사전 작업

• rpm-build 설치
• rpm-build를 위한 GPG Key 생성

프로그램 작성

실습을 위해 world를 출력하는 hello 스크립트를 작성해보자.

mkdir hello-1.0.0
cat <<EOF > hello-1.0.0/hello
#!/bin/bash
echo world
EOF
sh hello-1.0.0/hello

[builduser@jmnote ~]$ mkdir hello-1.0.0
[builduser@jmnote ~]$ cat <<EOF > hello-1.0.0/hello
> #!/bin/bash
> echo world
> EOF
[builduser@jmnote ~]$ sh hello-1.0.0/hello
world

압축

[builduser@jmnote ~]$ tar czvf hello-1.0.0.tar.gz hello-1.0.0/
hello-1.0.0/
hello-1.0.0/hello

SPEC 파일 작성

 hello.spec 문서를 참고하십시오.

hello.spec 파일(새파일)을 열어서 hello.spec의 내용으로 채우고 저장.

[builduser@jmnote ~]$ vi hello.spec

rpm 빌드

[builduser@jmnote ~]$ rpmbuild hello.spec
error: File /home/builduser/rpmbuild/SOURCES/hello-1.0.0.tar.gz: No such file or directory

→ 빌드를 위한 폴더 구조를 만들기 위해 rpmbuild를 실행 (오류 발생하지만 무시)

[builduser@jmnote ~]$ cp hello-1.0.0.tar.gz rpmbuild/SOURCES/
[builduser@jmnote ~]$ cp hello.spec rpmbuild/SPECS/
[builduser@jmnote ~]$ cd rpmbuild/SPECS/
[builduser@jmnote SPECS]$ rpmbuild --sign -ba hello.spec
Enter pass phrase:

→ rpm-build를 위한 GPG Key 생성에서 입력했던 Passphrase 값 입력

Pass phrase is good.
Executing(%prep): /bin/sh -e /var/tmp/rpm-tmp.hUcv0F
+ umask 022
+ cd /home/builduser/rpmbuild/BUILD
+ cd /home/builduser/rpmbuild/BUILD
... (생략)
+ cd hello-1.0.0
+ rm -rf /home/builduser/rpmbuild/BUILDROOT/hello-1.0.0-1.el6.x86_64
+ exit 0

[builduser@jmnote SPECS]$ cd ../RPMS/x86_64/
[builduser@jmnote x86_64]$ ll
total 4
-rw-rw-r--. 1 builduser builduser 2546 May 17 02:24 hello-1.0.0-1.el6.x86_64.rpm

→ 그럴싸한 rpm 파일이 생성되었다.

rpm 설치 및 확인

• root 계정에서 진행

[root@zetawiki ~]# rpm --import /home/builduser/RPM-GPG-KEY-builduser
[root@zetawiki ~]# cp /home/builduser/rpmbuild/RPMS/x86_64/hello-1.0.0-1.el6.x86_64.rpm ~
[root@zetawiki ~]# rpm -ivh hello-1.0.0-1.el6.x86_64.rpm
Preparing...                ########################################### [100%]
   1:hello                  ########################################### [100%]

[root@zetawiki ~]# rpm -qa hello
hello-1.0.0-1.el6.x86_64
[root@zetawiki ~]# which hello
/usr/local/bin/hello
[root@zetawiki ~]# rpm -qf /usr/local/bin/hello
hello-1.0.0-1.el6.x86_64
[root@zetawiki ~]# hello
world

같이 보기

• 리눅스 rpm-build 설치
• hello.spec
• 리눅스 rpm
• YUM 저장소 만들기

사전 작업

긴 실습 (rpm 만들기 포함)

• rpm 패키지 만들기 실습
• createrepo 설치
• 아파치 설치

짧은 실습 (rpm 만들기 미포함)^[1]

• RPM-GPG-KEY 파일 만들기
• createrepo 설치
• 아파치 설치

저장소 생성

• DOCUMENT_ROOT 아래에 /repo/Packages 폴더를 만든다.

