ssh 콘피그

AIX라고 해서 ssh 가 다르진 않다.

 

이유는 간단데스

 

AIX 에서 ssh 를 구동하는 프로그램은 openssh 임.

 

 

 

# lslpp -l|grep openssh

  openssh.base.client     6.0.0.6103  COMMITTED  Open Secure Shell Commands

  openssh.base.server     6.0.0.6103  COMMITTED  Open Secure Shell Server

  openssh.man.en_US       6.0.0.6103  COMMITTED  Open Secure Shell

  openssh.base.client     6.0.0.6103  COMMITTED  Open Secure Shell Commands

  openssh.base.server     6.0.0.6103  COMMITTED  Open Secure Shell Server

 

설치 위치는

# lslpp -f openssh.base.server

  Fileset               File

  ----------------------------------------------------------------------------

Path: /usr/lib/objrepos

  openssh.base.server 6.0.0.6103

                        /usr/sbin/ssh-pkcs11-helper

                        /usr/sbin/sshd

                        /usr/sbin/sftp-server

 

Path: /etc/objrepos

  openssh.base.server 6.0.0.6103

                        /etc/ssh/sshd_config

                        /etc/ssh/ssh_host_key

                        /etc/rc.d/rc2.d/Ssshd

                        /etc/ssh/ssh_host_dsa_key.pub

                        /etc/ssh/ssh_host_rsa_key

                        /var/empty

                        /etc/rc.d/rc2.d/Ksshd

                        /etc/ssh/ssh_host_key.pub

                        /etc/ssh/ssh_host_rsa_key.pub

                        /etc/ssh/ssh_host_dsa_key

                        /etc/ssh

 

알랑가 모르겠지만 sftp-server 는 sshd 의 sub system 임.

sftp 사용 여부는 sshd 가 쥐락나락하는거임

 

# grep sftp /etc/ssh/sshd_config

Subsystem       sftp    /usr/sbin/sftp-server

저기를 주석(#) 처리하면? sftp 가 안되겠지라.

좀 다른 이야기로 sftp-server 가 파일이 없거나 다른 이름이면 작동을 안하겠지라

Sftp 이야기가 나와서하는 말인디 sftp 접근하고있는 거에 대한 로그를 남길수가 있어

Syslog를 같이 연동 해야하는건데 이건 나중에 별도로 소개하도록 하겠네 친구

 

가장 많이 보게 되는 부분이 콘피그 파일이 아닐까 생각이 드네요.

 

# ls -al /etc/ssh/*config

-rw-r--r--    1 root     system         1555 Mar 16 00:02 /etc/ssh/ssh_config

-rw-r--r--    1 root     system         3180 Jun 25 20:25 /etc/ssh/sshd_config

근데 왜 두개일까?

TCP/IP 를 이용한 소켓 프로그래밍에서는 서비스를 제공하는 서버와

서비스를 이용하는 클라이언트로 나뉘는데

이 두개를 프로그램으로 만들면 서버 프로그램과 클라이언트 프로그램으로 나뉘고

용어를 어떻게 말하냐에 따라 다르긴 하지만

유닉스 계열에서는 데몬,deamon, daemon 등과 같이 서버 프로그램을 말하고

클라이언트는 엔드유저 프로그램 등으로도 말하곤 하지만 뭐 용어가 그렇게 중요한가?

**때때로 용어가 중요함

Sshd_config 는 데몬용 설정파일이고

Ssh_config 는 클라이언트 용 설정파일.

사실 이렇게 말해도 이해가 안된다면 그대는 데몬과 클라이언트의 관계를 모르고 사는 걸세.

여태까지 아무생각 없이 사용했던 telnet 이라는 프로그램을 한번 보게.

telnet 은 사용자가 원격지에 있는 특정 포트로 연결하는 프로그램일 뿐 이라는걸

telnet localhost 80 이라던가 telnet localhost 22 라는 명령어를 안써봤다면 써보시게

그럼 흔히말하는 telnet 서버라고하면 그 친구는 telnetd 라는 데몬 프로그램이 동작하는걸세

어쨌든 중요하지 않아.

Ssh_config 는 클라이언트 프로그램 즉 ssh 에 대한 설정 값 변경을 하는 파일이고

Sshd_config 는 서버 프로그램 즉 sshd 에 대한 설정 값 변경을 하는 파일이네.

그래서 보통 ssh 의 설정을 변경한다는 것은 sshd_config 를 변경한다고 이해해도 족해

Ssh_config 를 변경하는 일은 너무나 극히 드물지에.

접속 하는 서버와의 버전문제가 있을때 아니고서야 변경할일이 있을까?

 

Sshd_config 에서도 두드러지는 설정은 몇개없다.고 나는 생각한다.

Port

PermitRootLogin

X11Forwarding

이거 외에 건드릴 일이 별로 없었다능.

정말 몇 특수한 환경에 의해서 특히나 보안과 관련해서 다른 설정을 바꿀 수는 있으나

그 외 설정은 건드릴 일이 없다.고 나는 생각한다.

Port 는 가급적이면 기본 포트인 22를 사용 안하는게 조으다.

PermitrootLogin 은 주석이 되어있다면 yes의 의미다.

주석을 해제했어도 yes 값이면 주석을 한거와 별반다를바 없다능

PermitrootLogin yes 일 때에 비로소 root 는 SSH를 통해 직접 접근을 하지 못한다.

 

그런데 AIX에서는 /etc/security/user 라는 파일에서 사용자마다 remote login 에 대한 접근제한을 막을 수 있는데 여기에서 rlogin 이 그 속성이고 false 가 되면 원격로그인 허용을 금지한다.만 sshd 는 적용되지 않기에 rlogin 말고 sshd_config 의 PermitRootlogin no 설정을 반드시 해부러야한다.

X11Forwarding 은 xwindow 를 하기 위해서 사용하는거고 디폴트는 no 상태

주석 지우고 yes 로 한 후에 xmanager 나 xming 과같은 툴을 사용해야하고 접속하는

툴(secureCRT, putty)등에서 x11 packet 을 forwarding 설정을 해주어야 한다능