Configuring Authenticaiton of DeleGate の和訳

コメント：
翻訳の正確さは保証しません。
必ず、原文と共に、使用してください。

BACK ( DGbeecon )

DeleGate における認証の設定

外部コマンドによる認証

以下の例で、どのようにすれば良いかを示します。 例の中で、認証用コマンドは "myauth" とします。 DeleGate は、 "AUTHORIZER=-cmd{myauth}" として参照します。 認証するユーザ名とパスワードは、コマンドライン引数，環境変数または、コマンドへの標準入力で渡します。 例の中で、ユーザ名 "%U" は、コマンドライン引数で渡され、 そのパスワード "%P" は、環境変数 "PASSWD" で渡します。

認証コマンド "myauth" を使うためのパラメータ:

AUTHORIZER="-cmd{myauth %U}{PASSWD=%P}"

以下は、ユーザ名 "user1" と、パスワード "pass1" を受け付ける 認証プログラムの簡単な例です。 認証結果は、認証プログラムが自身の標準出力に出した応答ステータスからか、 プログラムの終了コードで表すことができます。 例の中で、認証の成功は応答ステータス "230 " で表され、失敗は "530 " で表されます (これらは、FTP プロトコルでのステータスコードです)。
"myauth" コマンドの実装:

#!/bin/sh if [ "$1" = "user1" -a "$PASSWD" = "pass1" ]; then echo "230 SUCCESS" else echo "530 FAILURE" fi

"myauth" プログラムは、 LIBPATH パラメータにある ディレクトリのどれかか、PATH 環境変数にあるディレクトリに置きます。

以下は、認証コマンドの別の例で、ユーザ名とパスワードをその標準入力経由で受け取ります。 この方法はより安全でしょう。なぜなら、パスワードなどの重要な情報を のぞき見の困難なプロセス間のパイプ経由で渡すからです。

AUTHORIZER="-cmd{myauth}{}{%U\n%P\n}"

例の中で、%U と %P に続く文字列 "\n" は、 改行を表します。

#!/bin/sh read USER read PASS if [ "$USER" = "user1" -a "$PASS" = "pass1" ]; then echo "230 SUCCESS" else echo "530 FAILURE" fi

FTP サーバによる認証

認証サーバに FTP サーバを使うことは、DeleGate 黎明期に初めて認証用に実装されたしくみです。 このしくみで、DeleGateは FTP サーバに対し USER と PASS のみを使います。 ですから、このしくみでのあなた自身の認証サーバを書くのはとても簡単で、 下記のような簡単なスクリプトで FTP サーバとして認証できます。

#!/bin/sh echo "220 Ready" read COM USER echo "331 Send pass" read COM PASS if [ "$USER" = "user1" -a "$PASS" = "pass1" ]; then echo "230 Ok" else echo "530 No" fi

以下のように、このスクリプト(例えば "ftpauth.sh")を inetd から、 または、DeleGate によって起動できます。

delegated -P9921 SERVER=exec XFIL=ftpauth.sh

"ftpauth.sh" スクリプトは、 LIBPATH パラメータにあるディレクトリのどれかに置きます。
例として、この認証サーバは以下のように使えます。

delegated -P8080 SERVER=http AUTHORIZER=localhost/9921

上記スクリプトは、以下のように認証用ローカルコマンドとしても使えます (9.4.2-pre6 以降)。

AUTHORIZER="-cmd{ftpauth.sh}{}{USER %U\nPASS %P\n}"

[CTX] [ALL]

---

AUTHORIZER parameter* == AUTHORIZER=authServList[@realmValue][:connMap]
       authServList  ==	authServ[,authServ]* | & | *
	   authServ  ==  authHost[/portNum][(reprUser)]
	   authHost  ==	hostName | hostAddr
	 realmValue  == word | {words separated with space}
	    connMap  ==	ProtoList:dstHostList:srcHostList
		     -- default: none
		     -- 制限: Telnet, FTP, NNTP, SMTP, IMAP, Socks, SockMux および、HTTP に、適用可能

認証と権限付与に使うサーバを指定します ("auth-server")。 指定した場合、アプリケーションプロトコル独自の ユーザ名/パスワードを送信することによって auth-server での認証が成功しない限り、 クライアントからのアクセスは許可されません。 "-none" と "-never" の、2つの特別な authServ は、 不要な認証を生成しません。 authServ の後ろに "(reprUser)" がつく場合、 authServ で認証が成功したユーザは、 代表ユーザ reprUser として表示されます。

注記: auth-server により認証されたクライアントは、そのクライアントホストが、 他のアクセス制御 (RELIABLE と PERMIT) を通過しない場合、許可されません。 認証された全クライアントを、そのホストを無視して許可したい場合、 RELIABLE="-a/*" のように指定します。 この用途で、RELIABLE="*" も動作しますが、DeleGate と設定変更で使うのは危険です。

connMap に追加するとき、認証サーバは、 対象プロトコル、サーバホスト、クライアントホストの組合わせで、条件付で選択できます。 authServList は、認証サーバ名、または、認証サーバのホスト名リストです。 authServList の後ろに、"@realmValue" が付く場合、 その値は、HTTP-DeleGate における、保護空間の領域指定に使えます。 それは、それぞれの MOUNT ポイントに対して、マウントオプション "realm=realmValue" で上書き可能です。

現在、リモート認証/権限付与サーバのプロトコルは、 FTP プロトコルの USER/PASS コマンドです。 このように、DeleGate の認証/権限付与サーバには、 任意の実在の FTP サーバを使用できます。 他の方法として、DeleGate 自らが持つ 認証/権限付与のためのリストは、 -Fauth 機能により管理できます。

