ComicCafe、これすごくいいです。
すごくいいんだけど、自宅サーバを外部に晒すのは不安なので、セキュリティを高めてみよう、というお話。
一応、ComicCafeの機能として、アクセス可能な端末を限定する機能があるのはいいんだけど、それだけではちょっと不安。
■外部公開する上でセキュリティ上、気になる点2015年1月2日更新。ComicCafe v0.6.35がリリースされ、Web管理画面のポートが変更可能になりました。これにより、Web管理画面は外部に晒さないようにできます。従って本記事は、ビューアのアクセスを保護したい場合の内容となります。・Web管理画面を晒す必要がある
（ビューアアクセスとWeb管理画面は、ともに同じ9999番ポート）・
Web管理画面とビューアアクセスはhttpでありhttpsではない
つまり、ビューアアクセスを可能にしている状態（9999番ポートを解放）だと、管理画面へもアクセスもできてしまう。管理画面は、アクセス可能な端末を限定できないので、ログイン画面を世界に向けて晒している状態になる。管理画面は、IDとパスワードでガードしているとはいえ、管理画面の存在そのものを晒したくない。また、httpsではないので、ID、パスワード、ビューア識別コードとも盗み見は不可能ではない。
ルータでIPアドレス制限できればいいんだけど、ビューアのIPアドレスは固定ではないので、それもできない。
というわけで、経路の暗号化と、ComicCafeサーバ
（＝ビューアアクセスポートと読み替えてください）を、直接外部に晒さずにすむ方法についてまとめた。
■概要ComicCafeサーバを、直接外部に公開することなく、セキュアにアクセスできるようにする。
外部からのアクセアスにはsshを利用し、ComicCafeサーバへのアクセスは、sshのポート転送により行う。
わかりやすく言うと、sshにてセキュアなトンネルを作成し、そのトンネルをComicCafeの通信経路として使う。
これにより、外部に公開するのはsshのポートのみとなり、ComicCafeを外部に直接公開しなくてすむ。
sshにより、強固なセキュリティと、暗号化された安全な通信経路を確保する。
■設定手順概要まずはローカル環境（同一LAN内）にて、sshトンネルを作成し、そのトンネルを使ってComicCafeサーバへ接続できるようにする。
その後、sshポートを外部に公開し、外部からsshポート経由でアクセスできるようにする。
sshポート転送のことがわかっている場合は、「■ビューア側準備」以降を見てもらえれば大丈夫と思う。
■前準備とりあえず、ComicCafeそのものが動作していないと始まらないので、インストールしてLAN内で利用できるようにしておくこと。
ComicCafeのインストールと設定はオフィシャルページを参照。
ComicCafe Wiki
http://seesaawiki.jp/comiccafe/■環境について当記事では以下のネットワーク構成としている。
※環境に合わせて置き換えること。
sshdサーバ Windows 192.168.12.200 port:22
ComicCafeサーバ Windows 192.168.12.150 port:9999
ComicCafeビューア Androidスマホ
※sshdはCOPSSHを利用、sshクライアントはConnectBotを利用。
■sshdサーバ側の準備■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ssh鍵ファイルの生成と、sshdのインストールと設定について示す。
特に特殊なことは何もないので、鍵ファイルを用いたssh接続環境を持っていれば、読み飛ばして「■ビューア側準備」へ行く。
１．ssh鍵ファイル（公開鍵、秘密鍵）の生成COPSSHの鍵生成機能がうまく動作してくれなかったので、teratermを使って鍵ファイルを作成する。
teratermをダウンロード
http://sourceforge.jp/projects/ttssh2/ttermpro.exeを起動。このダイアログはとりあえずキャンセル押下。
Setup → SSH KeyGenerator 選択。
下図の通り必要項目を入力し、[Save public Key]、[Save private Key] ボタンを順番に押下する。
[Save public Key] → 公開鍵ファイル名：id_rsa.pub
パスワードは関係無いので、パスワードは空欄のまま作成。
※パスワード有無に関係なく、同じ公開鍵ファイルが作成される。
