Kerberos认证原理及基于Kerberos认证的NFS文件共享

目录
  • Kerberos认证原理

    • 简介
    • client访问server过程

      • 一、Authentication Service Exchange (AS Exchange)
      • 二、Ticket Granting Service Exchange (TGS Exchange)
      • 三、Client/Server Exchange (C/S Exchange)
  • 配置基于Kerberos认证的NFS文件共享

    • 环境
    • 相关术语
    • Kerberos相关配置

      • 一、配置hostname
      • 二、配置KDC
      • 三、配置Server
      • 四、配置Client
    • 引入NFS

      • 一、配置NFS Server
      • 二、配置客户端
  • 总结

Kerberos认证原理

简介

kerberos是用于身份认证并且能够提供双向认证的协议,使用kerberos,客户端只需要使用一个密码就可以对Kerberos域内所有的服务器进行访问,每个服务器也不需要单独实现自己的认证系统,而是使用他们共信任的Kerberos Distribution Center(KDC)来进行认证服务,因此Kerberos系统中至少包含KDC、Client、Server这三个角色

client访问server过程

早期的Kerberos基于3个sub-protocol,通过每个sub-protocol执行的方法来梳理Client访问Server需要的认证流程

  • Long-term Key:长期保持不变的key,比如自己使用的密码,被称为Long-term Key。
  • Master Key:将Long-term Key通过哈希运算得到一个hash code,即Master Key。
  • Session Key:在一个session中有效的key

一、Authentication Service Exchange (AS Exchange)

先了解下相关术语:

  1. Authentication Service Request(KRB_AS_REQ):Client向KDC发送的请求,Client使用自己的Master Key对KRB_AS_REQ加密并发送到KDC的Authentication Service(AS),KRB_AS_REQ包含用于证明自己身份的信息(Pre-authentication data)、Client info、TGS name
  2. Authentication Service(AS):KDC的一个服务,可以简单理解为验证Client是否是真的Client,如果是返回KRB_AS_REP
  3. Authentication Service Response(KRB_AS_REP):KDC应答Client的KRB_AS_REQ,KRB_AS_REP包括使用Client的Master Key加密过的Session Key(SKDC-Client)和KDC自己的Master Key加密的TGT
  4. Ticket Granting Ticket(TGT):TGT像是一张凭证,有了这张凭证Client就可以向KDC申请访问Realm中所有Server,拿到访问Server的票之后,就可以跟Server建立通信,TGT包含SKDC-Client、Client info、TGT的到期时间

执行流程如下:

  1. Client向KDC发送KRB_AS_REQ
  2. AS收到KRB_AS_REQ从Database中取出Client的Master Key解密认证
  3. 认证通过后发送KRB_AS_REP到Client
  4. Client收到KRB_AS_REP,包含Client加密的Session Key(SKDC-Client),TGT,使用自己的Master Key解密即可得到SKDC-Client

流程图如下:

Kerberos认证原理及基于Kerberos认证的NFS文件共享插图

二、Ticket Granting Service Exchange (TGS Exchange)

相关术语:

  1. TGS(Ticket Granting Service):KDC的一个服务,简单理解为验证TGT与Client的真实性,验证通过后像Client返回KRB_TGS_REP
  2. Ticket Granting Service Request(KRB_TGS_REQ):客户端向KDC发出访问Server的请求,KRB_TGS_REQ中包含了TGT、证明TGT的拥有者就是Client自己的信息(Authenticator)、Client info、Server info
  3. Authenticator:在Kerberos中,Authenticator是关于Client的一些信息和当前的一个timestamp
  4. Ticket Granting Service Response(KRB_TGS_REP):TGS验证通过后向Client发送的应答,KRB_TGS_REP中包括:
    • Client与Server的Session Key(SServer-Client),并将SServer-Client使用SKDC-Client加密
    • 使用Server的Master Key进行加密的Ticket(用来访问Server的票),该Ticket中包含SServer-Client、Client info、Ticket的到期信息

