SSH その3

[0001 名無しさん＠お腹いっぱい。 NG NG]

SSHに関する情報交換のスレッドです。

FAQ、リンク集は >>2-5 あたり。

前スレ: http://pc.2ch.net/test/read.cgi/unix/1028157825/
前々スレ: http://pc.2ch.net/unix/kako/976/976497035.html

[0724 名無しさん＠お腹いっぱい。 NG NG]

最近ssh2へのアタックが激しいんですが、
何かあったんですかね？

[0725 724 NG NG]

>>611 だったんですね ^^;

[0726 名無しさん＠お腹いっぱい。 NG NG]

>>723
ファイアウォールって hosts.deny のこと？

[0727 名無しさん＠お腹いっぱい。 NG NG]

iptablesじゃねぇの？

[0728 名無しさん＠お腹いっぱい。 NG NG]

>>726
寝ぼけてるのか釣りなのか…

[0729 名無しさん＠お腹いっぱい。 NG NG]

昨日の夜
Failed password for root from x.x.x.x port nnnn ssh2
が3秒おきに2650回... 鬱だ

[0730 名無しさん＠お腹いっぱい。 NG NG]

>>729
/sbin/route add -host x.x.x.x reject

[0731 名無しさん＠お腹いっぱい。 NG NG]

だからTCPWrappersで.jpと既知の接続元のみに絞っとけと(ry

[0732 名無しさん＠お腹いっぱい。 NG NG]

rblsmtpd の ssh 版があるといいのかな？

[0733 名無しさん＠お腹いっぱい。 NG NG]

tcpserverでsshdを待っていれば良い

[0734 名無しさん＠お腹いっぱい。 NG NG]

iptablesだろ。

[0735 名無しさん＠お腹いっぱい。 NG NG]

だから、どっからでもアクセスできるようにする必要は無いだろっつの

[0736 729 NG NG]

いや実際
PermitRootLogin without-password
だから 実害はないわけですがログが大量に出るのがいやなだけで Faildのはメールで届くようにしたんで朝見たら警告メールが2650通... と言うだけです。
どんな方法で拒否しても拒否したことをメール通知するようにしてたら同じだけ届くことには違いないわけでって、sshの話題じゃないですね。

[0737 名無しさん＠お腹いっぱい。 NG NG]

>>736
ssh の前で drop しろっつの

[0738 729 NG NG]

>>737
dropしたらしたでdropした通知が来るわけで... ただの愚痴です。

[0739 名無しさん＠お腹いっぱい。 NG NG]

ネタ？
仮にdropしたもの全部の情報が欲しいとしても
重要度の高い通知が埋もれるのは本末転倒なので、
都合のいい集計フィルタをつくったりするんだけどね。
賢いロガーをつかってもいいし。

[0740 名無しさん＠お腹いっぱい。 NG NG]

リモートのサーバにあるファイルをPOPのようにSSH経由で(ただしPOPはまったく使わずに)取得→サーバ上のファイルは削除
ってのやりたいんだが、どうもうまい方法が見つからない。
rsync --deleteとかそういうのできるかと思ったができなかった(やるとしたら向こうからこっちにrsyncしないといかんヽ(`Д´)ﾉ)。

皆さん知恵を貸してくださいませ。

[0741 名無しさん＠お腹いっぱい。 NG NG]

どうしても1コマンドでやりたければ、
ssh remote-host rsync --delete ...
とか。

[0742 名無しさん＠お腹いっぱい。 NG NG]

>>740
smv 欲しくなるときあるよね。

[0743 名無しさん＠お腹いっぱい。 NG NG]

ある、けど無い理由も解る

[0744 名無しさん＠お腹いっぱい。 NG NG]

接続元IPアドレスによって、
パスワード認証を許可するか or 公開鍵認証のみにするか
を指定するには sshd_config でどう記述すればよいのでしょうか。
どなたか教えてください。

[0745 名無しさん＠お腹いっぱい。 NG NG]

>>744
sshdをふたつ立ち上げる。

[0746 名無しさん＠お腹いっぱい。 NG NG]

あー、なるほど。
とほほほほ。。。。

[0747 名無しさん＠お腹いっぱい。 NG NG]

