SSH その7

**名無しさん＠お腹いっぱい。** · 2010/02/16(火) 21:23:37

SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
　Part1：http://pc.2ch.net/unix/kako/976/976497035.html
　Part2：http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
　Part3：http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
　Part4：http://pc8.2ch.net/test/read.cgi/unix/1102242908/
　Part5：http://pc11.2ch.net/test/read.cgi/unix/1145484540/
　Part6：http://pc12.2ch.net/test/read.cgi/unix/1202782840/

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 02:51:28.68

それでいいよ。

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 11:01:33.13

>>639

> 公開鍵が書き換えられる状態だと、そのサーバのみ成りすまし可能、

そんな杜撰な管理のサーバならSSHサーバの改ざんもありうるよ。

パスワード認証のパスワードを抜き取る細工（同じパスワード使いまわしを期待して他のサーバのっとり）
→公開鍵認証に失敗してパスワード認証にフォールバックする設定で、うっかりパスワードを入力してしまったらアウト

中間者攻撃の細工
→ホスト鍵の認証失敗で気づけるけど、意味が分からず無視するような人はアウト

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 18:02:41.14

ログイン先が乗っ取られてたら、そこに公開鍵認証でログインを試みるのってヤバくない?

SSH2の認証ステップって(C:クライアント S:サーバー)
1 C=>S 公開鍵認証してよ。ユーザー名はコレで、公開鍵はこれ
2 S=>C その鍵OK。んじゃ、このデータDに署名してみ。
3 C=>S 署名した。どや。
4 S=>C 署名あってる。ログインさせたる。
こんな感じでしょ。

Sが乗っ取られてる場合にDは実は他のS'への認証情報だったりしない?
DにはセッションIDが入ってるけど、セッションIDの決定方法が良くわからない。

でも、ホスト鍵も盗まれてる状態だったら、S'へのログインを同時に
試みる事で、同一のセッションID生成できるよね。

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 18:07:17.61

>>639
公開鍵が盗まれると。他のサーバに対してその鍵が有効であるか確認できる。

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 18:46:50.83

>>642
「データDに署名」って
ttp://www14.plala.or.jp/campus-note/vine_linux/server_ssh/ssh_key.html
で言うとどこの話?

