Linuxのsuやsshが遅い - 銀の鍵 (The Silver Key)
ウチのお客さんのところでは、その顧客のLinuxサーバー計数百台にアプリを導入してサービスを提供している。それだけの数を捌いていると、不思議な現象に出くわすもので、今回の「超常現象」はsuやsshの実行が非常に遅いというものであった。 このようなケースで多々あるのは、名前解決や認証系がきちんとセットアップされておらず、そこでしばらく立ち往生してしまうことだ。sshについては、ssh接続が妙に遅い・・・でも記事にしたけれども、そこで書いた以外にも原因となるものがある。 まず、Why does sudo command take long to execute?にも指摘されている通り、sudo、ひいてはsuが遅い原因のひとつとして、Fedoraのインストール中にホスト名を変更したために、/etc/hostsファイルにそのホスト名が登録漏れを起こすというケースがある。そのときには、自分でホスト名
多段SSHの設定を.ssh/configにまとめる - Qiita
概要 踏み台サーバを経由した多段SSHの設定をconfigにまとめる方法 接続するマシンは、WANやゲートウェイ内のネットワークのいずれにも属する可能性があると想定(ノートPC等) ネットワーク図 図のようにゲートウェイ経由でしかアクセスできないネットワーク内にさらにゲートウェイがあるネットワークを想定 単純な多段SSHの書き方 host gateway HostName sshgate.hoge User hoge Host RemoteHost-out HostName RemoteHost User fuga ProxyCommand ssh -W %h:%p gateway 上記の設定を~/.ssh/configに書いた後、 ssh RemoteHost-out でgateway経由でのアクセスが可能 複数に同時に設定を適応する場合 .ssh/configには複数の設定をワイルドカ
[Java]Apache MINA sshdでオレオレsshサーバを作ろう - 2014-03-30 - 新・たけぞう瀕死の日記
GitBucket 1.12ではssh経由でのリポジトリアクセスをサポートしていますが、これに使用しているのがApache MINAのsshdです。 https://mina.apache.org/sshd-project/index.html Apache MINAはNIOを使用したTCP/IP、UDP/IPベースのネットワークサーバアプリケーションのためのフレームワークで、sshdはMINAを使用して実装されたsshサーバということになります。MINAのsshdは比較的簡単に再利用できるようになっており、Javaアプリケーションでsshを使用した暗号化通信を行いたい場合に使用することができます。 Javaを使用したOSSのsshdの実装を提供しているのは僕の知る限りMINAだけであり（クライアントはいくつか実装がありますが）、JenkinsやGerritなどもこれを使ってsshサーバの
![[Java]Apache MINA sshdでオレオレsshサーバを作ろう - 2014-03-30 - 新・たけぞう瀕死の日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/a205d4a9146ab0dbe72124456bb2cc09672e9600/height=288;version=1;width=512/http%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Ft%2Ftakezoe%2F20140330%2F20140330191439.png)
fail2banでSSH攻撃対策を強化する(filter.d/sshd.confを編集する) - 本日も乙
前回の記事でfail2banをインストールすることによってSSH攻撃の対策ができました。 しかし、ログインのログ(/var/log/secure)を見るとこのようなログが残っていました。 Feb 21 09:28:28 foofoo.com sshd[20592]: Address xxx.xxx.xxx.xxx maps to hogehoge.net, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT! Mar 5 19:29:11 foofoo.com sshd[3938]: reverse mapping checking getaddrinfo for hogehoge.net [xxx.xxx.xxx.xxx] failed - POSSIBLE BREAK-IN ATTEMPT! Mar
fail2banをインストールしてサーバへの不正攻撃を防ぐ - 本日も乙
VPSなどサーバを外部に公開していると、様々な攻撃を受ける可能性があります。例えば、パスワードを総当りで入力してSSHログインしようとするブルートフォース攻撃などが代表的です。 以前、公開した公開鍵認証でSSH接続する方法に変更していれば秘密鍵を盗まれない限り、サーバにSSH接続することができませんが、攻撃をただただ受けるのは嫌なのでfail2banをインストールして対策しましょう。 fail2banのバージョンは0.8.11-2.el6 です。 0.8.11 より古いバージョンは脆弱性があるとのことなので、古いバージョンをインストールしている人はアップデートしてください。 fail2banのインストール epelパッケージをインストール $ sudo rpm -Uvh http://download.fedoraproject.org/pub/epel/6/x86_64/epel-rel
【きょうのITレポ】ハニーポット可視化ツール、Kippo-Graphを導入してみた | ショなんとかドットねっと
