とりあえずCentOSをインストールし終わりましたが、当然、このままでは公開できません。まずは、いくつかセキュリティ面で設定する必要があります。
まずは、SSHに必要な設定を行います。
- rootでのログインを禁止する
- パスワード認証を禁止する
- 公開鍵認証のみ許可する
まず、インストール直後は、SSHがインストールされており、リモートからrootでログイン可能な状態なので、リモートからrootでログインします。
※以下、PuTTYで操作しています。
以下の通り、最初は警告が表示されますが、そのまま[はい]をクリックします。
- root 以外のユーザーを作成
rootでのログインを禁止するわけですから、root以外のユーザーを作成する必要があります。
# useradd -d /home/hoge -c HOGE -u 1001 hoge
# passwd hoge
Changing password for user hoge.
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.
- root でのログインを禁止
以下の設定を実施し、rootでログインできないこと、作成したユーザーでログインできることを確認します。
# vi /etc/ssh/sshd_config
:
#PermitRootLogin yes ← 標準はデフォルトがyes
PermitRootLogin no
:
# service sshd restart ← 設定反映
sshd を停止中: [ OK ]
sshd を起動中: [ OK ]
- 公開鍵作成
パスワード認証を禁止する前に公開鍵認証を設定します。公開鍵認証前にパスワード認証を禁止するとログインできなくなっていまいますから・・・ :-)
$ ssh-keygen -b 2048 -t rsa -C hogehoge
Generating public/private rsa key pair.
Enter file in which to save the key (/home/hoge/.ssh/id_rsa):
Created directory '/home/hoge/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/hoge/.ssh/id_rsa.
Your public key has been saved in /home/hoge/.ssh/id_rsa.pub.
The key fingerprint is:
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx hogehoge
- 公開鍵を authorized_keys へ追加
$ cat $HOME/.ssh/id_rsa.pub >> $HOME/.ssh/authorized_keys
$ chmod 600 authorized_keys ← パーミッションを600に変更
$ ls -l authorized_keys
-rw------- 1 centuser centuser 398 7月 17 09:20 authorized_keys
$ rm id_rsa.pub ← 不要なので削除
- id_rsa を保存
id_rsa をターミナルソフトを起動するクライアントへ保存します。これがなくなってしまうと公開鍵の作成からやり直しになるので要注意です。 - id_rsa の変換（PuTTY の場合）
TeraTerm 等では、id_rsa がそのまま使えるので、変換は特に必要ありません。PuTTY の場合は必要になるので、以下の通り変換しておきます。
- PuTTYgen を起動します。
- [PuTTY Key Generator]画面で、[Conversions]-[Import key]で保存した id_rsa を開きます。
- [PuTTYgen: Enter Passphrase for key]画面で、パスフレーズを入力します。
- [PuTTY Key Generator]画面で、[Save private key]をクリックし、id_rsa.ppk を作成します。
- ターミナルソフトで公開鍵認証で接続
ターミナルソフトで公開鍵認証で接続できることを確認します。 - パスワード認証を禁止
公開鍵認証での接続が成功することを確認して、パスワード認証を禁止します。
設定後、パスワード認証できないことを確認します。
# vi /etc/ssh/sshd_config
:
#PasswordAuthentication yes ← 初期設定では yes なのでコメントアウト
PasswordAuthentication no
:
# service sshd restart ← 設定反映
sshd を停止中: [ OK ]
sshd を起動中: [ OK ]
これで、リモートからは、root 以外のユーザーで、公開鍵認証の設定可能なターミナルからのみログインできるようになりました。
ひとつ気になるのは、PuTTY でパスワード認証をチャレンジすると
No supported authentication methods available
と表示されて、拒否されます。動作は満たしていますが、パスワード認証を禁止しているということがわかってしまいます。これはできれば隠匿したいですね。パスワード認証時のエラーを返すほうがいいと思いますが、そういう動作をさせると問題あるんでしょうかね。
投稿