执行流程如下:

  1. 在AS Exchange中我们知道,Client此时拥有SKDC-Client(client与KDC的session key)与TGT,Client生成自己的Authenticator并使用SKDC-Client进行加密,与TGT一同发送到KDC,即KRB_TGS_REQ
  2. KDC接到KRB_TGC_REQ之后,使用KDC自己的Master Key对TGT进行解密(在AS Exchange提到KRB_AS_REP中的TGT是KDC的Master Key加密的)得到Client Info与SKDC-Client,然后使用这个SKDC-Client解密Authenticator获得Client info,校验两个Client info,验证通过则生成Client要访问的server的Ticket给Client(此时Client拿到了访问Server的票),即向Client发送KRB_TGS_REP
  3. Client收到KRB_TGS_REP后使用SKDC-Client解密得到Client与Server的session key(SServer-Client),此时Client就可以带着SServer-Client与被Server的Master Key加密的Ticket与Server通信了,无需再有KDC的介入

流程图如下:

Kerberos认证原理及基于Kerberos认证的NFS文件共享插图(1)

三、Client/Server Exchange (C/S Exchange)

相关术语:

  1. Application Service Request(KRB_AP_REQ):客户端向服务器发出请求,KRB_AP_REQ包括证明TGS的拥有者就是Client自己的信息(Authenticator)、Ticket、用于表示Client是否需要双向认证的Flag
  2. Mutual Authentication(双向认证):Server可以对Client进行认证,Client同样可以对Server进行认证,如果KRB_AP_REQ中包含需要对Server认证的Flag,Server则会提取Authenticator中的timestamp并使用SServer-Client加密后发回给Client,Client解密后对比timestamp相同则认证成功

执行流程:

  1. 在TGS Exchange中我们知道,Client此时拥有SServer-Client和使用Server的Master Key进行加密的Ticket,创建Authenticator并使用SServer-Client加密
  2. 向Server发送Ticket与Authenticator,即KRB_AP_REQ,如果需要进行双向认证则添加Flag
  3. Server使用自己的Master Key解密Ticket,得到SServer-Client,通过SServer-Client解密Authenticator验证Client,验证成功则建立通信,允许该Client访问资源。如果KRB_AP_REQ中包含双向认证Flag,Server还需再向Client证明自己的身份

流程图如下:

Kerberos认证原理及基于Kerberos认证的NFS文件共享插图(2)

传统的Kerberos认证流程梳理完毕,目前使用较广的增加了User2User这个sub-protocol,可以简单理解为Server也需要获得TGT,并且使用带有过期时间的Short-term Key进行加密,因为传统的Kerberos使用Server的Master Key加密传输数据,这样的做法存在安全隐患

接下来配置Client访问NFS Server,并通过Kerberos进行认证

配置基于Kerberos认证的NFS文件共享

Centos配置可参考:https://blog.csdn.net/weixin_42442164/article/details/82110859

ubuntu下配置与Centos配置略有不同,而且网络上几乎没有完整的教程,所以此次我们使用Ubuntu来踩坑

环境

系统: ubuntu-16.04-server-amd64.iso,主机名与地址配置

  1. hostname:gclient.ggg.com

    ipaddress:172.17.73.111

  2. hostname:gserver.ggg.com

    ipaddress:172.17.73.112

  3. hostname:gkerberos.ggg.com

    ipaddress:172.17.73.113

相关术语

  1. Realm:可以理解为Kerberos中的域,只有在Realm中的主机才可以使用该认证,约定使用大写,如GGG.COM
  2. principal:任何需要Kerberos认证的主机都需要principal,例如nfs/gserver.ggg.com
  3. krb5.keytab:从KDC database中提取的含有Client或Server的Master Key的文件

