどうもありがとうございます。 ＞ パッチ作者様 (神)

[0559 名無しさん＠お腹いっぱい。 NG NG]

>>558
cygwin のこれが欲しいな

[0560 名無しさん＠お腹いっぱい。 NG NG]

unixuser のくせに Windows アプリのパッチなんて作ってんのかｗ

[0561 名無しさん＠お腹いっぱい。 NG NG]

FileZilla のほうは PuTTY の修正版出たヨ。

>>560
何もしない人乙

[0562 名無しさん＠お腹いっぱい。 NG NG]

>>561
>>560は放置ということでﾖﾛｼｸ

[0563 名無しさん＠お腹いっぱい。 NG NG]

WinSCP も修正版きました

[0564 名無しさん＠お腹いっぱい。 NG NG]

最近、

Aug 11 01:52:28 ...... sshd[24725]: Illegal user test from 202.102.242.178
Aug 11 01:52:29 ...... sshd[24727]: Illegal user guest from 202.102.242.178
Aug 11 01:52:29 ...... sshd[24728]: Illegal user test from 202.102.242.178
Aug 11 01:52:30 ...... sshd[24731]: Illegal user admin from 202.102.242.178
Aug 11 01:52:30 ...... sshd[24733]: Illegal user guest from 202.102.242.178
Aug 11 01:52:31 ...... sshd[24735]: Illegal user admin from 202.102.242.178
Aug 11 01:52:31 ...... sshd[24737]: Illegal user admin from 202.102.242.178
Aug 11 01:52:32 ...... sshd[24739]: Illegal user user from 202.102.242.178
Aug 11 01:52:32 ...... sshd[24741]: Illegal user admin from 202.102.242.178

みたいなログが多いんだけど、これ何？

[0565 名無しさん＠お腹いっぱい。 NG NG]

sshd Illegal user

でｸﾞｸﾞれば出てくるだろーに。
スクリプトかなんか使った不正アクセスだよ。

[0566 名無しさん＠お腹いっぱい。 NG NG]

>>564
先月末から何度もアクセスしてくるな。
たぶん、このユーザーで入れるルーターか何かがあるんじゃなかろうか？