>>746
tcpwrapper で IP によって sshd -f ... を twist する。

[0748 名無しさん＠お腹いっぱい。 NG NG]

多分初歩的なことだと思うんですが、

ttp://www.jp.freebsd.org/QandA/HTML/1949.html
を参照して、
鯖でssh-keygenして出来たid_dsa.pubを、クライアント側の~/.ssh/authorized_keys2にしたのですが、
入ろうとすると、Permission denied.(pubkey)と言われてしまいました。
何か勘違いしてますでしょうか？

pubkeyを使わずpasswd認証だけなら普通に入れてます。

[0749 名無しさん＠お腹いっぱい。 NG NG]

>>748
とりあえずサーバー、クライアントのOS名とバージョン、
sshdやsshクライアントの名称とバージョンを書くよろし。

[0750 名無しさん＠お腹いっぱい。 NG NG]

サーバ側の鍵をクライアントで認証したいの？？

[0751 名無しさん＠お腹いっぱい。 NG NG]

>>748
> 鯖でssh-keygenして出来たid_dsa.pubを、クライアント側の~/.ssh/authorized_keys2にしたのですが、

逆。
クライアント側でssh-keygenして出来たid_dsa.pubを、
サーバー側の~/.ssh/authorized_keysにコピーしないと。

[0752 748 NG NG]

>>751,>>751
やはり初歩的(っつーか根本的)なことでした。
なるほどそういうことだったのか...
解決です。thx。

[0753 初期不良 NG NG]

公開鍵暗号の仕組みをもう少し理解して使った方がいいんじゃないかと...

[0754 名無しさん＠お腹いっぱい。 NG NG]

>>748の便乗質問です。

priとsecの2台のサーバがあります。
その2台のサーバに向かって、同じクライアントホストから、
telnetコマンドで22番をたたいてみると、

$ telnet pri.***.com 22
Trying...
Connected to pri.***.com
Escape character is '^]'.
SSH-2.0-OpenSSH_3.6.1p2

$ telnet sec.***.com 22
Trying...
Connected to sec.***.com
Escape character is '^]'.
SSH-1.99-OpenSSH_3.6.1p2

みたいな感じで、表示される結果が違います。
サーバ側であがっているSSHのverが違うってことなんでしょうか？

両方のサーバの状態をそろえるにはどこを手直ししたらよいのでしょう？
疑うことができるところを教えて欲しいのですが。。。

ちなみに、
・両サーバのsshd_configは同じ。
・バイナリーもpriからsecに同じもの(OpenSSH3.6.)を移動
・sshdの再起動は両サーバで実施済み。
・両サーバ、クライアント全てOSは赤帽9
です。

[0755 754 NG NG]

補足。

・実現したいこと
priが障害でpriのIPがsecに移った時に、
同じIPにむかってsshでログインしようとすると、
いまクライアント側にある、サーバ側の公開鍵が書き換わったよ、
(DSAの公開鍵→RSAの公開鍵？)
みたいなメッセージが出てしまって、
書き換えますかみたいなyes/no聞かれてしまいます。
このメッセージが出なくなるようにしたいのですが。。。

[0756 名無しさん＠お腹いっぱい。 NG NG]

>>754
> ・バイナリーもpriからsecに同じもの(OpenSSH3.6.)を移動
そんなことやって大丈夫なの?

>>755
~/.ssh/known_hosts から公開鍵を手で消すとか。
UserKnownHostsFile をいじるとか。

[0757 754 NG NG]

>>756
>> ・バイナリーもpriからsecに同じもの(OpenSSH3.6.)を移動
>そんなことやって大丈夫なの?
書き方わかりにくくてすまそ。
言いたかったことはpriとsecはクラスタ構成ってやつで、
ハードから入ってるアプリとかもすべて、
環境は同じにしているつもり、ってことです。
＃同じじゃないからだめなんだろうとはおもうけど。。。
バイナリ云々は気にしないでください。


>~/.ssh/known_hosts から公開鍵を手で消すとか。
>UserKnownHostsFile をいじるとか。
known_hostsも同じにものにしてます。
切り替わった後に手を加えないでsshで入りたいんです。
一度公開鍵を書き換えれば、その後はyes/no聞かれずに入れます。
（ただ、またpriに切り替わったらyes/no聞かれます。。。)
言葉足らずですまそ。

