Ingo's questions

Eu tenho uma autenticação Kerberos funcional testada kinitno Debian Buster. Agora eu tento usá-lo com PAM para login com Kerberos e instalei libpam-krb5e configurei com pam-auth-update. Mas a documentação em /usr/share/doc/libpam-krb5/README.Debian.gzanotado:

Essa configuração ainda exigirá que os usuários sejam listados em /etc/shadow, caso contrário o módulo de conta pam_unix falhará. Normalmente, as contas que devem usar apenas a autenticação Kerberos devem ser criadas com adduser --disabled-password. Se você não quiser que as contas sejam listadas em /etc/shadow (se, por exemplo, você estiver usando alguma outra fonte além de arquivos para sua configuração nsswitch), você pode marcar o módulo de conta pam_krb5 como suficiente em vez de necessário para que o pam_unix não seja executado. Isso significa que você não poderá desabilitar contas localmente.

Não quero que as contas sejam listadas localmente /etc/shadownovamente, além do banco de dados Kerberos, porque é um trabalho redundante para mim. Eu tentei um login com a configuração padrão e recebo esta falha:

Debian GNU/Linux 10 deb10-base ttyS0

deb10-base login: ingo
Password: 

Authentication failure

Em journalctlencontro para isso:

Oct 06 15:33:08 deb10-base login[374]: pam_krb5(login:auth): user ingo authenticated as [email protected]
Oct 06 15:33:08 deb10-base login[374]: pam_unix(login:account): could not identify user (from getpwnam(ingo))
Oct 06 15:33:08 deb10-base login[374]: Authentication failure

Isso é exatamente esperado da documentação citada acima. Mas não entendo o comentário onde e o que modificar os arquivos de configuração do PAM. Os arquivos de configuração atuais não correspondem à documentação.

Qual entrada em qual arquivo de configuração do PAM eu tenho que modificar de necessário para suficiente ? Há talvez outras coisas para fazer? Se possível, gostaria de preservar as seções de configuração pam-auth-update.

Atualização:
Esqueci de mencionar que iniciei pam-auth-updatee verifiquei as opções:

[*] Kerberos authentication
[*] Unix authentication
[*] Create home directory on login

Tentei desmarcar " Autenticação Unix ", mas isso torna o login inutilizável. Não consegui fazer login novamente, nem como root. Eu tive que me recuperar de um instantâneo.

Quero configurar minha autenticação Kerberos usando pesquisas de DNS para definir seus servidores. Isso pode ser feito com registros de URI no banco de dados DNS. Há um exemplo para o KDC Discovery que se parece com:

_kerberos.EXAMPLE.COM  URI  10 1 krb5srv:m:tcp:kdc1.example.com

Agora tento adicionar este registro ao banco de dados DNS com nsupdate:

~$ sudo nsupdate
> update add _kerberos.EXAMPLE.COM  URI  10 1 krb5srv:m:tcp:kdc1.example.com
ttl 'URI': not a valid number
>

Não funciona desta forma. Qual é o comando para adicionar o registro URI? Existe outra maneira de adicionar o registro ao banco de dados DNS?

Em uma instalação do Debian Buster, acabei de instalar o servidor OpenLDAP slapdcom:

~$ sudo apt install slapd ldap-utils
~$ sudo dpkg-reconfigure slapd

Em sua configuração com opções padrão, fui solicitado a fornecer um nome de organização. Eu usei em casa , então eu recebo

~$ ldapsearch -x -LLL -b dc=hoeft-online,dc=de
dn: dc=hoeft-online,dc=de
objectClass: top
objectClass: dcObject
objectClass: organization
o: home
dc: hoeft-online

dn: cn=admin,dc=hoeft-online,dc=de
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator

Agora tento adicionar uma unidade organizacional ( ou ) à organização o: homeconforme mostrado na saída, mas sem sucesso:

~$ cat add.ldif
dn: ou=posix,o=home,dc=hoeft-online,dc=de
objectClass: organizationalUnit
ou: posix

~$ ldapadd -xWD cn=admin,dc=hoeft-online,dc=de -f add.ldif
Enter LDAP Password:
adding new entry "ou=posix,o=home,dc=hoeft-online,dc=de"
ldap_add: No such object (32)
        matched DN: dc=hoeft-online,dc=de

Adicionar um ou ao domainComponent ( dc ) funciona:

~$ cat add.ldif
dn: ou=posix,dc=hoeft-online,dc=de
objectClass: organizationalUnit
ou: posix

~$ ldapadd -xWD cn=admin,dc=hoeft-online,dc=de -f add.ldif
Enter LDAP Password:
adding new entry "ou=posix,dc=hoeft-online,dc=de"

O que estou perdendo aqui? Não é possível adicionar uma unidade organizacional ( ou ) a uma organização ( o )? Se não, por quê? Onde está definido?

edit: descobri que esta é uma duplicata de Por que a resposta ARP somente quando o adaptador de rede está no modo promíscuo? .

Eu uso um Raspberry Pi 3B+ com Rasbian Stretch e o configuro com proxy arp seguindo o tutorial do Debian: Bridging Network Connections with Proxy ARP to "bridge" eth0 to wlan0. De acordo com isso, é fácil configurar o proxy arp com:

rpi3 ~# echo 1 > /proc/sys/net/ipv4/conf/all/proxy_arp
rpi3 ~# echo 1 > /proc/sys/net/ipv4/ip_forward
rpi3 ~# ip route add 192.168.10.60/32 dev eth0

192.168.10.60é o cliente em eth0 que deve ser "ligado" a wlan0.

Mas não funciona. Eu tenho que habilitar o modo promíscuo em wlan0 para fazê-lo funcionar, mas não consegui encontrar nenhuma dica para fazer isso.

rpi3 ~# ip link set wlan0 promisc on

O modo promíscuo é necessário para Stretch? Se não, como posso evitar?

atualizações:
verificado que rp_filterestá definido como 0.
hostapdnão está instalado. wlan0está no modo cliente e gerenciado por wpa_supplicant.