Gestión de los clientes de red

Gestión de los clientes de red

Este capítulo trata de la configuración de un servidor DCHP, de la autenticación usando los módulos PAM así como de Linux como cliente y servidor LDAP.

Configuración DHCP

DHCP (Dynamic Host Configuration Protocol) es un protocolo cliente-servidor concebido para facilitar la gestión de grandes parques de puestos de trabajo y de equipos que utilicen direcciones IP. Permite asignar automáticamente una dirección IP y los parámetros asociados a los hosts de una red IP.

Autenticación usando PAM

Sea cual sea el sistema operativo usado, múltiples aplicaciones y servicios necesitan una identificación y una autenticación del usuario, es decir, comprobar que el usuario está autorizado a acceder a un servicio o a una aplicación, y que este usuario prueba su identidad.

Al principio, en entorno Unix, las aplicaciones y los servicios desarrollaban su propio método de identificación y de autentificación del usuario y de control de acceso. Algunos programas validaban la cuenta del usuario a partir de la base de cuentas local (/etc/passwd) y otros a partir de una base de cuentas distribuida (NIS, LDAP). Algunas aplicaciones comprobaban que la cuenta que presentaba el usuario no era la cuenta del superusuario, o al contrario que se trataba del superusuario, otras aplicaciones daban el acceso a los usuarios según que existiera o no el archivo (/etc/nologin, por ejemplo), o la declaración de su terminal en otro archivo (/etc/securettys), etc.

En las primeras versiones Unix, la contraseña estaba almacenada directamente en la línea de la cuenta del usuario, cifrada, en el archivo /etc/passwd. No obstante, como todos los usuarios debían poder acceder a este archivo en lectura, se creó un archivo específico de gestión de contraseñas, /etc/shadow, con funcionalidades suplementarias (duración mínima, máxima, etc.). Es el método implementado en Linux.

Para simplificar y racionalizar los métodos de control de acceso de las aplicaciones, se concibió una capa intermediaria, que permite a las aplicaciones y los servicios delegarle estas operaciones: PAM (Pluggable Authentication Modules). Creada por Unix, ha sido implementada en Linux.

PAM está compuesta por un conjunto de módulos de software especializados, que podemos combinar en un orden específico y según reglas precisas, a través de archivos de configuración que son asociables a las diferentes aplicaciones.

Este método permite a los administradores de sistemas configurar las reglas de control de acceso a los servicios que utilizan PAM, independientemente de los propios programas, para adaptarlos a la política de seguridad de su organización.

Configuración de un servidor OpenLDAP

LDAP (Lightweight Directory Access Protocol) es un protocolo estándar de acceso a un servicio de Aller directorio distribuido, definido por la RFC 4511. Permite juntar en un arborescencia de directorio el conjunto de datos que conciernen a los diferentes objetos de una organización (cuentas de usuario, grupos, máquinas, servicios de red, edificios, etc.), y permite a los clientes LDAP acceder a los datos a través de solicitudes normalizadas.

Linux puede ser servidor y/o cliente LDAP.

1. Generalidades

En 1988, la ITU (International Telecommunication Union, ex-CCITT) implementó una norma que cubría los diferentes elementos necesarios para proporcionar servicios de directorio electrónico, que pudieran ser utilizables a través de una red: la norma X.500, validada a continuación por la ISO (norma ISO/IEC 9594).

Esta norma era particularmente compleja, un protocolo más simple de acceso a los servicios de mensajería derivó de ella, LDAP (Lightweight Directory Access Protocol). Este protocolo a continuación fue extendido para considerar un modelo completo de directorios.

Los servicios de directorios compatibles LDAP más utilizados hoy día son Microsoft ADS (Active Directory Services), Oracle Directory Server Enterprise Edition, IBM Tivoli Directory Server y, en el mundo del software libre, OpenLDAP y Apache Directory Server.

a. Estructura y terminología

Los directorios electrónicos de tipo X.500 se basan en una estructura jerárquica, en arborescencia. 

Un directorio está compuesto por objetos, que pueden contener otros objetos opcionalmente. Los objetos de estructura se llaman contenedores y pueden ser de diferentes tipos: organización, dominio y unidad organizativa. Un objeto no estructurante se llama hoja (leaf object). Los diferentes datos asociados a un objeto son sus atributos.

Ejemplo

Directorio LDAP basado en una estructura de tipo dominio DNS.

b. Esquema

El conjunto de los tipos de objetos y de los atributos de objeto que pueden figurar en un directorio están definidos en el esquema del directorio.

El esquema de base del directorio puede ser extendido, para definir nuevos tipos de objetos o nuevos atributos para un tipo de objeto existente.

El tipo de un objeto (unidad organizativa OU, componente de dominio DC, etc.) se llama...

Uso de un cliente LDAP

Además de sus funcionalidades de cliente LDAP, para la identificación y la autenticación de los usuarios, Linux dispone de comandos que permiten interactuar con el servidor LDAP. Estos comandos se proporcionan con el paquete de software ldap-utils (Debian) o openldap-clients (Red Hat).

BASE    dc=intra,dc=es  
URI     ldap://servldap.intra.es ldap:// servldap1.intra.es:666  
HOST    servldap.intra.es 

ldapsearch [-x] - b Sufijo 

ldapsearch -x -b dc=midns,dc=es  
# extended LDIF  
#  
# LDAPv3  
# base <dc=midns,dc=es> with scope subtree  
# filter: (objectclass=*)  
# requesting: ALL  
#  
  
# midns.es  
dn: dc=midns,dc=es  
objectClass: top  
objectClass: dcObject  
objectClass: organization  ...