UCS-Handbuch - Univention

10.3.4 Lokale Filterregeln durch iptables-Kommandos
10.4 Authentifizierung / PAM
Neben den vorhandenen Einstellungsmöglichkeiten über Univention Configuration Registry besteht auch
die Möglichkeit beliebige weitergehende Konfigurationen in /etc/security/netfilter.d/ zu inte-
grieren, etwa um eine Firewall oder Network Address Translation zu realisieren. Die Erweiterungen sollten
als Shell-Scripte realisiert werden, die die entsprechenden iptables-Aufrufe durchführen.
Ausführliche Dokumentation findet sich unter http://www.netfilter.org/.
10.3.5 Testen von Univention Firewall-Einstellungen
Paketfilter-Einstellungen sollten immer gründlich getestet werden. Mit dem standardmässig in Univention
Corporate Server integrierten Netzwerk-Scanner nmap kann der Zustand einzelner Ports geprüft werden:
Da Nmap weitgehende Priviligien im Netzwerk-Stack benötigt, sollte es als root-Nutzer gestartet werden.
Ein TCP-Port kann mit folgendem Befehl getestet werden:
nmap HOSTNAME -p PORT(s)
Ein UDP-Port kann mit folgendem Befehl getestet werden:
nmap HOSTNAME -sU -p PORT(s)
Beispiele:
• nmap 192.168.1.100 -p 400
• nmap 192.168.1.110 -sU -p 400-500
10.4 Authentifizierung / PAM
Authentifizierungs-Dienste werden in Univention Corporate Server durch Pluggable Authentication Mo-
dules (PAM) realisiert. Dabei werden unterschiedliche Anmeldeverfahren auf eine gemeinsame Schnitt-
stelle abgebildet, so dass eine neue Anmeldemethode keine Anpassungen an bestehenden Applikationen
benötigt.
In der PAM-Konfiguration von UCS können verschiedene Verfahren für die Authentifizierung von Benutzer-
konten verwendet werden: unix überprüft das verschleierte Passwort anhand der Datei /etc/shadow,
ldap führt einen BIND-Versuch beim LDAP-Server durch und krb5 überprüft das Passwort anhand eines
Kerberos-Keys, der ebenfalls im LDAP gespeichert wird. Daneben gibt es noch weitere Verfahren, z.B.
verwendet die Secure Shell (ssh) ein Schlüsselpaar zur Überprüfung, ob der Benutzer tatsächlich der
Benutzer ist, den er vorgibt zu ein.
In UCS reicht es normalerweise aus, wenn die Identität anhand eines dieser Verfahren überprüft wer-
den kann. Welche Verfahren verwendet werden sollen, kann über die Univention Configuration Registry-
Variable auth/admin/methods für den Administrator und über die Univention Configuration Registry-
Variable auth/user/methods für alle anderen Benutzer konfiguriert werden. Die Standardeinstellung
ist krb5 ldap unix, was alle drei Verfahren erlaubt.
245