トップページunix
1001コメント300KB

SSH その7

■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん@お腹いっぱい。2010/02/16(火) 21:23:37
SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
 Part1:http://pc.2ch.net/unix/kako/976/976497035.html
 Part2:http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
 Part3:http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
 Part4:http://pc8.2ch.net/test/read.cgi/unix/1102242908/
 Part5:http://pc11.2ch.net/test/read.cgi/unix/1145484540/
 Part6:http://pc12.2ch.net/test/read.cgi/unix/1202782840/
0686名無しさん@お腹いっぱい。2012/12/22(土) 22:14:19.96
>>685
MACアドレスは簡単に偽装可能ですよ。
0687名無しさん@お腹いっぱい。2012/12/22(土) 22:17:58.38
偽装可能でもいいので、特定の MAC アドレスしか受け付けないように
設定することって出来るんでしょうか?
0688名無しさん@お腹いっぱい。2012/12/22(土) 22:21:36.54
>>687
はい。できます。
0689名無しさん@お腹いっぱい。2012/12/22(土) 22:32:39.20
SSHの設定っていうより、
iptablesで特定のMACアドレスからの特定ポートへのアクセスをドロップするとかでいいのかな
0690名無しさん@お腹いっぱい。2012/12/22(土) 22:33:17.84
インターネット越しにMACアドレスかよ。
直近のルーターのMACアドレスが付いて中継されるだけだろw
0691名無しさん@お腹いっぱい。2012/12/22(土) 22:35:48.41
http://engawa.2ch.net/test/read.cgi/linux/1353370139/737
737 :login:Penguin:2012/12/22(土) 22:07:04.26 ID:jz2+65Mg
>>736
てか直前のルータのMACアドレスに書き換えられるから、
インターネットでのMACアドレス制限は無意味だよ。
LAN内ならともかく。
0692名無しさん@お腹いっぱい。2012/12/22(土) 22:36:34.92
じゃあそのルーターのmacアドレスで制限すれば最強じゃね
0693名無しさん@お腹いっぱい。2012/12/22(土) 22:37:00.15
ああ、LAN内までグローバルアドレスになってなってないと、たぶんダメだな
0694名無しさん@お腹いっぱい。2012/12/22(土) 22:41:08.72
MACでの制限にどれほどの意味があるかは別として
ここまでまともな回答がないのがすごいな
unko@benki:~$ iptables -m mac (ry
で解決するじゃん
まぁ俺もまともには書かないわけだが
0695名無しさん@お腹いっぱい。2012/12/22(土) 22:51:03.54
Internet経由でLAN外からか。サーバのあるLAN側だけじゃなくて、
発信する側の接続環境でもクライアントのMACアドレスはIPパケットからは落ちちゃうだろうなw
TCPパケットにはMACアドレスなんて保存されてないし、
可能性としてはSSHのレイヤーでMACアドレスを保存してたらできる?w
でもそんなの保存してないよねw
0696名無しさん@お腹いっぱい。2012/12/22(土) 22:56:35.75
>>695
お前さあ
別スレから粘着して同じようなことばっかり書いて他人を蔑む暇があったら
公開鍵使うとか代替案でも提供してやれば?
もちろん俺はやらないけど
0697名無しさん@お腹いっぱい。2012/12/22(土) 22:59:28.62
wの人うざー
0698名無しさん@お腹いっぱい。2012/12/22(土) 23:00:23.70
wwwwwwwwwwwwwwwwwwwwwwwwwwww
0699名無しさん@お腹いっぱい。2012/12/22(土) 23:01:33.50
>>694

