SSH その7
レス数が1000を超えています。これ以上書き込みはできません。
0001名無しさん＠お腹いっぱい。
2010/02/16(火) 21:23:37FAQ、リンク集は >>2-5 あたり。
過去ログ
Part1：http://pc.2ch.net/unix/kako/976/976497035.html
Part2：http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
Part3：http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
Part4：http://pc8.2ch.net/test/read.cgi/unix/1102242908/
Part5：http://pc11.2ch.net/test/read.cgi/unix/1145484540/
Part6：http://pc12.2ch.net/test/read.cgi/unix/1202782840/
0002名無しさん＠お腹いっぱい。
2010/02/16(火) 21:25:21Q.公開鍵認証などは使用せず、パスワードによる認証を行う場合でも
そのパスワードは暗号化されているのですか？
A.はい、その通りです。
SSHプロトコルでは、まず始めにサーバ<->クライアント間で
暗号化された通信路を確立します。
ユーザ認証はその暗号化通信路の上で行なわれるので、
パスワードなどもちゃんと秘匿されています。
Q.最近、root,test,admin,guest,userなどのユーザ名で
ログインを試みる輩がいるのですが？
A.sshdにアタックするツールが出回っているようです。
各サイトのポリシーに従って、適切な制限をかけましょう。
参考：http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/connect24h/2004.08/msg00030.html
0003名無しさん＠お腹いっぱい。
2010/02/16(火) 21:26:20本家ssh.com
http://www.ssh.com/ / http://www.jp.ssh.com/ (日本語)
OpenSSH
http://www.openssh.com/ / http://www.openssh.com/ja/ (日本語)
OpenSSH情報：http://www.unixuser.org/~haruyama/security/openssh/
日本語マニュアル：http://www.unixuser.org/~euske/doc/openssh/jman/
OpenSSH-HOWTO：http://www.momonga-linux.org/docs/OpenSSH-HOWTO/ja/index.html
TeraTerm/TTSSH
http://hp.vector.co.jp/authors/VA002416/
http://www.sakurachan.org/soft/teraterm-j/ttssh/ (日本語版)
http://sleep.mat-yan.jp/~yutaka/windows/ / http://ttssh2.sourceforge.jp/ (Yutaka氏によるUTF-8対応版,SSH2対応版)
PuTTY
http://www.chiark.greenend.org.uk/~sgtatham/putty/
http://pc8.2ch.net/test/read.cgi/unix/1084686527/
http://hp.vector.co.jp/authors/VA024651/ (hdk氏による日本語パッチ)
http://yebisuya.dip.jp/Software/PuTTY/ (蛭子屋氏による各種パッチ)
VeraTerm
http://www.routrek.co.jp/product/varaterm/
MacSSH/SFTP
http://pro.wanadoo.fr/chombier/
PortForwarder
http://www.fuji-climb.org/pf/JP/
TRAMP
http://www.nongnu.org/tramp/tramp_ja.html
0004名無しさん＠お腹いっぱい。
2010/02/16(火) 21:27:05・RFC4250: The Secure Shell (SSH) Protocol Assigned Numbers
・RFC4251: The Secure Shell (SSH) Protocol Architecture
・RFC4252: The Secure Shell (SSH) Authentication Protocol
・RFC4253: The Secure Shell (SSH) Transport Layer Protocol
・RFC4254: The Secure Shell (SSH) Connection Protocol
・RFC4255: Using DNS to Securely Publish Secure Shell (SSH)
Key Fingerprints
・RFC4256: Generic Message Exchange Authentication for the Secure
Shell Protocol (SSH)
WideのSSH解説
http://www.soi.wide.ad.jp/class/20000009/slides/12/
◇おまけ
Theoのキチガイぶり
http://pc.2ch.net/test/read.cgi/unix/1023635938/546-550
djbsssh(ネタ)
http://www.qmail.org/djbsssh/
00051
2010/02/16(火) 21:28:09面倒糞くなったのでそのままコピペしました。
後よろしく。
0006名無しさん＠お腹いっぱい。
2010/02/16(火) 21:33:26最低限次のような対処をしておきましょう。
ttp://www12.atwiki.jp/linux2ch/pages/141.html
●最善策
パスワード認証を止めて、公開鍵認証へ変更する
rootの直接のログインは不許可とする
特定の接続元からのみ接続を許可する
●次善策
User名を推定しにくい物に設定し、AllowUsersで特定のユーザーのみログイン可能とする｡
特定の接続元からの接続を拒否する
ポートを変える
0007名無しさん＠お腹いっぱい。
2010/02/17(水) 14:12:38乙
0008名無しさん＠お腹いっぱい。
2010/02/17(水) 20:17:480009名無しさん＠お腹いっぱい。
2010/02/17(水) 22:27:200010名無しさん＠お腹いっぱい。
2010/02/18(木) 00:13:170011名無しさん＠お腹いっぱい。
2010/02/18(木) 00:19:240012名無しさん＠お腹いっぱい。
2010/02/18(木) 00:20:21俺もそうおもってた。。。。
でも、使えないんだよ。Dreamweaverだとかいうadobeのソフトは・・・
内部でopenssh呼び出してるだけなのに
0013名無しさん＠お腹いっぱい。
2010/02/18(木) 12:41:47パスワード認証を暗号化したところで
ブルートフォースアタックには無力
0014名無しさん＠お腹いっぱい。
2010/02/18(木) 12:47:360015名無しさん＠お腹いっぱい。
2010/02/18(木) 12:57:25それを言うなら公開鍵もブルートフォースで破れる
0016名無しさん＠お腹いっぱい。
2010/02/18(木) 12:59:580017名無しさん＠お腹いっぱい。
2010/02/18(木) 13:15:120018名無しさん＠お腹いっぱい。
2010/02/18(木) 14:38:16ブルートフォースじゃなくて辞書攻撃なんだよなSSHが狙われてるのは
0019名無しさん＠お腹いっぱい。
2010/02/18(木) 15:05:510020名無しさん＠お腹いっぱい。
2010/02/18(木) 15:31:370021名無しさん＠お腹いっぱい。
2010/02/18(木) 15:41:53いや、ブルートは辞書ひいたりしないし、ポパイに至っては字も読めない
0022名無しさん＠お腹いっぱい。
2010/02/18(木) 15:52:31ブルートフォースといったら普通は「総当たり」作戦
一億玉砕本土決戦火の玉～な方を指すので
小賢しく辞書を片手にやるような軟弱な手法は眼中にはありません
0023名無しさん＠お腹いっぱい。
2010/02/20(土) 19:40:35Protocol 2
# rootでのアクセス許可
PermitRootLogin yes
# 接続を許可するユーザ
AllowUsers root
# セキュリティ設定
MaxStartups 2:90:5
LoginGraceTime 20
MaxAuthTries 3
port 22
# RSA公開鍵認証の有効化
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
0024名無しさん＠お腹いっぱい。
2010/02/20(土) 19:43:11PasswordAuthentication no
PermitEmptyPasswords no
RhostsRSAAuthentication no
ChallengeResponseAuthentication no
# ログのレベルを指定
SyslogFacility AUTH
LogLevel INFO
# パーミッションチェック
StrictModes yes
# その他
GSSAPIAuthentication no
GSSAPICleanupCredentials yes
UsePAM no
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
X11Forwarding yes
Subsystem sftp /usr/libexec/openssh/sftp-server
こんな感じで設定してるのですが、なぜか鍵認証方式で認証できなくなりました。
どうしてでしょうか？？
disconnected no supported authentication methods available
って表示されてしまいます。
0025名無しさん＠お腹いっぱい。
2010/02/20(土) 20:55:09ssh2で接続してないからだな
0026名無しさん＠お腹いっぱい。
2010/02/20(土) 21:40:420027名無しさん＠お腹いっぱい。
2010/02/21(日) 00:41:06違う場所に保存先を変えたら問題なく利用できました。
バージョンアップしたせいかな？？
0028名無しさん＠お腹いっぱい。
2010/02/21(日) 02:45:270029名無しさん＠お腹いっぱい。
2010/02/21(日) 11:54:43ある日突然connection refusedのエラーが出て接続できなくなりました。
ps -e | grep sshd
としてもなにもでないため、sshdが起動してないように見えます。
HPUX10.2の環境のためか、シェルスクリプト
/etc/init.d/
がなく、
/opt/openssh/sbin/sshd start
ではダメと思いますが、sshdをfindで探してもここ以外見つかりません。
ネット上の一般的な知識が適用できず困っています。
HP-UX10.2運用で良い方法ありましたら教えてください。
0030sshd 起動するだけじゃん
2010/02/21(日) 12:02:02> ある日突然(ry
そのあいだにやったことを書けば解決できるじゃろ
0031名無しさん＠お腹いっぱい。
2010/02/21(日) 12:10:18HP-UX知らないやつは手を出すなよ、壊すから
0032名無しさん＠お腹いっぱい。
2010/02/21(日) 13:16:06>>30
再起動しかしてないです。
他のアプリが不調で二回再起動後に突然発生。
その後はsshd_configいじりすぎて何がなんだか。
一度全部消して作り直した方が良いかな。
>>31
init.dの場所が違うのかな。調べてみます。
init.d/sshd
があれば良いんだけど。
使いたくないんだけど、
HP-UXでしか動かないソフトを今でも使っていて。
dtermの使い勝手が悪くて閉口気味。
hptermが使える11.0に上げたいですが、目的のソフトが動かないというオチ。
10.2のdepotが非常にレアで参ってます。
0033名無しさん＠お腹いっぱい。
2010/02/21(日) 19:16:210034名無しさん＠お腹いっぱい。
2010/02/21(日) 19:25:4710.2はデフォルトでssh入ってません。
パッケージ見つけてきて自分で入れたのですが。
とりあえずinit.dの場所が違うのが分かったので明日調べてみます。
そこから先はsshないしはsshdのconfigファイルか、
鍵関係に問題ありかなと思ってます。
自分で勉強もしますが、色々教えていただければ幸いです。
0035名無しさん＠お腹いっぱい。
2010/02/21(日) 20:19:13http://ja.wikipedia.org/wiki/Secure_Shell
の「SSHのセキュリティリスク」のセクションに書かれていること、ちょっとやりすぎじゃないか？
OpenSSHのデフォルト設定の危険性を挙げているが、原文（英語）見ても
そんなことちっとも書いてないじゃないか。
IPAの仕業か？
0036名無しさん＠お腹いっぱい。
2010/02/21(日) 20:22:080037名無しさん＠お腹いっぱい。
2010/02/21(日) 20:45:14・PermitRootLogin noにする
・Protocol 2にする
正しい
・Portは22以外にする
意味無し
・ChallengeResponseAuthentication noにする
正しい
・AllowUsersにおいて特定のユーザーのみ接続を許可する
AllowUsers等(DenyUsers,DenyGroups,AllowGroups)でよい。
・authlogなどで認証失敗を検出したら、そのホストからの接続を遮断する
好きにすれば
・X11 port forwardingは無効にする
ログインを許容して、(OpenSSHの)X11 port forwardingをいじめても意味は無い。
・シェルが不要であれば、passwdファイルからシェルを取り除く
馬鹿丸出し。取り除いたらデフォルトは/bin/sh
0038名無しさん＠お腹いっぱい。
2010/02/21(日) 20:56:35そりゃ論理的にはいつかはビンゴするだろうけど、確率論的には現実的な時間内では簡単に破ることはできないし、ログ監視してりゃすぐわかるだろうになぁ。
>>37
攻撃によってログが埋もれるのがウザイ場合は、ポート番号を変更することはあるよ。
>シェルが不要であれば、passwdファイルからシェルを取り除く
/bin/false とかにすればいいと思うが。。
0039名無しさん＠お腹いっぱい。
2010/02/21(日) 21:10:010040名無しさん＠お腹いっぱい。
2010/02/21(日) 21:13:410041名無しさん＠お腹いっぱい。
2010/02/22(月) 02:53:56> >シェルが不要であれば、passwdファイルからシェルを取り除く
> /bin/false とかにすればいいと思うが。。
だから"取り除く"じゃないんだろ。
0042名無しさん＠お腹いっぱい。
2010/02/22(月) 10:10:09sftp only?
0043名無しさん＠お腹いっぱい。
2010/02/22(月) 10:19:430044名無しさん＠お腹いっぱい。
2010/02/22(月) 17:53:23> ・Portは22以外にする
> 意味無し
>>38 も書いてるけど、意味は大いにあるよ。
Portを変えるだけでログイン関係のログの量が簡単に1/100程度には減る。
必要なログがゴミの中に埋没しなくなるのはかなり重要。
>>39
最近は cn, kr 以外のも相当多いぞ。
数年前とは状況が違う。
0045名無しさん＠お腹いっぱい。
2010/02/22(月) 18:31:42稚拙な攻撃ツールからのログを減らしてるだけ。
sshdは接続されたらsshdである事を自己申告するのでデフォルトから変える意味は無い。
0046名無しさん＠お腹いっぱい。
2010/02/22(月) 18:49:340047名無しさん＠お腹いっぱい。
2010/02/22(月) 18:54:180048名無しさん＠お腹いっぱい。
2010/02/22(月) 18:56:05まるっきりﾎﾟｰﾄｽｷｬﾝする奴もいるかもしれないけど、ｳｪﾙﾉｳﾝﾎﾟｰﾄはまともに来るもんね。
効果としてはｾｷｭｱになるとまでは言えないかも知れないけど、しないよりはましだと思う。
0049名無しさん＠お腹いっぱい。
2010/02/22(月) 19:00:51ログが多かろうと少なかろうと違いはない
ということだな
0050名無しさん＠お腹いっぱい。
2010/02/22(月) 19:06:33ログ減らせるとか喜んでる奴、恥ずかしくないのか?
0051名無しさん＠お腹いっぱい。
2010/02/22(月) 19:08:25某スレで、送信元IPアドレスでフィルタリングしちゃう
（＝ 許可されたIPアドレス以外は認証すらしない）
人がいたんだが、もちろんそれはそれでポリシーとしてありだと思うよ？
でもね、俺は自宅だけでなく大学とかからもSSH使うから
送信元IPアドレスでのフィルタリングはしてないよ、って言ったら
もー、初心者扱いされてまいったよ。
死ねだのタコだの。もうね。。
0052名無しさん＠お腹いっぱい。
2010/02/22(月) 19:11:510053名無しさん＠お腹いっぱい。
2010/02/22(月) 19:18:39OpenSSHサーバだけど、公開鍵認証でもログ残るよ？
Feb 22 19:14:21 *** sshd[18646]: Accepted publickey for naoto from *** port 51295 ssh2
Feb 22 19:14:21 *** sshd[18646]: pam_unix(sshd:session): session opened for user naoto by (uid=0)
ちなみに僕ちんはファイアウォールでもログ残しているよ。
0054名無しさん＠お腹いっぱい。
2010/02/22(月) 19:20:23それ、侵入されたログ。ｗｗｗ
0055名無しさん＠お腹いっぱい。
2010/02/22(月) 19:28:00おお、ほんとだチャレンジに失敗するとログ残さないな。
ま、ファイアウォールのログ監視してれば攻撃されていることはすぐにわかるけどね。
0056名無しさん＠お腹いっぱい。
2010/02/22(月) 19:31:32あえて攻撃のログを出させた方が
動的にフィルタで対処できる、という考え方もあるんだが。
攻撃を受けた&失敗したログがまったく残らないのでは
「新しいパターンの攻撃」が出たときどうするの?
>>52
個人用ならある程度は限定できるだろうけど
仕事だとそうもいかんね
0057名無しさん＠お腹いっぱい。
2010/02/22(月) 19:33:08そういうことじゃなくて、パスワード認証を有効にしてるから辞書攻撃を食らって
ログが肥大化するのであって、無効にしておけば接続してきてもすぐにあきらめるから
気にするほどログが大きくならないということかと。
>>54
知らないって幸せだね。
0058名無しさん＠お腹いっぱい。
2010/02/22(月) 19:56:28> そういうことじゃなくて、パスワード認証を有効にしてるから辞書攻撃を食らって
UsePAMが設定されてるといってパスワード認証が有効とは限らんよ。
sshd_config の注釈では「PAMの設定次第でPasswordAuthentication, PermitEmptyPasswordsの設定は無視される」
となってるが、普通は UsePAM yes にしても PasswordAuthenticationやPermitEmptyPasswords の設定はちゃんと効く。
つまり PAMの設定が変なことになってない限り、UsePAM yes と PasswordAuthentication no の組み合わせで
ちゃんとパスワード認証不可になり、攻撃失敗のログも残る。
以下はその設定での /var/log/secure の攻撃失敗例
Feb 21 06:40:28 hogehoge sshd[25255]: Received disconnect from 219.139.240.176: 11: Bye Bye
Feb 21 17:17:26 hogehoge sshd[26496]: Did not receive identification string from 85.132.35.155
Feb 21 18:07:02 hogehoge sshd[26596]: Invalid user nagios from 222.68.194.69
Feb 21 18:07:02 hogehoge sshd[26597]: input_userauth_request: invalid user nagios
知らなかった?
0059名無しさん＠お腹いっぱい。
2010/02/22(月) 20:16:49変えられるんなら変えたほうが効果がある。
>>45は「丸一日nmapでポートスキャンすればSSHポート見つかる」って言いたいんだろうし、
だからあんたにとっては無意味なんだろうってのもわかるけど、俺の場合デフォルトから変えたSSHポートに対して
攻撃が来たことは一度もないわけで。
まあアレだ、「HTTPのバナーを削れ」ってのとある意味では似ていてある意味では違うもんなんだと思う。
ちなみに>>44の「ログの量が減る」っていう発想はなかったｗ 微妙に間違ってる希ガス
0060名無しさん＠お腹いっぱい。
2010/02/22(月) 20:27:40ログ太らせるのが趣味でそのように設定しているんだから、むしろ歓迎すべきだな。
22から変える意味はない。ｗ
パスワード認証不可でPAMを有効にできるのはPAMのアカウンティングを利用するため。
本質を理解しないとダメだよ。
しかも、ログの読み方知らないで見当外れのログを自信満々に例示してるし…
そこに残ってる"Did not receive identification string"はsshプロトコルでプロト
コルバージョンの交換が出来なかった時のログ。
"input_userauth_request: invalid user"は認証方式の交換に失敗した時のログ。
勉強になったか?
まとめると、
port 22を変更するのはパスワード認証を有効にしている素人管理者サイト
でログを減量できるが、それ以上の意味は無い。
006159
2010/02/22(月) 20:32:12「それで完全に防げる」と勘違いしちゃだめなわけで。
0062名無しさん＠お腹いっぱい。
2010/02/22(月) 20:42:14これ誤解や。パスワード認証自体が危険なわけじゃないで。
0063名無しさん＠お腹いっぱい。
2010/02/22(月) 20:47:060064名無しさん＠お腹いっぱい。
2010/02/22(月) 20:52:09うちにも自宅鯖置いてるけど、ポートスキャンってフルでかけてくることって
ほとんどないような.....
だいたい特定のポートをいくつかかいつまんでポートスキャンしてくる感じ
っていうか全ポートスキャンなんて効率悪すぎるだろうに
うちは22/TCPでSSH動かしてるけど、例えば65432/TCPとかにでもしときゃ
確かにほとんどこんなポート突きになんて来ない気がする
0065名無しさん＠お腹いっぱい。
2010/02/22(月) 21:03:13基本的に送信元IPアドレスを限定する方をお勧めする
一時的に可変的なIPアドレスからの接続を許可するために
コントロールパネルのようなものを作っておくと便利
いま繋がってるアドレスをその日だけ許可するとか出来るし
0066名無しさん＠お腹いっぱい。
2010/02/22(月) 21:09:01それをどうやって安全に操作させるか…
平文 HTTP の basic 認証とかだったら殴る
0067名無しさん＠お腹いっぱい。
2010/02/22(月) 21:10:01このスレでのサンプリングの結果、ログが減って(すなわちパスワード認証有効)
うれしい管理者は、素人管理者と推定出来ます。
もっとも、パスワード認証無効の中にも>>58のような素人も居るので素人とパス
ワード認証を結び付けるのには無理があるかもしれません。
0068名無しさん＠お腹いっぱい。
2010/02/22(月) 21:11:07またおまえか
そんなアホな風説流すな
0069名無しさん＠お腹いっぱい。
2010/02/22(月) 21:14:47なにが？
0070名無しさん＠お腹いっぱい。
2010/02/22(月) 21:15:50もちろん平文にはしないが
少なくとも ssh にアタックしてくるスクリプトが
わざわざコントロールパネルの URL を調べて
そっちでアクセス元 IP アドレス許可してから
アタックし直す可能性なんて限りなく低いだろ？
仮にコンパネ側の方が認証パスして
その IP アドレスが許可されたとしても
ssh の方の鍵持ってなきゃ実質なにも出来ないだろ？
ログが増えるのも防止できて一石二鳥三鳥だぜ
0071名無しさん＠お腹いっぱい。
2010/02/22(月) 21:18:44VPNでアクセスすりゃいいよめんどくせぇ
0072名無しさん＠お腹いっぱい。
2010/02/22(月) 21:18:53xrea.comですねわかります
0073名無しさん＠お腹いっぱい。
2010/02/22(月) 21:25:22なるほど、うん、うん。それはいいね。
まあ、俺は詳しいやり方を聞かなくても余裕で出来ちゃうんで
別に教えてくれなくても平気なんだけど、
まあ、世の中にはそのやり方を知りたいけど素直に聞けなくて
やれ「そんなやり方はセキュアじゃない」とか言っちゃうやつも
いるけど、
そのやり方をちょっと詳しく分かりやすく書いてあげると、なんかこう
ホノボノすると思うんで、どうかな、もうちょっと詳しく…
いや別に俺がマネしようとか言うんじゃないんだ。
0074名無しさん＠お腹いっぱい。
2010/02/22(月) 21:26:270075名無しさん＠お腹いっぱい。
2010/02/22(月) 21:33:420076名無しさん＠お腹いっぱい。
2010/02/22(月) 21:35:02これだけでだいぶ減る
0077名無しさん＠お腹いっぱい。
2010/02/22(月) 21:45:19が短すぎてCPU負荷があがることがあるので、DenyHostsとかも使ってる
>>76
それは海外行った時困るだろw
0078名無しさん＠お腹いっぱい。
2010/02/23(火) 00:04:33どうしたってメタル臭が抜けない気がする。
どうしてもっていうならディマジオのスーパーディストーションの白黒
にするとおさまりいいと思うよ。
0079名無しさん＠お腹いっぱい。
2010/02/23(火) 00:05:140080名無しさん＠お腹いっぱい。
2010/02/23(火) 00:07:380081名無しさん＠お腹いっぱい。
2010/02/26(金) 00:57:190082名無しさん＠お腹いっぱい。
2010/02/26(金) 13:35:190083名無しさん＠お腹いっぱい。
2010/02/26(金) 13:43:06∧＿∧ ┌─────────────
◯（ ´∀｀ ）◯ ＜ 僕は .357 H&H Magnumちゃん！
＼ ／ └─────────────
_／ ＿＿ ＼_
（＿／ ＼＿）
ｌｌｌ
0084名無しさん＠お腹いっぱい。
2010/02/26(金) 18:33:220085名無しさん＠お腹いっぱい。
2010/03/03(水) 09:13:470086名無しさん＠お腹いっぱい。
2010/03/03(水) 09:25:53かっこいいからいいじゃん。むしろsshの語源の方がださいし。
0087名無しさん＠お腹いっぱい。
2010/03/03(水) 11:11:15では h は何の略なんですかぁ？
Secure Shell H???
