/usr/share/doc/HOWTO/fr-html/Authentication-Gateway-HOWTO.html

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"
"http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta name="generator" content=
"HTML Tidy for Linux (vers 25 March 2009), see www.w3.org">
<title>HOWTO Passerelle d'Authentification</title>
<meta name="GENERATOR" content=
"Modular DocBook HTML Stylesheet Version 1.79">
</head>
<body class="ARTICLE" bgcolor="#FFFFFF" text="#000000" link=
"#0000FF" vlink="#840084" alink="#0000FF">
<div class="ARTICLE">
<div class="TITLEPAGE">
<h1 class="TITLE"><a name="AEN2" id="AEN2">HOWTO Passerelle
d'Authentification</a></h1>
<h3 class="AUTHOR"><a name="AEN4" id="AEN4">Nathan Zorn</a></h3>
<div class="AFFILIATION">
<div class="ADDRESS">
<p class="ADDRESS">
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<code class="EMAIL">&lt;<a href="mailto:zornnh@musc.edu">zornnh@musc.edu</a>&gt;</code><br>

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</p>
</div>
</div>
<div class="REVHISTORY">
<table width="100%" border="0">
<tr>
<th align="left" valign="top" colspan="3"><b>Historique des
versions</b></th>
</tr>
<tr>
<td align="left">Version 0.06</td>
<td align="left">2002-11-05</td>
<td align="left">Revu par&nbsp;: nhz</td>
</tr>
<tr>
<td align="left" colspan="3"></td>
</tr>
<tr>
<td align="left">Version 0.05</td>
<td align="left">2002-05-10</td>
<td align="left">Revu par&nbsp;: nhz</td>
</tr>
<tr>
<td align="left" colspan="3"></td>
</tr>
<tr>
<td align="left">Version 0.04</td>
<td align="left">2002-02-28</td>
<td align="left">Revu par&nbsp;: nhz</td>
</tr>
<tr>
<td align="left" colspan="3"></td>
</tr>
<tr>
<td align="left">Version 0.03</td>
<td align="left">2001-09-28</td>
<td align="left">Revu par&nbsp;: nhz</td>
</tr>
<tr>
<td align="left" colspan="3"></td>
</tr>
<tr>
<td align="left">Version 0.02</td>
<td align="left">2001-09-28</td>
<td align="left">Revu par&nbsp;: KET</td>
</tr>
<tr>
<td align="left" colspan="3"></td>
</tr>
<tr>
<td align="left">Version 0.01</td>
<td align="left">2001-09-06</td>
<td align="left">Revu par&nbsp;: nhz</td>
</tr>
<tr>
<td align="left" colspan="3"></td>
</tr>
</table>
</div>
<div>
<div class="ABSTRACT"><a name="AEN51" id="AEN51"></a>
<p>Beaucoup se sentent concern&eacute;s par la
s&eacute;curit&eacute; des r&eacute;seaux sans-fil et des aires
d'acc&egrave;s public telles que les biblioth&egrave;ques et les
dortoirs. Les impl&eacute;mentations actuelles de
s&eacute;curit&eacute; ne r&eacute;pondent pas &agrave; ces
interrogations. Une r&eacute;ponse est propos&eacute;e par
l'utilisation d'une passerelle d'authentification. Cette passerelle
r&eacute;ponds aux probl&egrave;mes de s&eacute;curit&eacute; en
for&ccedil;ant l'utilisateur &agrave; s'authentifier pour pouvoir
utiliser le r&eacute;seau.</p>
</div>
</div>
<hr></div>
<div class="SECT1">
<h2 class="SECT1"><a name="INTRO" id="INTRO">Introduction</a></h2>
<p>Avec les r&eacute;seaux sans-fil et les aires d'acc&egrave;s
publics, il est tr&egrave;s facile pour un utilisateur non
autoris&eacute; d'acc&eacute;der au r&eacute;seau. Les utilisateurs
non autoris&eacute;s peuvent chercher un signal et
r&eacute;cup&eacute;rer des informations de connexion &agrave;
partir de ce signal. Ils peuvent brancher leur machine sur un
terminal public et obtenir l'acc&egrave;s au r&eacute;seau. Des
&eacute;l&eacute;ments de s&eacute;curit&eacute; ont
&eacute;t&eacute; mis en place, comme WEP, mais cette
s&eacute;curit&eacute; peut &ecirc;tre franchie avec des outils
comme AirSnort. Une approche pour r&eacute;soudre ces
probl&egrave;mes est de ne pas se reposer sur les
fonctionnalit&eacute;s de s&eacute;curit&eacute; des sans-fil, et
d'installer &agrave; la place une passerelle d'authentification
devant le r&eacute;seau sans-fil ou les aires d'acc&egrave;s
public, ce qui permet de forcer les utilisateurs &agrave;
s'authentifier avant d'utiliser le r&eacute;seau. Ce HOWTO
d&eacute;crit comment mettre en place cette passerelle avec
Linux.</p>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="COPYRIGHT" id="COPYRIGHT">Informations
de Copyright</a></h3>
<p>Ce document dispose d'un copyright &copy; 2001 Nathan Zorn. Il
vous est autoris&eacute; de copier, distribuer et/ou modifier ce
document sous les termes de la licence GNU Free Documentation
License, Version 1.1 ou toute version ult&eacute;rieure
publi&eacute;e par la Free Software Foundation&nbsp; avec les
sections inalt&eacute;rables suivantes&nbsp;: texte de
premi&egrave;re page de couverture, texte de derni&egrave;re page
de couverture. Une copie de la licence est disponible sur
http://www.gnu.org/copyleft/fdl.html</p>
<p>Si vous avez des questions, merci de contacter <code class=
"EMAIL">&lt;<a href=
"mailto:zornnh@musc.edu">zornnh@musc.edu</a>&gt;</code></p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DISCLAIMER" id=
"DISCLAIMER">Disclaimer</a></h3>
<p>Aucune responsabilit&eacute; pour le contenu de ce document ne
sera accept&eacute;e. Utilisez les concepts, exemples et autre
contenu &agrave; vos risques et p&eacute;rils. Comme il s'agit
d'une nouvelle &eacute;dition de ce document, il peut y avoir des
erreurs et des inexactitudes, qui peuvent endommager votre
syst&egrave;me. Proc&eacute;dez avec prudence et bien que les
d&eacute;gats soient tr&egrave;s improbables, les auteurs n'en
prennent aucune responsabilit&eacute;.</p>
<p>Tous les droits sont d&eacute;tenus par leurs
propri&eacute;taires respectifs, sauf cas sp&eacute;cifique
indiqu&eacute;. L'utilisation d'un terme dans ce document ne doit
pas &ecirc;tre vu comme affectant la validit&eacute; d'une marque
ou d'un service.</p>
<p>Nommer un produit particulier ou une marque ne doit pas
&ecirc;tre vu comme une ill&eacute;galit&eacute;.</p>
<p>Il est fortement conseill&eacute; de faire une sauvegarde de
votre syst&egrave;me avant toute installation majeure, et d'en
faire &agrave; intervalles r&eacute;guliers.</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="NEWVERSIONS" id="NEWVERSIONS">Nouvelles
Versions</a></h3>
<p>La version la plus r&eacute;cente de ce document peut &ecirc;tre
trouv&eacute;e sur <a href=
"http://www.itlab.musc.edu/~nathan/authentication_gateway/" target=