[root@zetawiki ~]# mkdir -p /var/www/html/repo/Packages
[root@zetawiki ~]# cp hello-1.0.0-1.el6.x86_64.rpm /var/www/html/repo/Packages/
[root@zetawiki ~]# createrepo -v /var/www/html/repo/
Spawning worker 0 with 1 pkgs
Worker 0: reading Packages/hello-1.0.0-1.el6.x86_64.rpm
Workers Finished
Gathering worker results
 
Saving Primary metadata
Saving file lists metadata
Saving other metadata
Generating sqlite DBs
Starting other db creation: Sun Jun  8 14:39:05 2014
Ending other db creation: Sun Jun  8 14:39:05 2014
Starting filelists db creation: Sun Jun  8 14:39:05 2014
Ending filelists db creation: Sun Jun  8 14:39:05 2014
Starting primary db creation: Sun Jun  8 14:39:05 2014
Ending primary db creation: Sun Jun  8 14:39:05 2014
Sqlite DBs complete

[root@zetawiki ~]# cp /home/builduser/RPM-GPG-KEY-builduser /var/www/html/repo/
[root@zetawiki ~]# curl http://127.0.0.1/repo/RPM-GPG-KEY-builduser
-----BEGIN PGP PUBLIC KEY BLOCK-----
... (생략)
-----END PGP PUBLIC KEY BLOCK-----

다른 컴퓨터에서 테스트

접속 확인

[root@CentOS63 ~]# nc -z 135.79.246.80 80
Connection to 135.79.246.80 80 port [tcp/http] succeeded!

[root@CentOS63 ~]# curl http://135.79.246.80/repo/RPM-GPG-KEY-builduser
-----BEGIN PGP PUBLIC KEY BLOCK-----
... (생략)
-----END PGP PUBLIC KEY BLOCK-----

repo 등록

echo '[my-first-repo]
name=My First Repo
baseurl=http://서버주소/repo
gpgkey=http://서버주소/repo/RPM-GPG-KEY-builduser
enabled=1
gpgcheck=1' > /etc/yum.repos.d/my-first-repo.repo
yum repolist

[root@CentOS63 ~]# echo '[my-first-repo]
> name=My First Repo
> baseurl=http://135.79.246.80/repo
> gpgkey=http://135.79.246.80/repo/RPM-GPG-KEY-builduser
> enabled=1
> gpgcheck=1' > /etc/yum.repos.d/my-first-repo.repo

[root@CentOS63 ~]# yum repolist
... (생략)
repo id        repo name                                        status
base           CentOS-6 - Base                                   6,367
epel           Extra Packages for Enterprise Linux 6 - x86_64   10,899
extras         CentOS-6 - Extras                                    14
my-first-repo  My First Repo                                         1
updates        CentOS-6 - Updates                                1,009
repolist: 18,290

→ 패키지를 1개 가진 my-first-repo가 보인다.

hello 패키지 설치

======================================================================
 Package     Arch         Version           Repository           Size
======================================================================
Installing:
 hello       x86_64       1.0.0-1.el6       my-first-repo       2.5 k
 
Transaction Summary
======================================================================
Install       1 Package(s)
 
Total download size: 2.5 k
Installed size: 23  
Is this ok [y/N]: y

... (생략)
Installed:
  hello.x86_64 0:1.0.0-1.el6                                          
 
Complete!

[root@zetawiki ~]# rpm -qa hello
hello-1.0.0-1.el6.x86_64

[root@zetawiki ~]# hello
world

같이 보기

• rpm 패키지 만들기 실습
• 리눅스 createrepo 설치
• Daum repo 설정

7.1 설정 최적화 검사

http://www.serverchk.com/

http://www.dnsreport.com/에서 검사

# named-checkconf /etc/named.conf

7.2Options 튜닝하기

Bind8이 보안상 취약하여 Bind8에서 사용하는 옵션이 대부분입니다.

Bind9버전에서는 일부분은 보안취약점이 개선되어 기본으로 적용되어 있어 오류로 표시되는 옵션이 있으므로,

messages파일보고 불필요하면 제거하도록 한다. (진한 부분은 공통으로 설정이 필요한부분이다.)

