HOWTO Passerelle d'Authentification

Nathan Zorn

           
        

Historique des versions
Version 0.06 2002-11-05 Revu par�: nhz
Version 0.05 2002-05-10 Revu par�: nhz
Version 0.04 2002-02-28 Revu par�: nhz
Version 0.03 2001-09-28 Revu par�: nhz
Version 0.02 2001-09-28 Revu par�: KET
Version 0.01 2001-09-06 Revu par�: nhz

Beaucoup se sentent concern�s par la s�curit� des r�seaux sans-fil et des aires d'acc�s public telles que les biblioth�ques et les dortoirs. Les impl�mentations actuelles de s�curit� ne r�pondent pas � ces interrogations. Une r�ponse est propos�e par l'utilisation d'une passerelle d'authentification. Cette passerelle r�ponds aux probl�mes de s�curit� en for�ant l'utilisateur � s'authentifier pour pouvoir utiliser le r�seau.


Introduction

Avec les r�seaux sans-fil et les aires d'acc�s publics, il est tr�s facile pour un utilisateur non autoris� d'acc�der au r�seau. Les utilisateurs non autoris�s peuvent chercher un signal et r�cup�rer des informations de connexion � partir de ce signal. Ils peuvent brancher leur machine sur un terminal public et obtenir l'acc�s au r�seau. Des �l�ments de s�curit� ont �t� mis en place, comme WEP, mais cette s�curit� peut �tre franchie avec des outils comme AirSnort. Une approche pour r�soudre ces probl�mes est de ne pas se reposer sur les fonctionnalit�s de s�curit� des sans-fil, et d'installer � la place une passerelle d'authentification devant le r�seau sans-fil ou les aires d'acc�s public, ce qui permet de forcer les utilisateurs � s'authentifier avant d'utiliser le r�seau. Ce HOWTO d�crit comment mettre en place cette passerelle avec Linux.


Informations de Copyright

Ce document dispose d'un copyright © 2001 Nathan Zorn. Il vous est autoris� de copier, distribuer et/ou modifier ce document sous les termes de la licence GNU Free Documentation License, Version 1.1 ou toute version ult�rieure publi�e par la Free Software Foundation  avec les sections inalt�rables suivantes : texte de premi�re page de couverture, texte de derni�re page de couverture. Une copie de la licence est disponible sur http://www.gnu.org/copyleft/fdl.html

Si vous avez des questions, merci de contacter


Disclaimer

Aucune responsabilit� pour le contenu de ce document ne sera accept�e. Utilisez les concepts, exemples et autre contenu � vos risques et p�rils. Comme il s'agit d'une nouvelle �dition de ce document, il peut y avoir des erreurs et des inexactitudes, qui peuvent endommager votre syst�me. Proc�dez avec prudence et bien que les d�gats soient tr�s improbables, les auteurs n'en prennent aucune responsabilit�.

Tous les droits sont d�tenus par leurs propri�taires respectifs, sauf cas sp�cifique indiqu�. L'utilisation d'un terme dans ce document ne doit pas �tre vu comme affectant la validit� d'une marque ou d'un service.

Nommer un produit particulier ou une marque ne doit pas �tre vu comme une ill�galit�.

Il est fortement conseill� de faire une sauvegarde de votre syst�me avant toute installation majeure, et d'en faire � intervalles r�guliers.


Nouvelles Versions

La version la plus r�cente de ce document peut �tre trouv�e sur . Les HOWTOs en rapport peuvent �tre trouv�s sur le site Linux Documentation Project .


Cr�dits

Jamin W. Collins

Kristin E Thomas

Logu (visolve.com)


Retour d'informations

Le retour d'informations est vraiment bienvenu pour ce document. Sans vos soumissions, ce document n'existerait pas. Merci d'envoyer vos ajouts, commentaires et critiques � l'adresse mail suivante : .


