opensshのこと

Match設定

v4.4でMatchブロックが実装された

PermitRootLoginがMatchブロックに記述可能になったのは4.9から

     Match   Introduces a conditional block.  If all of the criteria on the
             Match line are satisfied, the keywords on the following lines
             override those set in the global section of the config file,
             until either another Match line or the end of the file.

             The arguments to Match are one or more criteria-pattern pairs.
             The available criteria are User, Group, Host, and Address.  The
             match patterns may consist of single entries or comma-separated
             lists and may use the wildcard and negation operators described
             in the PATTERNS section of ssh_config(5).

             The patterns in an Address criteria may additionally contain
             addresses to match in CIDR address/masklen format, e.g.
             ``192.0.2.0/24'' or ``3ffe:ffff::/32''.  Note that the mask
             length provided must be consistent with the address - it is an
             error to specify a mask length that is too long for the address
             or one with bits set in this host portion of the address.  For
             example, ``192.0.2.0/33'' and ``192.0.2.0/8'' respectively.

             Only a subset of keywords may be used on the lines following a
             Match keyword.  Available keywords are AllowAgentForwarding,
             AllowTcpForwarding, AuthorizedKeysFile, AuthorizedPrincipalsFile,
             Banner, ChrootDirectory, ForceCommand, GatewayPorts,
             GSSAPIAuthentication, HostbasedAuthentication,
             HostbasedUsesNameFromPacketOnly, KbdInteractiveAuthentication,
             KerberosAuthentication, MaxAuthTries, MaxSessions,
             PasswordAuthentication, PermitEmptyPasswords, PermitOpen,
             PermitRootLogin, PermitTunnel, PubkeyAuthentication,
             RhostsRSAAuthentication, RSAAuthentication, X11DisplayOffset,
             X11Forwarding and X11UseLocalHost.

パッケージ作成

Matchブロックを使いたいと思うとopensshのバージョンアップが必要。RPMで管理したいよねー。という事でやってみた。とりあえず4.x系の最新版で試してみよう。CentOS5.5は4.3なのでね。そして全ての作業はとりあえずrootでやった。

2010.10.21追記：v5.6p1でもやってみたが問題なさげ。手順は一緒。大丈夫ぢゃね！

tarballを準備

wget http://ftp.kddlabs.co.jp/OpenBSD/OpenSSH/portable/openssh-4.9p1.tar.gz
cp openssh-4.9p1.tar.gz /usr/src/redhat/SOURCES<code>
  - 解凍してspecファイルを取得<code>
tar zxf openssh-4.9p1.tar.gz
cd openssh-4.9p1/contrib/redhat/
cp openssh.spec /usr/src/redhat/SPECS

x11-ssh-askpass-1.2.4.1.tar.gzを準備。rpmbuildする際に要求されるのだよx11-ssh-askpass-1.2.4.1.tar.gz.gz

wget http://ftp.yz.yamagata-u.ac.jp/pub/linux/momonga/2/SOURCES/x11-ssh-askpass-1.2.4.1.tar.gz
mv x11-ssh-askpass-1.2.4.1.tar.gz /usr/src/redhat/SOURCES

ビルドする

cd /usr/src/redhat/SPECS
rpmbuild -ba openssh.spec

/usr/src/redhat/RPMS/i386にRPM群が作成されるのでインストールする

cd /usr/src/redhat/RPMS/i386
rpm --test -Uhv openssh-4.9p1-1.i386.rpm openssh-server-4.9p1-1.i386.rpm openssh-clients-4.9p1-1.i386.rpm
OKであれば
rpm -Uhv openssh-4.9p1-1.i386.rpm openssh-server-4.9p1-1.i386.rpm openssh-clients-4.9p1-1.i386.rpm

/etc/ssh/sshd_config.rpmnewとして新しいsshd設定ファイルがコピーされるので内容を確認しながら設定変更を施すその後、sshdの再起動となる。sshdの再起動に失敗したら接続できないので超注意深く！とcondresetartを使うのと現接続コネクションは張りっぱなしにしておくのと、接続できない状態になった時の回避策を考えておくのが必要

変更しといた方がよさげポイント
変更しといた方が良さげなポイントを発見した

リモートセッションがログ(/var/log/secure)に記録されない。messagesに記録される。
initスクリプト実行時にWARNING: initlog is deprecated and will be removed in a future releaseが発生