正月休みに毎晩晩酌していた@shonantokaです。 昨日の投稿に引き続きハニーポットネタです。 sshハニーポットKippoのデータ可視化ツール、Kippo-Graphを情報収集効率化のために導入したので紹介します。 そもそもなぜハニーポットを… 昨日の投稿では経緯は割愛と書きましたが、本稿でご紹介します。 大きく4点あります。 パスワード攻撃への興味 Security Casual Talks (すみだセキュリティ勉強会その２)への参加 自身で本ブログ（wordpress）の運用 攻撃者視点の考え方の学習欲求 なかでも、二番目の勉強会に参加し、さくらのVPSに来る悪い人を観察する その２を聴講したのがトリガーとなりました。 本勉強会により、ウェブへのリスト型アカウントハッキングとSSHの攻撃傾向は異なるかもしれないが、調査する価値があると感じ、[セキュリティ] sshハニーポットを
OpenSSH 6.2を使って公開鍵認証もLDAPで行いたい。 - Qiita
公開鍵認証もLDAPで行いたい。LDAPを使うと各サーバの認証情報を一元管理できるけど、公開鍵認証を行ってる場合、公開鍵も一元管理できると便利だ。OpenSSHはLDAPに対応していないので、OpenSSH-LPKというパッチを当てて対応する必要があるんだけど、OpenSSH 6.2からはパッチを当てなくても良くなったと聞いてやってみることにした。 Wheezy-backportsからDebian WheezyにOpenSSH 6.4を入れる Debian WheezyのOpenSSHは6.0なので、Wheezy-backportsからインストールする。 $ sudo echo "deb http://ftp.jp.debian.org/debian wheezy-backports main" >> /etc/apt/sources.list $ sudo aptitude update
tmuxで複数サーバの同時オペレーション
インフラ担当の池田（@mikeda）です。 tmuxを使い初めて1年くらいになりました。 今日はtmuxの、普段のオペレーションでよく使ってる機能を紹介します。 複数サーバで同時オペレーション tmuxにはキー入力を全てのpaneで同期する機能があります。 この機能を使って複数paneでそれぞれ別のサーバにsshログインすると、 複数サーバに同じコマンドを打ったり、 内容が同じ設定ファイルであればviで同時編集したりができます。 同期する/しないはコマンドでも切り替えられますが、 set-window-option synchronize-panes on set-window-option synchronize-panes off tmux.confにショートカットを設定しておくと便利です。 bind e setw synchronize-panes on bind E setw sy
ssh の認証方法をユーザごとに設定する - isseium's blog
これまでは公開鍵認証をすべてのユーザに適用して、パスワード認証を無効にしていました。 が、諸事情で、あるユーザのみパスワード認証を使う必要がでてきたのでメモ。 方針 原則として公開鍵認証のみ ユーザ a のみパスワード認証も有効にする キーワード /etc/ssh/sshd_config Matchブロック 手順 # vi /etc/ssh/sshd_config 原則として公開鍵認証のみを有効に 以下の設定になっているか確認します。 PubkeyAuthentication yes PasswordAuthentication no（記載がない場合はどこかに書いてください） ユーザa にのみパスワード認証を有効にする 最下部に以下を挿入 Match User a PasswordAuthentication yes あとがき これで完成です。 ユーザ以外にも、グループ、ホスト名、IPアド
定番SSHクライアント「Google Chrome」
はじめに こんにちは。KMC2回生のtyageです。 京都もほんとに寒くなってきて鍋が捗りますね。簡単だし美味しいあったまるし、最高ですね。 この記事はKMCアドベントカレンダー2013の17日目の記事で、 昨日は1回生のnona65537君によるSSH の二段階認証についてでした。 今日はGoogle ChromeというSSHクライアントの紹介なのですが、12日間続いたKMCアドベントカレンダーのサブプロジェクトであるSSHアドベントカレンダーもこれで最後になります。 最後がこれでいいのか？とも思うのですが、今までの内容がハードだったという方に向けて優しい内容となっておりますので、安心して御覧ください。 定番SSHクライアント「Google Chrome」 Google Chrome（もしくはChromium）と聞いて「あっ、SSHクライアントのことか！」と思われた方には少し物足りないか
GitHub に登録した SSH 公開鍵は全世界に公開されている | 774::Blog
意外と知らない人がいるようなのでブログに書いておきます。 GitHub のアドレスのあとに .keys を付けるとその人の SSH 公開鍵が表示される。 たとえば id774 さんの公開鍵であれば https://github.com/id774.keys を参照すれば良い。 ぜひ自分のアカウントで試してみて欲しい。 新規に用意するサーバーの ~/.ssh/authorized_keys に上記アドレスを wget したものを置いて適切なパーミッションを設定しておけばすぐに公開鍵認証ができるというわけである。 もうそろそろ公開鍵をメールで送ってくれとかいう文化が滅亡して GitHub から勝手に公開鍵を持っていくのが常識な世界になってほしい。
MuninでSSHログイン失敗数を記録してみた - Qiita