Ce qui est n�cessaire

Cette section d�crit ce qui est n�cessaire pour installer la passerelle d'authentification.


Netfilter

La passerelle d'authentification utilise Netfilter et iptables pour g�rer le pare-feu. Consultez le HOWTO Netfilter .


Logiciel pour les r�gles dynamiques de Netfilter

Un moyen pour ins�rer et supprimer des r�gles Netfilter est d'utiliser pam_iptables. Il s'agit d'un module d'authentification ins�rable (PAM ou « pluggable authentication module ») �crit par Nathan Zorn disponible sur . Ce module PAM permet aux utilisateurs d'utiliser ssh et telnet pour s'authentifier sur la passerelle.

Un autre moyen pour supprimer et cr�er dynamiquement des r�gles Netfilter est d'utiliser NocatAuth. Il peut �tre trouv� sur . NocatAuth fournit un client web pour s'authentifier sur la passerelle.


Serveur DHCP

La passerelle d'authentification agira comme un serveur DHCP (« Dynamic Host Configuration Protocol ») pour le r�seau public. Elle sert seulement ceux qui r�clament des services DHCP sur le r�seau public. J'ai utilis� le serveur DHCP ISC.


M�canisme d'authentification

La passerelle peut utiliser tous les moyens d'authentification de PAM. L'universit� de m�decine de Caroline du Sud utilise LDAP comme m�canisme d'authentification. Comme LDAP a �t� utilis� pour l'authentification, les modules pam sur la machine passerelle ont �t� configur�s pour utiliser LDAP. D'autres informations sont disponibles sur . PAM vous permet d'utiliser beaucoup de moyens d'authentification. Merci de regarder la documentation pour le module PAM que vous souhaitez utiliser. Pour plus d'informations sur les autres m�thodes, voir les modules pam correspondants.

Si NocatAuth est utilis�, un service d'authentification a besoin d'�tre configur�. Le service d'authentification NocatAuth supporte l'authentification avec LDAP, RADIUS, MySQL et un fichier de mots de passe. Plus d'informations sur la page .


Serveur DNS

La machine passerelle sert aussi de serveur DNS pour le r�seau public. J'ai install� Bind, et je l'ai configur� comme un serveur de noms cache. Le paquetage rpm caching-nameserver a aussi �t� utilis�. Ce paquetage provient de RedHat.


Configuration des services de la passerelle

Cette section d�crit comment configurer chaque pi�ce de la passerelle d'authentification. Les exemples utilis�s concernent un r�seau public compris dans le sous-r�seau 10.0.1.0. eth0 est l'interface connect�e au r�seau interne. eth1 est l'interface connect� au r�seau public. L'adresse IP utilis�e pour cette interface est 10.0.1.1. Ces valeurs peuvent �tre chang�es pour s'int�grer au r�seau que vous utilisez. RedHat 7.1 a �t� utilis� pour la machine passerelle, donc un grand nombre d'exemples sont sp�cifiques � RedHat.


Configuration de Netfilter

Pour configurer netfilter, le noyau doit �tre recompil� pour inclure le support de netfilter. Merci de consulter le HOWTO Noyau pour plus d'informations sur la configuration et la compilation de votre noyau.

Voici � quoi ressemble la configuration de mon noyau.

   #
   # Networking options
   #
   CONFIG_PACKET=y
   # CONFIG_PACKET_MMAP is not set
   # CONFIG_NETLINK is not set
   CONFIG_NETFILTER=y
   CONFIG_NETFILTER_DEBUG=y
   CONFIG_FILTER=y
   CONFIG_UNIX=y
   CONFIG_INET=y
   CONFIG_IP_MULTICAST=y
   # CONFIG_IP_ADVANCED_ROUTER is not set
   # CONFIG_IP_PNP is not set
   # CONFIG_NET_IPIP is not set
   # CONFIG_NET_IPGRE is not set
   # CONFIG_IP_MROUTE is not set
   # CONFIG_INET_ECN is not set
   # CONFIG_SYN_COOKIES is not set