0088名無しさん＠お腹いっぱい。
2010/03/03(水) 11:12:320089名無しさん＠お腹いっぱい。
2010/03/03(水) 11:13:03SH=Shell
のはず
0090名無しさん＠お腹いっぱい。
2010/03/03(水) 11:17:350091名無しさん＠お腹いっぱい。
2010/03/03(水) 11:28:34ぢゃお前がお手本みせろよ
0092名無しさん＠お腹いっぱい。
2010/03/03(水) 11:35:49フリがつまんないからしょうがない。
0093名無しさん＠お腹いっぱい。
2010/03/03(水) 18:34:21↓外からも使えたら便利じゃね？
rsh
↓やべー穴だらけだったよｗ
ssh
0094名無しさん＠お腹いっぱい。
2010/03/03(水) 21:46:53wktk
0095名無しさん＠お腹いっぱい。
2010/03/03(水) 22:57:12S=Scienceで
H=Hします
0096名無しさん＠お腹いっぱい。
2010/03/05(金) 20:06:08もう進化しないのかな
0097名無しさん＠お腹いっぱい。
2010/03/06(土) 08:33:580098名無しさん＠お腹いっぱい。
2010/03/06(土) 11:26:240099名無しさん＠お腹いっぱい。
2010/03/06(土) 15:30:310100名無しさん＠お腹いっぱい。
2010/03/06(土) 17:01:540101名無しさん＠お腹いっぱい。
2010/03/06(土) 18:47:130102名無しさん＠お腹いっぱい。
2010/03/07(日) 02:32:360103名無しさん＠お腹いっぱい。
2010/03/07(日) 08:52:59今後の展開はこうだろ
0104名無しさん＠お腹いっぱい。
2010/03/07(日) 09:28:350105名無しさん＠お腹いっぱい。
2010/03/07(日) 10:30:54パスワード認証でパスワード保存したいとか、正気の沙汰とは思えない。
0106名無しさん＠お腹いっぱい。
2010/03/07(日) 13:05:25ssh→ssh2→ssh2'→ssh2'turbo→superssh2→superssh2X→ssh4
0107名無しさん＠お腹いっぱい。
2010/03/07(日) 13:49:390108名無しさん＠お腹いっぱい。
2010/03/07(日) 13:50:53→ sshIV とか sshﾀｸﾃｨｸｽとか
0109名無しさん＠お腹いっぱい。
2010/03/07(日) 16:02:020110名無しさん＠お腹いっぱい。
2010/03/07(日) 19:35:54sshZZ
νssh
ssh-F91
0111名無しさん＠お腹いっぱい。
2010/03/07(日) 22:55:430112名無しさん＠お腹いっぱい。
2010/03/07(日) 23:26:27続続・ssh
また又・ssh
新・ssh
ニュー・ssh
痛快・ssh
0113名無しさん＠お腹いっぱい。
2010/03/07(日) 23:29:58もっとあぶないssh
もっともっとあぶないssh
0114名無しさん＠お腹いっぱい。
2010/03/07(日) 23:34:46さらにあぶないSSH
0115名無しさん＠お腹いっぱい。
2010/03/08(月) 00:57:280116名無しさん＠お腹いっぱい。
2010/03/08(月) 16:33:560117名無しさん＠お腹いっぱい。
2010/03/08(月) 21:11:220118名無しさん＠お腹いっぱい。
2010/03/10(水) 21:53:410119名無しさん＠お腹いっぱい。
2010/03/10(水) 22:46:490120名無しさん＠お腹いっぱい。
2010/03/10(水) 22:51:370121名無しさん＠お腹いっぱい。
2010/03/10(水) 22:52:200122名無しさん＠お腹いっぱい。
2010/03/10(水) 23:04:030123名無しさん＠お腹いっぱい。
2010/03/11(木) 01:14:280124名無しさん＠お腹いっぱい。
2010/03/11(木) 01:32:08いじめんなよ
0125名無しさん＠お腹いっぱい。
2010/03/11(木) 01:37:000126名無しさん＠お腹いっぱい。
2010/03/11(木) 01:42:430127名無しさん＠お腹いっぱい。
2010/03/11(木) 01:45:220128名無しさん＠お腹いっぱい。
2010/03/11(木) 03:25:550129名無しさん＠お腹いっぱい。
2010/03/11(木) 12:19:55英語でいいんでソース頼む
0130名無しさん＠お腹いっぱい。
2010/03/11(木) 12:22:11>>119の環境でできなくなったって話じゃないの。
0131名無しさん＠お腹いっぱい。
2010/03/11(木) 15:47:16敢えて設定しない限り1は使えなくなっただけじゃ
なかったっけ？
0132119
2010/03/11(木) 22:50:59ssh-keygenで鍵セット作ったんだけど公開鍵がputtygen.exeで読み込めなかったんだ。
PuTTYの方で作らないとダメなのかなと、puttygen.exe作った公開鍵をssh-keygenで変換して接続を試みたんだけどNG
ChallengeResponseAuthenticationをコメントアウトすると接続そのものは出来るようになったんだけど
パスフレーズではなくパスワードの入力でないとダメだった。で、鍵認証出来なくなってる？って思ったんです。
sshd_configは5.3p1で使っていたのと全く同じ
Port 22
Protocol 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
SyslogFacility AUTH
LogLevel INFO
LoginGraceTime 2m
PermitRootLogin no
StrictModes yes
RSAAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
RhostsRSAAuthentication no
IgnoreRhosts yes
PasswordAuthentication no
PermitEmptyPasswords no
ChallengeResponseAuthentication no
UsePAM yes
0133名無しさん＠お腹いっぱい。
2010/03/12(金) 00:18:30多分、鍵の置く場所変えたら直ると思う。
0134名無しさん＠お腹いっぱい。
2010/03/12(金) 19:50:51明示的に%h付けてみたら?
0135名無しさん＠お腹いっぱい。
2010/03/13(土) 05:23:41しらなカッタワ。
0136名無しさん＠お腹いっぱい。
2010/03/13(土) 11:42:410137名無しさん＠お腹いっぱい。
2010/03/13(土) 21:54:510138名無しさん＠お腹いっぱい。
2010/03/14(日) 14:13:18http://marc.info/?l=openssh-unix-dev&m=126630542032768&w=2
反対にRSAのビット長の方は上限は決まってないんだっけ。
実際にはopensshだとssh-keygenで作成できる上限やsshが扱える限界が
あるみたいだけど何の制約からなんだろう。
ところで、うちのCore2Duoでためしにopenssl genrsa 65536を
実行してみたらCPU 50%しか使わないね。p,q同時に生成するような
パッチってないのかな？（需要ないか・・・）
0139名無しさん＠お腹いっぱい。
2010/03/14(日) 14:33:26以前試したときには確か使えたと思う。
0140名無しさん＠お腹いっぱい。
2010/03/14(日) 14:44:53opensshが勝手に制限してるだけ？
0141名無しさん＠お腹いっぱい。
2010/03/14(日) 19:09:22ttp://slashdot.jp/~doda/journal/465416
0142名無しさん＠お腹いっぱい。
2010/03/14(日) 21:48:22長いRSA鍵の方がよっぽどましだと思うけど。
(L,N)=(2048,224)のDSA鍵使うにはSSHプロトコルの
拡張が必要なんでしょ？
0143名無しさん＠お腹いっぱい。
2010/03/26(金) 08:23:11sshをつかってWindowsから接続しています。
nohupを使ってプログラムを実行したあと、ウインドウを閉じると、プログラムが終了してしまいます。
exitコマンドを使えば、切断したあともプログラムの実行は継続されます。
ウインドウを直接閉じた際もプログラムを継続する方法はないでしょうか?
0144名無しさん＠お腹いっぱい。
2010/03/26(金) 08:29:16nohupは SIGHUPを無視するだけで、
ウィンドウ閉じた時にそれ以外のシグナルが来れば終了するわな。
すべてのシグナルを無視するラッパーをかますか、
てっとり早く setsidコマンドを使う方法もある。
0145名無しさん＠お腹いっぱい。
2010/03/26(金) 08:59:54つ GNU screen
0146名無しさん＠お腹いっぱい。
2010/03/26(金) 12:15:390147名無しさん＠お腹いっぱい。
2010/03/26(金) 12:24:140148名無しさん＠お腹いっぱい。
2010/03/26(金) 12:31:360149名無しさん＠お腹いっぱい。
2010/03/26(金) 13:17:52牛刀結構ではないか
ギロチンつかうよりはまし
0150名無しさん＠お腹いっぱい。
2010/03/26(金) 13:28:40screen使うと何か問題が出るのか?
0151名無しさん＠お腹いっぱい。
2010/03/26(金) 13:43:00こういうのが牛刀？
0152名無しさん＠お腹いっぱい。
2010/03/26(金) 13:43:290153名無しさん＠お腹いっぱい。
2010/03/26(金) 13:45:57足りないの？
0154名無しさん＠お腹いっぱい。
2010/03/26(金) 13:47:16○有効に活用される
0155名無しさん＠お腹いっぱい。
2010/03/26(金) 13:48:300156名無しさん＠お腹いっぱい。
2010/03/26(金) 13:50:46nohupの代替の場合、stdout/stderrはもともとファイルにリダイレクトされてるので、
ptyは無駄にしかならない。
setsidとかFreeBSDのdaemonとかはcontrol terminalを切り離すので
無駄にならない。
0157名無しさん＠お腹いっぱい。
2010/03/26(金) 13:51:130158名無しさん＠お腹いっぱい。
2010/03/26(金) 18:38:39何か問題があるのか?
そりゃ鳥をバラすのに牛刀使うのは
かえってやりにくかろうとは思うが
screen使って「特に問題が出ない」なら
別に構わんのでは?
0159名無しさん＠お腹いっぱい。
2010/03/26(金) 18:50:410160名無しさん＠お腹いっぱい。
2010/03/26(金) 19:22:26> 小事を処理するのに、大掛かりな手段を用いることのたとえ。
「大掛かりな手段」と言うほどscreenは大掛かりか?
俺はわりと日常的に使ってるけど。
たかだか1、2行のメモを書くのにわざわざMS Wordを立ち上げる
みたいな話ならまだ分かるが。
screenだぜ? w
0161名無しさん＠お腹いっぱい。
2010/03/26(金) 19:24:21それは大掛かりにならんのでは
0162名無しさん＠お腹いっぱい。
2010/03/26(金) 19:43:57わざわざscreenをインストールしてから作業開始だとすると大がかりだな。
0163名無しさん＠お腹いっぱい。
2010/03/26(金) 19:48:500164名無しさん＠お腹いっぱい。
2010/03/26(金) 19:51:09ヘタすると実作業よりも起動待ちの方が長くなるような
という意味合いで書いたんだが。
作業内容に比して大掛かりな道具という。
0165名無しさん＠お腹いっぱい。
2010/03/26(金) 19:52:33yumやaptの使い方知らないなら
確かに大掛かりな話になるかもね。
つか、そのレベルの人だったら
別の方法を採用したら
もっと大掛かりな話になりそうなw
0166名無しさん＠お腹いっぱい。
2010/03/26(金) 20:09:00社内だったとしてもインストール許可を申請すると日数がかかるものもあるわけで。
0167名無しさん＠お腹いっぱい。
2010/03/26(金) 22:39:08もれは attach するだけだから爆速
0168名無しさん＠お腹いっぱい。
2010/03/30(火) 16:19:47Protocol 2
# rootでのアクセス許可
PermitRootLogin yes
# 接続を許可するユーザ
AllowUsers root
# セキュリティ設定
MaxStartups 2:90:5
LoginGraceTime 20
MaxAuthTries 3
port 22
# RSA公開鍵認証の有効化
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile /etc/ssh/authorized_keys
0169名無しさん＠お腹いっぱい。
2010/03/30(火) 16:20:30PasswordAuthentication no
PermitEmptyPasswords no
RhostsRSAAuthentication no
ChallengeResponseAuthentication no
# ログのレベルを指定
SyslogFacility AUTH
LogLevel INFO
# パーミッションチェック
StrictModes yes
# その他
GSSAPIAuthentication no
GSSAPICleanupCredentials yes
UsePAM no
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
X11Forwarding yes
Subsystem sftp /usr/libexec/openssh/sftp-server
このような設定でsshに接続しているのですが、ユーザー権だとログインできないです。
なぜなのでしょうか？？
AllowUsers root は AllowUsers root hogehoge の間違いです。
0170名無しさん＠お腹いっぱい。
2010/03/30(火) 16:21:180171名無しさん＠お腹いっぱい。
2010/03/30(火) 16:37:36こんなデタラメな設定、誰に教わった?
0172名無しさん＠お腹いっぱい。
2010/03/30(火) 16:47:360173名無しさん＠お腹いっぱい。
2010/03/30(火) 19:30:030174名無しさん＠お腹いっぱい。
2010/03/30(火) 19:39:25http://d.hatena.ne.jp/fjkktkys/20070214/1171433041
0175名無しさん＠お腹いっぱい。
2010/03/30(火) 20:31:37いちおう「最終手段」って書いてるじゃん。
0176名無しさん＠お腹いっぱい。
2010/03/30(火) 23:56:230177名無しさん＠お腹いっぱい。
2010/03/30(火) 23:59:290178名無しさん＠お腹いっぱい。
2010/03/31(水) 02:11:42それ3行並べてるじゃん。
>>168のは一行しか書いてないじゃん。
なんで>>174の方を叩くべきって結論に？
>>177
ほう
0179名無しさん＠お腹いっぱい。
2010/03/31(水) 19:07:470181名無しさん＠お腹いっぱい。
2010/03/31(水) 21:55:09ttp://www.unixuser.org/~euske/doc/openssh/jman/sshd_config.html
ｺｺ見てわからなかったら、ｸﾞｰｸﾞﾙさんに聞いてください。
0182名無しさん＠お腹いっぱい。
2010/03/31(水) 23:04:370183名無しさん＠お腹いっぱい。
2010/04/01(木) 17:19:460184名無しさん＠お腹いっぱい。
2010/04/05(月) 19:44:17作った.sshディレクトリの所有者がrootになってた
忘れないようにここに記録しておく
0185名無しさん＠お腹いっぱい。
2010/04/05(月) 19:53:150186名無しさん＠お腹いっぱい。
2010/04/06(火) 07:47:090187名無しさん＠お腹いっぱい。
2010/04/06(火) 21:43:11きっと同じようなことをまたやらかすに違いない
0188名無しさん＠お腹いっぱい。
2010/04/07(水) 11:24:55?
他に何を記憶したいという可能性が?
0189名無しさん＠お腹いっぱい。
2010/04/08(木) 16:20:59そういう記憶の仕方は良くない。
/root/.ssh の所有者がrootでも何の問題もないからな。
0190名無しさん＠お腹いっぱい。
2010/04/08(木) 16:43:10>>184は所有者の確認もせずにパーミッションだけは700とかに設定したわけだな
0191名無しさん＠お腹いっぱい。
2010/04/08(木) 16:54:06違うよ。
「所有者が違ってotherに読み込み権限がある」状態では拒否されるよ。
0192190
2010/04/08(木) 17:17:26合計 12
drwx---r-x 2 root root 4096 2010-04-08 17:05 .
drwxr-xr-x 3 testuser testuser 4096 2010-04-08 17:05 ..
-rw----r-- 1 root root 395 2010-04-08 17:05 authorized_keys
試してみたけどこの状態ならtestuserでSSHログインできたぞ。
ここから chmod o-rx . ./authorized_keys するとログイン不可。
まぁ環境によるのかもしれないけど。
0193名無しさん＠お腹いっぱい。
2010/04/08(木) 21:03:08drwxr-xr-x ..
-rw------- authorized_keys
だろ常考
0194名無しさん＠お腹いっぱい。
2010/04/08(木) 21:10:030195187
2010/04/08(木) 22:18:50個別の事例を記録しても意味がなくて、なぜ ~/.ssh の所有者を root に
してしまったのかの原因を詳らかにしておいた方がいいんじゃないの？
ってことだったんだけどね
平たく言うと、安易にスーパーユーザーで作業すんなってこと
0196名無しさん＠お腹いっぱい。
2010/04/09(金) 10:15:32遠すぎるな
0197名無しさん＠お腹いっぱい。
2010/04/09(金) 10:23:15何度も書かれている
お前の目が節穴だっただけ
大抵の人はフィルタを通して物(この場合スレの書き込み)を見てしまう
大事なことが書かれていてもそれに気付くためには
本人がそれを受け入れるための準備が必要なんだ
0198名無しさん＠お腹いっぱい。
2010/04/09(金) 10:32:54× 「所有者が違ってotherに読み込み権限がある」状態では拒否されるよ。
○ デフォルトでは所有者がroot以外の他人またはgoに書き込み権限有りの場合に拒否。
これほどあからさまな嘘は珍しい。
0199名無しさん＠お腹いっぱい。
2010/04/16(金) 17:26:34何が原因かわかりますでしょうか
0200名無しさん＠お腹いっぱい。
2010/04/16(金) 17:32:04LANG=ja_JP.UTF-8 等にしているのが原因です。
LANG=C なら、ちゃんと
TIOCSCTTY: invalid argument
と出ます。
0201名無しさん＠お腹いっぱい。
2010/04/16(金) 17:39:01失礼しました勝手に訳しました
ログインはできるので影響はないんですが気になるので調べてます
0202名無しさん＠お腹いっぱい。
2010/05/13(木) 21:33:11確認していますか？
現在、
サーバ：windows2003server + cygwin(+openssh)
クライアント：windowsXP + teraterm
という環境でSSHポートフォワーディングを利用してリモートデスクトップ接続を
行おうとしており、実際に接続出来ていてリモートデスクトップが可能なのですが
経路が暗号化されているのかが判別出来ていません。
何か確認出来る方法、ツール等ありましたらご教示下さい。
0203名無しさん＠お腹いっぱい。
2010/05/13(木) 21:43:420204名無しさん＠お腹いっぱい。
2010/05/13(木) 21:50:06間違って直結しようとしても出来ない構成にしておけばいいじゃん
0205名無しさん＠お腹いっぱい。
2010/05/14(金) 11:45:06それだと「暗号化されてるかどうか」の
確認にはならんような
sshが信用できないから
自分の目で確認したい
ということかw
その批判精神には感じ入るが…
>>203しかないのでわ
tcpdumpとか?
0206名無しさん＠お腹いっぱい。
2010/05/14(金) 11:51:20暗号化の確認にはならないけど、逆にリモートデスクトップの通常のポートに
接続されていないことをnetstatで確認するのはどうだろう。
0207名無しさん＠お腹いっぱい。
2010/05/14(金) 14:18:39アクセスがあるとそのリモートアドレスだけをhosts.allow に記述するHTTPSのページを作って
そのページにアクセスしてから鍵認証でSSHにログインするようにした。
自宅からや出張先からもつなぐ必要があるけど、すごく楽になった。
ただ、もしapacheだけ落ちたりしたらお手上げなので、メール受け付けると、hosts.allowを sshd: ALL にする
メルアドとスクリプトも作った。
0208名無しさん＠お腹いっぱい。
2010/05/14(金) 20:13:48tcpdumpの出力を目視だけでは正しく暗号化されてるかまでは判別できないと思う
>>207
それならiptablesの方が汎用的では？
0209名無しさん＠お腹いっぱい。
2010/05/15(土) 10:17:55アクセスがあるとそのリモートアドレスだけを iptables に追加するHTTPSのページを作って
そのページにアクセスしてから鍵認証でSSHにログインするようにした。
自宅からや出張先からもつなぐ必要があるけど、すごく楽になった。
ただ、もしapacheだけ落ちたりしたらお手上げなので、メール受け付けると、iptables に追加する
メルアドとスクリプトも作った。
0210名無しさん＠お腹いっぱい。
2010/05/15(土) 14:18:110211名無しさん＠お腹いっぱい。
2010/05/15(土) 16:39:380212名無しさん＠お腹いっぱい。
2010/09/08(水) 19:35:34FTPやVNCで20～30KB、squidのプロクシとかは一瞬120KBくらいは出たけど
CPUや光帯域がネックってわけじゃないみたいだし、ちょっと不満。
WindowsでOpenSSHとPuttyの組み合わせです
0213名無しさん＠お腹いっぱい。
2010/09/08(水) 22:03:310214名無しさん＠お腹いっぱい。
2010/09/09(木) 00:18:25VNCでも動きが激しいとこで400kb/sくらいでる
ssh通すと帯域制限されてる感触で、30kb/sしか出ない
一つのサーバとクライアント2台で試して同じ感じ
普通はどのくらいスループットでるものですか？
もしこれで遅すぎるならソフト変えてみる
0215名無しさん＠お腹いっぱい。
2010/09/09(木) 01:31:410216名無しさん＠お腹いっぱい。
2010/09/09(木) 01:46:54＞トンネリング無しだと、FTPで3MB/s、
この速度からして802.11gとかか？
あとFTPのSSHトンネリングはSOCKSサーバ方式？
どんな方式にせよそんなに落ちるのはおかしい。
暗号化方式をrc4やblowfishにすると速度出る。
0217名無しさん＠お腹いっぱい。
2010/09/09(木) 01:55:05http://sourceforge.net/projects/sshwindows/files/OpenSSH%20for%20Windows%20-%20Release/
一般的な家庭内LANで、ポート22開放してCorei3積んだWindowsXPに入れて動かしてる
SHH-2の公開鍵認証
回線はBフレッツハイパーファミリー
素直にLinux使えばいいんだろうけどね
0218名無しさん＠お腹いっぱい。
2010/09/09(木) 01:59:120219名無しさん＠お腹いっぱい。
2010/09/09(木) 02:00:320220名無しさん＠お腹いっぱい。
2010/09/09(木) 03:02:15サーバ側で転送用に再接続する待ち受けポートをいちいちトンネリング設定してた
今SOCKS5方式で試してみて、転送速度は変わらなかったけど、便利になった
ウイルスセキィリティゼロが気休めに入っているけれども、
全部無効にしても違いが無い
今はWindowsファイアウォールだけ動かしてる
PuttyだけじゃなくTera Termでも試したけれども変わらなかった
サーバ側見直すよ
0221名無しさん＠お腹いっぱい。
2010/09/09(木) 09:37:54もしかして中国とか? 先月中国出張の際にsshトンネルを通すと耐えられないくらい遅くなったよ。
0222名無しさん＠お腹いっぱい。
2010/09/09(木) 21:02:140223名無しさん＠お腹いっぱい。
2010/09/10(金) 19:56:49それぞれのスペックは？
0224名無しさん＠お腹いっぱい。
2010/09/10(金) 20:02:28共有鍵暗号だからそんなに計算量変わらないか。
0225名無しさん＠お腹いっぱい。
2010/09/21(火) 01:49:390226名無しさん＠お腹いっぱい。
2010/11/12(金) 23:54:21バージョンや暗号化方式によって違うらしいけど
なんでそんなことするの？
0227名無しさん＠お腹いっぱい。
2010/11/13(土) 00:38:500228名無しさん＠お腹いっぱい。
2010/11/13(土) 10:01:45openssh と本家で仕様が違ってる(or 違ってた; 最近の事情は知らない)
0229名無しさん＠お腹いっぱい。
2010/11/13(土) 15:32:380230名無しさん＠お腹いっぱい。
2010/11/13(土) 20:43:41authorized_keysが使えない条件は何？
0231名無しさん＠お腹いっぱい。
2010/11/13(土) 21:48:360232名無しさん＠お腹いっぱい。
2010/11/13(土) 22:31:54ttp://hibari.2ch.net/test/read.cgi/win/1276868266/783
783 名前：名無し~3.EXE[sage] 投稿日：2010/11/10(水) 22:34:10 ID:Rr0vNFYE
Windows 7 クライアントだと Loopback でもポートがかちあって
ssh トンネル越しの Windows 共有 (SMB ove SSH) が自分はできてなかったが
良い解説を見つけてできるようになった
CIFS-over-SSH for Windows Vista/7
ttp://www.nikhef.nl/~janjust/CifsOverSSH/VistaLoopback.html
キーワード:
CIFS over SSH (445/tcp)
Microsoft Loopback Adapter
sc config smb start= demand
netsh interface portproxy add v4tov4
net start smb (後から実行)
445 じゃなく proxy ポートに接続
あとは cygwin の openssh でOK
0233名無しさん＠お腹いっぱい。
2010/11/22(月) 21:44:26秘密鍵の保存場所って本気で考えると難しくないか？
普段入るサーバはsudo使えるやつが他にも数人いるし、
会社から提供されたPCもイントラチームにはdomain adminで筒抜け状態。
おいおい、いつ盗まれてもおかしくない状態！！・・・なんだけど
周りには「鍵認証って何？」って人しかいないから助かってるｗ
そもそも会社でパスフレーズなしは無謀？
しかし、パスワード毎回は面倒すぎる。
こういう場合はssh-agentかねやっぱ。
これはこれで面倒そうなんだよな。
皆どうしてるの？
0234名無しさん＠お腹いっぱい。
2010/11/22(月) 21:52:07さらに同様の鍵が複数(沢山)あるとセキュリティ効果うｐ
0235名無しさん＠お腹いっぱい。
2010/11/22(月) 22:41:50まあ、時間稼ぎにはなりそうだけど。。。
何百台もあるしなぁ。
0236名無しさん＠お腹いっぱい。
2010/11/22(月) 23:33:270237名無しさん＠お腹いっぱい。
2010/11/23(火) 00:30:37しかし、日々数十回ssh,scpするのに毎回パス入力。。。耐えられん。
だからこそ、安全なパスなし鍵運用を追及したい。
0238名無しさん＠お腹いっぱい。
2010/11/23(火) 00:39:490239名無しさん＠お腹いっぱい。
2010/11/23(火) 01:08:00他人が root ユーザーとしてログインできるマシンでは ssh-agent は使うべきではありません。
ってのを読んで不安になったんで。
0240名無しさん＠お腹いっぱい。
2010/11/23(火) 02:05:03みんながrootで入れる環境だと意味ない罠
0241名無しさん＠お腹いっぱい。
2010/11/23(火) 13:49:11パスなし鍵の方がよっぽど危険
0242名無しさん＠お腹いっぱい。
2010/11/23(火) 15:34:51それらをssh-agentでひとつのパスワードで管理って出来ない？
0243名無しさん＠お腹いっぱい。
2010/11/23(火) 17:39:16こういう意識でいる限り何を言っても無駄だな
0244名無しさん＠お腹いっぱい。
2010/11/23(火) 18:13:490245名無しさん＠お腹いっぱい。
2010/11/23(火) 18:46:04「一日一回」で済むってことが分かるのに
0246名無しさん＠お腹いっぱい。
2010/11/23(火) 18:52:14そこをなんとかｗ
業務委託が切られちゃったから、やらざるを得ないけど、
単調作業が嫌いなので、とにかく楽にしたい。
>>244
暗号化はすでにやってる。truecryptでイメージ保存してて
出社したら、.ssh/にマウントさせてる。
でも、マウントした時点でsudoもってる奴らには見えてしまう。
0247名無しさん＠お腹いっぱい。
2010/11/23(火) 18:56:50ただ、
ttp://www.gcd.org/blog/2007/07/123/
にもあったけどやっぱ他人がroot使える環境では
安全とは言えないんだよね？
0248名無しさん＠お腹いっぱい。
2010/11/23(火) 19:03:24ssh信頼できないデバイスが信頼できな
0249名無しさん＠お腹いっぱい。
2010/11/23(火) 19:06:33sshクラアントごと差し替えられたり、
キーロガーしこまれたりできるデバイスだったら
秘密鍵のパスフレーズだって抜けるでしょ。
0250名無しさん＠お腹いっぱい。
2010/11/23(火) 19:23:24ってことは俺の環境でパスなし鍵の安全性確保は難しそうだ。
vmwareで解決しそうだけど、禁止だし。。。
厳しいなぁ。
0251名無しさん＠お腹いっぱい。
2010/11/23(火) 19:46:02イントラチーム筒抜けとかいってたからローカルの話の
続きかと思った。この場合は秘密鍵そのものは覗き見できない。
まあ仮にクライアント側で秘密鍵の機密性が守れたとしても
ログイン先sshdに罠を仕込めるようなサーバ環境なら通信内容の
盗聴はできるよ。
とことん防衛するつもりならSSHクライアント／サーバ管理者以外にも
DNSサーバ管理者やIPルータ管理者の警戒もお忘れなく。。。
0252名無しさん＠お腹いっぱい。
2010/11/23(火) 22:55:09>暗号化はすでにやってる。truecryptでイメージ保存してて
>出社したら、.ssh/にマウントさせてる。
そうじゃなくて使う瞬間だけメモリ上で復号するんだよ
0253名無しさん＠お腹いっぱい。
2010/11/23(火) 23:21:57なるほど、盗まれることはないってことか。
まあ盗聴は気をつけるしかないかな。
今回は、パスなし秘密鍵はちゃんと管理せよってよく言うけど、
みんなはどうしてるのかなと思っただけだよ。
>>252
使うたびに複合は面倒じゃない？
ちなみにUSBは使えない。
0254名無しさん＠お腹いっぱい。
2010/11/24(水) 00:26:210255名無しさん＠お腹いっぱい。
2010/11/24(水) 10:28:49どんな仕事やってんだ？
0256名無しさん＠お腹いっぱい。
2010/11/24(水) 11:36:540257名無しさん＠お腹いっぱい。
2010/11/24(水) 12:27:160258名無しさん＠お腹いっぱい。
2010/11/24(水) 12:39:330259名無しさん＠お腹いっぱい。
2010/11/24(水) 20:52:07俺もそれ思ったw
信頼できないやつにroot権限与えてるのが
そもそも一番の問題なんじゃねーか。
それ前提だと何やっても無駄だろう。
0260名無しさん＠お腹いっぱい。
2010/11/24(水) 22:15:000261名無しさん＠お腹いっぱい。
2010/11/25(木) 12:46:55「職場でダウンローダセットしてゲットしました～」
って書いてるようなそういう話じゃね?
