PAP 認証の構成

ドキュメントの品質向上のためのご意見をください

Your rating has been updated

貴重なご意見を有り難うございました!

あなたの貴重なご意見はより良いドキュメント作成の手助けとなります内容の品質向上と追加コメントのためのアンケートに参加されますか？

このセクションでは、パスワード認証プロトコル (PAP) を使用して、PPP リンクに認証を実装する方法について説明します。ここでは、「PPP の認証構成例」の例を使用して、ダイアルアップリンクで PAP を動作させる方法について説明します。PAP 認証を実装する場合は、この手順を基準として使用してください。

以降の手順を実行する前に、次の作業を終了しておく必要があります。

ダイアルインサーバーと信頼できる呼び出し元が所有するダイアルアウトマシン間で、ダイアルアップリンクを設定しテストします。
ダイアルインサーバーでの認証に備えて、LDAP、NIS、またはローカルファイルなどでネットワークパスワードデータベースを管理しているマシンに対するスーパーユーザーとしてのアクセス権を取得することが理想的です。
ローカルマシン、およびダイアルインサーバーまたはダイアルアウトマシンに対するスーパーユーザーとしての権限を取得します。

PAP 認証の設定 (タスクマップ)

次のタスクマップに、ダイアルインサーバーおよびダイアルアウトマシン上の信頼できる呼び出し元に対して実行する PAP 関連のタスクを示します。

表 5-2 PAP 認証についてのタスクマップ (ダイアルインサーバー)

タスク	説明	参照先
1. 構成前の情報を収集する	ユーザー名など、認証に必要なデータを収集する	「リンクへの認証計画」
2. 必要に応じて、パスワードデータベースを更新する	候補となるすべての呼び出し元が、サーバーのパスワードデータベースに含まれていることを確認する	「PAP 資格データベースの作成方法 (ダイアルインサーバー)」
3. PAP データベースを作成する	将来接続する可能性のあるすべての呼び出し元のセキュリティー資格を `/etc/ppp/pap-secrets` に作成する	「PAP 資格データベースの作成方法 (ダイアルインサーバー)」
4. PPP の構成ファイルを変更する	PAP 特有のオプションを `/etc/ppp/options` および `/etc/ppp/peers/peer-name` ファイルに追加する	「PPP 構成ファイルに PAP サポートを追加する方法 (ダイアルインサーバー)」

表 5-3 PAP 認証についてのタスクマップ (ダイアルアウトマシン)

タスク	説明	参照先
1. 構成前の情報を収集する	ユーザー名など、認証に必要なデータを収集する	「リンクへの認証計画」
2. 信頼できる呼び出し元のマシン用の PAP データベースを作成する	信頼できる呼び出し元のセキュリティー資格と、必要であれば、ダイアルアウトマシンを呼び出すほかのユーザーのセキュリティー資格を `/etc/ppp/pap-secrets` に作成する	「信頼できる呼び出し元に PAP 認証資格を構成する方法」
3. PPP の構成ファイルを変更する	PAP 特有のオプションを `/etc/ppp/options` および `/etc/ppp/peers/peer-name` ファイルに追加する	「PPP 構成ファイルに PAP サポートを追加する方法 (ダイアルアウトマシン)」

ダイアルインサーバーに PAP 認証を構成する

PAP 認証を設定するには、次の手順に従う必要があります。

PAP 資格データベースを作成します。
PAP をサポートするように PPP 構成ファイルを変更します。

PAP 資格データベースの作成方法 (ダイアルインサーバー)

ここでは、/etc/ppp/pap-secrets ファイルを変更します。このファイルには、接続時に呼び出し元の認証に使用する PAP セキュリティー資格が含まれています。PPP リンクを行う両方のマシンに /etc/ppp/pap-secrets が必要です。

図 2-3 で紹介した PAP 構成のサンプルでは、PAP の login オプションが使用されています。このオプションを使用する場合は、ネットワークのパスワードデータベースも更新する必要がある可能性があります。login オプションの詳細については、「/etc/ppp/pap-secrets での login オプションの使用」を参照してください。

候補となる信頼できるすべての呼び出し元のリストを作成します。信頼できる呼び出し元とは、自分のリモートマシンからダイアルインサーバーを呼び出す権限を与えられているユーザーです。
ダイアルインサーバーのパスワードデータベースに、信頼できる呼び出し元全員の UNIX ユーザー名およびパスワードがあることを確認します。
注 - この確認は、この PAP 構成のサンプルにとって重要です。このサンプルでは、呼び出し元の認証に、PAP の login オプションを使用しています。PAP に login を実装しない場合は、呼び出し元の PAP ユーザー名が UNIX ユーザー名と一致する必要はありません。標準の /etc/ppp/pap-secrets については、「/etc/ppp/pap-secrets ファイル」を参照してください。