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 19:00:19.72

>>644
その解説はSSH2じゃない。下の方じゃSSH2で解説してるのに…
こういう古いゴミ情報をいつまでも公開すんなよ。

ssh1だけど、3で送るデータがSで生成したものではなく、S'から受け取った
ものだったらS'へログインできるようになるよね。

ssh2も似たような事が可能な気がする。

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 19:17:30.29

アウト

**名無しさん＠お腹いっぱい。** · 2012/09/15(土) 19:22:07.63

ああ、セッションID決定するのにSの公開鍵も使ってるのかも。
少なくともSSH1は禁止だね。

**名無しさん＠お腹いっぱい。** · 2012/09/17(月) 10:32:16.11

>>645
＞こういう古いゴミ情報をいつまでも公開すんなよ。
何年も前のスレが消えないUNIX板住人がそれを言う資格あるんだろうか

**名無しさん＠お腹いっぱい。** · 2012/09/17(月) 11:31:16.70

自分でいつでも消せる個人ページと
簡単には落とせない2chのスレでは話違うでしょ。

**名無しさん＠お腹いっぱい。** · 2012/09/17(月) 12:01:13.51

googleで1年以内の更新サイトのみ検索するようにしたほうが早い

**名無しさん＠お腹いっぱい。** · 2012/09/17(月) 14:00:02.16

古くても有用な情報はある。

**名無しさん＠お腹いっぱい。** · 2012/10/23(火) 11:42:43.03

sshがあったらVPNっていらないよね・・・

**名無しさん＠お腹いっぱい。** · 2012/10/23(火) 11:44:29.69

個人レベルの話だけど

**名無しさん＠お腹いっぱい。** · 2012/10/23(火) 12:01:41.49

用途によるね。

**名無しさん＠お腹いっぱい。** · 2012/10/28(日) 09:08:44.82

>>652
いちいちポート転送なんてやってられないよ
VPN 楽でいい

**名無しさん＠お腹いっぱい。** · 2012/10/29(月) 23:05:11.73

いちいち
って、繋ぐたびに毎回設定してるのか?
変わったやつだな

**名無しさん＠お腹いっぱい。** · 2012/10/30(火) 16:01:13.29

まずWindowsのリモートデスクトップに繋ぎます。

**名無しさん＠お腹いっぱい。** · 2012/12/03(月) 20:16:12.13

PermitEmptyPasswords って、鍵認証するならnoでも構わないんだな
パスワードなしにするのに必要かと思ってずっとyesにしてたわ

**名無しさん＠お腹いっぱい。** · 2012/12/11(火) 21:01:38.15

autosshさん便利すぎわらた

**名無しさん＠お腹いっぱい。** · 2012/12/13(木) 17:46:55.26

SSHによるポートフォワードを設定するんだけど
よく分かってない人に説明するときに面倒くさいから
VPNとか言っちゃってもうそにはならんよね？

**名無しさん＠お腹いっぱい。** · 2012/12/13(木) 17:52:39.18

第2層ができるわけじゃないから「ネットワーク」とは言いたくないな。
「簡易VPN」とか言っといた方がいいかもね。

**名無しさん＠お腹いっぱい。** · 2012/12/13(木) 17:54:36.30

あ、第3層と言うべきか。
IP通すわけじゃないよね。

**名無しさん＠お腹いっぱい。** · 2012/12/14(金) 17:27:34.01

ただ単にトンネルって言っても通じないものなの？

**名無しさん＠お腹いっぱい。** · 2012/12/14(金) 17:56:29.98

もう面倒くさいからトンネルで済ますわ

**名無しさん＠お腹いっぱい。** · 2012/12/15(土) 01:14:10.54

天井は落ちますか?

**名無しさん＠お腹いっぱい。** · 2012/12/15(土) 16:10:28.85

ふっ、ははははは！挟まっちまった！

**名無しさん＠お腹いっぱい。** · 2012/12/15(土) 18:11:33.63

その面はトンネルじゃないだろw

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 14:25:41.73

ポートフォワードの設定をしたんだけど、
これって同時接続最大数とか設定するところってある？

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 14:52:00.73

ない。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 14:56:39.03

「そう思うんならお前がパッチ書け」で終了

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:09:45.35

それおもしろくないからやめた方がいいよ。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:18:19.79

>>669
ありがとう。
同時に100本くらい接続する予定だったんだけど
大丈夫そうなので安心したわ。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:23:25.51

なんだ、同時接続最大数を(1個とかに)制限したいんじゃなかったのか

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:57:44.16

100セッションをシングルスレッドで暗号処理するのはつらくないか?
通信量にもよるが。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 22:21:39.87

同時に100本て何やる気だ
ほっといたら1000本10000本とか使いそうだなお前

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 22:32:32.94

100もセッション貼るアプリケーションって…
ネトゲか

**名無しさん＠お腹いっぱい。** · 2012/12/17(月) 19:35:31.32

>>675
1000本程度ならともかく、10000本はつらいよね

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:27:18.03

SSHで
リモートログインした先のシェルのカレントディレクトリのファイルを
接続元のローカルのプログラムで開くには、どういうやり方が良いのでしょう？

その逆は、割と楽なんだけど。
ssh ログイン先ホストコマンド
例えば、Vimだったら、
vim scp://ユーザ名@ホスト名/ホームディレクトリからの相対パス
でもっと便利にファイルを編集できたりするのだけど。

参考: http://news.mynavi.jp/articles/2011/01/24/vim-using-ssh/index.html

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:33:49.31

普通にsshfsでも使えば？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:38:35.54

>>678
え、逆も楽じゃないだろう

ssh リモートホスト -- リモートコマンドローカルファイル

でないと比較にならない

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:40:09.00

普通に元のマシンにssh host command arg
って感じでいいんじゃないすか

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:56:40.05

>>681
それ「その逆」になってないしｗリモートのviでリモートのファイル開くだけ。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 20:54:26.41

セグメンテーション違反がソースではなく、SSH経由に問題にあって発生
している場合　どうしたら実行できますか

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 21:05:46.67

>>683
セグメンテーション違反がソースではなくSSH経由に問題にあって発生していることを、
どのようにして調べたのですか？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:00:47.91

Ubuntu 質問スレから誘導されてきました。

Ubuntu Server 12.0.4.1 amd64 で自鯖を作っています。
このマシンに Internet 経由で LAN 外からアクセスしたいと思うのですが。
特定の MAC アドレスしか SSH でのリモートログインを受け付けないように
設定することって出来るんでしょうか？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:14:19.96

>>685
MACアドレスは簡単に偽装可能ですよ。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:17:58.38

偽装可能でもいいので、特定の MAC アドレスしか受け付けないように
設定することって出来るんでしょうか？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:21:36.54

>>687
はい。できます。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:32:39.20

SSHの設定っていうより、
iptablesで特定のMACアドレスからの特定ポートへのアクセスをドロップするとかでいいのかな

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:33:17.84

インターネット越しにMACアドレスかよ。
直近のルーターのMACアドレスが付いて中継されるだけだろｗ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:35:48.41

http://engawa.2ch.net/test/read.cgi/linux/1353370139/737
737 ：login:Penguin：2012/12/22(土) 22:07:04.26 ID:jz2+65Mg
>>736
てか直前のルータのMACアドレスに書き換えられるから、
インターネットでのMACアドレス制限は無意味だよ。
LAN内ならともかく。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:36:34.92