"_top"></a>. Les HOWTOs en rapport peuvent &ecirc;tre
trouv&eacute;s sur le site <a href="http://www.tldp.org/" target=
"_top">Linux Documentation Project</a> .</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="CREDITS" id=
"CREDITS">Cr&eacute;dits</a></h3>
<p>Jamin W. Collins</p>
<p>Kristin E Thomas</p>
<p>Logu (visolve.com)</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="FEEDBACK" id="FEEDBACK">Retour
d'informations</a></h3>
<p>Le retour d'informations est vraiment bienvenu pour ce document.
Sans vos soumissions, ce document n'existerait pas. Merci d'envoyer
vos ajouts, commentaires et critiques &agrave; l'adresse mail
suivante&nbsp;: <code class="EMAIL">&lt;<a href=
"mailto:zornnh@musc.edu">zornnh@musc.edu</a>&gt;</code>.</p>
</div>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="SERVICES" id="SERVICES">Ce qui est
n&eacute;cessaire</a></h2>
<p>Cette section d&eacute;crit ce qui est n&eacute;cessaire pour
installer la passerelle d'authentification.</p>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="NETFILTER" id=
"NETFILTER">Netfilter</a></h3>
<p>La passerelle d'authentification utilise Netfilter et iptables
pour g&eacute;rer le pare-feu. Consultez le <a href=
"http://netfilter.samba.org/unreliable-guides/packet-filtering-HOWTO/index.html"
target="_top">HOWTO Netfilter</a> .</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DYNAMICNETFILTERRULES" id=
"DYNAMICNETFILTERRULES">Logiciel pour les r&egrave;gles dynamiques
de Netfilter</a></h3>
<p>Un moyen pour ins&eacute;rer et supprimer des r&egrave;gles
Netfilter est d'utiliser pam_iptables. Il s'agit d'un module
d'authentification ins&eacute;rable (PAM ou &laquo;&nbsp;pluggable
authentication module&nbsp;&raquo;) &eacute;crit par Nathan Zorn
disponible sur <a href=
"http://www.itlab.musc.edu/~nathan/pam_iptables/" target=
"_top"></a>. Ce module PAM permet aux utilisateurs d'utiliser ssh
et telnet pour s'authentifier sur la passerelle.</p>
<p>Un autre moyen pour supprimer et cr&eacute;er dynamiquement des
r&egrave;gles Netfilter est d'utiliser NocatAuth. Il peut
&ecirc;tre trouv&eacute; sur <a href="http://nocat.net" target=
"_top"></a>. NocatAuth fournit un client web pour s'authentifier
sur la passerelle.</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DHCPD" id="DHCPD">Serveur DHCP</a></h3>
<p>La passerelle d'authentification agira comme un serveur DHCP
(&laquo;&nbsp;Dynamic Host Configuration Protocol&nbsp;&raquo;)
pour le r&eacute;seau public. Elle sert seulement ceux qui
r&eacute;clament des services DHCP sur le r&eacute;seau public.
J'ai utilis&eacute; <a href="http://www.isc.org/products/DHCP/"
target="_top">le serveur DHCP ISC</a>.</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="AUTHENTICATION" id=
"AUTHENTICATION">M&eacute;canisme d'authentification</a></h3>
<p>La passerelle peut utiliser tous les moyens d'authentification
de PAM. L'universit&eacute; de m&eacute;decine de Caroline du Sud
utilise LDAP comme m&eacute;canisme d'authentification. Comme LDAP
a &eacute;t&eacute; utilis&eacute; pour l'authentification, les
modules pam sur la machine passerelle ont &eacute;t&eacute;
configur&eacute;s pour utiliser LDAP. D'autres informations sont
disponibles sur <a href="http://www.padl.com/OSS/pam_ldap.html"
target="_top"></a>. PAM vous permet d'utiliser beaucoup de moyens
d'authentification. Merci de regarder la documentation pour le
module PAM que vous souhaitez utiliser. Pour plus d'informations
sur les autres m&eacute;thodes, voir <a href=
"http://www.kernel.org/pub/linux/libs/pam/modules.html" target=
"_top">les modules pam</a> correspondants.</p>
<p>Si NocatAuth est utilis&eacute;, un service d'authentification a
besoin d'&ecirc;tre configur&eacute;. Le service d'authentification
NocatAuth supporte l'authentification avec LDAP, RADIUS, MySQL et
un fichier de mots de passe. Plus d'informations sur la page
<a href="http://nocat.net/download/NoCatAuth/" target=
"_top"></a>.</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DNSSERVER" id="DNSSERVER">Serveur
DNS</a></h3>
<p>La machine passerelle sert aussi de serveur DNS pour le
r&eacute;seau public. J'ai install&eacute; <a href=
"http://www.isc.org/products/BIND/" target="_top">Bind</a>, et je
l'ai configur&eacute; comme un serveur de noms cache. Le paquetage
rpm caching-nameserver a aussi &eacute;t&eacute; utilis&eacute;. Ce
paquetage provient de RedHat.</p>
</div>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="SETUP" id="SETUP">Configuration des
services de la passerelle</a></h2>
<p>Cette section d&eacute;crit comment configurer chaque
pi&egrave;ce de la passerelle d'authentification. Les exemples
utilis&eacute;s concernent un r&eacute;seau public compris dans le
sous-r&eacute;seau 10.0.1.0. eth0 est l'interface connect&eacute;e
au r&eacute;seau interne. eth1 est l'interface connect&eacute; au
r&eacute;seau public. L'adresse IP utilis&eacute;e pour cette
interface est 10.0.1.1. Ces valeurs peuvent &ecirc;tre
chang&eacute;es pour s'int&eacute;grer au r&eacute;seau que vous
utilisez. RedHat 7.1 a &eacute;t&eacute; utilis&eacute; pour la
machine passerelle, donc un grand nombre d'exemples sont
sp&eacute;cifiques &agrave; RedHat.</p>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="NETFILTERSETUP" id=
"NETFILTERSETUP">Configuration de Netfilter</a></h3>
<p>Pour configurer netfilter, le noyau doit &ecirc;tre
recompil&eacute; pour inclure le support de netfilter. Merci de
consulter le <a href=
"http://www.traduc.org/docs/HOWTO/lecture/Kernel-HOWTO.html"
target="_top">HOWTO Noyau</a> pour plus d'informations sur la
configuration et la compilation de votre noyau.</p>
<p>Voici &agrave; quoi ressemble la configuration de mon noyau.</p>
<pre class="PROGRAMLISTING">
   #
   # Networking options
   #
   CONFIG_PACKET=y
   # CONFIG_PACKET_MMAP is not set
   # CONFIG_NETLINK is not set
   CONFIG_NETFILTER=y
   CONFIG_NETFILTER_DEBUG=y
   CONFIG_FILTER=y
   CONFIG_UNIX=y
   CONFIG_INET=y
   CONFIG_IP_MULTICAST=y
   # CONFIG_IP_ADVANCED_ROUTER is not set
   # CONFIG_IP_PNP is not set
   # CONFIG_NET_IPIP is not set
   # CONFIG_NET_IPGRE is not set
   # CONFIG_IP_MROUTE is not set
   # CONFIG_INET_ECN is not set
   # CONFIG_SYN_COOKIES is not set