候補となる信頼できる呼び出し元に UNIX 名とパスワードがない場合は、次の手順に従います。
1. 呼び出し元に関する情報がない場合は、呼び出し元がダイアルインサーバーへのアクセス権を持っているかどうかをその呼び出し元の管理者に確認します。
2. 企業のセキュリティーポリシーによって指定される方法で、これらの呼び出し元に UNIX ユーザー名およびパスワードを作成します。
ダイアルインサーバー上で管理者になります。
詳細は、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「割り当てられている管理権限を使用する方法」を参照してください。
/etc/ppp/pap-secrets ファイルを編集します。
このリリースは、/etc/ppp の pap-secrets ファイルを提供します。このファイルには、PAP 認証の使用方法についてのコメントが含まれていますが、オプションは含まれていません。コメントの最後に、次のオプションを追加することができます。
```
user1      myserver        ""          *
user2      myserver        ""          *
myserver   user2           serverpass  *
```
/etc/ppp/pap-secrets の login オプションを使用するには、信頼できる呼び出し元の UNIX 名をすべて入力する必要があります。3 番目のフィールドのどこに二重引用符 (““) が記述されても、呼び出し元のパスワードは、サーバーのパスワードデータベースで参照できます。
エントリ myserver * serverpass * には、ダイアルインサーバー用の PAP ユーザー名およびパスワードが含まれています。図 2-3 では、信頼できる呼び出し元である user2 は、リモートピアに認証を要求します。そのため、myserver の /etc/ppp/pap-secrets ファイルには、user2 との接続が確立される場合に使用する PAP 資格が含まれています。

参照

関連情報の参照先は次のとおりです。

「PPP 構成ファイルを PAP 用に変更する (ダイアルインサーバー)」
「信頼できる呼び出し元の PAP 認証の構成 (ダイアルアウトマシン)」

PPP 構成ファイルを PAP 用に変更する (ダイアルインサーバー)

このセクションのタスクでは、ダイアルインサーバーで PAP 認証をサポートするように、既存の PPP 構成ファイルを更新する方法について説明します。

PPP 構成ファイルに PAP サポートを追加する方法 (ダイアルインサーバー)

ここでは、「シリアル回線を介した通信を定義する方法 (ダイアルインサーバー)」で紹介した PPP 構成ファイルを例として使用します。

ダイアルインサーバー上で管理者になります。
詳細は、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「割り当てられている管理権限を使用する方法」を参照してください。
認証オプションを /etc/ppp/options ファイルに追加します。
たとえば、既存の /etc/ppp/options ファイルに、次の太字のオプションを追加すると、PAP 認証を実装できます。
```
lock
auth
login
nodefaultroute
proxyarp
ms-dns 10.0.0.1
idle 120
```
auth

接続を確立する前に、サーバーが呼び出し元を認証する必要があることを示す

login

リモート呼び出し元が、標準的な UNIX ユーザー認証サービスを使用して認証されることを示す

nodefaultroute

ローカルシステム上の pppd セッションが root 権限がないとデフォルトの経路を確立できないことを示す

proxyarp

ピアの IP アドレスやシステムの Ethernet アドレスを指定するシステムのアドレス解決プロトコル (ARP) テーブルにエントリを追加する。このオプションを使用すると、ピアは、ほかのシステムのローカル Ethernet 上にあるように見える

ms-dns 10.0.0.1

pppd がクライアントにドメインネームサーバー (DNS) アドレス 10.0.0.1を与えることができるようにする

idle 120

2 分後にアイドルユーザーの接続が切断されることを示す
/etc/ppp/options.cua.a ファイルに、cua/a ユーザーの次のアドレスを追加します。
```
:10.0.0.2
```
/etc/ppp/options.cua.b ファイルに、cua/b ユーザーの次のアドレスを追加します。
```
:10.0.0.3
```
/etc/ppp/pap-secrets ファイルに、次のエントリを追加します。
```
*     *         ""     *
```
注 - 前述したように、login オプションは、必要なユーザー認証を与えます。/etc/ppp/pap-secrets ファイルのこのエントリは、login オプションを使用して PAP を可能にする標準的な方法です。

参照

ダイアルインサーバーの信頼できる呼び出し元の PAP 認証資格を構成する手順については、「信頼できる呼び出し元の PAP 認証の構成 (ダイアルアウトマシン)」を参照してください。

信頼できる呼び出し元の PAP 認証の構成 (ダイアルアウトマシン)

このセクションでは、信頼できる呼び出し元のダイアルアウトマシンで、PAP 認証を設定する手順について説明します。システム管理者は、システムで PAP 認証を設定し、それらを将来接続する可能性のある呼び出し元に配布することができます。また、リモート呼び出し元にすでにマシンがある場合は、このセクションのタスクを指示することもできます。

信頼できる呼び出し元に PAP を構成するには、次の 2 つのタスクを実行します。

呼び出し元の PAP セキュリティー資格を構成します。
呼び出し元のダイアルアウトマシンが PAP 認証をサポートするように構成します。

信頼できる呼び出し元に PAP 認証資格を構成する方法

ここでは、2 つの信頼できる呼び出し元の PAP 資格を設定する方法について説明します。これらのうちの 1 つは、リモートピアに認証資格を要求します。この手順では、システム管理者が、信頼できる呼び出し元のダイアルアウトマシンで PAP 資格を作成することを前提にしています。

