Configuración de servidores de aplicaciones de red de Kerberos

Los servidores de aplicaciones de red son hosts que proporcionan acceso mediante una o más de las siguientes aplicaciones de red: ftp, rcp, rlogin, rsh, ssh y telnet. Sólo se requieren unos pocos pasos para habilitar la versión de Kerberos de estos comandos en un servidor.

Cómo configurar un servidor de aplicaciones de red de Kerberos

Este procedimiento utiliza los siguientes parámetros de configuración:

Servidor de aplicaciones = boston
Principal admin = kws/admin
Nombre de dominio DNS = example.com
Nombre de dominio = EXAMPLE.COM

Antes de empezar

Este procedimiento requiere que el KDC maestro se haya configurado. Para probar completamente el proceso, varios clientes Kerberos deben estar configurados.

Conviértase en superusuario en el servidor.
(Opcional) Instale el cliente NTP u otro mecanismo de sincronización de relojes.
Consulte Sincronización de relojes entre clientes Kerberos y KDC para obtener información sobre el NTP.
Agregue principales para el nuevo servidor y actualice el archivo keytab del servidor.
El siguiente comando informa la existencia del principal host:
```
boston # klist -k |grep host
4 host/boston.example.com@EXAMPLE.COM
4 host/boston.example.com@EXAMPLE.COM
4 host/boston.example.com@EXAMPLE.COM
4 host/boston.example.com@EXAMPLE.COM
```
Si el comando no devuelve un principal, cree nuevos principales mediante los siguientes pasos.
Si desea obtener información sobre cómo utilizar la herramienta de interfaz gráfica de usuario de administración de Kerberos para agregar un principal, consulte Cómo crear un nuevo principal de Kerberos. El ejemplo de los siguientes pasos muestra cómo agregar los principales necesarios mediante la línea de comandos. Debe iniciar sesión con uno de los nombres de principales admin que creó cuando configuró el KDC maestro.
```
boston # /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin: 
```
1. Cree el principal host del servidor.
  El principal host se utiliza de las siguientes maneras:
  - Para autenticar el tráfico al utilizar los comandos remotos, como rsh y ssh.
  - Por pam_krb5 para evitar ataques de falsificación de KDC mediante el principal host a fin de verificar que la credencial de Kerberos de un usuario se haya obtenido de un KDC de confianza.
  - Para permitir que el usuario root adquiera automáticamente una credencial de Kerberos sin necesidad de que exista un principal root. Esto puede ser útil al realizar un montaje de NFS manual donde el recurso compartido requiere una credencial de Kerberos.
  Este principal es necesario si el tráfico que utiliza la aplicación remota se va a autenticar mediante el servicio Kerberos. Si el servidor tiene varios nombres de host asociados con él, cree un principal para cada nombre de host utilizando el formato de FQDN del nombre de host.
```
kadmin: addprinc -randkey host/boston.example.com
Principal "host/boston.example.com" created.
kadmin: 
```
2. Agregue el principal host del servidor al archivo keytab del servidor.
  Si el comando kadmin no se está ejecutando, reinícielo con un comando similar al siguiente: /usr/sbin/kadmin -p kws/admin
  Si el servidor tiene varios nombres de host asociados con él, agregue un principal al archivo keytab para cada nombre de host.
```
kadmin: ktadd host/boston.example.com
Entry for principal host/boston.example.com with kvno 3, encryption type AES-256 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type AES-128 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type Triple DES cbc
          mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type ArcFour
          with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type DES cbc mode
          with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
kadmin:
```
3. Salga de kadmin.
```
kadmin: quit
```

Cómo utilizar el servicio de seguridad genérico con Kerberos al ejecutar FTP

El servicio de seguridad genérico (GSS) se puede utilizar en aplicaciones para utilizar fácilmente Kerberos para autenticación, integridad y privacidad. Los pasos siguientes muestran cómo habilitar el servicio GSS para ProFTPD.

Conviértase en superusuario en el servidor FTP.
Agregue principales para el servidor FTP y actualice el archivo keytab del servidor.
Estas medidas podrían no ser necesarias si los cambios se realizaron anteriormente.
1. Inicie el comando kadmin.
```
ftpserver1 # /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin: 
```
2. Agregue el principal de servicio host al servidor FTP.
```
kadmin: addprinc -randkey host/ftpserver1.example.com 
```
3. Agregue el principal de servicio host al archivo keytab del servidor.
```
kadmin: ktadd host/ftpserver1.example.com 
```

Habilite GSS para el servidor FTP.

Realice los siguientes cambios en el archivo /etc/proftpd.conf.

# cat /etc/proftpd.conf
#User          ftp
#Group         ftp

User root
Group root

UseIPv6 off

LoadModule mod_gss.c

GSSEngine on
GSSKeytab /etc/krb5/krb5.keytab

Reinicie el servidor FTP.
```
# svcadm restart network/ftp
```

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Administración de Oracle Solaris: servicios de seguridad Oracle Solaris 11 Information Library (Español)