SSH その7

**名無しさん＠お腹いっぱい。** · 2010/02/16(火) 21:23:37

SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
　Part1：http://pc.2ch.net/unix/kako/976/976497035.html
　Part2：http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
　Part3：http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
　Part4：http://pc8.2ch.net/test/read.cgi/unix/1102242908/
　Part5：http://pc11.2ch.net/test/read.cgi/unix/1145484540/
　Part6：http://pc12.2ch.net/test/read.cgi/unix/1202782840/

**名無しさん＠お腹いっぱい。** · 2012/12/15(土) 01:14:10.54

天井は落ちますか?

**名無しさん＠お腹いっぱい。** · 2012/12/15(土) 16:10:28.85

ふっ、ははははは！挟まっちまった！

**名無しさん＠お腹いっぱい。** · 2012/12/15(土) 18:11:33.63

その面はトンネルじゃないだろw

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 14:25:41.73

ポートフォワードの設定をしたんだけど、
これって同時接続最大数とか設定するところってある？

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 14:52:00.73

ない。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 14:56:39.03

「そう思うんならお前がパッチ書け」で終了

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:09:45.35

それおもしろくないからやめた方がいいよ。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:18:19.79

>>669
ありがとう。
同時に100本くらい接続する予定だったんだけど
大丈夫そうなので安心したわ。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:23:25.51

なんだ、同時接続最大数を(1個とかに)制限したいんじゃなかったのか

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 18:57:44.16

100セッションをシングルスレッドで暗号処理するのはつらくないか?
通信量にもよるが。

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 22:21:39.87

同時に100本て何やる気だ
ほっといたら1000本10000本とか使いそうだなお前

**名無しさん＠お腹いっぱい。** · 2012/12/16(日) 22:32:32.94

100もセッション貼るアプリケーションって…
ネトゲか

**名無しさん＠お腹いっぱい。** · 2012/12/17(月) 19:35:31.32

>>675
1000本程度ならともかく、10000本はつらいよね

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:27:18.03

SSHで
リモートログインした先のシェルのカレントディレクトリのファイルを
接続元のローカルのプログラムで開くには、どういうやり方が良いのでしょう？

その逆は、割と楽なんだけど。
ssh ログイン先ホストコマンド
例えば、Vimだったら、
vim scp://ユーザ名@ホスト名/ホームディレクトリからの相対パス
でもっと便利にファイルを編集できたりするのだけど。

参考: http://news.mynavi.jp/articles/2011/01/24/vim-using-ssh/index.html

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:33:49.31

普通にsshfsでも使えば？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:38:35.54

>>678
え、逆も楽じゃないだろう

ssh リモートホスト -- リモートコマンドローカルファイル

でないと比較にならない

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:40:09.00

普通に元のマシンにssh host command arg
って感じでいいんじゃないすか

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 18:56:40.05

>>681
それ「その逆」になってないしｗリモートのviでリモートのファイル開くだけ。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 20:54:26.41

セグメンテーション違反がソースではなく、SSH経由に問題にあって発生
している場合　どうしたら実行できますか

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 21:05:46.67

>>683
セグメンテーション違反がソースではなくSSH経由に問題にあって発生していることを、
どのようにして調べたのですか？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:00:47.91

Ubuntu 質問スレから誘導されてきました。

Ubuntu Server 12.0.4.1 amd64 で自鯖を作っています。
このマシンに Internet 経由で LAN 外からアクセスしたいと思うのですが。
特定の MAC アドレスしか SSH でのリモートログインを受け付けないように
設定することって出来るんでしょうか？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:14:19.96

>>685
MACアドレスは簡単に偽装可能ですよ。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:17:58.38

偽装可能でもいいので、特定の MAC アドレスしか受け付けないように
設定することって出来るんでしょうか？

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:21:36.54

>>687
はい。できます。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:32:39.20

SSHの設定っていうより、
iptablesで特定のMACアドレスからの特定ポートへのアクセスをドロップするとかでいいのかな

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:33:17.84

インターネット越しにMACアドレスかよ。
直近のルーターのMACアドレスが付いて中継されるだけだろｗ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:35:48.41

http://engawa.2ch.net/test/read.cgi/linux/1353370139/737
737 ：login:Penguin：2012/12/22(土) 22:07:04.26 ID:jz2+65Mg
>>736
てか直前のルータのMACアドレスに書き換えられるから、
インターネットでのMACアドレス制限は無意味だよ。
LAN内ならともかく。