ダイアルアウトマシン上で管理者になります。
詳細は、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「割り当てられている管理権限を使用する方法」を参照してください。
図 2-3 で紹介した PAP 構成のサンプルを使用して、user1 がダイアルアウトマシンを所有しているとします。
呼び出し元の pap-secrets データベースを変更します。
このリリースは、/etc/ppp/pap-secrets ファイルを提供します。このファイルには、役立つコメントが含まれていますが、オプションは含まれていません。次のオプションをこの /etc/ppp/pap-secrets ファイルに追加できます。
```
user1    myserver  pass1    *
```
user1 のパスワードである pass1 は、接続を通して、読み取り可能な ASCII 形式になることに注意してください。myserver は、呼び出し元 user1 がピアで使用する名前です。
ダイアルアウトマシン上で管理者になります。
詳細は、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「割り当てられている管理権限を使用する方法」を参照してください。
PAP 認証の例では、呼び出し元 user2 がこのダイアルアウトマシンを所有しています。
呼び出し元の pap-secrets データベースを変更します。
次のオプションを既存の /etc/ppp/pap-secrets ファイルの終わりに追加できます。
```
user2     myserver   pass2       *
myserver  user2      serverpass  *
```
この例では、/etc/ppp/pap-secrets に 2 つのエントリがあります。最初のエントリには、user2 が認証のためにダイアルインサーバー myserver に渡す PAP セキュリティー資格が含まれています。
user2 は、接続のネゴシエーションの一部として、ダイアルインサーバーに PAP 資格を要求します。そのため、/etc/ppp/pap-secrets の 2 つ目の行に、myserver に要求される PAP 資格も含まれています。

注 - ほとんどの ISP は認証資格を提供しないため、ここで検討しているシナリオは、ISP との通信に関しては現実的ではありません。

参照

関連情報の参照先は次のとおりです。

「PAP 資格データベースの作成方法 (ダイアルインサーバー)」
「信頼できる呼び出し元に PAP 認証資格を構成する方法」

PPP 構成ファイルを PAP 用に変更する (ダイアルアウトマシン)

次のタスクは、信頼できる呼び出し元のダイアルアウトマシンで PAP 認証をサポートするように、既存の PPP 構成ファイルを更新する方法について説明します。

この手順では、次のパラメータを使用して、図 2-3 で紹介した user2 が所有するダイアルアウトマシン上で、PAP 認証を構成します。user2 は、ダイアルイン myserver からの呼び出しを含む着信呼び出し元に、認証を要求します。

PPP 構成ファイルに PAP サポートを追加する方法 (ダイアルアウトマシン)

ここでは、「シリアル回線を介した通信を定義する方法」で紹介した PPP 構成ファイルを例として使用します。この手順では、図 2-3 で示した user2 が所有するダイアルアウトマシンを構成します。

ダイアルアウトマシンにスーパーユーザーとしてログインします。
/etc/ppp/options ファイルを変更します。
次の /etc/ppp/options ファイルには、太字で示した PAP サポート用のオプションが含まれています。
```
# cat /etc/ppp/options
lock
name user2
auth
require-pap
```
name user2

user2 をローカルマシン上のユーザーの PAP 名として設定する。login オプションを使用する場合は、PAP 名はパスワードデータベースにあるそのユーザーの UNIX ユーザー名と同じである必要がある

auth

接続を確立する前に、ダイアルアウトマシンが呼び出し元を認証する必要があることを明示する

注 - ほとんどのダイアルアウトマシンはピアに対する認証要求を行いませんが、このダイアルアウトマシンはピアに認証を要求します。どちらも可能です。

require-pap

ピアに PAP 資格を要求する
リモートマシン myserver 用の /etc/ppp/peers/peer-name ファイルを作成します。
次のサンプルは、「個々のピアとの接続を定義する方法」で作成した既存の /etc/ppp/peers/myserver ファイルに、PAP サポートを追加する方法を示しています。
```
# cat /etc/ppp/peers/myserver
/dev/cua/a
57600
noipdefault
defaultroute
idle 120
user user2
remotename myserver
connect "chat -U 'mypassword' -f /etc/ppp/mychat"
```
太字で示した新しいオプションは、ピア myserver に関する PAP 要件を追加します。
user user2

user2 をローカルマシンのユーザー名として定義する

remotename myserver

myserver をローカルマシンに認証資格を要求するピアとして定義する

参照

関連情報の参照先は次のとおりです。

ダイアルインサーバーを呼び出して、PAP 認証の設定をテストする手順については、「ダイアルインサーバーの呼び出し方法」
PAP 認証の詳細を理解するときは、「パスワード認証プロトコル (PAP)」

ナビゲーションリンクをスキップ
印刷ビューの終了
	Oracle Solaris 11.1 での UUCP および PPP を使用したシリアルネットワークの管理 Oracle Solaris 11.1 Information Library (日本語)