[[PageOutline]] * known_hostsから特定のhostのフィンガープリントを削除 * ssh-keygen -R "hostname" * [http://d.hatena.ne.jp/m19cmjigen/20110309 ssh-keyscanによるknown_hostsの更新 - へたれのへたれの為のへたれ記] > * # ログイン用サーバーのリストの作成 > * $vim server.txt > {{{ > server1 > server2 > server3 > ・・・ > }}} > * #フィンガープリントの作成とknown_hostsへの書き込み > * $bash -c "ssh-keyscan -f servers.txt" >> ~/.ssh/known_hosts * [http://sugi.nemui.org/diary/20100410.html#p02 |linux| autossh + daemontools で ssh トンネルを維持する - TPRG: memo (2010-04-10)] * via [http://d.hatena.ne.jp/naba_san/20110425/1303747690 SSHの自動接続サービス (ポート転送とか) - なば日記@不完全なマシマロ] = X11Forwarding with another user = * [http://www.diederickdevries.net/blog/2010/06/05/x-forwarding-and-sudo/ My Cup of Tea / X Forwarding and sudo] > The reason for this is that: > X authentication is based on cookies — secret little pieces of random data that only you and the X server know… So, you need to let the other user in on what your cookie is (http://www.debian-administration.org/articles/494). > > {{{ > me@localbox:~$ ssh -X remotebox > me@remotebox:~$ chmod 644 .Xauthority > me@remotebox:~$ su - otheruser > Password: > otheruser@remotebox:~$ export DISPLAY=localhost:10.0 > otheruser@remotebox:~$ export XAUTHORITY=/home/me/.Xauthority > }}} * sudo する場合は「chmod 644 .Xauthority」は必要ない(rootからは必ず読めるため) = disable certain users to login with ssh = * [http://www.atmarkit.co.jp/flinux/rensai/linuxtips/739pamssh.html @IT:sshの利用をユーザー単位で許可/不許可するには] * /etc/pam.d/sshd {{{#!diff @@ -15,7 +15,7 @@ # Uncomment and edit /etc/security/access.conf if you need to set complex # access limits that are hard to express in sshd_config. -# account required pam_access.so +account required pam_access.so # Standard Un*x authorization. @include common-account }}} * /etc/security/access.conf {{{#!diff -:USERNAME:ALL }}} = avoid sshd brute force = * [http://dora.bk.tsukuba.ac.jp/~takeuchi/index.php?%B4%C9%CD%FD%BC%D4%2Fsshd%20%A4%D8%A4%CE%B9%B6%B7%E2%A4%F2%B7%E2%C2%E0 管理者/sshd への攻撃を撃退 - takeuchi@ShigekawaLab] * [http://dsas.blog.klab.org/archives/50208645.html DSAS開発者の部屋:ssh の brute force アタックパケットの制限 -- DOS 的パケットをフィルタリングする] * 対象はSSHdだが、ポートを変えるだけで他のサービスにも応用できそう * [http://slashdot.jp/linux/comments.pl?sid=401869&cid=1345065 コメント: Debianのopensslパッケージに欠陥発覚 - スラッシュドット・ジャパン] {{{ iptables というか Netfilter で tcp/22 への SYN はゆっくりしか受け取れない 設定をしていたので,総当たりするとなると何日もかかると思うんだよな・・ }}} * [http://kaworu.jpn.org/kaworu/2008-02-20-1.php sshブルートフォースアタックを防ぐiptablesを使ったblocksshd] = Cluster SSH = * [http://blog.livedoor.jp/hakin/archives/51564707.html しげふみメモ : Cluster SSHで複数ホストでコマンド同時実行]