~/.ssh/configを1行ずつ解剖

この設定ファイルは何者か

~/.ssh/configは、OpenSSHクライアントの接続設定を接続先ごとに記述するファイルだ。sshコマンドはもちろん、scpやsftp、内部でsshを使うrsyncやGitまで、OpenSSHクライアント経由の接続すべてに効く。宛先・ユーザー名・ポート・鍵・経路といった詳細をここへ集約しておけば、コマンドラインはssh bastionのような短い別名だけで済む。

設定は3つの層から読まれる。優先度の高い順に、コマンドライン引数、~/.ssh/config、システム全体の/etc/ssh/ssh_configだ。そして最大の特徴が評価規則にある。各パラメータは「最初に得られた値」で確定し、後から現れた値では上書きされない。一般的な設定ファイルの感覚とは逆であり、この先勝ちの規則が本記事を貫く主役になる。

なお、このファイルが決めるのはクライアントの振る舞いまでで、SSHというプロトコル自体の3層構造（トランスポート・ユーザー認証・コネクション）はRFC 4251が定めている。設定の各行は、この層構造のどこかを操作するスイッチだと考えると見通しがよい。

横にスクロール

1行ずつ解剖

題材はこれだ。踏み台を経由して本番サーバーへ入り、GitHubには専用鍵を使う、実務でよくある構成である。

Host bastion
    HostName bastion.example.com
    User taro
    Port 2222
    IdentityFile ~/.ssh/id_ed25519_bastion
    IdentitiesOnly yes

Host prod-web
    HostName 10.0.1.15
    User deploy
    ProxyJump bastion
    IdentityFile ~/.ssh/id_ed25519_prod
    IdentitiesOnly yes

Host github.com
    User git
    IdentityFile ~/.ssh/id_ed25519_github
    IdentitiesOnly yes

Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    ForwardAgent no

Hostは別名、HostNameが実際の宛先

Hostの行は設定ブロックの見出しで、コマンドラインに与えた名前がパターンにマッチしたブロックだけが適用される。ssh prod-webと打てば、Host prod-webのブロックと、すべてにマッチするHost のブロックの両方が効く。パターンにはと?のワイルドカードが使え、Host prod-*と書けばprod-webもprod-dbもまとめて扱える。空白区切りで複数のパターンを並べることも可能だ。

HostNameは実際に接続する宛先で、ホスト名でもIPアドレスでもよい。省略するとコマンドラインの名前がそのまま宛先になる。サンプルのgithub.comブロックは実名をHostに書いて省略する型、prod-webは覚えやすい別名から10.0.1.15という実際の宛先へ引き当てる型だ。つまりHostとHostNameの組は、覚えにくいIPや長いホスト名を意味のある名前へ変換する辞書として働く。

UserとPort

Userはログイン先のユーザー名、Portは接続先ポートで既定は22だ。この例では踏み台が2222番で待ち受けている想定で、設定に書いておけば以後-pの指定は不要になる。GitHubのSSH接続はユーザーが常にgitと決まっているから、これも固定してしまえば迷いがない。

IdentityFileとIdentitiesOnly

IdentityFileは認証に使う秘密鍵を指定する。未指定ならid_ed25519やid_rsaといった既定の名前が探される。細かいが重要な例外として、複数のブロックがマッチしたときのIdentityFileは先勝ちで1つに確定するのではなく、候補のリストへ追加されていく。

問題はssh-agentに鍵を多数登録している場合だ。クライアントはagentの鍵を順にサーバーへ提示するが、サーバー側には認証試行の上限があり（OpenSSHのMaxAuthTriesは既定6）、目的の鍵の番が来る前に上限へ達するとToo many authentication failuresで切断されてしまう。IdentitiesOnly yesを添えると、agentが何本の鍵を抱えていようと、設定で明示したIdentityFileだけを提示するようになる。鍵を数本以上使い分けるなら実質必須の組み合わせだ。

ProxyJumpで多段SSHを1行に

本番サーバー10.0.1.15はプライベートネットワーク内にあり、外からは直接届かない。ProxyJump bastionと書くだけで、sshはまずbastionへ接続し、そこに開いたトンネルを通して目的地とのSSH接続を確立する。内側の接続はクライアントと目的地の間でエンドツーエンドに暗号化されるため、踏み台から通信の中身は見えない。経由地が増えたらProxyJump gate1,gate2のようにカンマで連ねる。コマンドラインの-Jと同じ機能だ。

