Cisco SG300スイッチでSSH公開鍵認証を有効にする方法

以前の記事では、GUIインターフェースから設定を有効にすることで、CiscoスイッチへのSSHアクセスを可能にする方法をご紹介しました。暗号化された接続経由でスイッチのCLIにアクセスできる点は便利ですが、認証は依然としてユーザー名とパスワードのみに依存しています。

セキュリティ要件の厳しいネットワークでこのスイッチを使用している場合は、SSH接続に公開鍵認証を導入することを検討するとよいでしょう。実際、最大限のセキュリティを実現したいなら、ユーザー名/パスワード認証と公開鍵認証の両方を組み合わせてスイッチへのアクセスを保護することも可能です。

本記事では、Cisco SG300スイッチで公開鍵認証を有効にする手順と、puTTYGenを使った公開鍵・秘密鍵ペアの生成方法を解説します。さらに、生成した鍵を使ってログインする方法や、「鍵のみでログインする設定」と「秘密鍵に加えてユーザー名/パスワードの入力を必須とする設定」の両方の構成方法についてもご紹介します。

注意: このチュートリアルを始める前に、以前の記事で説明した手順に従って、スイッチ上でSSHサービスがすでに有効になっていることを確認してください。

公開鍵によるSSHユーザー認証を有効にする

SSHで公開鍵認証を機能させる流れ自体は、それほど複雑ではありません。ここでは、WebベースのGUIを使って機能を有効にする方法を紹介します。CLIから公開鍵認証を有効化しようとしたところ、RSA秘密鍵のフォーマットが受け付けられなかったためです。

CLIでの設定方法が確認でき次第、GUIで行う操作と同等のコマンドを本記事に追記する予定です。まず、Security(セキュリティ)をクリックし、次にSSH Server(SSHサーバー)、最後にSSH User Authentication(SSHユーザー認証)を選択します。

右側のペインで、「SSH User Authentication by Public Key(公開鍵によるSSHユーザー認証)」の横にあるEnableチェックボックスにチェックを入れます。Apply(適用)ボタンをクリックして変更を保存します。なお、Automatic Login(自動ログイン)の横のEnableはまだチェックしないでください。詳細については後ほど説明します。

次に、SSHユーザー名を追加する必要があります。ユーザーの追加に入る前に、まず公開鍵と秘密鍵のペアを生成しましょう。この例では、puTTYに付属するツールであるpuTTYGenを使用します。

秘密鍵と公開鍵を生成する

鍵を生成するには、まずpuTTYGenを起動します。空白の画面が表示されますが、下図のデフォルト設定から変更する必要は基本的にありません。

Generate(生成)ボタンをクリックし、プログレスバーが端まで達するまで空白部分でマウスを動かし続けます。

鍵の生成が完了したら、パスフレーズを入力します。パスフレーズとは、いわば鍵を解錠するためのパスワードのようなものです。

ブルートフォース攻撃から鍵を守るため、長めのパスフレーズを使用することをおすすめします。パスフレーズを2回入力したら、Save public key(公開鍵の保存)とSave private key(秘密鍵の保存)ボタンをクリックします。これらのファイルは必ず安全な場所に保管してください。できれば、パスワードが必要な暗号化コンテナなどに保存するのが理想的です。VeraCryptを使った暗号化ボリュームの作成に関する記事もぜひ参考にしてみてください。

ユーザーと鍵を追加する

先ほどのSSH User Authentication画面に戻ります。ここで選択できるオプションは2つあります。まず、Administration(管理) – User Accounts(ユーザーアカウント)に移動して、現在ログイン用として存在するアカウントを確認しましょう。

ご覧のとおり、私の場合はスイッチへアクセスするためのakishoreというアカウントが1つあります。現時点では、このアカウントでWebベースのGUIとCLIの両方にアクセスできます。SSH User Authenticationページに戻り、SSH User Authentication Table(by Public Key)に追加するユーザーは、Administration – User Accountsのユーザーと同じでも異なっていても構いません。

同じユーザー名を選択した場合は、Automatic Loginの下にあるEnableにチェックを入れることで、スイッチへのログイン時に秘密鍵のユーザー名とパスワードを入力するだけでログインできるようになります。

一方、異なるユーザー名を設定した場合は、まずSSH秘密鍵のユーザー名とパスワードの入力を求められ、その後、通常のユーザー名とパスワード(Admin – User Accountsに登録されているもの)の入力も求められるようになります。より高いセキュリティを求めるなら異なるユーザー名を、利便性を重視するなら現在のユーザーと同じ名前にしておくとよいでしょう。

Addボタンをクリックすると、Add SSH Userウィンドウがポップアップ表示されます。

Key TypeがRSAに設定されていることを確認し、先ほど保存した公開鍵ファイルをメモ帳などのテキストエディタで開きます。内容をすべてコピーして、Public Key欄に貼り付けてください。その後Applyをクリックし、上部にSuccessのメッセージが表示されたらCloseをクリックします。

秘密鍵を使ってログインする

あとは、秘密鍵とパスワードを使ってログインするだけです。この段階でログインを試みると、認証情報を2回入力する必要があります。1回目は秘密鍵用、2回目は通常のユーザーアカウント用です。自動ログインを有効にすれば、秘密鍵のユーザー名とパスワードを入力するだけでログインできるようになります。

puTTYを開き、いつものようにHost Name欄にスイッチのIPアドレスを入力します。ただし今回は、秘密鍵をpuTTYに読み込ませる必要があります。Connectionを展開し、次にSSHを展開して、Authをクリックしてください。

Private key file for authentication(認証用秘密鍵ファイル)の下にあるBrowse(参照)ボタンをクリックし、先ほどpuTTYGenで保存した秘密鍵ファイルを選択します。その後、Openボタンをクリックして接続します。

最初のプロンプトはlogin asで、ここにはSSHユーザーとして追加したユーザー名を入力します。メインのユーザーアカウントと同じユーザー名を使っている場合は、どちらを入力しても問題ありません。

私の場合、両方のユーザーアカウントにakishoreを使用しましたが、秘密鍵用とメインユーザーアカウント用で異なるパスワードを設定しています。もちろん同じパスワードにしても構いませんが、特に自動ログインを有効にする場合はあまり意味がありません。

スイッチへの二重ログインを避けたい場合は、SSH User AuthenticationページのAutomatic loginの横にあるEnableにチェックを入れます。

これを有効にすると、SSHユーザーの認証情報を入力するだけでログインできるようになります。

少し複雑に感じるかもしれませんが、実際に触れてみれば納得できる仕組みです。前述のとおり、秘密鍵を適切な形式で登録できるようになり次第、CLIコマンドについても追記する予定です。ここで紹介した手順に従えば、SSH経由でのスイッチアクセスは格段に安全になります。問題が発生した場合や質問がある場合は、コメント欄でお知らせください。