本来なら SSH での root でログインを禁止したいところですが、ServersMan@VPSでは SSH 以外でのログイン手段が無いので、root ユーザのみ公開鍵認証だけは通して、パスワード認証は無効にする設定を行うことにしました。

一般ユーザはパスワード認証を許可します。

参考にしたのは以下のページ。

• SSH で root のみ公開鍵認証を強制する

sshd_config の PermitRootLogin に without-password を設定するとパスワード認証以外でのみログインできるようになるらしいです。

/etc/ssh/sshd_config の以下の項目を変更しました。

PermitRootLogin without-password
PubkeyAuthentication yes

以下の設定はデフォルトで有効なので設定ファイルを変更していなければそのままで OK でした。

PasswordAuthentication yes
UsePAM yes

設定を変更したら sshd を再起動

# service sshd restart

別のターミナルから root でパスワード認証の場合はログインできないことを確認します。

ここで注意。確認は別のターミナルで行ってください。最悪 root だけでなく他のユーザでもログインできなくなる可能性もあるので、確認が取れるまではログインしているセッションを 1 つは残しておいたほうが安全です。

ちなみに、ajaxterm も ssh 経由で接続しているため、この設定を行うと ajaxterm 経由での root ログインも不可になります。

ServersMan@VPS ではアタックを減らすために、デフォルトで SSH のポートを 22 から変更しています。

ただ全 VPS で共通のため、ServersMan@VPS を使っているとわかってしまえばポート番号もわかってしまうので、念の為ポート番号を変更しておきます。

まずは sshd の設定を変更します。ここでは例として 1234 に変更することします。

/etc/ssh/sshd_config の Port を変更します。

Port 1234

変更できたら sshd を再起動します。

# service sshd restart

別のターミナルから新しいポートに ssh で接続して、ログインできることを確認しておきます。

つづいて airdisplay (ajaxterm) の変更です。 ajaxterm も内部で ssh 接続しているので、こいつも合わせて変更しないと ajaxterm からのログインができなくなってしまいます。

変更するのはスクリプト本体です。(えっ!?)

/usr/local/share/ajaxterm/ajaxterm.py の 403 行目付近の -p オプションの数字を変更します。

    cmd=['ssh']
    cmd+=['-p1234']
    cmd+=['-oPreferredAuthentications=keyboard-interactive,password']
    cmd+=['-oNoHostAuthenticationForLocalhost=yes']
    cmd+=['-oLogLevel=FATAL']
    cmd+=['-F/dev/null','-l',login,'localhost']

設定ファイルじゃなくてハードコーディングなんですねぇ・・。

変更したら ajaxterm を再起動します。

# service ajaxterm restart

これでブラウザからログイン出来れば変更完了です。