パスワード認証によるSecure Shell（SSHv1）基本設定

暗号技術を用いて安全なリモートログインを可能にするSSH（Secure Shell）の使用方法について説明します。ここではパスワード認証によるリモートログインの設定方法を、PPPoEインターネット接続環境を例に解説します。

Secure Shell（SSH）は、暗号技術を利用してネットワーク経由のログインなどを安全に行うためのプロトコルです。通信内容の暗号化により盗聴や改ざんを防ぐほか、サーバーホストやユーザーの認証機能によってなりすましによる攻撃を防御することもできます。本製品は、SSHv1のみに対応しています。

ここでは、本製品をSSHサーバーおよびクライアントとして使用するための設定方法について説明します。ここでは、ルーターAをSSHクライアント、ルーターBをSSHサーバーとします。SSHのログイン認証は、パスワード認証方式で行います。

ISPからは次の情報を提供されているものとします。

表 1：ISPから提供された情報

ルーターA（SSHクライアント） ルーターB（SSHサーバー）

PPPユーザー名 user@ispA user@ispB

PPPパスワード isppasswdA isppasswdB

PPPoEサービス名指定なし指定なし

また、以下に各ルーターの基本設定についてまとめます。

表 2：ルーターの基本設定

ルーターA（SSHクライアント） ルーターB（SSHサーバー）

WAN側物理インターフェース eth0 eth0

WAN側（ppp0）IPアドレス 23.45.67.89/32(固定) 12.34.56.78/32(固定)

LAN側（vlan1）IPアドレス 192.168.10.1/24 192.168.20.1/24

ルーターAの設定

WAN側Ethernetインターフェース（eth0）上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。
ISPから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。また、ISDN向けの機能であるBAPはオフにします。
IPモジュールを有効にします。
LAN側（vlan1）インターフェースにIPアドレスを設定します。
WAN側（ppp0）インターフェースにISPから割り当てられたIPアドレスを設定します。
デフォルトルートを設定します。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

ルーターBの設定

セキュリティーモードで各種設定を行うことのできるSecurity Officerレベルのユーザー「secoff」を作成します。パスワードは「PasswordS」とします。
Note - Security Officerレベルのユーザーを作成しておかないと、セキュリティーモードに移行できませんのでご注意ください。
WAN側Ethernetインターフェース（eth0）上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。
ISPから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。また、ISDN向けの機能であるBAPはオフにします。
IPモジュールを有効にします。
LAN側（vlan1）インターフェースにIPアドレスを設定します。
WAN側（ppp0）インターフェースにISPから割り当てられたIPアドレスを設定します。
デフォルトルートを設定します。
SSHサーバーの起動に必要なサーバー鍵とホスト鍵を作成します。
SSHサーバーを有効にします。
SSHユーザーを作成します。ここではManager権限のユーザーを作成しています。
Note - ADD USERコマンドで指定したパスワードとADD SSH USERコマンドで指定したパスワードは異なっていてもかまいません。SSHログイン時に使用するのは、ADD SSH USERコマンドで指定した方です。
Security Officerレベルのユーザーでログインしなおします。
動作モードをセキュリティーモードに切り替えます。
Note - セキュリティーモードでは、Security OfficerレベルでのTelnetログインが原則として禁止されています。セキュリティーモードにおいて、Security OfficerレベルでTelnetログインしたい場合は、あらかじめRSO（Remote Security Officer）の設定を行っておいてください（本章末尾のメモを参照）。

Note - セキュリティーモードに移行したあとで、再度ノーマルモードに戻すと、暗号鍵などの情報は失われます。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

以上で設定は完了です。

次のようにしてルーターAからルーターB（SSHサーバー）にログインします。最初の接続時には、ルーターBのホスト鍵が送られてきますので、ルーターAでホスト鍵を登録後、再びログインします。

■ SSHサーバーへのログイン

Manager > SSH 12.34.56.78 USER=mgr PASS=sshmgrpass

Host key not recognised - saved as ssh.key

Manager >

SSH. Session closed.

Manager > CREATE ENCO KEY=10 TYPE=RSA FILE=ssh.key DESCRIPTION="SSHServer Host Key" FORMAT=SSH

Info (173003): Operation successful.

