Добрый день!С помощью черего в linux/freebsd можно настроить авторизацию для доступа через nat с использованием telnet?
К примеру пользователь без доступа, может сделать с машины telnet server.com 259 где у него спросят его логин и пароль, после черего сервер создаст нужное правило на фаерволе.
Есть ли готовые решения, или придёться писать свой скрипт и вещать его через xinetd?
Спасибо
>[оверквотинг удален]
>с использованием telnet?
>
>К примеру пользователь без доступа, может сделать с машины telnet server.com 259
>где у него спросят его логин и пароль, после черего сервер
>создаст нужное правило на фаерволе.
>
>Есть ли готовые решения, или придёться писать свой скрипт и вещать его
>через xinetd?
>
>СпасибоПолагаю, безопасность Вас не интересует в принципе?
>[оверквотинг удален]
>>К примеру пользователь без доступа, может сделать с машины telnet server.com 259
>>где у него спросят его логин и пароль, после черего сервер
>>создаст нужное правило на фаерволе.
>>
>>Есть ли готовые решения, или придёться писать свой скрипт и вещать его
>>через xinetd?
>>
>>Спасибо
>
>Полагаю, безопасность Вас не интересует в принципе?В данный момент меня больше интересует какой продукт для этого можно использовать. Просто я видел такое на CheckPoint'е, и задумался, а можно ли так сделать на *nix. Я понимаю что телнет можно просниферить как нечего делать, но это уже другой вопрос )
Как универсальный и достаточно "безопасный" вариант мне в голову приходит только создание пользователя к примеру inetuser у которого вместо щела стоит скрипт который при успешной авторизации добавит на 60 минут правило в фаервол разрешающий доступ с ip с которого было подключение, с условием что авторизация прощла. Но в этом примере имеються два неудобства (связанные с безопасностью):
1. Клиент должен иметь программу ssh для доступа к серверу (что не всегда есть)
2. Клиент по мимо своего пароля должен ещё помнить пароль и логин inetuser/inetuser.В общей сложности такой скрипт делаеться и отлаживаеться за час.
Просто повторюсь. Интересует уже готовое решение.
>[оверквотинг удален]
>
>
>1. Клиент должен иметь программу ssh для доступа к серверу (что не
>всегда есть)
>2. Клиент по мимо своего пароля должен ещё помнить пароль и логин
>inetuser/inetuser.
>
>В общей сложности такой скрипт делаеться и отлаживаеться за час.
>
>Просто повторюсь. Интересует уже готовое решение.Насчёт готовых решений не подскажу, но предложу вариант, раз с написанием скриптов у Вас проблем нет:
Простейшая авторизация может быть реализована через https - просто и в достаточной мере безопасно. :) Скрипт авторизации делает запись в файл/базу, которая обрабатывается скриптом, вызываемым из cron'а, скажем, раз в минуту. И крутите всю эту схему как хотите, в том числе и в плане безопасности.
Это один из возможных вариантов, направление, так сказать.
Удачи!
Спасибо! ) Ещё один интересный способ
>[оверквотинг удален]
>
>Простейшая авторизация может быть реализована через https - просто и в достаточной
>мере безопасно. :) Скрипт авторизации делает запись в файл/базу, которая обрабатывается
>скриптом, вызываемым из cron'а, скажем, раз в минуту. И крутите всю
>эту схему как хотите, в том числе и в плане безопасности.
>
>
>Это один из возможных вариантов, направление, так сказать.
>
>Удачи!Вопрос - а чем не подходил VPN - есть все что вам нужно - и авторизация, после успешного прохождения которой подымаеться защещеный канал и интерфейся с маршрутами, там же в скриптах можно и правила на файрвол вешать.
т.е. авторизация - есть, безопастность(приемлимая) -есть, унивирсальность в плане клиента - есть. Зачем ара изобритать велосипед.
Вот так.
Да я так спросил. Увидил как сделано в checkpoint и подмал а как так сделать в linux. Мне по большому всё равно безопасно или нет, подходит ли в этом случае vpn или просто nat. Интересно просто чем такое можно было бы реализовать в linux/bsd.
>[оверквотинг удален]
>с использованием telnet?
>
>К примеру пользователь без доступа, может сделать с машины telnet server.com 259
>где у него спросят его логин и пароль, после черего сервер
>создаст нужное правило на фаерволе.
>
>Есть ли готовые решения, или придёться писать свой скрипт и вещать его
>через xinetd?
>
>СпасибоЧитал что такое делают с помощью PF. Называется PF-авторизация, типа юзер коннектиться по ssh'у к шлюзу, проходит авторизацию, в файрволле создаются разрешающие правила и пока открыто окно клиента SSH, инет работает...
>Читал что такое делают с помощью PF. Называется PF-авторизация, типа юзер коннектиться
>по ssh'у к шлюзу, проходит авторизацию, в файрволле создаются разрешающие правила
>и пока открыто окно клиента SSH, инет работает...Гуглим по запросу "Аутентификационный шлюз на базе authpf"
Есть это тут http://www.opennet.me/base/sec/authpf_auth.txt.html