SSHサーバー構築(OpenSSH+Chroot)

最終更新日： 2008.04.15

[root@fedora ~]# yum -y install telnet-server　←　Telnetサーバーインストール

[root@fedora ~]# vi /etc/xinetd.d/telnet　←　xinetd用Telnetサーバー設定ファイル編集
        disable         = yes
　　　　↓
        disable         = no　←　Telnetサーバーを有効にする

[root@fedora ~]# /etc/rc.d/init.d/xinetd restart　←　xinetd再起動(Telnetサーバー起動)
xinetd を停止中:                                           [失敗]
xinetd を起動中:                                           [  OK  ]

Fedora Core release 6 (Zod)
Kernel 2.6.18-1.2798.fc6 on an i686
login: fedora　←　ユーザ名応答
Password:　←　パスワード応答(表示はされない)
Last login: Thu Nov  2 02:37:24 from 192.168.1.10
[fedora@fedora ~]#　←　Telnetでログインした

[fedora@fedora ~]# su -　←　rootにスイッチ
パスワード(P):　←　rootパスワード応答(表示はされない)

[root@fedora ~]#　←　rootになった

[root@fedora ~]# /etc/rc.d/init.d/sshd stop　←　SSHサーバー停止
sshdを停止中:                                              [  OK  ]

[root@fedora ~]# yum -y remove openssh　←　openssh関連パッケージアンインストール

[root@fedora ~]# wget http://chrootssh.sourceforge.net/download/openssh-4.5p1-chroot.tar.bz2
　←　openssh+chrootダウンロード

※最新版のURLはダウンロードページで確認

[root@fedora ~]# tar jxvf openssh-4.5p1-chroot.tar.bz2　←　openssh+chroot展開

[root@fedora ~]# vi openssh-4.5p1-chroot/contrib/redhat/openssh.spec　←　specファイル編集
# Do we want to disable building of x11-askpass? (1=yes 0=no)
%define no_x11_askpass 0
↓
%define no_x11_askpass 1　←　x11_askpassの無効化

# Do we want to disable building of gnome-askpass? (1=yes 0=no)
%define no_gnome_askpass 0
↓
%define no_gnome_askpass 1　←　gnome_askpassの無効化

[root@fedora ~]# rm -rf openssh-4.5p1-chroot/contrib/{aix,hpux,caldera,suse,cygwin,solaris}　←　RedHat以外のディレクトリを削除

[root@fedora ~]# mv openssh-4.5p1-chroot openssh-4.5p1　←　展開してできたディレクトリをリネーム

[root@fedora ~]# tar czvf openssh-4.5p1.tar.gz openssh-4.5p1/　←　リネーム後のディレクトリを圧縮

[root@fedora ~]# yum -y install tcp_wrappers-devel　←　openssh-chrootのRPM作成に必要なパッケージインストール

[root@fedora ~]# rm -rf openssh-4.5p1　←　不要となったリネーム後のディレクトリを削除

[root@fedora ~]# rpmbuild -tb --clean openssh-4.5p1.tar.gz　←　RPMパッケージ作成
※時間がかかる
※rpmbuildが｢ビルド依存性の失敗｣で異常終了した場合

[root@fedora ~]# rpm -Uvh /usr/src/redhat/RPMS/i386/openssh-4.5p1-1.i386.rpm
　←　作成したopensshのRPMパッケージをインストール
Preparing...                ########################################### [100%]
   1:openssh                ########################################### [100%]

[root@fedora ~]# rpm -Uvh /usr/src/redhat/RPMS/i386/openssh-server-4.5p1-1.i386.rpm
　←　作成したopenssh-serverのRPMパッケージをインストール
Preparing...                ########################################### [100%]
   1:openssh-server         ########################################### [100%]

[root@fedora ~]# rpm -Uvh /usr/src/redhat/RPMS/i386/openssh-clients-4.5p1-1.i386.rpm
　←　作成したopenssh-clientsのRPMパッケージをインストール
Preparing...                ########################################### [100%]
   1:openssh-clients        ########################################### [100%]

[root@fedora ~]# rm -f /usr/src/redhat/RPMS/i386/*　←　作成したRPMを削除

[root@fedora ~]# rm -f openssh-4.5p1.tar.gz　←　削除

[root@fedora ~]# rm -f openssh-4.5p1-chroot.tar.bz2　←　ダウンロードしたファイルを削除

[root@fedora ~]# vi /etc/yum.conf　←　yum設定ファイル編集
exclude=openssh*　←　最終行へ追加(yumの処理対象からopensshパッケージを除外する)

