Planen der Authentifizierung zur Verwendung einer Verbindung

Dieser Abschnitt enthält Planungsinformationen für die Authentifizierung zur Verwendung einer PPP-Verbindung. Kapitel 19Einrichten der PPP-Authentifizierung (Aufgaben) enthält Aufgaben für die Implementierung der PPP-Authentifizierung an Ihrem Standort.

PPP bietet zwei Arten der Authentifizierung: die unter PAP (Password Authentication Protocol) beschriebene PAP-Authentifizierung und die unter CHAP (Challenge-Handshake Authentication Protocol) beschriebene CHAP-Authentifizierung.

Bevor Sie die Authentifizierung für eine Verbindung einrichten, müssen Sie entscheiden, welches Authentifizierungsprotokoll am besten die Sicherheitsrichtlinien Ihres Standorts erfüllt. Danach richten Sie die Geheimnisdatei und die PPP-Konfigurationsdateien für die Einwahlrechner, die Hinauswahlrechner oder beide Rechner ein. Weitere Informationen zur Wahl des richtigen Authentifizierungsprotokolls für Ihren Standort finden Sie unter Warum die PPP-Authentifizierung verwendet werden sollte.

Dieser Abschnitt enthält folgende Informationen:

• Planungsinformationen für die PAP- und CHAP-Authentifizierung

• Erklärungen der Beispielszenarios für die Authentifizierung, die in Abbildung 16-3 und Abbildung 16-4 dargestellt werden

Aufgaben zum Einrichten der Authentifizierung finden Sie in Kapitel 19Einrichten der PPP-Authentifizierung (Aufgaben).

Vor dem Einrichten der PPP-Authentifizierung

Das Einrichten der Authentifizierung an Ihrem Standort sollte ein integraler Bestandteil Ihrer PPP-Gesamtstrategie sein. Vor der Implementierung der Authentifizierung sollten Sie die Hardware installieren, die Software konfigurieren und die Verbindung testen.

Tabelle 16-5 Voraussetzungen zum Konfigurieren der Authentifizierung

Beispiele für PPP-Authentifizierungskonfigurationen

Dieser Abschnitt enthält Beispiele für Authentifizierungsszenarios, die in den unter Kapitel 19Einrichten der PPP-Authentifizierung (Aufgaben) beschriebenen Verfahren verwendet werden.

• Beispielkonfiguration mit PAP-Authentifizierung

• Beispiel einer Konfiguration mit CHAP-Authentifizierung

Beispielkonfiguration mit PAP-Authentifizierung

Die unter Konfigurieren der PAP-Authentifizierung beschriebenen Aufgaben zeigen, wie die PAP-Authentifizierung über die PPP-Verbindung eingerichtet wird. In den Verfahren wird ein PAP-Beispielszenario für das fiktive Unternehmen "Big Company" verwendet (siehe Beispiel einer Konfiguration für eine PPP-Einwahlverbindung).

Big Company beabsichtigt, Heimarbeitsplätze für seine Benutzer einzurichten. Die Systemadministratoren benötigen eine sichere Lösung für die seriellen Verbindungen mit dem Einwahlserver. In der Vergangenheit wurden bei Big Company NIS-Passwortdatenbanken mit UNIX-basierter Anmeldung verwendet. Die Systemadministratoren benötigen ein UNIX-basiertes Authentifizierungsschema für Anrufe, die über eine PPP-Verbindung in das Netzwerk gelangen. Aus diesen Gründen implementieren die Administratoren das folgende Szenario mit PAP-Authentifizierung.

Abbildung 16-3 Beispiel eines PAP-Authentifizierungsszenarios (Heimarbeitsplatz)

Die Systemadministratoren erstellen eine dedizierte Einwahl-DMZ, die vom übrigen Teil des Unternehmensnetzwerks durch einen Router getrennt ist. Der Begriff "DMZ" stammt vom militärischen Begriff "entmilitarisierte Zone" (demilitarized zone) ab. Die DMZ ist ein isoliertes Netzwerk für Sicherheitszwecke. In der DMZ befinden sich Ressourcen, die ein Unternehmen für die Öffentlichkeit bereitstellt, beispielsweise Webserver, anonyme FTP-Server, Datenbanken und Modemserver. Netzwerkentwickler platzieren die DMZ oft zwischen einer Firewall und dem Internetzugang eines Unternehmens.

Die einzigen Geräte in der DMZ, die in Abbildung 16-3 dargestellt sind, sind der Einwahlserver myserver und der Router. Der Einwahlserver verlangt von den aufrufenden Programmen, PAP-Berechtigungsnachweise wie Benutzernamen und Passwörter anzugeben, wenn die Verbindung eingerichtet wird. Außerdem verwendet der Einwahlserver die Anmeldeoption (login) von PAP. Aus diesem Grund müssen die PAP-Benutzernamen und -Passwörter des Anrufers genau mit den entsprechenden UNIX-Benutzernamen und -Passwörtern übereinstimmen, die in der Passwortdatenbank des Einwahlserver enthalten sind.

Nach der Herstellung der PPP-Verbindung werden die Pakete des Anrufers an den Router weitergeleitet. Vom Router werden die Daten an das Ziel im Unternehmensnetzwerk oder im Internet weitergeleitet.

Beispiel einer Konfiguration mit CHAP-Authentifizierung

Die unter Konfigurieren der CHAP-Authentifizierung beschriebenen Aufgaben zeigen, wie die CHAP-Authentifizierung eingerichtet wird. In den Verfahren wird ein CHAP-Szenario als Beispiel für das fiktive Unternehmen LocalCorp verwendet, das unter Beispielkonfiguration für eine Standleitungsverbindung vorgestellt wurde.

LocalCorp sorgt für Internetkonnektivität über eine Standleitung mit einem ISP. Der technische Support von LocalCorp ruft starken Netzwerkverkehr hervor. Darum benötigt der technische Support ein eigenes, isoliertes privates Netzwerk. Die Außendiensttechniker der Abteilung sind viel auf Reisen und müssen von Remote-Standorten aus auf das Netzwerk des technischen Supports zugreifen, um an Informationen zu gelangen, die zur Lösung von Problemen dienen. Um die in der Datenbank des Netzwerks enthaltenen vertraulichen Informationen zu schützen, müssen Remote-Anrufer authentifiziert werden, damit sie sich anmelden können.

Aus diesen Gründen implementieren die Systemadministratoren das folgende CHAP-Authentifizierungsszenario für eine PPP-Anwahlkonfiguration.

Abbildung 16-4 Beispiel eines CHAP-Authentifizierungsszenarios (Anwahl eines privaten Netzwerks)

Die einzige Verbindung des Netzwerks des technischen Supports zur Außenwelt ist die serielle Verbindung mit dem Verbindungsende des Einwahlservers. Die Systemadministratoren konfigurieren die Laptops aller Außendienstmitarbeiter für PPP mit CHAP-Sicherheit einschließlich CHAP-Geheimnis. Die CHAP-Geheimnisdatenbank auf dem Einwahlserver enthält die CHAP-Berechtigungsnachweise für alle Rechner, denen erlaubt ist, das Netzwerk des technischen Supports aufzurufen.

Weitere Informationen zur Authentifizierung

Wählen Sie eines der folgenden Verfahren:

• Konfigurieren der PAP-Authentifizierung

• Konfigurieren der CHAP-Authentifizierung

• Authentifizieren von Anrufern und das Verfahren auf der Manpage pppd(1M)