Configuration de l'authentification CHAP

Les tâches décrites dans cette section expliquent comment mettre en oeuvre l'authentification sur une liaison PPP à l'aide du protocole CHAP (Challenge-Handshake Authentication Protocol, protocole d'authentification par défi-réponse). Les tâches utilisent l'exemple de la Figure 16-4 afin d'illustrer un scénario CHAP qui fonctionne pour une liaison commutée sur un réseau privé. Utilisez les instructions comme base pour la mise en oeuvre de l'authentification CHAP sur votre site.

Avant d'effectuer les procédures ci-dessous, vous devez réaliser les opérations suivantes :

• Définissez et testez la liaison commutée entre le serveur d'appel entrant et les machines d'appel sortant appartenant à des appelants de confiance.

• Obtenez les droits de superutilisateur pour la machine locale, qu'il s'agisse du serveur d'appel entrant ou de la machine d'appel sortant.

Configuration de l'authentification CHAP (liste des tâches)

Tableau 19-4 Liste des tâches de l'authentification CHAP (serveur d'appel entrant)

Tableau 19-5 Liste des tâches pour l'authentification CHAP (machine d'appel sortant)

Configuration de l'authentification CHAP sur le serveur d'appel entrant

La première tâche de la configuration de l'authentification CHAP consiste à modifier le fichier /etc/ppp/chap-secrets. Ce fichier contient le informations d'identification de sécurité CHAP utilisées pour authentifier les appelants sur la liaison.

La procédure suivante met en oeuvre l'authentification CHAP pour un serveur d'appel entrant dans un réseau privé. La liaison PPP est la seule connexion au monde extérieur. Seuls les appelants autorisés par les gestionnaires du réseau (y compris l'administrateur système, éventuellement) peuvent accéder au réseau.

Création d'une base de données d'informations d'identification CHAP (serveur d'appel entrant)

1. Dressez la liste des noms d'utilisateur de tous les appelants de confiance.

   Les appelants de confiance incluent tous les utilisateurs auxquels les droits d'appel sur le réseau privé ont été accordés.

2. Affectez un secret CHAP à chaque utilisateur.

   ---

   Remarque - Assurez-vous de choisir un secret CHAP difficile à deviner. Aucune autre restriction n'est appliquée sur le contenu du secret CHAP.

   ---

   La méthode d'attribution des secrets CHAP dépend de la stratégie de sécurité de votre site. Soit vous avez la responsabilité de créer les secrets, soit les appelants doivent créer leurs secrets eux-mêmes. Si vous n'êtes pas responsable de l'affectation des secrets CHAP, veillez à vous procurer les secrets CHAP qui ont été créés par, ou pour, chaque appelant de confiance.

3. Devenez un administrateur sur le serveur d'appel entrant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

4. Modifiez le fichier /etc/ppp/chap-secrets.

   Cette version inclut un fichier /etc/ppp/chap-secrets qui contient des commentaires utiles, mais aucune option. Vous pouvez ajouter les options suivantes pour le serveur CallServe à la fin du fichier /etc/ppp/chap-secrets.

   account1 CallServe key123 *
   account2 CallServe key456 *

   key123 est le secret CHAP pour l'appelant de confiance account1.

   key456 est le secret CHAP pour l'appelant de confiance account2.

Voir aussi

La liste ci-après fournit les références à des informations connexes.

• Création d'une base de données d'informations d'identification CHAP (serveur d'appel entrant)

• Ajout de la prise en charge CHAP dans les fichiers de configuration PPP (serveur d'appel entrant)

• Configuration de l'authentification CHAP pour les appelants de confiance (machines d'appel sortant)

Modification des fichiers de configuration PPP pour CHAP (serveur d'appel entrant)

La tâche décrite dans cette section explique comment mettre à jour les fichiers de configuration PPP existants pour la prise en charge de l'authentification CHAP sur le serveur d'appel entrant.

Ajout de la prise en charge CHAP dans les fichiers de configuration PPP (serveur d'appel entrant)

1. Connectez-vous en tant que superutilisateur au serveur d'appel entrant.
2. Modifiez le fichier /etc/ppp/options.

   Ajoutez les options indiquées en caractères gras pour la prise en charge CHAP.

   # cat /etc/ppp/options
   lock
   nodefaultroute
   name CallServe
   auth

   name CallServe

   Définit CallServe comme le nom CHAP de l'utilisateur de la machine locale, dans ce cas le serveur d'appel entrant.

   auth

   Demande à la machine locale d'authentifier les appelants avant d'établir la liaison.

