Pe scurt,
- Trebuie să specificați un format hash pentru parolă în loc de
Text clar-Parolă, și
- Trebuie să setați
auth_goodpass și auth_badpass la „nu” pentru a preveni înregistrarea parolelor.
Specificarea unui format hash
După cum este descris în pagina de manual rlm_pap, există o serie de setări de hash pentru parole care pot fi folosite în loc de Text clar-Parolă. Să luăm un exemplu simplu, MD5-Parola:
#bob Cleartext-Password := „bună ziua”
bob MD5-Parola:= "7d793037a0760186574b0282f2f435e7"
Răspuns-Mesaj:= „Bună ziua, %{User-Name}”
Puteți genera cu ușurință un hash de parolă md5, astfel:
$ echo -n lume | md5sum | awk '{print $1}'
7d793037a0760186574b0282f2f435e7
$
Când testăm acest lucru pe serverul nostru, vedem că se autentifică:
$ radtest bob world localhost 1 testing123
ID-ul cererii de acces trimis 214 de la 0.0.0.0:34920 la 127.0.0.1:1812 lungime 73
Nume utilizator = "bob"
Parola utilizator = „lume”
NAS-IP-Adresă = 127.0.1.1
NAS-Port = 1
Message-Authenticator = 0x00
Cleartext-Password = „lume”
Acces primit-Accept ID 214 de la 127.0.0.1:1812 la 127.0.0.1:34920 lungime 32
Răspuns-Mesaj = „Bună, bob”
De asemenea, puteți specifica hash-ul dvs. cu genericul Parolă cu antet opțiune:
#bob Cleartext-Password := „bună ziua”
bob Password-With-Header := „{md5}7d793037a0760186574b0282f2f435e7”
Răspuns-Mesaj:= „Bună ziua, %{User-Name}”
Aceasta are același efect ca și MD5-Parola versiunea a făcut-o. Lista antetelor acceptate este aici rlm_pap pagina de manual.
Unul dintre cele mai interesante antete disponibile este Parolă-criptă deoarece va rula hash-uri de parole prin libcrypt și, prin urmare, va funcționa cu orice hash-uri găsiți /etc/shadow. De exemplu, pe un sistem Debian, yescrypt hash-uri:
bob Crypt-Parolă := „$y$j9T$2fOq6bdva3zoX6OfH.JvY0$PbUGbp1U.UXFAnGrkDrYnLZEDK.PXO/HXDsBn4mCsM8”
Răspuns-Mesaj:= „Bună ziua, %{User-Name}”
(Parola în acest caz este a38sgena)
Dezactivarea înregistrării parolelor
Pentru a dezactiva înregistrarea parolelor, găsiți auth_goodpass și auth_badpass selectii din cadrul radiusd.conf fişier:
# Înregistrați parolele cu cererile de autentificare.
# auth_badpass - înregistrează parola dacă este respinsă
# auth_goodpass - înregistrează parola dacă este corectă
#
# valori permise: {nu, da}
#
auth_badpass = nu
auth_goodpass = nu
Asigurați-vă că acestea sunt setate la „nu” și înregistrarea dvs. nu va mai include parole.