> unko@benki:~$ iptables -m mac (ry
> で解決するじゃん

え?…
0700名無しさん@お腹いっぱい。2012/12/22(土) 23:05:41.03
>>699

>え?…

え?…
0701名無しさん@お腹いっぱい。2012/12/22(土) 23:08:49.88
。とwにはろくなのがいない
これ常識
0702名無しさん@お腹いっぱい。2012/12/22(土) 23:13:57.45
アカウント名を00-11-22-33-44-55のようなMACアドレスにして
sshd_configに
DenyUsers 00-11-22-33-44-55 xx-xx-xx-xx-xx-xx ...
0703名無しさん@お腹いっぱい。2012/12/22(土) 23:16:36.72
有効なMACアドレス用アカウントの鍵やパスワードが漏洩したら
無効なMACアドレスを持つクライアントからログインできるからダメだな
0704名無しさん@お腹いっぱい。2012/12/22(土) 23:17:32.46
↑ネタにマジレス
0705名無しさん@お腹いっぱい。2012/12/22(土) 23:24:02.69
質問者が偽装可能でもいいって言ってるんだから、ユーザー名を長くするって回答でいいだろ?

>>691の元の書き込み見る限り
>ピンポイントで当たることなんか、物凄い低い確率だと思うんですが。
とか言ってるし、ユーザ名も長くすればピンポイントで当たることなんて物凄い低い確率だ
0706名無しさん@お腹いっぱい。2012/12/22(土) 23:37:13.80
>>704
すまん>>702=>>703=>>706なんだわ
0707名無しさん@お腹いっぱい。2012/12/22(土) 23:52:58.02
>>685
google≒okwave系 <<<<<越えられない壁=得られない回答<<<<<<<<<2ch

大切なことだからノートにメモしておけよ
0708名無しさん@お腹いっぱい。2012/12/23(日) 00:04:27.76
ユーザ名を長くするくらいなら鍵長をでかくする方がましだろうと思うが、
そうではなくて質問主はクライアントデバイスを識別したいのだろう。
ユーザ名と鍵ファイルが盗まれてもデバイス固有の認証で防御したいのかと。

クライアントデバイスに隣接するブロードバンドルーターやアクセスポイントの
ファイアウォール設定ではじくしかないんじゃない?
0709名無しさん@お腹いっぱい。2012/12/23(日) 00:08:34.01
もう質問者本人は見てないだろうから
。さん(=wさん)も寝ればいいんじゃない?
0710名無しさん@お腹いっぱい。2012/12/23(日) 10:23:41.39
L2、L3がごちゃ混ぜで笑った。
0711名無しさん@お腹いっぱい。2012/12/23(日) 10:29:49.46
>>699
>>694って、どこのMACアドレス指定して制限かけるつもりなんだろうね

>>692で制限したら外からのアクセス全部制限するのと同じだから、
そんなのIPレベルでフィルタリングしろって話だ

まあ>>691の話が理解できていないバカなんだろうけど

偽装可能でいいなら、IPv6使うようにして、IPv6アドレスはNDPで生成させる
IPv6アドレスにMACアドレスが埋め込まれる(一部bit反転したり、fffeが入ったりするが)ので、
それを元にIPv6アドレスでフィルタリングするって手もあるかも
prefix部分がころころ変わるとめんどくさいかもしれないが
0712名無しさん@お腹いっぱい。2012/12/23(日) 12:50:03.76
にゃるほど。
v6になればMACアドレスを元にベンダーを制限することができるかもね。
0713名無しさん@お腹いっぱい。2012/12/23(日) 13:29:46.46
>>712
NDPを素直に使っている限りはね