もっとヤバい機密の横流しとかならパスワードを
打つくらいのは厭わないだろうし
0262名無しさん＠お腹いっぱい。
2010/11/25(木) 21:46:29単独作業禁止、パスワードも再監者と確認しながら入力で
毎日他の担当者がアクセス履歴をチェックしてる。
当たり前のことだから別に面倒だとは思わんな
0263名無しさん＠お腹いっぱい。
2010/11/25(木) 22:35:410264233
2010/11/25(木) 22:45:30そんな重要作業ではなく、ほとんど監査がらみのログ収集とか
ldap未導入サーバのアカウント一覧取ったりとか、そんな依頼。
サーバ一覧渡されて、scpで取るだけだけど、楽したいじゃない。
とりあえずssh-agentに変えたから、これでパスなし鍵を置きっぱなしよりは
ましになったか。sudo可の奴らは信頼することにする。
0265名無しさん＠お腹いっぱい。
2010/11/25(木) 22:55:49> 2. ssh-agent を普通に使うだけでは便利性が高くない。
> 3. keychain は ssh-agent をもっと便利にしてくれるツール。
> 4. keychain を導入すればパスフレーズ入力が PC 起動につき一回で済む。
> 5. keychain を使えば複数 ssh-agent を起動する必要がなくなる。
0267名無しさん＠お腹いっぱい。
2010/11/28(日) 13:30:26ttp://www.gadgety.net/shin/tips/unix/ssh2.html
のインストール手順で詰んだのですが、スーパーユーザーで作業するにはどのような操作を行えば良いでしょうか。
0268名無しさん＠お腹いっぱい。
2010/11/28(日) 14:56:130269名無しさん＠お腹いっぱい。
2010/11/28(日) 15:22:11スーパーユーザーって何のことだ?
administratorのことか?
Windowsから別のOSにログインするって話なら
その相手が何でどういう設定になってて
何をやりたいのか書かんと
0270名無しさん＠お腹いっぱい。
2010/11/28(日) 23:18:260271名無しさん＠お腹いっぱい。
2010/11/28(日) 23:21:340272名無しさん＠お腹いっぱい。
2010/11/30(火) 13:18:270273名無しさん＠お腹いっぱい。
2010/11/30(火) 18:47:410274名無しさん＠お腹いっぱい。
2010/12/02(木) 08:10:560275名無しさん＠お腹いっぱい。
2010/12/02(木) 15:05:360276名無しさん＠お腹いっぱい。
2010/12/11(土) 02:57:100277名無しさん＠お腹いっぱい。
2010/12/11(土) 19:10:00パスフレーズ入力を何回かすることになってでも、俺は
gpg-agent --enable-ssh-supportの方がいいやｗ
0278名無しさん＠お腹いっぱい。
2011/01/22(土) 11:01:24OpenSSHのsshdで同一ホストからInvalied userなログイン要求があった場合に
外部プログラムを起動したいんだけど、何か方法ある?
maxlogins.plのようにsyslogを読む方法はローカルなユーザがlogger使って
悪戯できるので、イヤです。
0279名無しさん＠お腹いっぱい。
2011/01/23(日) 00:34:30現状これを把握するには log 見るしかないんじゃない？
0280名無しさん＠お腹いっぱい。
2011/01/23(日) 00:59:47ソースいじるしかないんじゃね？
その程度ならすぐ追加できそう
0281名無しさん＠お腹いっぱい。
2011/01/23(日) 01:34:58swatchかsyslog-ngあたりを使うのが普通では
syslogを読む、ってのはよく分からんが
syslogdが出力したlogファイルを読む、という意味か?
少なくとも後者なら「出力」ではなく「入力」に対応して
外部コマンド起動させることはできるよ
syslogdの置き換えだから
俺はsyslog-ngで
「同一ホストから1分間に3回ログイン失敗したら30分遮断」
なスクリプトを起動させてる
以前はswatch使ってたけど、時々変な挙動起こしてたんでやめた
0282名無しさん＠お腹いっぱい。
2011/01/23(日) 01:47:03syslog.confでパイプすることも含みます。
ローカルユーザーがloggerで悪戯できるということは、侵入者が
これを悪用して管理者のログインを邪魔することが可能になるの
で使いたくないのです。
(侵入されたときに制御を奪い返せなくなる)
0283名無しさん＠お腹いっぱい。
2011/01/23(日) 01:51:22と書こうとしたら既にw
sshdの設定変えてログ出力を非標準のfacilityに変えちゃえば
ルート権限持ってないユーザには分からんだろう。
そもそもそんな馬鹿にローカルから使わせるのがいけないんじゃね?
とも思うが。
0284名無しさん＠お腹いっぱい。
2011/01/23(日) 02:26:50> これを悪用して
んんん??
馬鹿ユーザじゃなくて「侵入者」がローカルで操作するの?
「ローカル」ってのはリモートではなく実機のコンソールでの操作って意味だよね?
どういう状況を想定しているのかイマイチ分からない…
実機を直接いじれる侵入者(あるいはその協力者)を想定するんじゃ
24h常駐ガードマン雇う等の物理的なセキュリティを厳重にするしか
根本対策にならんように思えるが
0285名無しさん＠お腹いっぱい。
2011/01/23(日) 02:34:35に見えた
頭腐って来てるかも・・・
0286名無しさん＠お腹いっぱい。
2011/01/23(日) 02:53:18防御ならパスワード認証不可にすれば解決では。
色々複雑な状況考えてる一方でノーガードに近いパスワード認証前提というのがチグハグに見える。
0287名無しさん＠お腹いっぱい。
2011/01/23(日) 06:57:230288名無しさん＠お腹いっぱい。
2011/01/23(日) 08:53:420289名無しさん＠お腹いっぱい。
2011/01/23(日) 12:27:560290名無しさん＠お腹いっぱい。
2011/01/23(日) 21:15:19侵入されて任意のコマンド実行可能な状態になったことをローカルユーザと
表現しました。
>>286
sshは公開鍵認証だけです。その上で侵入された場合を想定しています。
>>288
当該サーバが地理的に離れているので、侵入されたことが判明したら、
到着する前にシャットダウンできる備えはしておきたいのです。
0291名無しさん＠お腹いっぱい。
2011/01/23(日) 21:25:22侵入された時点で物理的に電源を切る以外何をやっても無駄。
そこまで心配するならSELinuxなどを使いなよ。
0292名無しさん＠お腹いっぱい。
2011/01/23(日) 21:46:08侵入の証跡取るためにはシャットダウンもよろしくないんだよね
うちだったら緊急時は接続してるSW側でport落とすかな
(そして俺が侵入者なら無通信になったらファイル消しまくるように
仕掛けるだろうｗ)
0293名無しさん＠お腹いっぱい。
2011/01/23(日) 22:49:31> 侵入された時点で物理的に電源を切る以外何をやっても無駄。
侵入されても、rootを取られてなければ奪還の可能性はあります。
たとえrootを取られても、ログインできればシャットダウン出来る
可能性はありますが、ログインできなければその可能性は0ですよね。
>>292
> 侵入の証跡取るためにはシャットダウンもよろしくないんだよね
放置するよりはシャットダウンを選びます。踏み台にされて犯罪に
使われたりしたら面倒ですから。
> うちだったら緊急時は接続してるSW側でport落とすかな
零細なんでリモートで落とぜるSWは無理です。
0294名無しさん＠お腹いっぱい。
2011/01/23(日) 23:19:09> sshは公開鍵認証だけです。その上で侵入された場合を想定しています。
どういう状況で「その上で侵入」が可能になるのか説明plz
・サーバは遠隔地にある……これは普通
・sshは公開鍵認証のみである……brute forceで破られる心配ゼロ
・それでも、もし入られたら制御を奪われる恐れがある……????
前提がそもそも成り立ってないでしょ。
公開鍵認証使っている以上、秘密鍵が漏洩しない限りsshでの侵入はない、というのが通常の前提。
それを突破してくるｽｰﾊﾟｰﾊｶｰを相手と想定してるなら、何やっても無駄だよ。
君の力の及ぶ相手ではないからあきらめろ、としか。
0295名無しさん＠お腹いっぱい。
2011/01/24(月) 00:01:010296名無しさん＠お腹いっぱい。
2011/01/24(月) 00:05:05sshdのバグ、httpdとか他の経路。クライアントへの攻撃。
0297名無しさん＠お腹いっぱい。
2011/01/24(月) 00:08:19ま、それはともかく対策が過剰な気はする。
ipfw/iptablesなどで接続元を絞るとか、別のレイヤでの対策を考えるべき。
0298名無しさん＠お腹いっぱい。
2011/01/24(月) 00:36:23jpからの攻撃に対する対策として、maxlogins.plを使おうとしたけど、
「待てよ、ログイン出来なくされる」と思い直しての質問です。
0299名無しさん＠お腹いっぱい。
2011/01/24(月) 00:38:13tcp wrapperで逆引きを使うとか、10年前の対策だな。
0300名無しさん＠お腹いっぱい。
2011/01/24(月) 00:48:410301名無しさん＠お腹いっぱい。
2011/01/24(月) 00:50:150302名無しさん＠お腹いっぱい。
2011/01/24(月) 01:19:40全然sshの話じゃなくなってるぞ
「httpdとか他の経路」ってのは何なんだよw
0303名無しさん＠お腹いっぱい。
2011/01/24(月) 01:48:10> jpからの攻撃に対する対策として、maxlogins.plを使おうとしたけど、
> 「待てよ、ログイン出来なくされる」と思い直しての質問です。
「ある特定の条件に関しては遮断を行わない」ようなスクリプトにしとけばいいだけなんじゃないの?
管理者が直近のログインに使ったIPアドレスは除外する、とか
そこまでいろんなパターン考えてるわりに他人が作ったそのまま使うの前提ってのがよく分からん
自分に都合がいいのを自分で作りなよ
0304名無しさん＠お腹いっぱい。
2011/01/24(月) 01:58:37brute forceの話はどこへ行った? w
OSが何かも分からんし前提条件も途中で変わるのでは話が
0305名無しさん＠お腹いっぱい。
2011/01/24(月) 08:09:360306名無しさん＠お腹いっぱい。
2011/01/24(月) 09:11:29> 「ある特定の条件に関しては遮断を行わない」ようなスクリプトにしとけばいいだけなんじゃないの?
> 管理者が直近のログインに使ったIPアドレスは除外する、とか
自分の利用条件に合う方法が思いつきません。詳細を説明するのも面倒だし、
全部を網羅できず、条件後出しになる可能性が高いので、スクリプトの改造
に関する話題は、これ以上はやめます。
加えて、メッセージの全部を偽造可能なので、それを見破るのも面倒。
>>304
sshdに対する攻撃は
1) ユーザ名を辞書攻撃で得る。
2) そのユーザ名に対してパスワードを辞書攻撃。
という手順です。
1)の段階で検出できれば、2)が(sshdの穴をついて)公開鍵認証を突破する手法に
進化した場合にも防御することが可能です。
1)の段階でsshdの穴をつつかれる可能性は残りますが、対策する方がセキュア。
まとめます
・maxlogins.plに類する、syslogdに送られる情報を元に、sshdへの攻撃を防御する
手法は非特権ユーザがサービス停止攻撃を実行可能。
・これに代わる確立された方法は現在のところ無し。
0307名無しさん＠お腹いっぱい。
2011/01/24(月) 09:31:46syslogdにネットワークからメッセージ送れますね。(設定されてれば)
しかも(UDPなので)IPアドレスも偽造できる。
0308名無しさん＠お腹いっぱい。
2011/01/24(月) 14:08:18まあ、多少作り込みは必要だろうけどそんなに難しい事だとは思わんけど。
0309名無しさん＠お腹いっぱい。
2011/01/24(月) 15:07:03手っ取り早くて確実かと思いました。(solarisでいう)
で、それをsyslog-ngに組み込もうとしたらsysutils/syslog-ng*がコ
ンパイルできねーでやんの。(事情により今すぐportsを最新版にできない)
0310名無しさん＠お腹いっぱい。
2011/01/24(月) 15:09:01ゴミが残りました。気にしないでください。
0311名無しさん＠お腹いっぱい。
2011/01/24(月) 15:17:26auth sufficient pam_unix.so nullok try_first_pass
auth sufficient pam_exec.so /sbin/log_and_deny.sh
### /sbin/log_and_deny.sh
#!/bin/sh
x=/var/run/sshd-blacklist-$PAM_USER-$PAM_RHOST
if [ -f $x ] ; then
shutdown now $x
else
touch $x
fi
exit 1
0312名無しさん＠お腹いっぱい。
2011/01/24(月) 18:22:16わろうた
0313名無しさん＠お腹いっぱい。
2011/01/24(月) 18:29:210314名無しさん＠お腹いっぱい。
2011/01/25(火) 00:23:01> sshdに対する攻撃は
> 1) ユーザ名を辞書攻撃で得る。
> 2) そのユーザ名に対してパスワードを辞書攻撃。
> という手順です。
> 1)の段階で検出できれば、2)が(sshdの穴をついて)公開鍵認証を突破する手法に
1)の段階ではまだ突破されてないんだからloggerでどうのこうのってのは起こらない。
そして「1)の段階で検出」は既知の方法で十分対応可能。
1)の段階で「完全に遮断」すりゃその先の話は「まず起こり得ない物語」でしかない。
「まず起こり得ない物語」のために必死に対策打つのは
「まったく価値がない」とは言わんが、ちょいと馬鹿げてないか?
傍目には「空が落ちてきたらどうしよう」って悩んでる人と変わらんように見える。
大丈夫。
「公開鍵認証を突破する手法」とやらが広まる頃には、それに対するパッチもちゃんと出てるよw
0315名無しさん＠お腹いっぱい。
2011/01/25(火) 00:30:28> 1)の段階ではまだ突破されてないんだからloggerでどうのこうのってのは起こらない。
別経路からの侵入を想定と書いた。何度も書かせないでよ。面倒だな。
0316名無しさん＠お腹いっぱい。
2011/01/25(火) 01:57:00どれがお前さんの書き込みだか他人のチャチャだか分からんよ
名前欄に何も入れてない上にこの板はIDも出ないし
続けたいならコテハンにしたら?
本来なら「もっとふさわしいスレ」に移動すべきだろうと思うけど
0317名無しさん＠お腹いっぱい。
2011/01/25(火) 02:17:43「自分のアカウントがログイン不可にされてたら問答無用でネットワーク断」
になるように設定しとけば?
手法はいろいろ考えられると思うが
0318名無しさん＠お腹いっぱい。
2011/01/25(火) 23:50:18却下です。理由は… 面倒くさいから上の方読んで。
0319名無しさん＠お腹いっぱい。
2011/01/26(水) 18:08:540320名無しさん＠お腹いっぱい。
2011/01/26(水) 18:18:28> 悪戯できるので、イヤです。
侵入者にルート権限を奪われていない状況で、これって本当に可能なんでしょうか?
管理者のユーザ名も使用しているIPアドレスも分からない状態ですよね?
もちろん「無差別に全部塞ぐ」は簡単だけど自力では「開け直す」ができないんだから
意味がないような気がするし。
0321名無しさん＠お腹いっぱい。
2011/01/26(水) 18:19:34侵入していることが管理者に気づかれないようにするのが普通だと思うのだけど。
管理者を締め出すようなことしたら普通はすぐに対策取られちゃいますよね。
直接コンソール操作して。
苦労して侵入したのに、明かに「侵入してますよ～」って言いふらすような
馬鹿なことをわざわざするかな。
0322名無しさん＠お腹いっぱい。
2011/01/26(水) 20:06:18で、結局のところどうするんだ？これでもまだ「自分の望む答えが出てない」と言うなら、
おそらく自分で方向性決められないので素直に鍵認証にしとけ。
0323名無しさん＠お腹いっぱい。
2011/01/26(水) 20:43:24他ユーザのログイン記録の管理は普通ルーズですよ。lastなどでわかる場合が多い。
maxlogins.plはホスト毎にアクセス制御なので、ユーザ名は不要ですね。
>>322
面倒だから上の方読んで。
0324名無しさん＠お腹いっぱい。
2011/01/26(水) 21:40:13やっぱりキミ頭弱いそうだから説明してあげる。
>>309(syslogd改造)が現在の結論。
0325名無しさん＠お腹いっぱい。
2011/01/26(水) 22:04:55全然結論になってないんだけど(笑)。
したり顔で言われたくないなぁ、馬鹿には。
0326名無しさん＠お腹いっぱい。
2011/01/26(水) 22:46:45完璧になってるよ。
syslogdでメッセージ投げてきたプログラムのuidを取得すれば、
sshd(root)とlogger(非特権ユーザ)が区別できるので悪戯されない。
0327名無しさん＠お腹いっぱい。
2011/01/26(水) 23:07:30・不要なサービスを立ち上げない、提供するホストを分ける
・不要なユーザを受け入れない
・二要素認証と承認の仕組み
などの基本から考え直せ。
0328名無しさん＠お腹いっぱい。
2011/01/26(水) 23:18:36そう思うのは頭が弱いキミだけだよ。syslogd改造で完了だよ。
どんなに間抜けな事言ってるか教えてあげる。
> ・不要なサービスを立ち上げない、提供するホストを分ける
sshdとhttpd提供するホストを分けたら、httpdのホストはどうやって
保守するのでしょうか?
> ・不要なユーザを受け入れない
だからmaxlogins.plのような仕組みが必要。でもsyslogdが今のままではダメ。
> ・二要素認証と承認の仕組み
ハードウエアトークン使った秘密鍵認証ですが、何か?
0329名無しさん＠お腹いっぱい。
2011/01/26(水) 23:31:23CMS使えば他のユーザをシェルまでログインさせる必要もない
あれもこれもいいとこ取りしようとして、要件が発散してるのがそもそもの問題ｗ
0330名無しさん＠お腹いっぱい。
2011/01/26(水) 23:33:510331名無しさん＠お腹いっぱい。
2011/01/26(水) 23:47:33> 零細なんでリモートで落とぜるSWは無理です。
って言ってたのに、
>>328
>ハードウエアトークン使った秘密鍵認証ですが、何か?
こんな金のかかるもの導入してる。
ほんとに同じ人？
0332名無しさん＠お腹いっぱい。
2011/01/26(水) 23:50:09途中から変なのが参戦してるね。
syslogdなんて亜種がいくらでもあるし、syslogdが問題だと思うなら
余所の適切なスレへ移動して欲しい。
0333名無しさん＠お腹いっぱい。
2011/01/27(木) 00:03:46OpenPGPカードだから安いよ、15ユーロくらいだったかな。
amazonの安売りの1000円カードリーダーだし。
0334名無しさん＠お腹いっぱい。
2011/01/27(木) 00:22:39偉そうに分離しろとか言って、httpdとsshdは分離できないんじゃん。
0335名無しさん＠お腹いっぱい。
2011/01/27(木) 00:32:15daemonとしての「サービス」は複数動かさざるを得ないが、
ユーザに提供する「サービス」はhttpdとsshd両方提供する必要は無い
必要が無いソースホスト・ユーザからは到達させないようにするのはセキュリティの基本中の基本
0336名無しさん＠お腹いっぱい。
2011/01/27(木) 00:43:552,3万からのインテリスイッチすら買えないのに、ハードウェアトークンなんて面倒なものいれる零細企業がどこにあるんだよ。
脳内零細企業の管理者様はセキュリティ板にでもお帰りいただけばおｋ。
0337名無しさん＠お腹いっぱい。
2011/01/27(木) 01:27:53・侵入されないことより、侵入後の対策が重要
・syslog改造すると表明したのにいつまでSSHスレに居座るの？
・他人の提案は何でも却下
ま、釣りじゃなければ精神異常だ罠
0338名無しさん＠お腹いっぱい。
2011/01/27(木) 01:34:41sshdとhttpdが同一ホストで動かしているという前提しか提示してない
(それでどんなサービスを提供しているかは提示していない)のに
余計な憶測で
> ・不要なサービスを立ち上げない、提供するホストを分ける
と、間抜けなアドバイスしたって事だね。
>>336
外からログインさせるためにはハードウェアトークンは必須。
OpenPGPカードは(カード(15ユーロ)+リーダー(1000円))/1名
ランニングコスト0。全然面倒じゃない。
安定して購入できるかという問題はあるけど、零細はフットワー
ク軽くて小回り効くから、ディスコンになったら考えればいい。
インテリスイッチは無けりゃ無くて済む。
そのわりに設置場所やランニングコストもかかる。
全然矛盾しないんだなあ。
0339名無しさん＠お腹いっぱい。
2011/01/27(木) 01:59:17> ・他サービスのセキュリティには無頓着なのにSSHまわりのDoSには異常にこだわる
他サービスに関してはここでは話題にしていないだけ。
> ・侵入されないことより、侵入後の対策が重要
侵入されない事に関しては、ユーザー名総当たり攻撃に対する防御が残っている。
これ以外は対策済み。
> ・syslog改造すると表明したのにいつまでSSHスレに居座るの？
.jp以外を拒否する方法として、tcp wrapperが古いというので、
代わる方法を聞いたけど、まだ答えがない。
あと、>>311は、釣りだったけど、PAMを使うというのは新鮮なアイデアだった。
そういうのが出てくるかもしれない。
> ・他人の提案は何でも却下
接続元限定しろ、パスワード認証やめろ、二要素認証しろ、とか
聞いてもいない、しかも対策済みの提案と、上の方のレス読まずに
書きなぐったまぬけな提案しか出てこねーんだもん。
0340名無しさん＠お腹いっぱい。
2011/01/27(木) 06:58:450341名無しさん＠お腹いっぱい。
2011/01/27(木) 10:03:20メンテするときはシリアルポートに繋いだモデムに電話掛ければOK。
0342名無しさん＠お腹いっぱい。
2011/01/28(金) 04:50:40WarGamesを思い出した。
0343名無しさん＠お腹いっぱい。
2011/01/28(金) 12:34:44> 上の方のレス読まずに
だから、どれがお前の書き込みだか
他の人には分かんねーんだっつーのw
ここにいるのが全員エスパーだと思ってんのか?
