Configuration de l'authentification PAP

Les tâches décrites dans cette section expliquent comment mettre en oeuvre l'authentification sur une liaison PPP à l'aide du protocole PAP (Password Authentication Protocol, protocole d'authentification par mot de passe). Les tâches utilisent l'exemple de la section Exemples de configuration d'authentification PPP afin d'illustrer un scénario PAP qui fonctionne pour une liaison commutée. Utilisez les instructions comme base pour la mise en oeuvre de l'authentification PAP sur votre site.

Avant de réaliser les procédures suivantes, vous devez effectuer les opérations ci-dessous :

• Définissez et testez la liaison commutée entre le serveur d'appel entrant et les machines d'appel sortant appartenant à des appelants de confiance.

• Dans l'idéal, pour l'authentification du serveur d'appel entrant, obtenez l'autorisation de superutilisateur pour la machine gérant la base de données de mots de passe réseau, par exemple, dans les fichiers locaux, LDAP ou NIS.

• Obtenez les droits de superutilisateur pour la machine locale, qu'il s'agisse du serveur d'appel entrant ou de la machine d'appel sortant.

Configuration de l'authentification PAP (liste des tâches)

Utilisez la liste des tâches suivante pour accéder rapidement aux tâches relatives à PAP pour le serveur d'appel entrant et les appelants de confiance sur les machines d'appel sortant.

Tableau 19-2 Liste des tâches de l'authentification PAP (serveur d'appel entrant)

Tableau 19-3 Liste des tâches pour l'authentification PAP (machine d'appel sortant)

Configuration de l'authentification PAP sur le serveur d'appel entrant

Pour configurer l'authentification PAP, vous devez effectuer les opérations suivantes :

• Création d'une base de données d'informations d'identification PAP

• Modification des fichiers de configuration PPP pour la prise en charge PAP

Création d'une base de données d'informations d'identification PAP (serveur d'appel entrant)

Cette procédure modifie le fichier /etc/ppp/pap-secrets, qui contient les informations d'identification de sécurité PAP permettant d'authentifier les appelants sur la liaison. Le fichier /etc/ppp/pap-secrets doit exister sur les deux machines sur une liaison PPP.

L'exemple de configuration PAP présenté à la Figure 16-3 utilise l'option login de PAP. Si vous envisagez d'utiliser cette option, vous devrez peut-être mettre à jour la base de données de mots de passe de votre réseau. Pour plus d'informations sur l'option login, reportez-vous à la section Utilisation de l'option login avec /etc/ppp/pap-secrets.

1. Dressez la liste des éventuels appelants de confiance. Les appelants de confiance sont des utilisateurs auxquels vous accordez l'autorisation d'appeler le serveur d'appel entrant à partir de leur machine distante.
2. Vérifiez que chaque appelant de confiance possède déjà un nom d'utilisateur et un mot de passe UNIX dans la base de données des mots de passe du serveur d'appel entrant.

   ---

   Remarque - La vérification est particulièrement importante pour l'exemple de configuration PAP, qui utilise l'option login de PAP pour authentifier les appelants. Si vous choisissez de ne pas appliquer l'option login pour PAP, les noms d'utilisateur PAP des appelants ne doivent pas forcément correspondre à leurs noms d'utilisateur UNIX. Pour plus d'informations sur le fichier /etc/ppp/pap-secrets standard, reportez-vous à Fichier /etc/ppp/pap-secrets.

   ---

   Effectuez les opérations suivantes si un appelant de confiance potentiel ne possède pas un mot de passe et un nom d'utilisateur UNIX.

   1. Confirmez avec leurs responsables que les appelants que vous ne connaissez pas personnellement sont autorisés à accéder au serveur d'appel entrant.
   2. Créez des noms d'utilisateur et des mots de passe UNIX pour ces appelants, en conformité avec la stratégie de sécurité de votre entreprise.
3. Devenez un administrateur sur le serveur d'appel entrant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

4. Modifiez le fichier /etc/ppp/pap-secrets.

   Cette version fournit un fichier pap-secrets dans /etc/ppp qui contient des commentaires relatifs à l'utilisation de l'authentification PAP mais aucune option. Vous pouvez ajouter les options suivantes à la fin des commentaires.

   user1 myserver "" *
   user2 myserver "" *
   myserver user2 serverpass *

   Pour utiliser l'option login de /etc/ppp/pap-secrets, vous devez taper le nom d'utilisateur UNIX de chaque appelant de confiance. Lorsqu'un jeu de guillemets doubles (““) s'affiche dans le troisième champ, le mot de passe pour l'appelant est recherché dans la base de données des mots de passe du serveur.

