さくらのVPS初期設定[SSH接続設定/ユーザ追加/公開鍵認証/iptables]

2014年も半年が過ぎ、今年の目標のイテレーションを回そうと思ったら
思いのほか何もやっていない感があったので
何かやらねば、と思い、タスク管理がしたかったので Redmine を動かすために
去る7月1日にさくらのVPSを借りてみました。

さくらのVPSを借りる

HDD プランのメモリ 1G のやつを借りました。
月額約1000円、年間1万円ちょっとで自由に使えるサーバがあるなんて最高な気分です。
どうせなので2週間無料お試しで借りました。
スペックは料金・サービス仕様 | VPS（仮想専用サーバ）は「さくらのVPS」で
OS は CentOS6 x86_64 の標準 OS です。
アカウント登録とクレカ登録などを済ませてちょっとしたら「お申込受付完了のお知らせ」、
その10分後くらいに「[さくらのVPS] 仮登録完了のお知らせ」のメールが届きました。

たしか仮登録完了のお知らせが来るまで何もできないです。

用語定義

USER: サーバの作業ユーザ名
IP.ADD.RE.SS: サーバの IP アドレス
PORT: 変更した SSH のポート番号
%: Mac でのコマンド
$: サーバのコマンド
#: コメント

VPS を起動する

さくらインターネットVPSコントロールパネルで仮想サーバ操作の起動ボタンを押します。
Updating RPMS on system: で結構待たされるのでエラーかと思いますが、ひたすら待ちます。
参考: さくらのVPSの初回起動時に応答が無くなるように見えるけど、気長に待つ | ただのにっき。

ここから先はさくらのVPSで最初にやっておくこと - 飲んだり寝たりを参考にした。

VPS に接続する

Mac の Terminal からいつものように SSH 接続。IP アドレスとパスワードは仮登録のメールにある。

ssh root@IP.ADD.RE.SS

root パスワードの変更

passwd
# パスワード入力

セキュリティ対策。

SSH のポートを変更する

# 設定ファイルのバックアップ
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.org

vi /etc/ssh/sshd_config

-Port 22
+Port PORT

セキュリティ対策：サーバの 22 番ポートを調べて脆弱性がないか確認するポートスキャンという手法対策。
10022 に変える記述が多いけど 10022 に変えるのがデファクトスタンダードになったら
10022 にもポートスキャンしてくるんじゃないかなーと思ったり。
49513 〜 65535 が自由に使えるダイナミックポート/プライベートポートと呼ばれるポートらしいので
僕はその間のポートにしました。
参考: ポート番号は何番を使えばいいのか教えて下さい - ポート開放ナビ

SSH 接続設定の再読み込み

/etc/rc.d/init.d/sshd reload

Command + T で Terminal のタブを増やして動作確認(元のタブは万が一のために閉じない)

ssh -p PORT root@IP.ADD.RE.SS
# 変更したパスワードを入力

作業用ユーザの追加と設定

作業用ユーザの追加

useradd USER

passwd USER
# パスワード入力

USER: ユーザ名
以降、root ユーザでは接続せず、作業用ユーザで接続する。
必要のある場合のみ sudo su - で root になる。

sudo vi /etc/ssh/sshd_config

#PermitRootLogin yes 
PermitRootLogin no

sudo の設定

sudo が使える wheel グループに追加する

usermod -G wheel USER

参考
「wheelグループ」とは：ITpro
[Linux] なぜ sudo する権限のあるグループが「 wheel 」という名前なのか « Codaholic

wheel が sudo を使えるようにする

visudo

## Allows people in group wheel to run all commands
-# %wheel  ALL=(ALL)       ALL
+%wheel  ALL=(ALL)       ALL

SSH 接続方式を公開鍵認証方式に変更

Mac でキーペア(秘密鍵, 公開鍵)の生成

ssh-keygen -t rsa

ssh-add ~/.ssh/id_rsa

公開鍵をサーバーに転送

scp -P PORT ~/.ssh/id_rsa.pub USER@IP.ADD.RE.SS:~/

公開鍵を登録する

ssh -p PORT USER@IP.ADD.RE.SS

mkdir ~/.ssh

chmod 700 ~/.ssh

mv id_rsa.pub ~/.ssh/authorized_keys

chmod 600 ~/.ssh/authorized_keys

パスワード認証の無効化

sudo vi /etc/ssh/sshd_config

-PasswordAuthentication yes 
+PasswordAuthentication no

sudo service sshd restart
# 問題がなければ [OK] と表示される

接続の確認

ssh -p PORT USER@IP.ADD.RE.SS
# ログイン出来る(パスワードが聞かれない)

ssh -p PORT root@IP.ADD.RE.SS
ログイン出来ない

SSH 接続の簡略化

vi ~/.ssh/config

HOST ALIAS
    HostName IP.ADD.RE.SS
    Port PORT
    User USER
    identityfile ~/.ssh/id_rsa

ssh ALIAS

エイリアスで SSH 接続できるので便利です。
参考: .ssh/configで設定すると接続が楽になる方法 - Qiita

iptables (Firewall)の設定

参考
俺史上最強のiptablesをさらす - Qiita
さくらVPS/Cent OS 6.4 iptableの設定[Railsサーバへの道][セキュリティ] - 酒と泪とRubyとRailsと
iptablesでパケットフィルタリングするための設定 - 飲んだり寝たり

sudo mkdir /root/bin/

sudo vim /root/bin/iptables.sh

wada811/iptables.sh

sudo sh /root/bin/iptables.sh

sudo iptables -L

sudo chkconfig iptables on
# OS起動時にiptablesを起動するようにする

chkconfig --list iptables
iptables        0:off   1:off   2:on    3:on    4:on    5:on    6:off
# 3:on になっていれば OK

設定完了

とりあえず必須な初期設定はこれで完了だと思います。
必ずコレはやっておけみたいなのとか、間違ってるとか、もっとこうした方が良いとかあればコメント下さい。

DevAchieve

ページ