The NetBSD Network FAQ

/etc/hosts: hosts(5) 少数のホストからなる小さなネットワークでは、 ホスト名と IP の対応を、各ホストの /etc/hosts ファイルに 手でコピーすることができるでしょう。

      192.168.1.2  host2.mydomain.org.au host2
      

正引きゾーンファイルのエントリー

      host2  IN A     192.168.1.2
      

逆引きゾーンファイルのエントリー

      2      IN PTR   host2.mydomain.org.au.
      

ピアーオプションファイル /etc/ppp/peers/myisp を作成する

      # Example pppd options
      # Specific for myisp
      /dev/tty01
      local_IP_address:remote_IP_address
      connect '/usr/sbin/chat -v -f /etc/ppp/peers/myisp.chat'
      defaultroute
      persist
      ipparam myisp
      asyncmap 0
      noauth
      

デバイスオプションファイル /etc/ppp/options.{ttyname} を作成する

      # Example pppd options
      # Specific for ttyname
      lock
      crtscts
      57600
      modem
      

チャットファイル /etc/ppp/peers/myisp.chat を作成する

      # Example chat file
      # Specific for myisp
      ABORT BUSY ABORT 'NO CARRIER' ""
      \da\ptz0 OK
      \da\ptdt8887776655 CONNECT
      

NAT マシンで、まずカーネルが ipfilter オプションが有効になっているかを 確認してください (最新の GENERIC カーネルではデフォルトで有効になっています。):

options         PFIL_HOOKS    	        # pfil(9) packet filter hooks
pseudo-device   ipfilter                # IP filter (firewall) and NAT
	

以下の内容を ipf.conf(5) に書きます:

pass in from any to any
pass out from any to any
  

以下の内容を ipnat.conf(5) に書きます:

map ppp0 10.0.0.0/24 -> 0/32 proxy port ftp ftp/tcp
map ppp0 10.0.0.0/24 -> 0/32 portmap tcp/udp 40000:60000
map ppp0 10.0.0.0/24 -> 0/32
  

/etc/rc.conf で設定を有効にします:

ipfilter=YES                                    # uses /etc/ipf.conf
ipnat=YES                                       # uses /etc/ipnat.conf
  

/etc/sysctl.conf で ipv4 パケットフォワーディングを有効にします:

net.inet.ip.forwarding=1
  

Kerberos KDC となるシステムを決めます。このシステムは安全でなければ なりません; KDC が危険に晒されると、すべての principal に被害が及びます。 この例では、この役目を mach1.foo.com に与えることにします。

KDC システムはまた、 Kerberos 管理サーバーや Kerberos パスワード変更サーバーといった役割も演じます。

KDC に関する情報を提供するためのもっとも簡単な方法は、 DNS の SRV レコードを使うことです。この場合、 FOO.COM realm でのエントリーの例は、 次のようになります:

     _kerberos._udp      IN  SRV     01 00 88 mach1.foo.com.
     _kerberos._tcp      IN  SRV     01 00 88 mach1.foo.com.
     _kpasswd._udp       IN  SRV     01 00 464 mach1.foo.com.
     _kerberos-adm._tcp  IN  SRV     01 00 749 mach1.foo.com.
     _kerberos           IN  TXT     FOO.COM
     

SRV レコードの書式については、 RFC 2782 を参照してください。 DNS による方法を使いたくなければ、この情報を realm 内の各ホストで 手動で設定することができることに注意してください。

realm 内の各システムの /etc/krb5.conf を設定します。このファイルで デフォルトの realm を指定する必要があります。 注意: Kerberos の実装によっては、これが必要ない (Kerberos が DNS の TXT レコード "_kerberos" からデフォルトの realm を知ることができる) ものもありますが、 NetBSD の Kerberos では /etc/krb5.conf ファイルが存在しないと 有効にはなりませんので、ここで設定しておくのがよいでしょう。