   L'entrée myserver * serverpass * contient le nom d'utilisateur et le mot de passe PAP pour le serveur d'appel entrant. Dans la Figure 16-3, l'appelant de confiance user2 requiert l'authentification de pairs distants. Par conséquent, le fichier de myserver, /etc/ppp/pap-secrets , contient les informations d'identification PAP à utiliser lorsqu'une liaison est établie avec user2.

Voir aussi

La liste ci-après fournit les références à des informations connexes.

• Modification des fichiers de configuration PPP pour PAP (serveur d'appel entrant)

• Configuration de l'authentification PAP pour les appelants de confiance (machines d'appel sortant)

Modification des fichiers de configuration PPP pour PAP (serveur d'appel entrant)

Les tâches décrites dans cette section expliquent comment mettre à jour les fichiers de configuration PPP existants pour la prise en charge de l'authentification PAP sur le serveur d'appel entrant.

Ajout de la prise en charge PAP dans les fichiers de configuration PPP (serveur d'appel entrant)

La procédure utilise comme exemples les fichiers de configuration PPP présentés à la section Définition des communications sur la ligne série (serveur d'appel entrant) .

1. Devenez un administrateur sur le serveur d'appel entrant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

2. Ajoutez des options d'authentification dans le fichier /etc/ppp/options.

   Par exemple, ajoutez les options en gras dans un fichier /etc/ppp/options pour mettre en œuvre l'authentification PAP :

   lock
   auth
   login
   nodefaultroute
   proxyarp
   ms-dns 10.0.0.1
   idle 120

   auth

   Spécifie que le serveur doit authentifier les appelants avant d'établir la liaison.

   login

   Indique que l'appelant distant doit être authentifié à l'aide des services d'authentification d'utilisateur UNIX standard.

   nodefaultroute

   Indique qu'aucune session pppd sur le système local ne peut établir une route par défaut sans privilèges root.

   proxyarp

   Ajoute une entrée dans la table ARP (Address Resolution Protocol, protocole de résolution d'adresse) du système, qui indique l'adresse IP du pair et l'adresse Ethernet du système. Avec cette option, le pair semble se trouver sur le réseau Ethernet local aux autres systèmes.

   ms-dns 10.0.0.1

   Active pppd pour fournir l'adresse DNS (Domain Name Server) 10.0.0.1 au client

   idle 120

   Spécifie que les utilisateurs inactifs sont déconnectés après deux minutes.

3. Dans le fichier /etc/ppp/options.cua.a , ajoutez l'adresse suivante pour l'utilisateur cua/a.

   :10.0.0.2

4. Dans le fichier /etc/ppp/options.cua.b , ajoutez l'adresse suivante pour l'utilisateur cua/b.

   :10.0.0.3

5. Dans le fichier /etc/ppp/pap-secrets, ajoutez l'entrée suivante.

   * * "" *

   ---

   Remarque - L'option login, comme décrit précédemment, fournit l'authentification utilisateur nécessaire. Cette entrée dans le fichier /etc/ppp/pap-secrets constitue la méthode normale d'activer PAP avec l'option login .

   ---

Voir aussi

Pour configurer les informations d'authentification PAP des appelants de confiance du serveur d'appel entrant, reportez-vous à la section Configuration de l'authentification PAP pour les appelants de confiance (machines d'appel sortant).

Configuration de l'authentification PAP pour les appelants de confiance (machines d'appel sortant)

Cette section présente les tâches de configuration de l'authentification PAP sur les machines d'appel sortant des appelants de confiance. En tant qu'administrateur système, vous pouvez configurer l'authentification PAP sur les systèmes avant leur distribution aux appelants potentiels. Vous pouvez également affecter les tâches de cette section aux appelants distants, s'ils disposent déjà de leur machine.

La configuration PAP pour les appelants de confiance implique deux tâches :

• Configuration des informations d'identification de sécurité PAP des appelants

• Configuration des machines d'appel sortant des appelants pour prendre en charge l'authentification PAP

Configuration des informations d'authentification PAP pour les appelants de confiance

Cette procédure indique comment configurer les informations d'identification PAP pour deux appelants de confiance, dont l'un requiert les informations d'authentification des pairs distants. Elle implique que vous, l'administrateur système, créez les informations d'identification PAP sur les machines d'appel sortant des appelants de confiance.

1. Devenez un administrateur sur la machine d'appel sortant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

   Utilisez l'exemple de configuration PAP présenté à la Figure 16-3 et partez du principe que la machine d'appel sortant appartient à l'utilisateur user1.

