Ubuntu20.04のInstallおよびSSH、FTP設定【第一回】

今回はServer版を使いますが、サーバ運用以外でも使う予定がある場合はDesktop版でも構いません。

Ubuntuのダウンロードおよびインストール

1. まずはUbuntu公式サイトにてUbuntu Serverのisoファイルをダウンロードしておきます。執筆時点ではUbuntu Server 20.04.3 LTSです。

   • Ubuntuを入手する
     • https://jp.ubuntu.com/download

2. ダウンロードが終われば、Vultrのサーバ新規設定であるDeploy New InstanceのServer Typeで先程ダウンロードしたisoファイルをアップロードします。

3. アップロード後、My ISOsで選択できていればあとはDeploy Nowでサーバをデプロイします。

Ubuntuのインストール設定

Deploy後はサーバステータス内のView Consoleにてコンソール画面で操作することが可能です。

1. 起動直後は読み込み等を行っているため、しばらく待機します。

2. その後Use UP, DOWN and ENTER keys to select your language.という文言が出てくるので、ここではEnglishを選択します。

   1. すると、次はInstaler update availableという項目が出てくることがあり、ここではUpdate to the new installerを選択してしばらく待ちます。

3. それが終わると次にKeyboard configurationの項目が表示されるので、Layout: Japaneseを選択し、Doneを選びます。

   1.ただし、もし使用しているキーボードが日本語文字列ではない場合は対応した言語を選択してください。

4. 次はNetwork connectionsの項目ですが、ここは特に変更する箇所はないのでそのままDoneを選択します。もし変更したいところがあれば適宜行ってください。

5. Configure proxyも同様に変更箇所は特に無いのでDoneを選びます。

6. Configure Ubuntu archive mirrorでは自動的にミラーアドレスが表示され、日本ではhttp://jp.archive.ubuntu.com/ubuntuが表示されているので、そのままDoneを選びます。

7. 次にGuided storage configurationが表示され、変更がなければDoneを選びますが、ストレージの構成を変更にしたい場合はCustom storage layoutを選んだあとにDoneを選択します。

   1. カスタム設定にした場合はStorage configurationが出てきますが、例えばディスクのファイルシステムをxfsに変更したい場合はAVAILABLE DEVICESの下にある/dev/vda localdisk 32.000Gを選択し、Add GPT Partitionを選ぶとAdding GPT partition to /dev/vdaが表示されます。
   2. Adding GPT partition to /dev/vdaではFormatを選び、現在のext4からxfsを選択し、Createします。
   3. すると再びStorage configurationに戻り、現在の構成が表示されますが、これで問題が無ければDoneを選んでください。
   4. カスタム設定の最後にはConfirm destuctive actionが表示され、 ディスクを初期化しても良いかと聞かれるので問題がなければContinueを選びます。

8. 次はProfile setupを行います。Your nameは自分の名前を入力しますが、これはユーザ名とは別のものです。

   1. Your server's nameはサーバ自体の名前を入力します。コンソールではYour server's name@usernameという位置です。
   2. Pick a usernameはユーザ名を入力します。
   3. Choose a passwordには好きなパスワードを入力し、確認としてConfirm your passwordには同じパスワードを入力します。

9. 次はSSH Setupですが、今回はSSH(Secure SHell)接続を行うため、必ずInstall OpenSSH serverにチェックを付けてください。チェックを付けたらDoneを選びます。

   1. チェックを付けるとImport SSH identityが出てきますが、ここでは新規作成を行うのでNoのままでOKです。

10. 最後にFeatured Server Snapsでは必要な機能があればチェックを入れますが、今回はこの項目で何もチェックを入れませんのでDoneを選択します。

11. 全項目の設定が終わればインストールが開始されるので、インストールが完全に終了するまで待機します。Install complete!ではなく、下記にReboot Nowが表示されるまで待つ必要があります。表示されたら再起動を行います。

12. なお、再起動の際、セットしたUbuntuのisoファイルがそのままになっているとずっとインストール項目に移動しつづけてしまいます。なので、Vultrのサーバステータスから自身のサーバを選択し、Settings、Custom ISOの順で移動するとRemove ISOがあるのでISOを除去しておきましょう。除去後は自動で再起動が行われます。

アップデート

Ubuntuのインストールを完全に終わらせた場合は既にアップデートのインストールは完了しています。

$ sudo apt updateを入力することで現在のアップデート状況をチェックすることができます。

$ sudo apt upgradeによってアップデートをインストールすることができます(推奨)。

$ sudo apt dist-upgradeもしくは$ sudo apt full-upgradeでは完全なアップデートのために障害となるパッケージは削除される可能性があります。

