MFbed: Update the German Handbook.
books/handbook/advanced-networking/chapter.sgml 1.240 -> 1.241 books/handbook/basics/chapter.sgml 1.109 -> 1.110 books/handbook/book.sgml 1.140 -> 1.141 [1] books/handbook/kernelconfig/chapter.sgml 1.122 -> 1.123 books/handbook/cutting-edge/chapter.sgml 1.188 -> 1.191 books/handbook/introduction/chapter.sgml 1.95 -> 1.96 books/handbook/linuxemu/chapter.sgml 1.100 -> 1.102 books/handbook/security/chapter.sgml 1.182 -> 1.184 books/handbook/mail/chapter.sgml 1.84 -> 1.86 books/handbook/x11/chapter.sgml header update books/handbook/eresources/chapter.sgml header update books/handbook/preface/preface.sgml 1.17 -> 1.18 [1] includes corrections Submitted by: Oliver Fischer <plexus@snafu.de>
This commit is contained in:
Martin Heinen
parent
978c009303
commit
5075e9460f
Notes:
svn2git
2020-12-08 03:00:23 +00:00
svn path=/head/; revision=18281
12 changed files with 1386 additions and 641 deletions
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/advanced-networking/chapter.sgml,v 1.74 2003/08/31 14:59:45 mheinen Exp $
|
||||
basiert auf: 1.240
|
||||
$FreeBSDde: de-docproj/books/handbook/advanced-networking/chapter.sgml,v 1.75 2003/09/17 23:10:07 mheinen Exp $
|
||||
basiert auf: 1.241
|
||||
-->
|
||||
|
||||
<chapter id="advanced-networking">
|
||||
|
|
@ -4344,7 +4344,7 @@ TWO (,hotel,test-domain)
|
|||
diese Rechner gehackt oder einfach nur ausgeschaltet werden,
|
||||
haben viele Leute keinen Netzwerkzugriff mehr.</para>
|
||||
|
||||
<para>Dies ist die größte und wichtigste Schwäche
|
||||
<para>Dies ist die größte Schwäche
|
||||
jeder zentralen Verwaltung. Wenn Sie Ihre NIS-Server nicht
|
||||
schützen, werden Sie viele verärgerte Anwender
|
||||
haben.</para>
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/basics/chapter.sgml,v 1.68 2003/08/31 14:36:51 mheinen Exp $
|
||||
basiert auf: 1.109
|
||||
$FreeBSDde: de-docproj/books/handbook/basics/chapter.sgml,v 1.69 2003/09/17 23:11:22 mheinen Exp $
|
||||
basiert auf: 1.110
|
||||
-->
|
||||
|
||||
<chapter id="basics">
|
||||
|
|
@ -331,7 +331,7 @@
|
|||
</informaltable>
|
||||
|
||||
<para>Symbolische Zugriffsrechte werden wie die numerischen
|
||||
mit dem Kommando <command>chmod</command> vergeben. Wenn
|
||||
mit dem Kommando &man.chmod.1; vergeben. Wenn
|
||||
Sie beispielsweise allen anderen Benutzern den Zugriff auf
|
||||
die Datei <replaceable>FILE</replaceable> verbieten wollen,
|
||||
benutzen Sie den nachstehenden Befehl:</para>
|
||||
|
|
@ -1553,8 +1553,8 @@ Swap: 256M Total, 38M Used, 217M Free, 15% Inuse
|
|||
|
||||
<para>Weitere Informationen finden Sie in &man.devfs.5;.</para>
|
||||
|
||||
<para>In der Grundeinstellung benutzt FreeBSD 5.0
|
||||
<literal>DEVFS</literal>.</para>
|
||||
<para><literal>DEVFS</literal> ist ab &os; 5.0
|
||||
in der Grundeinstellung aktiviert.</para>
|
||||
</sect3>
|
||||
</sect2>
|
||||
</sect1>
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/book.sgml,v 1.50 2003/09/03 20:22:22 mheinen Exp $
|
||||
basiert auf: 1.140
|
||||
$FreeBSDde: de-docproj/books/handbook/book.sgml,v 1.52 2003/09/17 23:13:40 mheinen Exp $
|
||||
basiert auf: 1.141
|
||||
-->
|
||||
|
||||
<!DOCTYPE BOOK PUBLIC "-//FreeBSD//DTD DocBook V4.1-Based Extension//EN" [
|
||||
|
|
@ -142,17 +142,18 @@
|
|||
<emphasis>FreeBSD &rel2.current;-RELEASE</emphasis> und
|
||||
<emphasis>FreeBSD &rel.current;-RELEASE</emphasis>.
|
||||
Das Handbuch ist <emphasis>jederzeit unter Bearbeitung</emphasis>
|
||||
und die Arbeit vieler Einzelpersonen. Manche Kapitel existieren noch
|
||||
und das Ergebnis der Arbeit vieler Einzelpersonen.
|
||||
Manche Kapitel existieren noch
|
||||
nicht und andere Kapitel müssen auf den neusten Stand
|
||||
gebracht werden.