     # cat > /etc/krb5.conf
     [libdefaults]
             default_realm = FOO.COM
     ^D
     #
     

realm の設定に DNS SRV レコードを使っていない場合は、 /etc/krb5.conf に以下のような KDC、 kadmin および kpasswd サーバーのリストも必要です:

     # cat >> /etc/krb5.conf
     [realms]
             FOO.COM = {
                     kdc = mach1.foo.com
                     admin_server = mach1.foo.com
                     # optional, defaults to admin_server
                     kpasswd_server = mach1.foo.com
             }
     ^D
     #
     

モバイルホストを、そのホストが参加している別の realm に持ち込んだ場合、 /etc/krb5.conf ファイルのデフォルト realm は DNS の _kerberos TXT レコードで上書きされます。

KDC システムには /var/heimdal ディレクトリーが必ず存在するようにします。 これは root:wheel の所有にして、モードを 0755 にするよう推奨します。

     mach1# ls -ld /var/heimdal
     1 drwxr-xr-x  2 root  wheel  512 Nov 30 15:21 /var/heimdal/
     mach1#
     

マスターキーを作ります。これを使って KDC データベースに蓄積される principal キーを暗号化します。

     mach1# kstash
     Master key:
     Verifying password - Master key:
     mach1#
     

kadmin(8) を使って、 KDC のデータベースを作ります。これには "local database" オプションが必要です。

     mach1# kadmin -l
     kadmin> init FOO.COM
     Realm max ticket life [unlimited]:
     Realm max renewable ticket life [unlimited]:
     kadmin>
     

KDC が動いているシステム用の principal を作ります。

     kadmin> add --random-key host/mach1.foo.com
     Max ticket life [1 day]:
     Max renewable life [1 week]:
     Principal expiration time [never]:
     Password expiration time [never]:
     Attributes []:
     kadmin>
     

これで principal が作られましたが、これのキーを KDC システムの keytab に展開するよう推奨します。

     kadmin> ext -k /etc/krb5.keytab host/mach1.foo.com
     kadmin>
     

ktutil(8) コマンドで、 keytab 中のキーを列挙できます:

     mach1# ktutil list
     Vno  Type           Principal
       1  des-cbc-crc    host/mach1.foo.com
       1  des-cbc-md4    host/mach1.foo.com
       1  des-cbc-md5    host/mach1.foo.com
       1  des3-cbc-sha1  host/mach1.foo.com
     

Kerberos を使って認証したいユーザーの principal を作ります。

     kadmin> add joe
     Max ticket life [1 day]:
     Max renewable life [1 week]:
     Principal expiration time [never]:
     Attributes []:
     joe@FOO.COM's Password:
     Verifying password - joe@FOO.COM's Password:
     kadmin>
     

KDC がブート時に起動するよう設定し、 KDC を起動します。

     mach1# echo "kdc=YES" >> /etc/rc.conf
     mach1# /etc/rc.d/kdc start
     Starting kdc.
     mach1#
     

kadmin (Kerberos administration) と kpasswd (Kerberos password change) サーバーを起動するよう inetd を設定します。 KDC システムの /etc/inetd.conf に、下記の各行が存在するようにします:

     kerberos-adm stream tcp  nowait root /usr/libexec/kadmind  kadmind
     kerberos-adm stream tcp6 nowait root /usr/libexec/kadmind  kadmind
     kpasswd      dgram  udp  wait   root /usr/libexec/kpasswdd kpasswdd
     kpasswd      dgram  udp6 wait   root /usr/libexec/kpasswdd kpasswdd
     

inetd(8) に設定を読み直させます。

     mach1# /etc/rc.d/inetd reload
     Reloading inetd config files.
     mach1#
     

KDC をテストします。 Kerberos を使って TGT を取得し、 KDC システムに自分自身からログインしてみます。

     mach1:joe$ kinit
     joe@FOO.COM's Password:
     joe$ klist
     Credentials cache: FILE:/tmp/krb5cc_100
             Principal: joe@FOO.COM

