鍵交換方式のメリット

暗号鍵（公開鍵と秘密鍵）の作成

Linux(Fedora)での作成方法

cd 　※ホームディレクトリに移動（ルートなら/root）
ssh-keygen -t rsa　※対話的に鍵を作成するコマンド

Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): （enter)
Enter passphrase (empty for no passphrase): (enter)　※パスワードなし
Enter same passphrase again: (enter)　※パスワードなし

すると下記のようなメッセージが表示されます。
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is: 69:91:33:f8:8f:1b:8e:25:52:63:ea:cf:52:fe:00:b8 root@client.network.domain

Mac osXでの作成方法

cd 　※ホームディレクトリに移動
ssh-keygen -t rsa　※対話的に鍵を作成するコマンド

Generating public/private rsa key pair.
Enter file in which to save the key (/home/fedoraz/.ssh/id_rsa): （enter)
Enter passphrase (empty for no passphrase): (enter)　※パスワードなし
Enter same passphrase again: (enter)　※パスワードなし

すると下記のようなメッセージが表示されます。
Your identification has been saved in /home/fedoraz/.ssh/id_rsa.
Your public key has been saved in /home/fedoraz/.ssh/id_rsa.pub.
The key fingerprint is: 69:91:33:f8:8f:1b:8e:25:52:63:ea:cf:52:fe:00:b8 fedoraz@macBook.local

公開鍵の登録

cd　※/home/fedorazに移動
mkdir .ssh
touch .ssh/authorized_keys　※登録ファイル作成（なければ）
　
■id_rsa.pubをFTPやSCPで転送した場合
cat id_rsa.pub >> .ssh/authorized_keys

■コピペで済ます場合（id_rsa.pubを開いて文字列をコピーしてから）
pico .ssh/authorized_keys
最終行にペースト
改行された場合は必ず改行を削除（一行にする）
ctl+o→ctl+x→yes

scp -P 12345 id_rsa.pub fedoraz@www.fedoraz.com:

SSHサーバの設定変更

鍵交換方式の認証方法を許可

# pico /etc/ssh/sshd_config

RSAAuthentication yes →行頭の#をはずす。値は'yes'
PubkeyAuthentication yes →行頭の#をはずす。値は'yes'
AuthorizedKeysFile .ssh/authorized_keys　変更なし

パスワード方式の認証方法を使用できなくする

PasswordAuthentication no　→値を'no'に

/etc/init.d/sshd restart

鍵交換方式でのssh接続方法

# pico .ssh/config

HOST FED1　　※任意の短い名称
HostName www.fedoraz.com　※サーバ名
User fedoraz　※サーバでのユーザ名
port 12345　※もし22番ポートから変更していたら
CheckHostIP no
IdentityFile ~/.ssh/id_rsa　　※クライアントPCでの秘密鍵の場所

ssh FED1

シェルスクリプトでバックアップ

.ssh/configの記述

HOST BACKUP
HostName backup.fedoraz.com
User admin
port 12345
CheckHostIP no
IdentityFile ~/.ssh/id_rsa

スクリプトの記述

#pico www_to_backup.sh

#!/bin/bash　　※この一行忘れずに

rsync -avhe ssh --delete /home/ BACKUP: www_backup > /dev/null 2>&1

chmod +x www_to_backup.sh

定期的に実行する

crontab -e　※viによる編集画面になります

「i」キーを押して編集モードに切り替え
00 04 * * * /root/www_to_backup.sh
「esc」キーを押して、
shift+Z　を二回押すと保存

＃＃＃このページはまだ書きかけです。＃＃＃

メール本文と認証を暗号化する

• メール送信時のユーザー認証（smtp = postfix）
• メール送信時のメール本文（smtp = postfix）
• メール受信時のユーザー認証（pop3 = dovecot）
• メール受信時のメール本文（pop3 = dovecot）

＃＃＃このページはまだ書きかけです。＃＃＃

SMTP（POSTFIX）の設定変更

#tls smtpd_tls_loglevel=3　
smtpd_use_tls = yes　
smtpd_tls_cert_file = /etc/pki/tls/certs/fedoraz_cert.pem　※
smtpd_tls_key_file = /etc/pki/tls/certs/fedoraz_key.pem　※
smtpd_tls_session_cache_database = btree:/etc/postfix/smtpd_scache
# smtpd_tls_wrappermode = no　※とりあえずコメントアウトで