なんでコテハンにしないんだよ
釣られちまった
0344名無しさん＠お腹いっぱい。
2011/01/28(金) 12:46:01そういうお前は誰なんだよ。
0345名無しさん＠お腹いっぱい。
2011/01/28(金) 12:50:26その理屈なら、
> ・他人の提案は何でも却下
却下したのも誰だか判らないじゃないか。ｗ
0346名無しさん＠お腹いっぱい。
2011/01/28(金) 14:06:56古いね～
0347名無しさん＠お腹いっぱい。
2011/01/28(金) 14:10:030348名無しさん＠お腹いっぱい。
2011/01/28(金) 17:28:01管理者じゃない番号からの着信はPBXで止めろよ。
0349名無しさん＠お腹いっぱい。
2011/01/28(金) 21:00:290350名無しさん＠お腹いっぱい。
2011/01/29(土) 10:40:26問題になってるのは「どれが質問者の発言か分からない」という話だろ
「他人」は何人いようと問題じゃない
他人のツッコミや推測の書き込みと質問者の答えの区別がつかんから
「前に書いた」と言われてもどれのことだか分からん訳で
2ちゃんでは話題が継続してる間は最初の質問の番号を名前欄に入れる
のが一般的だと思うんだが質問者はそういうルールを知らんのか
あるいは質問者は>>278だけで後はなりすましの他人による釣り行為だったのかw
0351名無しさん＠お腹いっぱい。
2011/01/29(土) 10:49:120352名無しさん＠お腹いっぱい。
2011/01/29(土) 11:59:25>>337は、(質問者が)「他人の提案をなんでも却下」したと言っている、
却下したのが他人の突っ込みでないこと、すなわち元質問者であるとわ
かっている。
わからないお前がバカなんじゃない?
0353名無しさん＠お腹いっぱい。
2011/01/29(土) 12:00:00どういう目的があるのかはわからんが
0354名無しさん＠お腹いっぱい。
2011/01/29(土) 19:54:45とりあえず見てて不快だからこの話題やめようぜ
0355名無しさん＠お腹いっぱい。
2011/01/29(土) 22:01:490356名無しさん＠お腹いっぱい。
2011/01/30(日) 00:11:27そのレス以前の文脈無視すんなよw
0357名無しさん＠お腹いっぱい。
2011/01/30(日) 14:29:00誰が書いたかわからないのに文脈もクソもないだろ。
0358名無しさん＠お腹いっぱい。
2011/01/31(月) 11:39:19とりあえず家のSolaris鯖のは既に入れ替えてみてある。
ぱっと見、session.cのコードが結構変わってた。
0359名無しさん＠お腹いっぱい。
2011/02/01(火) 18:44:56よくわかってないんだけどECDSA って美味しい?
試しにssh-keygen -t ecdsa したら規定値256bit なんだけどこれで問題ないのかな?
-3 は面白そう
0360名無しさん＠お腹いっぱい。
2011/02/02(水) 10:06:03RSA2048bit よりは強度はだいぶ上じゃないかな
0361名無しさん＠お腹いっぱい。
2011/02/02(水) 10:14:40これ壁というかGW上のホストでの作業に
めちゃめちゃ便利そう
いままでなかったのが不思議なくらい
(いちいち ssh utigawa tar cf - | ssh sotogawa tar xpf - とかしてた)
はやく FreeBSD のツリーに取り込まれないかな…
0362名無しさん＠お腹いっぱい。
2011/02/02(水) 10:19:27> sftp(1): sftp クライアントは非常に早くなった.
WinSCP による転送が異常に遅い問題って
この辺の話と関係あるんでしょうかね。
0363名無しさん＠お腹いっぱい。
2011/02/02(水) 15:03:40directory listings,
これ？ ディレクトリ一覧取得って書いてあるけど。
0364名無しさん＠お腹いっぱい。
2011/02/02(水) 15:24:48あちゃ… たしかに原文はそうなってるね。
日本語訳しか読んでなかった… orz
0365名無しさん＠お腹いっぱい。
2011/02/02(水) 20:53:32トン
RSA に比べると大分bit 数が少なかったので少し不安でした
とりあえず256bit で運用してみます
0366名無しさん＠お腹いっぱい。
2011/02/04(金) 13:01:42http://www.openssh.org/txt/release-5.8
http://www.unixuser.org/~haruyama/security/openssh/henkouten/henkouten_5.8.txt
0367名無しさん＠お腹いっぱい。
2011/02/04(金) 23:35:360368名無しさん＠お腹いっぱい。
2011/02/09(水) 07:24:560369名無しさん＠お腹いっぱい。
2011/02/09(水) 21:43:26認証プロセスをアプリ毎に実装する必要がない。
認証方法を変更する場合、ユーザー側の作業だけですみ、アプリに変更を加える必要がない。
0370名無しさん＠お腹いっぱい。
2011/02/23(水) 00:31:11.34Ciphers 3des-cbc
としておかないと駄目らしい。
なんとか接続できたので快適ｗ
0371名無しさん＠お腹いっぱい。
2011/02/28(月) 10:39:20.71◯前置き：
自分のPC(Windows)には taro というアカウント名でログオンしていて、cygwin を使っている。
家庭内LAN上の別のマシンの Linux 上に taro というアカウントを作った。
cygwin の openssh で ssh-keygen で作成した公開鍵を Linux に送り、cygwin の ssh から
鍵認証でログインすることが出来ている。
◯問題：
sourceforge.jp にアカウントを作った。このときのアカウントは hoge とする。
hoge 用に公開鍵と秘密鍵のペアを作るのが面倒だったので、↑でつくった taro 用の公開鍵を
sourceforge.jp に登録し、cygwin から
$ ssh -i .ssh/id_rsa -l hoge shell.sourceforge.jp
というようにやっているのだけど、10時間たっても
Permission denied (publickey).
というエラーが出てログインできない。
0372名無しさん＠お腹いっぱい。
2011/02/28(月) 11:34:25.20sshに-v付けて調べる。
0373371
2011/02/28(月) 12:08:14.03$ ssh -v -i .ssh/id_rsa -l hoge shell.sourceforge.jp
OpenSSH_4.3p2, OpenSSL 0.9.8b 04 May 2006
debug1: Reading configuration data /home/taro/.ssh/config
debug1: Connecting to shell.sourceforge.jp [202.221.179.26] port 22.
debug1: Connection established.
debug1: identity file .ssh/id_rsa type 1
debug1: Remote protocol version 1.99, remote software version OpenSSH_5.1p1 Debian-5
debug1: match: OpenSSH_5.1p1 Debian-5 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.3
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-cbc hmac-md5 none
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
(続く)
0374371
2011/02/28(月) 12:08:30.45debug1: Host 'shell.sourceforge.jp' is known and matches the RSA host key.
debug1: Found key in /home/taro/.ssh/known_hosts:43
debug1: ssh_rsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey
debug1: Offering public key: .ssh/id_rsa
debug1: Authentications that can continue: publickey
debug1: No more authentication methods to try.
Permission denied (publickey).
0375名無しさん＠お腹いっぱい。
2011/02/28(月) 12:51:57.78サーバーに転送した公開鍵がおかしい(行末?)とか、ディレクトリが違うとか、
パーミッションがおかしいとか。
0376名無しさん＠お腹いっぱい。
2011/02/28(月) 12:52:50.370377371
2011/02/28(月) 13:10:15.94sourceforge.jp の場合、下記のように、
ブラウザに、自分のPCで作成した公開鍵を貼り付けるようになっているので、
http://sourceforge.jp/projects/docs/wiki/SSH%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%AE%E3%81%9F%E3%82%81%E3%81%AE%E3%82%AD%E3%83%BC
ディレクトリが違うとかパーミッションがおかしいということはないと思います
(sourceforge.jp の CGI が間違ってない限り)
ちなみに「サーバ側で拒否している」とは、>>373-374 のどこでわかるのでしょうか?
また、「鍵が合ってないよ」とは違う状況をサーバはおうとしているのでしょうか?
0378名無しさん＠お腹いっぱい。
2011/02/28(月) 13:28:46.78ありがちなミスでコピペしたときに途中に改行が入ってるんじゃない?
公開鍵は一行だぞ。
> debug1: Authentications that can continue: publickey
(あんたの送った公開鍵は却下)次の公開鍵送れ。
0379371
2011/02/28(月) 15:04:24.35sourceforge.jp では、アカウント申請しただけではシェルサーバに
ログインできず、何らかのプロジェクトに属さないとダメなようです。
申し訳ありません、お騒がせしました。
>>378
レスどうもありがとうございます。
ssh -v でデバッグする方法は今回で知ったので、今後に役立たせていただきます。
0380名無しさん＠お腹いっぱい。
2011/03/26(土) 01:13:04.190381名無しさん＠お腹いっぱい。
2011/03/27(日) 01:59:12.03Mac1, Mac2, Debian Stableがあり、Mac2 と Debianは同じネットワーク。
最初、Mac1からDebにはsshで入れたが、Mac2からDebには Permission denied (publickey) のエラーで接続できなかった。
Mac1とMac2は同じ構成なので、これは不可思議だった。
Debのauthorized_keysやid_rsaのパーミッションをread onlyにするなどの変更をしたが、そうこうするうちに、
Mac1からもDebに入れなくなっていた。
Debのsshd_configを開いたときに知らずに変更してしまったのか。手がかりが分からず困ってる。
0382名無しさん＠お腹いっぱい。
2011/03/27(日) 02:16:24.71公開鍵認証の接続だけを許す設定で、>>373-374と同じ問題に悩んでいる。
Mac1, Mac2, Debian Stableがあり、Mac2 と Debianは同じネットワーク。
最初、Mac1からMac2にはsshで入れたが、DebからMac2には Permission denied (publickey) のエラーで接続できなかった。
Debのauthorized_keysやid_rsaのパーミッションをread onlyにするなどの変更をしたが、そうこうするうちに、
今度はMac1とMac2の両方からDebに入れなくなっていた。
Debのsshd_configを開いたときに知らずに変更してしまったのか。手がかりが分からず困ってる。
0383名無しさん＠お腹いっぱい。
2011/03/27(日) 09:08:23.01Mac側ユーザでls -la ~/.sshした結果でも貼ってみれば？
0384382
2011/03/27(日) 11:20:30.38-rw------- 1 me staff 1217 Feb 11 21:26 authorized_keys
-rw------- 1 me staff 1743 Jan 1 12:28 id_rsa
-rw-r--r--@ 1 me staff 393 Feb 11 21:24 id_rsa.debian.pub
-rw------- 1 me staff 418 Jan 1 13:07 id_rsa.pub
-rw-r--r-- 1 me staff 14756 Mar 13 11:53 known_hosts
上記のうち、Debのpublic keyを
-r--------@ 1 me staff 393 Feb 11 21:24 id_rsa.debian.pub
にしても変わりません。
0385名無しさん＠お腹いっぱい。
2011/03/27(日) 13:26:38.84Mac1はログインする側でDebがされる側？
まさかだけど鍵穴に鍵穴を突っ込もうと奮闘してるとか？
0386名無しさん＠お腹いっぱい。
2011/03/27(日) 13:48:31.92＞Mac1からMac2に
＞DebからMac2に
ここで、
＞今度はMac1とMac2の両方からDebに
ログインの方向が変わってるぞ。鍵穴に鍵穴を突っ込もうとしてるか、鍵を鍵に突っ込もうとしてるのどちらか。
0387名無しさん＠お腹いっぱい。
2011/03/27(日) 15:02:42.890388名無しさん＠お腹いっぱい。
2011/03/27(日) 23:17:45.54なんか百合っぽい
0389名無しさん＠お腹いっぱい。
2011/03/28(月) 06:06:44.71無視することのできない重大な事件です。このような者がのうのうと責任ある教授職を
続けていることに、藤原氏がプロの学者であることを自覚しているのなら
なおさら疑問をかんじざるを得ません。今後二度とこのような事件が起きないように
するためにみなさんで建設的な議論をしましょう。
0390382
2011/03/28(月) 10:56:35.78ログインの方向が変わっているのはその通りです。
３つのマシンがsshdを動かしていて、それぞれ公開鍵を発行して相互にログインできてました。
いま困っているのは
＞今度はMac1とMac2の両方からDebに
が出来ない事ですが、
別の事象として、DebからMac2にアクセスするときにも同じエラーが起きていたということです。
0391名無しさん＠お腹いっぱい。
2011/03/28(月) 13:44:18.52その公開鍵をベースに秘密鍵を使うクライアントで秘密鍵を作らないと動かない。
0392名無しさん＠お腹いっぱい。
2011/03/28(月) 13:49:53.810393名無しさん＠お腹いっぱい。
2011/03/28(月) 13:50:31.92キミは120%理解していない。
0394名無しさん＠お腹いっぱい。
2011/03/28(月) 14:21:01.08まあ何を拠り所に認証しようとしているか理解しないと
いつまでたっても勘違い度2000% になっちゃうね
0395名無しさん＠お腹いっぱい。
2011/03/28(月) 14:23:13.67これができるなら、公開鍵暗号って破綻しないか？
0396名無しさん＠お腹いっぱい。
2011/03/29(火) 15:29:07.09PuTTYで共通する項目を設定することはできんものでしょうか
例えば色や外観など部分的な設定を各セッションで共通化したいのですが手軽な方法はないでしょうか
ICE IVのPuTTYを使っています
0397名無しさん＠お腹いっぱい。
2011/03/30(水) 10:19:55.10# そういう話じゃなくて？
0398名無しさん＠お腹いっぱい。
2011/03/30(水) 10:56:06.560399名無しさん＠お腹いっぱい。
2011/03/30(水) 11:56:39.06ところでputtyスレは新スレ誰も立てずに断絶してしまってる？
0400名無しさん＠お腹いっぱい。
2011/03/30(水) 13:52:04.65>>397
それが一番手っ取り早いですね
ini中のいつも使っている[Session:XXXX]のColourXX=で他のセクションのColourを置換してしまえばいいわけですし
>>399
スレタイ検索ではputtyスレなかったです
0401名無しさん＠お腹いっぱい。
2011/03/30(水) 15:15:59.080403名無しさん＠お腹いっぱい。
2011/04/29(金) 13:09:24.69SFTPサーバーをエクスプローラの仮想フォルダとして追加できる「Swish」
http://www.forest.impress.co.jp/docs/review/20110127_422559.html
0404名無しさん＠お腹いっぱい。
2011/05/26(木) 20:38:23.52sshサーバまでの暗号化をさせない方法はありますか?
0405名無しさん＠お腹いっぱい。
2011/05/26(木) 23:22:00.180406名無しさん＠お腹いっぱい。
2011/05/27(金) 00:21:30.09sshでポートフォワードさせればいい
0407名無しさん＠お腹いっぱい。
2011/05/27(金) 10:08:43.790408名無しさん＠お腹いっぱい。
2011/05/27(金) 10:58:39.63>>404
スレ違い。SSHやめてnetcatでも使ってろよ。
0409名無しさん＠お腹いっぱい。
2011/05/27(金) 20:20:49.360410名無しさん＠お腹いっぱい。
2011/05/28(土) 19:26:38.080411名無しさん＠お腹いっぱい。
2011/05/28(土) 19:35:03.83>>410 すみませんがフリー版でお願いします
0412名無しさん＠お腹いっぱい。
2011/05/28(土) 20:26:33.43SSHを使わずにポートフォワードすればいいんじゃね？
0413名無しさん＠お腹いっぱい。
2011/05/29(日) 01:12:43.16これでいいだろ
ipfw add 100 fwd ${remotehost},${remoteport} tcp from me to me dst-port ${localhost}
0414名無しさん＠お腹いっぱい。
2011/05/29(日) 01:14:39.580415名無しさん＠お腹いっぱい。
2011/05/29(日) 02:25:01.96たぶん君のおちんちんが包茎なのが原因
0416名無しさん＠お腹いっぱい。
2011/05/29(日) 07:38:56.56結構真面目に質問したんだが。
0417名無しさん＠お腹いっぱい。
2011/05/29(日) 07:54:23.06ssh鯖がレン鯖とかで、root権限がない場合は無理。
ipfw使うくらいならユーザー権限でstoneの方がいいだろ。
それでもssh鯖にはsshでのみアクセス化で、
勝手にport開いてlistenしてはいけない(fwでブロックされてる)という条件だと無理。
0418名無しさん＠お腹いっぱい。
2011/05/29(日) 07:55:48.880419名無しさん＠お腹いっぱい。
2011/05/29(日) 09:02:41.42君は自分の恥垢臭で発狂してしまうという珍しい症例。
その狂った頭はもう手のつけようがないけど、包茎は治る障害だから
せめて包茎主日ぐらいはしておけ。
0420名無しさん＠お腹いっぱい。
2011/05/29(日) 09:28:28.380421名無しさん＠お腹いっぱい。
2011/05/29(日) 10:19:46.25sshのみでアクセス可
って条件に非常に興味がある。
Linuxで、そんな設定が出来るのか？
どうやれば制限できるのか 方法を教えてほしい。
0422名無しさん＠お腹いっぱい。
2011/05/29(日) 11:13:24.12よくよめ。
ssh鯖へのログインは暗号化。
その後のポートフォワードは暗号化せず。
だろ。
0423名無しさん＠お腹いっぱい。
2011/05/29(日) 11:30:30.650424名無しさん＠お腹いっぱい。
2011/05/29(日) 11:40:36.38ssh -L sport:remote:lport localhost
でよくない？
0425名無しさん＠お腹いっぱい。
2011/05/29(日) 11:42:46.200426名無しさん＠お腹いっぱい。
2011/05/29(日) 11:54:23.140427名無しさん＠お腹いっぱい。
2011/05/29(日) 12:02:33.25ssh鯖にログイン後に別のsshでssh鯖自身に接続してポートフォワードか
-gオプション要る。それだと stone使うのと同じ
手元のホストとssh鯖との間がsshでしか繋げない制限がかかってる場合
ssh鯖上で別のlistenポートを開けないので>>424 だとNG
0428名無しさん＠お腹いっぱい。
2011/05/29(日) 12:16:44.63逆方向にポートフォワード(ssh -R)したい場合も
stoneや >>424の方法は使えませんな。
0429名無しさん＠お腹いっぱい。
2011/05/29(日) 12:32:47.86なんで？
転送先へもNATされるのが普通だろうから問題ないでしょ？
0430名無しさん＠お腹いっぱい。
2011/05/29(日) 12:36:37.650431名無しさん＠お腹いっぱい。
2011/05/29(日) 12:38:33.66内→外のNAT(NAPT)専用で、
NATルーターは別管理で、自分で設定を変更できないと考えろ
0432名無しさん＠お腹いっぱい。
2011/05/29(日) 12:42:59.230433名無しさん＠お腹いっぱい。
2011/05/29(日) 13:24:10.87漂ってくるぐらいに臭いからわかるけどさ。
0434名無しさん＠お腹いっぱい。
2011/05/29(日) 15:48:54.770435名無しさん＠お腹いっぱい。
2011/06/08(水) 10:33:08.07Teratermだと2MB/s程度しか出ない
cygwinにOpenSSH-hpn入れてやっても13MB/sくらいが限界だわ
その割にCPUのリソース余ってる感じだし・・
CPUガリガリ使ってガンガン速度出てくれないもんかね～
0436名無しさん＠お腹いっぱい。
2011/06/08(水) 10:35:04.350437名無しさん＠お腹いっぱい。
2011/06/08(水) 13:25:02.780438名無しさん＠お腹いっぱい。
2011/06/08(水) 13:41:44.24素直なのかそれ
0439名無しさん＠お腹いっぱい。
2011/06/08(水) 15:13:04.49素直じゃなかったよ////
0440名無しさん＠お腹いっぱい。
2011/06/08(水) 20:33:59.140441名無しさん＠お腹いっぱい。
2011/06/09(木) 21:29:03.47Sambaに拘るならWindowsでのsshクライアントはCygwinでOpensshをTar玉取ってきて
hpnパッチ当てるのが一番速いみたいです 商用だともっと速いのあるのかも？
んで鯖がGentooだったんですがこれが曲者でssh -vでOpenSSH_5.8p1-hpn13v10と
出るのにマルチスレッドで動いてませんでした 気が付くのにtopとにらめっこしつつ
設定変えまくって丸一日かかった・・・
鯖の方のOpensshも野良で入れたらsshdの負荷がMAXで200%まで行くようになって
SambaOverSSHでRead34MB/s、Write58MB/sまで出るようになりました(Phenom9750)
さすがに4コア全部使い切ったりはしないもんですね
ちなみにssh無しだとRead70MB/s、Write100MB/s位
SambaOverSSHで速度出そうって奇特な人は居ないかもしれませんが参考までに、
最初の2MB/sから34MB/sまで上がって嬉しくなったので書いてみましたｗ
0442名無しさん＠お腹いっぱい。
2011/06/15(水) 02:24:23.96もしよかったら、どのあたりを設定したか教えてちょ。
0443名無しさん＠お腹いっぱい。
2011/06/17(金) 22:22:05.43設定っていうか/etc/portage/profile/package.providedでGentoo純正のOpenssh
入らないようにして元々のを消してopenssh.orgで取ってきたTar玉のOpensshに
http://www.psc.edu/networking/projects/hpn-ssh/
で取ってきたパッチ上から3つ当ててインストールして/etc/init.d/sshdの
SSHD_BINARY=${SSHD_BINARY:-/usr/sbin/sshd}の所を
SSHD_BINARY=${SSHD_BINARY:-/usr/local/sbin/sshd}に書き換えただけです
0444名無しさん＠お腹いっぱい。
2011/06/18(土) 21:57:05.86なーほー。
ありがとん!
0445名無しさん＠お腹いっぱい。
2011/07/01(金) 19:05:47.44クライアントにsshdを導入せずマウントできる方法はないでしょうか
0446名無しさん＠お腹いっぱい。
2011/07/04(月) 18:50:53.500447名無しさん＠お腹いっぱい。
2011/07/10(日) 06:48:24.050448名無しさん＠お腹いっぱい。
2011/07/10(日) 07:58:24.510449名無しさん＠お腹いっぱい。
2011/07/10(日) 09:33:40.700450名無しさん＠お腹いっぱい。
2011/07/10(日) 11:24:19.670451名無しさん＠お腹いっぱい。
2011/07/10(日) 11:40:20.660452名無しさん＠お腹いっぱい。
2011/07/10(日) 11:50:00.63http://sourceforge.net/apps/mediawiki/fuse/index.php?title=SshfsFaq#Is_there_some_neat_way_to_do_it_in_reverse.3F
0453名無しさん＠お腹いっぱい。
2011/07/10(日) 13:04:32.530454名無しさん＠お腹いっぱい。
2011/07/20(水) 17:12:54.98http://www.unixuser.org/~euske/doc/openssh/book/index.html
良い時代になったなぁ…
次スレのテンプレ（何年後だ）に入れて欲しいぞ。
0455名無しさん＠お腹いっぱい。
2011/07/20(水) 18:50:10.35ttp://ttssh2.sourceforge.jp/manual/ja/about/history.html#teraterm_4.69
0456名無しさん＠お腹いっぱい。
2011/07/20(水) 18:50:49.960457名無しさん＠お腹いっぱい。
2011/07/25(月) 07:11:21.09Man in the MiddleみたいなことをするIDSがあるみたいですが
ローカルのクライアントから外部のサーバへアクセスする際に途中にこういったIDSが存在しても
公開鍵認証でSSH使っている場合にはこれは暗号文を復号されないということでよろしいのでしょうか？
0458名無しさん＠お腹いっぱい。
2011/07/25(月) 08:26:49.63考えてから言ってくれ
0459名無しさん＠お腹いっぱい。
2011/07/26(火) 02:03:57.05ローカルのクライアントを操作してる人間が
MITMゲートウェイの提示してきた偽造したホスト公開鍵を
外部サーバのホスト公開鍵だと闇雲に信じてしまうんなら
そら盗聴されるわ。
0460名無しさん＠お腹いっぱい。
2011/07/30(土) 22:55:04.760461名無しさん＠お腹いっぱい。
2011/07/30(土) 23:50:26.03TCP Wrapperのライブラリがリンクされているか、inetd経由で起動させれば可能だよ。
0462名無しさん＠お腹いっぱい。
2011/08/21(日) 18:50:25.69具体的には、ローカルアドレスからは公開鍵認証かパスワード認証、
グローバルアドレスからは公開鍵認証のみ、
としたいです。
0463名無しさん＠お腹いっぱい。
2011/08/23(火) 10:10:58.30man sshd_configしてMatchでAddress使う書式確認すりゃいいんじゃね
0464名無しさん＠お腹いっぱい。
2011/08/23(火) 15:37:28.24ありがとうございます。「Match,Address」というキーワードがわかったので
ssh Match Addressで検索したらそのものズバリのページがみつかりました。
ttp://inside.ascade.co.jp/node/4
0465名無しさん＠お腹いっぱい。
2011/08/26(金) 14:13:13.340466名無しさん＠お腹いっぱい。
2011/09/05(月) 22:44:49.860467名無しさん＠お腹いっぱい。
2011/09/05(月) 23:53:13.160468名無しさん＠お腹いっぱい。
2011/09/06(火) 21:54:07.010469名無しさん＠お腹いっぱい。
2011/09/06(火) 22:13:59.170470名無しさん＠お腹いっぱい。
2011/09/06(火) 23:05:47.450471名無しさん＠お腹いっぱい。
2011/09/06(火) 23:46:26.240472名無しさん＠お腹いっぱい。
2011/09/26(月) 21:02:40.540473名無しさん＠お腹いっぱい。
2011/10/02(日) 12:31:00.47known_hostsに登録される鍵は、ホスト鍵と呼ばれるそうなのですが、
ホスト鍵にも秘密鍵と公開鍵があるんでしょうか？
その場合、known_hostsに登録されているのは公開鍵のほうですか？
0474名無しさん＠お腹いっぱい。
2011/10/02(日) 14:20:39.620475名無しさん＠お腹いっぱい。
2011/10/02(日) 21:41:53.68ありがとうございます。
公開鍵はknown_hostsに登録されているとすると、
（ホスト鍵の）秘密鍵はどこに登録されているのでしょうか？
0476名無しさん＠お腹いっぱい。
2011/10/02(日) 21:58:32.770477名無しさん＠お腹いっぱい。
2011/10/03(月) 01:08:39.12クライアント側の話?