   #   IP: Netfilter Configuration
   #   
   CONFIG_IP_NF_CONNTRACK=y
   CONFIG_IP_NF_FTP=y
   CONFIG_IP_NF_IPTABLES=y
   CONFIG_IP_NF_MATCH_LIMIT=y
   CONFIG_IP_NF_MATCH_MAC=y
   CONFIG_IP_NF_MATCH_MARK=y
   CONFIG_IP_NF_MATCH_MULTIPORT=y
   CONFIG_IP_NF_MATCH_TOS=y
   CONFIG_IP_NF_MATCH_TCPMSS=y
   CONFIG_IP_NF_MATCH_STATE=y
   CONFIG_IP_NF_MATCH_UNCLEAN=y
   CONFIG_IP_NF_MATCH_OWNER=y
   CONFIG_IP_NF_FILTER=y
   CONFIG_IP_NF_TARGET_REJECT=y
   CONFIG_IP_NF_TARGET_MIRROR=y
   CONFIG_IP_NF_NAT=y
   CONFIG_IP_NF_NAT_NEEDED=y
   CONFIG_IP_NF_TARGET_MASQUERADE=y
   CONFIG_IP_NF_TARGET_REDIRECT=y
   CONFIG_IP_NF_NAT_FTP=y
   CONFIG_IP_NF_MANGLE=y
   CONFIG_IP_NF_TARGET_TOS=y
   CONFIG_IP_NF_TARGET_MARK=y
   CONFIG_IP_NF_TARGET_LOG=y
   CONFIG_IP_NF_TARGET_TCPMSS=y
</pre>
<p>Une fois que netfilter a &eacute;t&eacute; configur&eacute;,
mettez en place la transmission IP (IP forwarding) en
ex&eacute;cutant cette commande&nbsp;:</p>
<pre class="PROGRAMLISTING">
   echo 1 &gt; /proc/sys/net/ipv4/ip_forward
</pre>
<p>Pour s'assurer que la transmission ip est activ&eacute;e lors du
red&eacute;marrage de la machine, ajoutez la ligne suivante dans
<tt class="FILENAME">/etc/sysctl.conf</tt>&nbsp;:</p>
<pre class="PROGRAMLISTING">
   net.ipv4.ip_forward = 1
</pre>
<p>Si vous allez utilis&eacute; NocatAuth, vous pouvez passer
&agrave; la section <a href="#NOCATGATEWAYSETUP">Configuration de
la passerelle NoCatAuth</a>.</p>
<p>Iptables a besoin d'&ecirc;tre install&eacute;. Pour cela, soit
vous utilisez le paquetage provenant de votre distribution, soit
vous l'installez &agrave; partir des sources. Une fois que les
options ci-dessus ont &eacute;t&eacute; compil&eacute;es dans le
nouveau noyau et qu'iptables a &eacute;t&eacute; install&eacute;,
je mets en place les r&egrave;gles par d&eacute;faut du
pare-feu.</p>
<pre class="PROGRAMLISTING">
   iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   iptables -A INPUT -i eth0 -m state --state NEW, INVALID -j DROP
   iptables -A FORWARD -i eth0 -m state --state NEW, INVALID -j DROP
   iptables -I FORWARD -o eth0 -j DROP
   iptables -I FORWARD -s 10.0.1.0/24 -d 10.0.1.1 -j ACCEPT
</pre>
<p>Les commandes ci-dessus peuvent aussi &ecirc;tre plac&eacute;es
dans un script d'initialisation utilis&eacute; lorsque le serveur
red&eacute;marre. Pour s'assurer que les r&egrave;gles ont
&eacute;t&eacute; ajout&eacute;es, tapez les commandes
suivantes&nbsp;:</p>
<pre class="PROGRAMLISTING">
   iptables -v -t nat -L
   iptables -v -t filter -L
</pre>
<p>Pour sauvegarder ces r&egrave;gles, j'ai utilis&eacute; les
scripts d'initialisation de RedHat.</p>
<pre class="PROGRAMLISTING">
   /etc/init.d/iptables save
   /etc/init.d/iptables restart
</pre>
<p>Maintenant, la machine passerelle est capable de faire de la
traduction d'adresses r&eacute;seau (NAT ou Network Address
Translation), mais elle laissera passer tous les paquets sauf ceux
provenant de l'int&eacute;rieur du r&eacute;seau public et &agrave;
destination de la passerelle.</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DYNAMICNETFILTER" id=
"DYNAMICNETFILTER">R&egrave;gles dynamiques de Netfilter.</a></h3>
<p>Cette section d&eacute;crit comment configurer le logiciel
n&eacute;cessaire &agrave; l'insertion et &agrave; la suppression
dynamique de r&egrave;gles Netfilter sur la passerelle.</p>
<div class="SECT3">
<hr>
<h4 class="SECT3"><a name="PAMIPTABLESSETUP" id=
"PAMIPTABLESSETUP">Module iptables pour PAM</a></h4>
<p>Le module de session PAM, qui ins&egrave;re les r&egrave;gles