Muninを使うとサーバの色々な値（ディスク使用量、MySQLのスロークエリ数、HTTPアクセス数、CPU使用率などなど）をいい感じにグラフ化して表示してくれるのでサーバのリソース監視にとても便利と聞きました。 自分の管理しているさくらVPSのUbuntuサーバに入れて色々監視してみたのですが、なにかのウェブアプリを運用してるでもないため特に見応えがない。そこでそんな弱小サーバでもガンガンにアクセスが来るsshdのログイン失敗数を監視してみることにしました。 # 招かれざるお客様達 Jul 14 08:58:16 hogel sshd[16682]: Invalid user web from 218.53.55.189 Jul 14 08:58:17 hogel sshd[16686]: Invalid user nagios from 218.53.55.189 Jul 14 08:5
【Munin】Native SSH 転送の概要と設定方法(ver 2.0～) | Pocketstudio.jp log3
◆ Munin 2.0 の新機能、Native SSH Transport 概要 Munin 2.0 からは、”Native SSH Transport”機能が搭載されました。バージョン 2.0 以降であれば、SSH を経由して Munin の通信をトンネリングする事ができます。 SSH を通してデータをやりとりしますので、セキュリティ上のリスクが減るメリットがあります。従来は、Port 4949 をファイアウォールでオープンにしなくてはいけなかったり、平文で通信を行っているため通信上のリスクがありました。また、外部ネットワークへの通信(outbound)が遮断されている環境や NAT されたネットワークでは、これまで通信を行う事ができませんでした。それらは、今後 SSH 経由で munin-node のデータが取得できるようになります。 では、具体的にはどのような仕組みになっているのでし
X11 forwarding
はじめに KMC の黒魔術師 @t_uda です。昔はブラウザで動く黒魔術1が専門でしたが、最近は TeX 黒魔術2にも手を染め始めました。 この記事は KMC アドベントカレンダー 2013 の 10 日目の記事です。昨日の記事は nona 君の「楽しいトンネルの掘り方(オプション: -L, -R, -f, -N -g)」でした。SSH アドベントカレンダー 2013 の 3 日目の今日は X11 forwarding の話をします。一応、専門的な説明は避けて (Open)SSH 初心者向けにカンタンな「使い道」の紹介をするつもりです（技術的な話を期待していた人ごめんなさい）。 SSH ⇒ CUI ? 突然ですが皆さん“SSH”にどのよう印象をお持ちでしょうか。 「黒い」？ 「コマンドライン」？ 「リモートで何かできる」？ 日課と趣味が SSH な KMC 部員3からはこんな言葉は出てこ
managing sshd with Ansible – Michael W Lucas
Michael W Lucas Crime writer. Many of those crimes involve computers. My environment has two common tasks when managing OpenSSH servers: copying user’s authorized_keys files to the server, and changing the sshd configuration file /etc/ssh/sshd_config. I use Ansible for both, using a single playbook. Running the playbook updates all the authorized_keys files on every host and verifies that sshd is
Dynamic DNS を使って SSH アクセスを制限する方法 - kazuhoのメモ置き場
いつでもどこからでもサーバにログインしたくなるときってありますよね。かといって、サーバの sshd への接続を全世界から可能にしておくというのは、たとえパスワード認証を無効化していても避けたいところ。 今までは自宅が事実上固定アドレスだったので、クライアントの IP アドレスによるフィルタリングで問題なかったんだけど、引越後は IP アドレスがコロコロ変わるようになるので、そのままだと対応できない。なのでちょっと頭をひねってみた。こんな感じ。 SSH ポートについては、 iptables 等パケットフィルタによるアクセス制限を行わない sshd も対応している hosts_access を使って、ホスト名の「正引き」による制限を行う モバイル環境に Dynamic DNS のクライアントをインストールして、正引きのマッピングを自動更新 具体的には、以下のような感じで設定した。 % cron
個人サーバのファイアウォールを活かしつつ、どこからでもログインする方法 (CGI編) - kazuhoのメモ置き場
以前、 いつでもどこからでもサーバにログインしたくなるときってありますよね。かといって、サーバの sshd への接続を全世界から可能にしておくというのは、たとえパスワード認証を無効化していても避けたいところ。 Dynamic DNS を使って SSH アクセスを制限する方法 - kazuhoのメモ置き場 ということでDynamic DNSを使う方法でやってきてたんだけど、いろいろ不便があったので、HTTPベースに変えた。具体的に言うと、 #! /usr/bin/perl use strict; use warnings; my $TARGET_FILE = '/etc/hosts.allow.d/www/update_addr_cgi'; print "Content-Type: text/plain\r\n\r\n"; my $remote_addr = $ENV{REMOTE_ADDR
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Tera Term」初版公開から20周年を迎えたことを記念したv4.81が公開／Windows OSの稼働時間を取得する“uptime”コマンドを追加
多機能が魅力のターミナルエミュレーター「RLogin」NOT SUPPORTED
SSH ハニーポットでの悪い人の観察
