[index] CentreCOM AR450S コマンドリファレンス 2.9

運用・管理/Secure Shell

  - 基本設定
   - 暗号鍵の作成
   - SSHサーバーの起動
   - SSHユーザーの登録
    - パスワード認証の場合
    - RSA認証の場合
   - SSHクライアントからの接続
  - その他

Secure Shell（SSH）は、暗号技術を利用してネットワーク経由のログインなどを安全に行うためのプロトコルです。通信内容の暗号化により盗聴や改ざんを防ぐほか、サーバーホストやユーザーの認証機能によってなりすましによる攻撃を防御することもできます。

従来のTelnetでは、パスワードを含む通信内容が平文のままネットワーク上を流れてしまうため、セキュリティーを重視する環境では、TelnetでなくSSHを使ったほうがよいでしょう。

本製品のSSHモジュールは以下の機能をサポートしています。

• SSHサーバーとSSHクライアント
  
• 鍵長512〜2048ビットのRSA公開鍵。ルーター上で作成した鍵をファイルへ書き出すことや、ファイルから鍵を取り込むことも可能
  
• セッションの暗号化には共通鍵暗号アルゴリズムDESを使用
  
• 端末セッションだけでなく、コマンドの遠隔実行も可能
  

基本設定

暗号鍵の作成

1. セキュリティーモードで管理作業を行うことのできるSecurity Officerレベルのユーザーを作成します。ルーター上で作成した暗号鍵は、セキュリティーモードでないとルーター再起動によって消去されてしまいます。セキュリティーモードに移行するためには、Security Officerレベルのユーザーを登録しておく必要があります。
   
   ADD USER=secoff PASSWORD=PasswordS PRIVILEGE=SECURITYOFFICER ↓
   
   
2. ホスト鍵（Host Key）を作成します。この鍵はサーバー自身のRSA公開鍵ペアです。推奨鍵長は1024ビットです。SSHコネクションの開始時には、ホスト鍵ペアの公開鍵がクライアントに送られます。クライアントはこの鍵をチェックすることにより、接続相手が意図したサーバーであるかどうかを確認できます。
   
   CREATE ENCO KEY=1 TYPE=RSA LENGTH=1024 DESCRIPTION="My host_key" ↓
   
   
3. サーバー鍵（Server Key）を作成します。サーバー鍵はSSHコネクション開始時の鍵交換に用いられるRSA公開鍵ペアです。サーバーの設定により、一定の間隔で新しく作り直されます。サーバー鍵の長さは最小512バイトで、なおかつ、ホスト鍵より128ビット以上短くなくてはなりません。
   
   CREATE ENCO KEY=2 TYPE=RSA LENGTH=768 DESCRIPTION="My server_key" ↓

SHOW ENCO KEY ↓
SHOW ENCO KEY=1 ↓


ENABLE SYSTEM SECURITY_MODE ↓

SSHサーバーの起動

ENABLE SSH SERVER HOSTKEY=1 SERVERKEY=2 ↓

ENABLE SSH SERVER HOSTKEY=1 SERVERKEY=2 EXPIRYTIME=24 ↓

Note - 鍵の生成は負荷の高い処理なので、自動更新を行う場合は深夜などトラフィック負荷の少ない時間帯になるよう更新間隔を調整するとよいでしょう。

Note - SSHサーバーを起動すると、ルーター内蔵Telnetサーバーへのアクセスはできなくなります。

SHOW SSH ↓

SSHユーザーの登録

• パスワード認証：ユーザー名とパスワードによる認証方式です。
  
• RSA認証：公開鍵による認証方式です。
  

パスワード認証の場合

ADD SSH USER=kuro PASSWORD=testpasswd1 ↓

ADD USER=shiro PASSWORD=testpasswd2 PRIVILEGE=MANAGER ↓
ADD SSH USER=shiro PASSWORD=testpasswd2 ↓


Note - ユーザー認証データベースに登録されているユーザー（ADD USERコマンドで登録したユーザー）と同じ名前のSSHユーザーを登録した場合、ユーザー権限はデータベースと同じになりますが、パスワードは別々に設定できます。ADD SSH USERコマンドのPASSWORDパラメーターで指定したパスワードは、SSHログイン時のパスワード認証でのみ使用されます。

SHOW SSH USER ↓
SHOW SSH USER=shiro ↓


RSA認証の場合

1. RSA鍵ペアを作成します。鍵長は512ビット以上にします。推奨最大値は1024ビットです。これ以上鍵長を長くしても、処理が遅くなるだけで安全性はそれほど向上しないようです。
   
   CREATE ENCO KEY=100 TYPE=RSA LENGTH=1024 ↓
   
   
2. 作成した鍵ペアの公開鍵をSSHサーバーに送るため、ファイルに書き出します。KEYパラメーターには書き出したい鍵の番号、FILEパラメーターには書き出し先のファイル名を指定します。ファイルの拡張子は.keyとします。また、FORMATパラメーターには書き出す際のフォーマットを指定します。SSHで使うときはSSHを指定します。
   
