Configuración de autenticación CHAP

Las tareas de esta sección explican cómo implementar la autenticación en un enlace de PPP mediante el Protocolo de autenticación por desafío mutuo (CHAP). Las tareas utilizan el ejemplo que se muestra en la Figura 16-4 para ilustrar un escenario de trabajo de CHAP para acceso telefónico a una red privada. Utilice las instrucciones como base para la implementación de la autenticación CHAP en el sitio.

Antes de poder realizar los siguientes procedimientos, debe haber hecho lo siguiente:

• Configurado y probado el enlace por marcación telefónica entre un servidor de marcación de entrada y equipos de marcación de salida que pertenecen a emisores de llamadas de confianza.

• Obtenido permiso de superusuario para el equipo local, ya sea servidor de marcación de entrada o equipo de marcación de salida.

Configuración de autenticación CHAP (mapas de tareas)

Tabla 19-4 Mapa de tareas para autenticación CHAP (servidor de marcación de entrada)

Tabla 19-5 Mapa de tareas para autenticación CHAP (equipo de marcación de salida)

Configuración de autenticación CHAP en el servidor de marcación de entrada

La primera tarea en la configuración de autenticación CHAP es modificar el archivo /etc/ppp/chap-secrets. Este archivo contiene las credenciales de seguridad de CHAP, incluido el secreto de CHAP, que se utilizan para autenticar a los emisores de llamadas en el enlace.

El siguiente procedimiento implementa la autenticación CHAP para un servidor de marcación de entrada en una red privada. El enlace de PPP es la única conexión con el mundo exterior. Los únicos emisores de llamadas que tienen acceso a la red son aquellos a los que los gestores de red les han otorgado permiso, incluido, posiblemente, el administrador del sistema.

Cómo crear una base de datos de credenciales de CHAP (servidor de marcación de entrada)

1. Arme una lista que contenga los nombres de usuario de todos los emisores de llamadas de confianza.

   Los emisores de llamadas de confianza incluyen a todas las personas a las que se les otorgó permiso para llamar a la red privada.

2. Asigne a cada usuario un secreto de CHAP.

   ---

   Nota - Asegúrese de elegir un buen secreto de CHAP que no sea fácil de adivinar. No hay ninguna otra restricción en el contenido del secreto de CHAP.

   ---

   El método para asignar secretos de CHAP depende de la política de seguridad del sitio. O bien, se tiene la responsabilidad de crear los secretos o los emisores de llamadas deben crear sus propios secretos. Si no es responsable de la asignación de secretos de CHAP, asegúrese de obtener los secretos de CHAP creados por o para emisores de llamadas de confianza.

3. Conviértase en superusuario en el servidor de marcación de entrada o asuma un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

4. Modifique el archivo /etc/ppp/chap-secrets.

   Esta versión incluye un archivo /etc/ppp/chap-secrets que contiene comentarios útiles, pero no contiene opciones. Puede agregar las siguientes opciones para el servidor CallServe al final del archivo /etc/ppp/chap-secrets existente.

   account1 CallServe key123 *
   account2 CallServe key456 *

   key123 es el secreto de CHAP para emisores de llamadas de confianza account1.

   key456 es el secreto de CHAP para emisores de llamadas de confianza account2.

Véase también

La siguiente lista proporciona referencias a la información relacionada.

• Cómo crear una base de datos de credenciales de CHAP (servidor de marcación de entrada)

• Cómo agregar compatibilidad de CHAP a los archivos de configuración de PPP (servidor de marcación de entrada)

• Configuración de autenticación CHAP para emisores de llamadas de confianza (equipos de marcación de salida)

Modificación de archivos de configuración de PPP para CHAP (servidor de marcación de entrada)

La tarea de esta sección explica cómo actualizar archivos de configuración de PPP existentes para admitir la autenticación CHAP en el servidor de marcación de entrada.

Cómo agregar compatibilidad de CHAP a los archivos de configuración de PPP (servidor de marcación de entrada)

1. Inicie sesión en el servidor de marcación de entrada como superusuario.
2. Modifique el archivo /etc/ppp/options.

   Agregue las opciones que se muestran en negrita para compatibilidad de CHAP.

   # cat /etc/ppp/options
   lock
   nodefaultroute
   name CallServe
   auth

   name CallServe

   Define CallServe como nombre de usuario de CHAP en el equipo local, en esta instancia, el servidor de marcación de entrada.

   auth

   Hace que el equipo local autentique a los emisores de llamadas antes de establecer el enlace.

