• scp

  위에서 인증키를 리모트 서버에 복사할때 사용한 scp에 대해서 알아보자

  예를 들어, 복사하려는 파일명이 'dumb' 라고 하고 접속하려는 원격 서버의 주소는 www.foobar.com, 당신의 쉘 계정은 babo 라고 한다면

  dumb 파일을 www.foobar.com 의 babo 계정 홈 디렉토리에 복사하기

  [foo@home silver]$ scp dumb babo@www.foobar.com:.

  www.foobar.com 의 babo 계정 홈 디렉토리에 있는 dumb 파일을 로컬로 복사하기

  [foo@home silver]$ scp babo@www.foobar.com:dumb .

  만약 ~/.ssh/config 파일에 다음과 같이 www.foobar.com 의 계정을 설정해 놓았다면,

  Host *fbc HostName www.foobar.com User babo ForwardAgent yes

  다음과 같이 더 간단하게 할수 있다.

  [foo@home silver]$ scp dumb fbc:.

  또한 scp 는 -r 옵션도 가지고 있는데 이것은 디렉토리를 통채로 복사 할때 사용한다. 예를 들어 test/ 디렉토리안의 모든 파일과 하위 디렉토리를 서버 계정의 www 디렉토리 안에 복사 하려면 다음과 같이 한다.

  [foo@home silver]$ scp -r test/ babo@www.foobar.com::www/

• sftp

  sftp는 ssh하에서 전통적인 ftp 환경을 제공하며, 리모트상의 프로그램을 실행시킬수도 있다.

  openSSH 클라이언트 패키지에는 sftp가 포함되어 있다.

• POP

  fetchmail을 사용하면 간단하게 ssh 터널안에서의 pop 메일 긁어오기를 구현할수 있다.

  .fetchmailrc 설정예

  poll localhost with protocol pop3 and port 11110: preconnect "ssh -C -f 계정@메일서버.com -L 11110:메일서버.com:110 sleep 5" password xxxxx

  자세한 문서는 : SSH 를 이용한 보안 POP

  원격 계정의 이메일을 아예 복사해오는 방법도 생각해 볼수 있다. (Compressed TCP/IP-Sessions using SSH-like tools 참조)

• IMAP

  ssh 터널링과 fetchmail을 사용해서 imap 서버로부터 메일을 가져오려면, 다음과 같은 .fetchmailrc를 만들어 사용하면 된다.

  poll 메일서버.com with proto imap: plugin "ssh %h /usr/sbin/imapd" auth ssh; user babo is babo here

• SMTP

  역시 같은 문서에서 SSH 접속을 이용한 SMTP 사용법을 제시했는데 방법은 다음과 같이 간단하다.

  ssh -C -l loginid mailserver -L2525:mailserver:25

  후에 메일 클라이언트를 localhost port 2525 를 통해 메일을 보내도록 하면 된다. 예를 들어 pine을 사용한다면, .pinerc의 smtp-server=localhost:2525 와 같이 해주면 되겠다.

  ssh 윈도우 클라이언트인 SecureCRT를 사용해도 가능한데 Session Option -> Connection -> Hostname -> Advanced 탭을 선택해서, 같은 요령으로 사용할 로컬 포트와 원격 호스트 이름, 포워딩할 원격 포트를 선택한다. ssh 접속 후에는 OE의 경우 SMTP 서버를 127.0.0.1 로 지정하고 사용할 포트만 위에서 선택한 로컬 포트로 지정하면 된다. POP 포트도 같은 방법으로 사용 가능 하다.

  SSH를 이용한 SMTP는 몇가지 장점을 가지는데 네트워크 트래픽의 감소와 계정 사용자만이 SMTP 서버를 사용할수 있으므로 함부로 릴레이를 열어놓지 않아도 된다는데 의미가 있겠다.

• Webmin

  Webmin는 웹상에서 브라우저로 서버 관리를 하는 툴이며, 당연히 보안에 민감하다.

  webmin은 일반적으로 10000 포트를 사용하므로 다음과 같이 ssh 접속을 연다.

  ssh -f -l [원격 유저] [원격 서버] -L 1234:[원격 서버]:10000 tail -f /etc/motd

  이제 브라우저에서 http://localhost:1234 로 접속할수 있다.

• X

  리모트 서버상의 X 어플리케이션들을 실행하고자 한다면 계정 홈 디렉토리의 ~/.ssh/environment 파일을 만들고 다음과 같은 내용을 넣어준다.

  XAUTHORITY=/home/계정 이름/.Xauthority

  이제 로그아웃한후에 ssh를 다음과 같이 실행해본다. (계정 이름이 silver이고 서버는 gate.eunjea.org 라고 한다면)

  ssh -f -X -l silver gate.eunjea.org xterm

  이제 xterm 이 로컬의 X에서 실행될 것이다. 다른 X 어플리케이션들도 이와 같이 실행시킬수 있다.

2.5. 설정 파일

ssh 설정 파일은 ~/.ssh/config 파일 이다. 또는 전체 유저의 설정파일은 /etc/ssh/ssh_config 로 설정할수 있다.

다음은 내가 사용하는 설정 파일의 일부분이다. Host 지시자를 사용하여 접속할 서버마다 다른 옵션을 사용할수 있다.

# *.eunjea.org 도메인을 가진 서버에 접속할때는 SSH2 프로토콜을 사용한다.
Host *.eunjea.org
Protocol 2

# koru.org 에 접속할때는 SSH2 와 압축 옵션을 사용한다.
Host koru.org
Protocol 2
Compression yes
CompressionLevel 9

# kldp.org에 접속할때는 SSH1 프로토콜을 사용하고
# Cipher는 blowfish, 압축을 켠다.
Host kldp.org
Protocol 1
Cipher blowfish
Compression yes

그외 중요한 옵션으로는 CheckHostIP 가 있는데 이것은 접속할때 마다 리모트 서버의 IP 주소를 known_hosts 파일과 대조해본다. 이것은 DNS spoofing에 의해 호스트키의 변경을 알수 있는 옵션이다. 디폴트는 yes이다.

이외에도 많은 옵션들이 있는데 ssh의 man 페이지를 참고하라.

3.1. 설치

서버는 간단하게 패키지를 설치하거나 직접 소스를 설치할 경우 일단 보안을 위한 Privilege separation을 위해 sshd 유저와 디렉토리를 만들어 준다.

$ mkdir /var/empty/sshd
$ chown root:sys /var/empty/sshd
$ chmod 755 /var/empty/sshd
$ groupadd sshd
$ useradd -g sshd -c 'sshd privsep' -d /var/empty/sshd -s /bin/false sshd

ssh 컴파일 옵션:

configure --with-pam \
   --with-ipv4-default \
   --with-rsh=/usr/bin/rsh \
   --with-default-path=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin \
   --with-privsep-path=/var/empty/sshd

Subsystem   sftp  /usr/lib/openssh/sftp-server