http://takagi-hiromitsu.jp/diary/20080730.html
な話もあるし、IPv6アドレスを手動で振られたらダメなので、その辺は考慮する必要があるけど
ま、その辺のスキルがあるやつはMACアドレスの変え方くらい知ってるだろう
0714名無しさん@お腹いっぱい。2012/12/23(日) 18:56:49.78
普通は、デフォルトでtemporary addressだから無理。
0715名無しさん@お腹いっぱい。2012/12/24(月) 00:02:09.82
ICカード認証にすればカードそのものが盗まれない限り安心なんじゃないの?
0716名無しさん@お腹いっぱい。2012/12/24(月) 10:59:36.42
挿しっぱにしとくとssh agent経由で不正に使われる可能性がある。
0717名無しさん@お腹いっぱい。2012/12/24(月) 21:05:44.94
>まあ>>691の話が理解できていないバカなんだろうけど
だからネタにマジレスするお前のほうがバカだと何度言っ(ry
0718名無しさん@お腹いっぱい。2012/12/24(月) 22:59:42.63
>>711 みたいな奴は技術畑に多い典型的な技術バカだね。
本当にアタマが悪い感じがする。ちょっと可哀想。というよりちょっと哀れ。
0719名無しさん@お腹いっぱい。2012/12/25(火) 00:29:45.66
MACアドレスが使われる範囲が分かっていない人は、極一部だけと思われる。
0720名無しさん@お腹いっぱい。2012/12/25(火) 07:37:04.34
>>718
知識をひけらかすために訊かれてもいないことを
自慢げに長文で垂れ流す奴って例外なくバカだよな
技術バカというよりただのバカ
0721名無しさん@お腹いっぱい。2012/12/25(火) 07:46:32.55
覚えたての知識は誰かに自慢したくなるものさ
それが消防というものだ
0722名無しさん@お腹いっぱい。2012/12/27(木) 14:15:39.44
何でこんな糞ネタに2,3日も置いてレスしてんだろう?w
冬休みが始まったからか
0723名無しさん@お腹いっぱい。2012/12/27(木) 14:57:54.75
721 :名無しさん@お腹いっぱい。:2012/12/25(火) 07:46:32.55
722 :名無しさん@お腹いっぱい。:2012/12/27(木) 14:15:39.44
0724名無しさん@お腹いっぱい。2012/12/29(土) 16:11:01.51
>>718
教えてもらえない自分が一番哀れなんじゃね?
0725名無しさん@お腹いっぱい。2013/01/10(木) 17:38:14.92
最近ちらほら mosh の話題を見かけるので入れてみたらすごい便利
ノーパソ常用なので、ログインし直しがなくなっただけでも何か嬉しい
ここの人ならもう知ってるだろうけど
Mobile Shell - ttp://mosh.mit.edu
0726名無しさん@お腹いっぱい。2013/01/11(金) 01:06:19.88
Emacs 使いの人には何が新しいのかよくわからない
0727名無しさん@お腹いっぱい。2013/01/11(金) 11:20:02.06
Emacs使い…というほど使い込んではいないけど、見た感じでは
便利そうではあるかも。

動作にroot権限が必要ないのはとても良いけど、ルータのポートを
空けないといけないのでは、結局自分が管理するサーバ以外では
使えそうにないけど。

そういう意味では、ssh + screen + Emacsを完全に置き換えるのは
自分の場合は無理かな?

とりあえずSolarisで動くのかは知らんけど、後で試してみよう。
0728名無しさん@お腹いっぱい。2013/01/11(金) 11:37:18.48
Emacs lispをシコシコ編集しなくても勝手に再接続してくれる。あと遠いホストでももたつかない。とか。
0729名無しさん@お腹いっぱい。2013/01/12(土) 02:42:17.34
iOS用クライアント出たら導入検討するつもりだったのに結局出ないの?
0730名無しさん@お腹いっぱい。2013/01/12(土) 03:55:33.41
とっくに出てるじゃない。
0731名無しさん@お腹いっぱい。2013/01/12(土) 04:04:25.00
あ、ほんとだ、iSSHの有料オプションにMosh Compatibilityってあった。
0732名無しさん@お腹いっぱい。2013/01/12(土) 12:43:43.56
認証や起動にsshを利用してるということは
少なくとも現状では完全な「置き換え」にはならんよな
併用だ

