主页 / user-195823

Lars Hanke's questions

Martin Hope
Lars Hanke
Asked: 2023-06-06 15:13:56 +0800 CST
  • 5

我设置了一个 FreeRADIUS 服务器，其 SQL 后端在远程 MariaDB 实例上运行。身份验证和流量加密应由 Kerberos 处理，用于k5start维护票证。该系统在 Debian 11 实例上运行。

我创建了一个覆盖/etc/systemd/system/freeradius.service：

[Service]
Environment="KRB5CCNAME=/run/freeradius/sql.tkt"
ExecStartPre=/usr/bin/k5start -u radius_user -f /etc/freeradius/3.0/freeradius.keytab -o freerad -g freerad -m 600 -H 60 -b -K 30 -L -k /run/freeradius/sql.tkt

这基本上有效。然而，由于这是一项后台服务，因此很可能会k5start在某个邪恶的日子崩溃，然后在票证过期后 RADIUS 将关闭。

另一个不太关心的问题是，k5start在这种情况下以 RADIUS 用户身份运行，即密钥表必须可由 RADIUS 用户读取。我更喜欢将其作为root:root 0600.

当然，我可以k5start作为它自己的服务运行，它有一个/run/freeradius不一定存在的小美感问题，当k5start启动时，即，我必须使用另一个目录来存放票证，并且考虑到PrivateTmp=true它可能不在/tmp.

因此，对于我的理想解决方案，freeradius.service将创建/run/freeradius目录，然后启动类似 a 的内容ticket.service，然后恢复启动 RADIUS。看起来很相似BindsTo=，但还是有些不同。

是否有更好的解决方案来systemd监控k5start并重新启动它，以防它消失？

systemd
Martin Hope
Lars Hanke
Asked: 2023-01-25 01:09:14 +0800 CST
  • 5

我在 Debian 上运行 Kerberos / LDAP 用户身份验证，几十年来一直运行良好。我现在想使用笔记本电脑，可以通过有线或WiFi连接。我一直在思考如何建立这个基础设施，我不相信没有解决方案。我脑子里的羊毛球沿着这些线：

LAN 和 WiFi 的 NIC 具有不同的 MAC，因此 DHCP 将分配不同的 IP 地址。此外，LAN 和 WiFi 不应桥接，即理想情况下它们甚至在不同的网段中。因此，不同的 IP 意味着不同的 DNS 名称，即不同的密钥表条目。此外，对于远程管理ssh访问，我需要提前知道笔记本电脑当前是有线连接还是使用 WiFi。

好吧，绝对可以在每台笔记本电脑上运行它，每台笔记本电脑都有两个名称，Kerberos 主体，ssh 身份，...但是没有更方便的解决方案更面向机器而不是 NIC 吗？

我已经考虑过像 DDNS 这样的概念，但是简单地四处移动的自由似乎有些复杂。或者这是 RADIUS 应该解决的问题？

我很欣赏有关此问题的最佳实践的提示或我不会绕过人格分裂系统的经验。

domain-name-system
Martin Hope
Lars Hanke
Asked: 2022-02-04 17:00:33 +0800 CST
  • 0

我多年来一直在运行 Kerberos / LDAP 身份验证服务器。Kerberos 数据存储在 LDAP 中。现在，我有第二个站点，想将服务器镜像到新站点。这基本上有效，但有一个奇怪的副作用。每个服务器都运行一个 KDC 和一个 LDAP。KDC 使用本地 ldapi:/// 与 LDAP 对话。

如果我使用原始 KDC krb1.example.com，我可以对主 LDAP 和副本进行身份验证。如果我使用复制的 KDC krb2.example.com，我仍然可以向主 LDAP 进行身份验证，但尝试获得的副本

SASL/GSSAPI 身份验证已启动
ldap_sasl_interactive_bind_s：本地错误 (-2)
        附加信息：SASL(-1)：一般故障：GSSAPI 错误：未指定的 GSS 故障。次要代码可能提供更多信息（KDC 不支持加密类型）

这很奇怪，因为krb2实际上是 LXC 容器上的克隆，krb1即配置对于复制所需的更改是相同的安全。但更令人费解的是在尝试查询任一 LDAP 服务器后查看票证缓存。带有来自的 TGTkrb1

root@krb2:/# klist -e
票证缓存：FILE:/tmp/krb5_cc_0.tkt
默认主体：[email protected]

