SSH 的設定和啟用

之前都是用 telnet 連進 router 做設定，但這是一種很不安全的連線方式，容易被監聽竊取帳號密碼，所以我們要另外跑一個安全的連線服務：SSH (Secure Shell)。Windows PC 端的連線程式 (SSH client) 可以找這裡 ，或是 piaip 開發中文版的 PieTTY。

其實在 Oleg 的韌體裡已經有 SSH Server 在裡面，程式名稱叫 dropbear (丟熊？)，要啟動該服務要做的事情有三件：1. 設定 dropbear 的 SSH 連線金鑰，2. 要求每次開機這個服務自動啟動，3.在防火牆上打洞讓你可以從外面連進來。接下來我們根據以上的步驟依序來進行設定。

1. 金鑰設定
首先，我們要先建立存放金鑰的目錄。Oleg 的韌體要求預設目錄在 /usr/local/etc/dropbear，所以我們手動建立目錄：

mkdir -p /usr/local/etc/dropbear

接下來要求產生 key pair (DSS & RSA)，要多花一點點時間等待：

dropbearkey -t dss -f /usr/local/etc/dropbear/dropbear_dss_host_key
dropbearkey -t rsa -f /usr/local/etc/dropbear/dropbear_rsa_host_key

2. 開機自動啟動
還記得上一篇我們為了一開機時就自動 mount 磁碟機所產生的 /usr/local/sbin/post-boot 嗎？要 SSH 一開機啟動只要在這個檔案裡加兩行就行了。先用 nano 開啟這個檔案以便編輯：

/opt/bin/nano /usr/local/sbin/post-boot

然後在最後面加入下面兩行：

# Start SSH daemon
dropbear

ctrl+o 存檔然後 ctrl+x 離開就行了。

3. 防火牆設定
如果你有固定 IP 或網址，需要從外面連你的 router 進行設定才需要進行這個步驟，如果不開防火牆設定，你的 SSH 服務就只能在家裡面使用（外面連不進來）。同樣的還記得上一篇有提到，我們在建立 post-boot 時順道做了一個 post-firewall？這時候就派上用場了。同樣地用 nano 開啟檔案：

/opt/bin/nano /usr/local/sbin/post-firewall

然後加入下面的內容在檔案裡（裡面應該是空白的）：

#!/bin/sh
iptables -D INPUT -j DROP

# Port 22 used for SSH server
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t nat -A PREROUTING -i $1 -p tcp --dport 22 -j DNAT --to-destination $4:22
iptables -A INPUT -j DROP

上面幾行的意思，就是要機器對外的 Port 22 打開，連線進來的時候轉向到機器本機的 Port 22。一樣使用 ctrl+o 存檔然後 ctrl+x 離開就行了。

別忘了，因為我們是動到 /usr 下面的檔案，都是存在 flash 裡面的，如果沒有去 save & commit 結果，重新開機就會消失喔！所以還是要要求寫入 flash：

flashfs save
flashfs commit
flashfs enable

完成之後就可以重新開機 (reboot) ，然後就用 SSH Client 程式從家裡或是外面連進來試試看能不能成功囉！（重開完，用 ps 這個命令應該會看到有 dropbear 這個 process 在跑才是）

參考文章：
Olegs firmware SSH Server guide
[HowTo] Getting started (Firmware upgr, Storage, Samba, SSH)