   #   IP: Netfilter Configuration
   #   
   CONFIG_IP_NF_CONNTRACK=y
   CONFIG_IP_NF_FTP=y
   CONFIG_IP_NF_IPTABLES=y
   CONFIG_IP_NF_MATCH_LIMIT=y
   CONFIG_IP_NF_MATCH_MAC=y
   CONFIG_IP_NF_MATCH_MARK=y
   CONFIG_IP_NF_MATCH_MULTIPORT=y
   CONFIG_IP_NF_MATCH_TOS=y
   CONFIG_IP_NF_MATCH_TCPMSS=y
   CONFIG_IP_NF_MATCH_STATE=y
   CONFIG_IP_NF_MATCH_UNCLEAN=y
   CONFIG_IP_NF_MATCH_OWNER=y
   CONFIG_IP_NF_FILTER=y
   CONFIG_IP_NF_TARGET_REJECT=y
   CONFIG_IP_NF_TARGET_MIRROR=y
   CONFIG_IP_NF_NAT=y
   CONFIG_IP_NF_NAT_NEEDED=y
   CONFIG_IP_NF_TARGET_MASQUERADE=y
   CONFIG_IP_NF_TARGET_REDIRECT=y
   CONFIG_IP_NF_NAT_FTP=y
   CONFIG_IP_NF_MANGLE=y
   CONFIG_IP_NF_TARGET_TOS=y
   CONFIG_IP_NF_TARGET_MARK=y
   CONFIG_IP_NF_TARGET_LOG=y
   CONFIG_IP_NF_TARGET_TCPMSS=y

Une fois que netfilter a �t� configur�, mettez en place la transmission IP (IP forwarding) en ex�cutant cette commande :

echo 1 > /proc/sys/net/ipv4/ip_forward

Pour s'assurer que la transmission ip est activ�e lors du red�marrage de la machine, ajoutez la ligne suivante dans /etc/sysctl.conf :

   net.ipv4.ip_forward = 1

Si vous allez utilis� NocatAuth, vous pouvez passer � la section Configuration de la passerelle NoCatAuth.

Iptables a besoin d'�tre install�. Pour cela, soit vous utilisez le paquetage provenant de votre distribution, soit vous l'installez � partir des sources. Une fois que les options ci-dessus ont �t� compil�es dans le nouveau noyau et qu'iptables a �t� install�, je mets en place les r�gles par d�faut du pare-feu.

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   iptables -A INPUT -i eth0 -m state --state NEW, INVALID -j DROP
   iptables -A FORWARD -i eth0 -m state --state NEW, INVALID -j DROP
   iptables -I FORWARD -o eth0 -j DROP
   iptables -I FORWARD -s 10.0.1.0/24 -d 10.0.1.1 -j ACCEPT

Les commandes ci-dessus peuvent aussi �tre plac�es dans un script d'initialisation utilis� lorsque le serveur red�marre. Pour s'assurer que les r�gles ont �t� ajout�es, tapez les commandes suivantes :

   iptables -v -t nat -L
   iptables -v -t filter -L

Pour sauvegarder ces r�gles, j'ai utilis� les scripts d'initialisation de RedHat.

   /etc/init.d/iptables save
   /etc/init.d/iptables restart

Maintenant, la machine passerelle est capable de faire de la traduction d'adresses r�seau (NAT ou Network Address Translation), mais elle laissera passer tous les paquets sauf ceux provenant de l'int�rieur du r�seau public et � destination de la passerelle.


R�gles dynamiques de Netfilter.

Cette section d�crit comment configurer le logiciel n�cessaire � l'insertion et � la suppression dynamique de r�gles Netfilter sur la passerelle.