3. Créez les fichiers de configuration PPP restants pour la prise en charge des appelants de confiance.

   Reportez-vous aux sections Configuration des utilisateurs du serveur d'appel entrant et Définition des communications sur la ligne série (serveur d'appel entrant) .

Voir aussi

Pour configurer les informations d'authentification CHAP des appelants de confiance, reportez-vous à la section Création d'une base de données d'informations d'identification CHAP (serveur d'appel entrant).

Configuration de l'authentification CHAP pour les appelants de confiance (machines d'appel sortant)

Cette section contient des tâches relatives à la configuration de l'authentification CHAP sur les machines d'appel sortant des appelants de confiance. En fonction de la stratégie de sécurité de votre site, vous ou les appelants de confiance pouvez être responsables de la configuration de l'authentification CHAP.

Pour que les appelants distants configurent l'authentification CHAP, assurez-vous que les secrets CHAP locaux des appelants correspondent aux secrets CHAP équivalents des appelants dans le fichier /etc/ppp/chap-secrets du serveur d'appel entrant. Ensuite, attribuez aux appelants les tâches de configuration CHAP décrites dans cette section.

La configuration CHAP pour les appelants de confiance implique deux tâches :

• Création des informations d'identification de sécurité CHAP des appelants

• Configuration des machines d'appel sortant des appelants pour prendre en charge l'authentification CHAP

Configuration des informations d'authentification CHAP pour les appelants de confiance

Cette procédure indique comment configurer les informations d'identification CHAP de deux appelants de confiance. Elle implique que vous, l'administrateur système, créez les informations d'identification CHAP sur les machines d'appel sortant des appelants de confiance.

1. Devenez un administrateur sur la machine d'appel sortant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

   Utilisez l'exemple de configuration CHAP présenté à la section Exemple de configuration utilisant l'authentification CHAP et partez du principe que la machine d'appel sortant appartient à l'appelant de confiance account1.

2. Modifiez la base de données chap-secrets de l'appelant account1.

   Cette version fournit un fichier /etc/ppp/chap-secrets qui contient des commentaires utiles mais aucune option. Vous pouvez ajouter les options suivantes au fichier /etc/ppp/chap-secrets.

   account1 CallServe key123 *

   CallServe est le nom du pair qu' account1 essaie de rechercher. key123 est le secret CHAP à utiliser pour les liaisons entre account1 et CallServer.

3. Devenez un administrateur sur la machine d'appel sortant.

   Pour plus d'informations, reportez-vous à la section Procédure d’obtention des droits d’administration du manuel Administration d’Oracle Solaris : services de sécurité.

   Supposons que cette machine appartient à l'appelant account2.

4. Modifiez la base de données /etc/ppp/chap-secrets pour l'appelant account2.

   account2 CallServe key456 *

   A présent, le secret key456 correspond aux informations d'identification que l'appelant account2 utilise pour communiquer avec le pair CallServe via la liaison.

Voir aussi

La liste ci-après fournit les références à des informations connexes.

• Création d'une base de données d'informations d'identification CHAP (serveur d'appel entrant)

• Configuration des informations d'authentification CHAP pour les appelants de confiance

Ajout de l'authentification CHAP dans les fichiers de configuration (machine d'appel sortant)

Pour en savoir plus sur l'authentification CHAP, reportez-vous à la section Protocole CHAP (Challenge-Handshake Authentication Protocol). La tâche suivante permet de configurer la machine d'appel sortant qui appartient à l'appelant account1, présenté à la section Exemple de configuration utilisant l'authentification CHAP.

Ajout de la prise en charge CHAP dans les fichiers de configuration PPP (machine d'appel sortant)

1. Connectez-vous en tant que superutilisateur à la machine d'appel sortant.
2. Assurez-vous que le fichier /etc/ppp/options possède les options suivantes.

   # cat /etc/ppp/options
   lock
   nodefaultroute

3. Créez un fichier /etc/ppp/peers/ peer-name pour la machine distante CallServe.

   # cat /etc/ppp/peers/CallServe
   /dev/cua/a
   57600
   noipdefault
   defaultroute
   idle 120
   user account1
   connect "chat -U 'mypassword' -f /etc/ppp/mychat"

   L'option user account1 définit account1 comme le nom d'utilisateur CHAP à attribuer à CallServe. Pour obtenir une description des autres options du fichier précédent, reportez-vous au fichier similaire /etc/ppp/peers/myserver décrit à la section Définition de la connexion à un pair donné.

Voir aussi

Pour tester l'authentification CHAP en appelant le serveur d'appel entrant, reportez-vous à la section Appel du serveur d'appel entrant.