pour le pare-feu, est n&eacute;cessaire pour permettre la
transmission pour le client authentifi&eacute;. Pour le configurer,
r&eacute;cup&eacute;rez simplement le fichier <a href=
"ftp://ftp.itlab.musc.edu/pub/pam_iptables.tar.gz" target=
"_top">source</a> et compilez-le en lan&ccedil;ant les commandes
suivantes&nbsp;:</p>
<pre class="PROGRAMLISTING">
     gcc -fPIC -c pam_iptables.c
     ld -x --shared -o pam_iptables.so pam_iptables.o
</pre>
<p>Vous devez maintenant avoir deux binaires appel&eacute;s
<tt class="FILENAME">pam_iptables.so</tt> et <tt class=
"FILENAME">pam_iptables.o</tt>. Copiez <tt class=
"FILENAME">pam_iptables.so</tt> dans <tt class=
"FILENAME">/lib/security/pam_iptables.so</tt>&nbsp;:</p>
<pre class="PROGRAMLISTING">
     cp pam_iptables.so /lib/security/pam_iptables.so
</pre>
<p>Maintenant, installez le script pare-feu dans le
r&eacute;pertoire /usr/local/auth-gw&nbsp;:</p>
<pre class="PROGRAMLISTING">
     mkdir /usr/local/auth-gw
     cp insFwall /usr/local/auth-gw
</pre>
<p>Le client d'authentification choisi pour la passerelle
&eacute;tant ici ssh, nous avons ajout&eacute; la ligne suivante
dans <tt class="FILENAME">/etc/pam.d/sshd</tt>&nbsp;:</p>
<pre class="PROGRAMLISTING">
     session    required     /lib/security/pam_iptables.so 
</pre>
<p>Maintenant, lorsqu'un utilisateur se connectera avec ssh, la
r&egrave;gle du pare-feu sera ajout&eacute;e.</p>
<p>Pour savoir si le module pam_iptables fonctionne,
r&eacute;alisez les &eacute;tapes suivantes&nbsp;:</p>
<ol type="1">
<li>
<p>Connectez-vous sur la machine avec ssh.</p>
</li>
<li>
<p>V&eacute;rifiez si la r&egrave;gle a &eacute;t&eacute;
ajout&eacute;e avec la commande <b class="COMMAND">iptables -L
-v</b>.</p>
</li>
<li>
<p>D&eacute;connectez-vous de la machine pour vous assurer que la
r&egrave;gle est bien supprim&eacute;e.</p>
</li>
</ol>
</div>
<div class="SECT3">
<hr>
<h4 class="SECT3"><a name="NOCATGATEWAYSETUP" id=
"NOCATGATEWAYSETUP">Passerelle NoCatAuth</a></h4>
<p>Cette section d&eacute;crit le processus de configuration de la
passerelle NocatAuth. Pour la configurer, r&eacute;cup&eacute;rez
le <a href="http://nocat.net/download/NoCatAuth/" target=
"_top">source</a> et installez-le avec les &eacute;tapes
suivantes.</p>
<p>Assurez-vous que gpgv est install&eacute;. gpgv est un
v&eacute;rificateur de signatures PGP. Il fait partie de gnupg et
peut &ecirc;tre trouv&eacute; sur la page <a href=
"http://www.gnupg.org/download.html" target=
"_top">http://www.gnupg.org/download.html</a>.</p>
<p>Extrayez les fichiers de l'archive tar NocatAuth&nbsp;:</p>
<pre class="PROGRAMLISTING">
     tar xvzf NocatAuth-x.xx.tar.gz
</pre>
<p>Si vous ne voulez pas que NocatAuth soit install&eacute; dans le
r&eacute;pertoire /usr/local/nocat, &eacute;ditez le Makefile et
remplacez INST_PATH par le r&eacute;pertoire o&ugrave; vous
souhaitez que NoCatAuth soit install&eacute;.</p>
<p>Puis, construisez la passerelle&nbsp;:</p>
<pre class="PROGRAMLISTING">
     cd NoCatAuth-x.xx
     make gateway
</pre>
<p>Editez le fichier /usr/local/nocat.conf. Merci de consulter le
fichier de documentation INSTALL pour les d&eacute;tails sur ce qui
est requis dans le fichier de configuration. Un fichier de
configuration d'exemple ressemble &agrave; ceci&nbsp;:</p>
<pre class="PROGRAMLISTING">
     ###### gateway.conf -- NoCatAuth Gateway Configuration.
     # 
     # Format of this file is: Directive Value, one per 
     # line. Trailing and leading whitespace is ignored. Any 
     # line beginning with a punctuation character is assumed to 
     # be a comment.
     