|
||||
Wenn Sie an diesem Projekt mithelfen möchten, senden Sie bitte
|
||||
eine E-Mail an die Mailingliste &a.de.translators;. Die letzte
|
||||
eine E-Mail an die Mailingliste &a.de.translators;. Die aktuelle
|
||||
Version des Handbuchs ist immer auf dem
|
||||
<ulink URL="http://www.de.FreeBSD.ORG/doc/de_DE.ISO8859-1/books/handbook/">FreeBSD Web
|
||||
Server</ulink> verfügbar.
|
||||
Es kann außerdem in verschiedenen Formaten und in komprimierter
|
||||
Form vom <ulink url="ftp://ftp.FreeBSD.org/pub/FreeBSD/doc">FreeBSD
|
||||
FTP Server</ulink> oder einer der vielen
|
||||
FTP Server</ulink> oder einem der vielen
|
||||
<link linkend="mirrors-ftp">Spiegel</link>
|
||||
herunter geladen werden.
|
||||
Vielleicht möchten Sie das Handbuch auch
|
||||
|
|
@ -180,7 +181,7 @@
|
|||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>erklären Ihnen einige Grundlagen
|
||||
<para>erklären Ihnen die Grundlagen
|
||||
von &unix; Systemen,</para>
|
||||
</listitem>
|
||||
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/cutting-edge/chapter.sgml,v 1.51 2003/09/03 20:22:23 mheinen Exp $
|
||||
basiert auf: 1.188
|
||||
$FreeBSDde: de-docproj/books/handbook/cutting-edge/chapter.sgml,v 1.54 2003/09/17 23:12:05 mheinen Exp $
|
||||
basiert auf: 1.191
|
||||
-->
|
||||
|
||||
<chapter id="cutting-edge">
|
||||
|
|
@ -253,11 +253,7 @@
|
|||
heraus laufen, um ihre Quellen automatisch auf Stand
|
||||
zu bringen. Sie müssen die obige Sup-Datei
|
||||
anpassen und <link linkend="cvsup">cvsup</link>
|
||||
in Ihrer Umgebung konfigurieren. Sie können
|
||||
sich die Arbeit vereinfachen, indem Sie das folgende
|
||||
Kommando absetzen:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>pkg_add -f ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/packages/All/cvsupit-3.1.tgz</userinput></screen>
|
||||
in Ihrer Umgebung konfigurieren.</para>
|
||||
</listitem>
|
||||
|
||||
<indexterm>
|
||||
|
|
@ -300,7 +296,8 @@
|
|||
<filename>/usr/src</filename> genau anschauen. Wenn Sie Ihr
|
||||
System das erste Mal aktualisieren, sollten Sie mindestens
|
||||
<link linkend="makeworld">make world</link> laufen lassen.
|
||||
Lesen Sie bitte die Mailingliste &a.current;, um über
|
||||
Lesen Sie bitte die Mailingliste &a.current;
|
||||
und <filename>/usr/src/UPDATING</filename>, um über
|
||||
Änderungen im Installationsverfahren, die manchmal
|
||||
vor der Einführung eines neuen Releases notwendig sind,
|
||||
informiert zu sein.</para>
|
||||
|
|
@ -352,7 +349,7 @@
|
|||
wir sie nicht ewig unterstützen. Eine vollständige
|
||||
Beschreibung der Sicherheitspolitik für alte FreeBSD
|
||||
Releases entnehmen Sie bitte <ulink
|
||||
url="../../../../security/index.html">http://www.FreeBSD.org/security/</ulink></para>
|
||||
url="../../../../security/index.html">http://www.FreeBSD.org/security/</ulink>.</para>
|
||||
</footnote>
|
||||
wie sie einen sicherheitsrelevanten Fehler beheben.
|
||||
Wenn Sie den Entwicklungszweig aus Sicherheitsgründen
|
||||
|
|
@ -445,11 +442,7 @@
|
|||
heraus laufen, um ihre Quellen automatisch auf Stand
|
||||
zu bringen. Sie müssen das oben erwähnte
|
||||
<filename>supfile</filename> anpassen und <link
|
||||
linkend="cvsup">cvsup</link> konfigurieren. Wenn Sie dazu
|
||||
eine einfache Schnittstelle benötigen, geben sie
|
||||
Folgendes ein:</para>
|
||||
|
||||
<blockquote><screen>&prompt.root; <userinput>pkg_add -f ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/packages/All/cvsupit-3.1.tgz</userinput></screen></blockquote>
|
||||
linkend="cvsup">cvsup</link> konfigurieren.</para>
|
||||
</listitem>
|
||||
|
||||
<indexterm>
|
||||
|
|
@ -484,7 +477,8 @@
|
|||
<filename>/usr/src</filename> genau anschauen. Wenn Sie Ihr
|
||||
System das erste Mal aktualisieren, sollten Sie mindestens
|
||||
<link linkend="makeworld">make world</link> laufen lassen.
