NetdefendOS_2.27.01_Firewall_User_Manual_RUS

LDAP-аутентификация и PPP
Когда PPP-клиент пытается получить доступ через PPTP или L2TP и LDAP-аутентификация должна
производиться с CHAP, MS-CHAPv1 или MS-CHAPv2 шифрованием, то такая ситуация требует
тщательного рассмотрения. Далее рассматриваются два случая: (А) стандартная PPP-аутентификации
и (Б) PPP-аутентификация с шифрованием.
А. Стандартная LDAP-аутентификация
Ниже представлена схема стандартной LDAP-аутентификации для Webauth, XAuth, или PPP с
поддержкой PAP для повышения безопасности авторизации. Аутентификационный BIND-запрос
имени пользователя и пароля отправляется LDAP-серверу, который выполняет аутентификацию и
отправляет обратно BIND-ответ с результатом.
Рисунок 8.1. Стандартная LDAP-аутентификация.
Если принадлежность к группе определяется после того, как LDAP-серверу отправлен запрос на
поиск принадлежности к группе и получен ответ с запрашиваемым значением, процесс
аутентификации будет отличаться.
Б. PPP-аутентификация с CHAP, MS-CHAPv1 или MS-CHAPv2 шифрованием
Если для аутентификации используется PPP с CHAP, MS-CHAPv1 или MS-CHAPv2, то клиент
отправляет системе NetDefendOS хэш пароля пользователя. Система не может просто переслать хэш
LDAP-серверу, т.к. сервер его не «поймет». Система NetDefendOS может получить пароль в виде
текста от LDAP-сервера, создать хэш и сравнить созданный хэш с хэшем от клиента. Если они
совпадают, аутентификация происходит успешно. В этом случае решение об исходе аутентификации
зависит не от LDAP-сервера, а от системы NetDefendOS.
Для получения пароля от LDAP-сервера требуется следующее:
• Атрибут «пароль» должен быть задан при определении сервера в NetDefendOS. Это
идентификатор поля LDAP-сервера, из которого берется пароль при ответе.
Этот идентификатор должен отличаться от атрибута «пароль» установленного по умолчанию
356