下記の行の行頭にある#をすべて削除します。

submission inet n - n - - smtpd
-o smtpd_enforce_tls=yes
-o smtpd_sasl_auth_enable=yes
-o smtpd_client_restrictions=permit_sasl_authenticated,reject
smtps inet n - n - - smtpd
-o smtpd_tls_wrappermode=yes
-o smtpd_sasl_auth_enable=yes
-o smtpd_client_restrictions=permit_sasl_authenticated,reject

＃＃＃このページはまだ書きかけです。＃＃＃

• 年中無休24時間フル稼働させられるよう、なるべく安定方向で構成を考えます。
• 使用する回線はNTT東日本のB-Fletハイパーファミリー1回線です。2セッション同時に使用して、2つのISPに接続します。
• 2つのネットワークの使い分けは、一方がサーバ用（NETWORK1）、もう一方が普段自分が使用するクライアントPC用（NETWORK2）です。NETWORK2にはセカンダリDNSも立てます。
• サーバマシンは今回市販のサーバ専用機（IBMとDELL）を使用しています。

回線とプロバイダー

• プロバイダによってはサーバを立てることを禁止している、あるいはポートが塞がっているところもあるようです。十分注意して契約しましょう。
• 帯域制限をかけているISPもあります。これは多くの場合問い合わせてみないとわからない（サイト上に記載がない）ようです。
• 固定IPのサービスがないISPもあります。ダイナミックDNSという手もありますが、今回は固定IPでの運用方法を説明しています。
• 逆引きの設定がオプションでできるところもありますので、これを利用するのもいいでしょう。

ドメイン取得

• サーバに制約がある場合がある。そこのレンタルサーバを使用しなければならない等。
• レジストラ移転（ドメイン管理の移転）ができない場合がある。プロバイダを通じて取得した場合、プロバイダを変えたい時に面倒だったりする。

使用機材

• サーバA　・・・1stDNS、WWW、FTP
• サーバB　・・・MAIL
• サーバC　・・・2ndDNS、ローカル用ファイルサーバ（NETWORK2内に立てる）

ネットワーク機器としては、ONUからの回線を2つのネットワークにわけるためのハブ、各ネットワーク用のルータ（計2台）を用意しました。1台のルータで2セッションはれるものもありますが、安価な機種だと、実は切替（同時接続不可）だったり、同時使用するととたんに挙動が不安定になったりするものもあるようです（実際ありました）。
VRRPに対応しているかどうかもポイントですが、当初はルータの冗長化までは行わないことにします。

その他の機材として、ラインインタラクティブ型のUPS(無停電電源装置)を用意しました。Linuxの自動シャットダウンに対応しています。無停電とはいっても、今回の構成では約8分ほどしかもたない計算ですが、ないよりはずっと精神衛生上いいかと思います。]]> level1 http://www.fedoraz.com/index.php?itemid=3 Thu, 09 Feb 2006 22:46:58 +0900 http://www.fedoraz.com/index.php?itemid=4 ネットワーク構成図 サーバやルータ、ハブなどをイーサネットケーブルで繋いでいきます。サーバにはNICが２枚刺さっていますが、まずはシンプルな構成で立ち上げます。

まずONU（図中ではmodemとなっていますが）からハブ（レイヤー２スイッチ）へ接続し、ハブから各ネットワークのルータに接続します。ハブで物理的にネットワークを２つに分割します。
RT1にはPROVIDER-Aへの接続設定を、RT2にはPROVIDER-Bへの接続設定をしておけば、２つのネットワークから問題なく接続することができます。
サーバマシンへはハブを介してもいいですが、この図ではハブ内蔵のルータを想定して、直接ルータに接続しています。
黄色の線はUPS（無停電電源）からその機器の電源をとることを意味しています。

IPアドレス

• GlobalIP xxx.xxx.xxx.10（ISPに固定IPを振ってもらう）
• 割り当てるドメイン名 fedoraz.com
• LocalIP 192.168.1.0/24
• RT1（ルータ）　192.168.1.1
• Server-A 192.168.1.100
• Server-B 192.168.1.101

• GlobalIP xxx.xxx.xxx.20（ISPに固定IPを振ってもらう）
• 割り当てるドメイン名 fedoraz.net
• LocalIP 192.168.2.0/24
• RT2（ルータ）　192.168.2.1
• Server-C 192.168.2.102

SERVER A（192.168.1.100）

• dns （ポート53）　プライマリネームサーバ。ドメイン名の解決。
• www　（ポート80）　ウェブサーバ。ウェブサイトの公開に。
• ftp　（ポート20,21）　FTPサーバ。ファイルのアップ＆ダウンロードに。
• ssh　（ポート22）　SSHサーバ。リモートでのサーバの管理に。

