能書き

おうちサーバー構築報告：予告からのおうちサーバー構築の続きです。

オレオレ認証局を構築し、それで認証した証明書も作成できるようになりました。今回はその鍵の送付手段です。以前もやりましたが、今回はシェルスクリプトにまとめてみました。

目標

公開鍵をsftpで運搬できるようにする
- sftp用のユーザーを用意
- ディレクトリなどを用意し、手順を確立
ユーザーやディレクトリの用意をシェルスクリプトにまとめる

参考文献

私的サーバー構築日誌：公開鍵の送付専用ユーザー - Qiita

サーバー設定

ユーザーについては下記の条件を満たすように設定します。

ユーザー名はtransporter
ホームディレクトリ無し
ログイン禁止

送付用ディレクトリは下記にします。

ディレクトリは/srv/transport/publickey
/srv/transportはrootの所有とする

サーバー172.16.1.101:ユーザーroot

cd
cat <<"___" >buildTransporter.sh
#!/bin/bash
USERNAME=$1
DIRPATH=$2
PUBLICDIR=$3

useradd -s /usr/sbin/nologin -M $USERNAME
passwd $USERNAME
mkdir -p $DIRPATH/$PUBLICDIR
chgrp $USERNAME $DIRPATH/$PUBLICDIR
chmod g+w $DIRPATH/$PUBLICDIR

cat >/etc/ssh/sshd_config.d/$USERNAME.conf <<___A
Match User $USERNAME
  X11Forwarding no
  AllowTcpForwarding no
  PermitTTY no
  PasswordAuthentication yes
  ForceCommand internal-sftp
  ChrootDirectory $DIRPATH
___A
systemctl restart sshd
___
chmod 755 buildTransporter.sh

サーバー172.16.1.101:ユーザーroot

./buildTransporter.sh transporter /srv/transport publickey

確認

接続と転送

実験用に、公開鍵ではないテキストファイルを置きます。

サーバー172.16.1.101:ユーザーroot

cd /srv/transport
echo hello,world >hello.txt

別マシンからサーバーへtransporterユーザーでssh接続します。私はWin10マシンで実行しました。172.16.1.101が今回のサーバーマシンです。

下記のように、これは失敗します。

クライアントWindows

>ssh transporter@172.16.1.101
The authenticity of host '172.16.1.101 (172.16.1.101)' can't be established.
ED25519 key fingerprint is SHA256:nqgBLKW5g6KIa1wWE1fXVtWeT4P/4pErkSH+iyNRxHc.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '172.16.1.101' (ED25519) to the list of known hosts.
transporter@172.16.1.101's password:
PTY allocation request failed on channel 0
This service allows sftp connections only.
Connection to 172.16.1.101 closed.

scpは成功しました。前回までは失敗していたんですが…何でしょうね。

クライアントWindows

>scp transporter@172.16.1.101:/hello.txt .
transporter@172.16.1.101's password:
hello.txt                                                                             100%   12     0.8KB/s   00:00

sftpも成功しますが、画面表示が前回と微妙に違います。仕様が少し変わったのかな。

クライアントWindows

>sftp transporter@172.16.1.101
transporter@172.16.1.101's password:
Connected to 172.16.1.101.
sftp> pwd
Remote working directory: /
sftp> ls -l
-rw-******    ? root     root           12 Dec 29 17:15 hello.txt
drwx******    ? root     1001            2 Dec 29 17:07 publickey
sftp> get hello.txt
Fetching /hello.txt to hello.txt
hello.txt                                                                             100%   12     0.8KB/s   00:00
sftp> cd publickey
sftp> put hello.txt
Uploading hello.txt to /publickey/hello.txt
hello.txt                                                                             100%   12     2.9KB/s   00:00
sftp> ls -l
-rw-******    ? 1001     1001           12 Dec 29 17:21 hello.txt
sftp> pwd
Remote working directory: /publickey
sftp> exit

putしたhello.txtを確認。

サーバー172.16.1.101:ユーザーroot

cd /srv/transport/publickey/
ls -l
cat hello.txt

hello.txtが存在する事を確認します。

サーバー172.16.1.101:ユーザーroot

# cd /srv/transport/publickey/
# ls -l
total 1
-rw-rw-r-- 1 transporter transporter 12 Dec 29 08:21 hello.txt
# cat hello.txt
hello,world

動作確認が終了したら、不要なファイルは削除しましょう。

クライアントWindows

del hello.txt

サーバー172.16.1.101:ユーザーroot

cd /srv/transport
rm hello.txt
cd publickey
rm hello.txt

仕舞い

動作確認できたら/etcをSubversion登録しましょう。

サーバー172.16.1.101:ユーザーroot

svn st /etc | grep "^?" | cut -b9- | sudo xargs -I{} find {} -type f -or -type d -or -type l | sudo xargs -t svn add
svn ci /etc -m"add user 'transporter'"

これで、サーバーマシンとクライアントマシンの間で公開鍵を送付する手段を確保できました。