次のように、組み込み auth-server を authServ として使用します:

-none -- 認証の有無を無視して許可。

-never -- 認証の有無を無視して不許可。

-any -- ユーザ名 + パスワードの任意の組み合わせが許可されます。

-anonftp -- ユーザ名が "ftp" または、"anonymous" で、パスワードに "@" が含まれる。

-dgauth[.realm] -- パスワードは、ダイジェストとして安全に送信される(HTTP と APOP)

-pam/service -- ユーザ名とパスワードは、PAM でチェックされます。

-list{user:pass,...} -- リスト中に、ユーザ名とパスワードのペアを含みます。

-cmd{cmd arg ...}{ENV=val ...} -- 認証用外部コマンド

DGAuth: -dgauth[.realm][{user:pass,...}]


各アプリケーションプロトコル独自のダイジェストパスワードを基本とした認証スキームで、 "AUTHORIZER=-dgauth" を指定することで有効になります。 この種の認証スキームは、少なくとも、APOP プロキシや、 HTTP Digest/Basic 変換器が行い、元の平文テキストのパスワードが 必要です。 そのようなことを簡単に行うには、次のように、 対のユーザ名とパスワードの一覧を直接指定します。 -dgauth{user1:pass1,user2:pass2,...} 他のパスワードを保存する方法は、次のように DeleGate で指定します "-Fauth -a username:password -dgauth"。 -dgauth 用パスワードは暗号化された形で格納され、 暗号化のためのキーワードが必要となります。 キーワードは、CRYPT=pass:keyword で指定するか、 後で対話形式で指定します。 他の場合、DGAuth は、リモート DGAuth サーバ に委任できます。 DGAuth サーバ. DGAuth は、認証によって開始されたセッションの間、 保持された識別と同様のセッション識別子を生成し、 そのあとで、CFI/CGI プログラムに、環境変数 "X_DIGEST_SESSION" で渡され、 さらに、PROTOLOG でログを取ることができます。

例）

//ダイジェスト認証をクライアントと行う HTTP プロキシ、または、サーバ
SERVER=http AUTHORIZER=-dgauth
// クライアントと、APOP 認証を行う、POP プロキシ
SERVER=pop MOUNT="* pop://server/*" AUTHORIZER=-dgauth


PAM: -pam[/service]


プラットフォーム上で PAM (Pluggable Authentication Modules) が使えるなら、 以下の書式で認証に使うことができます。 AUTHORZIER="-pam/service", 例としては、AUTHORIZER="-pam/passwd", AUTHORIZER="-pam/ftp" 等です。
注記: ほとんどの PAM 認証の実行には、Unix 上のスーパーユーザ特権 (OWNER="root" オプション付加) が必要です。 しかし、DGROOT/subin/ に 外部プログラム "dgpam" をインストールすることで、 スーパーユーザ特権をともなう DeleGate を実行することを避けられます。 PAM 認証は、リモート PAM サーバに委任することもできます。

LIST: -list{user[:pass],...}


一覧の要素 は、":pass" が無い user だけでもよく、 これは、user 名だけをつき合わせ、パスワードは無視することを意味します。 "-list{user:pass,...}" 内で、 "[date+format]"　を user と pass に置き換えて使用できます。 例) AUTHORIZER="-list{guest:[date+%y%m]}" は、 ユーザ名 "guest" を 2004年5月にパスワード "0405" で受け入れることを意味します。

例)

AUTHORIZER="-list{u1:p1,u2:p2}(local),-pam,-none(anonymous)"
// ユーザは、"local" または PAM でのユーザ、またはその他の "anonymous"
// として認証されます。


CMD: -cmd{cmd arg ...}[{ENV=val ...}[{input-pattern}]]

認証を外部コマンド cmd で行う。 外部コマンドに渡される認証用の値は、ユーザ名用 %U 及び、 パスワード用 %P のような、書式 "%format" で指定します。 パラメータは、コマンドライン引数、環境変数または、コマンドの標準入力に渡せます。 環境変数と、input-pattern が、 AUTHORIZER="-cmd{cmd} のように省略されるなら、 AUTHORIZER="-cmd{cmd}{DG_USER=%U DG_PASS=%P}{USER %U\nPASS %P\n}" として暗黙で指定されたかのように、ユーザ名とパスワードの組がデフォルトで渡されます。

コマンドによる認証の結果は、その出力文字列か、終了コードで表されます。 コマンドはその標準出力に結果を FTP プロトコルでのステータス応答形式で表し、 成功時 "230"、失敗時 "530" です。 他の場合、プロセスの終了コードが使われ、0 が成功、0 以外が失敗です。

例) ユーザ名を引数で渡し、パスワードを環境変数で渡す。

AUTHORIZER="-cmd{myauth %U}{MYPASS=%P}"

[myauth コマンドの内容]
#!/bin/sh
if [ "$1" = "user1" -a "$MYPASS" = "pass1" ]; then
  echo "230 SUCCESS"
else
  echo "530 FAILURE"
fi


認証されたユーザに権限を与えない必要があるときのみ、 authServList として、以下の特別な名前が便利でしょう。

"&" -- クライアントホスト (クライアントホスト上のユーザ名が必要)
"*" -- "user@authHost" としてのクライアントで指定された、 任意の authHost

例)

// local.domain 以外のクライアントは認証が必要
SERVER=telnet AUTHORIZER="&:::!*.local.domain"
// ユーザが localhost で認証された場合、全てのクライアントを許可
SERVER=telnet AUTHORIZER="localhost" RELIABLE="*"
// "-Fauth" により管理される、 DeleGate 自身の "-socksusers" リストを使用する。
SERVER=socks AUTHORIZER=-socks.users

---