[0758 名無しさん＠お腹いっぱい。 NG NG]

クライアントで切り替わったのを意識したくなかったら、
それこそサーバのホスト鍵も一緒にするしかない。

priとsecで同じアドレスを引けるようにして、
ssh pri
ssh sec
とすればknown_hostsのエントリは別個になるけども。

[0759 754 NG NG]

>>758
>クライアントで切り替わったのを意識したくなかったら、
>それこそサーバのホスト鍵も一緒にするしかない。

なるほど。それはわかりました。

えーと、いまその二つのサーバに入れないからちょっと確認できないんだけど、
ssh-keygenで作った鍵はrsaもdsaも二つともあって、
全く同じkeyが二つ、priにもsecにも両方にあるとする。

そのとき、サーバ側のホスト鍵をどれを使うかを、
たとえば、クライアントのホスト名とか、ログイン先(元)のユーザ名ごと
によってつかいわけることってできるんでしょうか。
できるとしたら、それを決めるファイルってどれなんでしょう。

telnetで22をたたいたときの、
---
pri：　SSH-2.0-OpenSSH_3.6.1p2
sec： SSH-1.99-OpenSSH_3.6.1p2
---
ステータスが違うから、
サーバごとに、デフォルトで参照するホスト鍵もちがうのかなと、
ちとおもいました。

汚してばかりで申し訳ない。。。

[0760 名無しさん＠お腹いっぱい。 NG NG]

おすすめできないけど、
~/.ssh/ssh_config でこうするとホスト鍵変わっても質問されなくなる。

Host: pri
StrictHostKeyChecking no
Host: sec
StrictHostKeyChecking no

[0761 名無しさん＠ＸＥｍａｃｓ NG NG]

>>759
> そのとき、サーバ側のホスト鍵をどれを使うかを、
> たとえば、クライアントのホスト名とか、ログイン先(元)のユーザ名ごと
> によってつかいわけることってできるんでしょうか。

sshd のレベルでは各アルゴリズム (rsa1/rsa/dsa) 毎に有効な鍵は
高々一つなので、そういうことをやりたい (それができたところで
問題が解消されるとも思えないんだけど) なら sshd を起動する前
の段階 (tcp_wrapper とか) でなんとかせにゃならんでしょうね。

> pri：　SSH-2.0-OpenSSH_3.6.1p2
> sec： SSH-1.99-OpenSSH_3.6.1p2

この辺り、man page にも載ってないし、ぐぐってもあんまり見付か
んないぽいけど、1.99 と 2.00 の違いは protocol version 1 系を
サポートするかしないか。普通は sshd_config の Protocol の設定
を反映するもん。

だもんで、sshd_config の内容が前の書き込みにあった通り本当に
両ホストで同一なんだとすれば、こうなる原因として考えられるの
は、pri の方に version1 用のホスト鍵が置いてない、くらい。

[0762 SSH野郎 NG NG]

SSH2でRSA2とDSAどっちつかってる？
で、採用の決め手はなんかも教えれ。

[0763 名無しさん＠お腹いっぱい。 NG NG]

>>762
DSA。小倉優子が使っているから。

[0764 名無しさん＠お腹いっぱい。 NG NG]

ありすだろ？

[0765 名無しさん＠お腹いっぱい。 NG NG]

ぐむむ

[0766 名無しさん＠お腹いっぱい。 NG NG]

lsh
http://www.lysator.liu.se/~nisse/lsh/

って、どうですか？
使った事ある人います？

[0767 名無しさん＠お腹いっぱい。 NG NG]

いません

[0768 名無しさん＠お腹いっぱい。 NG NG]

>>766
「SSHサーバのフリーな実装」ではOpenSSHより先だったのにね…

[0769 名無しさん＠お腹いっぱい。 NG NG]

SSHサーバのフリーの実装はSSHが最初では？

[0770 名無しさん＠お腹いっぱい。 NG NG]