3. Cree el resto de los archivos de configuración de PPP para admitir a los emisores de llamadas de confianza.

   Consulte Cómo configurar usuarios del servidor de marcación de entrada y Cómo definir comunicaciones a través de la línea de serie (servidor de marcación de entrada).

Véase también

Para configurar las credenciales de autenticación CHAP para emisores de llamadas de confianza, consulte Cómo crear una base de datos de credenciales de CHAP (servidor de marcación de entrada).

Configuración de autenticación CHAP para emisores de llamadas de confianza (equipos de marcación de salida)

Esta sección contiene tareas para configuración de autenticación CHAP en los equipos de marcación de salida de emisores de llamadas de confianza. En función de la política de seguridad del sitio, tanto usted como los emisores de llamadas de confianza pueden ser responsables de la configuración de autenticación CHAP.

Para que los emisores de llamadas remotos configuren CHAP, asegúrese de que los secretos de CHAP locales de los emisores coincidan con los secretos de CHAP equivalentes de los emisores de llamadas en el archivo /etc/ppp/chap-secrets del servidor de marcación de entrada. A continuación, proporcione a los emisores de llamadas las tareas de esta sección para la configuración de CHAP.

La configuración de CHAP para emisores de llamadas de confianza incluye dos tareas:

• Creación de credenciales de seguridad de CHAP de emisores de llamadas.

• Configuración de los equipos de marcación de salida de los emisores de llamadas para admitir autenticación CHAP.

Cómo configurar credenciales de autenticación CHAP para los emisores de llamadas de confianza

Este procedimiento muestra cómo configurar credenciales de CHAP para dos emisores de llamadas de confianza. Los pasos del procedimiento dan por sentado que usted, el administrador del sistema, crea las credenciales de CHAP en los equipos de marcación de salida de emisores de llamadas de confianza.

1. Conviértase en superusuario en un equipo de marcación de salida o adopte un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

   Con el ejemplo de configuración de CHAP en Ejemplo de una configuración mediante autenticación CHAP, asuma que el equipo de marcación de salida pertenece a un emisor de llamada de confianza account1.

2. Modifique la base de datos chap-secrets para el emisor de llamada account1.

   Esta versión incluye un archivo /etc/ppp/chap-secrets que contiene comentarios útiles, pero no contiene opciones. Puede agregar las siguientes opciones al archivo /etc/ppp/chap-secrets existente.

   account1 CallServe key123 *

   CallServe es el nombre del igual que account1 está intentando alcanzar. key123 es el secreto de CHAP que se utilizará para enlaces entre account1 y CallServer.

3. Conviértase en superusuario en otro equipo de marcación de salida o adopte un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

   Asuma que este equipo pertenece al emisor de llamada account2.

4. Modifique la base de datos /etc/ppp/chap-secrets para el emisor de llamada account2.

   account2 CallServe key456 *

   Ahora, account2 tiene el secreto key456 como sus credenciales de CHAP para utilizar a través de enlaces con el igual CallServe.

Véase también

La siguiente lista proporciona referencias a la información relacionada.

• Cómo crear una base de datos de credenciales de CHAP (servidor de marcación de entrada)

• Cómo configurar credenciales de autenticación CHAP para los emisores de llamadas de confianza

Adición de CHAP para los archivos de configuración (equipo de marcación de salida)

Para obtener más información sobre la autenticación CHAP, consulte Protocolo de autenticación por desafío mutuo (CHAP). La siguiente tarea configura el equipo de marcación de salida que pertenece al emisor de llamada account1, que se presenta en Ejemplo de una configuración mediante autenticación CHAP.

Cómo agregar compatibilidad de CHAP a los archivos de configuración de PPP (equipo de marcación de salida)

1. Inicie sesión en el equipo de marcación de salida como superusuario.
2. Asegúrese de que el archivo /etc/ppp/options tenga las siguientes opciones.

   # cat /etc/ppp/options
   lock
   nodefaultroute

3. Cree un archivo /etc/ppp/peers/nombre de igual para el equipo remoto CallServe.

   # cat /etc/ppp/peers/CallServe
   /dev/cua/a
   57600
   noipdefault
   defaultroute
   idle 120
   user account1
   connect "chat -U 'mypassword' -f /etc/ppp/mychat"

   La opción user account1 establece account1 como nombre de usuario de CHAP que se otorgará a CallServe. Para obtener una descripción de las otras opciones en el archivo anterior, consulte el archivo similar /etc/ppp/peers/myserver en Cómo definir la conexión con un igual individual.

Véase también

Para probar la autenticación CHAP mediante una llamada al servidor de marcación de entrada, consulte Cómo llamar al servidor de marcación de entrada.