ProxyJumpが登場する前は、ProxyCommandで同じ構成を書いていた。

ProxyCommandは経路に任意のコマンドを挟める汎用機構で、その最頻出パターンだった中継専用の書き方を専用構文へ昇格させたのがProxyJumpだ。今から書くならProxyJumpでよい。

ServerAliveInterval / ServerAliveCountMax

NATルータやファイアウォールは、しばらく無通信のTCP接続を静かに破棄することがある。ServerAliveInterval 60は、60秒間何も流れなかったら暗号化されたチャネル内で生存確認をサーバーへ送る設定だ。ServerAliveCountMax 3（既定値も3）は、応答のない生存確認が3回続いたら接続を諦めるという意味で、この組み合わせならおよそ180秒で異常を検知できる。放置したターミナルが固まったまま戻らないという日常の不快感は、この2行でほぼ解消する。

ForwardAgentは既定でno

ForwardAgent yesにすると、接続先のホストから手元のssh-agentへ問い合わせる経路が作られ、踏み台へ入った後さらに奥のサーバーへも手元の鍵で認証できる。鍵ファイルを踏み台に置かずに済む便利な機能だが、代償がある。転送中は踏み台上にagentへの中継ソケットが生まれ、そのホストのroot権限を持つ者はソケット越しにあなたの鍵へ署名させられる。秘密鍵そのものは盗めないものの、転送している間は第三者が「あなたとして」認証できてしまうわけだ。踏み台の管理者を無条件に信頼できない以上、Host *でnoを明示し、必要なホストだけ個別に許可するのが防御の基本になる。そもそもProxyJumpで目的地まで直接届くなら、踏み台上で鍵を使う場面自体が消える。こうした認証情報の預け先を最小にする発想はセキュリティ全般に通じる。

Host *は必ず末尾に

冒頭で述べた先勝ちの規則を、ここで設計原則に落とす。個別・具体的なHostブロックを上に、全ホスト共通の既定値であるHost *を末尾に置く。サンプルでHost *が最後にあるのは趣味ではなく、この評価規則の帰結だ。

パーミッションは600

OpenSSHはファイル権限を検査する。秘密鍵が他者から読める状態（644など）だと、Permissions are too openという警告とともにその鍵は無視される。/.ssh/config自体も、他者が書き込める状態ならBad owner or permissionsのエラーで接続を拒否される。/.sshディレクトリは700、秘密鍵とconfigは600が基本だ。設定が「なぜか効かない」「鍵が使われない」ときは、内容より先に権限を疑うと早い。

つまずきやすい点

まず、Host *をファイル先頭に書いてしまう事故。「基本を書いてから個別に上書き」という感覚で冒頭へ置くと、先勝ちの規則によってそこで確定したPortやIdentityFileを個別ブロックが変更できず、個別設定が丸ごと沈黙する。設定が効かないときは、より上にある広いパターンに同じパラメータがないかを最初に疑うとよい。次に、初回接続で表示されるknown_hostsの確認を惰性でyesと打つ癖。あの指紋の確認は、接続先が本物かを人間が検証できる唯一の機会であり、ここで偽物を受け入れると以後のなりすまし警告は機能しなくなる。せめて本番系では、事前に共有されたホスト鍵の指紋と突き合わせたい。もう一つがGitHubの複数アカウントだ。GitHubはどの鍵で認証したかでアカウントを識別するため、agentが別アカウントの鍵を先に差し出すと意図しない側のユーザーとして認証される。アカウントごとにHostの別名を切り、IdentityFileとIdentitiesOnly yesの組で提示する鍵を1本に固定するのが定石である。

まとめ

~/.ssh/configは、別名から宛先・ユーザー・ポート・鍵・経路までを1か所へ集約する、SSH運用の土台だ。押さえる規則は少ない。評価は先勝ちだからHost *は末尾へ、鍵が増えたらIdentitiesOnly yes、多段はProxyJump、権限は600。これだけで、踏み台の奥の本番サーバーにも複数鍵のGitHubにも、短い別名ひとつで確実に届くようになる。この設定が操るSSHの足元、TCP/IPの世界はネットワークの各記事で扱っている。