>>769 ssh.com は SSH2 以降のライセンスがなー
それに >>768 は OpenSSH より lsh の方が先だったとしか言っていないと思うのだが

[0771 名無しさん＠お腹いっぱい。 NG NG]

♪あぁ〜すれちがい〜

[0772 名無しさん＠お腹いっぱい。 NG NG]

>>770
まあ >>769 も >>768 が間違いと言ってるわけじゃないし、みんなﾏﾀｰﾘ逝こう。

[0773 名無しさん NG NG]

A(red hat)192.168.134.2/usr/local/sbin/sshd -p 3690

          192.168.134.1
B(red hat)ssh -fNL 1080:192.168.134.2:3690 192.168.134.2
          192.168.136.1

C(debian) 192.168.136.2ssh -fNL 1080:192.168.136.1:1080 192.168.136.1

C マシンから
$ ssh -p 1080 localhost
とやってC->B->Aと繋げたいのですが


C マシンで
ssh_exchange_identification: Connection closed by remote host
と出ます
多段ポートフォワードがまちがっているのでしょうか？

A,B,Cともにhosts.allow, hosts.denyは記述なしです
どのようにすればできるのかおしえてください

[0774 名無しさん＠お腹いっぱい。 NG NG]

>>773
ssh -g

[0775 名無しさん＠お腹いっぱい。 NG NG]

複数回ログオンに失敗した場合に
一定時間ロックする設定はあるのでしょうか？

[0776 773 NG NG]

>>774
できました。
オプションが必要だったんですね
どもでした

[0777 名無しさん＠お腹いっぱい。 NG NG]

ログ見たら

Oct 21 00:46:01 <auth.info> XXXXX sshd[2601]: Did not receive identification string from 221.186.131.165

の後に

Oct 21 00:57:54 <auth.info> XXXXX sshd[2608]: Failed password for nobody from 221.186.131.165 port 43766 ssh2
Oct 21 00:57:54 <auth.info> XXXXX sshd[2610]: Illegal user patrick from 221.186.131.165

というのが約150行も（0:46から00:59まで）…。221.186.131.165は踏台にされてんのか？

あと、

Oct 21 05:49:31 <auth.info> XXXXX sshd[3312]: Failed password for nobody from 218.237.65.10 port 51714 ssh2

も…(以下略)


こういうことがあると、
　>>775
　あったら嬉しいかもね。

[0778 名無しさん＠お腹いっぱい。 NG NG]

>>777 禿同です。このpatrick...て言ってくるやつ、うちの鯖にも
よく来るよ。こういうのは大抵IP番号をdynamicにやっていてあとで
ログみても発信元をトレースできないのが大部分だよね。
sshに手を入れる自信はないですが、syslogを見張るデーモンを
作って、繰り返しlogin失敗するのがいたら自動的に一時
route テーブル設定でパケット排除するようにするくらいなら
結構すぐできるかも。

[0779 名無しさん＠お腹いっぱい。 NG NG]

>>778

うちにも来ていた。whoisで調べると複数のプロバイダになっているけど、
IPアドレス自体が偽装なのか？

[0780 名無しさん＠お腹いっぱい。 NG NG]

うちに最近きた patrick... は半島からだな。
220.117.18x.xx

[0781 777 NG NG]

>>778
> syslogを見張るデーモンを
> 作って、繰り返しlogin失敗するのがいたら自動的に一時
> route テーブル設定でパケット排除するようにするくらいなら
> 結構すぐできるかも。

　すげーな。俺にはできないです (^^;;
　俺なら単純にそのブロックまるごとフィルタリングでパケットを叩き落し
ますけどね。あるいは、アクセス元を自分が使うプロバイダ「のみ」に限定
するとか。

>>779
>>777の 221.186.131.165 か？これはOCNが確保したブロックの一部分を、株式会社
＊＊＊（←一応伏せとく）に貸しているというような状態。

[0782 名無しさん＠お腹いっぱい。 NG NG]

>>781
apache+mod_SSLで自CAでキー作成にて、SSLページ準備。
mod_PHPにて、接続元IPを識別して、ファイルorDBに書き込むスクリプト作成。
上記スクリプトページに.htaccessにて、BASIC認証を施す。
rootのcronで、ファイルorDBを見て、「IPが有ったらsshdへのアクセスを許可」する。
と同時に一定時間経過したIP情報は削除する。

許可の方法はipfwでもhosts.allow/denyの操作など、いろいろポリシーにて変化するだろうが、
さほど重くはない。

つーことで、うちではsshdへのアクセスは基本denyで必要なときだけどこからでもallowにしてます。
不満はcronが1分おきで...