なお、パッケージ管理コマンドにはaptとapt-getがありますが、apt-getではインストールしていないパッケージが必要となる場合にアップグレードが停止します。

そのため、基本的には柔軟な動作を行うaptが推奨されています。

厳格にパッケージを管理したい場合にはapt-getを使うと良いでしょう。

TeraTermの導入

Vultrのコンソール画面のままでは非常に扱いにくいので、ここでは大変便利なターミナルエミュレータであるTeraTermを導入します。

• Tera Term Home Page
  • https://ttssh2.osdn.jp/

1. TeraTermをダウンロードして展開後、ttermpro.exeというファイルがあるのでそれを起動します(ショートカットを作っておくと便利です)。

2. 起動後、File、New connection...の順で選択するとTera Term New connectionという画面が出てくるので、Host:には先程作成したサーバのIPを入力し、TCP port#には22を入力します。

3. するとSECURITY WARNINGと共にfingerprintが表示されますが、そのままContinueを選んでください。

4. SSH Authentivationの項目が表示されるので、User name:にサーバのユーザ名を入力し、Passphrase:にはパスワードを入力後、OKを選択するとサーバにログインすることができます。

この後すべてのコンソール内の操作はTeraTerm経由で行われます。

netplanの設定変更

再起動後、コンソールにA start job is running for wait for network to be configuredという文章が表示され、非常に長く待たなければならないケースが発生する場合があります。

これを解決するにはnetplanの設定を変更する必要があります。

$ sudo vim /etc/netplan/00-installer-config.yaml

00-installer-config.yaml

# This is the network config written by 'subiquity'
# 各インターフェースにoptional:trueを追加する
network:
  ethernets:
    enp1s0:
      dhcp4: true
      optional: true
    enp6s0:
      dhcp4: true
      optional: true
  version: 2

:wqで上書き保存し、その後$ sudo netplan applyで設定の変更を適用させます。

文字化け対策

現時点のサーバは日本語に対応しておらず、仮に入力した場合には文字化けが発生してしまいます。

そのため、別途日本語パッケージをインストールして適用させなければなりません。

1. まずは$ locale -aで現在の言語設定を確認します。初期状態では以下のようになっており、日本語が入っていません。

C
C.UTF-8
en_US.utf8
POSIX

2. $ sudo apt install language-pack-ja-base language-pack-jaで日本語パッケージをインストールします。

3. インストール後はシステム表示を一部英語にしたまま日本語表示可能にします。理由としてはエラーメッセージなどは英語の方が検索に引っかかりやすいためです。

4. $ sudo vim ~/.bashrcで言語設定を行います。

bashrc

# 最後に記載する
case $TERM in
    linux) LANG=C ;;
    *)     LANG=ja_JP.UTF-8;;
esac

5. その後は$ source .bashrcで設定を反映させます。ただし、システム表示は日本語化状態となっているため、反映させるには$ sudo rebootによるサーバの再起動が必要となります。

   1. もしシステムを含む全部を日本語表示にしたい場合は$ echo 'export LANG=ja_JP.UTF-8' >> ~/.bashrcおよび$ echo 'export LANGUAGE="ja_JP:ja"' >> ~/.bashrcを入力することで、日本語訳に対応している項目はすべて日本語で表示されます。

6. 次に$ sudo vim ~/.vimrcでエディタであるvimの編集も行います。

vimrc

" settings
set fenc=utf-8
set encoding=utf-8
set fileencodings=utf-8
set fileformats=unix,dos,mac

vimの場合は保存した時点で自動的に反映されます。

以上で文字化け対策の完了です。

セキュアなSSH設定

現時点では簡易的なSSH接続を行っているため、セキュリティ的には脆弱です。

そのため、一定以上の安全性を確保するためにSSHの設定を更新します。

# 同じ項目が既に入っていればそちらはコメントアウトしてください。

# SSHの初期ポート番号は狙われやすいので必ず変更する
Port 22
# Port 好きなポート番号

# パスワード無しでのログインは絶対に許可してはならないので"no"
PermitEmptyPasswords no

# チャレンジレスポンス認証を使用しない
ChallengeResponseAuthentication no

# Rootでのログインはセキュリティ上よろしくないので"no"
PermitRootLogin no

# ログインの成功失敗ログが出力されるようにする
SyslogFacility AUTHPRIV

# 出力されるログを詳細なものに切り替える
LogLevel VERBOSE

# PAM(Pluggable Authentication Module)認証。パスワードやチャレンジレスポンスは使わないので"no"
UsePAM no

# 鍵認証のみを使いたいのでパスワード認証は"no"
PasswordAuthentication no

# TCPポートフォワーディングを禁止する(SSH経由で別サーバとの接続を行う場合は"yes")
AllowTcpForwarding no

# Unixドメインソケットによる転送を禁止する(SSH経由で別サーバとの接続を行う場合は"yes")
AllowStreamLocalForwarding no

# X11フォワーディングを禁止する(-Xオプションを使う場合は"yes")
X11Forwarding no

#
# 以下の項目は間違えると修正するまでSSH接続ができなくなるので注意
#
# 接続を許可するユーザを設定(任意)
# AllowUsers yamada
# AllowUsers tanaka@192.168.1.*
# AllowUsers *@192.168.1.2

