Configuración de autenticación PAP

Las tareas de esta sección explican cómo implementar la autenticación en un enlace de PPP mediante el Protocolo de autenticación de contraseña (PAP). Las tareas utilizan el ejemplo que se muestra en Ejemplos de configuraciones de autenticación PPP para ilustrar un escenario de trabajo de PAP para un enlace por marcación telefónica. Utilice las instrucciones como base para la implementación de la autenticación PAP en el sitio.

Antes de poder realizar los siguientes procedimientos debe haber hecho lo siguiente:

• Configurado y probado el enlace por marcación telefónica entre un servidor de marcación de entrada y equipos de marcación de salida que pertenecen a emisores de llamadas de confianza.

• En condiciones ideales, para la autenticación del servidor de marcación de entrada, haber obtenido permiso de superusuario para el equipo donde la base de datos de contraseñas de red se administra, por ejemplo, en LDAP, NIS o archivos locales.

• Obtenido autoridad de superusuario para el equipo local, ya sea servidor de marcación de entrada o equipo de marcación de salida.

Configuración de autenticación PAP (mapas de tareas)

Utilice los mapas de tareas siguientes para acceder rápidamente a tareas relacionadas de PAP con el servidor de marcación de entrada y los emisores de llamadas de confianza en equipos de marcación de salida.

Tabla 19-2 Mapa de tareas para autenticación PAP (servidor de marcación de entrada)

Tabla 19-3 Mapa de tareas para autenticación PAP (equipo de marcación de salida)

Configuración de autenticación PAP en el servidor de marcación de entrada

Para configurar la autenticación PAP, debe realizar lo siguiente:

• Crear una base de datos de credenciales de PAP

• Modificar archivos de configuración de PPP para compatibilidad de PAP

Cómo crear una base de datos de credenciales de PAP (servidor de marcación de entrada)

Este procedimiento modifica el archivo /etc/ppp/pap-secrets, que contiene las credenciales de seguridad de PAP que se utilizan para autenticar los emisores de llamadas en el enlace. /etc/ppp/pap-secrets debe existir en ambos equipos en un enlace de PPP.

El ejemplo de configuración de PAP que se presentó en la Figura 16-3 utiliza la opción login de PAP. Si planea utilizar esta opción, puede que también necesite actualizar la base de datos de contraseñas de red. Para obtener más información sobre la opción login, consulte Uso de la opción login con /etc/ppp/pap-secrets.

1. Arme una lista de todos los posibles emisores de llamadas de confianza. Los emisores de llamadas de confianza son personas a las que se debe otorgar el permiso de llamar al servidor de marcación de entrada desde sus equipos remotos.
2. Verifique que cada emisor de confianza ya tenga un nombre de usuario y una contraseña de UNIX en la base de datos de contraseñas del servidor de marcación de entrada.

   ---

   Nota - La verificación es importante para el ejemplo de configuración de PAP, que utiliza la opción login de PAP para autenticar a los emisores de llamadas. Si decide no implementar login para PAP, los nombres de usuario de PAP de los emisores de llamadas no tienen que corresponderse con sus nombres de usuario de UNIX. Para obtener más información sobre /etc/ppp/pap-secrets estándar, consulte Archivo /etc/ppp/pap-secrets.

   ---

   Realice las siguientes acciones si un posible emisor de llamada no tiene un nombre de usuario y una contraseña de UNIX:

   1. Confirme con sus gestores que emisores de llamadas que no conoce personalmente tienen permiso de acceso al servidor de marcación de entrada.
   2. Cree nombres de usuario y contraseñas de UNIX para estos emisores de llamadas de manera que se guíen por la política de seguridad corporativa.
3. Conviértase en superusuario en el servidor de marcación de entrada o asuma un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

4. Edite el archivo /etc/ppp/pap-secrets.

   Esta versión proporciona un archivo pap-secrets en /etc/ppp que contiene comentarios sobre cómo utilizar la autenticación PAP, pero no contiene opciones. Puede agregar las siguientes opciones al final de los comentarios.

   user1 myserver "" *
   user2 myserver "" *
   myserver user2 serverpass *

   Para utilizar la opción login de /etc/ppp/pap-secrets , debe escribir el nombre de usuario de UNIX de cada emisor de llamada de confianza. Siempre que un juego de comillas dobles (““) aparece en el tercer campo, la contraseña para el emisor de llamada se consulta en la base de datos de contraseñas del servidor.

   La entrada myserver * serverpass * contiene el nombre de usuario y la contraseña de PAP para el servidor de marcación de entrada. En la Figura 16-3, el emisor de llamada de confianza user2 necesita autenticación de iguales remotos. Por lo tanto, el archivo /etc/ppp/pap-secrets de myserver contiene credenciales de PAP para utilizarlas cuando haya un enlace establecido con user2.