|
||||
Lesen Sie bitte die Mailingliste &a.stable;, um über
|
||||
Lesen Sie bitte die Mailingliste &a.stable;
|
||||
und <filename>/usr/src/UPDATING</filename>, um über
|
||||
Änderungen im Installationsverfahren, die manchmal
|
||||
vor der Einführung eines neuen Releases notwendig sind,
|
||||
informiert zu sein.</para>
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/eresources/chapter.sgml,v 1.31 2003/09/03 20:25:09 mheinen Exp $
|
||||
basiert auf: 1.131
|
||||
$FreeBSDde: de-docproj/books/handbook/eresources/chapter.sgml,v 1.32 2003/09/07 13:16:35 mheinen Exp $
|
||||
basiert auf: 1.132
|
||||
-->
|
||||
|
||||
<appendix id="eresources">
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/introduction/chapter.sgml,v 1.24 2003/09/03 20:22:24 mheinen Exp $
|
||||
basiert auf: 1.95
|
||||
$FreeBSDde: de-docproj/books/handbook/introduction/chapter.sgml,v 1.25 2003/09/07 13:22:36 mheinen Exp $
|
||||
basiert auf: 1.96
|
||||
-->
|
||||
|
||||
<chapter id="introduction">
|
||||
|
|
@ -76,9 +76,7 @@
|
|||
für Intel (x86), DEC <trademark>Alpha</trademark> und
|
||||
Sun &ultrasparc; Rechner. An
|
||||
Portierungen zu anderen Architekturen wird derzeit gearbeitet.
|
||||
Einen kurzen Überblick zu FreeBSD bietet der <link
|
||||
linkend="os-overview">folgende Abschnitt</link>. Mehr zur
|
||||
Geschichte von FreeBSD können Sie im <link
|
||||
Mehr zu Geschichte von FreeBSD können Sie im <link
|
||||
linkend="history">kurzen geschichtlichen Abriss zu FreeBSD</link>
|
||||
oder im Abschnitt <link linkend="relnotes">Das aktuelle
|
||||
FreeBSD-Release</link> nachlesen.
|
||||
|
|
@ -473,10 +471,10 @@
|
|||
</listitem>
|
||||
</itemizedlist>
|
||||
|
||||
<para>FreeBSD ist auf CD-ROM in Form von Quellcode oder in
|
||||
Binärform erhältlich sowie per anonymous FTP.
|
||||
Näheres zum Bezug von FreeBSD enthält
|
||||
<xref linkend="mirrors">.</para>
|
||||
<para>&os; ist sowohl in Form von Quellcode als auch in
|
||||
Binärform auf CD-ROM, DVD und über anonymous FTP
|
||||
erhältlich. Näheres zum Bezug von FreeBSD
|
||||
enthält <xref linkend="mirrors">.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
|
|
@ -826,7 +824,7 @@
|
|||
drei Jahren brachte diese Release weiterentwickelte
|
||||
Unterstützung für Mehrprozessor-Systeme und
|
||||
Unterstützung für Multithreading. Mit dieser
|
||||
Release lief &os; erstmalig auf den Plattformen sparc64
|
||||
Release lief &os; erstmalig auf den Plattformen &ultrasparc;
|
||||
und ia64. Im Juni 2003 folgte das 5.1-RELEASE.
|
||||
Neben neuen Funktionen brachten die 5.X-Releases auch
|
||||
weitreichende Änderungen der Systemarchitektur.
|
||||
|
|
@ -923,9 +921,11 @@
|
|||
|
||||
<para>Die Entwicklung von FreeBSD ist ein offener und
|
||||
vielseitiger Prozess. FreeBSD besteht aus Beisteuerungen
|
||||
von Hunderten von Leuten rund um die Welt, wie Sie aus der
|
||||
von Hunderten Leuten rund um die Welt, wie Sie aus der
|
||||
<ulink url="../../articles/contributors/article.html">Liste
|
||||
der Beitragenden</ulink> ersehen können. Wir suchen
|
||||
der Beitragenden</ulink> ersehen können. Die vielen
|
||||
Entwickler können aufgrund der Entwicklungs-Infrastruktur
|
||||
von &os; über das Internet zusammenarbeiten. Wir suchen
|
||||
ständig nach neuen Entwicklern, Ideen und jenen, die sich
|
||||
in das Projekt tiefer einbringen wollen. Nehmen Sie einfach
|
||||
auf der Mailingliste &a.hackers; Kontakt mit uns auf.