ログは/etc/ssh/sshd_confを修正する

SyslogFacility AUTH
　↓
SyslogFacility AUTHPRIV

initスクリプトのstart行を修正する

initlog -c "$SSHD $OPTIONS" && success || failure
　↓
$SSHD $OPTIONS && success || failure

opensshに添付されているsftp-serverでのロギング

sftp-serverは以下の引数をとる -f Facilityの設定

  DAEMON, USER, AUTH, LOCAL0, LOCAL1, LOCAL2, LOCAL3,LOCAL4, LOCAL5, LOCAL6, LOCAL7
  デフォルトは AUTH

-l ログレベルの設定

  QUIET, FATAL, ERROR, INFO, VERBOSE, DEBUG, DEBUG1, DEBUG2, DEBUG3
  INFO および VERBOSEはクライアント操作をログ

openssh 4.4まではsshd_config内のSubsystemオプションでコマンド引数処理ができないらしい。 opensshのバージョンをあげると引数が有効になるそうだ。

引数処理が出来ない場合、Subsystemのコマンド行に引数を付与すると以下のエラーとなる。

 # service sshd start
 sshd を起動中: /etc/ssh/sshd_config line 119: garbage at end of line; "-l".

ということなので、sshdとsftp-serverのバージョンアップを敢行

INITスクリプトのsshdサービスでsshd関連の実行パスを修正

sshd_configのSubsystem定義部分の実行パスを修正し引数を追加

sshd_configはソースでインストールしたので/usr/local/etc/sshd_configとなる

sftp-serverでfacility設定を行った場合は、syslog.confの設定も適宜修正する必要がある

準備

openssl-devel、zlib-develを追加インストールした
openssl-develは関連するその他モジュールもインストールしてた

opensshの最新版をダウンロード
http://www.openssh.com
展開
 ./configure
 make
 make install

CentOSなどは/usr/libexec/openssh/sftp-serverにインストールされているがデフォルト./configureで実施した場合は/usr/local/libexec/にインストールされる sshdもOSデフォルトでは/usr/sbin/sshdだが、ソースは/usr/local/sbin/sshdとなるこの配置を標準に変えたい場合は、./configureオプションで指定すればよい

とりあえず今回はsftpのログを残すことが主目的なので配置ディレクトリには目をつむるインストールされるファイルは以下

 /usr/bin/install -c -m 0755 -s ssh /usr/local/bin/ssh
 /usr/bin/install -c -m 0755 -s scp /usr/local/bin/scp
 /usr/bin/install -c -m 0755 -s ssh-add /usr/local/bin/ssh-add
 /usr/bin/install -c -m 0755 -s ssh-agent /usr/local/bin/ssh-agent
 /usr/bin/install -c -m 0755 -s ssh-keygen /usr/local/bin/ssh-keygen
 /usr/bin/install -c -m 0755 -s ssh-keyscan /usr/local/bin/ssh-keyscan
 /usr/bin/install -c -m 0755 -s sshd /usr/local/sbin/sshd
 /usr/bin/install -c -m 0755 -s ssh-rand-helper /usr/local/libexec/ssh-rand-helper
 /usr/bin/install -c -m 4711 -s ssh-keysign /usr/local/libexec/ssh-keysign
 /usr/bin/install -c -m 0755 -s sftp /usr/local/bin/sftp
 /usr/bin/install -c -m 0755 -s sftp-server /usr/local/libexec/sftp-server
 /usr/bin/install -c -m 644 ssh.1.out /usr/local/share/man/man1/ssh.1
 /usr/bin/install -c -m 644 scp.1.out /usr/local/share/man/man1/scp.1
 /usr/bin/install -c -m 644 ssh-add.1.out /usr/local/share/man/man1/ssh-add.1
 /usr/bin/install -c -m 644 ssh-agent.1.out /usr/local/share/man/man1/ssh-agent.1
 /usr/bin/install -c -m 644 ssh-keygen.1.out /usr/local/share/man/man1/ssh-keygen.1
 /usr/bin/install -c -m 644 ssh-keyscan.1.out /usr/local/share/man/man1/ssh-keyscan.1
 /usr/bin/install -c -m 644 sshd_config.5.out /usr/local/share/man/man5/sshd_config.5
 /usr/bin/install -c -m 644 ssh_config.5.out /usr/local/share/man/man5/ssh_config.5
 /usr/bin/install -c -m 644 sshd.8.out /usr/local/share/man/man8/sshd.8
 /usr/bin/install -c -m 644 ssh-rand-helper.8.out /usr/local/share/man/man8/ssh-rand-helper.8
 /usr/bin/install -c -m 644 sftp.1.out /usr/local/share/man/man1/sftp.1
 /usr/bin/install -c -m 644 sftp-server.8.out /usr/local/share/man/man8/sftp-server.8
 /usr/bin/install -c -m 644 ssh-keysign.8.out /usr/local/share/man/man8/ssh-keysign.8

目次

opensshのこと

Match設定

パッケージ作成

opensshに添付されているsftp-serverでのロギング