পুট্টি কার্বেরোস / জিএসএসপিআই প্রমাণীকরণ


9

অ্যাক্টিভ ডিরেক্টরি কার্বারোসকে আরএইচইএল 6-তে এসএসডি ব্যবহার করে প্রমাণীকরণের জন্য আমি কয়েকটি লিনাক্স সার্ভার কনফিগার করেছি। আমি পাসওয়ার্ডহীন লগইনগুলির আশায় জিএসএসএপিআই প্রমাণীকরণ সক্ষম করেছিলাম।

তবে আমি পাস্তি (0.63) কোনও পাসওয়ার্ড ছাড়াই প্রমাণীকরণ করব বলে মনে হচ্ছে না।

জিএসএসএপিআই লিনাক্স সিস্টেমগুলির মধ্যে কাজ করে (ওপেনএসএসএইচ ক্লায়েন্ট) যা জিডিএসএপিআই সক্ষম করতে .ssh / কনফিগারেশন সেটিংস ব্যবহার করে AD প্রমাণীকরণের জন্য কনফিগার করা হয়েছে।

এটি সাইগউইন (ওপেনএসএসএইচ ক্লায়েন্ট) থেকেও একইভাবে .ssh / কনফিগারেশন সেটিংস ব্যবহার করে টিকিট পাওয়ার জন্য কিনিট কমান্ড চালিয়ে কাজ করে।

এছাড়াও সাম্বা সমস্ত লিনাক্স সিস্টেমে শেয়ার করে হোম ডিরেক্টরি সহ উইন্ডোজ এক্সপ্লোরার থেকে পাসওয়ার্ডের প্রয়োজন ছাড়াই কাজ করে (আমি নিশ্চিত না যে জিএসএসএপিআই সেখানে খেলতে আসে কিনা)

আমি কী ধরণের জিনিস এটির সমস্যা সমাধানের চেষ্টা করতে পারি? আমার বেশিরভাগ ব্যবহারকারী পুট্টি ব্যবহার করেন। এছাড়াও, আমি উইন্ডোজ অ্যাডমিন নই তাই ডোমেন নিয়ন্ত্রকদের উপর আমি কিছুই করতে পারি না। আমার অ্যাকাউন্টে কেবলমাত্র AD ডোমেনে সার্ভার যুক্ত করার সুযোগ রয়েছে।


আমি পুট্টি এসএসএইচ প্যাকেট লগিং চালু করেছি। আমি এই ধরণের আকর্ষণীয় পেয়েছি, এখনও এই তথ্যটি দিয়ে কী করব তা আমি নিশ্চিত নই:

Event Log: Server version: SSH-2.0-OpenSSH_5.3
Event Log: Using SSH protocol version 2
Event Log: We claim version: SSH-2.0-PuTTY_Release_0.63
Outgoing packet #0x0, type 20 / 0x14 (SSH2_MSG_KEXINIT)
Incoming packet #0x0, type 20 / 0x14 (SSH2_MSG_KEXINIT)
Event Log: Doing Diffie-Hellman group exchange
Outgoing packet #0x1, type 30 / 0x1e (SSH2_MSG_KEX_DH_GEX_REQUEST)
Incoming packet #0x1, type 31 / 0x1f (SSH2_MSG_KEX_DH_GEX_GROUP)
Event Log: Doing Diffie-Hellman key exchange with hash SHA-256
Outgoing packet #0x2, type 32 / 0x20 (SSH2_MSG_KEX_DH_GEX_INIT)
Incoming packet #0x2, type 33 / 0x21 (SSH2_MSG_KEX_DH_GEX_REPLY)
Outgoing packet #0x3, type 21 / 0x15 (SSH2_MSG_NEWKEYS)
Event Log: Initialised AES-256 SDCTR client->server encryption
Event Log: Initialised HMAC-SHA1 client->server MAC algorithm
Outgoing raw data at 2014-11-25 00:21:08
Incoming packet #0x3, type 21 / 0x15 (SSH2_MSG_NEWKEYS)
Event Log: Initialised AES-256 SDCTR server->client encryption
Event Log: Initialised HMAC-SHA1 server->client MAC algorithm
Outgoing packet #0x4, type 5 / 0x05 (SSH2_MSG_SERVICE_REQUEST)
Incoming packet #0x6, type 51 / 0x33 (SSH2_MSG_USERAUTH_FAILURE)
...%gssapi-keyex
,gssapi-with-mic
,password.
Event Log: Using SSPI from SECUR32.DLL
Event Log: Attempting GSSAPI authentication
Outgoing packet #0x6, type 50 / 0x32 (SSH2_MSG_USERAUTH_REQUEST)
Incoming packet #0x7, type 60 / 0x3c (SSH2_MSG_USERAUTH_GSSAPI_RESPONSE)
Event Log: GSSAPI authentication initialised
Outgoing packet #0x7, type 61 / 0x3d (SSH2_MSG_USERAUTH_GSSAPI_TOKEN)
Incoming packet #0x8, type 61 / 0x3d (SSH2_MSG_USERAUTH_GSSAPI_TOKEN)
Event Log: GSSAPI authentication initialised
Event Log: GSSAPI authentication loop finished OK
Outgoing packet #0x8, type 66 / 0x42 (SSH2_MSG_USERAUTH_GSSAPI_MIC)
Incoming packet #0x9, type 51 / 0x33 (SSH2_MSG_USERAUTH_FAILURE)
...%gssapi-keyex
,gssapi-with-mic
,password.