[root@fedora ~]# vi /etc/rc.d/init.d/sshd　←　SSHサーバー起動スクリプト修正
start()
{
        # Create keys if necessary
        do_rsa1_keygen
        do_rsa_keygen
        do_dsa_keygen

        echo -n $"Starting $prog:"
        #initlog -c "$SSHD $OPTIONS" && success || failure　←　行頭に#を追加してコメントアウト
        $SSHD $OPTIONS && success || failure　←　追加
        RETVAL=$?
        [ "$RETVAL" = 0 ] && touch /var/lock/subsys/sshd
        echo
}

[root@fedora ~]# ssh-keygen -t rsa1 -f /etc/ssh/ssh_host_key -N ""　←　ホストキー(RSA1)再作成
Generating public/private rsa1 key pair.
/etc/ssh/ssh_host_key already exists.
Overwrite (y/n)? y　←　y応答
Your identification has been saved in /etc/ssh/ssh_host_key.
Your public key has been saved in /etc/ssh/ssh_host_key.pub.
The key fingerprint is:
41:4f:30:53:7e:a2:c1:a5:aa:50:39:0e:8b:cd:12:8b root@fedora.fedorasrv.com

[root@fedora ~]# ssh-keygen -t rsa -f /etc/ssh/ssh_host_rsa_key -N ""　←　ホストキー(RSA2)再作成
Generating public/private rsa key pair.
/etc/ssh/ssh_host_rsa_key already exists.
Overwrite (y/n)? y　←　y応答
Your identification has been saved in /etc/ssh/ssh_host_rsa_key.
Your public key has been saved in /etc/ssh/ssh_host_rsa_key.pub.
The key fingerprint is:
a2:ad:b1:ff:94:ed:cb:85:6d:32:78:c7:e5:15:4a:50 root@fedora.fedorasrv.com

[root@fedora ~]# ssh-keygen -t dsa -f /etc/ssh/ssh_host_dsa_key -N ""　←　ホストキー(DSA)再作成
Generating public/private dsa key pair.
/etc/ssh/ssh_host_dsa_key already exists.
Overwrite (y/n)? y　←　y応答
Your identification has been saved in /etc/ssh/ssh_host_dsa_key.
Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub.
The key fingerprint is:
c2:10:be:ec:53:c3:b0:07:b4:da:c3:49:1c:02:a5:68 root@fedora.fedorasrv.com

[root@fedora ~]# /etc/rc.d/init.d/sshd start　←　SSHサーバー起動
sshd を起動中:                                             [  OK  ]

[root@fedora ~]# chkconfig sshd on　←　SSHサーバー自動起動設定

[root@fedora ~]# chkconfig --list sshd　←　SSHサーバー自動起動設定確認
sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off　←　ランレベル2〜5のonを確認

[root@fedora ~]# vi /etc/xinetd.d/telnet　←　xinetd用Telnetサーバー設定ファイル編集
        disable         = no
　　　　↓
        disable         = yes　←　Telnetサーバーを無効効にする

[root@fedora ~]# /etc/rc.d/init.d/xinetd restart　←　xinetd再起動(Telnetサーバー停止)
xinetd を停止中:                                           [  OK  ]
xinetd を起動中:                                           [  OK  ]

[root@fedora ~]# yum -y remove telnet-server　←　Telnetサーバーアンインストール

[root@fedora ~]# vi /etc/ssh/sshd_config　←　SSHサーバー設定ファイル編集
#Protocol 2,1
↓
Protocol 2　←　SSH2でのみ接続を許可

#SyslogFacility AUTH
↓
SyslogFacility AUTHPRIV　←　ログを/var/log/secureに記録する※Fedoraデフォルトに合わせる

#PermitRootLogin yes
↓
PermitRootLogin no　←　rootでのログインを禁止

#PasswordAuthentication yes
↓
PasswordAuthentication no　←　パスワードでのログインを禁止(鍵方式によるログインのみ許可)

#PermitEmptyPasswords no
↓
PermitEmptyPasswords no　←　パスワードなしでのログインを禁止

[root@fedora ~]# /etc/rc.d/init.d/sshd restart　←　SSHサーバー再起動
sshdを停止中:                                              [  OK  ]
sshdを起動中:                                              [  OK  ]

[root@fedora ~]# mkdir -p ~/bin　←　chrootユーザ作成スクリプト格納ディレクトリ作成

[root@fedora ~]# vi ~/bin/chroot-useradd　←　chrootユーザ作成スクリプト作成※
#!/bin/bash
#
# Usage: ./chroot-useradd username [shell]
#

