401 Unauthorized

Аннотация

В статье описывается настройка аутентификации Kerberos для web-сервера apache2 в доменах FreeIPA или ALD. В качестве примера создается одностраничный тестовый web-сайт, требующий для просмотра аутентификации Kerberos. Параметры стенда:

1. Имя домена: ipadomain0.ru;
2. Контроллер домена:
   1. Имя сервера контроллера: ipa0.ipadomain0.ru;
   1. В качестве web-сервера используется отдельный сервер, введенный в домен;
   2. Имя сервера: web.ipadomain0.ru

   Компьютер с web-сервером зарегистрирован в домене, и далее служба web-сервера разворачивается на этом компьютере. Доступ к содержимому web-сайтов может осуществляться с помощью разных браузеров, требующих отдельных настроек аутентификации. Тестирование работы созданной web-службы выполняется с помощью команды curl, настройка web-браузеров рассматривается в отдельной главе.

   Установка пакетов

   Служба web-сервера представлена в Astra Linux пакетом apache2. При установке ОС пакет apache2 по умолчанию не устанавливается, но может быть выбран для установки на этапе выбора программного обеспечения во время установки ОС.

   Только для Astra Linux Special Edition:

   Службы, устанавливаемые при установке Astra Linux Special Edition (кроме службы SSH), по умолчанию не запускаются автоматически, так как запуск не настроенных служб может создавать угрозу безопасности.
   Если пакет apache2 устанавливался при установке ОС, то после запуска ОС и выполнения настройки службы следует вручную запустить службу и разрешить автоматический запуск службы после перезагрузки:

   Если пакет apache2 не был установлен ранее, то установить его можно с помощью графического менеджера пакетов или командой:

   Для использования аутентификации Kerberos для службы apache2 в составе дистрибутивов Astra Linux имеются два пакета:

   • libapache2-mod-auth-gssapi — рекомендуется к использованию;
   • libapache2-mod-auth-kerb — устарел и не рекомендуется к использованию.
   Рекомендованный вариант (libapache2-mod-auth-gssapi):

   При установке контроллера (реплики контроллера) домена FreeIPA служба apache2 будет установлена и настроена автоматически, однако настройка аутентификации Kerberos при этом не производится.

   Настройка конфигурации apache2

   В конфигурационных файлах web-сайтов, доступ к которым предоставляется службой apache2, должны быть заданы параметры аутентификации. Пример настройки параметров:

   Создать файл /etc/apache2/sites-available/auth-kerberos.conf со следующим содержимым:
   Рекомендованный вариант. Для пакета libapache2-mod-auth-gssapi:

    ServerAdmin webmaster@localhost DocumentRoot /var/www ErrorLog $/error.log CustomLog $/access.log combined AuthType GSSAPI AuthName "test" #GssapiBasicAuth On GssapiCredStore keytab: # Включить 3 нижних параметра, если нужно кешировать сессии (настройка web-браузеров для работы с Kerberos в данной статье не рассматривается) #GssapiUseSessions On #Session On #SessionCookieName myapp_web_gssapi_session path=/my_url;httponly;secure; Require valid-user 

   Полное описание параметров настройки web-сайтов доступно в документации apache2;

    ServerAdmin webmaster@localhost DocumentRoot /var/www/html/ ErrorLog $/error.log CustomLog $/access.log combined AuthType Kerberos # Имя области (realm) Керберос - имя домена ЗАГЛАВНЫМИ буквами KrbAuthRealms # Имя доменной службы, предоставляемой сервером KrbServiceName HTTP/ # Имя файла, в котором сохранены ключи доменной службы Krb5Keytab /etc/apache2/keytab KrbMethodNegotiate on KrbMethodK5Passwd off require valid-user KrbSaveCredentials on 

      
   Тестовая страница для проверки аутентификации Kerberos. Если вы видите этот текст, то аутентификация выполнена успешно.
     

