3. Configuration des services de la passerelle

3.2.1. Module iptables pour PAM

Le module de session PAM, qui ins�re les r�gles pour le pare-feu, est n�cessaire pour permettre la transmission pour le client authentifi�. Pour le configurer, r�cup�rez simplement le fichier source et compilez-le en lan�ant les commandes suivantes�:

     gcc -fPIC -c pam_iptables.c
 ld -x --shared -o pam_iptables.so pam_iptables.o

Vous devez maintenant avoir deux binaires appel�s pam_iptables.so et pam_iptables.o. Copiez pam_iptables.so dans /lib/security/pam_iptables.so�:

     cp pam_iptables.so /lib/security/pam_iptables.so

Maintenant, installez le script pare-feu dans le r�pertoire /usr/local/auth-gw�:

     mkdir /usr/local/auth-gw
 cp insFwall /usr/local/auth-gw

Le client d'authentification choisi pour la passerelle �tant ici ssh, nous avons ajout� la ligne suivante dans /etc/pam.d/sshd�:

     session    required     /lib/security/pam_iptables.so 

Maintenant, lorsqu'un utilisateur se connectera avec ssh, la r�gle du pare-feu sera ajout�e.

Pour savoir si le module pam_iptables fonctionne, r�alisez les �tapes suivantes�:

1. Connectez-vous sur la machine avec ssh.

2. V�rifiez si la r�gle a �t� ajout�e avec la commande iptables -L -v.

3. D�connectez-vous de la machine pour vous assurer que la r�gle est bien supprim�e.

3.2.2. Passerelle NoCatAuth

Cette section d�crit le processus de configuration de la passerelle NocatAuth. Pour la configurer, r�cup�rez le source et installez-le avec les �tapes suivantes.

Assurez-vous que gpgv est install�. gpgv est un v�rificateur de signatures PGP. Il fait partie de gnupg et peut �tre trouv� sur la page http://www.gnupg.org/download.html.

Extrayez les fichiers de l'archive tar NocatAuth�:

tar xvzf NocatAuth-x.xx.tar.gz

Si vous ne voulez pas que NocatAuth soit install� dans le r�pertoire /usr/local/nocat, �ditez le Makefile et remplacez INST_PATH par le r�pertoire o� vous souhaitez que NoCatAuth soit install�.

Puis, construisez la passerelle�:

cd NoCatAuth-x.xx make gateway

Editez le fichier /usr/local/nocat.conf. Merci de consulter le fichier de documentation INSTALL pour les d�tails sur ce qui est requis dans le fichier de configuration. Un fichier de configuration d'exemple ressemble � ceci�:

     ###### gateway.conf -- NoCatAuth Gateway Configuration.
 #
 # Format of this file is: Directive Value, one per
 # line. Trailing and leading whitespace is ignored. Any
 # line beginning with a punctuation character is assumed to
 # be a comment.
 Verbosity       10
 #we are behind a NAT so put the gateway in passive mode
 GatewayMode     Passive
 GatewayLog      /usr/local/nocat/nocat.log
 LoginTimeout    300
 ######Open Portal settings.
 HomePage        http://www.itlab.musc.edu/
 DocumentRoot    /usr/local/nocat/htdocs
 SplashForm      splash.html
 ###### Active/Passive Portal settings.
 TrustedGroups Any
 AuthServiceAddr egon.itlab.musc.edu
 AuthServiceURL  https://$AuthServiceAddr/cgi-bin/login
 LogoutURL       https://$AuthServiceAddr/forms/logout.html
 ###### Other Common Gateway Options.
 AllowedWebHosts egon.itlab.musc.edu
 ResetCmd        initialize.fw
 PermitCmd       access.fw permit $MAC $IP $Class
 DenyCmd         access.fw deny $MAC $IP $Class 

Maintenant, vous devez �tre capable de lancer la passerelle. Si un probl�me survient, merci de consulter la documentation INSTALL dans le r�pertoire NoCatAuth. La commande suivante lance la passerelle�:

/usr/local/nocat/bin/gateway

3.4.1. PAM LDAP

Comme indiqu� dans les sections pr�c�dentes, j'ai configur� cette passerelle pour utiliser LDAP comme moyen d'authentification. N�anmoins, vous pouvez utiliser tout autre moyen autoris� par PAM pour l'authentification. Voir Section 2.4 pour plus d'informations.

Pour obtenir l'authentification par PAM LDAP, j'ai install� OpenLDAP et je l'ai configur� avec les lignes suivantes dans /etc/ldap.conf�:

     # Your LDAP server. Must be resolvable without using LDAP.
 host itc.musc.edu
 # The distinguished name of the search base.
 base dc=musc,dc=edu
 ssl no

Les fichiers suivants ont �t� utilis�s pour configurer PAM pour qu'il assure l'authentification LDAP. Ces fichiers ont �t� g�n�r�s par l'utilitaire de configuration de RedHat.