SERVER B（192.168.1.101）

• smtp （ポート25）　SMTPサーバ。メールの送信に。
• pop3　（ポート110）　POP3サーバ。メールの受信に。
• ssh　（ポート22）　SSHサーバ。リモートでのサーバの管理に。

SERVER C（192.168.2.102）

• dns （ポート53）　セカンダリネームサーバ。ドメイン名の解決。
• ftp　（ポート20,21）　FTPサーバ（ローカル用）。ファイルのアップ＆ダウンロードに。
• ssh　（ポート22）　SSHサーバ。リモートでのサーバの管理に。
• Samba　・・・Win用のファイルサーバ。ポートは開けない（外部不可）
• Netatalk　・・・Mac用のファイルサーバ。ポートは開けない（外部不可）

ルータのアドレス変換設定

RT1（NETWORK Aのルータ）

RT2（NETWORK Bのルータ）

その他、https（ポート443）やimap（ポート143）を使用する場合は該当のルータに設定を追加しましょう。
Server-BのSSHはポート10022のパケットを192.168.1.101のポート22に流すことで、SSHを2つのサーバ両方で利用できるようにします。同じプロトコルを複数のサーバで使いたいときは、このようにルータのポート変換機能を利用することで可能になります（クライアント側でのポートの指定がいりますが）。

Server-Bにリモートログインする時のコマンド

$ ssh -p 10022 admin@xxx.xxx.xxx.xxx

Red Hat社のFedora Projectからでもいいですし、日本のFedora JP Projectにあるリンク先からでもいいので、4枚分ダウンロードしましょう。
下記は理研のページです。
http://ftp.riken.jp/Linux/fedora/core/4/i386/iso/

必要なCDイメージはこの4つです。名前にSRPMSがないほうですのでご注意ください。

• FC4-i386-disc1.iso
• FC4-i386-disc2.iso
• FC4-i386-disc3.iso
• FC4-i386-disc4.iso

インストール

最初のプロンプトで、単にEnterを押せば通常のグラフィカルインストール画面に進みます。もしその画面で表示の不具合（画面が出ない、画面が大きくて全体が表示されない等）の場合は、再度電源を入れ直し、最初のプロンプトで、

linux nofb

linux resolution="640x480"

linux text

1 Welcome to Fedora Core

2 Language Selection

3 キーボード設定

4 インストールの種類

5 ディスクパーティションの設定

■パーティションの構成例

データベースを動かす予定なら/varはもっとあってもいいかもしれません（/var/lib/mysqlなどを使うので）。もっぱらyumでしかインストールしないこともあり、/usr/localは特に分けていません。

■HD1台構成での手動パーティション

以下Disk Druidの画面での操作説明です。

1. マウントポイントを入力または選択します。ex:"/boot"　（SWAPのみマウントポイントはありません。）
2. ファイルシステムを選択します。"ext3"　（SWAPのみファイルシステム"swap"を選択してください。）
3. 固定容量を選択し、確保したい容量を入力します。単位に注意。　ex:"100"（/homeのみ"最大許容量まで使用"にチェックし、適当な数字を入力しておきます。）
4. "/"および"/boot"はプライマリパーティションにチェックを入れます。
5. OK→これをすべてのパーティションが確保できるまで繰り返します。上記の構成例の場合、6回行うことになります。

■HD2台でRaid 1を構成する場合

以下Disk Druidの画面での操作説明です。

1. 左端の「新規」をクリックします
2. ファイルシステムから「software RAID」を選択します。
3. 使用可能なドライブはマスターとなる1台（sda、hda等）にチェックを入れ、もう1台のほう(sdb、hdｂ等）はチェックをはずします。
4. 固定容量を選択し、確保したい容量を入力します。単位に注意。　ex:"100"（/homeにする予定のパーティションのみ"最大許容量まで使用"にチェックし、適当な数字を入力しておきます。）
5. "/"および"/boot"にする予定のパーティションは、プライマリパーティションにチェックを入れます。
6. OK→これをすべてのパーティションが確保できるまで繰り返します。上記の構成例の場合、6回行うことになります。
7. 続いてパーティション情報をもう1台のHDにコピーします。右から2番目の「RAID」をクリックします
8. "Clone a drive to create a RAID device"を選択し、パーティションを設定したHDからもう1台へパーティション情報をコピーします。コピー元、コピー先を間違えないように。
9. 次に2台のHDのパーティションを束ねてRAIDを構成していきます。「RAID」をクリックします
10. "Create a RAID device"を選択します。
11. マウントポイントを選択します。ex:"/boot"（SWAPのみマウントポイントはなしです。）
12. ファイルシステムを選択します。"ext3"　（SWAPのみファイルシステム"swap"を選択してください。）
13. RAIDデバイスを選択します。（上から順番に。）ex:md0
14. RAIDメンバーを選択します。該当するパーティション（順番は入れ替わってしまっているので、容量から判断してください）を2つのHDから選択しますが、全選択されていますので、該当パーティション以外のチェックをはずすという作業になります。ex:"sda1とsdb1以外のチェックをはずす"
15. RAIDレベルは1を選択。デフォルトでRAID0が選択されているので、忘れずに変更します。
16. スペアは0です
17. OK→パーティション数の分9から繰り返します。