Kerberos相关配置

一、配置hostname

Kerberos需要认证必须依赖于全称域名(FQDN),我们设置域名为ggg.com,那么FQDN为hostname.ggg.com,每个主机需要一个独一无二的认证主体,因此设置不同的hostname,我们不引入DNS服务器,直接将hostname文件配置为FQDN格式,以客户端gclient为例进行配置,Server与KDC配置方法相同

  1. 配置hostname为gclient

    echo gclient.ggg.com > /etc/hostname
    hostname -F /etc/hostname
    hostname -f # 输出hostname
    
  2. 配置hosts文件,使得客户端可以识别Server与KDC的FQDN,Server与KDC同Client配置相同

    [email protected]:~# cat /etc/hosts
    127.0.0.1       localhost
    127.0.1.1       gclient
    172.17.73.111 gclient.ggg.com gclient
    172.17.73.112 gserver.ggg.com gserver
    172.17.73.113 gkerberos.ggg.com gkerberos
    
  3. ping FQDN测试三台主机互通

二、配置KDC

实验环境可以先把防火墙关掉ufw disable,否则需要让防火墙允许Kerberos服务通过

  1. 安装相关组件 apt-get install krb5-kdc krb5-admin-server

    安装完成后会弹出Kerberos的配置界面,该配置界面也可以使用命令dpkg-reconfigure krb5-kdc来打开

    填写Realm,Kerberos的Realm为大写,我们使用GGG.COM

    Kerberos认证原理及基于Kerberos认证的NFS文件共享插图(3)

    设置Kerberos server,为我们的Kerberos主机名

    Kerberos认证原理及基于Kerberos认证的NFS文件共享插图(4)

    设置Administrative server,因为我们只有一台KDC服务器,所以设置为这台Kerberos的主机名

    Kerberos认证原理及基于Kerberos认证的NFS文件共享插图(5)

  2. 创建Kerberos数据库,里面维护着认证系统中所有主机的密码

    krb5_newrealm按照提示设置密码即可

  3. 为Kerberos添加一个管理员帐号,以管理认证系统中的principal

    [email protected]:~# kadmin.local
    Authenticating as principal root/[email protected] with password.
    kadmin.local:  addprinc nfs/[email protected]
    WARNING: no policy specified for nfs/[email protected]; defaulting to no policy
    Enter password for principal "nfs/[email protected]":
    Re-enter password for principal "nfs/[email protected]":
    Principal "nfs/[email protected]" created.
    

    接下来对nfs/[email protected]打开权限,到目录/etc/krb5kdc/kadm5.acl设置

    [email protected]:~# cat /etc/krb5kdc/kadm5.acl
    # This file Is the access control list for krb5 administration.
    # When this file is edited run /etc/init.d/krb5-admin-server restart to activate
    # One common way to set up Kerberos administration is to allow any principal
    # ending in /admin  is given full administrative rights.
    # To enable this, uncomment the following line:
     */[email protected] *
    
  4. 为Server与Client创建他们的principals

    [email protected]:~# kadmin.local
    Authenticating as principal root/[email protected] with password.
    kadmin.local:  addprinc nfs/[email protected]
    WARNING: no policy specified for nfs/[email protected]; defaulting to no policy
    Enter password for principal "nfs/[email protected]":
    Re-enter password for principal "nfs/[email protected]":
    Principal "nfs/[email protected]" created.
    kadmin.local:
    kadmin.local:
    kadmin.local:  addprinc nfs/[email protected]
    WARNING: no policy specified for nfs/[email protected]; defaulting to no policy
    Enter password for principal "nfs/[email protected]":
    Re-enter password for principal "nfs/[email protected]":
    Principal "nfs/[email protected]" created.
    kadmin.local:  q
    