     Verbosity       10
     #we are behind a NAT so put the gateway in passive mode
     GatewayMode     Passive
     GatewayLog      /usr/local/nocat/nocat.log
     LoginTimeout    300
     
     ######Open Portal settings.
     HomePage        http://www.itlab.musc.edu/
     DocumentRoot    /usr/local/nocat/htdocs
     SplashForm      splash.html
     ###### Active/Passive Portal settings.
     TrustedGroups Any
     AuthServiceAddr egon.itlab.musc.edu
     AuthServiceURL  https://$AuthServiceAddr/cgi-bin/login
     LogoutURL       https://$AuthServiceAddr/forms/logout.html
     ###### Other Common Gateway Options.
     AllowedWebHosts egon.itlab.musc.edu
     ResetCmd        initialize.fw
     PermitCmd       access.fw permit $MAC $IP $Class 
     DenyCmd         access.fw deny $MAC $IP $Class 
</pre>
<p>Maintenant, vous devez &ecirc;tre capable de lancer la
passerelle. Si un probl&egrave;me survient, merci de consulter la
documentation INSTALL dans le r&eacute;pertoire NoCatAuth. La
commande suivante lance la passerelle&nbsp;:</p>
<pre class="PROGRAMLISTING">
     /usr/local/nocat/bin/gateway
</pre></div>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DHCPDSETUP" id=
"DHCPDSETUP">Configuration du serveur DHCP</a></h3>
<p>J'ai install&eacute; DHCP en utilisant le fichier <tt class=
"FILENAME">dhcpd.conf</tt> suivant&nbsp;:</p>
<pre class="PROGRAMLISTING">
   subnet 10.0.1.0 netmask 255.255.255.0 {
   # --- default gateway
        option routers                  10.0.1.1;
        option subnet-mask              255.255.255.0;
        option broadcast-address        10.0.1.255;

        option domain-name-servers       10.0.1.1;      
        range   10.0.1.3 10.0.1.254;
        option time-offset              -5;     # Eastern Standard Time

        default-lease-time 21600;
        max-lease-time 43200;

    } 
</pre>
<p>Le serveur a ensuite &eacute;t&eacute; lanc&eacute; en utilisant
eth1, l'interface connect&eacute;e au r&eacute;seau
public&nbsp;:</p>
<pre class="PROGRAMLISTING">
    /usr/sbin/dhcpd eth1
</pre></div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="AUTHENTICATIONSETUP" id=
"AUTHENTICATIONSETUP">Configuration de la m&eacute;thode
d'authentification</a></h3>
<p>L'authentification avec PAM et un service d'authentification
NoCatAuth ont &eacute;t&eacute; d&eacute;crits. Les deux exemples
utilisent LDAP. D'autres moyens d'authentification en dehors de
LDAP peuvent &ecirc;tre utilis&eacute;s. Merci de lire la
documentation sur PAM et NoCatAuth pour trouver les &eacute;tapes
n&eacute;cessaires pour utiliser d'autres sources
d'authentification.</p>
<div class="SECT3">
<hr>
<h4 class="SECT3"><a name="PAMLDAP" id="PAMLDAP">PAM LDAP</a></h4>
<p>Comme indiqu&eacute; dans les sections
pr&eacute;c&eacute;dentes, j'ai configur&eacute; cette passerelle
pour utiliser LDAP comme moyen d'authentification.
N&eacute;anmoins, vous pouvez utiliser tout autre moyen
autoris&eacute; par PAM pour l'authentification. Voir <a href=
"#AUTHENTICATION">la section intitul&eacute;e <i>M&eacute;canisme
d'authentification</i></a> pour plus d'informations.</p>
<p>Pour obtenir l'authentification par PAM LDAP, j'ai
install&eacute; <a href="http://www.openldap.org" target=
"_top">OpenLDAP</a> et je l'ai configur&eacute; avec les lignes
suivantes dans <tt class="FILENAME">/etc/ldap.conf</tt>&nbsp;:</p>
<pre class="PROGRAMLISTING">
     # Your LDAP server. Must be resolvable without using LDAP.
     host itc.musc.edu