5 ブートローダの設定

6 ネットワークの設定

1. 編集をクリックし、ローカルIPアドレスとネットマスクを入力します→OK。ex:"192.168.1.100/255.255.255.0"
2. ホスト名を手動設定します。ex:"server-a.fedoraz.com"
3. ゲートウェイにルータのIPアドレスを入力します。ex:"192.168.1.1"
4. 必須ではありませんが、DNSの1番目と2番目にプロバイダのネームサーバを入力しておきます。

7 ファイヤーウォール設定

8 タイムゾーンの選択

9 Rootパスワードを設定

10 パッケージグループの選択

11 インストール準備完了

12 インストールの完了

Fedora Core release 4(Stentz)
Kernel 2.6.11-1.1359_FC4 on an i386

linux login:root
Password:******* ※実際は表示されません

[root@linux ~]#

# useradd admin
# passwd admin
Changing password:******** ※実際には表示されません
Retype new UNIX password:********　※パスワードは同じものを2度入力します
passwd: all authentication tokens updated successfully.

それでは、今作ったadminアカウントでログインし、さらにsuコマンドでスーパーユーザー（＝root）になってみます。

# exit

linux login: admin
Password: ******* ※実際は表示されません

$su -
Password: *******　※rootのパスワードを入力します

#　　　←スーパーユーザー（＝root）になった

エディターpicoのインストール

# wget ftp://ftp.cac.washington.edu/pine/pine-4.64-1.i386.rpm
# rpm -ivh nodeps pine-4.64-1.i386.rpm

yumでアップデート

# yum -y update

不要なサービスの停止

# ntsysv

• crond
• network
• sshd
• syslog

rootになれるユーザーの制限

# pico /etc/group
wheel:x:10:root → wheel:x:10:root,admin　に書き換え

# pico /etc/login.defs
最終行に"SU_WHEEL_ONLY yes"を一行追加

# pico /etc/pam.d/su
6行目の行頭の#を削除して有効にする
auth required /lib/security/$ISA/pam_wheel.so use_uid

ファイル検索データベースのアップデイト

#updatedb

# pico /etcsysconfig/network
NETWORKING=yes
DOMAINNAME=fedoraz.com　※一行追加
HOSTNAME=server-a.fedoraz.com
GATEWAY=192.168.1.1

HOSTSファイルの設定

# pico /ets/hosts
127.0.0.1 server-a.fedoraz.com www dns localhost.localdomain localhost
192.168.1.100 server-a.fedoraz.com www dns

RESOLVファイルの設定

# pico /etc/resolv.conf
nameserver xxx.xxx.xxx.xx　※プロバイダ指定のネームサーバ1
nameserver xxx.xxx.xxx.xx　※プロバイダ指定のネームサーバ2
search fedoraz.com　※一行追加
domain fedoraz.com　※一行追加

上記の一連の書き換えが終わったら、ネットワーク周りを再起動します。

# etc/init.d/network restart

# reboot

rootログインの禁止

# pico /etc/ssh/sshd_config

#PremitRootLogin yes → PermitRootLogin no　※行頭の#を削除し、yesをnoに
#permitEmptyPasswords no →　行頭の#を削除

# /etc/init.d/sshd restart

IPによるアクセス制限

# pico /etc/hosts.allow
sshd: 192.168.1.　※最終行に追加。最後の"."を忘れないように。
sshd: xxx.xxx.xxx.xx　　※外部のグローバルIPまたはドメイン名

# pico /etc/hosts.deny
sshd: ALL　※最終行に追加

また、外部から接続したい時に（たとえばサーバが会社にあり、自宅から接続したいといった場合）、その環境が固定IPではないとIPによる許可ができないことになります。その場合下記のようにその環境で利用しているプロバイダのURLを設定することで接続を許可する方法もあります。ただしそのプロバイダーを利用している全ユーザーの環境から接続可能になってしまいますが。

/etc/hosts.allowの設定に下記を追加
sshd: .ppp.il24.net