sshdのポート番号を変えるに至る道のり。panda大学習帳panda大学習帳ハヤシライスのハヤシじゃない方。プライバシーポリシーsshdのポート番号を変えるに至る道のり。目次はじめにjournalログの内容を調べてみた。参考文献スポンサーリンクはじめに最近、記事を書いている際に画像ファイルが急にアップロードできなくなり、原因を調べてみたところ、本Webサイトのjournalログが激増したせいでfilesystemの使用率が100%となっていました。いうことで、いろいろと対応策を検討&実行した結果、sshdのポート番号を変更することとしましたので、この記事ではsshdのポート番号を変えるに至るまでの経緯について書きます。journalログの内容を調べてみた。filesystemの使用率が100%の状況が続くと、思わぬところでファイルを削除してしまう(実際、本Webサイト用にカスタマイズしたPHPファイルのインストール時にこのエラーが発生してファイルがインストールされないどころか、もともとあったPHPファイルも削除されてしまうことがありましたw)等の問題が発生する可能性がありますので、root権限で以下のコマンドを実行して古いjournalログを削除してfilesystemのスペースを少し解放し、いったん落ち着きます。−−vacuum-size=10Mfilesystemのスペースがあいて落ち着いたところで、以下のコマンドを実行します。res=failed'ってな感じのログが大量に出力されてました(IPアドレスの部分は加工しています)。多数のクライアントからのsshdへのアクセスが大量に行われる。アクセス自体は失敗するものの、失敗した旨のメッセージがjournalログに書き込まれる。journalログの大きさが膨れ上がり、filesystemの使用率が100%に達する。画像ファイルがWordpressにアップロードできなくなる。←今ここ!!という状況になっていたっぽいです。「第n種DDoS攻撃のようなもの」が成立していた模様です。最初の解決案まずは、sshdへのアクセスを試みているクライアントのIPアドレスを抽出すべく、root権限で以下のコマンドを実行してIPアドレスとログに記録されている回数を確認します。-cスポンサーリンク上記のコマンドにより抽出されたIPアドレスについてroot権限で以下のコマンドを実行し、アクセスを拒否するよう設定します。−−reloadなお、いくつかのIPアドレスを使い分けてsshdにアクセスしている可能性があるものについては、”/32′′の部分を”/28′′のように小さい数字にすることで、アクセスを拒否するIPアドレスの範囲を広げて設定します。ここまでの作業を行った後に1時間ほど様子をみたところ、journalログの出力がいったん止まったように見えたので、翌朝に再度確認することにしました。💤ここ2,3日の間に立て続けにpanda大学習帳のサーバのjournalログの出力のためにfilesystemの使用率が100%になってしまったので、その原因と思われるIPアドレス群からのリクエストを拒否する設定にしてみたところ、journalログの出力がほぼ止まりました。使用率の確認重要です。20192番目の解決案スポンサーリンク次の日の朝に、journalログのファイルサイズを調べてみたところ、10Mバイトにしたはずのjournalログが8時間くらいの間に約130Mバイトになっていました。journalログの内容を調べてみたところ、sshdへのアクセスを試みて失敗した旨のログが大量に記録されていました。これでは比較的すぐにjournalログのためにfilesystemの使用率が100%になる可能性が高そうです。そこで、sshd等の設定を変更することによりsshdのポート番号を変更することにしました。以下のコマンドを実行し、SELinuxの設定を変更します。”abcde”には変更後のポート番号を指定します(以下同じです)。abcdesshdの設定変更スポンサーリンク以下の手順でsshdの設定を変更します。abcdeに変更します。root権限で以下のコマンドを実行し、sshdを再起動します。最後にfirewalldの設定を変更します。以下の2通りの方法が考えられますが、どちらでも良いと思います(※個人の意見です)。portの設定を追加する方法root権限で以下のコマンドを実行し、abcde番portへのアクセスを許可します。zone名には外部からのアクセスの設定を行っているものを指定します。−−reload以下のコマンドを実行し、portsに”abcde/tcp”と表示されていれば、設定完了です。abcde/tcp(後略)専用のサービスを作る方法firewalldのsshd用の設定ファイルをコピーして書き換えてabcde番port用で接続を待ち受けるsshd用の設定ファイルを作成する方法です。以下の手順で設定します。root権限で以下のコマンドを実行し、コピー元となる設定ファイルをカスタマイズをした設定ファイル用のディレクトリにコピーします。\/etc/firewalld/services/ssh-abcde.xml/etc/firewalld/services/ssh-abcde.xmlを適当なエディタで開き、portタグのport属性を以下のように変更し、保存します。port="abcde"/>root権限で以下のコマンドを実行し、ssh-abcde.xmlをサービスとして追加し、sshを削除します。−−reloadroot権限で以下のコマンドを実行し、servicesの項にssh-abcdeが含まれていて、かつsshが含まれていなければ設定完了です。適当な端末から以下のコマンドを実行し、ログインに成功したら動作確認完了です。name>お疲れ様でした。🙇‍♂️sshdのport番号変更後のjournalログの出力状況sshdのport番号の変更後は、journalログにはsshdへのアクセスが原因と思われるメッセージが出力されなくなりました。他にもNetworkManagerが大量に出力しているjournalログがあることがわかったので、journalログの出力が本当に必要なメッセージだけになるという状態にはなっていませんが、出力量は1/4程度に減っているようです。まとめsshのポート番号を変えることにより、journalログが激増する感じではなくなりましたので、journalログを大量に出力することによるサーバのパフォーマンスの低下も防げそうです。NetworkManagerがjournalログを出力する原因は不要なインターフェースを短い周期でenableに使用して失敗している旨のメッセージが出力されていることが原因のようですので、そのインターフェースをdownさせることにより、journalログの出力についても何とか適正化できそうです。26から27にアップグレードしてみたところ、不具合が出たので、修正した件。アップグレードのついでに永続化されたジャーナルを削除してみた。OpenVPNでクラウドサーバと自宅のLinuxサーバ(?)の間をVPNでとりあえず接続してみた。Twitterカードの設定並びにカード用のtitile及びdescriptionの表示内容の調整に微妙に手間取った件。このウィジェットの背景が黒くなってしまうことがある理由についてはこちらをクリック。AviUtlgimp-2.10.sikuliGIMP-2.10を使ってスクリーンショットを取得するためのSikuliXのスクリプト。SikuliX-2.0.1+GIMP-2.10.10の組み合わせでのみ動作確認を行っています。SolrのDataImportHandlerで7-zipで圧縮されたファイルのインポートをサポートするためのJARファイル。struts2ajaxtestStruts2でAjaxを使用するWebアプリケーションのサンプル。LANを発行するためのスクリプトのサンプル(Fedora用)。8用のNEologd入りkuromojiをビルドするためのパッチ。GROWIの設定とHTTPS経由で接続するための各種の設定。GROWI等のインストール。PCからの音声をBOSEのスピーカーに飛ばしたら臨場感が増した件。httpdをnginxに取り換えてみた。YouTube↓のボタンを押していただくとチャンネルを登録できます。見解等とは一切関係ありません。