有效的启动过期服务主体
04.02.2022 01:05:29 04.02.2022 11:05:29 krbtgt/[email protected]
        续订至 05.02.2022 01:05:26，Etype (skey, tkt): aes256-cts-hmac-sha1-96, aes256-cts-hmac-sha1-96
04.02.2022 01:05:42 04.02.2022 11:05:29 ldap/[email protected]
        续订至 05.02.2022 01:05:26，Etype (skey, tkt): aes256-cts-hmac-sha1-96, aes256-cts-hmac-sha1-96
04.02.2022 01:05:53 04.02.2022 11:05:29 ldap/[email protected]
        续订至 05.02.2022 01:05:26，Etype (skey, tkt): aes256-cts-hmac-sha1-96, aes256-cts-hmac-sha1-96

并从krb2：

root@krb2:/# klist -e
票证缓存：FILE:/tmp/krb5_cc_0.tkt
默认主体：[email protected]

有效的启动过期服务主体
04.02.2022 00:53:45 04.02.2022 10:53:45 krbtgt/[email protected]
        续订至 05.02.2022 00:53:41，Etype (skey, tkt): aes256-cts-hmac-sha1-96, aes256-cts-hmac-sha1-96
04.02.2022 00:53:47 04.02.2022 10:53:45 ldap/[email protected]
        续订至 05.02.2022 00:53:41，Etype (skey, tkt): aes256-cts-hmac-sha1-96, aes256-cts-hmac-sha1-96

ldap/krb2.example.com由于错误，它没有条目。但显然所需的加密类型没有区别。那么，它为什么抱怨呢？

目前，两个 LDAP 服务器均指krb1. 但是由于 LDAP 复制，所有键都应该是相同的，即一个键 fromkrb1应该与 from 相同krb2，不是吗？如果密钥krb1对两个 LDAP 服务器都有效，为什么来自副本服务器的密钥只对主 LDAP 有效？

supported_enctypes因为两者的境界/etc/krb5kdc/kdc.conf都是supported_enctypes = aes256-cts:normal arcfour-hmac:normal des3-hmac-sha1:normal des-cbc-crc:normal des:normal des:v4 des:norealm des:onlyrealm des:afs3。两者中都没有 enctype 指令/etc/krb5.conf。ssf两个 LDAP 中都没有使用配置。的krbPrincipalName条目krb2存在于两个 LDAP 中。

即使我从服务票证中获取 TGT krb2，然后将其切换krb5.conf到krb1，我也可以在 LDAP 上进行身份验证krb2。

OpenLDAP 的版本为 2.4.47，两台机器上的 Kerberos 1.17（当前 Debian 稳定版）。

更新：原来复制是不完整的，即krbPrincipalKey没有（可靠地）复制。我检查了slapd调试输出：

2 月 9 日 19:14:52 krb1 slapd[19560]: conn=1300 op=3 BIND authcid="sync/[email protected]" authzid="dn:uid=sync/krb2.example.com, cn=example.com,cn=gssapi,[email protected]"
2 月 9 日 19:14:52 krb1 slapd[19560]: conn=1300 op=3 BIND dn="cn=admin,dc=example,dc=com" mech=GSSAPI sasl_ssf=256 ssf=256

所以，synprov显然绑定为cn=admin,dc=example,dc=com，这是有意的。但是，如果我这样做

root@krb1:~# ldapsearch -b 'cn=KERBEROS,dc=example,dc=com' -D 'cn=admin,dc=example,dc=com' -Wx 'krbPrincipalName=ldap/krb2.example.com@示例.COM'

然后我明白了krbPrincipalKey。那么它为什么不被复制呢？

我使用 options重新slapd启动，我知道它应该同步整个数据库。但由于有些条目有密钥而有些没有，我不相信这是真的。krb2-c rid=1,csn=0

openldap kerberos
Martin Hope
Lars Hanke
Asked: 2015-09-09 09:21:49 +0800 CST
  • 0

在 Debian 主机上，我运行 VirtualBox VM 主要是为了运行 WinX 软件。其中一些 VM 将加入 AD，因此需要固定 IP 并且可以从 LAN 访问，即 NAT 不是选项。

我考虑使用桥接网络来解决问题，但事实证明 VM 使用主机的 IP 而不是询问我的 DHCP 服务器。（或者可能它使用了主机 NIC 的 MAC，而不是分配给机器的 MAC。由于使用不正确的网络启动机器非常缓慢，我尽量保持实验的针对性。）

我想要的是虚拟机出现，因为它将与主机一起插入交换机。这太奇特了，还是有一种规范的方法来实现这一点？

networking