   Настройка аутентификации Kerberos в домене FreeIPA

   Настройка аутентификации Kerberos в домене ALD

   Для домена ALD сценарий настройки состоит таких же операций, как сценарий для FreeIPA, и отличается только синтаксисом команд. Сценарий настройки для ALD может выглядеть так:

   На контроллере домена выполнить команды:

   keytab=»/etc/apache2/keytab»
   ald-client update-svc-keytab HTTP/`hostname` —ktfile=»$keytab»
   chown www-data «$keytab»
   chmod 644 «$keytab»

   Проверка работы аутентификации

   Созданный на этапе настройки apache2 тестовый сайт должен быть доступен по адресу http://. Далее для получения содержимого сайта используется команда curl. Особенностью работы этой команды является то, что для выполнения аутентификации Kerberos она использует имя таблицы билетов Kerberos, хранящейся в переменной окружения KRB5CCNAME. Если тестирование выполняется не от имени доменного пользователя, значение переменной окружения KRB5CCNAME должно быть установлено вручную.

   Проверка отказа в доступе:
   Попытаться прочитать содержимое web-сайта без выполнения аутентификации:

   curl http://`hostname`/auth-kerberos

   Unauthorized

   This server could not verify that you
   are authorized to access the document
   requested. Either you supplied the wrong
   credentials (e.g., bad password), or your
   browser doesn’t understand how to supply
   the credentials required.

   ---

   Apache/2.4.46 (Debian) Server at web.ipadomain0.ru Port 80

   
   curl —negotiate -u : http://`hostname`/auth-kerberos/

   Unauthorized

   This server could not verify that you
   are authorized to access the document
   requested. Either you supplied the wrong
   credentials (e.g., bad password), or your
   browser doesn’t understand how to supply
   the credentials required.

   ---

   Apache/2.4.46 (Debian) Server at web.ipadomain0.ru Port 80

   Расположение таблицы ключей зависит от выбранного способа входа (способа получения билетов Kerberos) и от установленного клиента домена. Например, возможный вариант значения, когда таблица ключей хранится в файле:

   klist
   Ticket cache: KEYRING:persistent:1000:1000
   Default principal: admin@IPADOMAIN0.RU Valid starting Expires Service principal
   03.11.2021 11:26:24 04.11.2021 11:26:22 krbtgt/IPADOMAIN0.RU@IPADOMAIN0.RU

   curl —negotiate -u : http://`hostname`/auth-kerberos/
   
   

   Тестовая страница для проверки аутентификации Kerberos.
   Если вы видите этот текст, то аутентификация выполнена успешно.

   
   

   Настройка web-браузеров

   Для работы с web-сервером, настроенным в соответствии с настоящей статьей, web-браузер пользователя должен поддерживать аутентификацию negotiate.

   Настройка web-браузера Mozilla Firefox

   Для включения аутентификации в web-браузере Mozilla Firefox в настройках, доступных по адресу about:config, необходимо указать для каких серверов доступна аутентификация negotiate. Для выполнения данной настройки в качестве значений параметра

   network.negotiate-auth.trusted-uris

   задать маски доменов или, в общем случае, разрешить использовать любые http- и https-соединения, указав, например, значения:

   При необходимости обеспечения сквозной аутентификации в браузере Mozilla Firefox в настройках в качестве значений параметра

   network.negotiate-auth.delegation-uris

   задать маски доменов, которым можно передавать данные для сквозной аутентификации. При этом в запускаемых сценариях должна быть определена переменная окружения KRB5CCNAME. Например, для сценариев php это будет выглядеть так:

   putenv("KRB5CCNAME=".$_SERVER[’KRB5CCNAME’]);

   Настройка web-браузера Konqueror

   В современных версиях браузера Konqueror поддержка аутентификации присутствует автоматически.

   Источник

   Настройка Kerberos-аутентификации для Linux

   Настройки kerberos-аутентификации под Linux отличаются в зависимости от дистрибутива. В таблице представлены пакеты, которые необходимо установить для настройки аутентификации.