Véase también

La siguiente lista proporciona referencias a la información relacionada.

• Modificación de archivos de configuración de PPP para PAP (servidor de marcación de entrada)

• Configuración de autenticación PAP para emisores de llamadas de confianza (equipos de marcación de salida)

Modificación de archivos de configuración de PPP para PAP (servidor de marcación de entrada)

Las tareas de esta sección explican cómo actualizar cualquier archivo de configuración de PPP existente para admitir la autenticación PAP en el servidor de marcación de entrada.

Cómo agregar compatibilidad de PAP a los archivos de configuración de PPP (servidor de marcación de entrada)

El procedimiento usa como ejemplos los archivos de configuración de PPP que se presentaron en Cómo definir comunicaciones a través de la línea de serie (servidor de marcación de entrada).

1. Inicie sesión como superusuario en el servidor de marcación de entrada o adopte un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

2. Agregue opciones de autenticación al archivo /etc/ppp/options.

   Por ejemplo, debe agregar las opciones en negrita para un archivo /etc/ppp/options existente para implementar la autenticación PAP:

   lock
   auth
   login
   nodefaultroute
   proxyarp
   ms-dns 10.0.0.1
   idle 120

   auth

   Especifica que el servidor debe autenticar a los emisores de llamadas antes de establecer el enlace.

   login

   Especifica que el emisor de llamada remoto se debe autenticar mediante el uso de servicios de autenticación de usuarios de UNIX.

   nodefaultroute

   Indica que ninguna sesión de pppd en el sistema local puede establecer una ruta predeterminada sin privilegios root.

   proxyarp

   Agrega una entrada a la tabla de Protocolo de resolución de direcciones (ARP) del sistema que especifica la dirección IP del igual y la dirección Ethernet del sistema. Con esta opción, el igual parece estar en el Ethernet local para otros sistemas.

   ms-dns 10.0.0.1

   Habilita pppd para proporcionar una dirección de Servidor de nombres de dominio (DNS), 10.0.0.1, para el cliente.

   idle 120

   Especifica que los usuarios inactivos se desconectan después de dos minutos.

3. En el archivo /etc/ppp/options.cua.a , agregue la siguiente dirección para el usuario cua/a.

   :10.0.0.2

4. En el archivo /etc/ppp/options.cua.b, agregue la siguiente dirección para el usuario cua/b.

   :10.0.0.3

5. En el archivo /etc/ppp/pap-secrets, agregue la siguiente entrada.

   * * "" *

   ---

   Nota - La opción login, como se ha descrito anteriormente, proporciona la autenticación de usuario necesaria. Esta entrada en el archivo /etc/ppp/pap-secrets es la forma estándar de habilitar PAP con la opción login.

   ---

Véase también

Para configurar credenciales de autenticación PAP para los emisores de llamadas de confianza del servidor de marcación de entrada, consulte Configuración de autenticación PAP para emisores de llamadas de confianza (equipos de marcación de salida).

Configuración de autenticación PAP para emisores de llamadas de confianza (equipos de marcación de salida)

Esta sección contiene tareas para configuración de autenticación PAP en los equipos de marcación de salida de emisores de llamadas de confianza. Como administrador del sistema, puede configurar la autenticación PAP en los sistemas antes de la distribución a los posibles emisores de llamadas. O bien, si los emisores de llamadas remotos ya tienen sus equipos, puede asignarles a estos las tareas de esta sección.

La configuración de PAP para emisores de llamadas de confianza incluye dos tareas:

• Configuración de las credenciales de seguridad de PAP de los emisores de llamadas.

• Configuración de los equipos de marcación de salida de los emisores de llamadas para admitir autenticación PAP.

Cómo configurar credenciales de autenticación PAP para los emisores de llamadas de confianza

Este procedimiento muestra cómo configurar credenciales de PAP para dos emisores de llamadas de confianza, uno de los cuales necesita credenciales de autenticación de iguales remotos. Los pasos del procedimiento dan por sentado que usted, el administrador del sistema, crea las credenciales de PAP en los equipos de marcación de salida de emisores de llamadas de confianza.

1. Conviértase en superusuario en un equipo de marcación de salida o adopte un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

   Con el ejemplo de configuración de PAP que se presentó en la Figura 16-3, asuma que el equipo de marcación de salida pertenece a user1.