1
এসএসএস ডেমন নাইট শো-তে দরকারী তথ্যটি ডিবাগ চালু করা। আপনি সর্বদা পরীক্ষার জন্য আলাদা বন্দরে দ্বিতীয় উদাহরণ শুরু করতে পারেন।
পল হালডেন

উত্তর:


7

অ্যাক্টিভ ডিরেক্টরি ডোমেনের অংশ হ'ল উইন্ডোজ মেশিনগুলিতে, ব্যবহারকারীরা যখন উইন্ডোজটিতে লগ ইন করেন তখন তাদের কার্বেরোস টিকিট-মঞ্জুরি টিকিট পান এবং পিটিটিওয়াই কনফিগারেশন সংযোগ | এসএসএইচ | আথ | জিএসএসপিআইতে জিএসএসপিআই প্রমাণীকরণ সক্ষম করা থাকলে প্রমাণীকরণের জন্য এটি ব্যবহার করতে সক্ষম হন (এবং অন্যান্য প্রমাণীকরণের পদ্ধতি যা এটি জিএসএসএপিআই এর আগে চেষ্টা করে, যেমন পেজেন্টের মাধ্যমে সর্বজনীন-কী সংযুক্তি | এসএসএইচ | আথে সেট আপ বা অক্ষম নয়)।

[যদি আপনারও টিকিট প্রতিনিধি দরকার হয় (যেমন, লগইনের পরে সার্ভারে কার্বারাইজড ফাইল সিস্টেমগুলি মাউন্ট করার জন্য), নিশ্চিত করুন যে জিএসএসএপিআই প্রতিনিধি পটিটিইতে সক্রিয় রয়েছে এবং আপনি যে সার্ভারগুলিতে লগইন করেছেন সেগুলি ডেলিগেশন ট্যাবে অ্যাক্টিভ ডিরেক্টরিতে চিহ্নিত রয়েছে are " কোনও কম্পিউটারে কেবল প্রতিনিধি হিসাবে এই কম্পিউটারকে বিশ্বাস করুন (কেবলমাত্র কেবলারোরোস) ", তারা ডিফল্টরূপে নয়। এডিটিতে পরবর্তী বিশ্বাস স্থাপনের জন্য আশ্চর্যজনকভাবে কেবল পিটিটিওয়াইয়ের মতো উইন্ডোজ ক্লায়েন্টের কাছ থেকে কাজ করার জন্য প্রতিনিধিদের প্রয়োজন; এটি লিনাক্স "ssh -K" ক্লায়েন্টদের জন্য প্রয়োজন হয় না]]

