SSHのポートを変えたら繋がらなくなった

レン

SSHのポート番号を変えたら、新しい番号でも古い番号でも繋がらなくなった…！

プロクラ

これは順番を間違えると起きる典型だね。原因は3つのどれかで、コンソールから入れれば必ず直せる。落ち着いていこう。

原因1：設定が反映されていない

• 設定ファイルを書き換えただけで、SSHのサービスを再起動していない
• 書式に誤りがあり、再起動が失敗している
• 編集したファイルが、実際に読み込まれているものと違う
• サービスの状態を確認すれば、起動しているかが分かる

プロクラ

2つめのとき、古い設定で動き続けている場合と、完全に停止している場合がある。停止していれば、古い番号でも繋がらない。まさに今の症状だね。

原因2：ファイアウォールで塞がれている

プロクラ

新しい番号を許可していなければ、当然そこには届かない。しかも塞ぐ場所は2か所あるので、両方を確認する必要があるよ。

• サーバー内のファイアウォールで、新しい番号を許可する
• 事業者側のネットワーク設定でも、同じ番号を許可する
• 古い番号の許可を消すのは、新しい番号で入れることを確認してから
• 片方だけ直しても通らない

原因3：SELinuxに拒否されている

プロクラ

RHEL系のOSでは、SSHが使ってよいポート番号があらかじめ決められている。既定と違う番号にすると、設定は正しくても待ち受けを拒否されるんだ。

• サービスの記録に、許可されていない旨のエラーが出る
• その番号をSSH用として登録する設定が必要
• 無効にするのではなく、番号を登録するのが正しい対処
• Ubuntu系では通常この問題は起きない

プロクラ

この症状に当たると、たいてい「SELinuxを無効にすれば直る」という情報に行き着く。でも、番号を1つ登録するだけで済む話だよ。守りを外す必要はない。

安全な変更の進め方

プロクラ

そもそも締め出されない手順があるよ。少し手間だけど、これを覚えておけば怖くない。

• 先にファイアウォールで、新しい番号を許可しておく
• 設定で、古い番号と新しい番号の両方を待ち受けるようにする
• 再起動して、今の接続を保ったまま別の窓で新しい番号を試す
• 入れたら、古い番号の設定と許可を外す

プロクラ

2つめが肝だね。両方で待ち受ければ、失敗しても古い番号で入れる。切り替えの間に退路を残しておく、という考え方だよ。

そもそも変える必要があるか

ウィルスン

…番号を変えたところで、ワタシは全部の番号を順に叩けば見つけられる。ただし、雑な自動攻撃の多くは既定の番号しか見ない。無意味ではない、という程度だ。

プロクラ

そのとおりで、ログを汚す試行が減る効果はある。ただ「防ぐ」効果は限定的だよ。鍵認証にすることと、接続元を絞ることのほうが、ずっと確実に効く。

レン

退路を残して切り替える。SELinuxは無効にせず番号を登録する。