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:36:34.92

じゃあそのルーターのmacアドレスで制限すれば最強じゃね

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:37:00.15

ああ、LAN内までグローバルアドレスになってなってないと、たぶんダメだな

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:41:08.72

MACでの制限にどれほどの意味があるかは別として
ここまでまともな回答がないのがすごいな
unko@benki:~$ iptables -m mac （ｒｙ
で解決するじゃん
まぁ俺もまともには書かないわけだが

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:51:03.54

Internet経由でLAN外からか。サーバのあるLAN側だけじゃなくて、
発信する側の接続環境でもクライアントのMACアドレスはIPパケットからは落ちちゃうだろうなｗ
TCPパケットにはMACアドレスなんて保存されてないし、
可能性としてはSSHのレイヤーでMACアドレスを保存してたらできる？ｗ
でもそんなの保存してないよねｗ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:56:35.75

>>695
お前さあ
別スレから粘着して同じようなことばっかり書いて他人を蔑む暇があったら
公開鍵使うとか代替案でも提供してやれば？
もちろん俺はやらないけど

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 22:59:28.62

ｗの人うざー

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:00:23.70

ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:01:33.50

>>694

> unko@benki:~$ iptables -m mac （ｒｙ
> で解決するじゃん

え？…

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:05:41.03

>>699

>え？…

え？…

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:08:49.88

。とｗにはろくなのがいない
これ常識

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:13:57.45

アカウント名を00-11-22-33-44-55のようなMACアドレスにして
sshd_configに
DenyUsers 00-11-22-33-44-55 xx-xx-xx-xx-xx-xx ...

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:16:36.72

有効なMACアドレス用アカウントの鍵やパスワードが漏洩したら
無効なMACアドレスを持つクライアントからログインできるからダメだな

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:17:32.46

↑ネタにマジレス

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:24:02.69

質問者が偽装可能でもいいって言ってるんだから、ユーザー名を長くするって回答でいいだろ？

>>691の元の書き込み見る限り
＞ピンポイントで当たることなんか、物凄い低い確率だと思うんですが。
とか言ってるし、ユーザ名も長くすればピンポイントで当たることなんて物凄い低い確率だ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:37:13.80

>>704
すまん>>702=>>703=>>706なんだわ

**名無しさん＠お腹いっぱい。** · 2012/12/22(土) 23:52:58.02

>>685
google≒okwave系＜＜＜＜＜越えられない壁＝得られない回答＜＜＜＜＜＜＜＜＜２ｃｈ

大切なことだからノートにメモしておけよ

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 00:04:27.76

ユーザ名を長くするくらいなら鍵長をでかくする方がましだろうと思うが、
そうではなくて質問主はクライアントデバイスを識別したいのだろう。
ユーザ名と鍵ファイルが盗まれてもデバイス固有の認証で防御したいのかと。

クライアントデバイスに隣接するブロードバンドルーターやアクセスポイントの
ファイアウォール設定ではじくしかないんじゃない？

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 00:08:34.01

もう質問者本人は見てないだろうから
。さん（＝ｗさん）も寝ればいいんじゃない？

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 10:23:41.39

L2、L3がごちゃ混ぜで笑った。

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 10:29:49.46

>>699
>>694って、どこのMACアドレス指定して制限かけるつもりなんだろうね

>>692で制限したら外からのアクセス全部制限するのと同じだから、
そんなのIPレベルでフィルタリングしろって話だ

まあ>>691の話が理解できていないバカなんだろうけど

偽装可能でいいなら、IPv6使うようにして、IPv6アドレスはNDPで生成させる
IPv6アドレスにMACアドレスが埋め込まれる(一部bit反転したり、fffeが入ったりするが)ので、
それを元にIPv6アドレスでフィルタリングするって手もあるかも
prefix部分がころころ変わるとめんどくさいかもしれないが

