さくらのVPSを使ってみた

さくらインターネットのVPSに仮登録してみたので、作業メモ。

仮登録すると、メールが2通届く。2通目のメール(少し時間がかかる)に、VPS のIPアドレスと root の初期パスワードが書いてある。
VPS の起動は VPSコントロールパネルから簡単にできるので割愛。
ここでは、その後の初期設定作業をメモしておく。

まずは、ssh で VPS に接続。

[email protected] $ ssh [email protected]
ssh: connect to host 153.121.33.239 port 22: Connection refused

えー? Cnnection refused って接続が拒否されたってこと?
あやしいのはルータだ。というわけで、ルータに LAN->WAN 方向のポート22での通信を許可するように設定した。
さて、もう一度やってみる。

[email protected] $ ssh [email protected]
The authenticity of host '153.121.33.239 (153.121.33.239)' can't be established.
RSA key fingerprint is 57:de:08:97:07:32:f8:f2:b8:7e:39:5c:e7:61:e8:23.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '153.121.33.239' (RSA) to the list of known hosts.
[email protected]'s password: 

SAKURA Internet [Virtual Private Server SERVICE]

[[email protected] ~]# 

今度はうまくいった。
最初は yum update

[[email protected] ~]# yum update
Loaded plugins: fastestmirror, security
Loading mirror speeds from cached hostfile
 * base: ftp.tsukuba.wide.ad.jp
 * epel: ftp.kddilabs.jp
 * extras: ftp.tsukuba.wide.ad.jp
 * updates: ftp.tsukuba.wide.ad.jp
Setting up Update Process
No Packages marked for Update

日本語化。/etc/sysconfig/i18n を編集する。

[[email protected] ~]# vim /etc/sysconfig/i18n
LANG="ja_JP.UTF-8"

作業用のユーザーを作って、wheel グループに追加。

[[email protected] ~]# useradd takatoh
[[email protected] ~]# passwd takatoh
ユーザー takatoh のパスワードを変更。
新しいパスワード:
新しいパスワードを再入力してください:
passwd: 全ての認証トークンが正しく更新できました。
[[email protected] ~]# usermod -G wheel takatoh

wheel グループに sudo する権限をつける。visudo コマンドで開いたファイルの次の行をアンコメントする。

%wheel ALL=(ALL) ALL

ここでいったんログアウトして、新しく作ったユーザーで改めて接続する。

[email protected] $ ssh [email protected]
[email protected]'s password: 
Last login: Sat Aug  9 10:20:31 2014 from fntsitm001026.sitm.fnt.ngn.ppp.infoweb.ne.jp

SAKURA Internet [Virtual Private Server SERVICE]

パスワード認証をやめて、公開鍵での認証に切り替える。

[[email protected] ~]$ pwd
/home/takatoh
[[email protected] ~]$ mkdir .ssh
[[email protected] ~]$ chmod 700 .ssh
[[email protected] ~]$ cd .ssh
[[email protected] .ssh]$ wget -O authorized_keys https://github.com/takatoh.keys
--2014-08-09 10:38:57--  https://github.com/takatoh.keys
github.com をDNSに問いあわせています... 192.30.252.131
github.com|192.30.252.131|:443 に接続しています... 接続しました。
HTTP による接続要求を送信しました、応答を待っています... 200 OK
長さ: 761 [text/plain]
authorized_keys' に保存中

100%[======================================>] 761         --.-K/s 時間 0s      

2014-08-09 10:39:03 (9.26 MB/s) - authorized_keys' へ保存完了 [761/761]

[[email protected] .ssh]$ ls -al
合計 12
drwx------ 2 takatoh takatoh 4096  8月  9 10:38 2014 .
drwx------ 3 takatoh takatoh 4096  8月  9 10:25 2014 ..
-rw-rw-r-- 1 takatoh takatoh  761  8月  9 10:39 2014 authorized_keys
[[email protected] .ssh]$ chmod 600 authorized_keys

公開鍵は GitHub で公開されているものを wget で取ってきた。
ここでまたいったんログアウトして、鍵認証でログインできるか試してみる。

[[email protected] .ssh]$ exit
logout
Connection to 153.121.33.239 closed.
[email protected] $ ssh [email protected]
Last login: Sat Aug  9 10:42:23 2014 from fntsitm001026.sitm.fnt.ngn.ppp.infoweb.ne.jp

SAKURA Internet [Virtual Private Server SERVICE]

[[email protected] ~]$ 

今度はパスワードを訊かれずにログインできた。うまくいったようだ。

つぎ、ssh の設定。設定ファイルは /etc/ssh/sshd_config。とりあえずオリジナルファイルのバックアップをとってから編集する。

[[email protected] ~]$ sudo -s

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for takatoh: 
[[email protected] takatoh]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.orig
[[email protected] takatoh]# vim /etc/ssh/sshd_config

編集するのは3ヶ所。ポートをデフォルトの 22 から他の番号に変更(1024〜65535)。

Port 60124

パスワード認証を禁止。

PasswordAuthentication no

root でのログインを禁止。

PermitRootLogin no

これを反映するために sshd を再起動。

[[email protected] takatoh]# service sshd restart
sshd を停止中:                                             [  OK  ]
sshd を起動中:                                             [  OK  ]

ファイアフォールの設定。/etc/sysconfig/iptables を作って、次のようにする。

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:SERVICES - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 4 -j ACCEPT
-A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -j SERVICES
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --sport 123 --dport 123 -j ACCEPT
-A SERVICES -p tcp --dport 60124 -j ACCEPT
-A SERVICES -p tcp --dport 80 -j ACCEPT
-A SERVICES -p tcp --dport 443 -j ACCEPT
COMMIT

保存したら iptables を起動。

[[email protected] takatoh]# service iptables start
iptables: ファイアウォールルールを適用中: iptables-restore v1.4.7: Couldn't load target SERVICES':/lib64/xtables/libipt_SERVICES.so: cannot open shared object file: No such file or directory

Error occurred at line: 9
Try iptables-restore -h' or 'iptables-restore --help' for more information.
                                                           [失敗]

あれ、失敗した。なんでだ。どうも SERVICES がいけないらしい。ググって調べた結果、SERVICES を RH-Firewall-1-INPUT に変えたらうまく行った。

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 4 -j ACCEPT
-A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -j RH-Firewall-1-INPUT
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --sport 123 --dport 123 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp --dport 60124 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp --dport 443 -j ACCEPT
COMMIT
[[email protected] takatoh]# service iptables start
iptables: ファイアウォールルールを適用中:                  [  OK  ]

さて、今回はここまで。

追記

参考にしたサイトを書くのを忘れてた。

 cf. さくらのVPS入門 – ドットインストール
 cf. さくら VPS のサーバーに iptables の設定をしてみた – ある SE のつぶやき

カテゴリー: misc パーマリンク

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

このサイトはスパムを低減するために Akismet を使っています。コメントデータの処理方法の詳細はこちらをご覧ください