# vi/etc/ Named.conf

options {

directory “/var/named”;

// pid-file “/var/named/named.pid”;// named pid 파일을 남길 위치

// statistics-file “/var/named/named.stats”;// 통계정보를 남길 위치

memstatistics-file “/var/named/named.memstats”; // 메모리 통계정보 파일을 위치

dump-file “/var/adm/named.dump”; // 네임서버의 메모리 상태 정보 파일 위치

version “Unknown !!”;

edns-udp-size 512 ;

check-names master ignore ;// 필수 권장설정

check-names slave ignore ;// 권장설정

에러 형식:

다음은 버전8의 기본값

check-names master fail; // 언더바가 들어가더라도 현재는 정상 응답한다

check-names slave warn; // 언더바가 들어가더라도 현재는 경고만 보내주고 응답한다

Check-names response ignore;// 언더바가 들어가더라도 현재는 정상 응답한다

오류에 대해 무시하고 질의에 대한 응답을 하도록 한다.

Check-names response ignore;

notify no;

Allow-notify { 203.231.124.15; };

multiple-cnames yes;

maintain-ixfr-base yes;

transfer-format many-answers;

serial-queries 100 ;

listen-on { 203.231.124/24; };

};

7.3 Bind버전확인하기

# dig txt chaos version.bind.

# dig @200.1.1.1 txt chaos version.bind.

7.4 질의제한:

7.4.1 해당 DNS서버의 named.conf 에 질의를 허용할 IP블록을 등록한다.

# more/etc/named.conf

7.5 개별도메인에 Notify허용법

named.conf 의 option부분에notify no; 라고 한경우 Master가 Slave에 정보변경시 바로 notify를 하지 않고, SOA레코더값이 지정되어 있는시간에 전송요청을 한다.

만약  option부분에는 no로 되어 있으나 특정도메인은 notify목록에 추가하려면zone구문에서 also-notify라는 서버구문을 이용한다.

allow-transfer { none; };

};

7.6IXFR – BIND 8.2.3이상, 다음은 BIND8에서의 IXFR설정법입니다.

동적 업데이트만 이용해 영역데이터를 수정할때만 문제없이 동작

7.7 포워더 설정.

options {

forwarders { 168.126.63.1; 203.255.112.34; };

};

options {

forwarders { 168.126.63.1; };

forward only;

};

7.8 영역포워드 – (BIND 8.2부터, BIND 9.1.0부터)

7.8.1  귀하의 Cache DNs에서 yejin.pe.kr사이트만 정상적으로 레졸루션 되지 않을시 우선조치

해당 사이트 질의시 다른 네임서버에게 포워드하여 해당 네임서버가 응답하도록함.

7.8.2 Yahoo.com등 특정사이트가 접속이 안될때 -Name:www.yahoo.akadns.net

네임서버에서 yahoo의 네임서버인 akaff 찾을땐 특정 IP로 포워드 한다.

Forward하는법.

7.8.3 설정 파일 전체에 영향을 미치는 options구문속의 forwarder설정을 무력화시키기.

로컬에 있는 도메인을 forwarder인 외부에 질의하게 되는 부분을 해결.

7.9 비재귀적 네임서버 (네임서버 전용인 경우 설정함)

options {

recursion no;

options {

fetch-glue no ;

7.10 엉터리 네임서버 이용금지. – blackhole설정

이 목록에 있는 네임 서버에는 질의를 보내지도 않고 이들이 보내는 질의에도 응답하지 않는다.

목록에 있는 네임서버에는 질의를 보내지도 않고, 보내는 질의에도 응답하지 않는다

또는

7.11네임서버별 영역전송 개수 제한

transfers-per-ns 4;

7.12 영역 전송 시간 제한

max-transfer-time-in 180;

7.13 청소주기

cleaning-interval 120;

실행된 로그내용:

12-May-2005 13:44:29.123 maintenance: info: Cleaned cache of 123874 RRsets
// named 데몬에서 잡고 있는 메모리가 이 설정에 의해 줄거나 하지는 않으며 이미 잡혀 있는 메모리 자체에 있는 데이타를 날리고 제 사용하는 방식을 택하고 있는 것으로 보입니다.

7.14 인터페이스주기

interface-interval 0;

7.15 통계주기

statistics-interval120;

7.16 부정적 TTL시간

max-ncache-ttl 3600;

7.17 질의제한:

1) 해당 DNS서버의 named.conf 에 질의를 허용할 IP블록을 등록한다.

