ともの技術メモ

FreeNXが動作するようになって、非常に高速なリモートデスクトップ環境ができたのですが、SSHのログイン認証をパスワード認証に戻さざるを得なくなってしまいました。

が、それはなるべく避けたいもの。

そこでいろいろしらべていくと、いくつかのことがわかってきました。

• NX Clientの設定で秘密鍵が登録されているのはなぜ？
• 秘密鍵があるということは、組になる公開鍵があるはずです。しかし、そんなものをサーバ側に置いた記憶はありません。
• どうやらデフォルトの秘密鍵／公開鍵ペアをもっていて、NX Serverと共有しているみたい。これは置き換え可能なようです。

ということで、鍵を作り直して、設定しなおします。

1. ログイン用鍵ペアを作り直します。

$ ssh-keygen -d -N “パスフレーズ” -f id_dsa
$ ssh-keygen -d -N “” -f nx_dsa

として、鍵ペアを生成します。

2. 「id_dsa.pub」の中身をサーバ側の ~/.ssh/authorized_keys に追加します。
3. 「nx_dsa.pub」の中身で /var/lib/nxserver/home/.ssh/authorized_keys のキーの部分を置き換えます。冒頭に port/agent forward の禁止に関する記述があったので、そこはそのままにしておきました。（もとのファイルはリネームして取っておきます）
4. NX Client の Configure設定で、General/Serverの部分の「Key…」を押して、秘密鍵「nx_dsa」の内容を登録します。
5. ここで一旦 NX Client で接続してみましたが、問題ありませんでした。これでデフォルトの鍵ペアではなく自分専用の鍵ペアでFreeNXが動いているはずです。
6. ログイン認証時のパスワード認証を禁止します。
   /etc/ssh/sshd_config の「PasswordAuthentication」の行を「no」に変更する。さらに、ローカルホストからのＳＳＨログインではパスワード認証が必要なため、以下の内容を最終行に追加する。

Match Address 127.0.*.*
PasswordAuthentication yes
Match Host localhost
PasswordAuthentication yes

7. 再起動してＮＸ Clientからログインしてみて問題ないことを確認する。
8. Teratermからもログインしてみる。SSHではプレインテキストではログインできず、RSA/DSA鍵を使用したログインは成功することを確認する。

ということで、無事に軽量なリモートUbuntu環境ができました。

参考にしたサイト：
NXリモートログインのセキュリティ強化 :　参考っつーか、ほとんどそのまま。実際に作業される方はこちらをご覧になったほうがいいかと思います。

デスクトップ環境をインストールしたことで、ＶＮＣベースで「さくらのＶＰＳ」上の仮想マシンでデスクトップ環境が使えるようになったわけですが、正直遅いです。

で、WindowsのRDPくらい高速なものはないだろうか、と探していたらFreeNXというのがあることを知りました。

参考にしたのは（いつもの？）技術評論社のUbuntu Weekly Recipeの『第９８回 FreeNXでリモート・デスクトップ環境を実現する』です。

早速、インストールしてみます。

FreeNXのPPAページをみると、「Technical details about this PPA」というリンクがあり、そこのプルダウンメニューで「Lucid(10.04)」を選択すると、必要なコマンド

deb http://ppa.launchpad.net/freenx-team/ppa/ubuntu lucid main
deb-src http://ppa.launchpad.net/freenx-team/ppa/ubuntu lucid main

が表示されます。これをさくらのVPS側で動いているUbuntu上のSynaptic パッケージマネージャでリポジトリに追加します。追加した後、指示に従って、パッケージマネージャで「再読込」をして、クイック検索で「FreeNX」と入力すると、関連するパッケージが表示されますので、「freenx」にチェックを入れると依存関係にある多数のパッケージのインストール確認が行われますので、それらを受け入れた後、インストールを行います。インストールは短時間で終わります。

次にクライアント側のインストールです。
クライアント側はNoMachine社のDOWNLOADページにある「NX Client for Linux」、その中の「NX Client DEB for Linux – i386」を使います。ローカルのUbuntuマシンでダウンロードしたファイルを「開く」とすると、パッケージインストーラが起動しますので、「パッケージのインストール」を押します。

インストールが完了すると、「アプリケーション」→「インターネット」の下に「NX Client for Linux」が追加されます。その中の「NX Client for Linux」を起動すると、「NX Connection Wizard」を起動しますので、接続先、SSHのポート、デスクトップの種類（これはUnixとGNOMEを選択する）などを設定します。