অ্যাক্টিভ ডিরেক্টরি ডোমেনের অংশ না স্ব-পরিচালিত (ব্যক্তিগত) উইন্ডোজ মেশিনগুলিতে, আপনি এখনও পুটিটির মাধ্যমে কার্বেরোস / জিএসএসপিআই প্রমাণীকরণ (এবং টিকিট প্রতিনিধি) ব্যবহার করতে পারেন, তবে আপনাকে টিকিটটি নিজেই পেতে হবে। দুর্ভাগ্যক্রমে, উইন্ডোজ কোনও কিনিট প্রোগ্রামের সমতুল্য (আপনার কাছে ম্যানুয়ালি একটি টিকিটের জন্য অনুরোধ করার জন্য) ইনস্টল করা আসে না এবং আপনার যদি টিকিটের অভাব হয় তবে পুটিটিওয়াই আপনার কার্বেরোস পাসওয়ার্ডের জন্য অনুরোধ জানায় না। অতএব, আপনাকে উইন্ডোজের জন্য এমআইটি কার্বেরোস ইনস্টল করতে হবেপ্যাকেজ, যার মধ্যে উভয়ই সাধারণ কিনিত / কালিস্ট / কেডেস্ট্রয় কমান্ড-লাইন সরঞ্জাম এবং পাশাপাশি একটি ঝরঝরে জিইউআই সরঞ্জাম "এমআইটি কার্বেরোস টিকিট ম্যানেজার" রয়েছে। আপনার টিকিট পেতে সেগুলি ব্যবহার করুন এবং তারপরে পটিটি স্বয়ংক্রিয়ভাবে মাইক্রোসফ্ট এসএসপিআইয়ের পরিবর্তে এমআইটি জিএসএসপিআই লাইব্রেরি ব্যবহার করবে এবং এটি সমস্ত কাজ করা উচিত। যদি "এমআইটি কার্বেরোস টিকিট ম্যানেজার" চলমান থাকে, পুটটিয়ের যখন টিকিটের প্রয়োজন হয় তখন এটি স্বয়ংক্রিয়ভাবে আপনাকে আপনার কার্বেরোস পাসওয়ার্ডের জন্য অনুরোধ জানাবে, সুতরাং এটি স্টার্টআপ ফোল্ডার থেকে লিঙ্ক করা ভাল ধারণা।


1
আমি তখন থেকে শিখেছি উইন্ডোজ আসলে এমআইটি কার্বেরোস kinitকমান্ডের এক ধরণের সমতুল্য থাকে cmdkey
মার্কাস কুহান

1
টিকিট প্রতিনিধি সক্রিয় করার বিষয়ে, আপনি যদি এমন একজন যারা বুঝতে পারেন যে অ্যাক্টিভ ডিরেক্টরিটি হুডের নীচে সত্যিই কেবল মাইক্রোসফ্ট এলডিএপিভি 3 রয়েছে: আপনি যে সার্ভার অধ্যক্ষের এলডিএপি এন্ট্রিটি ব্যবহারকারীর অ্যাকাউন্টে একটি কার্বেরোস টিকিট প্রেরণ করতে সক্ষম হতে চান তা নিশ্চিত করুন the বিট TRUSTED_FOR_DELEGATION = 0x80000 = 524288 সেট।
মার্কাস কুহান

এফওয়াইআই "যে কোনও পরিষেবার প্রতিনিধিদলের জন্য এই কম্পিউটারের উপর নির্ভর করুন (কেবলমাত্র কার্বেরোস)" কনফিগার করার বিষয়টি বিবেচনা করে, উদাহরণস্বরূপ, নিরবচ্ছিন্ন কার্বেরোস প্রতিনিধি, এটির আপনার বিবেচনা করা উচিত এমন গুরুতর নিরাপত্তা সংক্রান্ত প্রভাব রয়েছে। আমি প্রথমে adsecurity.org/?p=1667 পড়ার পরামর্শ দিই
ব্র্যাড

