Configuración de servidores de aplicaciones de red de Kerberos

Los servidores de aplicaciones de red son hosts que proporcionan acceso mediante una o más de las siguientes aplicaciones de red: ftp, rcp, rlogin, rsh, ssh y telnet. Sólo se requieren unos pocos pasos para habilitar la versión de Kerberos de estos comandos en un servidor.

Cómo configurar un servidor de aplicaciones de red de Kerberos

Este procedimiento utiliza los siguientes parámetros de configuración:

• Servidor de aplicaciones = boston

• Principal admin = kws/admin

• Nombre de dominio DNS = example.com

• Nombre de dominio = EXAMPLE.COM

Antes de empezar

Este procedimiento requiere que el KDC maestro se haya configurado. Para probar completamente el proceso, varios clientes Kerberos deben estar configurados.

1. (Opcional) Instale el cliente NTP u otro mecanismo de sincronización de relojes.

   Consulte Sincronización de relojes entre clientes Kerberos y KDC para obtener información sobre el NTP.

2. Agregue principales para el nuevo servidor y actualice el archivo keytab del servidor.

   El siguiente comando informa la existencia del principal host:

   boston # klist -k |grep host
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM

   Si el comando no devuelve un principal, cree nuevos principales mediante los siguientes pasos.

   Si desea obtener información sobre cómo utilizar la herramienta gráfica de administración de Kerberos para agregar un principal, consulte Cómo crear un nuevo principal de Kerberos. El ejemplo de los siguientes pasos muestra cómo agregar los principales necesarios mediante la línea de comandos. Debe iniciar sesión con uno de los nombres de principales admin que creó cuando configuró el KDC maestro.

   boston # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: 

   1. Cree el principal host del servidor.

      El principal host se utiliza:

      • Para autenticar el tráfico al utilizar los comandos remotos, como rsh y ssh.

      • Por pam_krb5 para evitar ataques de falsificación de KDC mediante el principal host a fin de verificar que la credencial de Kerberos de un usuario se haya obtenido de un KDC de confianza.

      • Para permitir que el usuario root adquiera automáticamente una credencial de Kerberos sin necesidad de que exista un principal root. Esto puede ser útil al realizar un montaje de NFS manual donde el recurso compartido requiere una credencial de Kerberos.

      Este principal es necesario si el tráfico que utiliza la aplicación remota se va a autenticar mediante el servicio Kerberos. Si el servidor tiene varios nombres de host asociados con él, cree un principal para cada nombre de host utilizando el formato de FQDN del nombre de host.

      kadmin: addprinc -randkey host/boston.example.com
      Principal "host/boston.example.com" created.
      kadmin: 

   2. Agregue el principal host del servidor al archivo keytab del servidor.

      Si el comando kadmin no se está ejecutando, reinícielo con un comando similar al siguiente: /usr/sbin/kadmin -p kws/admin.

      Si el servidor tiene varios nombres de host asociados con él, agregue un principal al archivo keytab para cada nombre de host.

      kadmin: ktadd host/boston.example.com
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-256 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-128 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type Triple DES cbc
                mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type ArcFour
                with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type DES cbc mode
                with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      kadmin:

   3. Salga de kadmin.

      kadmin: quit