2. Modifique la base de datos pap-secrets para el emisor de llamada.

   Esta versión proporciona un archivo /etc/ppp/pap-secrets que contiene comentarios útiles, pero no contiene opciones. Puede agregar las siguientes opciones a este archivo /etc/ppp/pap-secrets.

   user1 myserver pass1 *

   Tenga en cuenta que la contraseña de user1 pass1 se transmite en formato ASCII legible a través del enlace. myserver es el nombre del emisor de llamada user1 para el igual.

3. Conviértase en superusuario en otro equipo de marcación de salida o adopte un rol equivalente.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

   Con el ejemplo de autenticación PAP, asuma que este equipo de marcación de salida pertenece al emisor de llamada user2.

4. Modifique la base de datos pap-secrets para el emisor de llamada.

   Puede agregar las siguientes opciones al final del archivo /etc/ppp/pap-secrets existente.

   user2 myserver pass2 *
   myserver user2 serverpass *

   En este ejemplo, /etc/ppp/pap-secrets tiene dos entradas. La primera entrada contiene las credenciales de seguridad de PAP que user2 pasa al servidor de marcación de entrada myserver para la autenticación.

   user2 requiere credenciales de PAP del servidor de marcación de entrada como de la negociación de enlace. Por lo tanto, /etc/ppp/pap-secrets también contiene credenciales de PAP que se esperan de myserver en la segunda línea.

   ---

   Nota - Porque la mayoría de los ISP no proporcionan credenciales de autenticación, es posible que el escenario anterior no sea realista para comunicaciones con un ISP.

   ---

Véase también

La siguiente lista proporciona referencias a la información relacionada.

• Cómo crear una base de datos de credenciales de PAP (servidor de marcación de entrada)

• Cómo configurar credenciales de autenticación PAP para los emisores de llamadas de confianza

Modificación de archivos de configuración de PPP para PAP (equipo de marcación de salida)

Las siguientes tareas explican cómo actualizar los archivos de configuración de PPP existentes para admitir la autenticación PAP en los equipos de marcación de salida de emisores de llamadas de confianza.

El procedimiento utiliza los siguientes parámetros para configurar la autenticación PAP en el equipo de marcación de salida que pertenece a user2, que se presentó en la Figura 16-3. user2 requiere emisores de llamadas entrantes para autenticar, incluidas las llamadas de myserver de marcación de entrada.

Cómo agregar compatibilidad de PAP a los archivos de configuración de PPP (equipo de marcación de salida)

Este procedimiento usa como ejemplos los archivos de configuración de PPP que se presentaron en Cómo definir comunicaciones a través de la línea de serie. El procedimiento configura el equipo de marcación de salida que pertenece a user2, como se muestra en la Figura 16-3.

1. Inicie sesión en el equipo de marcación de salida como superusuario.
2. Modifique el archivo /etc/ppp/options.

   El siguiente archivo /etc/ppp/options contiene opciones para compatibilidad de PAP, que se muestran en negrita.

   # cat /etc/ppp/options
   lock
   name user2
   auth
   require-pap

   name user2

   Establece user2 como nombre de PAP del usuario en el equipo local. Si se utiliza la opción login, el nombre de PAP debe ser el mismo que el nombre de usuario de UNIX del usuario en la base de datos de contraseñas.

   auth

   Indica que el equipo de marcación de salida debe autenticar a los emisores de llamadas antes de establecer el enlace.

   ---

   Nota - Este equipo de marcación de salida demanda autenticación de sus iguales, aunque la mayoría de los equipos de marcación de salida no realizan esta demanda. Cualquiera de los casos es aceptable.

   ---

   require-pap

   Solicita credenciales de PAP de los iguales.

3. Cree un archivo /etc/ppp/peers/nombre de igual del equipo remoto myserver.

   En el siguiente ejemplo, se muestra cómo agregar compatibilidad de PAP al archivo /etc/ppp/peers/myserver existente que se creó en Cómo definir la conexión con un igual individual.

   # cat /etc/ppp/peers/myserver
   /dev/cua/a
   57600
   noipdefault
   defaultroute
   idle 120
   user user2
   remotename myserver
   connect "chat -U 'mypassword' -f /etc/ppp/mychat"

   Las nuevas opciones en negrita agregan requisitos de PAP para iguales myserver.

   user user2

   Define user2 como el nombre de usuario del equipo local.

   remotename myserver

   Define myserver como un igual que requiere credenciales de autenticación del equipo local.

Véase también

La siguiente lista proporciona referencias a la información relacionada.

• Para probar la configuración de autenticación PAP mediante una llamada al servidor de marcación de entrada, consulte Cómo llamar al servidor de marcación de entrada.

• Para obtener más información acerca de la autenticación PAP, consulte Protocolo de autenticación de contraseña (PAP).