「Linux」カテゴリーアーカイブ

Yubikey （スマートカード）に入れた秘密鍵を使ってSSHにログインする

コメントを残す

ラノベのタイトルみたいになってしまった

すったもんだしてYubikeyにSSHの秘密鍵を入れるところまで行ったのだが、これを利用して、ローカルのハードディスクに秘密鍵を置かずに、SSHのログインを使用という話。クライアントはWindows,Mac,Linuxを想定している。
いままで、公開鍵暗号でのSSH接続ができていたことが前提。

Mac,Linux

Yubicoのページ（ https://developers.yubico.com/PIV/Guides/SSH_with_PIV_and_PKCS11.html )のStep 4 からほぼそのままでいけた。

まずはOpenSCのインストール。Mac OSX の場合はhomebrewでインストールするのがよさ気。

brew install opensc

これだけでいける。インストール先は/usr/local/opt/openscになる。環境によっては、/usr/local/Cellar/openscになることもある。インストールされたディレクトリは以下のコマンドでも確認できる。

brew --prefix opensc

OSXはメジャーバージョンアップの際に/usr/localにものがあるとしくじる前科があるので若干心配だ。Linuxの場合は、それぞれのパッケージ管理ソフトに従う。

次に参考したページにはssh-keygenで公開鍵を取り出して、リモートホストのauthorized_keysに追加せよとあるが、今まで同じ鍵でサーバ運用していた場合は関係なし。

必要なのはpkcs11のライブラリの場所を調べてそいつがスマートカードを読み取れるかどうか。ちなみに手近のLinuxクライアントはVMware Player のDebianしかないのだが、VMのゲストOSがスマートカードを認識できないので確認できない。（no slotsというエラーが出る）

あとはsshコマンドを叩くときにIオプションでpkcs11ライブラリの場所を指定するだけ。

ssh -I /usr/local/opt/opensc/lib/opensc-pkcs11.so remotehost

こうするとYubikeyの中の秘密鍵を使ってセッションを確立します。しかしこれを毎回打つのは面倒なので、~/.ssh/configに記述しておきます。私の場合はこんな感じ。

Host hoge
        Hostname          hoge.example.jp
        Port              12345
        PKCS11Provider    /usr/local/opt/opensc/lib/opensc-pkcs11.so

 

4行目に書いてあるPKCS11Providerが追加されたところ。

Windows

WindowsのSSHクライアントといえば、TeratermかPuttyが思い浮かぶ。そんな人に手っ取り早いのが、Puttyの中に入っているPageantを使う方法。認証エージェントですが、スマートカード対応版があります。Puttyシリーズをスマートカード対応にしているPutty-CACというプロジェクトがあってバイナリを公開しています。

SSHサーバに接続するだけなら、Putty本体とTeratermでも使えるPageantをダウンロードするだけで大丈夫です。

Puttyそのものの使い方は割愛しますが、接続先ホストの設定でConnection-SSH-Certificationとすすみ、Attempt Certification Authentication にチェックを入れて、Set CAPI certで証明書を選び、PIN入力が出てくれば接続可能です。

同じようにpageantにも証明書を指定しておき、Teratermで接続する際にSSH認証で、pageantを使う、でPIN入力が出てくれば接続可能です。

pageantはOS起動時に起動させれば良いと思います。

その他

それにしてもECDSAの鍵を使えないのが痛い。。。

iptables,ip6tablesの設定

コメントを残す

これもすぐに設定の仕方を忘れるので覚書。

まずは、iptables-persistentをインストールしておく。設定ファイルは、/etc/iptables/rules.v4と/etc/iptables/rules.v6。もちろん環境に合わせて書き換える。私の場合はipv4が