# 接続を許可するグループを設定(任意)
# AllowGroups hogehoge

# 接続を拒否するユーザを設定(任意)
# DenyUsers ec2-user

SFTPの設定

次はSFTP(SSH File Transfer Protocol)の設定を行います。

FTPとはクライアントとサーバ間で、ファイルのアップロードやダウンロードを行うことのできる便利な機能であり、自身の端末にあるファイルをサーバに送ったり、サーバ側のファイルをこちらに受信することが可能となります。

SFTPとはSSHにFTP機能を加えたプロトコルであり、よりセキュアにファイルの送受信を行うことができます。

通常のFTPサーバにはvsftpd(Very Secure FTP Daemon)と呼ばれるオープンソースの著名なFTPサーバがあります。

ただし、SFTPではsftp-server(もしくはinternal-sftp)というシステムが使われており、FTPとは動作するプログラムが異なります(vsftpdの設定を行ってもSFTPには意味が無い)。

今回の導入後、実際のFTP接続には非常に扱いやすい無料のFTPクライアントソフトウェアであるFileZillaを使います。事前にダウンロードしておきましょう。

• FileZilla
  • https://ja.osdn.net/projects/filezilla/

# 末尾に記述する
# 指定したグループに対しての設定
Match group グループ名

  # 初期ディレクトリを指定
  ChrootDirectory /home/%u

  # コマンド強制でSFTP接続のみを許可し、chroot対応しやすいinternal-sftpを使う
  ForceCommand internal-sftp

  # パスワード認証を行う場合は"yes"
  PasswordAuthentication yes

  # 鍵認証を行う場合はキーの場所を指定(%uはそれぞれのユーザ名を意味する)
  # AuthorizedKeysFile /home/%u/.ssh/authorized_keys
  
  # TCPポートフォワーディングを禁止する(SSH経由で別サーバとの接続を行う場合は"yes")
  AllowTcpForwarding no

  # Unixドメインソケットの転送を禁止する(SSH経由で別サーバとの接続を行う場合は"yes")
  AllowStreamLocalForwarding no

  # X11フォワーディングを禁止する(-Xオプションを使う場合は"yes")
  X11Forwarding no

【予備】FTPの導入

以前のサイトではSFTPではなくFTP(実際にはFTPS)を使っていたこともあり、予備としてこちらの導入方法も置いておきます。

ただし、FTPS(File Transfer Protocol over SSL/TLS)やSFTPではなく、通常のFTPの場合は通信が暗号化されていないため、実際に使うのならFTPSあるいはSFTPが推奨されます。

1. まずは $ sudo apt updateでアップデートを確認します。

2. 次に$ sudo apt install vsftpdでvsftpdをインストールします。

3. $ vsftpd -vでインストールしたvsftpdのバージョンをチェックできます。

4. $ sudo vim /etc/vsftpd.confで各種設定を記述していきます。

vsftpd.conf

# 同じ項目が既に入っていればそちらはコメントアウトしてください。

# IPV4での接続を有効にする
listen=YES

# IPv6での接続を拒否
listen_ipv6=NO

# 匿名ログインを許可しない
anonymous_enable=NO

# ローカルユーザのログインを許可する
# (/etc/passwdに存在するユーザ)
local_enable=YES

# ファイルの変更を許可
write_enable=YES

# 新規ファイルのumaskパーミッション設定(002の時、ディレクトリは775、ファイルは664となる)
# ディレクトリ - 777からumaskを引いた数値(000では777)。
# ファイル - 666からumaskを引いた数値(077では600)。
local_umask=002