本当はメール受信→特定アカウント＆コマンド抽出→sshdアクセス許可としたいんだけど、mandokuse

[0783 名無しさん＠お腹いっぱい。 NG NG]

>>782
apacheが落ちて、起動させようとsshでログインしようとしたら（りゃ

[0784 名無しさん＠お腹いっぱい。 NG NG]

なかなかおもろいことやってんね。
携帯とかからアクセスするのにも使えそうだな。

[0785 名無しさん＠お腹いっぱい。 NG NG]

>>783
番犬(WatchDog)は基本中の基本ですね...

[0786 名無しさん＠お腹いっぱい。 NG NG]

ここ数年「apacheが落ちた」なんて、見たこと無い...

[0787 名無しさん＠お腹いっぱい。 NG NG]

>>786
２ちゃんねるではしょっちゅう落ちていますよ。様々な要因はありますけれども。

[0788 名無しさん＠お腹いっぱい。 NG NG]

>>775 こういうのがある。
ttp://www.derkeiler.com/Mailing-Lists/securityfocus/Secure_Shell/2004-09/0113.html

[0789 名無しさん＠お腹いっぱい。 NG NG]

patrickというユーザーを作って(passwdもpatrickとかにしといて)、
ログインしやがったら激しく苛める、なんて仕組み作れないかなぁ

[0790 名無しさん＠お腹いっぱい。 NG NG]

FreeBSDサーバが落ちまくってるらしいな。

[0791 名無しさん＠お腹いっぱい。 NG NG]

>>790

そうか?

[0792 名無しさん＠お腹いっぱい。 NG NG]

>>789

攻制防壁

[0793 名無しさん＠お腹いっぱい。 NG NG]

>>789
んー、俺もなんかやり返してやりたいよ。
どうにかできないものかな。

[0794 名無しさん＠お腹いっぱい。 NG NG]

honeypotdのスクリプトを公開している奴がいたな。

あんまり苛めると目をつけられてDDoSされるかもしれないからDDNSサーバーとかでやったほうがいいかも。

[0795 名無しさん＠お腹いっぱい。 NG NG]

っつか、ログを見ていてなんとなく思うんだけど、
意図的にやってるヤツばっかじゃなくて、
無自覚にやってそうなヤツが多くない?

[0796 名無しさん＠お腹いっぱい。 NG NG]

whoisすると中国のIPが多い。

[0797 名無しさん＠お腹いっぱい。 NG NG]

>789
　ログインしたら .login とかシェルのスタートアップが走るから、そこに
仕込んどきゃいい……のかな？
　とりあえず相手の IP は分かってるわけだから、DoS やり返して潰す
くらいはできそうだけど。

[0798 名無しさん＠お腹いっぱい。 NG NG]

>>795
いわゆる zombie host というケースも結構多いんじゃないかな？
DoS やり返すのはあまり得策じゃないような。

[0799 名無しさん＠お腹いっぱい。 NG NG]

patrickでログインに成功した風なんだけど、1文字1文字すごーーーーい長い時間がかかるってのはどう？

[0800 名無しさん＠お腹いっぱい。 NG NG]

一種の蜜壷じゃん

[0801 名無しさん＠お腹いっぱい。 NG NG]

Solaris の login(1) なんかは、
認証失敗したときのウェイトを自由に設定できるみたいだけど、
その他の OS ではそういうのできないのかな？

って、もう SSH と全然関係ないな・・・

[0802 名無しさん＠お腹いっぱい。 NG NG]

いっそjailかchrootでsandboxを用意して、ログインに成功したら
どういう挙動を示すのか観察してみたら。
なんか小学校のころの蟻さん観察みたいだけど。

FreeBSDだとipfwでdummynetかませば>>799みたいにできるけど、
他のOSでもできるのかな?