외부에서 사용못하도록함.

# more/etc/named.conf

or

7.18리졸빙 네임서버를 더욱 안전하게 운영

options {

use-id-pool yes ;

};

7.19 Zone Transfer 제어 – 인가 받지 않은 영역 전송금지

용도: 서버로부터 영역을 zone transfer할수 있는 사용자들은 영역의 모든 호스트를 보게됨으로서 보안상 설정을 함.(BIND8을 기준으로 작성됨.)

특정 IP블록에서만 Zone Transfer를 할수 있도록함.

Zone transfer는 일반적으로 slave에서 Master의 zone을 가져가므로 slave의 ip-address나 블록을 넣어준다.

설정법

#파일위치:/etc/named.conf,// 환경 설정파일은 options 안에 정의

Slave서버의 zone구문은zone-transfer가 일어나지 않으므로 다음과 같이 설정한다.

 OpenSSL은 : SSL v2/v3와 TLS v1 프로토콜을 지원하는 범용 암호법 라이브러리이다.
대부분 리눅스 배포판에 기본 설치 되어 있음.

1. 개인키생성
1) 3DES 로 암호화(PassPhrase필요)
openssl genrsa -des3 -out 키이름.key 1024

 2) 암호화 하지 않음
openssl genrsa -out 파일이름.key 1024

 3) 기존 비밀키에 패스워드 추가
openssl rsa -in out 키이름.key -des3 -out 새로운키이름.key

 4) 기존 비밀키에 패스워드 제거
openssl rsa -in 키이름.key -out 새로운키이름.key

2. CSR생성 (인증서 서명 요청을 위해 필요)
openssl req -new -key 키이름.key -out csr이름.csr

3. 자체 서명 인증서 생성하기
openssl req -new -key 키이름.key -x509 -out 인증서이름.crt
openssl req -new -x509 -nodes -sha1 -days 365 -key server.key -out server.crt

4. 인증서 다루는 법
1) 인증서 확인(보기)
openssl x509 -noout -text -in 인증서파일.crt

  2) 비밀키 보기
openssl rsa -noout -text -in 키파일.key

※ 아파치가 설치되어 있고 SSL모듈이 있으면 개인키 및 CSR 코드만 생성하면 된다.

<Directory> tag에 의하여 각 directory마다 적절하게 permission을 걸수가 있다.

<Directory />
Options FollowSymLinks
AllowOverride None
</Directory>

DocumentRoot 값으로 변경

<Directory “/home/httpd/html”>

지정할수 있는  옵션의 예이다. 
None 어떤 옵션도 이용할 수 없다. 
All 지정한 directory에서 모든 명령을 이용할 수 있다. 
Indexes URL에 지정된 디렉토리에 (index.html 같은) 지정된 파일이 없을 경우 디렉토리의 파일 목록을 보여주는 옵션. 
Includes 서버측의 추가적인 정보를 제공할 수 있게 한다. 
IncludesNoExec 서버측의 추가적인 정보를 제공할 수 있게 하지만, 어떠한 실행 파일을 실행하는 것을 방지한다.  
FollowSymLinks  디렉토리상의 심볼릭 링크를 사용가능하게 한다. 
ExecCGI CGI 스크립트를 실행할 수 있게 한다. 
MultiViews  All 옵션이 설정되었을 때만 지정된 목록의 multiviews를 허용한다.

AllowOverride None
.htaccess파일은 서버의 각 디렉토리에 만들어서 각 디렉토리에 대한 접근을 제어하기 위한 것으로 디렉토리에 .htaccess파일이 있으면, 서버 전체에 작용하는 access.conf 보다 우선권을 가진다.

.htaccess파일에 대한 Override에 대한 옵션이다. 
None .htaccess파일을 읽을 수 없게 한다. 
All 모든 지정에 대해 가능하게 한다. 
Options 규정된 디렉토리 형식을 콘트롤하는 지정의 사용을 허락한다. 
FileInfo 문서형식을 콘트롤하는 지정의 사용을 허용한다. 
AuthConfig  사용자 인증 지정의 사용을 허용한다. 사용자 인증 변수를 사용한다. 
Limit 호스트 접근을 콘트롤하는 지정을 허용한다.