# Generated by iptables-save v1.4.21 on Fri Feb 12 17:18:19 2016
*nat
:PREROUTING ACCEPT [2:104]
:INPUT ACCEPT [1:64]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed on Fri Feb 12 17:18:19 2016
# Generated by iptables-save v1.4.21 on Fri Feb 12 17:18:19 2016
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [3:349]
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport hogehoge -j ACCEPT
-A INPUT -p tcp -m tcp --dport hogehoge -j ACCEPT
-A INPUT -p udp --dport 500 -j ACCEPT
-A INPUT -p udp --dport 4500 -j ACCEPT
-A INPUT -i lo -j ACCEPT
COMMIT
# Completed on Fri Feb 12 17:18:19 2016

ipv6が

# Generated by ip6tables-save v1.4.21 on Fri Feb 12 17:18:19 2016
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p ipv6-icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport hogehoge -j ACCEPT
-A INPUT -p tcp -m tcp --dport hogehoge -j ACCEPT
COMMIT
# Completed on Fri Feb 12 17:18:19 2016

こんな感じ。

あとは、以下のコマンドです。

netfilter-persistent reload

munin-node-configure でsquid追加

コメントを残す

すぐに忘れてしまうので覚書

muninで監視項目を新しく追加するときnode-munin-configureコマンドを使う

munin-node-configure

オプション無しで使うと現在の状態が表示される

munin-node-configure --suggest

suggestオプションを使うと追加できるかどうかとその理由がわかる。今回、squidを追加しようとしたのだが、「[could not connect: Connection refused]」と言われてしまったので原因を探ると、squidのポート番号を変えていることが原因。なので、/etc/muinn/plugin-conf.d/munin-nodeに以下の行を追加。

[squid_*]
env.squidport ポート番号

これで、追加できるようになるので以下のコマンドで、プラグインのリンクができるようになっているのを確認して

#munin-node-configure --shell squid_
ln -s '/usr/share/munin/plugins/squid_cache' '/etc/munin/plugins/squid_cache'
ln -s '/usr/share/munin/plugins/squid_objectsize' '/etc/munin/plugins/squid_objectsize'
ln -s '/usr/share/munin/plugins/squid_requests' '/etc/munin/plugins/squid_requests'
ln -s '/usr/share/munin/plugins/squid_traffic' '/etc/munin/plugins/squid_traffic'
#その他のエラーが表示されるかも

問題ないようなら、以下のようにシェルに渡してあげて登録。

munin-node-configure --shell squid_ | sh

サービスを再起動して終了

service munin-node restart

sslhによるtcp/443でのsshd,httpdの両まちうけ

コメントを残す

最近はネットワークのフィルタリングが厳密すぎて、tcp/22ポートにおけるsshの接続ができなくなってきました。sshはsshd_configで簡単にポート番号を変えられれますので、どのネットワークでもまず閉じられていないtcp/443(SSL)に変えてしまうという手があります。しかしながら、webサーバを立ち上げているサーバでは当然443は占拠されているので、今回のsslhを使ってクライアントのリクエストに応じて適切なサービスに割り振ることをします。

インストール

Debianではパッケージがありましたので、そこからインストールします。

# apt install sslh

最初に、inetdで起動するか、standaloneで起動するか聞いてきます。sshもhttpdもstandaloneで動いているわけですし、sslhも素直にstandaloneにしておきます。

既存サービスのポート変更

httpd

私はApacheを使っていますので、/etc/apache2/ports.confを書き換えました。

Listen 80

<IfModule ssl_module>
 Listen localhost:443
</IfModule>

<IfModule mod_gnutls.c>
 Listen localhost:443
</IfModule>

ポート番号はそのままに、待ち受けるアドレスをlocalhostにしています。編集後にapacheの再起動。

ssh

/etc/ssh/sshd_configを編集します。

#Port 22
Port 12345
Port 23456

もともとの22番はコメントアウトしています。22番ポートへの攻撃は多いのであえて閉じています。そのあとにある12345,23456が待ち受けポートです（本当は違う値ですけど）。編集後にsshdの再起動。

sslhの設定

sslhの設定は/etc/default/sslhです。

RUN=yes
DAEMON_OPTS="--user sslh --listen xxx.xxx.xx.x:443 --listen xxxx:xxx:xx:x:x:x:x:x:443 --ssh 127.0.0.1:12345 --ssl 127.0.0.1:443 --pidfile /var/run/sslh/sslh.pid"