   RHEL/ CentOS/ Fedora	Debian/ Ubuntu/ Astra	Alt
   krb5-workstation krb5-libs krb5-pkinit pam_krb5 sssd-krb5 sssd-krb5-common gssntlmssp	krb5-user krb5-config krb5-pkinit sssd-krb5 sssd-krb5-common gss-ntlmssp	krb5-kinit pam_krb5 sssd-krb5 sssd-krb5-common gssntlmssp

   Настройка подключения к серверу Kerberos

   Чтобы настроить подключение к серверу Kerberos, внесите изменения в файл «/etc/krb5.conf»:

   В секции [libdefaults] укажите:

   default_ccache_name = FILE:/home/%/krb5cc 
    

   default_tgs_enctypes = rc4-hmac 
    

   default_tkt_enctypes = rc4-hmac 
    

   permitted_enctypes = rc4-hmac 
    

   default_realm = название_домена_в_котором_находится_сервер_Kerberos_в_верхнем_регистре 
    

   1. Если на сервере Kerberos включено другое шифрование, тогда его нужно указать вместо rc4-hmac.
   2. Если это шифрование относится к стойким, то параметр allow_weak_crypto можно поставить в false.
   • имя_домена = имя_домена_в_верхнем_регистре
   • имя_домена_с_сточкой_впереди = имя_домена_в_верхнем_регистре
   • [domain_realm]
   • v2016.testinfomaximum.com = V2016.TESTINFOMAXIMUM.COM
   • .v2016.testinfomaximum.com = V2016.TESTINFOMAXIMUM.COM

   kinit пользователь_под_которым_будем_входить_в_систему@домен_в_верхнем_регистре 
    

   После ввода пароля создается билет Kerberos, по которому можно будет входить в систему. Билет имеет время жизни, которое можно установить в «krb5.conf» в секции [libdefaults] (например, ticket_lifetime = 24h) или при вызове kinit (добавив перед именем пользователя ключ -l от времени жизни). После истечения времени жизни билет необходимо пересоздавать командой kinit.

   При использовании стойких шифров сервер Kerberos (KDC) добавляет к паролю дополнительные символы («соль»). В качестве «соли» Kerberos использует имя домена, объединённое с именем сервера. Клиент Kerberos под Linux в качестве «соли» по умолчанию использует имя домена, объединённое с именем пользователя, под которым необходимо залогиниться. Таким образом, при использовании стойкого шифрования не удаётся наладить связь между KDC и клиентом, так как пароли оказываются разными. Чтобы избежать данной проблемы, мы советуем задать в клиенте Kerberos шифрование rca4-hmac.

   Настройки браузеров

   Firefox

   Чтобы настроить браузер Firefox:

   1. На вкладке about:config найдите все параметры со словом negotiate.
   2. Установите в true:

   network.negotiate-auth.allow-non-fqdn 
    

   network.negotiate-auth.allow-proxies 
    

   network.negotiate-auth.using-native-gsslib 
    

   Active Directory в браузере FireFox не работает со встроенной библиотекой обработки GSS-API. Инструкция по решению данной проблемы представлена на странице Настройка Kerberos-аутентификации для Firefox.

   Chrome/Chromium

   Чтобы настроить браузеры Chrome/Chromium, в директории /etc/chromium/policies/managed (или /etc/chromium-browser/policies/managed) создайте json-файл с произвольным именем (например, kerberos.json):

   Этот файл настроен на принятие любых адресов для использования Kerberos. Можно заменить «*» на конкретное доменное имя сервера.

   Вход в систему

   После создания билета и настройки браузера вход в систему осуществляется через нажатие кнопки Войти с помощью Active Directory. При этом ни имя, ни пароль дополнительно не запрашиваются (запрос пароля происходит в процессе создания билета Kerberos).

   Источник

   Читайте также:  Linux vpn server mikrotik client