Module iptables pour PAM

Le module de session PAM, qui ins�re les r�gles pour le pare-feu, est n�cessaire pour permettre la transmission pour le client authentifi�. Pour le configurer, r�cup�rez simplement le fichier source et compilez-le en lan�ant les commandes suivantes :

     gcc -fPIC -c pam_iptables.c
     ld -x --shared -o pam_iptables.so pam_iptables.o

Vous devez maintenant avoir deux binaires appel�s pam_iptables.so et pam_iptables.o. Copiez pam_iptables.so dans /lib/security/pam_iptables.so :

cp pam_iptables.so /lib/security/pam_iptables.so

Maintenant, installez le script pare-feu dans le r�pertoire /usr/local/auth-gw :

     mkdir /usr/local/auth-gw
     cp insFwall /usr/local/auth-gw

Le client d'authentification choisi pour la passerelle �tant ici ssh, nous avons ajout� la ligne suivante dans /etc/pam.d/sshd :

session    required     /lib/security/pam_iptables.so 

Maintenant, lorsqu'un utilisateur se connectera avec ssh, la r�gle du pare-feu sera ajout�e.

Pour savoir si le module pam_iptables fonctionne, r�alisez les �tapes suivantes :

  1. Connectez-vous sur la machine avec ssh.

  2. V�rifiez si la r�gle a �t� ajout�e avec la commande iptables -L -v.

  3. D�connectez-vous de la machine pour vous assurer que la r�gle est bien supprim�e.


Passerelle NoCatAuth

Cette section d�crit le processus de configuration de la passerelle NocatAuth. Pour la configurer, r�cup�rez le source et installez-le avec les �tapes suivantes.

Assurez-vous que gpgv est install�. gpgv est un v�rificateur de signatures PGP. Il fait partie de gnupg et peut �tre trouv� sur la page http://www.gnupg.org/download.html.

Extrayez les fichiers de l'archive tar NocatAuth :

tar xvzf NocatAuth-x.xx.tar.gz

Si vous ne voulez pas que NocatAuth soit install� dans le r�pertoire /usr/local/nocat, �ditez le Makefile et remplacez INST_PATH par le r�pertoire o� vous souhaitez que NoCatAuth soit install�.

Puis, construisez la passerelle :

     cd NoCatAuth-x.xx
     make gateway

Editez le fichier /usr/local/nocat.conf. Merci de consulter le fichier de documentation INSTALL pour les d�tails sur ce qui est requis dans le fichier de configuration. Un fichier de configuration d'exemple ressemble � ceci :

###### gateway.conf -- NoCatAuth Gateway Configuration.
     # 
     # Format of this file is: Directive Value, one per 
     # line. Trailing and leading whitespace is ignored. Any 
     # line beginning with a punctuation character is assumed to 
     # be a comment.
     
     Verbosity       10
     #we are behind a NAT so put the gateway in passive mode
     GatewayMode     Passive
     GatewayLog      /usr/local/nocat/nocat.log
     LoginTimeout    300
     
     ######Open Portal settings.
     HomePage        http://www.itlab.musc.edu/
     DocumentRoot    /usr/local/nocat/htdocs
     SplashForm      splash.html
     ###### Active/Passive Portal settings.
     TrustedGroups Any
     AuthServiceAddr egon.itlab.musc.edu
     AuthServiceURL  https://$AuthServiceAddr/cgi-bin/login
     LogoutURL       https://$AuthServiceAddr/forms/logout.html
     ###### Other Common Gateway Options.
     AllowedWebHosts egon.itlab.musc.edu
     ResetCmd        initialize.fw
     PermitCmd       access.fw permit $MAC $IP $Class 
     DenyCmd         access.fw deny $MAC $IP $Class 

Maintenant, vous devez �tre capable de lancer la passerelle. Si un probl�me survient, merci de consulter la documentation INSTALL dans le r�pertoire NoCatAuth. La commande suivante lance la passerelle :