変更箇所は２行です。–listenでまちうけのアドレスとポートを指定します。–sshでsshのポート番号を、–sslでhttpdのポート番号を指定しています。編集後にsslhの再起動をします。

まちうけにはIPv4もIPv6の両方共いけました。転送先のアドレス(127.0.0.1)がIPv4しか書いてないのに、IPv6でsshのコネクションが張れていまいち謎な感じですけど、できてしまいました。一種のIPv6トランスレーター的な動きをしているのかもしれません。

確認

httpdの確認は通常のブラウザから出来ます。sshはポート番号を変えましたので以下のようにつなぎます。

$ ssh -p 12345 サーバのアドレスなど

毎回ポート番号を書くのが面倒であればconfigに書くのがいいでしょう。

注意

リモートのサーバを編集するときは注意しましょう。設定を間違えると２度と繋がらなくなる可能性があります。sshなどは設定を変更してサービス再起動しても、今あるセッションはそのまま残りますので、設定が完全に出来上がって問題なくなるまで、作業中は切断しないようにするといいと思います。

 

Let’s Encryptの本格運用

コメントを残す

Let’s Encryptのベータが始まった時にも投稿したのだけれど、証明書の有効期限が迫ってきたので、本格運用に移らないといけない。
ベータの時から情報も増えて手探り感はなくなりました。新規に始める人は公式サイトを見るのが良いかと思います。
今回はベータからの上書きになるので心配でしたがそこら辺もサポートされているようです。

クライアントのインストール

公式通り

$ git clone https://github.com/letsencrypt/letsencrypt
$ cd letsencrypt
$ ./letsencrypt-auto --help

ただし、今回からcronで自動更新させるつもりなので、rootで行うようにしました。また、letsencrypのディレクトリもユーザホームではなく、/usr/localでやり直しました。

手動での証明書インストール

案の定というか、DebianでApacheを使っている時の動作がおかしかったようで、公式でもDebianだけやり方が違う旨の記述がありました。

./letsencrypt-auto --apache

これでインタラクティブに質問に答えていくと、証明書の発行からインストール、apacheのreloadまでやってくれました。
ベータの証明書が入っていたけど、そのへんもうまい具合に解決してくれました。

証明書の自動更新

証明書の有効期限は90日なので、毎回上のコマンドを叩いてもいいのですが、crontabに対話式でないコマンドを書いておくと自動更新してくれます。

40 23 02 * * /usr/local/letsencrypt/letsencrypt-auto certonly --webroot -w /var/www -d beth.mirahouse.jp --renew-by-default && /usr/sbin/service apache2 reload

ここでハマったんですが、http(80)のDocumentRootとhttps(443)のDocumentRootが違うと、認証に失敗します。DocumentRootに.well-knownというディレクトリを作って、認証の鍵を置くんですが、これの確認にhttpを使うみたいで、httpsのDocumentRootを指定しておくと見に行ってくれないようです。逆にhttpのDocumentRootを書いてもダメでした。
いまいち納得いきませんが、httpとhttpsのDocumentRootを一致させることで解決しましたが、なんとかならないものでしょうか。

apt-transport-https

コメントを残す

覚え書き

Dockerをインストールするために、https://docs.docker.com/engine/installation/debian/　このページを参考にして /etc/apt/source.list.d/docker.listに

deb https://apt.dockerproject.org/repo debian-jessie main

を追加してアップデートかけたら

E: The method driver /usr/lib/apt/methods/https could not be found.