     # The distinguished name of the search base.
     base dc=musc,dc=edu
     ssl no
</pre>
<p>Les fichiers suivants ont &eacute;t&eacute; utilis&eacute;s pour
configurer PAM pour qu'il assure l'authentification LDAP. Ces
fichiers ont &eacute;t&eacute; g&eacute;n&eacute;r&eacute;s par
l'utilitaire de configuration de RedHat.</p>
<p><tt class="FILENAME">/etc/pam.d/system-auth</tt> a
&eacute;t&eacute; cr&eacute;&eacute; et ressemble &agrave;
ceci&nbsp;:</p>
<pre class="PROGRAMLISTING">
      #%PAM-1.0
      # This file is auto-generated.
      # User changes will be destroyed the next time authconfig is run.
      auth        required      /lib/security/pam_env.so
      auth        sufficient    /lib/security/pam_unix.so likeauth nullok
      auth        sufficient    /lib/security/pam_ldap.so use_first_pass
      auth        required      /lib/security/pam_deny.so

      account     required      /lib/security/pam_unix.so
      account     [default=ok user_unknown=ignore service_err=ignore \
                   system_err=ignore] /lib/security/pam_ldap.so

      password    required      /lib/security/pam_cracklib.so retry=3
      password    sufficient    /lib/security/pam_unix.so nullok use_authtok
      password    sufficient    /lib/security/pam_ldap.so use_authtok
      password    required      /lib/security/pam_deny.so

      session     required      /lib/security/pam_limits.so
      session     required      /lib/security/pam_unix.so
      session     optional      /lib/security/pam_ldap.so
</pre>
<p>Ensuite, le fichier <tt class="FILENAME">/etc/pam.d/sshd</tt> a
&eacute;t&eacute; cr&eacute;&eacute;&nbsp;:</p>
<pre class="PROGRAMLISTING">
       #%PAM-1.0
       auth       required     /lib/security/pam_stack.so service=system-auth
       auth       required     /lib/security/pam_nologin.so
       account    required     /lib/security/pam_stack.so service=system-auth
       password   required     /lib/security/pam_stack.so service=system-auth
       session    required     /lib/security/pam_stack.so service=system-auth
       #this line is added for firewall rule insertion upon login
       session    required     /lib/security/pam_iptables.so debug
       session    optional     /lib/security/pam_console.so
</pre></div>
<div class="SECT3">
<hr>
<h4 class="SECT3"><a name="NOCATAUTHSERVICE" id=
"NOCATAUTHSERVICE">Le service NoCatAuth</a></h4>
<p>Il est recommand&eacute; d'installer le service NoCatAuth sur un
autre serveur, &agrave; c&ocirc;t&eacute; de la passerelle. Un
serveur s&eacute;par&eacute; a &eacute;t&eacute; utilis&eacute;
dans mes exemples. Pour configurer un service NoCatAuth, vous aurez
besoin des logiciels suivants&nbsp;:</p>
<ol type="1">
<li>
<p>Un serveur web avec SSL activ&eacute;, de
pr&eacute;f&eacute;rence avec un certificat SSL enregistr&eacute;.
J'ai utilis&eacute; Apache avec mod_ssl.</p>
</li>
<li>
<p>Perl 5 (5.6 ou ult&eacute;rieur recommand&eacute;)</p>
</li>
<li>
<p>Les modules perl Net::LDAP, Digest::MD5, DBI et DBD::MySQL
(r&eacute;cup&eacute;rez-les &agrave; partir de CPAN). Le module
dont vous avez besoin d&eacute;pend de la source d'authentification
que vous comptez utiliser. Dans mon exemple, Net::LDAP a
&eacute;t&eacute; utilis&eacute; comme moyen
d'authentification.</p>
</li>
<li>
<p>Gnu Privacy Guard (gnupg 1.0.6 ou ult&eacute;rieur), disponible
sur http://www.gnupg.org/download.html</p>
</li>
</ol>
<p>Pour l'installer, d&eacute;compressez le fichier tar&nbsp;:</p>
<pre class="PROGRAMLISTING">
    $ tar zvxf NoCatAuth-x.xx.tar.gz
</pre>
<p>Si vous souhaitez changer le chemin o&ugrave; r&eacute;side
NoCatAuth, &eacute;ditez le Makefile et remplacez INST_PATH par le
r&eacute;pertoire souhait&eacute;.</p>
<p>Ensuite, lancez la commande&nbsp;: <b class="COMMAND">make
authserv</b> . Cela installe tout dans /usr/local/nocat ou le
r&eacute;pertoire que d&eacute;signe INST_PATH.</p>
<p>Ensuite, lancez <b class="COMMAND">make pgpkey</b> . Les valeurs
par d&eacute;faut conviennent pour la plupart des usages.
IMPORTANT&nbsp;: n'entrez PAS de phrase (passphrase)&nbsp;! Sinon,
vous obtiendrez des messages &eacute;tranges lorsque le service
auth essaiera de crypter les messages et essaiera de lire votre
phrase &agrave; partir d'un terminal tty inexistant.</p>
<p>Editez <tt class="FILENAME">/usr/local/nocat/nocat.conf</tt>
pour l'adapter &agrave; votre situation. Voici un
exemple&nbsp;:</p>
<pre class="PROGRAMLISTING">
    ###### authserv.conf -- NoCatAuth Authentication Service Configuration.
    #
    # Format of this file is: Directive Value, one per
    #   line. Trailing and leading whitespace is ignored. Any
    #   line beginning with a punctuation character is assumed to
    #   be a comment.