Manager > SSH 12.34.56.78 USER=mgr PASS=sshmgrpass

SSH session now in ESTABLISHED state

Manager >

■ セキュリティーモードに移行すると、Security OfficerレベルでルーターにTelnetログインすることができなくなります。セキュリティーモードにおいて、Security OfficerレベルでTelnetログインしたい場合は、あらかじめRSO（Remote Security Officer）コマンドを使ってログインを許可するホストのIPアドレスを指定しておく必要があります。

たとえば、ネットワーク192.168.10.0/24、192.168.20.0/24、192.168.30.0/24上のすべてのホストからSecurity OfficerレベルでのTelnetログインを許可する場合は、次のようにします。


ENABLE USER RSO ↓

ADD USER RSO IP=192.168.10.0 MASK=255.255.255.0 ↓

ADD USER RSO IP=192.168.20.0 MASK=255.255.255.0 ↓

ADD USER RSO IP=192.168.30.0 MASK=255.255.255.0 ↓

■ セキュリティーモードでは、たとえSecurity Officerでログインした場合であっても、セキュリティーコマンドを一定期間入力しないでいると、次回セキュリティーコマンドを入力したときにパスワードの再入力を求められます。このタイムアウト値は、下記コマンドによって変更できますが、IPsecの設定を行うときは、ノーマルモードで設定を行った後、セキュリティーモードに変更することをおすすめします。

■ セキュリティー関連コマンドのタイムアウトは、次のコマンドで変更できます。SECUREDELAYパラメーターには、10～600（秒）を指定します。デフォルトは60秒です。

SET USER SECUREDELAY=300 ↓

まとめ

ルーターAのコンフィグ [テキスト版]

CREATE PPP=0 OVER=eth0-ANY ↓ SET PPP=0 OVER=eth0-ANY USER=user@ispA PASSWORD=isppasswdA LQR=OFF BAP=OFF ECHO=ON ↓ ENABLE IP ↓ ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓ ADD IP INT=ppp0 IP=23.45.67.89 MASK=255.255.255.255 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓

ルーターBのコンフィグ [テキスト版]
* 「#」で始まる行は、コンソールから入力しないと意味を持たないコマンドか、設定ファイル（.cfg）に記述しても無効なコマンドを示しています。詳細は本文の説明をご覧ください。

ADD USER=secoff PASSWORD=PasswordS PRIVILEGE=SECURITYOFFICER ↓ CREATE PPP=0 OVER=eth0-ANY ↓ SET PPP=0 OVER=eth0-ANY USER=user@ispB PASSWORD=isppasswdB LQR=OFF BAP=OFF ECHO=ON ↓ ENABLE IP ↓ ADD IP INT=vlan1 IP=192.168.20.1 MASK=255.255.255.0 ↓ ADD IP INT=ppp0 IP=12.34.56.78 MASK=255.255.255.255 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓ # CREATE ENCO KEY=1 TYPE=RSA LENGTH=1024 DESCRIPTION="HOST KEY" ↓ # CREATE ENCO KEY=2 TYPE=RSA LENGTH=768 DESCRIPTION="SERVER KEY" ↓ ENABLE SSH SERVER HOSTKEY=1 SERVERKEY=2 ↓ ADD USER=mgr PASSWORD=sshmgrpass PRIVILEGE=MANAGER ↓ ADD SSH USER=mgr PASSWORD=sshmgrpass ↓ # LOGIN secoff ↓ # ENABLE SYSTEM SECURITY_MODE ↓

CentreCOM AR415S 設定例集 2.9 #79

PN: 613-000668 Rev.N

＜前頁次頁＞＜＜＞＞ ↑ 目次（番号順 (詳細)・回線別 (詳細)・機能別 (詳細)）

	ルーターA（SSHクライアント）	ルーターB（SSHサーバー）
PPPユーザー名	user@ispA	user@ispB
PPPパスワード	isppasswdA	isppasswdB
PPPoEサービス名	指定なし	指定なし

	ルーターA（SSHクライアント）	ルーターB（SSHサーバー）
WAN側物理インターフェース	eth0	eth0
WAN側（ppp0）IPアドレス	23.45.67.89/32(固定)	12.34.56.78/32(固定)
LAN側（vlan1）IPアドレス	192.168.10.1/24	192.168.20.1/24