NetdefendOS_2.27.01_Firewall_User_Manual_RUS

(на большинстве LDAP-серверов паролем по умолчанию является userPassword).
Рекомендуется использовать поле description в базе данных LDAP.
• Прежде чем сервер занесет в поле базы данных атрибут «пароль» с установленным
идентификатором, LDAP-администратор должен проверить, что там действительно
находится пароль в текстовом виде. Пароли хранятся на LDAP-сервере в формате
зашифрованного хэша, и автоматическое выполнение этих операций не предусмотрено. Это
выполняется администратором вручную по мере добавления новых пользователей или
изменения текущих паролей пользователей.
Несомненно, это требует некоторых усилий администратора, но если оставить пароли
незашифрованными в текстовом формате на LDAP-сервере, то впоследствии решение
вопросов безопасности заставит приложить не меньше усилий. Это одна из тех причин, по
которым LDAP не подходит для PPP-аутентификации с CHAP, MS-CHAPv1 или MS-
CHAPv2 шифрованием.
Когда система NetDefendOS получает хэш пароля от клиента, она инициирует поисковый запрос
(Search Request) LDAP-серверу. Сервер отправляет ответ на поисковый запрос (Search Response),
содержащий пароль пользователя и данные о принадлежности пользователя к какой-либо группе.
После этого система NetDefendOS может сравнить два хэша. Рисунок 8.2 иллюстрирует это процесс.
Рисунок 8.2. LDAP для PPP с CHAP, MS-CHAPv1 или MS-CHAPv2
Важно: Канал связи с LDAP-сервером должен быть
защищен
Поскольку LDAP-сервер пересылает пароли системе NetDefendOS в формате
простого текста, то канал связи между межсетевым экраном NetDefend и сервером
должен быть защищенным. Если канал, по которому передаются данные, не
является локальным, необходимо использовать VPN-канал.
Доступ к самому LDAP-серверу также должен быть ограничен, так как пароли в
нем хранятся в формате простого текста.
8.2.5. Правила аутентификации
Правило аутентификации (Authentication Rule) должно определяться, когда клиент устанавливает
соединение через межсетевой экран NetDefend и у него запрашиваются учетное имя пользователя и
пароль.
Настройка правил аутентификации аналогична настройке других политик безопасности системы
NetDefendOS. В них также указывается трафик, который должен подчиняться этому правилу.
Правила аутентификации отличаются от других политик тем, что сеть или интерфейс назначения
357