[0803 名無しさん＠お腹いっぱい。 NG NG]

ssh通信の暗号化って、どのレベルまで及ぶのですか？
具体的には、ファイル名も暗号化されているのでしょうか？

[0804 名無しさん＠お腹いっぱい。 NG NG]

外から見てわかるのは、ああ SSH で通信してるなあ、ってなくらいのレベル。

[0805 名無しさん＠お腹いっぱい。 NG NG]

>>803
ファイル名って、SSHをなんだと思っているんだ、お前?

[0806 名無しさん＠お腹いっぱい。 NG NG]

推測するに、コマンドラインの各引数をrot13するものみたいに想像してるんじゃなかろうか。

[0807 名無しさん＠お腹いっぱい。 NG NG]

>>805
SCP だと思ってるんだよ、きっと

[0808 名無しさん＠お腹いっぱい。 NG NG]

>>804
どのサーバに接続してるかは分からない？

[0809 名無しさん＠お腹いっぱい。 NG NG]

それがわからなかったら途中のルータはIPパケットのルーティングに悩んでしまうぞ

[0810 名無しさん＠お腹いっぱい。 NG NG]

>>808
わかる

[0811 名無しさん＠お腹いっぱい。 NG NG]

心配しなくてもおまいがエロ画像を落してるのは周囲にバレバレだ。

[0812 名無しさん＠お腹いっぱい。 NG NG]

ファイル名も保護したいんだったら stunnel 使えばいいじゃん

[0813 名無しさん＠お腹いっぱい。 NG NG]

>>807
むしろSSL、さらにはhttpsとの混同をしている雰囲気が。

[0814 初期不良 NG NG]

どこからかファイル名が保護されていないことになってるぞｗ

[0815 名無しさん＠お腹いっぱい。 NG NG]

>>814
だってそもそもファイル名なんて概念ないもの。scpやsftpならともかく。

[0816 名無しさん＠お腹いっぱい。 NG NG]

ファイル名だ、httpsだtoka
そもそも、層が違うもんナ

そうそう

[0817 名無しさん＠お腹いっぱい。 NG NG]

最近はチラシも両面印刷が多くて余白がないのでここにメモ。

Solaris8 には /dev/random がない。112438-03 を patchadd してから
リブートすると生えてくる。Sol9 から標準装備。Sol7 は 3rd party のものを使う。

Solaris に openssl-0.9.7e をインストールするときは
# make install SHELL=/usr/bin/bash
としないとコケる。0.9.7d までは /bin/sh のままで大丈夫。

openssh-3.9p1 の configure は zlib のバージョンが古いと蹴るので、
zlib-1.1.4 を別途インストールするか --without-zlib-version-check が必要。

[0818 名無しさん＠お腹いっぱい。 NG NG]

A -- (WAN) -- B - (LAN) - C

で、Aからsshでトンネリングしてftp接続をしようとしたのですが
今sshdがBで、ftpdがCで動いており、普段21ポートにリクエストが来た場合、BはCへport forwardしています。

この時、Aからsshにどのようなオプションをつけたら、上手くトンネリングできるでしょうか？

[0819 名無しさん＠お腹いっぱい。 NG NG]

>>818
ftpはファイル転送時に別途にsession張りにいくから、sshで21/tcpをforwardしても
あんまり意味がないけどどうよ?

[0820 名無しさん＠お腹いっぱい。 NG NG]

>>819
とりあえずID/パスワードだけでも暗号化しようかなーと思いました。意味なさげでしょうか？

[0821 名無しさん＠お腹いっぱい。 NG NG]

>>820
暗号化云々は置いといても、A->Cに直接通信できる必要があるわけで…。
別のファイル転送プロトコルを使うとか、いっそVPN張るとかしたほうがいいかと。

[0822 名無しさん＠お腹いっぱい。 NG NG]

>>821
どうもご助言ありがとうございました。別のアプローチを考えてみます。

[0823 名無しさん＠お腹いっぱい。 NG NG]

>>818
逃げではあるがBにsshで喰ったあとにBとしてCにFTPとか
B-Cにmountを挿し込んでおくとか