/usr/local/nocat/bin/gateway

Configuration du serveur DHCP

J'ai install� DHCP en utilisant le fichier dhcpd.conf suivant :

subnet 10.0.1.0 netmask 255.255.255.0 {
   # --- default gateway
        option routers                  10.0.1.1;
        option subnet-mask              255.255.255.0;
        option broadcast-address        10.0.1.255;

        option domain-name-servers       10.0.1.1;      
        range   10.0.1.3 10.0.1.254;
        option time-offset              -5;     # Eastern Standard Time

        default-lease-time 21600;
        max-lease-time 43200;

    } 

Le serveur a ensuite �t� lanc� en utilisant eth1, l'interface connect�e au r�seau public :

    /usr/sbin/dhcpd eth1

Configuration de la m�thode d'authentification

L'authentification avec PAM et un service d'authentification NoCatAuth ont �t� d�crits. Les deux exemples utilisent LDAP. D'autres moyens d'authentification en dehors de LDAP peuvent �tre utilis�s. Merci de lire la documentation sur PAM et NoCatAuth pour trouver les �tapes n�cessaires pour utiliser d'autres sources d'authentification.


PAM LDAP

Comme indiqu� dans les sections pr�c�dentes, j'ai configur� cette passerelle pour utiliser LDAP comme moyen d'authentification. N�anmoins, vous pouvez utiliser tout autre moyen autoris� par PAM pour l'authentification. Voir la section intitul�e M�canisme d'authentification pour plus d'informations.

Pour obtenir l'authentification par PAM LDAP, j'ai install� OpenLDAP et je l'ai configur� avec les lignes suivantes dans /etc/ldap.conf :

# Your LDAP server. Must be resolvable without using LDAP.
     host itc.musc.edu

     # The distinguished name of the search base.
     base dc=musc,dc=edu
     ssl no

Les fichiers suivants ont �t� utilis�s pour configurer PAM pour qu'il assure l'authentification LDAP. Ces fichiers ont �t� g�n�r�s par l'utilitaire de configuration de RedHat.

/etc/pam.d/system-auth a �t� cr�� et ressemble � ceci :

      #%PAM-1.0
      # This file is auto-generated.
      # User changes will be destroyed the next time authconfig is run.
      auth        required      /lib/security/pam_env.so
      auth        sufficient    /lib/security/pam_unix.so likeauth nullok
      auth        sufficient    /lib/security/pam_ldap.so use_first_pass
      auth        required      /lib/security/pam_deny.so

      account     required      /lib/security/pam_unix.so
      account     [default=ok user_unknown=ignore service_err=ignore \
                   system_err=ignore] /lib/security/pam_ldap.so

      password    required      /lib/security/pam_cracklib.so retry=3
      password    sufficient    /lib/security/pam_unix.so nullok use_authtok
      password    sufficient    /lib/security/pam_ldap.so use_authtok
      password    required      /lib/security/pam_deny.so

      session     required      /lib/security/pam_limits.so
      session     required      /lib/security/pam_unix.so
      session     optional      /lib/security/pam_ldap.so

Ensuite, le fichier /etc/pam.d/sshd a �t� cr�� :

       #%PAM-1.0
       auth       required     /lib/security/pam_stack.so service=system-auth
       auth       required     /lib/security/pam_nologin.so
       account    required     /lib/security/pam_stack.so service=system-auth
       password   required     /lib/security/pam_stack.so service=system-auth
       session    required     /lib/security/pam_stack.so service=system-auth
       #this line is added for firewall rule insertion upon login
       session    required     /lib/security/pam_iptables.so debug
       session    optional     /lib/security/pam_console.so

Le service NoCatAuth

Il est recommand� d'installer le service NoCatAuth sur un autre serveur, � c�t� de la passerelle. Un serveur s�par� a �t� utilis� dans mes exemples. Pour configurer un service NoCatAuth, vous aurez besoin des logiciels suivants :

  1. Un serveur web avec SSL activ�, de pr�f�rence avec un certificat SSL enregistr�. J'ai utilis� Apache avec mod_ssl.

  2. Perl 5 (5.6 ou ult�rieur recommand�)

  3. Les modules perl Net::LDAP, Digest::MD5, DBI et DBD::MySQL (r�cup�rez-les � partir de CPAN). Le module dont vous avez besoin d�pend de la source d'authentification que vous comptez utiliser. Dans mon exemple, Net::LDAP a �t� utilis� comme moyen d'authentification.