       Issued           Expires          Principal
     Nov 30 14:10:16  Dec  1 00:10:16  krbtgt/FOO.COM@FOO.COM
     Nov 30 14:10:16  Dec  1 00:10:16  krbtgt/FOO.COM@FOO.COM
     mach1:joe$ telnet -ax mach1.foo.com
     Trying 10.0.0.1
     Connected to mach1.foo.com.
     Escape character is '^]'.
     [ Trying KERBEROS5 ... ]
     [ Kerberos V5 accepts you as ``joe@FOO.COM'' ]
     Last login: Thu Nov 30 14:08:33 2000 from mach1
     ...
     mach1:joe$ exit
     Connection closed by foreign host.
     mach1:joe$
     

うまく機能していることが確認できたら、 Kerberos realm に参加させる他のホストの principals も追加します。

     mach1# kadmin -l
     kadmin> add --random-key host/mach2.foo.com
     Max ticket life [1 day]:
     Max renewable life [1 week]:
     Principal expiration time [never]:
     Password expiration time [never]:
     Attributes []:
     kadmin>
     

ここでシステム管理者用の "admin" principal を追加するというのは よい考えです。偽装される可能性があるので、 Kerberos の管理をすべて root として行うつもりならば "root/admin" principal だけを追加します。

     mach1# kadmin -l
     kadmin> add root/admin
     Max ticket life [1 day]:
     Max renewable life [1 week]:
     Principal expiration time [never]:
     Password expiration time [never]:
     Attributes []:
     root/admin@FOO.COM's Password:
     Verifying password - root/admin@FOO.COM's Password:
     kadmin>
     

この principal は必ず kadmind ACL に追加しておいてください:

     mach1# echo "root/admin@FOO.COM all" >> /var/heimdal/kadmind.acl
     mach1#
     

これで "admin" principal ができ、 host/... という principal を、そのホスト群が通信するマシン群の keytab に簡単に展開することが できます。

     mach2# kadmin
     kadmin> ext -k /etc/krb5.keytab host/mach2.foo.com
     root/admin@FOO.COM's Password:
     kadmin>
     

Kerberos を使ってマシンにログインして試してみます。

     mach1:joe$ telnet -ax mach2.foo.com
     Trying 10.0.0.2
     Connected to mach2.foo.com.
     Escape character is '^]'.
     [ Trying KERBEROS5 ... ]
     [ Kerberos V5 accepts you as ``joe@FOO.COM'' ]
     Last login: Thu Nov 30 16:26:51 2000 from mach1
     ...
     mach2:joe$ exit
     Connection closed by foreign host.
     mach1:joe$
     

KDC で、 Windows 2000 ホスト用の host principal を追加します:

     mach1# kadmin -l
     kadmin> add host/win2k.foo.com
     Max ticket life [1 day]:
     Max renewable life [1 week]:
     Principal expiration time [never]:
     Password expiration time [never]:
     Attributes []:
     host/win2k.foo.com@FOO.COM's Password: 
     Verifying password - host/win2k.foo.com@FOO.COM's Password: 
     kadmin> 
     

*入力したパスワードを覚えておいてください!* このパスワードは、 あとで Windows 2000 ホストで再度入力しなければなりません。

Windows 2000 ホストで、 ksetup コマンドを使って realm、 KDC と machine password エントリーを設定します:

     C:> ksetup /setdomain FOO.COM
     C:> ksetup /addkdc FOO.COM mach1.foo.com
     C:> ksetup /setmachpassword password
     

ksetup コマンドを使って、 Windows 2000 システムの ローカルユーザーを Kerberos principals に対応づけます:

     C:> ksetup /mapuser * *
     

以下のようにして、特定のユーザーを特定の Kerberos principals に対応させることもできます:

     C:> ksetup /mapuser user@FOO.COM localuser