|
||||
|
|
@ -962,10 +962,10 @@
|
|||
läuft auf einer Maschine in
|
||||
Santa Clara, Kalifornien, USA. Von dort wird es auf
|
||||
zahlreiche Server in aller Welt gespiegelt. Der
|
||||
CVS-Quellbaum, als auch die Zweige
|
||||
CVS-Quellbaum, der die Zweige
|
||||
<link linkend="current">-CURRENT</link> und
|
||||
<link linkend="stable">-STABLE</link> können auch in
|
||||
einfacher Weise auf Ihr eigenes System gespiegelt
|
||||
<link linkend="stable">-STABLE</link> enthält,
|
||||
kann einfach auf Ihr eigenes System gespiegelt
|
||||
werden. Näheres dazu können Sie im Handbuch unter
|
||||
<link linkend="synching">Synchronisation der Quellen</link>
|
||||
in Erfahrung bringen.</para>
|
||||
|
|
@ -1035,7 +1035,7 @@
|
|||
profitieren nicht finanziell vom Projekt. Daher
|
||||
sollte <quote>Verpflichtung</quote> nicht als
|
||||
<quote>garantierter Support</quote> fehlinterpretiert
|
||||
werden. Der oben angeführte Vergleich mit dem
|
||||
werden. Der oben angeführte Vergleich mit einem
|
||||
Vorstand hinkt und es wäre angebrachter zu
|
||||
erwähnen, dass diese Leute – wider besseres
|
||||
Wissen – ihr eigenes Leben für FreeBSD
|
||||
|
|
@ -1149,20 +1149,13 @@
|
|||
steigert, sondern auch den Hauptspeicherverbrauch reduziert
|
||||
und ein 5 MB-System zu einem nutzbaren Minimal-System
|
||||
verhilft. Weitere Verbesserungen sind volle NIS-Client- und
|
||||
-Server-Unterstützung, T/TCP, Dial-On-Demand-PPP,
|
||||
Server-Unterstützung, T/TCP, Dial-On-Demand-PPP,
|
||||
integriertes DHCP, ein verbessertes SCSI-Subsystem,
|
||||
ISDN-Support, Unterstützung für ATM-, FDDI-, Fast-
|
||||
und Gigabit-Ethernet-Karten (1000 Mbit) und verbesserter
|
||||
Support der neusten Adaptec-Controller, sowie viele hundert
|
||||
und Gigabit-Ethernet-Karten (1000 Mbit), verbesserter
|
||||
Support der neusten Adaptec-Controller und tausende
|
||||
Fehlerkorrekturen.</para>
|
||||
|
||||
<para>Wir haben uns auch die vielen Anmerkungen und
|
||||
Vorschläge unserer Anwender zu Herzen genommen und
|
||||
versucht, einen gradlinigeren und einfacher zu verstehenden
|
||||
Installationsablauf zu bieten. Rückmeldungen zu diesem
|
||||
(ständig vorangetriebenen) Punkt sind besonders
|
||||
willkommen.</para>
|
||||
|
||||
<para>Zusätzlich zur Standard-Distribution bietet FreeBSD
|
||||
eine Sammlung von portierter Software mit tausenden begehrten
|
||||
Programmen. Zum Verfassungszeitpunkt waren über
|
||||
|
|
@ -1183,14 +1176,14 @@
|
|||
genügend Plattenplatz zu sorgen, um die gewünschten
|
||||
Ports zu erstellen. Allen, die Ports nicht selbst kompilieren
|
||||
wollen: Es gibt zu fast jedem Port ein vorkompiliertes
|
||||
<quote>Package</quote> und es kann mit einem einfachen Befehl
|
||||
(<command>pkg_add</command>) installiert werden.</para>
|
||||
Paket, das einfach mit dem Befehl (<command>pkg_add</command>)
|
||||
installiert wird. Pakete und Ports werden in
|
||||
<xref linkend="ports"> beschrieben.</para>
|
||||
|
||||
<para>Eine Reihe von weiteren Dokumenten, die sich als hilfreich
|
||||
bei der Installation oder dem Arbeiten mit FreeBSD erweisen
|
||||
könnten, liegen im Verzeichnis
|
||||
<filename>/usr/share/doc</filename> auf jedem Rechner mit
|
||||
FreeBSD 2.1 und aufwärts. Die lokal installierten
|
||||
könnten, liegen auf neueren &os;-Systemen im Verzeichnis
|
||||
<filename>/usr/share/doc</filename>. Die lokal installierten
|
||||
Anleitungen lassen sich mit jedem HTML-fähigen Browser
|
||||
unter folgenden Adressen betrachten:</para>
|
||||
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/kernelconfig/chapter.sgml,v 1.56 2003/08/31 16:04:15 mheinen Exp $
|
||||
basiert auf: 1.122
|
||||
$FreeBSDde: de-docproj/books/handbook/kernelconfig/chapter.sgml,v 1.57 2003/09/07 13:16:36 mheinen Exp $