  4. Gnu Privacy Guard (gnupg 1.0.6 ou ult�rieur), disponible sur http://www.gnupg.org/download.html

Pour l'installer, d�compressez le fichier tar :

$ tar zvxf NoCatAuth-x.xx.tar.gz

Si vous souhaitez changer le chemin o� r�side NoCatAuth, �ditez le Makefile et remplacez INST_PATH par le r�pertoire souhait�.

Ensuite, lancez la commande : make authserv . Cela installe tout dans /usr/local/nocat ou le r�pertoire que d�signe INST_PATH.

Ensuite, lancez make pgpkey . Les valeurs par d�faut conviennent pour la plupart des usages. IMPORTANT : n'entrez PAS de phrase (passphrase) ! Sinon, vous obtiendrez des messages �tranges lorsque le service auth essaiera de crypter les messages et essaiera de lire votre phrase � partir d'un terminal tty inexistant.

Editez /usr/local/nocat/nocat.conf pour l'adapter � votre situation. Voici un exemple :

###### authserv.conf -- NoCatAuth Authentication Service Configuration.
    #
    # Format of this file is: Directive Value, one per
    #   line. Trailing and leading whitespace is ignored. Any
    #   line beginning with a punctuation character is assumed to
    #   be a comment.

    Verbosity       10
    HomePage        http://www.itlab.musc.edu/
    DocumentRoot    /usr/local/nocat/htdocs
    # LDAP source
    DataSource LDAP
    LDAPHost authldap.musc.edu
    LDAPBase dc=musc,dc=edu

    UserTable       Member
    UserIDField     User
    UserPasswdField Pass
    UserAuthField   Status
    UserStampField  Created

    GroupTable      Network
    GroupIDField    Network
    GroupAdminField Admin
    MinPasswdLength 8
    
    # LocalGateway -- If you run auth service on the same subnet 
    #   (or host) as the gateway you need to specify the hostname 
    #   of the gateway. Otherwise omit it.  (Requires Net::Netmask)
    #
    # LocalGateway    192.168.1.7

    LoginForm       login.html
    LoginOKForm     login_ok.html
    FatalForm       fatal.html
    ExpiredForm     expired.html
    RenewForm       renew.html
    PassiveRenewForm renew_pasv.html
    RegisterForm    register.html
    RegisterOKForm  register_ok.html
    RegisterFields  Name URL Description

    UpdateForm      update.html
    UpdateFields    URL Description

    ###### Auth service user messages. Should be self-explanatory.
    #
    LoginGreeting   Greetings! Welcome to the Medical University of SC's Network.
    LoginMissing    Please fill in all fields!
    LoginBadUser    That e-mail address is unknown. Please try again.
    LoginBadPass    That e-mail and password do not match. Please try again.
    LoginBadStatus  Sorry, you are not a registered co-op member.

    RegisterGreeting    Welcome! Please enter the following information to register.
    RegisterMissing     Name, E-mail, and password fields must be filled in.
    RegisterUserExists  Sorry, that e-mail address is already taken. Are you already registered?
    RegisterBadUser     The e-mail address provided appears to be invalid. Did you spell it correctly?
    RegisterInvalidPass All passwords must be at least six characters long.
    RegisterPassNoMatch The passwords you provided do not match. Please try again.
    RegisterSuccess     Congratulations, you have successfully registered.