# メッセージファイルがあるディレクトリにアクセスするとそのメッセージを表示する
dirmessage_enable=YES

# ファイル送受信のログを記録する
xferlog_enable=YES

# xferlog形式のフォーマットを利用せず、vsftpd.logに変更
xferlog_std_format=NO

# ログ出力パス
vsftpd_log_file=/var/log/vsftpd.log

# Activeモード時のデータコネクションポートを20番に固定するかどうかの設定
connect_from_port_20=NO

# ASCIIモードでのアップロードを許可
ascii_upload_enable=YES

# ASCIIモードでのダウンロードを許可
ascii_download_enable=YES

# FTPサーバ接続時に表示するメッセージ
ftpd_banner=Welcome to blah FTP service.

# ディレクトリアクセスの制御(CHangeRoot)リストを有効化
chroot_list_enable=YES

# chroot_list_fileで指定したユーザのみ全ディレクトリへのアクセスを可能とする
# "NO"の場合は指定されていないユーザが全ディレクトリへのアクセスができる(NOは非推奨)
chroot_local_user=YES

# 指定するユーザのリスト
chroot_list_file=/etc/vsftpd.chroot_list

# chroot先に書き込み権限があるユーザはログイン不可、"YES"だと権限有りでログイン可能に
# セキュリティ的には悪用防止のためにユーザの書き込み権限を無しにしつつ"NO"が良い
allow_writeable_chroot=YES

# ディレクトリの再帰表示を許可
ls_recurse_enable=YES

# ログイン可否を設定するユーザリストを有効化する
userlist_enable=YES

# "NO"ではユーザリストに書かれたユーザのみログイン可能にする(ホワイトリスト制)
userlist_deny=NO

# ユーザリストのパス
userlist_file=/etc/vsftpd.user_list

# TCP wrappersを使ってアクセス制御を行う
tcp_wrappers=YES

# ディレクトリリストの表示にローカルのタイムゾーンを使用
use_localtime=YES

# ログイン時ディレクトリ（ホームとなるディレクトリ）
local_root=/home

# FTPもしくはFTPS接続に使用するポート番号(自由に決める)
listen_port=10000
# pasvモードで利用するポート最小値(自由に決める)
pasv_min_port=10010
# pasvモードで利用するポートの最大値(自由に決める)
pasv_max_port=10020

# "500 OOPS：priv_sock_get_cmd"というエラーが出た場合、最終行に追記する
# seccompフィルターを無効にする
# seccomp_sandbox=NO

#
# FTPS設定 (FTPSを使う時だけ有効化する)
# 

# FTPSを有効化
#ssl_enable=YES

# FTPSに使う証明書の場所を指定
#rsa_cert_file=/etc/letsencrypt/live/yourdomain.example.com/fullchain.pem
#rsa_private_key_file=/etc/letsencrypt/live/yourdomain.example.com/privkey.pem

# 匿名接続でのログインにSSL/TLSを使わない
#allow_anon_ssl=NO

# ローカルユーザのデータ通信にSSL/TLSを使う
#force_local_data_ssl=YES

# ローカルユーザのログインにSSL/TLSを使う
#force_local_logins_ssl=YES

# SSL/TLSのバージョン指定(安全性のためTLS1.2以降の使用を推奨)
#ssl_sslv2=NO
#ssl_sslv3=NO
#ssl_tlsv1=NO
#ssl_tlsv1_1=NO
#ssl_tlsv1_2=YES

# SSL/TLSでの暗号強度を高いものにする
#ssl_ciphers=HIGH

# SSL/TLSでの暗号化方式を指定
#ssl_ciphers=ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

# DH鍵交換パラメータ(各自用意する)
#dh_param_file=/etc/vsftpd/dhparam.pem

# implicitモード(接続直後にSSL/TLSを有効化)を有効化
#implicit_ssl=YES

# すべての接続でクライアント証明書を掲示させる
#require_cert=YES

# SSL/TLS接続時に証明書を要求する
#ssl_request_cert=YES

# すべてのクライアント証明書を検証する
#validate_cert=YES

# クライアント証明書を検証および読み込むためのファイル名
#ca_certs_file=/etc/pki/vsftpd_self_CA/cacert.pem

# OpenSSL接続の診断をvsftpdログに出力する
#debug_ssl=YES

5. $ sudo vim /etc/vsftpd.chroot_listでchrootユーザリストを作成します。

   1. ファイル内は1行につき1ユーザで記述します。

6. 今度は$ sudo vim /etc/vsftpd.user_listでログインユーザリストを作成します。

   1. こちらも同様に1行につき1ユーザです。

7. 設定後、FTPに使うポートをUFWで許可させます。

   1. 例では$ sudo ufw allow 10000です。

   2. pasv接続に使うポートも開放します。

      1. 例：$ sudo ufw allow 10010:10020/tcp

8. 設定が終われば$ sudo service ufw reloadおよび$ sudo service vsftpd restartで設定を反映させます。

これによりFTP接続ができるようになりました。