서버로부터 자료를 얻어갈 수 있는 위치를 제어한다.
Order allow,deny
Allow from all
Deny from env=no_access

Limit에 관련된 부분을 설정을 한다.

order : 서버가 access control을 수행하는 순서를 나타낸다. 여기서는 allow기능을 먼저 수행하고, deny기능을 수행하라는 것이다.

deny, allow – deny 지시자 부터 검사하고 allow 지시자를 검사 
allow, deny – allow 지시자 부터 검사하고 deny 지시자를 검사 
mutual-failure – allow목록에 없는 모든 host에게 접속을 거부

allow from : 나열되는 주소들에 대한 access control을 가능하게 한다.  
사용 가능한 주소는 도메인 네임, 호스트 이름 주소, 호스트 ip 주소, ip 주소의 앞부분 3바이트, 모든 주소에 해당하는 all이 있다.
deny from : allow from과 반대되는 개념이다.
</Directory>

ex1)

ex2)

출처 : http://0thinktank.tistory.com/91

각 계정별로 PAM 을 이용하여 패스워드가 틀릴 경우 계정 잠금 설정을 하는 법을 요청하여
긴 검색 노가다와 설정 노가다 끝에 방법을 발견했다.

특정 사용자에 대한 설정을 진행하고 해당 계정이 아닌 경우 전역 설정을 할 수 있도록 설정값을 추가해 준다.

# vi /etc/pam.d/system-auth
==================================================

RHEL 7.X 버전의 네트워크 이름을 종전처럼 ethX 로 사용해야 하는 경우가 있다.
보통 네트워크 장치명을 ethX 로 지정해서 개발된 프로그램이나 상용 모니터링 프로그램 등에서 ethX 를 참고하기 때문이다.

일반적으로 biosdevname 이라는 패키지가 ethX 가 아닌 하드웨어 단위의 이름을 할당하게 되므로 이 패키지를 지워 줘야 한다.

그리고 RHEL 6.X 버전에서 udev 에서 장치 이름을 70-persistent-net.rules 에서 선언해 주었기 때문에 해당 파일도 수정해 줘야 했다.
그런데 RHEL 7.X 버전에서는 해당 파일이 없었다. (ㅍ_ㅍ)헐~~~~

“predictable name” 에 대한 정보가 있는 경우, 별도의 설정이 없으면 무조건 이를 따라가도록 되어 있는 것으로 생각 된다.
자세한 정보는 아래와 같았다.
http://www.freedesktop.org/wiki/Software/systemd/PredictableNetworkInterfaceNames/

RHEL 7.X 의 systemd 는 207 버전이다.
해결법으로
1. # ln -s /dev/null  /etc/udev/rules.d/80-net-name-slot.rules
2. /etc/udev/rules.d/70-my-net-names.rules 파일 생성하여 수동 설정
3. 기본값 복사이후 수동 설정 # cp /usr/lib/udev/rules.d/80-net-setup-link.rules /etc/udev/rules.d/80-net-setup-link.rules
4. 부트 파라미터로 net.ifnames=0 설정하기

# man systemd-udevd.service 을 통해서 net.ifnames=0 옵션에 대한 내용은 확인할 수 있다.

I/O 스케줄러의 종류

1. The NOOP scheduler
– 리눅스 I/O 스케줄러의 가장 간단한 형태로 우선순위 없이 FIFO 으로 처리된다.
– 큰 캐싱 시스템을 가진 스토리지 환경에 적합, solid-state storage 에 적합하다.

2. The Deadline scheduler
– 들어오는 요청의 처리 완료 시간을 기준으로 우선적으로 처리한다.
– 리얼타임 어플리케이션, 데이타베이스, 디스크 집약 어플리케이션에 효과적이다.

3. The Anticipatory scheduler [2.6.33 Linux에서 제거 됨]
– 현재 작성하고 있는 블록의 인접한 블록을 우선적으로 처리한다.
– 싱글 IDE/SATA 디스크에서 웹서버, 파일 서버, 데스크탑에서 최고의 포퍼먼스를 보여줍니다.