2. Modifiez la base de données des secrets PAP pour l'appelant.

   Cette version fournit un fichier /etc/ppp/pap-secrets qui contient des commentaires utiles mais aucune option. Vous pouvez ajouter les options suivantes à ce fichier /etc/ppp/pap-secrets.

   user1 myserver pass1 *

   Notez que le mot de passe pass1 de l'utilisateur user1 est transmis au format ASCII lisible par la liaison. myserver est le nom de l'appelant user1 pour le pair.

3. Devenez un administrateur sur la machine d'appel sortant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

   Utilisez l'exemple d'authentification PAP et supposez que cette machine d'appel sortant appartient à l'appelant user2.

4. Modifiez la base de données des secrets PAP pour l'appelant.

   Vous pouvez ajouter les options suivantes à la fin du fichier /etc/ppp/pap-secrets.

   user2 myserver pass2 *
   myserver user2 serverpass *

   Dans cet exemple, /etc/ppp/pap-secrets comporte deux entrées. La première entrée contient les informations d'identification de sécurité PAP que user2 transmet au serveur d'appel entrant myserver pour l'authentification.

   user2 exige les informations d'identification PAP du serveur d'appel entrant dans le cadre de la négociation de la liaison. Par conséquent, le fichier /etc/ppp/pap-secrets contient également les informations d'identification PAP attendues de myserver sur la deuxième ligne.

   ---

   Remarque - Dans la mesure où la plupart des FAI ne fournissent pas d'informations d'authentification, le scénario précédent peut manquer de réalisme en ce qui concerne les communications avec un FAI.

   ---

Voir aussi

La liste ci-après fournit les références à des informations connexes.

• Création d'une base de données d'informations d'identification PAP (serveur d'appel entrant)

• Configuration des informations d'authentification PAP pour les appelants de confiance

Modification des fichiers de configuration PPP pour PAP (machine d'appel sortant)

Les tâches suivantes expliquent comment mettre à jour les fichiers de configuration PPP existants pour la prise en charge de l'authentification PAP sur les machines d'appel sortant des appelants de confiance.

La procédure utilise les paramètres suivants pour configurer l'authentification PAP sur la machine d'appel sortant qui appartient à user2, présenté à la Figure 16-3. L'utilisateur user2 exige des appelants entrants de s'authentifier, appels de myserver compris.

Ajout de la prise en charge PAP dans les fichiers de configuration PPP (machine d'appel sortant)

Cette procédure utilise comme exemples les fichiers de configuration PPP présentés à la section Définition des communications sur la ligne série . Elle permet de configurer la machine d'appel sortant qui appartient à user2, comme indiqué à la Figure 16-3.

1. Connectez-vous en tant que superutilisateur à la machine d'appel sortant.
2. Modifiez le fichier /etc/ppp/options .

   Le fichier /etc/ppp/options suivant contient des options pour la prise en charge PAP, indiquées en gras.

   # cat /etc/ppp/options
   lock
   name user2
   auth
   require-pap

   name user2

   Définit user2 comme nom PAP de l'utilisateur sur la machine locale. Si l'option login est utilisée, le nom PAP doit être le même que celui de l'utilisateur UNIX dans la base de données de mots de passe.

   auth

   Indique que la machine d'appel sortant doit authentifier les appelants avant d'établir la liaison.

   ---

   Remarque - Cette machine d'appel sortant exige l'authentification de ses pairs, bien que la plupart des machines d'appel sortant n'aient pas cette exigence. Les deux cas sont acceptables.

   ---

   require-pap

   Exige les informations d'identification PAP du pair.

3. Créez un fichier /etc/ppp/peers/peer-name pour la machine distante myserver.

   L'exemple suivant indique comment ajouter la prise en charge PAP au fichier /etc/ppp/peers/myserver créé à la section Définition de la connexion à un pair donné.

   # cat /etc/ppp/peers/myserver
   /dev/cua/a
   57600
   noipdefault
   defaultroute
   idle 120
   user user2
   remotename myserver
   connect "chat -U 'mypassword' -f /etc/ppp/mychat"

   Les nouvelles options en gras ajoutent les exigences PAP pour le pair myserver.

   user user2

   Définit user2 comme le nom d'utilisateur de la machine locale.

   remotename myserver

   Définit myserver comme un pair qui requiert les informations d'authentification de la machine locale.

Voir aussi

La liste ci-après fournit les références à des informations connexes.

• Pour tester la configuration de l'authentification PAP en appelant le serveur d'appel entrant, reportez-vous à la section Appel du serveur d'appel entrant.

• Pour en savoir plus sur l'authentification PAP, reportez-vous à la section Protocole d'authentification par mot de passe (PAP).