|
||||
basiert auf: 1.123
|
||||
-->
|
||||
|
||||
<chapter id="kernelconfig">
|
||||
|
|
@ -949,9 +949,10 @@ options CD9660_ROOT #CD-ROM usable as root, CD9660 required</programli
|
|||
<programlisting>options P1003_1B #Posix P1003_1B real-time extensions
|
||||
options _KPOSIX_PRIORITY_SCHEDULING</programlisting>
|
||||
|
||||
<para>Echtzeit-Erweiterungen, die 1993 zu &posix; hinzugefügt
|
||||
wurden. Bestimmte Programme wie <application>Star
|
||||
Office</application> benutzen diese Erweiterungen.</para>
|
||||
<para>Echtzeit-Erweiterungen, die 1993 zu &posix;
|
||||
hinzugefügt wurden. Bestimmte Programme wie
|
||||
<application>&staroffice;</application> benutzen
|
||||
diese Erweiterungen.</para>
|
||||
|
||||
<note>
|
||||
<para>Ab &os; 5.0 werden diese Funktionen von
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/linuxemu/chapter.sgml,v 1.52 2003/09/03 20:22:25 mheinen Exp $
|
||||
basiert auf: 1.100
|
||||
$FreeBSDde: de-docproj/books/handbook/linuxemu/chapter.sgml,v 1.53 2003/09/07 13:20:58 mheinen Exp $
|
||||
basiert auf: 1.102
|
||||
-->
|
||||
|
||||
<chapter id="linuxemu">
|
||||
|
|
@ -1264,7 +1264,8 @@ export PATH</programlisting>
|
|||
<secondary><application>SAP R/3</application></secondary>
|
||||
</indexterm>
|
||||
|
||||
<para>&sap;-Installationen unter FreeBSD werden vom &sap; Support Team
|
||||
<para>Installationen von <application>&sap;</application>
|
||||
unter FreeBSD werden vom &sap; Support-Team
|
||||
nicht unterstützt – und &sap; bietet Support nur
|
||||
für zertifizierte Plattformen an! </para>
|
||||
|
||||
|
|
@ -1299,9 +1300,10 @@ export PATH</programlisting>
|
|||
<application>&oracle;</application> und
|
||||
<application>&sap.r3;</application> zu ersetzen.</para>
|
||||
|
||||
<para>Benutzen Sie die mit <application>&sap.r3; Linux Edition</application>
|
||||
gelieferte Dokumentation für <application>&sap;</application>- und
|
||||
<application>&oracle;</application>-spezifische Fragen,
|
||||
<para>Benutzen Sie die mit
|
||||
<application>&sap.r3; Linux Edition</application>
|
||||
gelieferte Dokumentation für <application>&sap;</application>-
|
||||
und <application>&oracle;</application>-spezifische Fragen,
|
||||
sowie die Ressourcen von <application>&oracle;</application> und
|
||||
<application>&sap;-OSS</application>.</para>
|
||||
</sect2>
|
||||
|
|
@ -1309,8 +1311,8 @@ export PATH</programlisting>
|
|||
<sect2 id="software">
|
||||
<title>Software/Programme</title>
|
||||
|
||||
<para>Folgende CD-ROMs wurden für die &sap;-Installationen
|
||||
verwendet:</para>
|
||||
<para>Folgende CD-ROMs wurden für die Installation von
|
||||
<application>&sap;</application> verwendet:</para>
|
||||
|
||||
<sect3 id="software-46b">
|
||||
<title>&sap.r3; 4.6B, &oracle; 8.0.5</title>
|
||||
|
|
@ -1377,11 +1379,12 @@ export PATH</programlisting>
|
|||
</tgroup>
|
||||
</informaltable>
|
||||
|
||||
<para>Zusätzlich wurde die <application>&oracle; 8 Server</application>
|
||||
<para>Zusätzlich wurde die
|
||||
<application>&oracle; 8 Server</application> CD-ROM
|
||||
(Pre-production Version 8.0.5 für Linux, Kernel Version 2.0.33)
|
||||
CD-ROM verwendet, die allerdings nicht unbedingt nötig ist
|
||||
und natürlich FreeBSD 4.3-STABLE (die Installation wurde
|
||||
nur ein paar Tage nach dem 4.3 RELEASE durchgeführt).</para>
|
||||
verwendet, die allerdings nicht unbedingt nötig ist
|
||||
und FreeBSD 4.3-STABLE (die Installation wurde kurz
|
||||
nach dem Erscheinen von 4.3-RELEASE durchgeführt).</para>
|
||||
</sect3>
|
||||
|
||||
<sect3 id="software-46c">
|
||||
|
|
@ -1666,9 +1669,12 @@ export PATH</programlisting>
|
|||
<title>Installation von FreeBSD</title>
|
||||
|
||||
<para>Als erstes müssen Sie FreeBSD installieren.