4. The Completely Fair Queuing (CFQ) scheduler [2.6.18 부터 Linux 기본값으로 사용됨]
– 대부분의 읽기,읽기에 대해서 최악의 경우를 최소화하는 스케줄러로 대부분 사용합니다.
– 다중 사용자 환경으로 광범위한 어플리케이션에서 효과적이다.

* 스케줄링 확인 방법
# cat /sys/block/*DEV*/queue/scheduler

* 스케줄링 적용 방법
# echo SCHEDNAME > /sys/block/*DEV*/queue/scheduler

Targets table

1. Port xx

SSH 서비스 포트는 22로 규약되어 있지만 보안을 위해 임의의 포트로 변경 하는것도 가능하다.

원하는 포트번호로 변경하고 /etc/services 파일에서 ssh 포트값도 변경해 주면 된다.

포트번호는 1024 이상의 값들을 이용한다.

2. Protocol 2

SSH 프로토콜은 ver 1과 ver 2가 있는데 SSH1 클라이언트와 SSH2 클라이언트의 접속 요청에 대한 것이다. 보안상 Protocol 1은 사용하지 않고 Protocol 2 만을 사용한다.

(둘다 사용하기 위해서는 Protocol 2,1 을 적어주면 된다.)

3. ListenAddress 0.0.0.0

SSH 서버에서 Listen 할 로컬 호스트 주소를 설정하는 것이다. 여러개의 IP를 사용중일 때 특정 IP로 SSH 접속이 가능토록 설정하는 옵션으로 0.0.0.0은 모든 네트워크를 의미한다.

사용하고자 하는 특정 IP가 있다면 0.0.0.0 대신 적으면 된다.

4. #Hostkey ~

Protocol 1, 2(rsa, dsa) 의 호스트키 위치를 지정한다.

5. KeyRegenerationInterval 1h

자동으로 생성된 키의 유효시간을 지정한다. (기본 3600sec 이고 h를 붙이면 1 hour의 의미이다.)

 이 옵션은 호스트의 세션에 있는 키를 캡쳐해서 암호를 해독하거나 훔친 키를 재사용 하지 못하도록

하기 위함이다.

6. ServerKeyBits 768

서버 키의 비트 길이를 설정한다. 최소 512, 기본 768.

7. SyslogFacility AUTH

syslog 데몬에 의한 로그 facility를 지정한다. sub system 종류 및 내용은 syslog 관련 자료를 참조.

8. LogLevel INFO

로그 레벨(메시지 종류)를 지정한다.

9. LoginGraceTime 2m

지정한 시간내에 로그인 하지 않으면 자동으로 접속을 끊는다. 0값은 무제한.

10. PermitRootLogin no

공격자가 임의의 주소에 root 계정으로 접속이 가능한지 여부를 무한 스캐닝을 통해

알아 낼 수 있다. 따라서 위와 같이 root 계정의 접근을 막고 일반 유저로 접속한 다음

root 계정을 불러오는 것이 좋다.

11. StrictModes yes

로그인을 허용하기 앞서 파일 모드 및 사용자 홈 디렉토리 소유권과 원격 호스트의 파일들을

ssh 데몬이 체크 할 수 있도록 할 때 사용.

12. MaxAuthTries 6

접속당 최대 인증 시도 횟수. 기본값 6, 3회이상 인증 실패시 로그가 기록된다.

13. #RSAAuthentication yes

RSA 인증을 설정. Protocol 1 에서만 적용되는 옵션이므로 주석처리.

14. #PubkeyAuthentication yes

공개키 인증 설정. Protocol 2에 적용된다.

15. #AuthorizedKeysFile      .ssh/authorized_keys

인증키를 저장할 위치를 지정한다.

16. RhostsRSAAuthentication no

/etc/ssh/ssh_known_hosts 파일에 있는 호스트에 대한 인증을 허용할 것인지 설정한다.

17. HostbasedAuthentication no

호스트 기반의 인증 허용 여부를 결정한다.

18. IgnoreUserKnownHosts yes

RhostsRSAAuthentication, HostbasedAuthentication 인증시 ~/.ssh/knownhosts 파일의

호스트들을 제외할 것인지 설정한다. rhosts 파일을 허용하지 않았으므로 yes로 설정.