なら秘密鍵はクライアント側にはないよ。
0478名無しさん＠お腹いっぱい。
2011/10/04(火) 19:18:25.34$ grep ^HostKey /etc/ssh/sshd_config
$
0479名無しさん＠お腹いっぱい。
2011/10/04(火) 19:46:31.60じゃあ
$ grep -i ^HostKey /etc/ssh/sshd_config
$ ls /etc/ssh/
それぞれの結果見せて
0480名無しさん＠お腹いっぱい。
2011/10/04(火) 23:04:59.530481名無しさん＠お腹いっぱい。
2011/10/05(水) 00:02:10.980482名無しさん＠お腹いっぱい。
2011/10/06(木) 00:24:04.87クライアント側にあるのが秘密鍵じゃないの？
0483名無しさん＠お腹いっぱい。
2011/10/06(木) 01:40:00.64ホスト鍵はホストが作るんだからその秘密鍵がクライアントにあるはずがない。
0484名無しさん＠お腹いっぱい。
2011/10/06(木) 02:11:06.54http://www.unixuser.org/~euske/doc/openssh/book/index.html
0485名無しさん＠お腹いっぱい。
2011/10/14(金) 01:06:13.11クライアントで秘密鍵と公開鍵を作って
サーバには公開鍵を登録する
と思ってたけど違うの？
0486名無しさん＠お腹いっぱい。
2011/10/14(金) 01:42:46.67それは認証用の鍵でしょ なんの話をしてるんだよ
0487名無しさん＠お腹いっぱい。
2011/10/14(金) 02:17:54.44ホスト鍵の話だよ。
sshd_config で言う HostKey の話。
0488名無しさん＠お腹いっぱい。
2011/10/14(金) 08:54:42.740489名無しさん＠お腹いっぱい。
2011/10/14(金) 09:29:29.230490名無しさん＠お腹いっぱい。
2011/10/14(金) 09:53:01.24いきなり何を言い出したんだ？
0491名無しさん＠お腹いっぱい。
2011/10/14(金) 10:30:19.60作ってはいけないという決まりはないが、
作るべきではない。
0492名無しさん＠お腹いっぱい。
2011/10/14(金) 10:33:48.02http://www.unixuser.org/~euske/doc/openssh/book/chap3.html
0493名無しさん＠お腹いっぱい。
2011/10/14(金) 10:48:12.08初回ログイン時に表示される fingerprint が何かわかってないってこと。
何も考えずに yes って打ってるでしょ。
それ危険だよ。
0494名無しさん＠お腹いっぱい。
2011/10/14(金) 11:06:06.490495名無しさん＠お腹いっぱい。
2011/10/14(金) 11:21:58.230496名無しさん＠お腹いっぱい。
2011/10/14(金) 21:45:45.81ってやってssh-agentを起動する時、
普通に考えると「コマンド」はssh-agentの子プロセスになると思いがちだけど、
実際にはssh-agent内部でfork()した後、その親プロセス側が「コマンド」をexec()する。
「コマンド」が親で、ssh-agentが子プロセスになる。
で、このままでは「コマンド」の終了をwait()やSIGCHLDとかで検出できないので、
ssh-agentはわざわざ10秒おきに「コマンド」が終了したかどうかチェックしてる。
何故わざわざ親と子を逆にして面倒なことをしているのでしょう?
何か理由があるのでしょうか?
0497名無しさん＠お腹いっぱい。
2011/10/14(金) 23:15:25.030498名無しさん＠お腹いっぱい。
2011/10/15(土) 02:02:05.36花王デモ
要チェック
0499名無しさん＠お腹いっぱい。
2011/10/15(土) 11:32:51.630500名無しさん＠お腹いっぱい。
2011/10/15(土) 11:48:39.01は？祖父母プロセスのことをいいたいの？想像できん・・・
0501名無しさん＠お腹いっぱい。
2011/10/15(土) 12:16:48.5919472
$ ssh-agent bash -c 'echo $PPID'
19472
$ ssh-agent ssh-agent bash -c 'echo $PPID'
19472
$ ssh-agent ssh-agent ssh-agent bash -c 'echo $PPID'
19472
0502名無しさん＠お腹いっぱい。
2011/10/15(土) 12:26:07.78実際ssh-agent終了直後、最大10秒間は /tmp/ssh-XXXXX が残ってしまう。
もっと効率的なアルゴリズムにできないのか?
0503名無しさん＠お腹いっぱい。
2011/10/15(土) 12:37:43.36しかもgetppid(2)じゃなくてkill(2)でチェックしてるんだな。10秒以内に同じ
PIDのプロセスが作られると終了しない、と。
コマンド指定しない時のforkと無理やり共通化したかっただけとか・・・？
0504名無しさん＠お腹いっぱい。
2011/10/15(土) 14:05:20.20起動してしまえば子孫関係のないクライアントへも区別なくサービスできるし、
コマンド指定機能はオマケ機能扱いてことじゃね？
0505名無しさん＠お腹いっぱい。
2011/10/17(月) 19:03:01.30それを見たところで分かるとは限らないという意味であえて書いてたのだが…
$ grep -i ^HostKey /etc/ssh/sshd_config
$ ls /etc/ssh
moduli ssh_host_ecdsa_key ssh_host_rsa_key
ssh_config ssh_host_ecdsa_key.pub ssh_host_rsa_key.pub
ssh_host_dsa_key ssh_host_key sshd_config
ssh_host_dsa_key.pub ssh_host_key.pub
$
こんなとこ
0506名無しさん＠お腹いっぱい。
2011/10/17(月) 19:12:40.690507名無しさん＠お腹いっぱい。
2011/10/17(月) 20:16:45.13>>505に対して書いてるのか?なら
>>476が>>475の疑問を解消してくれるのを待ってる
0508名無しさん＠お腹いっぱい。
2011/10/17(月) 20:28:43.500509名無しさん＠お腹いっぱい。
2011/10/17(月) 20:43:02.38ssh_host_ecdsa_key
ssh_host_rsa_key
ssh_host_dsa_key
ssh_host_key
がホスト鍵だな
次の質問ある？
0510名無しさん＠お腹いっぱい。
2011/10/17(月) 22:58:06.50/usr/sbin/sshd -T で確認すればいいんじゃない？
0511名無しさん＠お腹いっぱい。
2011/10/17(月) 23:04:38.51ログインシェルをsshに変更したいんですが、
chsh -s /usr/bin/ssh
のプロンプトを発行するとエラーになりました。
何か設定が足りないんでしょうか？
0512名無しさん＠お腹いっぱい。
2011/10/17(月) 23:17:07.670513名無しさん＠お腹いっぱい。
2011/10/17(月) 23:20:04.380514名無しさん＠お腹いっぱい。
2011/10/17(月) 23:36:02.81sshd: illegal option -- T
OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
usage: sshd [-46Ddeiqt] [-b bits] [-f config_file] [-g login_grace_time]
[-h host_key_file] [-k key_gen_time] [-o option] [-p port] [-u len]
0515名無しさん＠お腹いっぱい。
2011/10/17(月) 23:39:22.210516名無しさん＠お腹いっぱい。
2011/10/19(水) 08:11:00.41カラー情報をクライアントが認識できないため、カラーになる文字列の前後に余計な文字列が付与されますが、
このカラー情報のパケットのルールについて記載されているサイト等は無いでしょうか？
端末タイプのdumbを認識しないsshdの場合、手動で取り除きたいと考えています。
0517名無しさん＠お腹いっぱい。
2011/10/19(水) 11:50:47.19ANSIカラーコードという体系があったのですね。
0518名無しさん＠お腹いっぱい。
2011/10/19(水) 13:27:19.47そもそも TERM をみてカラー対応じゃなかったら
そのエスケープシーケンスは吐くべきじゃないわけだが
0519名無しさん＠お腹いっぱい。
2011/10/19(水) 14:01:20.680520名無しさん＠お腹いっぱい。
2011/10/19(水) 14:31:14.74alias ls='ls --color' されてたりする。
TERMをちゃんと認識するには ncursesなり termcapなりのライブラリとのリンクが必要。
lsのような基本コマンドで ncursesとかに依存するのは大げさだから、
TERM無視してエスケープシーケンス出力する今のやりかたが妥当。
0521名無しさん＠お腹いっぱい。
2011/10/19(水) 15:19:07.265d（だっけ）と直近のmの間を取ってやればいいんじゃないか？
0522名無しさん＠お腹いっぱい。
2011/10/30(日) 23:22:31.89特定のアドレス範囲内からの接続であればパスワード認証も可。
という設定にするにはどうすればいいですか？
というのも一部のクライアントが
公開鍵認証に対応していないもので……。
0523名無しさん＠お腹いっぱい。
2011/10/31(月) 03:55:48.52>>462-464
0524名無しさん＠お腹いっぱい。
2011/10/31(月) 08:08:26.03そんなのsshクライアントじゃない無視してもいい。
0525名無しさん＠お腹いっぱい。
2011/10/31(月) 08:14:24.550526名無しさん＠お腹いっぱい。
2011/10/31(月) 08:34:45.02sshd2個あげれば？
ふつうは524(クライアントソフト入れ替え)が正しい
0527名無しさん＠お腹いっぱい。
2011/10/31(月) 08:37:38.84/etc/ssh/sshd_configで
PasswordAuthentication no
Match 192.168.0.0/24
PasswordAuthentication yes
こんな感じかな。
コピペせずに
ttp://www.unixuser.org/~euske/doc/openssh/jman/sshd_config.html
見ながら設定を推奨します。
てゆか>>523で正解。
>>524
俺も興味あるなｗ
「一部の」ってことはそれなりに数あるんだろうけど…なんじゃそりゃとしか。
0528名無しさん＠お腹いっぱい。
2011/10/31(月) 09:47:02.51「(公開鍵の概念を理解できない)顧客」
だったりしてな…
0529名無しさん＠お腹いっぱい。
2011/10/31(月) 09:51:21.95やはり無視するのが正しい。
0530名無しさん＠お腹いっぱい。
2011/10/31(月) 12:00:59.75だったら man sshd_configしてMatchでAddressとUserとの組合せの書式を
確認させないといけないね。本当にやりたいことに近いのはIPアドレスで
判別じゃなくて、IPアドレス&ユーザ名で判別だろうからね。
Match User alice,bob Address 192.168.0.0/16,10.0.0.0/8
PasswordAuthentication yes
PermitEmptyPasswords no
本当にやりたいことは「こんなクソみたいな設定作業を低コストでどっか
にほっぽり出したうえで責任回避するにはどうしたらいいか」って問題の
解決だろうが、そんなもんスレ違いｗ
0531名無しさん＠お腹いっぱい。
2011/11/02(水) 17:58:33.740532名無しさん＠お腹いっぱい。
2011/11/02(水) 18:02:28.57ググれカス
0533名無しさん＠お腹いっぱい。
2011/11/02(水) 18:05:33.59SSHだけじゃできない、ってのはわかってるかな。
0534531
2011/11/02(水) 18:54:46.540535名無しさん＠お腹いっぱい。
2011/11/02(水) 19:54:37.430536名無しさん＠お腹いっぱい。
2011/11/02(水) 20:34:27.860537名無しさん＠お腹いっぱい。
2011/11/02(水) 21:26:01.91http://i-red.info/docs/Manual.htm#serv_udprelay
0539名無しさん＠お腹いっぱい。
2011/11/07(月) 10:52:52.940540名無しさん＠お腹いっぱい。
2011/11/08(火) 18:42:53.730541名無しさん＠お腹いっぱい。
2011/11/08(火) 18:56:06.14http://www.jp.freebsd.org/cgi/mroff.cgi?sect=5&cmd=&lc=1&subdir=man&dir=jpman-5.4.0%2Fman&subdir=man&man=sshd_config
Port (ポート番号)
sshd が接続を受けつける (listen する) ポート番号を指定します。デ
フォルトは 22 です。複数指定することも可能です。 ListenAddress の
項も参照してください。
0542名無しさん＠お腹いっぱい。
2011/11/08(火) 18:58:30.210543名無しさん＠お腹いっぱい。
2011/11/08(火) 19:09:32.46ﾊﾞｰｶ
0544名無しさん＠お腹いっぱい。
2011/11/08(火) 19:20:13.840545名無しさん＠お腹いっぱい。
2011/11/08(火) 20:33:45.19>>541の2分後に堂々と>>542を書き込んでくるその神経に敬意を表して
0546名無しさん＠お腹いっぱい。
2011/11/08(火) 21:10:27.530547名無しさん＠お腹いっぱい。
2011/11/08(火) 21:17:59.430548名無しさん＠お腹いっぱい。
2011/11/08(火) 21:28:40.96果たして勝者は!?
0549542
2011/11/08(火) 21:34:40.770550名無しさん＠お腹いっぱい。
2011/11/09(水) 04:40:41.952つのポートを使いたいというのは、ファイアウォール内では問題ないのですが
外からはポート80以外接続できないようになっています。
apacheは動いていないので、80番ポートを通してSSH接続できないかと
思案していたところでございました。
0551名無しさん＠お腹いっぱい。
2011/11/09(水) 05:04:47.1980も狙われやすいと思うけど。
TCP porrt 53とか開いてないのかな？
0552名無しさん＠お腹いっぱい。
2011/11/09(水) 09:16:59.92狙われてもいいじゃん。
sshdの方で鍵認証のみにするなり防御の方法はあるし、
L4で狙われにくいポートを選ぶっていう小細工したって知れてるでしょ。
0553名無しさん＠お腹いっぱい。
2011/11/09(水) 09:21:38.930554名無しさん＠お腹いっぱい。
2011/11/09(水) 09:41:06.420555名無しさん＠お腹いっぱい。
2011/11/09(水) 10:33:42.19ウザいログを減らすためだな。
0556名無しさん＠お腹いっぱい。
2011/11/09(水) 13:46:38.520557名無しさん＠お腹いっぱい。
2011/11/09(水) 14:11:59.340558名無しさん＠お腹いっぱい。
2011/11/09(水) 14:23:07.22固定IPからのみのパケットフィルタリングとか出来ると
安全、安心。
0559名無しさん＠お腹いっぱい。
2011/11/09(水) 17:47:20.050560名無しさん＠お腹いっぱい。
2011/12/24(土) 01:40:49.430561名無しさん＠お腹いっぱい。
2012/01/10(火) 15:29:17.25https://www.openssl.org/news/secadv_20120104.txt
セキュリティフィクスのみかな
0562561
2012/01/10(火) 15:56:25.99ごめん
0563名無しさん＠お腹いっぱい。
2012/01/23(月) 19:44:03.60他にクライアント無いですか。
0564名無しさん＠お腹いっぱい。
2012/01/23(月) 21:51:14.28stone じゃだめかいな。
0565名無しさん＠お腹いっぱい。
2012/01/23(月) 23:15:51.72アンドロイドVNCを起動させると、裏にまわったConnectbotが落ちちゃう(killされる？)みたいなんですよね。
でも、毎回そうなる訳じゃないから不思議...
やっぱりスレ違いかな。
0566名無しさん＠お腹いっぱい。
2012/01/23(月) 23:33:59.680567名無しさん＠お腹いっぱい。
2012/01/23(月) 23:34:22.51Android総合
http://engawa.2ch.net/test/read.cgi/linux/1327118733/
0568名無しさん＠お腹いっぱい。
2012/01/24(火) 00:03:27.30でもnative binaryなAndroidアプリの話ならスレ違いってことはないか。
0569名無しさん＠お腹いっぱい。
2012/01/24(火) 08:43:57.260570名無しさん＠お腹いっぱい。
2012/01/26(木) 16:23:27.70それだけが玉に傷。
0571名無しさん＠お腹いっぱい。
2012/01/29(日) 14:02:58.50ssh -Yでフォワードしてfirefoxとかはちゃんと動くんだけど
javaのアプリ(V2C)が空白になって描画されないんだよね
はじめは-Xでやってたんだけどググったら-Yでやれみたいなことが書いてあって試したんだけど変わらず
なにか心当たりある人いますか？
0572名無しさん＠お腹いっぱい。
2012/01/29(日) 22:45:28.79awesomeの問題？でwmname LG3Dを実行してから起動すると正常に描画されました
0573名無しさん＠お腹いっぱい。
2012/02/09(木) 00:27:53.62ログアウトしてもジョブが継続されるとのことですが、
ログアウトというのはSSHからログアウトという意味でしょうか？
それともSSHだけでなくターミナルを起動しているＰＣの電源を落としてもジョブは継続するのでしょうか？
0574名無しさん＠お腹いっぱい。
2012/02/09(木) 00:56:26.20はい
0575名無しさん＠お腹いっぱい。
2012/02/09(木) 01:54:30.410576名無しさん＠お腹いっぱい。
2012/02/09(木) 02:01:10.50ありがとうございます
0577名無しさん＠お腹いっぱい。
2012/02/09(木) 02:01:39.64ありがとうございます
0578名無しさん＠お腹いっぱい。
2012/02/16(木) 18:14:49.38昨日OpenSSH(5.9_p1-r3)サーバを再インストール(selinux,pam環境下)したところ
クライアントからrootでは接続する場合ではセッションを確立でき、
当然セッションを確立した状態からならほかの一般ユーザにログインもできるのですが
クライアントから直接一般ユーザでセッションを確立しようとすると
OpenSSH_5.4p1クライアントではConnection to (SERVER) closed by remote hostというエラーが発生し
OpenSSH_5.9p1(サーバ)から接続してもWrite failed: Broken pipeと表示されてセッションを確立できません
鍵の再作成とknown_hostの初期化, hosts.allo/denyなどは設定したのですが解決のめどはありません。
どなたかわかる方いらっしゃるでしょうか
0579名無しさん＠お腹いっぱい。
2012/02/17(金) 03:51:00.06sshを使用してポート3306(DB)に接続した場合、そのことがログ/var/log/*に記録されますか？
それとも、sshでログインがあったことしか残りませんか？
0580名無しさん＠お腹いっぱい。
2012/02/17(金) 07:47:06.090581名無しさん＠お腹いっぱい。
2012/02/17(金) 08:11:16.920582名無しさん＠お腹いっぱい。
2012/02/17(金) 08:15:44.700583名無しさん＠お腹いっぱい。
2012/02/17(金) 09:12:34.880584名無しさん＠お腹いっぱい。
2012/02/17(金) 09:58:20.38>>579みたいな質問になったんじゃないの？
0585名無しさん＠お腹いっぱい。
2012/02/17(金) 10:13:54.86Acceptedのログにフォワーデング先のポート番号も出るならlogwatchとかでバレちゃうかなぁ
0586名無しさん＠お腹いっぱい。
2012/02/17(金) 10:19:21.26環境作って検証しないとわからん。
だったら自分でやれ、と。
0587名無しさん＠お腹いっぱい。
2012/02/17(金) 16:46:24.08CentOS6でほぼデフォといえばキュピィーーンってくるエスパーに期待しちゃったお
とりあえずありが㌧
DBはログ監視どころかログとってすらなさげだから普通にsshでログインしてから
DB接続した形跡をhistoryに残さないよう注意しつつなんとかするお
0588名無しさん＠お腹いっぱい。
2012/02/17(金) 18:24:52.200589名無しさん＠お腹いっぱい。
2012/02/17(金) 18:41:10.850590名無しさん＠お腹いっぱい。
2012/02/17(金) 21:54:54.640591名無しさん＠お腹いっぱい。
2012/02/17(金) 23:51:35.080592名無しさん＠お腹いっぱい。
2012/02/20(月) 20:36:43.13リモートからの接続も，サーバ自身からの接続(ssh localhost -l ${USER})でも，
ユーザがrootならば接続できるのですが，一般ユーザだと接続に失敗します．
--vvオプションで実行した場合以下のようになるのですが，解決法のわかる方いらっしゃらないでしょうか
debug2: input_userauth_info_req
debug2: input_userauth_info_req: num_prompts 1
Password:
debug2: input_userauth_info_req
debug2: input_userauth_info_req: num_prompts 0
debug1: Authentication succeeded (keyboard-interactive).
Authenticated to localhost:22).
debug1: channel 0: new [client-session]
debug2: channel 0: send open
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.
Write failed: Broken pipe
0593名無しさん＠お腹いっぱい。
2012/02/21(火) 09:53:18.190594名無しさん＠お腹いっぱい。
2012/02/21(火) 11:30:57.65認証は通ってるからsshd側でログとらないとわからないなあ。pamとかかな。
0595名無しさん＠お腹いっぱい。
2012/05/21(月) 20:55:35.98key id_rsaを作りました。
そのkeyでSSHログインしようとすると
>ssh -i id_rsa hogehoge.com
Enter passphrase for key
と
なぜか設定した覚えのないパスフレーズを求められてしまいます。
PuttyのGUIのほうでログインすると問題ないのですが、、、
0596名無しさん＠お腹いっぱい。
2012/05/21(月) 21:13:48.03それぞれの対応ソフトでしか使えない
公開鍵はopensshの形式にエクスポートできるが秘密鍵はそうではない
0597名無しさん＠お腹いっぱい。
2012/05/21(月) 21:17:45.88> 公開鍵はopensshの形式にエクスポートできるが秘密鍵はそうではない
ん?