そのうち認証とかも自前でやるようになるのかな?
でもそれだと常駐しっぱなしか inetd とか使うことになっちゃうか
0733名無しさん@お腹いっぱい。2013/01/12(土) 14:20:44.58
mobile のための ssh がコンセプトなので、置き換えという方向には行かないんじゃないかと思う
0734名無しさん@お腹いっぱい。2013/01/12(土) 19:43:13.54
>>733
いや >>725の公式サイトに Mosh is a replacement for SSH.
と堂々と書いてあるんだよ
0735名無しさん@お腹いっぱい。2013/01/12(土) 21:00:45.23
自前で認証やらずにsshを使ってるところが賢明なとこだと思うけど
0736名無しさん@お腹いっぱい。2013/01/12(土) 21:06:27.57
>>734
おおっと、でっかく書いてあった。SSPしか見えてなかったですw
0737名無しさん@お腹いっぱい。2013/01/13(日) 09:01:52.17
moshって、でかいテキストをcatしたら最後の部分しか送ってこなくね?
ローカルでスクロールバックしても前が見れなくて困った気がした
0738名無しさん@お腹いっぱい。2013/01/13(日) 09:21:37.26
画面に表示するとこだけを転送するってプロトコルなんだから当然そうなるだろ
サーバ側でスクロールバックさせろよ
0739名無しさん@お腹いっぱい。2013/01/14(月) 13:33:19.69
mosh-1.3からスクロールバックに対応するとか書いてあるな
0740名無しさん@お腹いっぱい。2013/01/14(月) 21:18:55.32
      ☆ チン     マチクタビレタ〜
                        マチクタビレタ〜
       ☆ チン  〃  ∧_∧   / ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄
        ヽ ___\(\・∀・) < Mosh 1.3まだ〜?
            \_/⊂ ⊂_ )   \_____________
          / ̄ ̄ ̄ ̄ ̄ ̄ /|
       | ̄ ̄ ̄ ̄ ̄ ̄ ̄|  |
       |  愛媛みかん |/
0741名無しさん@お腹いっぱい。2013/01/15(火) 11:19:11.79
windowsから接続するにはどうすればいいの?
0742名無しさん@お腹いっぱい。2013/01/15(火) 11:36:48.33
PuTTY とか TeraTerm とかを使う。
0743名無しさん@お腹いっぱい。2013/01/15(火) 14:22:36.97
>>741
mosh のことなら、Cygwin使うしか方法はないです。
0744名無しさん@お腹いっぱい。2013/01/15(火) 20:16:11.40
ありがとうございます。試してみます。
開発用じゃないただの端末でもCygwin必須というのはちょっと敷居が上がりますね。
0745名無しさん@お腹いっぱい。2013/01/20(日) 09:39:46.45
Windowsで動かしてみるかとちょっと覗いてみたらGPL V3なんで捨て。
リファレンス実装がGPL V3なんてありえねー。
0746名無しさん@お腹いっぱい。2013/01/20(日) 15:49:07.41
>>745「改造してクローズドソースで売りたかったのに〜」
0747名無しさん@お腹いっぱい。2013/01/20(日) 23:31:05.47
「リファレンス実装」の意味わかってんのかな。
0748名無しさん@お腹いっぱい。2013/01/21(月) 00:14:22.73
リファレンスだから、GPLv3なんだろjk
まあそのうち、Theoが、OpenMoshを立ち上げてくれるだろうさw
0749名無しさん@お腹いっぱい。2013/01/21(月) 11:39:02.72
>>748
非GPLで作るときに面倒くさいじゃん
せめてBSDにしてくれよ
0750名無しさん@お腹いっぱい。2013/01/21(月) 11:57:03.08
リファレンス実装ってコードをパクってフォークする元、って意味じゃねーぞ。
0751名無しさん@お腹いっぱい。2013/01/21(月) 14:04:46.04
>>750
まあ確かに>>749 みたいな発想の人間がプロプラには多いよな。TCP/IPネットワーク周りはほとんどBSDのコピーもんばっか。
バグまでコピーしてたな。
0752名無しさん@お腹いっぱい。2013/01/21(月) 21:40:18.76
これってprotocol buffers使ったRPCで実装されてる。
.protoにはGPL表示が無いけど、トップディレクトリにあるから信用できない。
.protoに著作権主張するつもりだろうか。RMSは.hには権利があると言ってたよね。
0753名無しさん@お腹いっぱい。2013/01/22(火) 08:15:10.68
>>752
逆。rmsはAPIに著作権はないといっている。.hも同じく。
0754名無しさん@お腹いっぱい。2013/01/22(火) 10:52:45.65
>>749
その面倒くさいことをやってくれた人達に敬意を払えということだろう。
ソースを公開するのもめんどくさい、GPLのライセンスを守るのも嫌だという
ことであれば、多くの先人達がそうして来たように、自分で非GPLなコード
を書けばいいだけ。
0755名無しさん@お腹いっぱい。2013/01/22(火) 11:53:33.78
>>753
じゃ、なんで.hにCopyleft書いてあるんだよ。
0756名無しさん@お腹いっぱい。2013/01/22(火) 22:48:17.32
.h に著作権で保護されることと、 APIに著作権は及ばないことは別の問題。