3

প্রথম ডাবল চেক করুন যে পুটিটিওয়াইটি চলমান উইন্ডোজ বাক্সে আপনার ক্লিস্ট আউটপুটটি একটি বৈধ টিজিটি দেখায়। তারপরে আপনার পিটিটিওয়াই সেশনের কনফিগারেশনে, নিশ্চিত করুন যে চেষ্টা করুন জিএসএসএপিআই প্রমাণীকরণ সক্রিয় রয়েছে Connection - SSH - Auth - GSSAPI। অবশেষে, নিশ্চিত হয়ে নিন যে এটি স্বয়ংক্রিয়ভাবে আপনার ব্যবহারকারীর নাম দিয়ে লগইন করতে কনফিগার হয়েছে Connection - Data। আপনি হয় স্পষ্টভাবে ব্যবহারকারীর নামটি নির্দিষ্ট করতে পারেন বা সিস্টেম ব্যবহারকারীর নাম ব্যবহারের জন্য রেডিও বোতামটি নির্বাচন করতে পারেন ।

Orতিহাসিকভাবে, পাসওয়ার্ডহীন এসএসএইচ লগইনকে কার্বেরোসের মাধ্যমে তৈরি করার জন্য আমার যা করতে হবে তা কেবল।


1
কেলিস্ট টিজিটি দেখে মনে হচ্ছে এটি আমার কাছে বোধগম্য। এটিও ফরওয়ারটেবল says এক্সপ্লোরার মতো জিনিসের জন্য কুলিস্ট 5 টি কী দেখায়। আমি লিনাক্স সার্ভারটিতে টিকে থাকার চেষ্টা করছি তার টিকিটও রয়েছে। আমি পুট্টি কনফিগারটি 100 বার পেরিয়েছি। সমস্ত অনলাইন ডকস / গাইড একই কথা বলেন তাই আমি নিশ্চিত যে অংশটি ঠিকঠাক করা আছে।
xdaxdb

3

সমস্যাটি ছিল উইন্ডোজ কার্বেরোস সেটআপে। আমি মনে করি আমাদের অ্যাক্টিভ ডিরেক্টরিটি মজাদার সেট আপ করা হয়েছে, আমি আসলে জানি না যে আমি কোনও উইন্ডোজ প্রশাসক নই।

তবে আমি উইন্ডোজ C সিএলআই-তে ksetup ব্যবহার করে কার্বারোস ম্যানুয়ালি কনফিগার করে সমস্যাটি সমাধান করেছি।

আমার রিমোট ওয়ার্কস্টেশন রিবুট করার পরে আমি আমার পিসিতে লগ ইন করতে পারিনি। কারণ এটির মূল কনফিগারেশনে আমার রিয়েল ডোমেনের টিএলডি অংশ সর্বদা অনুপস্থিত ছিল (ডোমেন \ ব্যবহারকারী) তবে আমি নিজে নিজে এটির কনফিগার করার পরে আমার সম্পূর্ণ লেনদেনের ডোমেন নাম (ডোমেন.টিএলডি reflect ব্যবহারকারী) প্রতিফলিত করার জন্য আমার লগইন ডোমেনটি পরিবর্তন করতে হয়েছিল এবং আমি আমার উইন্ডোজ পিসিতে লগ ইন করতে সক্ষম হয়েছি, যদিও এখন এটি প্রমাণীকরণ করতে আরও বেশি সময় লাগবে।

পরিবর্তনের পূর্বে কেসেটআপের আউটপুটটি কেবল আমার ডিফল্ট রাজ্যটি দেখিয়েছিল এবং এটি নিম্ন ক্ষেত্রেও ছিল।

আমি আমার রাজ্যের জন্য সমস্ত কেডিসি সার্ভার পেতে "nslookup -type = SRV _kerberos._tcp.domain.TLD" ব্যবহার করেছি।

আমি কোন পতাকা সেট না।

আমি আমার ব্যবহারকারী নাম "ksetup / mapuser user@domain.TLD ব্যবহারকারী" ম্যাপযুক্ত সেট করেছি

আমি ব্যবহৃত সংস্থানগুলি: https://wiki.ncsa.illinois.edu/display/ITS/Windows+7+erberos+Login+used+ বহিরাগত + কার্বেরোস + কেডিসি

https://www.cgl.ucsf.edu/Security/CGLAUTH/CGLAUTH.html

কারও কাছে যদি আমার কোনও পরামর্শ থাকে তবে আমি কীভাবে এটি ঠিক করতে পারি সে সম্পর্কে উইন্ডোজ অ্যাডমিন লোকদের দিতে পারি (এটি কি ভাঙা?) আমি এটি পাস করব।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.