    UpdateGreeting      Enter your E-mail and password to update your info.
    UpdateBadUser       That e-mail address is unknown. Please try again.
    UpdateBadPass       That e-mail and password do not match. Please try again.
    UpdateInvalidPass   New passwords must be at least eight characters long.
    UpdatePassNoMatch   The new passwords you provided do not match. Please try again.
    UpdateSuccess       Congratulations, you have successfully updated your account.
    

Assurez-vous que le r�pertoire /usr/local/nocat/pgp appartient � l'utilisateur du serveur web (c'est-�-dire nobody ou www-data).

Ajoutez etc/authserv.conf � votre fichier apache httpd.conf.

Include /usr/local/nocat/etc/authserv.conf

Copiez votre /usr/local/nocat/trustedkeys.pgp sur la passerelle. Relancez Apache et essayez. Merci de vous reporter � la documentation de NoCatAuth pour plus d'informations. Elle est disponible dans le r�pertoire docs/ de l'archive NoCatAuth d�compress�e.


Configuration du DNS

J'ai install� la version par d�faut de Bind fournie avec RedHat 7.1 et le paquetage RPM du serveur de noms cache. Le serveur DHCP indique aux machines du r�seau public d'utiliser la machine passerelle comme serveur de noms.


Utiliser la passerelle d'authentification

Pour utiliser la passerelle d'authentification, configurez votre machine client pour l'usage du DHCP. Installez un client ssh sur la machine et connectez-vous avec ssh sur la passerelle. Une fois connect�, vous aurez acc�s au r�seau interne. Ce qui suit est une session exemple � partir d'un client unix :

 bash>ssh zornnh@10.0.1.1
 zornnh's Password:
 
 gateway>

Aussi longtemps que vous restez connect�, vous y aurez acc�s. Une fois d�connect�, l'acc�s sera ferm�.

Pour utiliser la passerelle d'authentification avec NoCatAuth, configurez votre machine client pour l'usage du DHCP. Installez un navigateur web tel que Mozilla. Lancez le navigateur web qui devra �tre redirig� sur l'�cran d'authentification.

Connexion � partir de Nocat

Indiquez votre nom d'utilisateur et votre mot de passe. Une fen�tre s'ouvrira pour vous expliquer que vous �tes authentifi� sur le r�seau et que vous devez conserver la fen�tre ouverte pour le rester. Cliquez sur logout ou fermez la fen�tre pour terminer la session.

Fen�tre d'authentification


Remarques de conclusion


Ressources suppl�mentaires


Questions et r�ponses

C'est juste un rassemblement de toutes les questions les plus courantes � ma connaissance. Apportez-moi un retour d'informations pour que je puisse transformer cette section en une vrai FAQ.

  1. Pourquoi les r�gles d'iptables ne sont-elles pas supprim�es quand un client quitte une fen�tre telnet ? Cela fonctionne si le client se d�connecte de la session telnet. Dans le cas de ssh, les r�gles sont m�me supprim�es si la fen�tre ssh est ferm�e.

    Je ne suis pas encore arriv� � une bonne r�ponse ou � une solution correcte � ce probl�me. Logu a apport� quelques modifications � pam_iptables et a cr�� un ensemble d'autres outils pour r�soudre ce probl�me. Ces outils peuvent �tre trouv�s dans le r�pertoire contrib avec pam_iptables.

  2. Pourquoi NoCat ne fonctionne-t'il pas avec IE6 ? Il semble faire l'authentification mais n'�crit pas la r�gle du pare-feu.

    Assurez-vous que votre html nocat contient ce qui suit : <meta http-equiv="Refresh" content="$redirect"/>

    Les fichiers html qui contiennent ce metatag sont login_ok.html, renew.html, et renew_pasv.html.


Adaptation fran�aise

Traduction

La traduction fran�aise de ce document a �t� r�alis�e par Guillaume Lelarge .


Relecture

La relecture de ce document a �t� r�alis�e par Guillaume Hatt .