  5. 添加日志

    /etc/krb5.conf添加

    [logging]
        default = FILE:/var/log/krb5.log
    

    后期发现不打日志,花了好多时间查到是一个BUG,修复方法是到/lib/systemd/system/krb5-kdc.service ,将ReadWriteDirectories这一行选项最后追加一个/var/log,即ReadWriteDirectories=-/var/tmp /tmp /var/lib/krb5kdc -/var/run /run /var/log,修改完成后使用systemctl daemon-reload命令重新加载

  6. 重启服务 systemctl restart krb5-admin-server.service krb5-kdc.service

三、配置Server

  1. 安装相关组件apt-get install krb5-user,在配置界面填写的内容与Kerberos主机填写内容相同,即Server、Client与Kerberos的krb5.conf是相同的

  2. 通过我们创建的管理员帐号登录后获取Server的krb5.keytab,如下

    [email protected]:~# kadmin -p nfs/[email protected]
    Authenticating as principal nfs/[email protected] with password.
    Password for nfs/[email protected]:
    kadmin:  ktadd -k /etc/krb5.keytab nfs/[email protected]
    Entry for principal nfs/[email protected] with kvno 2, encryption type aes256-cts-hmac-sha1-96 added to keytab WRFILE:/etc/krb5.keytab.
    Entry for principal nfs/[email protected] with kvno 2, encryption type arcfour-hmac added to keytab WRFILE:/etc/krb5.keytab.
    Entry for principal nfs/[email protected] with kvno 2, encryption type des3-cbc-sha1 added to keytab WRFILE:/etc/krb5.keytab.
    Entry for principal nfs/[email protected] with kvno 2, encryption type des-cbc-crc added to keytab WRFILE:/etc/krb5.keytab.
    kadmin:  q
    
  3. 使用kinit申请TGT验证认证配置是否成功,kinit执行完成后使用klist查看凭证已拿到

    [email protected]:~# kinit -kt /etc/krb5.keytab nfs/[email protected]
    [email protected]:~# klist
    Ticket cache: FILE:/tmp/krb5cc_0
    Default principal: nfs/[email protected]
    
    Valid starting       Expires              Service principal
    08/12/2020 15:23:10  08/13/2020 01:23:10  krbtgt/[email protected]
            renew until 08/13/2020 15:23:00
    

如果这里有问题请检查hostname、hosts、krb5.conf、各个principal是否正确,krb5.keytab是否存在,还有最容易忽略的时间是否统一可以手动校准也可以使用NTP、Chrony等时间同步服务来做

四、配置Client

Client与Server的配置方法相同

  1. apt-get install krb5-user,在配置界面填写的内容与Kerberos主机填写内容相同

  2. 通过我们创建的管理员帐号登录后获取Client的krb5.keytab如下

    [email protected]:~# kadmin -p nfs/[email protected]
    Authenticating as principal nfs/[email protected] with password.
    Password for nfs/[email protected]:
    kadmin:  ktadd -k /etc/krb5.keytab nfs/[email protected]
    Entry for principal nfs/[email protected] with kvno 2, encryption type aes256-cts-hmac-sha1-96 added to keytab WRFILE:/etc/krb5.keytab.
    Entry for principal nfs/[email protected] with kvno 2, encryption type arcfour-hmac added to keytab WRFILE:/etc/krb5.keytab.
    Entry for principal nfs/[email protected] with kvno 2, encryption type des3-cbc-sha1 added to keytab WRFILE:/etc/krb5.keytab.
    Entry for principal nfs/[email protected] with kvno 2, encryption type des-cbc-crc added to keytab WRFILE:/etc/krb5.keytab.
    kadmin:  q
    
  3. 使用kinit进行认证

    [email protected]:~# kinit -kt /etc/krb5.keytab nfs/gclient.ggg.com
    klist: Bad format in credentials cache
    [email protected]:~# klist
    Ticket cache: FILE:/tmp/krb5cc_0
    Default principal: nfs/[email protected]
    
    Valid starting       Expires              Service principal
    08/12/2020 15:38:11  08/13/2020 01:38:11  krbtgt/[email protected]
            renew until 08/13/2020 15:38:11
    