変換できるでしょ。
ttp://blog.promob.jp/fri/2010/01/putty.html
0598名無しさん＠お腹いっぱい。
2012/06/29(金) 13:23:53.050599名無しさん＠お腹いっぱい。
2012/07/08(日) 11:35:00.67sudo ifconfig eth0 0.0.0.0 promisc down
したら、外部からsshできなくなったんだけど、なんで？？
0600名無しさん＠お腹いっぱい。
2012/07/08(日) 11:45:24.420601599
2012/07/08(日) 11:52:21.07俺？
promiscって自分宛じゃないパケットを受け取るかどうかの設定だよね？
別に無効にしてもsshはできるはずじゃないの？
0602名無しさん＠お腹いっぱい。
2012/07/08(日) 11:55:05.45-promisc
0603名無しさん＠お腹いっぱい。
2012/07/08(日) 12:00:04.670605名無しさん＠お腹いっぱい。
2012/07/08(日) 13:09:24.830606名無しさん＠お腹いっぱい。
2012/07/08(日) 13:56:41.22ネットワークフィルタでソースアドレス書き換えるとか、頑張れ
ばまるっきり不可能ってわけじゃない。
0607名無しさん＠お腹いっぱい。
2012/07/08(日) 17:20:36.380608名無しさん＠お腹いっぱい。
2012/08/08(水) 06:27:16.59寿命は大丈夫ですか? 今はSATA2で使ってます。
0609名無しさん＠お腹いっぱい。
2012/08/08(水) 10:57:46.44寿命は大丈夫でしょ。
0610名無しさん＠お腹いっぱい。
2012/08/08(水) 11:03:57.630611名無しさん＠お腹いっぱい。
2012/08/08(水) 11:11:47.630612名無しさん＠お腹いっぱい。
2012/09/12(水) 18:18:41.33-----BEGIN RSA PRIVATE KEY-----
や
-----BEGIN PUBLIC KEY-----
のような文字列で始まるのがPEMファイルだと思うのですが、
id_rsa, id_rsa.pub があるときに、id_rsaはPEM形式と共通のようですが、
id_rsa.pubは何形式というのでしょう？
また、id_rsa.pubから公開鍵のPEM形式への変換方法はありますか？
認識が間違っている所があれば指摘いただけるとありがたいです．
0613名無しさん＠お腹いっぱい。
2012/09/12(水) 20:22:15.49id_rsa.pub から変換する方法も知らね。id_rsa から変換するなら以下でできる。
openssl rsa -in id_rsa -pubout
0614名無しさん＠お腹いっぱい。
2012/09/12(水) 22:28:47.52おお、公開鍵のPEMが欲しかったのでありがとうございます
0615名無しさん＠お腹いっぱい。
2012/09/14(金) 18:20:18.67複数のサーバーに対し公開鍵認証を行う場合、
サーバー毎に秘密鍵・公開鍵を作成してクライアントに持たすべきですか？
ググってconfigファイルでの分ける設定は見つかりましたが、
セキュリティ上分けるべきかどうかを言及しているサイトは見つかりませんでした。
サーバー毎に作成する場合、鍵の管理が煩雑になりそうですので、
可能であれば公開鍵を共用したいと思いますが、リスク面ではどうなんでしょうか？
0616名無しさん＠お腹いっぱい。
2012/09/14(金) 18:22:38.590617名無しさん＠お腹いっぱい。
2012/09/14(金) 18:40:00.900618615
2012/09/14(金) 19:23:28.06>>617は私じゃないですけど、
サーバに侵入されて公開鍵が盗まれても問題ないのでは？そもそも公開してるわけだし。
サーバに侵入されて公開鍵が書き換えられたら問題ですけど、
それと複数サーバで同じ公開鍵を使うかどうかとは別問題かと思うんですが・・
0619名無しさん＠お腹いっぱい。
2012/09/14(金) 19:25:34.240620名無しさん＠お腹いっぱい。
2012/09/14(金) 19:32:51.15普通は分けないってことだ
複数のサーバが自分の同じ公開鍵をもってたからって、
どれかの管理者が他のサーバに侵入したりできないよ
0621名無しさん＠お腹いっぱい。
2012/09/14(金) 19:36:06.19パスワード認証ね場合パスワードは自分の頭のなかにしかないけど
鍵認証だと~/.ssh以下にパスワードに相当する秘密鍵がおもいっきり置いてある
自分の頭は宇宙人以外にハッキングされることはないけど
ホームディレクトリは侵入されたら＼（^ｏ^）／
でもみんな2つ組み合わせてるか
0622名無しさん＠お腹いっぱい。
2012/09/14(金) 19:41:46.06＞ホームディレクトリは侵入
この時点で終わってるだろｗｗｗｗｗ
0623名無しさん＠お腹いっぱい。
2012/09/14(金) 19:52:39.50とくに>>615のような話題だとどちらのことを言ってるのかまぎらわしい
0624名無しさん＠お腹いっぱい。
2012/09/14(金) 19:56:52.260625名無しさん＠お腹いっぱい。
2012/09/14(金) 19:57:06.45秘物鍵にパスフレーズつけとけ
0626名無しさん＠お腹いっぱい。
2012/09/14(金) 20:04:43.13だったら>>624で1ヶ所ヤラれるということは
サーバ別に鍵を分けてたとしてもたぶん全滅。
0627名無しさん＠お腹いっぱい。
2012/09/14(金) 20:08:05.37>>618 によるとそういうことじゃないらしい。
0628名無しさん＠お腹いっぱい。
2012/09/14(金) 20:13:01.81２Ｎにおさめるというのがある
パスワード認証で全サーバ同じパスワードで運用すればＮ個ですむけど
サーバの管理者が違うとそうもいかないし
0629名無しさん＠お腹いっぱい。
2012/09/14(金) 21:49:10.59それはsshが世にでた頃から言われたこと。
rootが信用できないならこの仕組みは成り立たないよ。
0630名無しさん＠お腹いっぱい。
2012/09/14(金) 21:56:42.860631名無しさん＠お腹いっぱい。
2012/09/14(金) 22:40:01.78それが信用できるrootを確保する一番簡単な手段だろ。なにをいまさら。
0632名無しさん＠お腹いっぱい。
2012/09/14(金) 22:41:54.00見当違い
0633名無しさん＠お腹いっぱい。
2012/09/14(金) 23:43:03.66Pagentとか
0634名無しさん＠お腹いっぱい。
2012/09/14(金) 23:49:19.18SSHサーバ側の管理者がのっとられた場合、
パスワード認証なら生パスワードを抜かれて悪用されるリスクがあるけど
公開鍵認証なら秘密鍵の内容を抜かれることはないはず
0635名無しさん＠お腹いっぱい。
2012/09/14(金) 23:53:34.05>>618参照。
0636名無しさん＠お腹いっぱい。
2012/09/15(土) 00:07:58.47え、そんなのあたりまえだろ？だれへのれす？
0637名無しさん＠お腹いっぱい。
2012/09/15(土) 00:22:10.930638名無しさん＠お腹いっぱい。
2012/09/15(土) 01:14:35.26公開鍵のことなんかいってないぞ
0639615
2012/09/15(土) 01:52:37.87認識としては、公開鍵が抜かれても特に問題は無し、
公開鍵が書き換えられる状態だと、そのサーバのみ成りすまし可能、
秘密鍵は抜かれたら、全サーバー成りすまし可能で、
秘密鍵が抜かれる状態だと、どっち道全部持ってかれるので
個別にペアを用意していても意味ないんじゃないかなと
思った次第です。
0640名無しさん＠お腹いっぱい。
2012/09/15(土) 02:51:28.680641名無しさん＠お腹いっぱい。
2012/09/15(土) 11:01:33.13> 公開鍵が書き換えられる状態だと、そのサーバのみ成りすまし可能、
そんな杜撰な管理のサーバならSSHサーバの改ざんもありうるよ。
パスワード認証のパスワードを抜き取る細工（同じパスワード使いまわしを期待して他のサーバのっとり）
→公開鍵認証に失敗してパスワード認証にフォールバックする設定で、うっかりパスワードを入力してしまったらアウト
中間者攻撃の細工
→ホスト鍵の認証失敗で気づけるけど、意味が分からず無視するような人はアウト
0642名無しさん＠お腹いっぱい。
2012/09/15(土) 18:02:41.14SSH2の認証ステップって(C:クライアント S:サーバー)
1 C=>S 公開鍵認証してよ。ユーザー名はコレで、公開鍵はこれ
2 S=>C その鍵OK。 んじゃ、このデータDに署名してみ。
3 C=>S 署名した。どや。
4 S=>C 署名あってる。ログインさせたる。
こんな感じでしょ。
Sが乗っ取られてる場合にDは実は他のS'への認証情報だったりしない?
DにはセッションIDが入ってるけど、セッションIDの決定方法が良くわからない。
でも、ホスト鍵も盗まれてる状態だったら、S'へのログインを同時に
試みる事で、同一のセッションID生成できるよね。
0643名無しさん＠お腹いっぱい。
2012/09/15(土) 18:07:17.61公開鍵が盗まれると。他のサーバに対してその鍵が有効であるか確認できる。
0644名無しさん＠お腹いっぱい。
2012/09/15(土) 18:46:50.83「データDに署名」って
ttp://www14.plala.or.jp/campus-note/vine_linux/server_ssh/ssh_key.html
で言うとどこの話?
0645名無しさん＠お腹いっぱい。
2012/09/15(土) 19:00:19.72その解説はSSH2じゃない。下の方じゃSSH2で解説してるのに…
こういう古いゴミ情報をいつまでも公開すんなよ。
ssh1だけど、3で送るデータがSで生成したものではなく、S'から受け取った
ものだったらS'へログインできるようになるよね。
ssh2も似たような事が可能な気がする。
0646名無しさん＠お腹いっぱい。
2012/09/15(土) 19:17:30.290647名無しさん＠お腹いっぱい。
2012/09/15(土) 19:22:07.63少なくともSSH1は禁止だね。
0648名無しさん＠お腹いっぱい。
2012/09/17(月) 10:32:16.11＞こういう古いゴミ情報をいつまでも公開すんなよ。
何年も前のスレが消えないUNIX板住人がそれを言う資格あるんだろうか
0649名無しさん＠お腹いっぱい。
2012/09/17(月) 11:31:16.70簡単には落とせない2chのスレでは話違うでしょ。
0650名無しさん＠お腹いっぱい。
2012/09/17(月) 12:01:13.510651名無しさん＠お腹いっぱい。
2012/09/17(月) 14:00:02.160652名無しさん＠お腹いっぱい。
2012/10/23(火) 11:42:43.030653名無しさん＠お腹いっぱい。
2012/10/23(火) 11:44:29.690654名無しさん＠お腹いっぱい。
2012/10/23(火) 12:01:41.490655名無しさん＠お腹いっぱい。
2012/10/28(日) 09:08:44.82いちいちポート転送なんてやってられないよ
VPN 楽でいい
0656名無しさん＠お腹いっぱい。
2012/10/29(月) 23:05:11.73って、繋ぐたびに毎回設定してるのか?
変わったやつだな
0657名無しさん＠お腹いっぱい。
2012/10/30(火) 16:01:13.290658名無しさん＠お腹いっぱい。
2012/12/03(月) 20:16:12.13パスワードなしにするのに必要かと思ってずっとyesにしてたわ
0659名無しさん＠お腹いっぱい。
2012/12/11(火) 21:01:38.150660名無しさん＠お腹いっぱい。
2012/12/13(木) 17:46:55.26よく分かってない人に説明するときに面倒くさいから
VPNとか言っちゃっても うそにはならんよね？
0661名無しさん＠お腹いっぱい。
2012/12/13(木) 17:52:39.18「簡易VPN」とか言っといた方がいいかもね。
0662名無しさん＠お腹いっぱい。
2012/12/13(木) 17:54:36.30IP通すわけじゃないよね。
0663名無しさん＠お腹いっぱい。
2012/12/14(金) 17:27:34.010664名無しさん＠お腹いっぱい。
2012/12/14(金) 17:56:29.980665名無しさん＠お腹いっぱい。
2012/12/15(土) 01:14:10.540666名無しさん＠お腹いっぱい。
2012/12/15(土) 16:10:28.850667名無しさん＠お腹いっぱい。
2012/12/15(土) 18:11:33.630668名無しさん＠お腹いっぱい。
2012/12/16(日) 14:25:41.73これって同時接続最大数とか設定するところってある？
0669名無しさん＠お腹いっぱい。
2012/12/16(日) 14:52:00.730670名無しさん＠お腹いっぱい。
2012/12/16(日) 14:56:39.030671名無しさん＠お腹いっぱい。
2012/12/16(日) 18:09:45.350672名無しさん＠お腹いっぱい。
2012/12/16(日) 18:18:19.79ありがとう。
同時に100本くらい接続する予定だったんだけど
大丈夫そうなので安心したわ。
0673名無しさん＠お腹いっぱい。
2012/12/16(日) 18:23:25.510674名無しさん＠お腹いっぱい。
2012/12/16(日) 18:57:44.16通信量にもよるが。
0675名無しさん＠お腹いっぱい。
2012/12/16(日) 22:21:39.87ほっといたら1000本10000本とか使いそうだなお前
0676名無しさん＠お腹いっぱい。
2012/12/16(日) 22:32:32.94ネトゲか
0677名無しさん＠お腹いっぱい。
2012/12/17(月) 19:35:31.321000本程度ならともかく、10000本はつらいよね
0678名無しさん＠お腹いっぱい。
2012/12/22(土) 18:27:18.03リモートログインした先のシェルのカレントディレクトリのファイルを
接続元のローカルのプログラムで開くには、どういうやり方が良いのでしょう？
その逆は、割と楽なんだけど。
ssh ログイン先ホスト コマンド
例えば、Vimだったら、
vim scp://ユーザ名@ホスト名/ホームディレクトリからの相対パス
でもっと便利にファイルを編集できたりするのだけど。
参考: http://news.mynavi.jp/articles/2011/01/24/vim-using-ssh/index.html
0679名無しさん＠お腹いっぱい。
2012/12/22(土) 18:33:49.310680名無しさん＠お腹いっぱい。
2012/12/22(土) 18:38:35.54え、逆も楽じゃないだろう
ssh リモートホスト -- リモートコマンド ローカルファイル
でないと比較にならない
0681名無しさん＠お腹いっぱい。
2012/12/22(土) 18:40:09.00って感じでいいんじゃないすか
0682名無しさん＠お腹いっぱい。
2012/12/22(土) 18:56:40.05それ「その逆」になってないしｗ リモートのviでリモートのファイル開くだけ。
0683名無しさん＠お腹いっぱい。
2012/12/22(土) 20:54:26.41している場合 どうしたら実行できますか
0684名無しさん＠お腹いっぱい。
2012/12/22(土) 21:05:46.67セグメンテーション違反がソースではなくSSH経由に問題にあって発生していることを、
どのようにして調べたのですか？
0685名無しさん＠お腹いっぱい。
2012/12/22(土) 22:00:47.91Ubuntu Server 12.0.4.1 amd64 で自鯖を作っています。
このマシンに Internet 経由で LAN 外からアクセスしたいと思うのですが。
特定の MAC アドレスしか SSH でのリモートログインを受け付けないように
設定することって出来るんでしょうか？
0686名無しさん＠お腹いっぱい。
2012/12/22(土) 22:14:19.96MACアドレスは簡単に偽装可能ですよ。
0687名無しさん＠お腹いっぱい。
2012/12/22(土) 22:17:58.38設定することって出来るんでしょうか？
0688名無しさん＠お腹いっぱい。
2012/12/22(土) 22:21:36.54はい。できます。
0689名無しさん＠お腹いっぱい。
2012/12/22(土) 22:32:39.20iptablesで特定のMACアドレスからの特定ポートへのアクセスをドロップするとかでいいのかな
0690名無しさん＠お腹いっぱい。
2012/12/22(土) 22:33:17.84直近のルーターのMACアドレスが付いて中継されるだけだろｗ
0691名無しさん＠お腹いっぱい。
2012/12/22(土) 22:35:48.41737 ：login:Penguin：2012/12/22(土) 22:07:04.26 ID:jz2+65Mg
>>736
てか直前のルータのMACアドレスに書き換えられるから、
インターネットでのMACアドレス制限は無意味だよ。
LAN内ならともかく。
0692名無しさん＠お腹いっぱい。
2012/12/22(土) 22:36:34.920693名無しさん＠お腹いっぱい。
2012/12/22(土) 22:37:00.150694名無しさん＠お腹いっぱい。
2012/12/22(土) 22:41:08.72ここまでまともな回答がないのがすごいな
unko@benki:~$ iptables -m mac （ｒｙ
で解決するじゃん
まぁ俺もまともには書かないわけだが
0695名無しさん＠お腹いっぱい。
2012/12/22(土) 22:51:03.54発信する側の接続環境でもクライアントのMACアドレスはIPパケットからは落ちちゃうだろうなｗ
TCPパケットにはMACアドレスなんて保存されてないし、
可能性としてはSSHのレイヤーでMACアドレスを保存してたらできる？ｗ
でもそんなの保存してないよねｗ
0696名無しさん＠お腹いっぱい。
2012/12/22(土) 22:56:35.75お前さあ
別スレから粘着して同じようなことばっかり書いて他人を蔑む暇があったら
公開鍵使うとか代替案でも提供してやれば？
もちろん俺はやらないけど
0697名無しさん＠お腹いっぱい。
2012/12/22(土) 22:59:28.620698名無しさん＠お腹いっぱい。
2012/12/22(土) 23:00:23.700699名無しさん＠お腹いっぱい。
2012/12/22(土) 23:01:33.50> unko@benki:~$ iptables -m mac （ｒｙ
> で解決するじゃん
え？…
0700名無しさん＠お腹いっぱい。
2012/12/22(土) 23:05:41.03>え？…
え？…
0701名無しさん＠お腹いっぱい。
2012/12/22(土) 23:08:49.88これ常識
0702名無しさん＠お腹いっぱい。
2012/12/22(土) 23:13:57.45sshd_configに
DenyUsers 00-11-22-33-44-55 xx-xx-xx-xx-xx-xx ...
0703名無しさん＠お腹いっぱい。
2012/12/22(土) 23:16:36.72無効なMACアドレスを持つクライアントからログインできるからダメだな
0704名無しさん＠お腹いっぱい。
2012/12/22(土) 23:17:32.460705名無しさん＠お腹いっぱい。
2012/12/22(土) 23:24:02.69>>691の元の書き込み見る限り
＞ピンポイントで当たることなんか、物凄い低い確率だと思うんですが。
とか言ってるし、ユーザ名も長くすればピンポイントで当たることなんて物凄い低い確率だ
0706名無しさん＠お腹いっぱい。
2012/12/22(土) 23:37:13.80すまん>>702=>>703=>>706なんだわ
0707名無しさん＠お腹いっぱい。
2012/12/22(土) 23:52:58.02google≒okwave系 ＜＜＜＜＜越えられない壁＝得られない回答＜＜＜＜＜＜＜＜＜２ｃｈ
大切なことだからノートにメモしておけよ
0708名無しさん＠お腹いっぱい。
2012/12/23(日) 00:04:27.76そうではなくて質問主はクライアントデバイスを識別したいのだろう。
ユーザ名と鍵ファイルが盗まれてもデバイス固有の認証で防御したいのかと。
クライアントデバイスに隣接するブロードバンドルーターやアクセスポイントの
ファイアウォール設定ではじくしかないんじゃない？
0709名無しさん＠お腹いっぱい。
2012/12/23(日) 00:08:34.01。さん（＝ｗさん）も寝ればいいんじゃない？
0710名無しさん＠お腹いっぱい。
2012/12/23(日) 10:23:41.390711名無しさん＠お腹いっぱい。
2012/12/23(日) 10:29:49.46>>694って、どこのMACアドレス指定して制限かけるつもりなんだろうね
>>692で制限したら外からのアクセス全部制限するのと同じだから、
そんなのIPレベルでフィルタリングしろって話だ
まあ>>691の話が理解できていないバカなんだろうけど
偽装可能でいいなら、IPv6使うようにして、IPv6アドレスはNDPで生成させる
IPv6アドレスにMACアドレスが埋め込まれる(一部bit反転したり、fffeが入ったりするが)ので、
それを元にIPv6アドレスでフィルタリングするって手もあるかも
prefix部分がころころ変わるとめんどくさいかもしれないが
0712名無しさん＠お腹いっぱい。
2012/12/23(日) 12:50:03.76v6になればMACアドレスを元にベンダーを制限することができるかもね。
0713名無しさん＠お腹いっぱい。
2012/12/23(日) 13:29:46.46NDPを素直に使っている限りはね
http://takagi-hiromitsu.jp/diary/20080730.html
な話もあるし、IPv6アドレスを手動で振られたらダメなので、その辺は考慮する必要があるけど
ま、その辺のスキルがあるやつはMACアドレスの変え方くらい知ってるだろう
0714名無しさん＠お腹いっぱい。
2012/12/23(日) 18:56:49.780715名無しさん＠お腹いっぱい。
2012/12/24(月) 00:02:09.820716名無しさん＠お腹いっぱい。
2012/12/24(月) 10:59:36.420717名無しさん＠お腹いっぱい。
2012/12/24(月) 21:05:44.94だからネタにマジレスするお前のほうがバカだと何度言っ（ｒｙ
0718名無しさん＠お腹いっぱい。
2012/12/24(月) 22:59:42.63本当にアタマが悪い感じがする。ちょっと可哀想。というよりちょっと哀れ。
0719名無しさん＠お腹いっぱい。
2012/12/25(火) 00:29:45.660720名無しさん＠お腹いっぱい。
2012/12/25(火) 07:37:04.34知識をひけらかすために訊かれてもいないことを
自慢げに長文で垂れ流す奴って例外なくバカだよな
技術バカというよりただのバカ
0721名無しさん＠お腹いっぱい。
2012/12/25(火) 07:46:32.55それが消防というものだ
0722名無しさん＠お腹いっぱい。
2012/12/27(木) 14:15:39.44冬休みが始まったからか
0723名無しさん＠お腹いっぱい。
2012/12/27(木) 14:57:54.75722 ：名無しさん＠お腹いっぱい。：2012/12/27(木) 14:15:39.44
0724名無しさん＠お腹いっぱい。
2012/12/29(土) 16:11:01.51教えてもらえない自分が一番哀れなんじゃね？
0725名無しさん＠お腹いっぱい。
2013/01/10(木) 17:38:14.92ノーパソ常用なので、ログインし直しがなくなっただけでも何か嬉しい
ここの人ならもう知ってるだろうけど
Mobile Shell - ttp://mosh.mit.edu
0726名無しさん＠お腹いっぱい。
2013/01/11(金) 01:06:19.880727名無しさん＠お腹いっぱい。
2013/01/11(金) 11:20:02.06便利そうではあるかも。
動作にroot権限が必要ないのはとても良いけど、ルータのポートを
空けないといけないのでは、結局自分が管理するサーバ以外では
使えそうにないけど。
そういう意味では、ssh + screen + Emacsを完全に置き換えるのは
自分の場合は無理かな？
とりあえずSolarisで動くのかは知らんけど、後で試してみよう。
0728名無しさん＠お腹いっぱい。
2013/01/11(金) 11:37:18.480729名無しさん＠お腹いっぱい。
2013/01/12(土) 02:42:17.340730名無しさん＠お腹いっぱい。
2013/01/12(土) 03:55:33.410731名無しさん＠お腹いっぱい。
2013/01/12(土) 04:04:25.000732名無しさん＠お腹いっぱい。
2013/01/12(土) 12:43:43.56少なくとも現状では完全な「置き換え」にはならんよな
併用だ
そのうち認証とかも自前でやるようになるのかな?
でもそれだと常駐しっぱなしか inetd とか使うことになっちゃうか
0733名無しさん＠お腹いっぱい。
2013/01/12(土) 14:20:44.580734名無しさん＠お腹いっぱい。
2013/01/12(土) 19:43:13.54いや >>725の公式サイトに Mosh is a replacement for SSH.
と堂々と書いてあるんだよ
0735名無しさん＠お腹いっぱい。
2013/01/12(土) 21:00:45.230736名無しさん＠お腹いっぱい。
2013/01/12(土) 21:06:27.57おおっと、でっかく書いてあった。SSPしか見えてなかったですｗ
0737名無しさん＠お腹いっぱい。
2013/01/13(日) 09:01:52.17ローカルでスクロールバックしても前が見れなくて困った気がした
0738名無しさん＠お腹いっぱい。
2013/01/13(日) 09:21:37.26サーバ側でスクロールバックさせろよ
0739名無しさん＠お腹いっぱい。
2013/01/14(月) 13:33:19.690740名無しさん＠お腹いっぱい。
2013/01/14(月) 21:18:55.32ﾏﾁｸﾀﾋﾞﾚﾀ～
☆ ﾁﾝ 〃 ∧＿∧ ／￣￣￣￣￣￣￣￣￣￣￣￣￣
ヽ ＿＿_＼（＼・∀・） ＜ Mosh 1.3まだ～？
＼＿／⊂ ⊂＿ ) ＼＿＿＿＿＿＿＿＿＿＿＿＿＿
／￣￣￣￣￣￣ ／|
|￣￣￣￣￣￣￣| |
| 愛媛みかん |／
0741名無しさん＠お腹いっぱい。
2013/01/15(火) 11:19:11.790742名無しさん＠お腹いっぱい。
2013/01/15(火) 11:36:48.330743名無しさん＠お腹いっぱい。
2013/01/15(火) 14:22:36.97mosh のことなら、Cygwin使うしか方法はないです。
0744名無しさん＠お腹いっぱい。
2013/01/15(火) 20:16:11.40開発用じゃないただの端末でもCygwin必須というのはちょっと敷居が上がりますね。
0745名無しさん＠お腹いっぱい。
2013/01/20(日) 09:39:46.45リファレンス実装がGPL V3なんてありえねー。
0746名無しさん＠お腹いっぱい。
2013/01/20(日) 15:49:07.410747名無しさん＠お腹いっぱい。
2013/01/20(日) 23:31:05.470748名無しさん＠お腹いっぱい。
2013/01/21(月) 00:14:22.73まあそのうち、Theoが、OpenMoshを立ち上げてくれるだろうさｗ
0749名無しさん＠お腹いっぱい。
2013/01/21(月) 11:39:02.72非GPLで作るときに面倒くさいじゃん
せめてBSDにしてくれよ
0750名無しさん＠お腹いっぱい。
2013/01/21(月) 11:57:03.080751名無しさん＠お腹いっぱい。
2013/01/21(月) 14:04:46.04まあ確かに>>749 みたいな発想の人間がプロプラには多いよな。TCP/IPネットワーク周りはほとんどBSDのコピーもんばっか。
バグまでコピーしてたな。
0752名無しさん＠お腹いっぱい。
2013/01/21(月) 21:40:18.76.protoにはGPL表示が無いけど、トップディレクトリにあるから信用できない。
.protoに著作権主張するつもりだろうか。RMSは.hには権利があると言ってたよね。
0753名無しさん＠お腹いっぱい。
2013/01/22(火) 08:15:10.68逆。rmsはAPIに著作権はないといっている。.hも同じく。
0754名無しさん＠お腹いっぱい。
2013/01/22(火) 10:52:45.65その面倒くさいことをやってくれた人達に敬意を払えということだろう。
ソースを公開するのもめんどくさい、GPLのライセンスを守るのも嫌だという
ことであれば、多くの先人達がそうして来たように、自分で非GPLなコード
を書けばいいだけ。
0755名無しさん＠お腹いっぱい。
2013/01/22(火) 11:53:33.78じゃ、なんで.hにCopyleft書いてあるんだよ。
0756名無しさん＠お腹いっぱい。
2013/01/22(火) 22:48:17.32日本国著作権法でプログラム言語の著作権は及ばなかったり、
アメリカのOracle対Google訴訟でOracleの主張が認められなくても、
gccやJDKには著作権で保護されるでしょ?
0757名無しさん＠お腹いっぱい。
2013/01/23(水) 08:27:56.44これでも読めよ。
0758名無しさん＠お腹いっぱい。
2013/01/23(水) 21:56:44.08> モジュールが同じ実行ファイルに含まれている場合、それらは言うまでもなく
> 一つのプログラムに結合されています。もしモジュールが共有アドレス空間で
> いっしょにリンクされて実行されるよう設計されているならば、それらが一つ
> のプログラムに結合されているのはほぼ間違いないでしょう。
APIでダイナミックライブラリで結合してもアウトって言ってるじゃん。
> 複雑な 内部データ構造を交換したりする場合は、それらも二つの部分がより大規模な
> プログラムに結合されていると考える基準となりうるでしょう。
データ構造にも権利を主張すると。
0759名無しさん＠お腹いっぱい。
2013/01/23(水) 22:39:33.61>APIでダイナミックライブラリで結合してもアウトって言ってるじゃん。
System library に対する例外規定はあるけどな。
http://www.gnu.org/licenses/gpl-faq.html#WritingFSWithNFLibs
>データ構造にも権利を主張すると。
いやいやいやいや。
結合の判断基準に使っているだけだ。
仮に第3者(例えばさらに別のライブラリ)によって規定されたデータ構造をやりとりしていたとしても、
結合しているとみなされる訳で立場によってはより悪いとも言えるかもしれないが。
0760名無しさん＠お腹いっぱい。
2013/01/23(水) 23:02:32.01これ許さないとバイナリ配布が不可能だから、自分の都合で緩めてるだけでしょ。
http://www.gnu.org/licenses/gpl-faq.html#GPLAndPlugins
fork,execはOKだけどファンクションコール(API)はGPLが感染するというのがこれまでの主張。
0761名無しさん＠お腹いっぱい。
2013/01/24(木) 08:48:21.24してたんとちゃうの?
