Clever Geek Handbook

Active Directory認証を使用するLinux上のTACACS +

ネットワークにはこのトピックに関するさまざまなガイドがありますが、Linuxでサービスを上げて30〜60分間Active Directoryに関連付けることはできませんでした。 詳細なコメントとともに、問題を解決する独自の方法を提案します。



サービスのインストールに進みます。 使用されるOSはCentOSです。



必要なサービスパッケージをインストールする 

# yum install gcc # yum install perl-LDAP # yum install bind-utils


すべての操作は「ルート」の下で実行されます

（それぞれホームディレクトリ/ルート）



Tac Plusをインストールする 

 # yum install wget # wget http://www.pro-bono-publico.de/projects/src/DEVEL.tar.bz2 # tar xvfj ./DEVEL.tar.bz2 # cd ./PROJECTS # ./configure # make # make install


アカウンティングファイルのディレクトリを追加する 

 # mkdir /var/log/tac_plus # mkdir /var/log/tac_plus/access # mkdir /var/log/tac_plus/acct # chmod 760 -R /var/log/tac_plus/


Tac Plusをスタートアップに追加する 

 # cp /root/PROJECTS/tac_plus/extra/etc_init.d_tac_plus /etc/init.d/tac_plus # chmod 755 /etc/init.d/tac_plus # chkconfig --add tac_plus # chkconfig --level 2345 tac_plus on


スタートアップに含めることを確認します 

 # chkconfig --list | grep tac_plus


構成ファイルを編集します 

 # cp /root/PROJECTS/tac_plus/extra/tac_plus.cfg-ads /usr/local/etc/tac_plus.cfg # chmod 660 /usr/local/etc/tac_plus.cfg


!!! 構成を変更するたびに、サービスを再起動する必要があります（service tac_plus restart）

動作中の設定ファイルの例（コメントフィールドを修正した後、tac_plus.cfgの内容を置き換える必要があります） 



 #!/usr/local/sbin/tac_plus id = spawnd { listen = { port = 49 } #,   TACACS spawn = { instances min = 1 instances max = 10 } background = yes } id = tac_plus { #   access log = ">/var/log/tac_plus/access/%Y%m%d.log" accounting log = ">/var/log/tac_plus/acct/%Y%m%d.log" #     Active Directory mavis module = external { setenv LDAP_SERVER_TYPE = "microsoft" setenv LDAP_HOSTS = "ldaps://domain.name:636" #     DNS- (   nslookup).     IP  setenv LDAP_SCOPE = sub setenv LDAP_BASE = "dc=domain,dc=name" #    setenv LDAP_FILTER = "(&(objectclass=user)(sAMAccountName=%s))" setenv LDAP_USER = "aduser@domain.name" #      AD setenv LDAP_PASSWD = "passw0rd" #   #setenv AD_GROUP_PREFIX = tacacs #setenv REQUIRE_TACACS_GROUP_PREFIX = 1 #setenv USE_TLS = 0 setenv FLAG_USE_MEMBEROF = 1 exec = /usr/local/lib/mavis/mavis_tacplus_ldap.pl } login backend = mavis user backend = mavis #pap backend = mavis host = world { address = ::/0 welcome banner = "" #Crypt password generate by "openssl passwd -1 clear_text_password" enable 15 = crypt $1$eqIkg6p0$jzhK5. key = "TACACSPASSWORD" #    TACACS- } #      group = ADMIN { message = "[Admin privileges]" default service = permit service = shell { default command = permit default attribute = permit set priv-lvl = 15 } } #            group = VOIP { message = "[VoIP-admin privileges]" default service = permit service = shell { default command = permit default attribute = permit set priv-lvl = 15 cmd = interface { permit "Lo*" permit "Se*" deny .* } cmd = aaa { deny .* } cmd = username { deny .* } cmd = line { deny .* } cmd = delete { deny .* } #cmd = reload { deny .* } cmd = boot { deny .* } cmd = enable { deny .* } cmd = archive { deny .* } cmd = router { deny .* } cmd = ip { permit "address *" deny .* } cmd = tacacs-server { deny .* } cmd = radius-server { deny .* } cmd = privilege { deny .* } cmd = erase { deny .* } cmd = write { permit "memory" deny .* } cmd = format { deny .* } } } }


構成の正確さを確認します（すべてが正常であれば、何も出力されません） 

 # /usr/local/sbin/tac_plus -P /usr/local/etc/tac_plus.cfg


ADでグループを作成する

Active Directoryでは、2つのグループ（構成に基づいて）を作成する必要があります：tacacsadminとtacacsvoip。

Tac Plusは、構成内のグループに対するADで指定されたグループの比率でプレフィックス「tacacs」を切り取り、残りの文字を大文字に変換します。

したがって、tacacsadminはADMINに対応し、tacacsvoipはVOIPに対応します（設定で属性AD_GROUP_PREFIXおよびREQUIRE_TACACS_GROUP_PREFIXを使用してこの動作を変更できます）。

グループは、理由のために構成で大文字で示されます！

作成したグループにユーザーを追加します。



TACACSサービスの開始と停止 

 # service tac_plus start # service tac_plus stop # service tac_plus restart


シスコ機器のAAAサービス設定 

 tacacs server TACSRV1 !IP- tacacs- address ipv4 172.16.2.2 !    ,       key TACACSPASSWORD timeout 2 ! aaa new-model aaa group server tacacs+ TACSERVICE server name TACSRV1 aaa authentication login default group TACSERVICE local aaa authentication login CONSOLE local aaa authentication enable default group TACSERVICE enable aaa authorization config-commands aaa authorization exec default group TACSERVICE local aaa authorization exec CONSOLE local aaa authorization commands 15 default group TACSERVICE local aaa accounting commands 15 default start-stop group TACSERVICE ! line con 0 login authentication CONSOLE line vty 0 15


デバッグ手法

1. LDAPモジュールの動作を確認します（エラーなしで空の文字列を返す必要があります）。 perl-LDAPパッケージがインストールされていない場合のエラー。 

 # env LDAP_HOSTS="172.16.1.1" LDAP_SERVER_TYPE="microsoft" /usr/local/lib/mavis/mavis_tacplus_ldap.pl 2.   TACACS - LDAP.     RESULT - ACK.      ,     AD. <source lang="bash"> # /usr/local/bin/mavistest /usr/local/etc/tac_plus.cfg tac_plus TACPLUS <login> <password>


3.サービスが実行され、tcp 49でリッスンしていることを確認します 

 # netstat -nlp | grep tac_plus


4.サービスコールを表示するには 

 # tcpdump -nn port 49


5.サービスによって処理されたリクエストをデバッグする 

 # /usr/local/sbin/tac_plus -d 4088 -fp /var/run/tac_plus.pid /usr/local/etc/tac_plus.cfg


ご清聴ありがとうございました！



情報源およびサポートリンク：

http://packetroute.wordpress.com/2012/12/12/tacacs-ad-centos-free/

http://www.pro-bono-publico.de/projects/howto-tac_plus-ads.html

http://habrahabr.ru/post/194750/


More articles:


All Articles