日本国著作権法でプログラム言語の著作権は及ばなかったり、
アメリカのOracle対Google訴訟でOracleの主張が認められなくても、
gccやJDKには著作権で保護されるでしょ?
0757名無しさん@お腹いっぱい。2013/01/23(水) 08:27:56.44
http://linux.slashdot.org/story/11/03/20/1529238/rms-on-header-files-and-derivative-works
これでも読めよ。
0758名無しさん@お腹いっぱい。2013/01/23(水) 21:56:44.08
http://www.gnu.org/licenses/gpl-faq.ja.html#MereAggregation
> モジュールが同じ実行ファイルに含まれている場合、それらは言うまでもなく
> 一つのプログラムに結合されています。もしモジュールが共有アドレス空間で
> いっしょにリンクされて実行されるよう設計されているならば、それらが一つ
> のプログラムに結合されているのはほぼ間違いないでしょう。
APIでダイナミックライブラリで結合してもアウトって言ってるじゃん。

> 複雑な 内部データ構造を交換したりする場合は、それらも二つの部分がより大規模な
> プログラムに結合されていると考える基準となりうるでしょう。
データ構造にも権利を主張すると。
0759名無しさん@お腹いっぱい。2013/01/23(水) 22:39:33.61
>758
>APIでダイナミックライブラリで結合してもアウトって言ってるじゃん。
System library に対する例外規定はあるけどな。
http://www.gnu.org/licenses/gpl-faq.html#WritingFSWithNFLibs

>データ構造にも権利を主張すると。
いやいやいやいや。
結合の判断基準に使っているだけだ。
仮に第3者(例えばさらに別のライブラリ)によって規定されたデータ構造をやりとりしていたとしても、
結合しているとみなされる訳で立場によってはより悪いとも言えるかもしれないが。
0760名無しさん@お腹いっぱい。2013/01/23(水) 23:02:32.01
> System library に対する例外規定はあるけどな。
これ許さないとバイナリ配布が不可能だから、自分の都合で緩めてるだけでしょ。

http://www.gnu.org/licenses/gpl-faq.html#GPLAndPlugins
fork,execはOKだけどファンクションコール(API)はGPLが感染するというのがこれまでの主張。
0761名無しさん@お腹いっぱい。2013/01/24(木) 08:48:21.24
include fileを使っただけで中身は自力で実装した場合の話を
してたんとちゃうの?