|
||||
Dazu gibt es mehrere Möglichkeiten (Hier wurde
|
||||
FreeBSD 4.3 via FTP, FreeBSD 4.5 hingegen direkt
|
||||
von CD installiert.).</para>
|
||||
Dazu gibt es mehrere Möglichkeiten: In den Beispielen
|
||||
wurde FreeBSD 4.3 via FTP, FreeBSD 4.5 hingegen direkt
|
||||
von CD installiert. Weitere Hinweise zur Installation
|
||||
von &os; finden Sie in
|
||||
<xref linkend="install">.</para>
|
||||
<!-- <xref linkend="install-diff-media">.</para> -->
|
||||
|
||||
<sect3 id="disk-layout">
|
||||
<title>Aufteilung der Festplatte</title>
|
||||
|
|
@ -1756,9 +1762,8 @@ export PATH</programlisting>
|
|||
<para>Beachten Sie bitte, dass sich diese Platteneinteilung
|
||||
etwas von den &sap;-Empfehlungen unterscheidet, da &sap;
|
||||
vorschlägt, die &oracle;-Unterverzeichnisse
|
||||
(und einige andere) separat zu mounten – ich habe mich
|
||||
jedoch aus Vereinfachungsgründen
|
||||
dazu entschieden, diese als reale Unterverzeichnisse
|
||||
(und einige andere) separat einzuhängen – es
|
||||
ist jedoch einfacher, diese als reale Unterverzeichnisse
|
||||
zu erzeugen.</para>
|
||||
</sect3>
|
||||
|
||||
|
|
@ -1779,23 +1784,12 @@ export PATH</programlisting>
|
|||
<sect2 id="installingthelinuxenviornment">
|
||||
<title>Installation der Linux-Umgebung</title>
|
||||
|
||||
<para>Während der ersten Installation von FreeBSD 4.3-STABLE
|
||||
traten einige Fehler beim Download der benötigten
|
||||
RPM-Pakete (für 4.3-STABLE, am 2. Mai 2001) auf, mit
|
||||
FreeBSD 4.5-STABLE hingegen lief alles glatt. Sollten dennoch
|
||||
Probleme auftreten, versuchen Sie diese Pakete manuell herunterzuladen.
|
||||
Für eine Übersicht der RPM-Spiegelserver
|
||||
sowie der benötigten Dateien lesen Sie bitte das
|
||||
zugehörige Makefile.</para>
|
||||
|
||||
<sect3 id="installinglinuxbase-system">
|
||||
<title>Das Linux-Basissystem installieren</title>
|
||||
|
||||
<para>Als erstes muss der
|
||||
<link linkend="linuxemu-libs-port">linux_base</link>-Port
|
||||
(als <username>root</username>) installiert werden.
|
||||
Zum Zeitpunkt der Erstellung dieses Artikels war dies
|
||||
<filename>linux_base-6</filename>.</para>
|
||||
<para>Zuerst muss der Port
|
||||
<link linkend="linuxemu-libs-port">linux_base</link>
|
||||
als <username>root</username> installiert werden:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cd /usr/ports/emulators/linux_base</userinput>
|
||||
&prompt.root; <userinput>make package</userinput></screen>
|
||||
|
|
@ -1804,18 +1798,17 @@ export PATH</programlisting>
|
|||
|
||||
|
||||
<sect3 id="installinglinuxdevelopment">
|
||||
<title>Die Linux-Umgebung installieren und einrichten</title>
|
||||
<title>Die Linux-Entwicklungsumgebung installieren</title>
|
||||
|
||||
<para>Die Linux-Entwicklungsumgebung wird benötigt, wenn Sie
|
||||
<application>&oracle;</application> auf Ihrem FreeBSD-System
|
||||
(gemäß der Beschreibung im Handbuch)
|
||||
installieren wollen:</para>
|
||||
installieren wollen (siehe <xref linkend="linuxemu-oracle">):</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cd /usr/ports/devel/linux_devtools</userinput>
|
||||
&prompt.root; <userinput>make package</userinput></screen>
|
||||
&prompt.root; <userinput>make install distclean</userinput></screen>
|
||||
|
||||
<para>Die Linux-Entwicklungsumgebung wurde hier jedoch nur für die
|
||||
<application>&sap.r3; 46B IDES</application>-Installation
|
||||
<para>Die Linux-Entwicklungsumgebung wurde hier jedoch nur für
|
||||
die <application>&sap.r3; 46B IDES</application>-Installation
|
||||
verwendet. Sie wird nicht benötigt, wenn die
|
||||
<application>&oracle;</application>-Datenbank auf dem FreeBSD
|
||||
System nicht neu gebunden wird. Dies ist dann der Fall,
|
||||
|
|
@ -1828,18 +1821,19 @@ export PATH</programlisting>
|
|||
<title>Notwendige RPMs installieren</title>
|
||||
<indexterm><primary>RPMs</primary></indexterm>
|
||||
|
||||
<para>Um das R3SETUP-Programm zu starten, wird
|
||||
PAM-Unterstützung benötigt.
|
||||
Während der ersten &sap;-Installation unter
|
||||
<para>Um das <application>R3SETUP</application>-Programm
|
||||
zu starten, wird PAM-Unterstützung benötigt.
|
||||
Während der ersten Installation von
|
||||
<application>&sap;</application> unter
|
||||
FreeBSD 4.3-STABLE wurde versucht, zuerst alle von PAM
|
||||
benötigten Paketen zu installieren. Anschließend
|
||||
wurde die Installation von PAM erzwungen (force install),
|
||||
was dann auch ohne Probleme funktionierte. Die
|
||||
Installation von <application>&sap.r3; 4.6C SR2</application>
|
||||
wurde ebenfalls erzwungen, diesmal ohne die Installation
|
||||
der benötigten Pakete, was ebenfalls funktionierte.