    Verbosity       10
    HomePage        http://www.itlab.musc.edu/
    DocumentRoot    /usr/local/nocat/htdocs
    # LDAP source
    DataSource LDAP
    LDAPHost authldap.musc.edu
    LDAPBase dc=musc,dc=edu

    UserTable       Member
    UserIDField     User
    UserPasswdField Pass
    UserAuthField   Status
    UserStampField  Created

    GroupTable      Network
    GroupIDField    Network
    GroupAdminField Admin
    MinPasswdLength 8
    
    # LocalGateway -- If you run auth service on the same subnet 
    #   (or host) as the gateway you need to specify the hostname 
    #   of the gateway. Otherwise omit it.  (Requires Net::Netmask)
    #
    # LocalGateway    192.168.1.7

    LoginForm       login.html
    LoginOKForm     login_ok.html
    FatalForm       fatal.html
    ExpiredForm     expired.html
    RenewForm       renew.html
    PassiveRenewForm renew_pasv.html
    RegisterForm    register.html
    RegisterOKForm  register_ok.html
    RegisterFields  Name URL Description

    UpdateForm      update.html
    UpdateFields    URL Description

    ###### Auth service user messages. Should be self-explanatory.
    #
    LoginGreeting   Greetings! Welcome to the Medical University of SC's Network.
    LoginMissing    Please fill in all fields!
    LoginBadUser    That e-mail address is unknown. Please try again.
    LoginBadPass    That e-mail and password do not match. Please try again.
    LoginBadStatus  Sorry, you are not a registered co-op member.

    RegisterGreeting    Welcome! Please enter the following information to register.
    RegisterMissing     Name, E-mail, and password fields must be filled in.
    RegisterUserExists  Sorry, that e-mail address is already taken. Are you already registered?
    RegisterBadUser     The e-mail address provided appears to be invalid. Did you spell it correctly?
    RegisterInvalidPass All passwords must be at least six characters long.
    RegisterPassNoMatch The passwords you provided do not match. Please try again.
    RegisterSuccess     Congratulations, you have successfully registered.

    UpdateGreeting      Enter your E-mail and password to update your info.
    UpdateBadUser       That e-mail address is unknown. Please try again.
    UpdateBadPass       That e-mail and password do not match. Please try again.
    UpdateInvalidPass   New passwords must be at least eight characters long.
    UpdatePassNoMatch   The new passwords you provided do not match. Please try again.
    UpdateSuccess       Congratulations, you have successfully updated your account.
    
</pre>
<p>Assurez-vous que le r&eacute;pertoire /usr/local/nocat/pgp
appartient &agrave; l'utilisateur du serveur web
(c'est-&agrave;-dire nobody ou www-data).</p>
<p>Ajoutez etc/authserv.conf &agrave; votre fichier apache
<tt class="FILENAME">httpd.conf</tt>.</p>
<pre class="PROGRAMLISTING">
 Include /usr/local/nocat/etc/authserv.conf
</pre>
<p>Copiez votre /usr/local/nocat/trustedkeys.pgp sur la passerelle.
Relancez Apache et essayez. Merci de vous reporter &agrave; la
documentation de NoCatAuth pour plus d'informations. Elle est
disponible dans le r&eacute;pertoire docs/ de l'archive NoCatAuth
d&eacute;compress&eacute;e.</p>
</div>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="DNSSETUP" id="DNSSETUP">Configuration du
DNS</a></h3>
<p>J'ai install&eacute; la version par d&eacute;faut de Bind
fournie avec RedHat 7.1 et le paquetage RPM du serveur de noms
cache. Le serveur DHCP indique aux machines du r&eacute;seau public
d'utiliser la machine passerelle comme serveur de noms.</p>
</div>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="USAGE" id="USAGE">Utiliser la passerelle
d'authentification</a></h2>
<p>Pour utiliser la passerelle d'authentification, configurez votre
machine client pour l'usage du DHCP. Installez un client ssh sur la
machine et connectez-vous avec ssh sur la passerelle. Une fois
connect&eacute;, vous aurez acc&egrave;s au r&eacute;seau interne.
Ce qui suit est une session exemple &agrave; partir d'un client
unix&nbsp;:</p>
<pre class="PROGRAMLISTING">
 bash&gt;ssh zornnh@10.0.1.1
 zornnh's Password:
 