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 12:50:03.76

にゃるほど。
v6になればMACアドレスを元にベンダーを制限することができるかもね。

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 13:29:46.46

>>712
NDPを素直に使っている限りはね

http://takagi-hiromitsu.jp/diary/20080730.html
な話もあるし、IPv6アドレスを手動で振られたらダメなので、その辺は考慮する必要があるけど
ま、その辺のスキルがあるやつはMACアドレスの変え方くらい知ってるだろう

**名無しさん＠お腹いっぱい。** · 2012/12/23(日) 18:56:49.78

普通は、デフォルトでtemporary addressだから無理。

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 00:02:09.82

ICカード認証にすればカードそのものが盗まれない限り安心なんじゃないの？

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 10:59:36.42

挿しっぱにしとくとssh agent経由で不正に使われる可能性がある。

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 21:05:44.94

>まあ>>691の話が理解できていないバカなんだろうけど
だからネタにマジレスするお前のほうがバカだと何度言っ（ｒｙ

**名無しさん＠お腹いっぱい。** · 2012/12/24(月) 22:59:42.63

>>711 みたいな奴は技術畑に多い典型的な技術バカだね。
本当にアタマが悪い感じがする。ちょっと可哀想。というよりちょっと哀れ。

**名無しさん＠お腹いっぱい。** · 2012/12/25(火) 00:29:45.66

MACアドレスが使われる範囲が分かっていない人は、極一部だけと思われる。

**名無しさん＠お腹いっぱい。** · 2012/12/25(火) 07:37:04.34

>>718
知識をひけらかすために訊かれてもいないことを
自慢げに長文で垂れ流す奴って例外なくバカだよな
技術バカというよりただのバカ

**名無しさん＠お腹いっぱい。** · 2012/12/25(火) 07:46:32.55

覚えたての知識は誰かに自慢したくなるものさ
それが消防というものだ

**名無しさん＠お腹いっぱい。** · 2012/12/27(木) 14:15:39.44

何でこんな糞ネタに2,3日も置いてレスしてんだろう?w
冬休みが始まったからか

**名無しさん＠お腹いっぱい。** · 2012/12/27(木) 14:57:54.75

721 ：名無しさん＠お腹いっぱい。：2012/12/25(火) 07:46:32.55
722 ：名無しさん＠お腹いっぱい。：2012/12/27(木) 14:15:39.44

**名無しさん＠お腹いっぱい。** · 2012/12/29(土) 16:11:01.51

>>718
教えてもらえない自分が一番哀れなんじゃね？

**名無しさん＠お腹いっぱい。** · 2013/01/10(木) 17:38:14.92

最近ちらほら mosh の話題を見かけるので入れてみたらすごい便利
ノーパソ常用なので、ログインし直しがなくなっただけでも何か嬉しい
ここの人ならもう知ってるだろうけど
Mobile Shell - ttp://mosh.mit.edu