    

至此Kerberos认证系统已经配置完成,接下来引入我们的具体应用NFS文件系统,同时使用kerberos进行验证

引入NFS

一、配置NFS Server

  1. 安装nfs server,apt-get install nfs-kernel-server

  2. 创建NFS挂载点mkdir /nfskrb5,并使用krb5安全认证,在/etc/exports中添加/nfskrb5 *(rw,sync,no_subtree_check,no_root_squash,sec=krb5)这一行

  3. 将创建的目录放出

     [email protected]:~# exportfs -r
     [email protected]:~# exportfs -v
    /nfskrb5        <world>(rw,wdelay,no_root_squash,no_subtree_check,sec=krb5,rw,no_root_squash,no_all_squash)
    

二、配置客户端

  1. 客户端安装相关组件apt-get install nfs-common

  2. 装完所有服务之后介意重启Client、Server、Kerberos这三台主机

  3. 使用Client进行挂载,使用mount -vvv 可以查看到挂载过程

    [email protected]:~# showmount -e gserver
    Export list for gserver:
    /nfskrb5 *
    [email protected]:~# mkdir /mnt/krb5
    [email protected]:~# mount -vvv gserver:/nfskrb5 /mnt/krb5/
    mount.nfs: timeout set for Wed Aug 12 17:52:26 2020
    mount.nfs: trying text-based options 'vers=4,addr=172.17.73.112,clientaddr=172.17.73.111'
    

    使用df -h查看发现挂载成功

    [email protected]:/mnt# df -h
    Filesystem                    Size  Used Avail Use% Mounted on
    udev                          2.0G     0  2.0G   0% /dev
    tmpfs                         396M  5.7M  390M   2% /run
    /dev/mapper/gclient--vg-root   45G  1.8G   41G   5% /
    tmpfs                         2.0G     0  2.0G   0% /dev/shm
    tmpfs                         5.0M     0  5.0M   0% /run/lock
    tmpfs                         2.0G     0  2.0G   0% /sys/fs/cgroup
    /dev/sda1                     472M  110M  338M  25% /boot
    tmpfs                         100K     0  100K   0% /run/lxcfs/controllers
    tmpfs                         396M     0  396M   0% /run/user/0
    gserver:/nfskrb5               35G  1.9G   32G   6% /mnt/krb5
    

至此基于Kerberos身份认证的NFS服务已搭建完成

总结

Kerberos认证比较复杂比较绕,所以介意先了解认证过程,然后理解下Realm、principal等配置相关的术语,再开始配置。

配置时需要注意一下几点:

  • FQDN的设置是否正确,Kerberos是基于域名来做认证的
  • Kerberos对时间差很敏感,Kerberos服务器、Client、Server之间要保持时间一样,如果长时间使用介意配置时间同步的相关服务
  • 在添加principal的时候格式是否有误,可在kadmin状态下通过list_principals命令查看
  • 生成krb5.keytab的时候不要将Client与Server的搞混
  • 配置完成后记得重启相关的服务,在最后如果挂载报错可尝试重启主机

参考文档
https://help.ubuntu.com/community/NFSv4Howto
https://help.ubuntu.com/community/Kerberos
https://blog.csdn.net/wulantian/article/details/42418231
《ubuntu-server-guide》,通过百度网盘分享该文档:
链接:https://pan.baidu.com/s/1vByL6xSP010wtB5vKRA-8Q
提取码:tf9v

本站资源均源自网络,若涉及您的版权、知识产权或其他利益,请附上版权证明邮件告知。收到您的邮件后,我们将在72小时内删除。
若下载资源地址错误或链接跳转错误请联系站长。站长q:770044133。

» Kerberos认证原理及基于Kerberos认证的NFS文件共享

发表评论

免登录下载网,提供全网最优质的资源集合!