SSHのポート変更とセッション維持まとめ｜sshd

はじめに

サーバーを公開すると、22番ポートには当たり前のように総当たり攻撃が来ます。ポート番号を変えるだけで攻撃ログは劇的に減るので、最初にやっておく価値があります。

あわせて、SSHを切ってもプロセスを動かし続ける方法もまとめました。どちらもサーバー運用の最初に必要になる話です。

作業の順序を間違えると、自分がサーバーに入れなくなります。クラウドのコンソールから復旧できない構成だと、インスタンスを作り直すことになりかねません。次の順序を必ず守ってください。

要は「新しい入口を作って、通れることを確かめてから、古い入口を閉じる」という順序です。

$ sudo vim /etc/ssh/sshd_config

Port 22 の行を残したまま、新しいポートを追記します。

Port 22
Port 50022

設定を反映します。

# Ubuntu
$ sudo systemctl restart ssh

# Amazon Linux など
$ sudo systemctl restart sshd.service

再起動の前に、設定ファイルに文法エラーがないか検査できます。ここでミスを見つけておくと事故が減ります。

$ sudo sshd -t

何も出力されなければ問題ありません。

疎通確認は、今つながっているセッションを維持したまま別のターミナルから行います。

$ ssh -p 50022 ユーザー名@サーバーのIP

つながることを確認できたら、sshd_config から Port 22 を削除して再起動し、ファイアウォールの22番も閉じます。

管理画面の ネットワーキング からポートを追加します。

新ポートでの接続を確認したら、ネットワーキングから22番を削除します。

VPCネットワーク > ファイアウォール でルールを作成します。

GCEはネットワークタグでルールを出し分けられるので、タグの付け外しで切り替えられます。

SSHセッションを閉じると、そこで起動したプロセスは通常終了してしまいます。継続させる方法は主に2つあります。

コマンドの前に nohup、末尾に & を付けます。

$ nohup streamlit run app.py &

標準出力は自動的に nohup.out に書き出されます。出力先を指定したいときは明示します。

$ nohup streamlit run app.py > /var/log/app.log 2>&1 &

プロセスを止めるときは、PIDを調べて終了させます。

# PIDを確認する
$ ps -ef | grep streamlit

# 終了させる
$ kill PID

対話的な作業を続きから再開したい場合は screen が便利です。

# 新しいスクリーンを作る
$ screen

# （この中でスクリプトを実行する）

# スクリーンから抜ける（プロセスは動き続ける）
Ctrl + A を押してから D

戻るときは、動いているスクリーンを確認してから入り直します。

# 一覧を表示
$ screen -ls

# 指定したスクリーンに戻る
$ screen -r スクリーンID

終了させる方法は2つあります。

# スクリーンの中から
$ exit

# スクリーンの外から
$ screen -X -S スクリーンID quit

名前を付けておくと、複数動かしていても分かりやすくなります。

$ screen -S batch
$ screen -r batch

長時間かかるバッチを流しておくだけなら nohup、途中経過を見ながら作業したいなら screen という使い分けになります。

ポート変更は単純な作業に見えますが、順序を間違えたときの被害が大きい作業でもあります。「新しい入口を確認してから古い入口を閉じる」を徹底すれば、締め出されることはありません。作業中は接続済みのセッションを閉じないでおく、というのも地味ですが効果的な保険です。