# Here specify the apps you want into the enviroment
CMD="bash ls touch mkdir cp mv rm pwd chmod cat vi id rsync ssh scp sftp ping ssh-keygen perl"
APPS=`which $CMD`
APPS="${APPS} /usr/libexec/openssh/sftp-server"

# Sanity check
if [ "$1" = "" ] ; then
    echo "  Usage: ./chroot-useradd username [shell]"
    exit 1
fi

# Obtain username and HomeDir
CHROOT_USERNAME=$1
if [ "$2" = "" ] ; then
    useradd $CHROOT_USERNAME
else
    useradd -s $2 $CHROOT_USERNAME
fi
usermod -d /home/$CHROOT_USERNAME/./ $CHROOT_USERNAME
passwd $CHROOT_USERNAME
chown $CHROOT_USERNAME /home/$CHROOT_USERNAME
chgrp $CHROOT_USERNAME /home/$CHROOT_USERNAME
rm -f /home/$CHROOT_USERNAME/.* > /dev/null 2>&1
HOMEDIR=`grep /etc/passwd -e "^$CHROOT_USERNAME"  | cut -d':' -f 6`
cd $HOMEDIR

# Create Directories no one will do it for you
mkdir -p etc
mkdir -p bin
mkdir -p usr/bin
mkdir -p usr/local/bin
mkdir -p usr/libexec/openssh
MAKEDEV -d dev -x null zero

# Create short version to /usr/bin/groups
# On some system it requires /bin/sh, which is generally unnessesary in a  chroot cage
echo "#!/bin/bash" > usr/bin/groups
echo "id -Gn" >> usr/bin/groups
chmod 755 usr/bin/groups

# Add some users to ./etc/paswd
grep /etc/passwd -e "^root" -e "^$CHROOT_USERNAME" > etc/passwd
grep /etc/group -e "^root" -e "^$CHROOT_USERNAME" > etc/group

# Copy the apps and the related libs
for prog in $APPS;
do
    cp $prog ./$prog
    # obtain a list of related libraryes
    ldd $prog > /dev/null
    if [ "$?" = 0 ] ; then
        LIBS=`ldd $prog | awk '{ print $3 }'`
        for l in $LIBS;
        do
            mkdir -p ./`dirname $l` > /dev/null 2>&1
            cp $l ./$l > /dev/null 2>&1
        done
    fi
done

# From some strange reason these 4 libraries are not in the ldd output, but  without them
# some stuff will not work, like usr/bin/groups
cp /lib/libnss_compat.so.2 lib/
cp /lib/libnsl.so.1 lib/
cp /lib/libnss_files.so.2 lib/
cp /lib/ld-linux.so.2 ./lib/
cp /lib/libc.so.6 lib/
cp /lib/libm.so.6 lib/
cp /lib/libpthread.so.0 lib/
cp /lib/librt.so.1 lib/
cp /lib/libthread_db.so.1 lib/

exit 0



[root@fedora ~]# chmod u+x ~/bin/chroot-useradd　←　chrootユーザ環境作成スクリプトに実行権限付加

[root@fedora ~]# chroot-useradd fedorauser　←　ユーザ作成
Changing password for user fedorauser.
新しいUNIX パスワード:　←　ユーザパスワード応答
新しいUNIX パスワードを再入力してください:　←　ユーザパスワード応答(確認)
passwd: all authentication tokens updated successfully.

-bash-3.2$ pwd　←　ホームディレクトリが/(ルート)になっているかpwdで確認
/　←　ホームディレクトリが/(ルート)になっている(これ以上、上層へ移動できない)

-bash-3.2$ su -　←　rootになれるか確認
-bash: su: command not found　←　rootになれない

[root@fedora ~]# echo sshd:127.0.0.1 >> /etc/hosts.allow　←　サーバー自身からのsshへのアクセスを許可

[root@fedora ~]# echo "sshd: 192.168.1." >> /etc/hosts.allow　←　内部(例:192.168.1.XXXからのsshアクセスを許可)

[root@fedora ~]# echo "sshd: .ppp.asahi-net.or.jp"  >> /etc/hosts.allow　←　外部(例:xxx.ppp.asahi-net.or.jpからのsshアクセスを許可)

[root@fedora ~]# echo "sshd: ALL" >> /etc/hosts.deny　←　sshへの全てのアクセスを禁止