telnet服务配置Kerberos的具体过程

网络 网络管理
文中我们对telnet服务配置Kerberos的具体实施步骤进行了分析和说明。那么代码比较多,希望对大家有所帮助,那么请看正文了解下内容吧。

在一些服务设置中,我们通常借助其他环境来完成一些操作工作。例如我们接下里所讲的telnet服务配置Kerberos的相关内容。在Kerberos环境中,每个Kerberos服务是由服务主体表示的。此服务主体只是普通的Kerberos主体,其持有用于解密由Kerberos服务器发送的响应的密钥。对于telnet服务也是如此,您将需要在telnet服务器上创建telnet服务主体并执行一些配置步骤。请执行下列分步步骤为telnet服务配置Kerberos。

如果您已经使用 AIX 'mkkrb5clnt' 命令配置Kerberos客户端,那么您不需要执行步骤 1 和 2。'mkkrb5clnt' 命令创建 host 服务主体并将其存储在 /var/krb5/security/keytab/<hostname>.keytab 文件中。将此文件链接到缺省 keytab 文件 /etc/krb5/krb5.keytab。

在运行telnet服务的计算机 (fsaix005.in.ibm.com) 上,创建名为“host/<FQDN_telnetd_hostname>”的telnet服务主体。对于本例,它将是“host/fsaix005.in.ibm.com”。

使用完全限定域名(Fully Qualified Domain Name,FQDN)对于此设置的正常工作非常关键。

  1. bash-2.05b# hostname  
  2. fsaix005.in.ibm.com  
  3. bash-2.05b# kadmin -p admin/admin  
  4. Authenticating as principal admin/admin with password.  
  5. Password for admin/admin@ISL.IN.IBM.COM:  
  6. kadmin:  addprinc -randkey host/fsaix005.in.ibm.com  
  7. WARNING: no policy specified for host/fsaix005.in.ibm.com@ISL.IN.IBM.COM;  
  8. defaulting to no policy. Note that policy may be overridden by  
  9. ACL restrictions.  
  10. Principal "host/fsaix005.in.ibm.com@ISL.IN.IBM.COM" created. 

将telnet服务主体添加到 keytab 文件 (/etc/krb5/krb5.keytab) 中。

  1. kadmin:  ktadd host/fsaix005.in.ibm.com  
  2. Entry for principal host/fsaix005.in.ibm.com with kvno 3, encryption type Triple DES  
  3. cbc  
  4. mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.  
  5. Entry for principal host/fsaix005.in.ibm.com with kvno 3, encryption type ArcFour  
  6. with  
  7. HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.  
  8. Entry for principal host/fsaix005.in.ibm.com with kvno 3, encryption type AES-256  
  9. CTS  mode  
  10. with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.  
  11. Entry for principal host/fsaix005.in.ibm.com with kvno 3, encryption type DES cbc  
  12. mode  
  13. with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.  
  14. Entry for principal host/fsaix005.in.ibm.com with kvno 3, encryption type AES-128  
  15. CTS mode  
  16. with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.  
  17. kadmin:  q  
  18. bash-2.05b# 

如果由于某种原因无法运行“kadmin”,则在 KDC 上创建服务主体并添加到 keytab 文件 (/etc/krb5/krb5.keytab) 中,然后将该 keytab 文件传送到运行 telnetd 的计算机(对于本例,是 fsaix005.in.ibm.com)上。

在运行telnet服务的计算机 (fsaix005.in.ibm.com) 上,运行 '/usr/krb5/bin/klist -k' 并检查条目。

  1. bash-2.05b# hostname  
  2. fsaix005.in.ibm.com  
  3. bash-2.05b# /usr/krb5/bin/klist -k  
  4. Keytab name:  FILE:/etc/krb5/krb5.keytab  
  5. KVNO Principal  
  6. ---- ---------  
  7. 3 host/fsaix005.in.ibm.com@ISL.IN.IBM.COM  
  8. 3 host/fsaix005.in.ibm.com@ISL.IN.IBM.COM  
  9. 3 host/fsaix005.in.ibm.com@ISL.IN.IBM.COM  
  10. 3 host/fsaix005.in.ibm.com@ISL.IN.IBM.COM  
  11. 3 host/fsaix005.in.ibm.com@ISL.IN.IBM.COM  
  12. bash-2.05b# 

在运行 telnet服务的计算机 (fsaix005.in.ibm.com) 上,创建新用户“vipin”,您将使用该用户远程登录到 fsaix005。更改该用户的密码。

  1. bash-2.05b# hostname  
  2. fsaix005.in.ibm.com  
  3. bash-2.05b# mkuser -R files vipin  
  4. bash-2.05b# passwd vipin  
  5. Changing password for "vipin"  
  6. vipin's New password:  
  7. Enter the new password again:  
  8. bash-2.05b# 