完了するとログインユーザー名とパスワードを入力する画面になりますが、パスワードを入力しても認証に失敗します・・・。

よく考えると、SSHの秘密鍵の位置もNX Clientは知らないはずだし・・・。
ということで、/etc/ssh/sshd_config を書き換えて、パスワード認証を許可してみると・・・ログインできました。VNCベースのものとくらべて非常に高速です。この速度なら完全にリモートデスクトップベースで使えます！

・・・が、やはりパスワード認証は閉じておきたいもの。もう少し調べてみます。

セキュリティの設定ができたので、デスクトップ環境をインストールします。VNCコンソール上でログインを行い、

$ sudo tasksel

として、タスク選択画面を表示させます。パッケージメニューから「Ubuntu desktop」を選択して「Ok」のところでEnterを押すと、インストールが始まります。インストールが完了したら、再起動させます。このとき、再起動後に表示されたグラフィカルログインではキー入力ができませんでしたが、VNCコンソールを再起動させたら入力できました。

表示がすべて英語なので、ロケールの変更をしていなかったのを思い出し、

sudo locale-gen ja_JP.UTF-8
sudo /usr/sbin/update-locale LANG=ja_JP.UTF-8

としてロケール変更しました。その後、再起動、ログインするとフォルダ名を日本語に変更するか聞いてきますので、変更させました。

「Administration」→「Language Support」とすると、「言語サポートがインストールされていないのでインストールするか？」と聞かれるので、インストールします。
インストール後、タブ２つ（言語とテキスト）についてそれぞれ日本語を選択します。IMEシステムはibusのままとします。

これで一旦ログアウトしてログインすると見慣れた日本語環境になっています。

今度は本命のＵｂｕｎｔｕに入れ替えます。

カスタムＯＳインストールガイドに詳しく書いてあるので、作業自体は簡単です。こちらは多少時間がかかりますが、それでもＣＤＲＯＭから古いスペックのローカルマシンにインストールするより早いかもしれません。

で、カスタムインストールが終わったあと、再起動するだけではＣＵＩモードになっています。ここにいろいろとやっていきます。

が、まずは何はともあれ、セキュリティです。まず、ログイン用にOpenSSH Serverをインストールします。

$ sudo tasksel

で「OpenSSH server」にチェックを入れて、「OK」でEnterを押します。インストールはあっという間に終わります。

早速、/etc/sshd/sshd_config を編集して、ポート番号をデフォルトの２２からｘｘｘｘ（もちろん内緒です）に変更します。最初の方にある「Port 22」の部分を修正します。修正後、再読み込みをさせたかったのですが、わからなかったのでリブートしました。（「$ sudo /etc/init.d/ssh reload」でできるみたい・・・）

sshでログインしなおして、ufwで他のポートを塞ぎます。

$ sudo ufw allow xxxx（sshのポート）
$ sudo ufw default deny
$ sudo ufw enable

とします。最後に「実行するとsshでログインできなくなるかも」みたいなメッセージが出ますが実行します。その後すぐに、別のターミナルからsshでログインできることを確認します。（この状態でもVPSコントロールパネルや仮想シリアルコンソールは使えるようなので大丈夫ですけどね）

次に、公開鍵認証の設定をします。鍵の生成にはTeraTerm Proを使いました。「設定」→「SSH鍵生成」で、RSA/DSAの公開鍵ペアを生成します。作成したら、id_dsa.pub と id_rsa.pub の公開鍵を連結してサーバ側（さくらのVPS側のUbuntu）の ~/.ssh/authorized_keys に転送し、

$ chmod 700 ~/.ssh
$ chmod 600 ~/.ssh/authorized_keys

として他のユーザー（といっても正常なら誰もいませんが・・・）がアクセスできないようにしておきます。

※まだよくわかっていないので、調べなければならないのですが、鍵はDSAだけで良さそうな感じがします。

で、TeraTermで ホスト名とポートを指定してSSH2で接続した際に、「RSA/DSA鍵を使う」で鍵ファイルを指定し、ユーザー名／パスフレーズ（秘密鍵のパスフレーズ）を入力するとログインすることができました。Windowsの適当な場所に秘密鍵をコピーし、TeraTermで「設定」→「SSH認証」でユーザ名と秘密鍵を指定しておきます。

ここまで確認できたら、/etc/ssh/sshｄ_config を改めて編集して、

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes
PasswordAuthentication no

として、パスワード認証を禁止します。

Ubuntuからもログインできるように、

$ ssh-keygen -t dsa

でパスフレーズを入力して鍵ペアを生成します。生成された ~/.ssh/id_dsa.pub をホスト側の /.ssh/authorized_keys に追加してやると、

$ ssh -p ポート番号 ホスト名

でアクセスできるようになりました。