じゃあそのルーターのmacアドレスで制限すれば最強じゃね

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:37:00.15

ああ、LAN内までグローバルアドレスになってなってないと、たぶんダメだな

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:41:08.72

MACでの制限にどれほどの意味があるかは別として
ここまでまともな回答がないのがすごいな
unko@benki:~$ iptables -m mac （ｒｙ
で解決するじゃん
まぁ俺もまともには書かないわけだが

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:51:03.54

Internet経由でLAN外からか。サーバのあるLAN側だけじゃなくて、
発信する側の接続環境でもクライアントのMACアドレスはIPパケットからは落ちちゃうだろうなｗ
TCPパケットにはMACアドレスなんて保存されてないし、
可能性としてはSSHのレイヤーでMACアドレスを保存してたらできる？ｗ
でもそんなの保存してないよねｗ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:56:35.75

>>695
お前さあ
別スレから粘着して同じようなことばっかり書いて他人を蔑む暇があったら
公開鍵使うとか代替案でも提供してやれば？
もちろん俺はやらないけど

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:59:28.62

ｗの人うざー

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:00:23.70

ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:01:33.50

>>694

> unko@benki:~$ iptables -m mac （ｒｙ
> で解決するじゃん

え？…

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:05:41.03

>>699

>え？…

え？…

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:08:49.88

。とｗにはろくなのがいない
これ常識

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:13:57.45

アカウント名を00-11-22-33-44-55のようなMACアドレスにして
sshd_configに
DenyUsers 00-11-22-33-44-55 xx-xx-xx-xx-xx-xx ...

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:16:36.72

有効なMACアドレス用アカウントの鍵やパスワードが漏洩したら
無効なMACアドレスを持つクライアントからログインできるからダメだな

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:17:32.46

↑ネタにマジレス

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:24:02.69

質問者が偽装可能でもいいって言ってるんだから、ユーザー名を長くするって回答でいいだろ？

>>691の元の書き込み見る限り
＞ピンポイントで当たることなんか、物凄い低い確率だと思うんですが。
とか言ってるし、ユーザ名も長くすればピンポイントで当たることなんて物凄い低い確率だ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:37:13.80

>>704
すまん>>702=>>703=>>706なんだわ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:52:58.02

>>685
google≒okwave系＜＜＜＜＜越えられない壁＝得られない回答＜＜＜＜＜＜＜＜＜２ｃｈ

大切なことだからノートにメモしておけよ

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 00:04:27.76

ユーザ名を長くするくらいなら鍵長をでかくする方がましだろうと思うが、
そうではなくて質問主はクライアントデバイスを識別したいのだろう。
ユーザ名と鍵ファイルが盗まれてもデバイス固有の認証で防御したいのかと。

クライアントデバイスに隣接するブロードバンドルーターやアクセスポイントの
ファイアウォール設定ではじくしかないんじゃない？

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 00:08:34.01

もう質問者本人は見てないだろうから
。さん（＝ｗさん）も寝ればいいんじゃない？

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 10:23:41.39

L2、L3がごちゃ混ぜで笑った。

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 10:29:49.46

>>699
>>694って、どこのMACアドレス指定して制限かけるつもりなんだろうね

>>692で制限したら外からのアクセス全部制限するのと同じだから、
そんなのIPレベルでフィルタリングしろって話だ

まあ>>691の話が理解できていないバカなんだろうけど

偽装可能でいいなら、IPv6使うようにして、IPv6アドレスはNDPで生成させる
IPv6アドレスにMACアドレスが埋め込まれる(一部bit反転したり、fffeが入ったりするが)ので、
それを元にIPv6アドレスでフィルタリングするって手もあるかも
prefix部分がころころ変わるとめんどくさいかもしれないが

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 12:50:03.76

にゃるほど。
v6になればMACアドレスを元にベンダーを制限することができるかもね。

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 13:29:46.46

>>712
NDPを素直に使っている限りはね

http://takagi-hiromitsu.jp/diary/20080730.html
な話もあるし、IPv6アドレスを手動で振られたらダメなので、その辺は考慮する必要があるけど
ま、その辺のスキルがあるやつはMACアドレスの変え方くらい知ってるだろう