[Save private Key] → 秘密鍵ファイル名：id_rsa
パスワードを設定する。
連続で作成すれば、パスワードの異なる複数の秘密鍵ファイルを生成できる。
パスワードの無い秘密鍵ファイルも1つ作成しておくことをおすすめする。
とりあえず、上記2ファイルを作成しておく。
２．sshdのインストールと公開鍵の指定当方はCOPSSHを利用した。以下はCOPSSHの設定例。
COPSSHダウンロード
以下のリンク先より、Copssh_5.0.0_Free_Installer.zip をダウンロードし、解凍してインストール。
https://www.itefix.net/content/copssh-free-editioncopsshcp.exeを起動
Usersタブの[Add]ボタン押下。
ユーザ追加ウィザードが立ち上がる。
どのユーザでもよいので選択。
この画面では以下のように選択して[Forward]ボタン押下。
[Keys]ボタン押下。
[Import]ボタン押下。
公開鍵ファイル（id_rsa.pub）の内容をコピペして[Apply]ボタン押下。
このように公開鍵ファイルがセットされていればOK。[Apply]ボタン押下。
他はいじる必要ないけど、当方の設定は以下の通り。
バージョンは5.0.0ではなく、なぜか2.4.0？ 一応最新のようだけど。
最後にCOPSSHを再起動する。
○ボタンを押して停止後、再度押して緑（running）にする。
ここまででCOPSSHの設定はOKだが、念のため、鍵ファイルを使った接続が可能か確認する。確認はteratermを利用する。
３．ssh接続確認
ttermpro.exeを起動する。
接続先はCOPSSHのPCを指定して[OK]押下。
[Continue]押下。
以下の画面では、COPSSHで指定したユーザ名と、鍵ファイルを作成する際に入力したパスワードを入力。
中段の[Private key file]を押下し、秘密鍵ファイルを選択。
最後に[OK]ボタン押下。
このようなコマンドプロンプトが表示されればOK。
以上でsshd側の準備は完了。
■ビューア側準備■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ここでは、sshトンネルを作成するためのConnectBotの設定と、sshトンネルを使い、ComicCafeを接続するための手順について示す。
１．秘密鍵ファイル（id_rsa）をコピー最初にConnectBotで必要な秘密鍵ファイル（id_rsa）を、スマホ側の/sdcardフォルダにコピーしておく。
sdcardスロットが無いスマホでも、/sdcardフォルダはあるのでそこにコピー。
※ConnectBotの場合、必ず/sdcardフォルダに置かないとダメ。
２．ConnectBot ssh接続の設定Playストアより、ConnectBotをインストールしておく。
ConnectBotを起動。
接続設定を作成するため、とりあえず、ユーザ名＠ホスト名:ポート の形式で入力してenter。
当然、鍵ファイルを指定していないので、接続できない。[No]を押下。
コンソールの文字、小さ！
ホスト名を長押しメニューより、一旦切断する。
右下のメニュー押下後、「公開鍵管理」 押下。
右下のメニュー押下後、「インポート」押下。
/sdcardにコピーしておいた秘密鍵ファイルを選択する。
こんな感じでプールされる。
ちなみに、画面上部に「公開鍵」ってなってるけど、秘密鍵の間違いでしょう。
ホスト名を長押しメニューより、「接続ホストの編集」を選択。
「公開鍵認証を使用」を選択。
プールされている秘密鍵名が出るので、「id_rsa」を選択。
以上でConnectBotによるssh接続の準備はできた。
３．ConnectBot ssh接続確認実際にssh接続可能かを以下の通り確認しておく。
ホストを選択することでssh接続が行われる。
パスワードを求められるので、鍵ファイル生成時に設定したパスワードを入力。
このようなコマンドプロンプトが表示されればssh接続は成功。
一旦切断する。
ここまでで、鍵ファイルを用いたssh接続は完了。
次はポート転送の設定を行う。
４．ConnectBot ポート転送の設定ホスト名を長押しメニューより、「ポート転送の編集」を選択。
右下のメニュー押下後、「ポート転送の追加」を選択。
転送先は環境に合わせ、以下のように入力。
「
鍵の名前」って多分間違い。表示名のことなので任意の名前をつける。
「