|
||||
Es sieht also so aus, dass die abhängigen Pakete
|
||||
doch nicht benötigt werden.</para>
|
||||
benötigten Pakete zu installieren. Anschließend
|
||||
wurde die Installation von PAM erzwungen, was auch ohne
|
||||
Probleme funktionierte. Für die folgende Installation
|
||||
von <application>&sap.r3; 4.6C SR2</application>
|
||||
wurde die Installation von PAM ohne die abhängigen
|
||||
Pakete direkt erzwungen und es funktionierte ebenfalls.
|
||||
Es sieht so aus, als würden die abhängigen Pakete
|
||||
nicht benötigt.</para>
|
||||
|
||||
|
||||
<screen>&prompt.root; <userinput>rpm -i --ignoreos --nodeps --root /compat/linux --dbpath /var/lib/rpm \
|
||||
|
|
@ -1847,24 +1841,25 @@ pam-0.68-7.i386.rpm</userinput></screen>
|
|||
|
||||
<para>Um den Intelligent-Agent von
|
||||
<application>&oracle; 8.0.5</application> auszuführen,
|
||||
musste das RedHat Tcl-Paket
|
||||
musste das RedHat <application>Tcl</application>-Paket
|
||||
<filename>tcl-8.0.5-30.i386.rpm</filename> installiert werden,
|
||||
da sonst das Binden (<foreignphrase>link</foreignphrase>) während der
|
||||
<application>&oracle;</application>-Installation nicht
|
||||
funktionierte. Es gibt noch weitere Punkte beim Binden von
|
||||
&oracle;, die aber die Kombination &oracle;-Linux betreffen und nicht
|
||||
FreeBSD spezifisch sind.</para>
|
||||
da sonst das Binden (<foreignphrase>link</foreignphrase>)
|
||||
während der <application>&oracle;</application>-Installation
|
||||
nicht funktionierte. Es gibt noch weitere Punkte beim
|
||||
Binden von &oracle;, die aber die Kombination &oracle;-Linux
|
||||
betreffen und nicht FreeBSD spezifisch sind.</para>
|
||||
</sect3>
|
||||
|
||||
<sect3 id="linuxprocandfallbackelfbrand">
|
||||
<title>Zusätzliche Hinweise</title>
|
||||
|
||||
<para>Eine gute Idee ist es, <filename>linprocfs</filename>
|
||||
in <filename>/etc/fstab</filename> einzufügen. Für
|
||||
weitere Informationen lesen Sie bitte die zugehörige Hilfedatei
|
||||
(<command>man linprocfs</command>). Ein anderer zu setzender
|
||||
Parameter ist <emphasis>kern.fallback_elf_brand=3</emphasis>.
|
||||
Dies erfolgt in <filename>/etc/sysctl.conf</filename>.</para>
|
||||
in <filename>/etc/fstab</filename> einzufügen;
|
||||
weitere Informationen dazu erhalten Sie in der Hilfeseite
|
||||
&man.linprocfs.5;. Weiterhin sollten Sie in
|
||||
der Datei <filename>/etc/sysctl.conf</filename>
|
||||
die Zeile <literal>kern.fallback_elf_brand=3</literal>
|
||||
einfügen.</para>
|
||||
</sect3>
|
||||
</sect2>
|
||||
|
||||
|
|
|
|||
|
|
@ -5,8 +5,8 @@
|
|||
Original Revision der ersten Uebersetzung: 1.20
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/mail/chapter.sgml,v 1.30 2003/09/03 20:12:15 mheinen Exp $
|
||||
basiert auf: 1.84
|
||||
$FreeBSDde: de-docproj/books/handbook/mail/chapter.sgml,v 1.31 2003/09/05 11:54:54 mheinen Exp $
|
||||
basiert auf: 1.86
|
||||
-->
|
||||
<!--
|
||||
Ein paar Anmerkungen zur Uebersetzung bestimmter Begriffe
|
||||
|
|
@ -106,6 +106,13 @@
|
|||
<listitem>
|
||||
<para>Wie man oft auftretende E-Mail-Server Probleme behebt.</para>
|
||||
</listitem>
|
||||
<listitem>
|
||||
<para>Wie E-Mails mit UUCP verschickt werden.</para>
|
||||
</listitem>
|
||||
<listitem>
|
||||
<para>Wie E-Mails über eine Einwahlverbindung gehandhabt
|
||||
werden.</para>
|
||||
</listitem>
|
||||
<listitem>
|
||||
<para>Wie Sie die SMTP-Authentifizierung einrichten.</para>
|
||||
</listitem>
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/preface/preface.sgml,v 1.10 2003/09/03 20:22:26 mheinen Exp $
|
||||
basiert auf: 1.17
|
||||
$FreeBSDde: de-docproj/books/handbook/preface/preface.sgml,v 1.11 2003/09/07 13:21:51 mheinen Exp $
|
||||
basiert auf: 1.18
|
||||
-->
|
||||
|
||||
<preface id="book-preface">
|
||||
|
|
@ -468,7 +468,7 @@
|
|||
|
||||
<para>Tasten werden <keycap>fett</keycap> dargestellt, um sie von dem
|
||||
umgebenden Text abzuheben. Tasten, die gleichzeitig gedrückt
|
||||
werden müssen, werden durch ein `<literal>+</literal>' zwischen
|
||||