というエラー。どうやらaptコマンドはhttpsに対応していないようです。
これを解決するには、タイトルのapt-transport-httpsをインストールすればいいようです。

Let’s Encrypt のベータ開始

1件のフィードバック

Let’s Encrypt は誰でもTLS(SSL)を無料で使えるようにしようと言うプロジェクト。個人でもhttpsで簡単に暗号化できるようになります。詳しいことは、プロジェクトのページを見てください。https://letsencrypt.org/

正式公開の前にベータテストが開始されましたので試してみました。

続きを読む →

debian 7 (wheezy) に jq をインストール

コメントを残す

自分用覚え書き

Debian wheezy にJSONとか整形するjqをインストールしようと思ったのにパッケージで提供されていない。安定版には含まれないようなので、レポジトリを追加しました。
/etc/apt/source.listに以下を追加しました

deb http://ftp.jp.debian.org/debian wheezy-backports main contrib non-free

あとはいつもどおり、updateして、インストールです。

debianでexim4の設定

コメントを残す

debianはインストール直後はexim4が動いていて、localhost内のメールだけ読み書きできるようになっています。外部から受け取る必要がなくても、内部のサービスや、各種ログなどを外に送りたいことは有ります。自前のMTAはいらないので外部のMTAにまかせてメールを送る設定をしてみたいと思います。今回はGoogle Appsにメールを送る方法を備忘録として残しておきます。

exim4の再設定

rootでdpkg-reconfigure exim4-configを実行します。以下のように設定しました。

General type of mail configuration: mail sent by smarthost; received via SMTP or fetchmail
System mail name:サーバのFQDN
IP-addresses to listen on for incoming SMTP connections:127.0.0.1 ; ::1
Other destinations for which mail is accepted:サーバのFQDN
Machines to relay mail for:(blank)
IP address or host name of the outgoing smarthost:smtp.gmail.com::587
Hide local mail name in outgoing mail? <Yes>
Visible domain name for local users:サーバのFQDN
Keep number of DNS-queries minimal (Dial-on-Demand)? <No>
Delivery method for local mail:mbox format in /var/mail/
Split configuration into small files? <No>

転送先アカウントの設定

今回はGoogle Appsのアカウントを使っているので、Google Account のユーザ名とパスワードを設定します。２段階認証を使っている場合は事前にアプリケーション固有のパスワードを取得しておきます。/etc/exim4/passwd.clientに以下を記述。

*.google.com:(メールアドレス)：(パスワード）

2019年9月頃にGoogleの仕様が変わりました。以下が正解です。

smtp.gmail.com:(メールアドレス)：(パスワード）

このファイルはパスワードが含まれるので、owner rootでgroup Debian-exim、パーミッションは640です。

また内部のメール転送のために/etc/email-addressesも設定しておきます。

設定の反映

update-exim4.confを実行して終わりです。

OpenBlocks A7 SSDなしでkernel-imageがアップデート出来ない件

コメントを残す

OpenBlocksのA7はSSDなしの運用も可能で、部品点数を出来る限り限り減らして故障の可能性を低くすることが可能。もちろん内蔵メモリだけで運用することになり、とても貧弱。なんと384MBしかない。GBの間違いじゃなくMBなのだ。

DNSだけやらせるとか、DHCPサーバだけやらせるといった目的には何の問題の内容量だけど、ある日いつもどおりaptitudeを使ってアップデートしようとしたらタイトルの通りkernel-imageがアップデートできなくなってしまった。

apitude update

aptitude safe-upgrade

これがいつものコマンドなのだが、容量が足りませんと言って何一つアップデート出来ない。しかたがないので、全てをアップデートするのではなく、aptitude safe-upgradeで、今からップデートするけどいい？、と聞かれた時に No と答えて、手動でインストール。

aptitude install hogehoge

kernel-image以外はそれほど大きくないので、難なくインストールできるのだけれど、kernel-imageだけで46MBなのに、残りは27MBしか空いていない。詰んだか。

実はreboot直後は147MBほど空いているのだが、aptitude updateしたあとで、残りが30MBほどになってしまうようだ。となると、aptitude update後のDBが膨れているようなので、/etc/apt/source.listを削ることにしました。

kernel-imegeはおそらくOpenBlocks専用だろうと予想を立てて、source.list内の

deb http://ftp.plathome.co.jp/pub/OBSA7/debian/wheezy ./

これ以外を全てコメントアウトして、aptitude updateしたら見事空き容量を確保出来ました。

めでたしめでたし。