RHEL・FedoraでSSHサーバーを有効にする

OSと導入済みパッケージを確認する

接続先の管理コンソールから確認します。RHELでは契約とリポジトリ設定に従ってパッケージを取得します。RHEL 7の既存環境では、導入コマンドのdnfをyumに読み替えます。

cat /etc/os-release
rpm -q openssh-server
# 未導入の場合だけ実行
sudo dnf install openssh-server

sshdを起動して待受を確認する

自動起動と現在の起動を有効にします。すでに起動済みなら、状態確認へ進みます。接続先IP、待受アドレス、TCPポートを照合してください。

sudo systemctl enable --now sshd.service
systemctl status sshd.service --no-pager
sudo ss -lntp
sudo journalctl -u sshd.service -b -n 50 --no-pager

実際のゾーンと受信ルールを確認する

firewalldが稼働している場合だけfirewall-cmdを使います。publicが使われているとは限らないため、インターフェースや接続元に割り当てられたゾーンを確認します。クラウドのNSG・セキュリティリストも別に確認してください。

systemctl is-active firewalld
sudo firewall-cmd --get-active-zones

公開鍵の権限とSELinuxラベルを確認する

公開鍵は接続先ユーザーの~/.ssh/authorized_keysへ追記します。ファイルをコピー・復元した後は、権限が正しくてもSELinuxのラベルが違うと認証に失敗する場合があります。

標準ホーム配下の.sshなら、接続対象ユーザーのパスを確認したうえでrestoreconを使います。独自のホームパスやNFSでは別の設定が必要なため、再帰的なchmodやSELinux停止で対処しません。

ls -ldZ ~ ~/.ssh ~/.ssh/authorized_keys
sudo restorecon -Rv ~/.ssh

RHEL 7 → 8 → 9の違いを確認する

RHEL 8以降ではシステムの暗号ポリシーを確認します。RHEL 7にupdate-crypto-policiesがある前提では進めません。RHEL 9ではSHA-1署名が既定で無効で、古い相手との交渉が失敗する場合があります。

RSA鍵そのものがすべて使えなくなったわけではありません。RSA-SHA2への対応、鍵長、FIPSの有無を照合します。RHEL 9では暗号設定を分ける場所も変わるため、RHEL 8の/etc/sysconfig/sshdの設定をそのまま移植しないでください。

update-crypto-policies --show

設定を検証して反映する

変更したファイルは先にバックアップします。構文が通ってから再読み込みし、別の接続で確認します。sshd_config.dのIncludeやMatch条件も確認してください。

戻すときは変更したファイルだけを元に戻し、同じ構文確認と再読み込みを行います。新しく有効にしたサーバーを廃止する場合は、別の管理経路を確保してからsshdの停止・自動起動解除と追加した受信ルールの削除を行います。

sudo /usr/sbin/sshd -t && sudo systemctl reload sshd.service