   CREATE ENCO KEY=100 TYPE=RSA FILE=pote.key FORMAT=SSH ↓

pote@clientpc:~> ssh-keygen -C pote@clientpc Generating RSA keys: Key generation complete. Enter file in which to save the key (/home/pote/.ssh/identity): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/pote/.ssh/identity. Your public key has been saved in /home/pote/.ssh/identity.pub. The key fingerprint is: e9:0e:68:2a:8a:a3:75:dd:f1:61:37:09:fc:f6:a3:b2 pote@clientpc

1. クライアントが本製品の場合は、UPLOADコマンドを使ってユーザーの公開鍵ファイルをTFTPサーバーにアップロードします。ここではTFTPサーバーのIPアドレスを192.168.10.5とします。
   
   UPLOAD FILE=pote.key SERVER=192.168.10.5 ↓
   
   クライアントがPCなどの場合は、TFTPサーバーを動かして自分自身がTFTPサーバーになるか、あるいは、TFTPクライアントを使って別のTFTPサーバーに公開鍵ファイルを転送してください。そのとき、ファイルの拡張子を.keyにしておいてください。
   

1. 次にSSHサーバー側でLOADコマンドを実行し、TFTPサーバーからユーザーの公開鍵ファイルをダウンロードします。
   
   LOAD FILE=pote.key SERVER=192.168.10.5 DESTINATION=FLASH ↓
   
   
2. 鍵ファイルは、ダウンロードしただけでは使えません。CREATE ENCO KEYコマンドでファイルから鍵を取り込む必要があります。
   
   CREATE ENCO KEY=100 TYPE=RSA FILE=pote.key FORMAT=SSH ↓
   
   

   Note - CREATE ENCO KEYコマンドでFILEパラメーターを指定した場合、ファイルが存在するときは、そのファイルから情報を読み込んで鍵を作成します。ファイルが存在しないときは、KEYパラメーターで指定した既存の鍵情報をファイルに書き出します。

   
   
3. SSHユーザーを登録します。このとき、ユーザーの公開鍵番号をKEYパラメーターで指定します。
   
   一般ユーザーの登録
   
   ADD SSH USER=bote KEYID=100 ↓
   
   Manager権限を持つユーザーの登録
   
   ADD USER=pote PASSWORD=testpasswd3 PRIVILEGE=MANAGER ↓
ADD SSH USER=pote KEYID=100 ↓

   
   

   Note - RSA認証を使う場合、ADD USERコマンドのPASSWORDパラメーターで指定したパスワードは使用されません（コンソールからのログインやTelnetログインで使用されます）。

SHOW SSH USER ↓
SHOW SSH USER=pote ↓


SSHクライアントからの接続

SSH 192.168.10.1 USER=shiro PASS=testpasswd2 ↓

SSH 192.168.10.1 USER=pote KEYID=100 ↓

Note - 初めてSSHサーバーに接続したときは、必ず以下のメッセージが表示され接続に失敗します。

Host key not recognised - saved as ssh.key SSH. Session closed.

CREATE ENCO KEY=10 TYPE=RSA FILE=ssh.key DESCRIPTION="SSH server's hostkey" FORMAT=SSH ↓

Note - 本製品は暗号アルゴリズムとしてDESしかサポートしていません。うまく接続できないときは、クライアントの設定で使用する暗号アルゴリズムを確認してください。DESを使用するよう設定されていない場合は、設定を変更してください。

SHOW SSH SESSIONS ↓

その他

ENABLE SSH USER=carelessuser ↓

SHOW SSH USER ↓
SHOW SSH USER=carelessuser ↓


ADD SSH USER=pote PASSWORD=passpote IPADDRESS=192.168.10.100 ↓

ADD SSH USER=pote PASSWORD=passpote IPADDRESS=192.168.10.0 MASK=255.255.255.0 ↓

SSH 192.168.10.5 USER=pote PASSWORD=passpote ↓

SSH 192.168.10.5 USER=pote KEYID=10 ↓

SSH 192.168.10.5 USER=pote PASSWORD=passpote COMMAND="show firewall event=deny" ↓

• SSHユーザーの追加、削除、設定変更
  
• SSHサーバーの有効化、無効化
  
• SSHコネクションの開始、終了、拒否
  

(C) 2003 - 2009 アライドテレシスホールディングス株式会社

PN: J613-M3069-03 Rev.L