/etc/pam.d/system-auth a �t� cr�� et ressemble � ceci�:

#%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required /lib/security/pam_env.so auth sufficient /lib/security/pam_unix.so likeauth nullok auth sufficient /lib/security/pam_ldap.so use_first_pass auth required /lib/security/pam_deny.so account required /lib/security/pam_unix.so account [default=ok user_unknown=ignore service_err=ignore \ system_err=ignore] /lib/security/pam_ldap.so password required /lib/security/pam_cracklib.so retry=3 password sufficient /lib/security/pam_unix.so nullok use_authtok password sufficient /lib/security/pam_ldap.so use_authtok password required /lib/security/pam_deny.so session required /lib/security/pam_limits.so session required /lib/security/pam_unix.so session optional /lib/security/pam_ldap.so

Ensuite, le fichier /etc/pam.d/sshd a �t� cr��:

#%PAM-1.0 auth required /lib/security/pam_stack.so service=system-auth auth required /lib/security/pam_nologin.so account required /lib/security/pam_stack.so service=system-auth password required /lib/security/pam_stack.so service=system-auth session required /lib/security/pam_stack.so service=system-auth #this line is added for firewall rule insertion upon login session required /lib/security/pam_iptables.so debug session optional /lib/security/pam_console.so

3.4.2. Le service NoCatAuth

Il est recommand� d'installer le service NoCatAuth sur un autre serveur, � c�t� de la passerelle. Un serveur s�par� a �t� utilis� dans mes exemples. Pour configurer un service NoCatAuth, vous aurez besoin des logiciels suivants�:

1. Un serveur web avec SSL activ�, de pr�f�rence avec un certificat SSL enregistr�. J'ai utilis� Apache avec mod_ssl.

2. Perl 5 (5.6 ou ult�rieur recommand�)

3. Les modules perl Net::LDAP, Digest::MD5, DBI et DBD::MySQL (r�cup�rez-les � partir de CPAN). Le module dont vous avez besoin d�pend de la source d'authentification que vous comptez utiliser. Dans mon exemple, Net::LDAP a �t� utilis� comme moyen d'authentification.

4. Gnu Privacy Guard (gnupg 1.0.6 ou ult�rieur), disponible sur http://www.gnupg.org/download.html

Pour l'installer, d�compressez le fichier tar�:

$ tar zvxf NoCatAuth-x.xx.tar.gz

Si vous souhaitez changer le chemin o� r�side NoCatAuth, �ditez le Makefile et remplacez INST_PATH par le r�pertoire souhait�.

Ensuite, lancez la commande�: make authserv . Cela installe tout dans /usr/local/nocat ou le r�pertoire que d�signe INST_PATH.

Ensuite, lancez make pgpkey . Les valeurs par d�faut conviennent pour la plupart des usages. IMPORTANT�: n'entrez PAS de phrase (passphrase)�! Sinon, vous obtiendrez des messages �tranges lorsque le service auth essaiera de crypter les messages et essaiera de lire votre phrase � partir d'un terminal tty inexistant.

Editez /usr/local/nocat/nocat.conf pour l'adapter � votre situation. Voici un exemple�:

###### authserv.conf -- NoCatAuth Authentication Service Configuration. # # Format of this file is: Directive Value, one per # line. Trailing and leading whitespace is ignored. Any # line beginning with a punctuation character is assumed to # be a comment. Verbosity 10 HomePage http://www.itlab.musc.edu/ DocumentRoot /usr/local/nocat/htdocs # LDAP source DataSource LDAP LDAPHost authldap.musc.edu LDAPBase dc=musc,dc=edu UserTable Member UserIDField User UserPasswdField Pass UserAuthField Status UserStampField Created GroupTable Network GroupIDField Network GroupAdminField Admin MinPasswdLength 8 # LocalGateway -- If you run auth service on the same subnet # (or host) as the gateway you need to specify the hostname # of the gateway. Otherwise omit it. (Requires Net::Netmask) # # LocalGateway 192.168.1.7 LoginForm login.html LoginOKForm login_ok.html FatalForm fatal.html ExpiredForm expired.html RenewForm renew.html PassiveRenewForm renew_pasv.html RegisterForm register.html RegisterOKForm register_ok.html RegisterFields Name URL Description UpdateForm update.html UpdateFields URL Description ###### Auth service user messages. Should be self-explanatory. # LoginGreeting Greetings! Welcome to the Medical University of SC's Network. LoginMissing Please fill in all fields! LoginBadUser That e-mail address is unknown. Please try again. LoginBadPass That e-mail and password do not match. Please try again. LoginBadStatus Sorry, you are not a registered co-op member. RegisterGreeting Welcome! Please enter the following information to register. RegisterMissing Name, E-mail, and password fields must be filled in. RegisterUserExists Sorry, that e-mail address is already taken. Are you already registered? RegisterBadUser The e-mail address provided appears to be invalid. Did you spell it correctly? RegisterInvalidPass All passwords must be at least six characters long. RegisterPassNoMatch The passwords you provided do not match. Please try again. RegisterSuccess Congratulations, you have successfully registered. UpdateGreeting Enter your E-mail and password to update your info. UpdateBadUser That e-mail address is unknown. Please try again. UpdateBadPass That e-mail and password do not match. Please try again. UpdateInvalidPass New passwords must be at least eight characters long. UpdatePassNoMatch The new passwords you provided do not match. Please try again. UpdateSuccess Congratulations, you have successfully updated your account.

Assurez-vous que le r�pertoire /usr/local/nocat/pgp appartient � l'utilisateur du serveur web (c'est-�-dire nobody ou www-data).

Ajoutez etc/authserv.conf � votre fichier apache httpd.conf.

Include /usr/local/nocat/etc/authserv.conf

Copiez votre /usr/local/nocat/trustedkeys.pgp sur la passerelle. Relancez Apache et essayez. Merci de vous reporter � la documentation de NoCatAuth pour plus d'informations. Elle est disponible dans le r�pertoire docs/ de l'archive NoCatAuth d�compress�e.