 gateway&gt;
</pre>
<p>Aussi longtemps que vous restez connect&eacute;, vous y aurez
acc&egrave;s. Une fois d&eacute;connect&eacute;, l'acc&egrave;s
sera ferm&eacute;.</p>
<p>Pour utiliser la passerelle d'authentification avec NoCatAuth,
configurez votre machine client pour l'usage du DHCP. Installez un
navigateur web tel que Mozilla. Lancez le navigateur web qui devra
&ecirc;tre redirig&eacute; sur l'&eacute;cran
d'authentification.</p>
<div class="MEDIAOBJECT">
<p><img src=
"images/Authentication-Gateway-HOWTO/nocat_auth.jpg"></p>
<div class="CAPTION">
<p>Connexion &agrave; partir de Nocat</p>
</div>
</div>
Indiquez votre nom d'utilisateur et votre mot de passe. Une
fen&ecirc;tre s'ouvrira pour vous expliquer que vous &ecirc;tes
authentifi&eacute; sur le r&eacute;seau et que vous devez conserver
la fen&ecirc;tre ouverte pour le rester. Cliquez sur logout ou
fermez la fen&ecirc;tre pour terminer la session.
<div class="MEDIAOBJECT">
<p><img src=
"images/Authentication-Gateway-HOWTO/nocat_auth_in.jpg"></p>
<div class="CAPTION">
<p>Fen&ecirc;tre d'authentification</p>
</div>
</div>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="REMARKS" id="REMARKS">Remarques de
conclusion</a></h2>
<ul>
<li>
<p>Cette m&eacute;thode de s&eacute;curisation ne d&eacute;pend pas
de la s&eacute;curit&eacute; apport&eacute;e par la
communaut&eacute; du r&eacute;seau sans-fil. Elle part du principe
que le r&eacute;seau sans-fil dans son int&eacute;gralit&eacute;
est non s&eacute;curis&eacute; et situ&eacute; en dehors de votre
r&eacute;seau.</p>
</li>
<li>
<p>La passerelle ne crypte pas le trafic. Elle vous permet
seulement d'acc&eacute;der au r&eacute;seau situ&eacute;
derri&egrave;re elle. Si vous d&eacute;sirez le cryptage et
l'authentification, vous devriez utiliser un VPN.</p>
</li>
</ul>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="RESOURCE" id="RESOURCE">Ressources
suppl&eacute;mentaires</a></h2>
<ul>
<li>
<p>Un <a href=
"http://www.nas.nasa.gov/Groups/Networks/Projects/Wireless/index.html"
target="_top">document</a> d&eacute;crivant l'impl&eacute;mentation
d'une passerelle d'authentification &agrave; la NASA.</p>
</li>
<li>
<p>Un <a href="http://www.ualberta.ca/~beck/authgw.html" target=
"_top">livre blanc</a> d&eacute;crivant comment l'Universit&eacute;
d'Alberta a cr&eacute;&eacute; une passerelle
d'authentification.</p>
</li>
<li>
<p><a href="http://nocat.net" target="_top">Nocat.net</a> a une
passerelle d'authentification pour les r&eacute;seaux sans-fil. Ce
logiciel dispose d'un client web.</p>
</li>
<li>
<p><a href=
"http://www.cs.utexas.edu/users/mcguire/software/horatio/" target=
"_top">Horatio&nbsp;: Authenticated Network Access</a> est un outil
pare-feu d'authentification. Leur id&eacute;e&nbsp;: les
utilisateurs l&eacute;gitimes veulent attacher des portables et
autres h&ocirc;tes mobiles au r&eacute;seau, mais la
s&eacute;curit&eacute; demande que les utilisateurs
ill&eacute;gitimes n'aient ni la possibilit&eacute;
d'acc&egrave;der au r&eacute;seau interne et
s&eacute;curis&eacute;, ni celle d'abuser d'Internet.</p>
</li>
</ul>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="FAQ" id="FAQ">Questions et
r&eacute;ponses</a></h2>
<p>C'est juste un rassemblement de toutes les questions les plus
courantes &agrave; ma connaissance. Apportez-moi un retour
d'informations pour que je puisse transformer cette section en une
vrai FAQ.</p>
<ol type="1">
<li>
<p>Pourquoi les r&egrave;gles d'iptables ne sont-elles pas
supprim&eacute;es quand un client quitte une fen&ecirc;tre
telnet&nbsp;? Cela fonctionne si le client se d&eacute;connecte de
la session telnet. Dans le cas de ssh, les r&egrave;gles sont
m&ecirc;me supprim&eacute;es si la fen&ecirc;tre ssh est
ferm&eacute;e.</p>
<p>Je ne suis pas encore arriv&eacute; &agrave; une bonne
r&eacute;ponse ou &agrave; une solution correcte &agrave; ce
probl&egrave;me. Logu a apport&eacute; quelques modifications
&agrave; pam_iptables et a cr&eacute;&eacute; un ensemble d'autres
outils pour r&eacute;soudre ce probl&egrave;me. Ces outils peuvent
&ecirc;tre trouv&eacute;s dans le r&eacute;pertoire <a href=
"http://www.itlab.musc.edu/~nathan/pam_iptables/contrib" target=
"_top">contrib</a> avec pam_iptables.</p>
</li>
<li>
<p>Pourquoi NoCat ne fonctionne-t'il pas avec IE6&nbsp;? Il semble
faire l'authentification mais n'&eacute;crit pas la r&egrave;gle du
pare-feu.</p>
<p>Assurez-vous que votre html nocat contient ce qui suit&nbsp;:
&lt;meta http-equiv="Refresh" content="$redirect"/&gt;</p>
<p>Les fichiers html qui contiennent ce metatag sont login_ok.html,
renew.html, et renew_pasv.html.</p>
</li>
</ol>
</div>
<div class="SECT1">
<hr>
<h2 class="SECT1"><a name="ADAPTATION-FRANCAISE" id=
"ADAPTATION-FRANCAISE">Adaptation fran&ccedil;aise</a></h2>
<div class="SECT2">
<h3 class="SECT2"><a name="AEN295" id="AEN295">Traduction</a></h3>
<p>La traduction fran&ccedil;aise de ce document a
&eacute;t&eacute; r&eacute;alis&eacute;e par Guillaume Lelarge
<code class="EMAIL">&lt;<a href=
"mailto:gleu@wanadoo.fr">gleu@wanadoo.fr</a>&gt;</code>.</p>
</div>
<div class="SECT2">
<hr>
<h3 class="SECT2"><a name="AEN299" id="AEN299">Relecture</a></h3>
<p>La relecture de ce document a &eacute;t&eacute;
r&eacute;alis&eacute;e par Guillaume Hatt <code class=
"EMAIL">&lt;<a href=
"mailto:ghatt@netcourrier.com">ghatt@netcourrier.com</a>&gt;</code>.</p>
</div>
</div>
</div>
</body>
</html>
doc-linux-fr-html 2013.01-3 / usr / share / doc / HOWTO / fr-html / Authentication-Gateway-HOWTO.html