创建具有相同名称“vipin”的Kerberos主体。可以从Kerberos领域中的任何计算机(主 KDC 或客户机)上完成此操作。#p#

  1. bash-2.05b# hostname  
  2. fsaix005.in.ibm.com  
  3. bash-2.05b# kadmin -p admin/admin  
  4. Authenticating as principal admin/admin with password.  
  5. Password for admin/admin@ISL.IN.IBM.COM:  
  6. kadmin: ank -pw vipin vipin  
  7. WARNING: no policy specified for vipin@ISL.IN.IBM.COM;  
  8. defaulting to no policy. Note that policy may be overridden by  
  9. ACL restrictions.  
  10. Principal "vipin@ISL.IN.IBM.COM" created.  
  11. kadmin:  q  
  12. bash-2.05b# 

转到配置Kerberos 客户端的任何其他客户端计算机 (fakir.in.ibm.com) 上。运行 '/usr/krb5/bin/kinit vipin' 以获取初始Kerberos票证,如下所示:

  1. bash-2.05b# hostname  
  2. fakir.in.ibm.com  
  3. bash-2.05b# /usr/krb5/bin/kinit vipin  
  4. Password for vipin@ISL.IN.IBM.COM:  
  5. bash-2.05b# /usr/krb5/bin/klist  
  6. Ticket cache:  FILE:/var/krb5/security/creds/krb5cc_0  
  7. Default principal:  vipin@ISL.IN.IBM.COM  
  8. Valid starting ExpiresService principal  
  9. 02/16/08 04:31:41  02/17/08 04:31:39  krbtgt/ISL.IN.IBM.COM@ISL.IN.IBM.COM  
  10. bash-2.05b# 

尝试远程登录到 telnetd 计算机 (fsaix005.in.ibm.com)。如果一切顺利,系统将要求您输入密码,您将以用户“vipin”的身份登录。

下面是完成这项工作的命令:

  1. bash-2.05b# hostname  
  2. fakir.in.ibm.com  
  3. bash-2.05b#telnet-l vipin fsaix005.in.ibm.com  
  4. Trying...  
  5. Connected to fsaix005.in.ibm.com.  
  6. Escape character is '^]'.  
  7. [KerberosV5 accepts you as ``vipin@ISL.IN.IBM.COM'' ]  
  8. telnet (fsaix005.in.ibm.com)  
  9. *******************************************************************************  
  10. * *  
  11. * *  
  12. *  Welcome to AIX Version 5.3!*  
  13. * *  
  14. * *  
  15. *  Please see the README file in /usr/lpp/bos for information pertinent to*  
  16. *  this release of the AIX Operating System.  *  
  17. * *  
  18. * *  
  19. *******************************************************************************  
  20. Last unsuccessful login: Wed Feb 13 11:50:40 CST 2008 on /dev/pts/2 from  
  21. land.in.ibm.com  
  22. Last login: Fri Feb 15 12:49:06 CST 2008 on /dev/pts/3 from aixdce8.in.ibm.com  
  23. $ hostname  
  24. fsaix005.in.ibm.com  
  25. $ id  
  26. uid=237(vipin) gid=1(staff)  
  27. $ exit  
  28. Connection closed  
  29. bash-2.05b# hostname  
  30. fakir.in.ibm.com  
  31. bash-2.05b# 

完成配置Kerberos之后,现在是以Kerberos方式运行telnet所需完成的全部工作!请注意在发出telnet命令时的附加选项(位于上面突出显示的文本中)。

如果您希望检查是否确实获得telnet服务主体的票证,请在客户端上运行 /usr/krb5/bin/klist 并查看其输出。您应该看到与下面所示类似的内容:

  1. bash-2.05b# hostname  
  2. fakir.in.ibm.com  
  3. bash-2.05b# /usr/krb5/bin/klist  
  4. Ticket cache:  FILE:/var/krb5/security/creds/krb5cc_0  
  5. Default principal:  vipin@ISL.IN.IBM.COM  
  6. Valid starting ExpiresService principal  
  7. 02/16/08 04:31:41  02/17/08 04:31:39  krbtgt/ISL.IN.IBM.COM@ISL.IN.IBM.COM  
  8. 02/16/08 04:32:56  02/17/08 04:31:39  host/fsaix005.in.ibm.com@ISL.IN.IBM.COM  
  9. bash-2.05b# 

 

责任编辑:佟健 来源: csdn.net
相关推荐

2010-07-20 16:19:46

配置Telnet服务

2010-07-20 15:05:05

telnet邮件

2010-07-20 10:57:02

Telnet会话

2010-07-22 11:11:52

修改Telnet服务

2010-07-20 16:58:59

2010-06-30 15:24:04

FTP服务器配置过程

2010-07-19 17:02:23

安装Telnet服务器

2010-07-14 16:21:31

Telnet服务配置

2010-06-29 15:32:14

配置SNMP组

2010-07-19 13:28:31

配置Telnet服务

2010-07-14 14:48:57

Telnet服务器

2010-07-21 14:33:01

删除telnet

2010-07-21 17:23:04

telnet回显

2010-07-14 14:48:57

Telnet服务器

2010-07-22 13:23:46

telnet SMTP

2010-08-09 14:32:38

2010-07-21 17:19:16

2009-11-26 15:41:02

SUSE LINUX系

2010-07-14 17:43:24

Telnet Tool

2010-07-15 11:03:23

Windows Vis
点赞
收藏

51CTO技术栈公众号