そりゃGPLedなライブラリまでリンクしたらアウトだろう。staticでも
sharedでも。
0762名無しさん＠お腹いっぱい。
2013/02/08(金) 14:08:45.63Linuxの/etc/sshディレクトリ内に、ssh_host_rsa_key ssh_host_rsa_key.pub
ってのがあるけど、これは何？
公開鍵なら、このパスフレーズは？
0763名無しさん＠お腹いっぱい。
2013/02/08(金) 14:24:23.00ない。
0764名無しさん＠お腹いっぱい。
2013/02/08(金) 20:27:19.620765名無しさん＠お腹いっぱい。
2013/02/08(金) 20:37:58.600766名無しさん＠お腹いっぱい。
2013/02/08(金) 23:27:40.210767名無しさん＠お腹いっぱい。
2013/02/09(土) 20:15:33.26どうしてそう思ったかkwsk
0768名無しさん＠お腹いっぱい。
2013/02/10(日) 02:17:19.47http://toro.2ch.net/test/read.cgi/unix/1352973453/171-176
0769名無しさん＠お腹いっぱい。
2013/02/10(日) 09:30:30.25そのネタなのは知ってるよ
どうしてそのネタを使おうと思ったかkwsk
と聞いたのだが
0770名無しさん＠お腹いっぱい。
2013/02/10(日) 09:45:39.030771名無しさん＠お腹いっぱい。
2013/03/19(火) 01:34:51.25昔あったビデオ端末みたいなssh & Telnet接続専用機ってないのかな？
もし売ってるなら興味あるんだけど
0772名無しさん＠お腹いっぱい。
2013/03/19(火) 02:29:32.71いまどき、単体の製品を探すのは難しいと思う
それに、telnet はいいとして、ssh って使えるのか疑問…
いわゆるシンクライアントの走りだよね
0773名無しさん＠お腹いっぱい。
2013/03/19(火) 08:04:09.51でもEFIからtelnetが使えるぐらいのはあった気がする。
0774名無しさん＠お腹いっぱい。
2013/03/19(火) 10:01:45.85なんでそんなものが欲しいの？
0775名無しさん＠お腹いっぱい。
2013/03/19(火) 10:12:59.82あってもtelnetですか
ssh使えるのはやっぱり無いっぽいですね・・・
>>774
古い機械に興味がありまして、同じような見た目と操作感で今でも使える物は無いかなと思った次第です
実用性云々より趣味ですかね
0776名無しさん＠お腹いっぱい。
2013/03/19(火) 10:26:07.09実在しないのに？
0777名無しさん＠お腹いっぱい。
2013/03/19(火) 10:31:02.27シリアル接続するやつとか調べた方がいいんじゃね。
0778名無しさん＠お腹いっぱい。
2013/03/19(火) 10:38:43.63sun rayみたいなgui端末上のsshクライアントで置換できちゃうからね…
動作するモノを探すの自体大変そう
博物館級だよね
0779名無しさん＠お腹いっぱい。
2013/03/19(火) 20:11:20.860780名無しさん＠お腹いっぱい。
2013/03/21(木) 01:11:10.560781名無しさん＠お腹いっぱい。
2013/03/21(木) 09:57:14.390782名無しさん＠お腹いっぱい。
2013/03/21(木) 14:45:11.06ホームディレクトリと鍵のパーミッションと所有者以外に何が考えられますか？
ずっとハマってお手上げですorz
0783名無しさん＠お腹いっぱい。
2013/03/21(木) 14:59:40.670784782
2013/03/21(木) 15:20:19.90/var/log/secureではパスワードで正常にログインできた
としか見当たりませんでした。
ssh -vvv server
～略～
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/server/user/.ssh/identity
debug3: no such identity: /home/server/user/.ssh/identity
debug1: Trying private key: /home/server/user/.ssh/id_rsa
debug3: no such identity: /home/server/user/.ssh/id_rsa
debug1: Trying private key: /home/server/user/.ssh/id_dsa
debug1: read PEM private key done: type DSA
debug3: sign_and_send_pubkey
debug2: we sent a publickey packet, wait for reply
debug3: Wrote 592 bytes for a total of 1717
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug2: we did not send a packet, disable method
debug3: authmethod_lookup password
debug3: remaining preferred: ,password
debug3: authmethod_is_enabled password
debug1: Next authentication method: password
すいません、助言をお願いします。
0785名無しさん＠お腹いっぱい。
2013/03/21(木) 19:57:43.230786名無しさん＠お腹いっぱい。
2013/03/21(木) 20:14:53.60それはssh1の名残だから関係ないよｗ
0787名無しさん＠お腹いっぱい。
2013/03/21(木) 20:25:23.44すみませんが詳しい方のみ回答をお願いします
0788名無しさん＠お腹いっぱい。
2013/03/21(木) 21:24:53.09ホームディレクトリそのものでなくても/から辿る途中でgroup writableをworld writableになってる
ホームディレクトリそのものでなくても/から辿る途中でownerが(root|自分)以外になってる
サーバー側のsshd_configでPubkeyAuthentication noになってる
authorized_keysのつもりで別のファイル名になってる
手元の私有鍵がweak keyでサーバーから拒否された(Debianの脆弱性のやつ)
ぐらい考えた。
とりあえず>>784のログは追わずに適当に詳しくない人が言ってるｗｗｗ
> ホームディレクトリそのものでなくても/から辿る途中でgroup writableをworld writableになってる
group writableかworld writableのtypoだ。すまんこ
あと念のため、/から~/.ssh/authorized_keysまで辿る途中が正しい(ホームより下も影響する)。
パーミッションやオーナー関係かどうかはsshd_configを一時的に
StrictModes noとしたら切り分けられると思うよ。
StrictModes noでログインできるようならパーミッションかオーナーで何かやらかしてる。
0790名無しさん＠お腹いっぱい。
2013/03/21(木) 21:34:48.24＞no such identity: /home/server/user/.ssh/id_rsa
sssh1の名残？
0791名無しさん＠お腹いっぱい。
2013/03/22(金) 00:58:34.83別ポートでサーバをデバッグモードで起動するのが吉
/usr/sbin/sshd -ddd -p 999
ssh -vvv -p 999 server
0792名無しさん＠お腹いっぱい。
2013/03/22(金) 12:48:53.05これ、そんなファイルねーぞ。って意味だよ。
sshconnect2.cはその名の通りssh2の接続で使う関数を定義しているソースファイル。
sshconnect2.c:
static Key *
load_identity_file(char *filename)
{
...
if (stat(filename, &st) < 0) {
debug3("no such identity: %s", filename);
return NULL;
}
0793名無しさん＠お腹いっぱい。
2013/03/22(金) 12:55:29.65× これ、そんなファイルねーぞ。って意味だよ。
○ これ、そんなファイルstatできねーぞ。って意味だよ。
.ssh/にxビットが無い場合も同じエラー
0794名無しさん＠お腹いっぱい。
2013/03/22(金) 14:00:40.74だから、そのファイルは使ってないんだよ、この接続では。
その下で .ssh/id_dsa の方が使われてるだろ。
RSAじゃなくてDSAを使ってるの。
0795名無しさん＠お腹いっぱい。
2013/03/22(金) 14:01:56.44すみませんが詳しい方のみ回答をお願いします
0796名無しさん＠お腹いっぱい。
2013/03/22(金) 14:32:42.49消えろ、キチガイ荒らし
0797名無しさん＠お腹いっぱい。
2013/03/22(金) 14:38:44.770798782
2013/03/22(金) 17:22:24.51>>788
/までのパーミッション見てみましたが、
グループと他ユーザは書き込み不可でした．
/etc/ssh/sshd_configで関係ありそうな所はこうなってます
RSAAuthentication no
PubkeyAuthentication yes
#AuthorizedKeysFile .ssh/authorized_keys
#AuthorizedKeysCommand none
#AuthorizedKeysCommandRunAs nobody
PasswordAuthentication yes
StrictModes noでやってもログインできませんでした。
後だしになっちゃいましたが，
もうちょっと環境を詳しく書きます．
server1: NISサーバ、NFSサーバ
server2: NISクライアント、NFSクライアント
~/.ssh/にはid_dsaとauthorized_keysを置いて
server1と2間の移動は相互に公開鍵認証したいのですが、
server1から2は出来て2から1は出来ない状況です。
sshd_configはserver1と2で同じ内容で、
OSは両方ともRHEL6.4です。
>>791
デバッグモードで起動したら公開鍵認証が通りました！
でも通常モードだと相変わらずパスワードを要求されます。
念のためservice sshd restartしても駄目みたいです。
0799名無しさん＠お腹いっぱい。
2013/03/22(金) 19:00:51.53authorized_keysはワールドリーダブルになってる?
0800782
2013/03/22(金) 19:46:49.99その通りです。セキュリティ的にザルっぽいですが・・・
NISでpasswdとshadownとgroupも共有してます。
600だったので644に変更しましたが、効果なしでしたorz
0801名無しさん＠お腹いっぱい。
2013/03/22(金) 20:57:56.20otherにx(実行)権限ないとダメだよ。
0803名無しさん＠お腹いっぱい。
2013/03/22(金) 21:23:52.270804名無しさん＠お腹いっぱい。
2013/03/22(金) 21:24:40.23Raspberry Piと家庭用のテレビで実装できる
0805782
2013/03/22(金) 22:41:47.94やってみましたが・・・(´・ω:;.:...
StrictModes noで試してるので、パーミッション関係は違うのかなと思ったり。
ここまでできないと、変なトコでトンチンカンな設定してそうな気がしてます。
0806名無しさん＠お腹いっぱい。
2013/03/22(金) 23:32:34.62scpで読み出すことは可能かな
そのとき取得できるファイルのサイズはいつのだろうか
0807名無しさん＠お腹いっぱい。
2013/03/22(金) 23:37:59.06可能。読み出した瞬間のファイルサイズ。
0808名無しさん＠お腹いっぱい。
2013/03/22(金) 23:46:41.54> StrictModes noで試してるので、パーミッション関係は違うのかなと思ったり。
authorized_keysはrootが読むから、nfsならnobodyが読めないとダメ。という意味だけど違うのか。
ちゃんと起動するのかわからんが。
「StrictModes noでログインできるならパーミッションかオーナーでやらかしてる」とは書いたが、
「StrictModes noでもコケるならパーミッションもオーナーは正しい」とは書いてないぞ。
とりあえずrootでcat ~誰か/.ssh/authorized_keysはできんの？
0811名無しさん＠お腹いっぱい。
2013/03/23(土) 00:40:28.84エスパーしてみると、SE Linuxは有効？
もし有効なら、無効にしてみるとどう？
ttp://bugs.centos.org/view.php?id=4959
0812782
2013/03/23(土) 23:56:51.08authorized_keysってroot権限で読んでるんですね。
知らなかった・・・
>>809
1でのデバッグモードの起動はrootでやりました。
2から1へ接続したのは一般ユーザです。
>>811
認証通ったｷﾀ*･゜ﾟ･*:.｡..｡.:*･゜(ﾟ∀ﾟ)ﾟ･*:.｡. .｡.:*･゜ﾟ･*!!!!
ありがとうございます！
皆さん長時間お付き合いいただきありがとうございました！
とりあえずSELinuxが原因なのはわかりましたが、
切っとくのよくないですよね。
設定煮詰めないとなぁ
0813名無しさん＠お腹いっぱい。
2013/03/24(日) 00:32:34.740814811
2013/03/24(日) 01:04:09.95乙、どういたしまして。
RHEL6系はSE Linuxがデフォルト有効なのはトラブルの元でしかないような気がする。
インストール直後にまず無効にしてしまうなあ。
0815名無しさん＠お腹いっぱい。
2013/03/24(日) 06:44:47.42すみませんが詳しくない方の誤回答を晒しておきますｗ
0816名無しさん＠お腹いっぱい。
2013/03/24(日) 14:16:24.520817名無しさん＠お腹いっぱい。
2013/03/24(日) 15:40:28.00こいつあちこちで書いてる。
0818名無しさん＠お腹いっぱい。
2013/03/24(日) 16:11:32.41気にいると永遠に繰り返す。
0819名無しさん＠お腹いっぱい。
2013/03/24(日) 18:28:33.55そこは問題ないことも当然知ってるし、
見当違いな低レベル回答は荒しと同レベルだなぁ。
0820名無しさん＠お腹いっぱい。
2013/03/24(日) 19:05:08.38ゴミで残ってるテスト用につくったid_dsaを使って認証に失敗してると。
0821名無しさん＠お腹いっぱい。
2013/03/27(水) 11:14:26.51ChallengeResponseAuthentication no
にしているのしか見当たらないんだが
この認証の利用方法が書いてあるWebページを知りませんか。
0822名無しさん＠お腹いっぱい。
2013/03/27(水) 11:51:47.55sshdではなくてPAMの使い方を調べてみれば？
0823名無しさん＠お腹いっぱい。
2013/03/27(水) 12:38:34.530824名無しさん＠お腹いっぱい。
2013/03/27(水) 16:54:28.42これで検索すれば沢山あるはず
0825名無しさん＠お腹いっぱい。
2013/03/27(水) 17:44:50.930826名無しさん＠お腹いっぱい。
2013/08/01(木) NY:AN:NY.AN例えばあるPortを特定のIPアドレスからのみログイン可能とすることは出来るでしょうか？
例えば、
Port 42000 # どのアドレスからもログイン可
Port 22 # あるIPからのみログイン可
具体的には大学から自鯖にアクセスしたいのですが、セキュリティのため、
一般のポートに対してアクセスができない制限がかかっています。
そのため22番を開けたいのですが、その代わりIPを大学のみに制限したいのです。
0827名無しさん＠お腹いっぱい。
2013/08/01(木) NY:AN:NY.AN0828名無しさん＠お腹いっぱい。
2013/08/01(木) NY:AN:NY.ANNetBEUIとかAppleTalkとかからログイン可って意味なんだろ、きっと
0829名無しさん＠お腹いっぱい。
2013/08/02(金) NY:AN:NY.AN他の機能と組み合わせるほうがいいと思います。
Linuxならiptablesとか。
0830名無しさん＠お腹いっぱい。
2013/08/02(金) NY:AN:NY.AN0831名無しさん＠お腹いっぱい。
2013/08/02(金) NY:AN:NY.AN0832名無しさん＠お腹いっぱい。
2013/08/02(金) NY:AN:NY.ANhttp://cr.yp.to/ucspi-tcp/tcprules.html
http://cr.yp.to/ucspi-tcp/tcpserver.html
http://cr.yp.to/daemontools.html
この辺使えれば簡単だ
0833名無しさん＠お腹いっぱい。
2013/08/02(金) NY:AN:NY.AN0834名無しさん＠お腹いっぱい。
2013/08/02(金) NY:AN:NY.ANそれぞれ別の設定ファイルを用意してプロセス2つ起動するのがいちばん簡単。
hosts.allowでアクセス制限しようとすると共通になっちゃうので
sshd_config自体で制限する必要があるけど。
つーか、公開鍵認証以外を拒否するようにしておけば、
port 22だけで何も問題ないと思うんだけど、それで侵入された例ってあるのかね？
昔debianがやらかした弱い鍵を放置しておいたとかいうなら話は別だけど。
0835826
2013/08/02(金) NY:AN:NY.AN確かにsshd_configでやる必要はないので、
iptables（というかufw）で設定してみます。
0836名無しさん＠お腹いっぱい。
2013/09/06(金) 03:29:33.24確かにログインした直後、指定したディレクトリがルートの様に見えて
それ以上、上に行けない事は確認したのですが
ログイン直後のディレクトリにファイルの書き込みが出来ません。
所有者がrootでないといけないとの事で
ググると別のディレクトリを作ろう と書いてあるページが数多くヒットするのですが
sftpでログインする、ログイン直後のディレクトリより上に行けない、ログイン直後のディレクトリの中身は空っぽ、ログイン直後のディレクトリにファイルの読み書きが出来る
設定はどの様にすればよいのでしょうか
0837名無しさん＠お腹いっぱい。
2013/09/06(金) 12:00:19.210838名無しさん＠お腹いっぱい。
2013/09/06(金) 12:19:08.230839名無しさん＠お腹いっぱい。
2013/09/06(金) 12:56:25.030840名無しさん＠お腹いっぱい。
2013/09/06(金) 17:34:15.19┃→E すみませんがくわしいかたのみかいとうをおねがいします┃
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛
0841名無しさん＠お腹いっぱい。
2013/09/06(金) 18:25:43.900842名無しさん＠お腹いっぱい。
2013/09/06(金) 18:33:04.240843名無しさん＠お腹いっぱい。
2013/09/07(土) 10:59:24.620844名無しさん＠お腹いっぱい。
2013/09/07(土) 20:29:29.460845名無しさん＠お腹いっぱい。
2013/09/07(土) 21:28:01.810846名無しさん＠お腹いっぱい。
2013/09/20(金) 16:08:56.77スマートフォンでGmailの確認やTwitterなど、ちょっとしたWebサイトを見るのであればこの速度で十分と感じております。
この速度でもsshにてVPSに接続して作業できるかと思っていたのですが、速度が頭打ちになっているのかターミナルに文字を入力したものが実際に表示されるのも少々遅延してしまいます。
SSHは100kbps以上の通信を行なっているのでしょうか？
リモートファイルの編集作業などはEmacsのTrampを使うなどで対策が行えるのですが、ターミナルでのコマンド操作でも快適に出来る方法はありませんでしょうか?
moshというものを試してみたのですが同様の遅延がありました。
0847名無しさん＠お腹いっぱい。
2013/09/20(金) 17:03:35.760848名無しさん＠お腹いっぱい。
2013/09/20(金) 17:12:38.15bpsとかの速度の問題ではなくて、pingの問題ですね
0849名無しさん＠お腹いっぱい。
2013/09/20(金) 17:13:11.980850名無しさん＠お腹いっぱい。
2013/09/20(金) 20:24:37.78あまりに私の知識が足りていないようで申し訳ありません。
>>848
pingの問題とはどのようなものになるでしょうか?少々調べてみたのですが、記事を見つけることができませんでした。
通信速度の問題で無いという事は、テザリングや携帯電話網通信の問題という事でしょうか?
あまりにもレベルが低い内容のようですが、どうかご説明いただけると助かります。
0851名無しさん＠お腹いっぱい。
2013/09/21(土) 01:41:12.47それだけのことですがな
ちなみに「通信速度」って遅延とは(関係はするけど)一応別ですよ?
どういう意味で使っているか知りませんが
0852名無しさん＠お腹いっぱい。
2013/09/21(土) 14:19:18.66どうしても理解が出来ず、私なりに考えた憶測になるのですが、通信速度の問題でなく遅延の問題ということは、
ノートPCからWiFiでスマートフォン、スマートフォンからテザリングでDoCoMo、DoCoMo回線からインターネット、インターネットからVPS
と、この4段階で各々の回線間に遅延が出ているということで宜しいでしょうか？
公共無線LANで遅延が出ないということは、DoCoMoからインターネットに大きく遅延があるということでしょうか？
この場合、外からSSHで操作をしたい場合は高速契約のSIMを使ってテザリングをしても同様になりそうなのですが、皆様はどのように外で作業されておりますでしょうか？
WiMAXで解決できるのであれば契約を変えようと思っているのですが、遅延がでない（少ない）方法があればお教えいただければと思います。
また、コマンド入力のレスポンスが送れるのは特に気にならないのですが、コマンドを入力際に一文字づつの入力に遅延があることのみ気になります。
ローカルでコマンド入力をバッファリングし、エンターを押した際にリモートに送ることで解決でそうなのですが、そのような方法はありませんでしょうか？
どうも私の知識が足りず、質問ばかりになりましたがどうかよろしくお願いいたします。
0853名無しさん＠お腹いっぱい。
2013/09/21(土) 14:48:25.59>>852
なので遅延は回線次第だよ。気になるならMosh使えば？
0854名無しさん＠お腹いっぱい。
2013/09/21(土) 16:01:11.560855名無しさん＠お腹いっぱい。
2013/09/21(土) 17:03:48.88静止軌道だと最低でも往復で200ms以上の遅延があるし
0856名無しさん＠お腹いっぱい。
2013/09/21(土) 17:45:06.330.12*2 = 0.24
240ms遅延だな。
0857852
2013/09/21(土) 23:01:51.60私の理解が概ねあっていたようで、ヒントを下さった皆様有難うございました
>>853
契約によっても変わるようですね。自宅の回線を含めてWiMAXへの移行を考えていたため、WiMAXの遅延も考えて移行しなけれればならないと参考になりました。
ありがとうございました。
moshは、>>846に書かせていただいたとおり私の環境では改善はありませんでした。
設定などがあるのかしらべてみます。
0858名無しさん＠お腹いっぱい。
2013/09/23(月) 13:31:21.41moshはこっちにレスポンス来る前に推測で文字表示してるから早く感じるだけ
とかそんなんだったような
その部分は下線付きで表示されるから慣れないと気持ち悪い
0859名無しさん＠お腹いっぱい。
2013/09/24(火) 12:21:10.170860名無しさん＠お腹いっぱい。
2013/09/26(木) 00:53:28.78zsh: No such file or directory
ssh_exchange_identification: Connection closed by remote host
/usr/local/bin/mosh: Did not find remote IP address (is SSH ProxyCommand disabled?).
原因わかります？
0861名無しさん＠お腹いっぱい。
2013/09/26(木) 07:17:31.100862名無しさん＠お腹いっぱい。
2013/09/26(木) 12:01:45.00ログインシェルに問題があると見せかけて、実はIP絞ってましたという釣りですね。
そうでないのなら文面通りzshを探す（多分あるけど）
多分、ログインシェルとして認められてないとかじゃない？（設定時に気づくから違うかも）
0863名無しさん＠お腹いっぱい。
2013/09/26(木) 23:59:04.21ちな環境はMacだよ。
ログインシェルは変えてないからbashなはず。
0864名無しさん＠お腹いっぱい。
2013/09/27(金) 00:20:41.50sshではhogehoge.comにはつながるの？
0865名無しさん＠お腹いっぱい。
2013/09/27(金) 08:17:58.45もちろん！
0866名無しさん＠お腹いっぱい。
2013/09/27(金) 08:20:47.83クライアントもサーバも両方Macね
0867名無しさん＠お腹いっぱい。
2013/09/27(金) 10:05:28.200868名無しさん＠お腹いっぱい。
2013/09/27(金) 10:30:36.050869名無しさん＠お腹いっぱい。
2013/09/27(金) 11:35:35.84moshスクリプトの247行目付近にexec sshをやっているところがあるのでそこをprintにして実行して、
実行可能なパラメータになっているか確認してください。
そのパラメータに問題があると思われるので、いろいろ変更してあたりをつけてみてはどうでしょうか。
0870名無しさん＠お腹いっぱい。
2013/09/27(金) 17:05:22.55ごめん。調べてから書くべきやったね。申し訳ない
0871名無しさん＠お腹いっぱい。
2013/09/27(金) 17:19:18.540872名無しさん＠お腹いっぱい。
2013/09/28(土) 14:25:39.38printにしたけどよくわからんかった…使ってるのがzshやからダメなんかな？
bashからやったら成功したよ。
エスケープの違い？
0873名無しさん＠お腹いっぱい。
2013/09/28(土) 23:04:31.16クライアント側のシェル変えたらうまくいったって話？
とりあえずおめ
1) 1つのIPからport forwardして複数の仮想化したOSにつないでるんだけど
sshのfingerprintをhost:portで1つのOSとして管理する方法はありませんかね
2) mosh(クライアント)をwindowsから使うには仮想化使って*BSDやLinuxを動かすしかないですか？
ヒントになりそうなURLとかあったらください
0874名無しさん＠お腹いっぱい。
2013/09/28(土) 23:19:19.290875名無しさん＠お腹いっぱい。
2013/09/28(土) 23:33:55.14レスthx
0876名無しさん＠お腹いっぱい。
2013/09/29(日) 00:09:18.36どうやって解決したの？
0877名無しさん＠お腹いっぱい。
2013/09/29(日) 13:16:16.81OS オッス
SSH スッシュ
0878名無しさん＠お腹いっぱい。
2013/10/25(金) 02:00:08.70自宅のクライアントからのアクセス時のみであるので、debian 上に DNS を立ててクライアントマシンのアドレスを
逆引きできるようにしたら解消した。
/etc/ssh/sshd_config に UseDNS no を記述しても解消はしなかった。
ログイン時のアドレス逆引き自体をさせなくして、クライアントマシンを DHCP 運用に戻したいのだが、
解決方法はないものだろうか。
お知恵をお借りしたい。
0879878
2013/10/25(金) 02:12:51.20[サーバ]
OS: debian wheezy
SSH: OpenSSH_6.0p1 Debian-4, OpenSSL 1.0.1e 11 Feb 2013
IPアドレス: ホームゲートウェイから全ポートを転送するプライベートIPアドレス
(特に設定変更した項目)
・ポートを標準から変更
・Protocol 2
・MaxStartups 2:90:4
・PermitRootLogin no
・RSAAuthentication no
・ChallengeResponseAuthentication no
・PasswordAuthentication no
・UsePAM no
・UseDNS no
[クライアント]
OS: Windows
クライアントアプリ: putty 0.60 または OpenSSH 6.1p1, OpenSSL 1.0.1c 10 May 2012
IPアドレス: サーバと同セグのIPアドレス
0880878
2013/10/25(金) 02:20:18.01Oct 25 00:52:57 HOSTNAME sshd[14381]: debug3: fd 5 is not O_NONBLOCK
Oct 25 00:52:57 HOSTNAME sshd[14381]: debug1: Forked child 14430.