**名無しさん＠お腹いっぱい。** · 2013/01/11(金) 01:06:19.88

Emacs 使いの人には何が新しいのかよくわからない

**名無しさん＠お腹いっぱい。** · 2013/01/11(金) 11:20:02.06

Emacs使い…というほど使い込んではいないけど、見た感じでは
便利そうではあるかも。

動作にroot権限が必要ないのはとても良いけど、ルータのポートを
空けないといけないのでは、結局自分が管理するサーバ以外では
使えそうにないけど。

そういう意味では、ssh + screen + Emacsを完全に置き換えるのは
自分の場合は無理かな？

とりあえずSolarisで動くのかは知らんけど、後で試してみよう。

**名無しさん＠お腹いっぱい。** · 2013/01/11(金) 11:37:18.48

Emacs lispをシコシコ編集しなくても勝手に再接続してくれる。あと遠いホストでももたつかない。とか。

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 02:42:17.34

iOS用クライアント出たら導入検討するつもりだったのに結局出ないの？

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 03:55:33.41

とっくに出てるじゃない。

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 04:04:25.00

あ、ほんとだ、iSSHの有料オプションにMosh Compatibilityってあった。

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 12:43:43.56

認証や起動にsshを利用してるということは
少なくとも現状では完全な「置き換え」にはならんよな
併用だ

そのうち認証とかも自前でやるようになるのかな?
でもそれだと常駐しっぱなしか inetd とか使うことになっちゃうか

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 14:20:44.58

mobile のための ssh がコンセプトなので、置き換えという方向には行かないんじゃないかと思う

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 19:43:13.54

>>733
いや >>725の公式サイトに Mosh is a replacement for SSH.
と堂々と書いてあるんだよ

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 21:00:45.23

自前で認証やらずにsshを使ってるところが賢明なとこだと思うけど

**名無しさん＠お腹いっぱい。** · 2013/01/12(土) 21:06:27.57

>>734
おおっと、でっかく書いてあった。SSPしか見えてなかったですｗ

**名無しさん＠お腹いっぱい。** · 2013/01/13(日) 09:01:52.17

moshって、でかいテキストをcatしたら最後の部分しか送ってこなくね？
ローカルでスクロールバックしても前が見れなくて困った気がした

**名無しさん＠お腹いっぱい。** · 2013/01/13(日) 09:21:37.26

画面に表示するとこだけを転送するってプロトコルなんだから当然そうなるだろ
サーバ側でスクロールバックさせろよ

**名無しさん＠お腹いっぱい。** · 2013/01/14(月) 13:33:19.69

mosh-1.3からスクロールバックに対応するとか書いてあるな

**名無しさん＠お腹いっぱい。** · 2013/01/14(月) 21:18:55.32

　　　　　　☆ ﾁﾝ　　　　　ﾏﾁｸﾀﾋﾞﾚﾀ～
　　　　　　　　　　　　　　　　　　　　　　　　ﾏﾁｸﾀﾋﾞﾚﾀ～
　　　　 ☆　ﾁﾝ　　〃　 ∧＿∧　　　／￣￣￣￣￣￣￣￣￣￣￣￣￣
　　　　　ヽ　＿＿_＼（＼・∀・）　＜　Mosh 1.3まだ～？
　　　　　　＼＿／⊂　⊂＿ )　　＼＿＿＿＿＿＿＿＿＿＿＿＿＿
　　　　　／￣￣￣￣￣￣／|
　　　　　　　|￣￣￣￣￣￣￣|　 |
　　　　　　　|　　愛媛みかん　|／

**名無しさん＠お腹いっぱい。** · 2013/01/15(火) 11:19:11.79

windowsから接続するにはどうすればいいの？

**名無しさん＠お腹いっぱい。** · 2013/01/15(火) 11:36:48.33

PuTTY とか TeraTerm とかを使う。

**名無しさん＠お腹いっぱい。** · 2013/01/15(火) 14:22:36.97

>>741
mosh のことなら、Cygwin使うしか方法はないです。

**名無しさん＠お腹いっぱい。** · 2013/01/15(火) 20:16:11.40

ありがとうございます。試してみます。
開発用じゃないただの端末でもCygwin必須というのはちょっと敷居が上がりますね。

**名無しさん＠お腹いっぱい。** · 2013/01/20(日) 09:39:46.45

Windowsで動かしてみるかとちょっと覗いてみたらGPL V3なんで捨て。
リファレンス実装がGPL V3なんてありえねー。

**名無しさん＠お腹いっぱい。** · 2013/01/20(日) 15:49:07.41

>>745「改造してクローズドソースで売りたかったのに～」

**名無しさん＠お腹いっぱい。** · 2013/01/20(日) 23:31:05.47

「リファレンス実装」の意味わかってんのかな。

**名無しさん＠お腹いっぱい。** · 2013/01/21(月) 00:14:22.73

リファレンスだから、GPLv3なんだろjk
まあそのうち、Theoが、OpenMoshを立ち上げてくれるだろうさｗ

**名無しさん＠お腹いっぱい。** · 2013/01/21(月) 11:39:02.72

>>748
非GPLで作るときに面倒くさいじゃん
せめてBSDにしてくれよ

**名無しさん＠お腹いっぱい。** · 2013/01/21(月) 11:57:03.08

リファレンス実装ってコードをパクってフォークする元、って意味じゃねーぞ。

**名無しさん＠お腹いっぱい。** · 2013/01/21(月) 14:04:46.04

>>750
まあ確かに>>749 みたいな発想の人間がプロプラには多いよな。TCP/IPネットワーク周りはほとんどBSDのコピーもんばっか。
バグまでコピーしてたな。