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 18:56:49.78

普通は、デフォルトでtemporary addressだから無理。

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 00:02:09.82

ICカード認証にすればカードそのものが盗まれない限り安心なんじゃないの？

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 10:59:36.42

挿しっぱにしとくとssh agent経由で不正に使われる可能性がある。

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 21:05:44.94

>まあ>>691の話が理解できていないバカなんだろうけど
だからネタにマジレスするお前のほうがバカだと何度言っ（ｒｙ

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 22:59:42.63

>>711 みたいな奴は技術畑に多い典型的な技術バカだね。
本当にアタマが悪い感じがする。ちょっと可哀想。というよりちょっと哀れ。

**名無しさん＠お腹いっぱい。** · 2012/12/25(火) 00:29:45.66

MACアドレスが使われる範囲が分かっていない人は、極一部だけと思われる。

**名無しさん＠お腹いっぱい。** · 2012/12/25(火) 07:37:04.34

>>718
知識をひけらかすために訊かれてもいないことを
自慢げに長文で垂れ流す奴って例外なくバカだよな
技術バカというよりただのバカ

**名無しさん＠お腹いっぱい。** · 2012/12/25(火) 07:46:32.55

覚えたての知識は誰かに自慢したくなるものさ
それが消防というものだ

**名無しさん＠お腹いっぱい。** · 2012/12/27(木) 14:15:39.44

何でこんな糞ネタに2,3日も置いてレスしてんだろう?w
冬休みが始まったからか

**名無しさん＠お腹いっぱい。** · 2012/12/27(木) 14:57:54.75

721 ：名無しさん＠お腹いっぱい。：2012/12/25(火) 07:46:32.55
722 ：名無しさん＠お腹いっぱい。：2012/12/27(木) 14:15:39.44

**名無しさん＠お腹いっぱい。** · 2012/12/29(土) 16:11:01.51

>>718
教えてもらえない自分が一番哀れなんじゃね？

**名無しさん＠お腹いっぱい。** · 2013/01/10(木) 17:38:14.92

最近ちらほら mosh の話題を見かけるので入れてみたらすごい便利
ノーパソ常用なので、ログインし直しがなくなっただけでも何か嬉しい
ここの人ならもう知ってるだろうけど
Mobile Shell - ttp://mosh.mit.edu

**名無しさん＠お腹いっぱい。** · 2013/01/11(金) 01:06:19.88

Emacs 使いの人には何が新しいのかよくわからない

**名無しさん＠お腹いっぱい。** · 2013/01/11(金) 11:20:02.06

Emacs使い…というほど使い込んではいないけど、見た感じでは
便利そうではあるかも。

動作にroot権限が必要ないのはとても良いけど、ルータのポートを
空けないといけないのでは、結局自分が管理するサーバ以外では
使えそうにないけど。

そういう意味では、ssh + screen + Emacsを完全に置き換えるのは
自分の場合は無理かな？

とりあえずSolarisで動くのかは知らんけど、後で試してみよう。

**名無しさん＠お腹いっぱい。** · 2013/01/11(金) 11:37:18.48

Emacs lispをシコシコ編集しなくても勝手に再接続してくれる。あと遠いホストでももたつかない。とか。

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 02:42:17.34

iOS用クライアント出たら導入検討するつもりだったのに結局出ないの？

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 03:55:33.41

とっくに出てるじゃない。

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 04:04:25.00

あ、ほんとだ、iSSHの有料オプションにMosh Compatibilityってあった。

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 12:43:43.56

認証や起動にsshを利用してるということは
少なくとも現状では完全な「置き換え」にはならんよな
併用だ

そのうち認証とかも自前でやるようになるのかな?
でもそれだと常駐しっぱなしか inetd とか使うことになっちゃうか

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 14:20:44.58

mobile のための ssh がコンセプトなので、置き換えという方向には行かないんじゃないかと思う

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 19:43:13.54

>>733
いや >>725の公式サイトに Mosh is a replacement for SSH.
と堂々と書いてあるんだよ

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 21:00:45.23

自前で認証やらずにsshを使ってるところが賢明なとこだと思うけど

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 21:06:27.57

>>734
おおっと、でっかく書いてあった。SSPしか見えてなかったですｗ

**名無しさん＠お腹いっぱい。** · 2013/01/13(日) 09:01:52.17

moshって、でかいテキストをcatしたら最後の部分しか送ってこなくね？
ローカルでスクロールバックしても前が見れなくて困った気がした

**名無しさん＠お腹いっぱい。** · 2013/01/13(日) 09:21:37.26

画面に表示するとこだけを転送するってプロトコルなんだから当然そうなるだろ
サーバ側でスクロールバックさせろよ

**名無しさん＠お腹いっぱい。** · 2013/01/14(月) 13:33:19.69

mosh-1.3からスクロールバックに対応するとか書いてあるな