Oct 25 00:52:57 HOSTNAME sshd[14381]: debug3: send_rexec_state: entering fd = 8 config len 747
Oct 25 00:52:57 HOSTNAME sshd[14381]: debug3: ssh_msg_send: type 0
Oct 25 00:52:57 HOSTNAME sshd[14381]: debug3: send_rexec_state: done
Oct 25 00:52:57 HOSTNAME sshd[14430]: debug3: oom_adjust_restore
Oct 25 00:52:57 HOSTNAME sshd[14430]: Set /proc/self/oom_score_adj to 0
Oct 25 00:52:57 HOSTNAME sshd[14430]: debug1: rexec start in 5 out 5 newsock 5 pipe 7 sock 8
Oct 25 00:52:57 HOSTNAME sshd[14430]: debug1: inetd sockets after dupping: 3, 3
Oct 25 00:53:02 HOSTNAME sshd[14430]: Connection from 192.168.100.33 port 56287
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: Client protocol version 2.0; client software version PuTTY_Release_0.60
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: no match: PuTTY_Release_0.60
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: Enabling compatibility mode for protocol 2.0
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: Local version string SSH-2.0-OpenSSH_6.0p1 Debian-4
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug2: fd 3 setting O_NONBLOCK
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug2: Network child is on pid 14432
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug3: preauth child monitor started
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug3: privsep user:group 113:65534 [preauth]
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: permanently_set_uid: 113/65534 [preauth]
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: list_hostkey_types: ssh-rsa,ssh-dss,ecdsa-sha2-nistp256 [preauth]
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: SSH2_MSG_KEXINIT sent [preauth]
Oct 25 00:53:02 HOSTNAME sshd[14430]: debug1: SSH2_MSG_KEXINIT received [preauth]
...
0881878
2013/10/25(金) 02:26:20.11何か手掛かりがあれば良いのですが…
# ssh -vvv USER@HOSTNAME.FQDN -p 13422
OpenSSH_6.1p1, OpenSSL 1.0.1c 10 May 2012
debug2: ssh_connect: needpriv 0
debug1: Connecting to HOSTNAME.FQDN [192.168.100.90] port 13422.
debug1: Connection established.
debug1: identity file /home/.ssh/id_rsa type -1
debug1: identity file /home/.ssh/id_rsa-cert type -1
debug1: identity file /home/.ssh/id_dsa type -1
debug1: identity file /home/.ssh/id_dsa-cert type -1
debug1: identity file /home/.ssh/id_ecdsa type -1
debug1: identity file /home/.ssh/id_ecdsa-cert type -1
(ここで5秒ポーズ)
debug1: Remote protocol version 2.0, remote software version OpenSSH_6.0p1 Debian-4
debug1: match: OpenSSH_6.0p1 Debian-4 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_6.1
debug2: fd 3 setting O_NONBLOCK
debug3: put_host_port: [HOSTNAME.FQDN]:13422
debug3: load_hostkeys: loading entries for host "[HOSTNAME.FQDN]:13422" from file "/home/.ssh/known_hosts"
debug3: load_hostkeys: found key type ECDSA in file /home/.ssh/known_hosts:1
debug3: load_hostkeys: loaded 1 keys
debug3: order_hostkeyalgs: prefer hostkeyalgs: ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521-cert-v01@openssh.com,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug2: kex_parse_kexinit: ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1
...
0882名無しさん＠お腹いっぱい。
2013/10/25(金) 07:29:12.06泥縄っぽいけどdnsmasqとかのHost NameオプションをあつかえるDHCPサーバを使うというのは？
0883名無しさん＠お腹いっぱい。
2013/10/25(金) 07:42:18.57ローカルなDNSを立てたくないというならDHCPで振り出すアドレス範囲が
逆引き出来るように/etc/hostsにアドレス範囲を全部追加しとけばいい。
0884名無しさん＠お腹いっぱい。
2013/10/25(金) 09:07:17.020885878
2013/10/25(金) 09:15:59.73やっぱ、逆引きを正常にさせるのが良いのかな。
後出しですまないけれど、
/etc/hosts に追記してもうまくいかなかったので、逆引きチェックを止めるのを目指していた。
冷静になってみると networking の restart をサボってたかも。
>>882
nttのhgwについてるDHCPでは無理っぽい機能ですね。
興味はあるけど、この問題だけなら mac アドレス決めうちで固定のIPアドレスを払い出すのでも
解決できそうなので、今のところはパスします。
>>883
/etc/hosts で試してうまく行けば、そうしてみます。
お二人ともありがとう。
0886名無しさん＠お腹いっぱい。
2013/10/25(金) 09:22:31.000887878
2013/10/25(金) 09:28:32.76あれ、そうなの？
hosts.deny で 全拒否後、hosts.allow では同セグと、特定のアドレスのみ許可している。
アドレスと IP の対応は書かないから、関係ないと思ってた。
0888878
2013/10/25(金) 09:30:33.21でもプライベートアドレスだからなー
仕事戻ります。また結果出たら報告します。
でわ。
0889名無しさん＠お腹いっぱい。
2013/10/25(金) 09:38:36.330890名無しさん＠お腹いっぱい。
2013/10/25(金) 09:46:03.97多分sshd以外にも逆引きするものが入ってるよね。
素直にDNSキャッシュサーバーと逆引きウォールを入れるのが吉
0891名無しさん＠お腹いっぱい。
2013/10/25(金) 10:16:04.020892名無しさん＠お腹いっぱい。
2013/10/25(金) 10:29:05.41https://code.google.com/p/google-dnswall/
など
0893名無しさん＠お腹いっぱい。
2013/10/25(金) 10:37:38.910894名無しさん＠お腹いっぱい。
2013/10/25(金) 11:32:34.73アドレスと IP の対応て何？
0895878
2013/10/25(金) 18:41:05.95ぁ、hosts.allow が逆引きしてるなんて想像してなかった。
UNKNOWN とか PARANOID とかで許可/拒否を振り分けられるんだ。
勉強になった。
0896名無しさん＠お腹いっぱい。
2013/10/25(金) 18:54:28.090897878
2013/10/25(金) 21:17:59.610898878
2013/10/25(金) 21:40:45.22・/etc/hosts にクライアントのIPアドレスとホスト名の対応を記載し
networking restart することで、DNS を止めてもポーズは解消
・/etc/default/ssh に -u0 を記載しても、残念ながら効果なし
-u0 は知らなかったので sshd の man 見て、DNS が有効になる他の
設定とかを把握した。
それらが有効になってないことも確認したが、UseDNS no も -u0 も
今回のポーズ解消には効果がなかった。
DNS はあまり運用したくない＆ DHCP で IPアドレスを配りたいので、
・特定MAC宛てに固定のIPアドレスを払出すよう設定
・サーバの /etc/hosts にその固定のIPアドレスとホスト名を設定
とすることにした。
レスくれた皆、ありがとう。
0899名無しさん＠お腹いっぱい。
2013/10/25(金) 21:46:41.12これで出来てるじゃん。/etc/hostsに書けってそういう事だよ。
DHCPが振り出すアドレス範囲はどんなヘッポコASDLルータでも指定可能なので、
hostsにその範囲のアドレス/ホスト名を全部するだけ
0900名無しさん＠お腹いっぱい。
2013/11/04(月) 10:37:19.34複製したSSHサーバホスト鍵で運用しちゃまずいよね？
VPSホスティングで
別の契約者に同じSSHホスト鍵を与えているケースがあるみたい。
https://sect.iij.ad.jp/d/2012/08/109998.html
↑と似た話だけど、組み込み機器というわけではないし、
乱数発生器の不良ということでもなく、
仮想化でそういうミスはよくあることなのかな。
0901名無しさん＠お腹いっぱい。
2013/11/04(月) 13:38:01.68「SSH 再生成」でググったページをペタリ
ttp://doruby.kbmj.com/totoro_blog/20130624/vps_ssh_
0902900
2013/11/04(月) 15:16:09.22確かに借りた方で鍵を再生成するだけで済む話なんだけど、
サーバが身元を証明するデータを共有しちゃいけないことを
認識していないプロバイダというのは、その程度のものなんだろう。
「初回接続時に警告が出るので[OK]を押しましょう」みたいな解説がはびこったせいで、
ホスト鍵検証の意義や必要性を理解できてない業者さんもいるんだろうな。
0903名無しさん＠お腹いっぱい。
2013/11/06(水) 17:47:47.91提供する側も使う側もｗ だからNSCがほくほくな訳で。
0904名無しさん＠お腹いっぱい。
2013/11/06(水) 22:20:50.43それはそれで問題あるよ
0905名無しさん＠お腹いっぱい。
2013/11/07(木) 02:28:22.20普通に考えれば鍵生成前(もしくはインストール後に鍵削除して)スナップショット取って
コピー元のイメージにして、デプロイする時にIPアドレス振る流れで鍵生成がいいだろうけど
それが出来ない程度にそのプラットフォームに慣れてないってことじゃね？
0906名無しさん＠お腹いっぱい。
2013/11/07(木) 03:06:23.410907名無しさん＠お腹いっぱい。
2013/11/07(木) 04:42:19.23それともパスフレーズの変え方がわからないとかそういうお話？
0908名無しさん＠お腹いっぱい。
2013/11/07(木) 07:56:51.08> 「初回接続時に警告が出るので[OK]を押しましょう」みたいな解説がはびこったせいで、
これが何でダメだと言われたのか意味わかってる?
0909名無しさん＠お腹いっぱい。
2013/11/07(木) 08:35:22.590910名無しさん＠お腹いっぱい。
2013/11/07(木) 11:03:04.730911名無しさん＠お腹いっぱい。
2013/11/24(日) 07:57:20.060912名無しさん＠お腹いっぱい。
2013/11/24(日) 10:11:35.580913名無しさん＠お腹いっぱい。
2013/12/30(月) 15:56:17.36生の鍵ペアよりも便利なこと・不便なことがあったら教えなさい。
0914名無しさん＠お腹いっぱい。
2013/12/30(月) 16:05:14.83「接続の共有」(ControlPath とかで設定するやつ) があるけど
これが Cygwin で使えなくておじさん心底ガッカリした。
しかし Unix ソケットの fd 渡しってこんなところで使われるんだな。
0915名無しさん＠お腹いっぱい。
2013/12/30(月) 16:35:28.55$ ssh example.com 'echo ONE ; echo THREE >&3 ; echo FOUR >&4' 1> 1.out 3> 3.out 4> 4.out
sh: 3: Bad file descriptor
sh: 4: Bad file descriptor
1 回の SSH 接続で複数コマンド出力を別々に取り出したいのだけどできない。
(少なくとも Linux の) su は同様のことができて便利なんだけど。
0916名無しさん＠お腹いっぱい。
2013/12/30(月) 17:17:23.370917名無しさん＠お腹いっぱい。
2013/12/30(月) 23:32:00.31RFC4254のSSH_MSG_CHANNEL_EXTENDED_DATAが
SSH_EXTENDED_DATA_STDERRしか定義されてないんだよな
0918名無しさん＠お腹いっぱい。
2013/12/30(月) 23:41:44.85勉強になります。
0919名無しさん＠お腹いっぱい。
2014/03/20(木) 13:06:59.63Host *
User spam
Host eggs
User sausage
みたいな設定をしているのに、eggs宛のssh(ssh eggs)でspamとしてログインしてしまいます。
原因とかありますか？
0920名無しさん＠お腹いっぱい。
2014/03/20(木) 13:22:06.130921名無しさん＠お腹いっぱい。
2014/03/20(木) 13:27:02.06上から順にマッチさせるので
Host * は最後に書く。
0922名無しさん＠お腹いっぱい。
2014/04/02(水) 19:02:57.63PuTTYで言うところの「シェルやコマンドを開始しない」に相当するオプションは
どうやって設定すればいいのでしょうか？
0923名無しさん＠お腹いっぱい。
2014/04/02(水) 20:59:53.18最近Windows使ってないのでうろ覚えだけどポート転送のメニューがあった気がするよ
0924922
2014/04/03(木) 13:23:02.98openssh の sshコマンドで -N に相当する(と思う)オプションです。
設定→SSH転送のメニューはあるのですが、その周辺には見当たりませんでした。
0925名無しさん＠お腹いっぱい。
2014/04/03(木) 14:12:52.79別ソフトだけど putty だと 接続->SSH の項目に
shell等を開始しない(N)ってのがあるようです
0926名無しさん＠お腹いっぱい。
2014/04/03(木) 14:41:38.77>>922 はそれを当然知ってて質問してるだろｗ
0927名無しさん＠お腹いっぱい。
2014/04/18(金) 07:21:50.26関係ないと思っていたのですがWinSCPやFFFTPなどがHeartbleed問題への対策をしたとか見かけたので不安になってきました
0928名無しさん＠お腹いっぱい。
2014/04/18(金) 08:38:47.54関係ない。
http://undeadly.org/cgi?action=article&;sid=20140408063423
OpenSSH作者のTheo自らの発言。
SSLセッションの問題なので、プロトコル自体別なsshは関係ない。
0929名無しさん＠お腹いっぱい。
2014/04/18(金) 20:05:04.33今見てみたらwinscpもffftpも、ftpsとかftp over sslで使ってるからじゃないかな。opensshのsftpとは別。
0930名無しさん＠お腹いっぱい。
2014/04/18(金) 20:48:51.970931名無しさん＠お腹いっぱい。
2014/04/18(金) 21:16:16.250932名無しさん＠お腹いっぱい。
2014/04/18(金) 21:44:54.21いるよ
0933名無しさん＠お腹いっぱい。
2014/04/18(金) 21:57:26.67FTP に proftpd 使ってるんですけど、
普段は、/etc/proftpd.conf で
Deny all
してるのを、使う時だけ
# Deny all
してるわけです。
これをいちいちSSHでサーバに接続して編集とかしないで、
$ ssh -t -p 22 server comand
みたいに一発でできないですかね？
0934名無しさん＠お腹いっぱい。
2014/04/18(金) 23:14:47.680935名無しさん＠お腹いっぱい。
2014/04/18(金) 23:16:08.40ssh server command
は普通ならできるんじゃないですかね。
0936名無しさん＠お腹いっぱい。
2014/04/18(金) 23:18:05.05わざわざ FTP 使わずとも scp でいいんじゃね。
0937名無しさん＠お腹いっぱい。
2014/04/18(金) 23:35:58.55なので、その具体的な command が知りたいわけですよ
0938名無しさん＠お腹いっぱい。
2014/04/18(金) 23:40:39.16特定の下位ディレクトリとか特定のファイルだけ"目視"で除くとか、
同名ファイルの存在時にどうするか、"都度都度変わる"とか、
いろんな場合でやっぱりFTPクライアントは scp より便利なので。
何にも考えなくて一括してアップロードするときなんかは scp で、
定時バックアップは rsync+ssh でやってるんですけどね
0939名無しさん＠お腹いっぱい。
2014/04/19(土) 00:53:40.93なんたるゴウランガ！
Deny all
と
# Deny all
の二つのproftpd.confを作っておいて
コピるなり、リンクするなり。
いや、もうSFTPで。
0940名無しさん＠お腹いっぱい。
2014/04/19(土) 02:00:58.82頭いいなぁ！
なるほど
ssh -t server 'sudo cp /etc/proftpd.desabled /etc/proftpd.conf'
と
ssh -t server 'sudo cp /etc/proftpd.enabled /etc/proftpd.conf'
を用意しとけばいいんだ！
君って、天才？
0941名無しさん＠お腹いっぱい。
2014/04/19(土) 02:45:44.17上手くいったでござる m(__)m
なんでSFTP使わないかって言うと、
たまに一般ユーザーにFTP開放しなくちゃいけないんだけど、
それだけのためにアカウント作りたくないし、
で、パスワードログインは当然無効にしてあるから。
で、使う時だけ俺がSSHでサーバにログインしてFTP開放してたんですよ
これで、コマンド行から一発だわ(笑)
0942名無しさん＠お腹いっぱい。
2014/04/19(土) 04:56:14.07WinSCPあたりのクライアントならマウスぽちぽちの人でも使えるだべ
0943名無しさん＠お腹いっぱい。
2014/04/19(土) 05:15:54.70lnで切り替える方が一般的だと思うが。
alternativesとかそのまま使えそうな気も。
それより、サービス自体止めちゃった方が。
そもそもrsyncでいい。
0944名無しさん＠お腹いっぱい。
2014/04/19(土) 08:15:17.64× desabled
○ disabled
コピーした後 proftpd をrestartする必要があるのでは
0945名無しさん＠お腹いっぱい。
2014/04/19(土) 11:22:10.98restartしなくても大丈夫
0946名無しさん＠お腹いっぱい。
2014/04/19(土) 11:27:49.010947名無しさん＠お腹いっぱい。
2014/04/19(土) 12:07:48.950948名無しさん＠お腹いっぱい。
2014/04/19(土) 12:10:41.65いやいや、
standalone だったらダメだけど、xinetd.d経由だったら大丈夫だろ
0949名無しさん＠お腹いっぱい。
2014/04/19(土) 12:12:40.960950名無しさん＠お腹いっぱい。
2014/04/19(土) 12:34:09.08なんでわかるの?
書いてないことはやってないなんて決め付けなら危険かも。
0951名無しさん＠お腹いっぱい。
2014/04/19(土) 13:26:22.98使うときだけFTPサーバーを立ち上げればいいんじゃないか？
0952名無しさん＠お腹いっぱい。
2014/04/19(土) 13:31:08.35うちは一般ユーザーにsftpを使ってもらってる。
初めての人にはWinSCPでの使い方を説明してる。
が、「puttygenで作った鍵ファイルがどこに保存されたか分からない」という問い合わせがちょいちょいある。
0953名無しさん＠お腹いっぱい。
2014/04/19(土) 14:49:02.21アスペかよ？
0954名無しさん＠お腹いっぱい。
2014/04/19(土) 14:50:11.83だからスタンドアロンじゃないっての分かるだろ？
0955名無しさん＠お腹いっぱい。
2014/04/19(土) 14:53:26.82なんで、「x」inetd経由だってわかるの？
inetd経由かも知れないのにそうじゃないって断定できる根拠は？
0956名無しさん＠お腹いっぱい。
2014/04/19(土) 15:11:11.65だからスタンドアロンにすれば、っていう提案。
0957名無しさん＠お腹いっぱい。
2014/04/19(土) 16:06:55.37わからないので教えて下さい。お願いします。
0958名無しさん＠お腹いっぱい。
2014/04/20(日) 09:21:32.73>>933 に書いてあるのは
・普段は Deny all の設定にしてある
・ftpを使う必要のあるときだけ sshで入ってこの行をコメントアウト
この二点だけだよね。
この二点のどこから「xinetd.d経由」と判断出来るの?
マジで分からんので是非教えてくれ。
0959名無しさん＠お腹いっぱい。
2014/04/20(日) 09:22:51.550960名無しさん＠お腹いっぱい。
2014/04/20(日) 10:07:24.960961名無しさん＠お腹いっぱい。
2014/04/20(日) 10:16:41.05アスペかよ(笑)
1. confファイルを書き換えるだけで制御してるって訳だからデーモンではない
2. 最近の(随分前から？)ディストリじゃ、xinetd が標準 (よりセキュアだから)
そんだけのことだろ？
アスペ君(笑)
0962名無しさん＠お腹いっぱい。
2014/04/20(日) 12:16:40.121. >>950
2. 個別の話をしているんだから、最近とか多いとか関係ない。
勘で言っておいて、それ以外をアスペって。
0963名無しさん＠お腹いっぱい。
2014/04/20(日) 13:58:55.26そういう痛い人なんだから、もう勘弁してあげなさいよ。
0964名無しさん＠お腹いっぱい。
2014/04/22(火) 18:24:29.64こんなとこで「なんで分かる」とか言い出したらキリがないが、やっぱ、そいつが書いてるみたいに普通に xinetd って発想になるだろ？
0965名無しさん＠お腹いっぱい。
2014/04/22(火) 18:31:37.51スーパーデーモン経由で sshd 使う意味ってあんのかな。
0966名無しさん＠お腹いっぱい。
2014/04/22(火) 18:41:29.18スーパーデーモン経由なのはproftpdだよ。
proftpd.confをsshで書き換えたあとproftpdのリスタートは必要ないのか？
→ xinetd経由だから必要ない
というのが話の発端
0967名無しさん＠お腹いっぱい。
2014/04/22(火) 19:02:48.86「スーパーデーモン経由かどうか」
「xinetd なのか inetd なのか」
という２つの話題が入り混じっているので話がまとまりにくいですね。
わざと混乱させてるんだとしたら、たちが悪いと思いますが。
0968名無しさん＠お腹いっぱい。
2014/04/22(火) 19:52:45.86あぁ、そうだった。すまん。
0969名無しさん＠お腹いっぱい。
2014/04/22(火) 23:07:17.00「スーパーデーモン経由で云々」
って書けば済んだものを
「xinetd経由で云々」
って書いたばっかりに
「inetd の可能性もあるだろ？」
とか突っこまれてしまった…
スーパーデーモンって書いても普通は誰でも xinetd 使ってるって思う訳だが
0970名無しさん＠お腹いっぱい。
2014/04/22(火) 23:36:12.11>スーパーデーモンって書いても普通は誰でも xinetd 使ってるって思う訳だが
いや、俺は今でも設定ファイルが簡単なinetdが好きで使ってるよ
0971名無しさん＠お腹いっぱい。
2014/04/23(水) 00:30:20.530972名無しさん＠お腹いっぱい。
2014/04/23(水) 13:25:13.41>>947
0973名無しさん＠お腹いっぱい。
2014/04/23(水) 14:06:27.550974名無しさん＠お腹いっぱい。
2014/04/24(木) 17:23:31.44このスレを?
それとも，UNIX板のSSHスレそのものを?
それとも・・・・UN・・・おや，誰か来たようだ．
0975名無しさん＠お腹いっぱい。
2014/04/24(木) 18:47:00.680976名無しさん＠お腹いっぱい。
2014/04/25(金) 06:54:50.03cshは古い、bshは当たり前？ じゃあashか？ ashより優れた sshにするか？
コンサートだとA席よりS席の方が上ですよね？
0977名無しさん＠お腹いっぱい。
2014/04/25(金) 08:26:26.130978名無しさん＠お腹いっぱい。
2014/04/25(金) 17:22:17.59いまだに代替手段がないもんね。
SSH様様だわ
0979名無しさん＠お腹いっぱい。
2014/04/25(金) 17:30:09.440980名無しさん＠お腹いっぱい。
2014/04/25(金) 17:32:10.43rshとかtelnetとかあったやん。
0981名無しさん＠お腹いっぱい。
2014/04/25(金) 17:33:21.47だからそれは非常時のね
普段そんなことしてる人はいないでしょ？
特殊な場合以外は
0982名無しさん＠お腹いっぱい。
2014/04/25(金) 17:34:25.83セキュアに使えたらいいんだよ、
SSHと同様以上に
0983名無しさん＠お腹いっぱい。
2014/04/25(金) 17:35:04.320984名無しさん＠お腹いっぱい。
2014/04/25(金) 17:36:13.40とか言うと「テキストベースじゃないと」とか言いだすんだろうな。
0985名無しさん＠お腹いっぱい。
2014/04/25(金) 17:37:30.360986名無しさん＠お腹いっぱい。
2014/04/25(金) 17:38:01.830987名無しさん＠お腹いっぱい。
2014/04/25(金) 17:38:38.43最初これだったのに。
0988名無しさん＠お腹いっぱい。
2014/04/25(金) 17:39:09.80VMCも実際は over ssh でしょ？
サーバーに繋ぐときは
0989名無しさん＠お腹いっぱい。
2014/04/25(金) 17:40:00.21だからセキュアじゃなかったらサーバーに繋げないじゃん（泣）
0990名無しさん＠お腹いっぱい。
2014/04/25(金) 17:42:35.960991名無しさん＠お腹いっぱい。
2014/04/25(金) 17:45:47.73それって冗談で言ってる？
プロトコルに SSH 使ってるんですけど…
0992名無しさん＠お腹いっぱい。
2014/04/25(金) 17:47:19.65それって冗談で言ってる？
0993名無しさん＠お腹いっぱい。
2014/04/25(金) 17:48:58.700994名無しさん＠お腹いっぱい。
2014/04/25(金) 17:50:47.740995名無しさん＠お腹いっぱい。
2014/04/25(金) 17:58:56.750996名無しさん＠お腹いっぱい。
2014/04/25(金) 18:08:10.97昔は平和だったのさ。
0997名無しさん＠お腹いっぱい。
2014/04/25(金) 18:10:22.050998名無しさん＠お腹いっぱい。
2014/04/25(金) 18:11:57.480999名無しさん＠お腹いっぱい。
2014/04/25(金) 18:13:28.351000名無しさん＠お腹いっぱい。
2014/04/25(金) 18:26:58.031001１００１
Over 1000Threadもう書けないので、新しいスレッドを立ててくださいです。。。
レス数が1000を超えています。これ以上書き込みはできません。