**名無しさん＠お腹いっぱい。** · 2013/01/21(月) 21:40:18.76

これってprotocol buffers使ったRPCで実装されてる。
.protoにはGPL表示が無いけど、トップディレクトリにあるから信用できない。
.protoに著作権主張するつもりだろうか。RMSは.hには権利があると言ってたよね。

**名無しさん＠お腹いっぱい。** · 2013/01/22(火) 08:15:10.68

>>752
逆。rmsはAPIに著作権はないといっている。.hも同じく。

**名無しさん＠お腹いっぱい。** · 2013/01/22(火) 10:52:45.65

>>749
その面倒くさいことをやってくれた人達に敬意を払えということだろう。
ソースを公開するのもめんどくさい、GPLのライセンスを守るのも嫌だという
ことであれば、多くの先人達がそうして来たように、自分で非GPLなコード
を書けばいいだけ。

**名無しさん＠お腹いっぱい。** · 2013/01/22(火) 11:53:33.78

>>753
じゃ、なんで.hにCopyleft書いてあるんだよ。

**名無しさん＠お腹いっぱい。** · 2013/01/22(火) 22:48:17.32

.h に著作権で保護されることと、 APIに著作権は及ばないことは別の問題。

日本国著作権法でプログラム言語の著作権は及ばなかったり、
アメリカのOracle対Google訴訟でOracleの主張が認められなくても、
gccやJDKには著作権で保護されるでしょ?

**名無しさん＠お腹いっぱい。** · 2013/01/23(水) 08:27:56.44

http://linux.slashdot.org/story/11/03/20/1529238/rms-on-header-files-and-derivative-works
これでも読めよ。

**名無しさん＠お腹いっぱい。** · 2013/01/23(水) 21:56:44.08

http://www.gnu.org/licenses/gpl-faq.ja.html#MereAggregation
> モジュールが同じ実行ファイルに含まれている場合、それらは言うまでもなく
> 一つのプログラムに結合されています。もしモジュールが共有アドレス空間で
> いっしょにリンクされて実行されるよう設計されているならば、それらが一つ
> のプログラムに結合されているのはほぼ間違いないでしょう。
APIでダイナミックライブラリで結合してもアウトって言ってるじゃん。

> 複雑な内部データ構造を交換したりする場合は、それらも二つの部分がより大規模な
> プログラムに結合されていると考える基準となりうるでしょう。
データ構造にも権利を主張すると。

**名無しさん＠お腹いっぱい。** · 2013/01/23(水) 22:39:33.61

>758
>APIでダイナミックライブラリで結合してもアウトって言ってるじゃん。
System library に対する例外規定はあるけどな。
http://www.gnu.org/licenses/gpl-faq.html#WritingFSWithNFLibs

>データ構造にも権利を主張すると。
いやいやいやいや。
結合の判断基準に使っているだけだ。
仮に第3者(例えばさらに別のライブラリ)によって規定されたデータ構造をやりとりしていたとしても、
結合しているとみなされる訳で立場によってはより悪いとも言えるかもしれないが。

**名無しさん＠お腹いっぱい。** · 2013/01/23(水) 23:02:32.01

> System library に対する例外規定はあるけどな。
これ許さないとバイナリ配布が不可能だから、自分の都合で緩めてるだけでしょ。

http://www.gnu.org/licenses/gpl-faq.html#GPLAndPlugins
fork,execはOKだけどファンクションコール(API)はGPLが感染するというのがこれまでの主張。

**名無しさん＠お腹いっぱい。** · 2013/01/24(木) 08:48:21.24

include fileを使っただけで中身は自力で実装した場合の話を
してたんとちゃうの?

そりゃGPLedなライブラリまでリンクしたらアウトだろう。staticでも
sharedでも。

**名無しさん＠お腹いっぱい。** · 2013/02/08(金) 14:08:45.63

初心者質問
Linuxの/etc/sshディレクトリ内に、ssh_host_rsa_key ssh_host_rsa_key.pub
ってのがあるけど、これは何？
公開鍵なら、このパスフレーズは？

**名無しさん＠お腹いっぱい。** · 2013/02/08(金) 14:24:23.00

ホスト鍵。
ない。

**名無しさん＠お腹いっぱい。** · 2013/02/08(金) 20:27:19.62

記憶も無いのにパスフレーズ設定されてたらいきなり詰むだろ