19. IgnoreRhosts yes

~/.rhosts와 ~/.shosts 파일 사용여부를 결정한다. 보안상 이유로 사용하지 않는다.

20. PasswordAuthentication yes

패스워드 인증을 허용한다. Protocol 1, 2 모두 적용된다.

21. PermitEmptyPasswords no

패스워드 인증시 비어있는 스트링을 인정할지 여부를 결정한다.

22. ChallengeResponseAuthentication no

Challenge-Response 인증을 허용할지 여부를 설정한다. UsePAM 옵션을 yes로 설정할 경우 이 옵션은 no로 설정해야 한다.

23. #UsePAM no

ChallengeResponseAuthentication을 이용한 PAM 인증을 허용하는 옵션이다. 이 옵션을 yes로 설정하는 경우 열쇠글 인증과 동일하게 적용되므로, 열쇠글 인증 또는 ChallengeResponseAuthentication 옵션을 꺼 놓아야 한다.

– Kerberos 및 GSSAPI 인증에 관한 내용은 필요에 따라 설정.

24. AllowTcpForwarding yes

TCP 포워딩을 가능토록 설정하는 옵션이다.

25. GatewayPorts no

클라이언트에 포워드된 포트로 원격 호스트 들이 접속할 수 있도록 설정하는 옵션이다.

26. X11Forwarding no

원격에서 X11 포워딩을 허용할지 여부를 설정하는 옵션이다.

27. #X11DisplayOffset 10

X11 포워딩이 될 때 디스플레이 offset을 설정. 허용하지 않았으므로 주석 처리.

28. PrintMotd yes

ssh 로그인시 /etc/motd 파일의 내용을 보여줄 것인지 여부결정.

ssh 로그인을 환영하는 메시지나 공지사항 등을 출력되도록 할 수 있음.

29. PrintLastLog yes

로그인시 지난번 로그인 기록을 보여줄 것인가를 설정.

30. TCPKeepAlive yes

클라이언트의 접속이 끊어졌는지를 체크하기 위해 서버가 일정시간 메시지를 전달한다.

31. PermitUserEnvironment no

~/.ssh/enviroment와 ~/.ssh/authorized_keys 파일의 environment = 옵션을 sshd 데몬에서 처리 되도록 할것 인가를 설정한다.

32. Compression delayed

압축 사용여부를 결정.

33. ClientAliveInterval 0

클라이언트로부터 sshd 데몬이 아무런 데이터를 받지 못하게 되면 암호화된 채널을 통해서 메시지를 클라이언트의 요청에 응답하여 보내는데 이 때의 시간 간격을 초단위로 설정한다. 0은 클라이언트에

메시지를 보내지 않는 것을 의미. Protocol 2에서 적용된다.

34. ClientAliveCountMax 3

서버에게 전달되는 클라이언트의 생존 메시지 회수를 지정한다. 이 옵션으로 지정한 값에

도달하게 되면 sshd 데몬은 클라이언트와의 연결을 끊어 버리고 세션을 종료시킨다.

35. UseDNS yes

클라이언트 호스트 주소를 DNS 해석.

36. PidFile /var/run/sshd.pid

sshd 데몬의 PID를 저장할 파일을 지정한다.

37. MaxStartups 5

로그인하고 있지 않는 최대 접속 수를 설정한다. 이 값을 초과하게 되고 인증이 성공적으로

이뤄지지 않으면 그 다음 접속이 불가능 하다.

38. Subsystem       sftp    /usr/libexec/openssh/sftp-server

sftp는 프로토콜 버전 2에서 사용되는 것으로서 ssh와 같이 ftp의 보안을

강화하기 위해 사용되는 보안 ftp 프로그램이다.

openssh를 설치하면 /usr/local/ssh/libexec/sftp-server파일이 설치된다.

이것은 sftp 서버용 프로그램으로 클라이언트 sftp프로그램은 설치되지 않는다.

따라서 서버로 가동시키고 원도용 ssh클라이언트 프로그램이나 SSH2를 설치하면

sftp를 사용이 가능하다.

39. UsePrivilegeSeparation yes

# 접속된 프로세스에 대해 상위 권한 없이 chroot로 고립된 형태로 작동