ソースポート」は、ConnectBotが待ち受けるポートなので、任意でよいが、ComicCafe側の設定時に使うので覚えておくこと。
「
転送先」は、ComicCafeサーバなので 192.168.12.150:9999 にする。
以上でポート転送の設定も完了。
接続してみて、コマンドプロンプトが表示されればOK。
これでsshトンネルは完成。
■sshトンネル経由でComicCafeを接続するsshトンネル経由でComicCafeを接続するためには、先にConnectBotにて、sshトンネルを確立しておき、そのトンネルに対してComicCafeを接続する必要がある。以下その手順を示す。
１．ConnectBotにて、sshトンネルを確立ポート転送の設定付きでssh接続を行う。
以下のコマンドプロンプトになっていることを確認する。
この状態のまま、バックキーかホームボタンでConnectBotを抜ける。
抜けてもConnectBotの接続は維持される。（上部の通知バーに居るはず）
２．ComicCafeにて、通常の接続確認念のため、sshトンネルではない通常接続が可能か確認しておく。
設定 → サーバとアカウント にて、通常接続の場合の設定は以下の通り。
[テスト]ボタンにて、「接続成功!!」と出ることを確認。
３．ComicCafeにて、sshトンネル経由の接続先作成２の接続先を長押しメニュー → コピー にて、上記接続のコピーを作成。
コピーした接続に対し、sshトンネルを通す設定を行う。
コピーした接続先を長押しメニュー → 編集より、
「
ホスト名」は、
「localhost」固定。
※自端末のConnectBotに接続するため
「
ポート番号」は、ConnectBotのポート転送の設定で指定したソースポートと同じポート番号にする。
「
ユーザ名」「
パスワード」は、コピーした接続なら、変更する必要なし。
※ここはsshのアカウント情報ではなく、ComicCafeのアカウント情報。
[テスト]ボタンにて、「接続成功!!」と出ればOK。
後はこの接続先を使って、ComicCafeサーバから本が読めるはず。
ここまでで、ローカル環境（同一LAN内）にて、sshトンネル経由でComicCafeサーバへ接続できるようになった。
■sshトンネル経由で外からComicCafe接続外からアクセスできるようルータの設定を変更し、sshポートを外部公開する。
これについては、利用しているルータの説明書をみて設定すること。
外部公開するのは、もちろんsshポートのみでよい。
以下、sshがポート22で外部公開されているものとして記述する。
ローカル環境でのsshトンネル接続ができていれば、設定変更が必要なのは、ConnectBotの接続先み。
１．ConnectBotの接続先を、外向けのsshポートへ変更するホスト名を長押しメニューより、「接続ホスト」の編集を選択。
下の方にスクロールして「ホスト」を選択。
外部公開したsshのグローバルアドレスに変更。
さすがにこれは秘密（＾＾）
変更はこれだけでOK。
以上で、外からConnectBotが接続できるはず。
WiFiをOFFにして、キャリア回線経由で接続できることが確認できればOK。
以上でセキュアなComicCafe環境の完成。
■補足情報ConnectBotの設定の中にある、「シェルセッションを使う（ポート転送のみ行う場合は無効にしてください）」を無効にしてもよい。
でも多分ConnectBotのバグと思うけど、この設定を無効にしていた場合、CPUの使用率が大きく上がってしまい、電池の減りが早いので、有効のままがいいと思う。
ConnectBot接続時にパスワードを入力するのがうざい場合、秘密鍵ファイルを作成する際にパスワード欄を空のままで作成すればよい。鍵認証なのでこれでも十分だが、鍵ファイルと接続先情報は流出させないよう管理は厳重に。
■最後に鍵認証のssh接続なので、十分にセキュアだが、万が一、侵入された場合を考慮して、COPSSHのシェルにも制限を掛けておけばなお良い。この辺りは
こちらを参照。
Androidアプリでポート転送が行えるものをいくつか試したが、まともに動作したのは、ConnectBotのみだった。putty鍵の組み合わせもいろいろ試したんだけど、やり方がまずかったのだろうか？
ConnectBotは、セッションが切れた場合の自動再接続がうまく動作していない模様。一応、自動で再接続してくれそうなオプション項目はあるんだけどね。
通信が安定していれば問題ないだけに惜しい。。。
このポート転送アプリはいいよ、ってのあったら教えていただけると幸いです。