そりゃGPLedなライブラリまでリンクしたらアウトだろう。staticでも
sharedでも。
0762名無しさん@お腹いっぱい。2013/02/08(金) 14:08:45.63
初心者質問
Linuxの/etc/sshディレクトリ内に、ssh_host_rsa_key ssh_host_rsa_key.pub
ってのがあるけど、これは何?
公開鍵なら、このパスフレーズは?
0763名無しさん@お腹いっぱい。2013/02/08(金) 14:24:23.00
ホスト鍵。
ない。
0764名無しさん@お腹いっぱい。2013/02/08(金) 20:27:19.62
記憶も無いのにパスフレーズ設定されてたらいきなり詰むだろ
0765名無しさん@お腹いっぱい。2013/02/08(金) 20:37:58.60
だから、ホスト鍵はSSHの機能じゃなくてbashの機能でしょ。
0766名無しさん@お腹いっぱい。2013/02/08(金) 23:27:40.21
そのネタつまんないからもういいよ。
0767名無しさん@お腹いっぱい。2013/02/09(土) 20:15:33.26
>>765
どうしてそう思ったかkwsk
0768名無しさん@お腹いっぱい。2013/02/10(日) 02:17:19.47
よそのスレのネタを持ち込んでいるアホなだけ
http://toro.2ch.net/test/read.cgi/unix/1352973453/171-176
0769名無しさん@お腹いっぱい。2013/02/10(日) 09:30:30.25
>>768
そのネタなのは知ってるよ
どうしてそのネタを使おうと思ったかkwsk
と聞いたのだが
0770名無しさん@お腹いっぱい。2013/02/10(日) 09:45:39.03
んなこと聞いてもしょうがない。
0771名無しさん@お腹いっぱい。2013/03/19(火) 01:34:51.25
今時需要無いのは重々承知なんだけど
昔あったビデオ端末みたいなssh & Telnet接続専用機ってないのかな?
もし売ってるなら興味あるんだけど
0772名無しさん@お腹いっぱい。2013/03/19(火) 02:29:32.71
X端末やダム端末のことかな
いまどき、単体の製品を探すのは難しいと思う
それに、telnet はいいとして、ssh って使えるのか疑問…
いわゆるシンクライアントの走りだよね
0773名無しさん@お腹いっぱい。2013/03/19(火) 08:04:09.51
TCP/IPスタック必要だから、専用にするには結構大変そうな。
でもEFIからtelnetが使えるぐらいのはあった気がする。
0774名無しさん@お腹いっぱい。2013/03/19(火) 10:01:45.85
>>771
なんでそんなものが欲しいの?
0775名無しさん@お腹いっぱい。2013/03/19(火) 10:12:59.82
>>772,773
あってもtelnetですか
ssh使えるのはやっぱり無いっぽいですね・・・

>>774
古い機械に興味がありまして、同じような見た目と操作感で今でも使える物は無いかなと思った次第です
実用性云々より趣味ですかね
0776名無しさん@お腹いっぱい。2013/03/19(火) 10:26:07.09
古い機械?
実在しないのに?
0777名無しさん@お腹いっぱい。2013/03/19(火) 10:31:02.27
古い機械に興味あるなら
シリアル接続するやつとか調べた方がいいんじゃね。
0778名無しさん@お腹いっぱい。2013/03/19(火) 10:38:43.63
WindowsのようなファットOSや
sun rayみたいなgui端末上のsshクライアントで置換できちゃうからね…
動作するモノを探すの自体大変そう
博物館級だよね
0779名無しさん@お腹いっぱい。2013/03/19(火) 20:11:20.86
今時 iPhone でもsshログイン出来るからねぇ
0780名無しさん@お腹いっぱい。2013/03/21(木) 01:11:10.56
先月 NCDのX端末処分しましたが
0781名無しさん@お腹いっぱい。2013/03/21(木) 09:57:14.39
それは報告しなくてもいいです。
0782名無しさん@お腹いっぱい。2013/03/21(木) 14:45:11.06
公開鍵認証に失敗する原因って、
ホームディレクトリと鍵のパーミッションと所有者以外に何が考えられますか?
ずっとハマってお手上げですorz
0783名無しさん@お腹いっぱい。2013/03/21(木) 14:59:40.67
ログ読んでみたら。
07847822013/03/21(木) 15:20:19.90
>>783
/var/log/secureではパスワードで正常にログインできた
としか見当たりませんでした。

ssh -vvv server
〜略〜
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/server/user/.ssh/identity
debug3: no such identity: /home/server/user/.ssh/identity
debug1: Trying private key: /home/server/user/.ssh/id_rsa
debug3: no such identity: /home/server/user/.ssh/id_rsa
debug1: Trying private key: /home/server/user/.ssh/id_dsa
debug1: read PEM private key done: type DSA
debug3: sign_and_send_pubkey
debug2: we sent a publickey packet, wait for reply
debug3: Wrote 592 bytes for a total of 1717
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug2: we did not send a packet, disable method
debug3: authmethod_lookup password
debug3: remaining preferred: ,password
debug3: authmethod_is_enabled password
debug1: Next authentication method: password

すいません、助言をお願いします。
0785名無しさん@お腹いっぱい。2013/03/21(木) 19:57:43.23
no such identityってかいてあるやん
■ このスレッドは過去ログ倉庫に格納されています