werden müssen, werden durch ein <literal>+</literal> zwischen
|
||||
den einzelnen Tasten dargestellt:</para>
|
||||
|
||||
<para>
|
||||
|
|
|
|||
|
|
@ -3,8 +3,8 @@
|
|||
The FreeBSD German Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/security/chapter.sgml,v 1.79 2003/09/03 20:13:29 mheinen Exp $
|
||||
basiert auf: 1.182
|
||||
$FreeBSDde: de-docproj/books/handbook/security/chapter.sgml,v 1.81 2003/09/30 00:20:23 mheinen Exp $
|
||||
basiert auf: 1.184
|
||||
-->
|
||||
|
||||
<chapter id="security">
|
||||
|
|
@ -2051,6 +2051,760 @@ FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995</screen>
|
|||
</sect2>
|
||||
</sect1>
|
||||
|
||||
<sect1 id="kerberos5">
|
||||
<sect1info>
|
||||
<authorgroup>
|
||||
<author>
|
||||
<firstname>Tillman</firstname>
|
||||
<surname>Hodgson</surname>
|
||||
<contrib>Beigetragen von </contrib>
|
||||
</author>
|
||||
</authorgroup>
|
||||
<authorgroup>
|
||||
<author>
|
||||
<firstname>Mark</firstname>
|
||||
<surname>Murray</surname>
|
||||
<contrib>Beruht auf einem Beitrag von </contrib>
|
||||
</author>
|
||||
</authorgroup>
|
||||
</sect1info>
|
||||
|
||||
<title><application>Kerberos5</application></title>
|
||||
|
||||
<para>Das Basissystem enthält ab &os; 5.1
|
||||
nur noch <application>Kerberos5</application>. Die
|
||||
Konfiguration von <application>Kerberos5</application>
|
||||
ist der Konfiguration von <application>KerberosIV</application>
|
||||
sehr ähnlich. Wenn Sie <application>KerberosIV</application>
|
||||
benötigen, installieren Sie den Port
|
||||
<filename role="package">security/krb4</filename>.
|
||||
Der folgende Abschnitt beschreibt ausschließlich
|
||||
<application>Kerberos5</application> für &os;-Releases
|
||||
ab 5.0.</para>
|
||||
|
||||
<para><application>Kerberos</application> ist ein Netzwerk-Protokoll,
|
||||
das Benutzer mithilfe eines sicheren Servers authentifiziert.
|
||||
Mit Risiken behaftete Dienste, wie das Anmelden an entfernten
|
||||
Systemen oder das Kopieren von Daten auf entfernte Systeme,
|
||||
werden durch <application>Kerberos</application> erheblich
|
||||
sicherer und lassen sich leichter steuern.</para>
|
||||
|
||||
<para><application>Kerberos</application> hat eine Aufgabe:
|
||||
Die sichere Prüfung der Identität eines Benutzers
|
||||
(Authentifizierung) über das Netzwerk. Das System
|
||||
überprüft weder die Berechtigungen der Benutzer
|
||||
(Autorisierung), noch verfolgt es die durchgeführten
|
||||
Aktionen (Audit). Daher sollte <application>Kerberos</application>
|
||||
zusammen mit anderen Sicherheits-Systemen eingesetzt werden, die
|
||||
diese Funktionen bereitstellen. Die Daten einer Kommunikation
|
||||
können verschlüsselt werden, nachdem die
|
||||
Kommunikationspartner mit <application>Kerberos</application>
|
||||
ihre Identität geprüft haben.</para>
|
||||
|
||||
<para>Die folgenden Anweisungen beschreiben, wie Sie das mit
|
||||
&os; gelieferte <application>Kerberos</application> einrichten.
|
||||
Eine vollständige Beschreibung des Systems entnehmen
|
||||
Sie bitte den entsprechenden Hilfeseiten.</para>
|
||||
|
||||
<para>Die Beschreibung der
|
||||
<application>Kerberos</application>-Installation benutzt
|
||||
folgende Namensräume:</para>
|
||||
|
||||
<itemizedlist>
|
||||
<listitem>
|
||||
<para>Die <acronym>DNS</acronym>-Domain (Zone) heißt
|
||||
example.org.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Das <application>Kerberos</application>-Realm
|
||||
heißt EXAMPLE.ORG.</para>
|
||||
</listitem>
|
||||
</itemizedlist>
|
||||
|
||||
<note>
|
||||
<para>Benutzen Sie echte Domain-Namen, wenn Sie
|
||||
<application>Kerberos</application> einrichten. Damit
|
||||
vermeiden Sie <acronym>DNS</acronym>-Probleme und stellen
|
||||
die Zusammenarbeit mit anderen
|
||||
<application>Kerberos</application>-Realms sicher.</para>
|
||||
</note>
|
||||
|
||||
<sect2>
|
||||
<title>Geschichte</title>
|
||||
|
||||
<para>Das <acronym>MIT</acronym> entwickelte
|
||||
<application>Kerberos</application>, um Sicherheitsprobleme
|
||||
auf dem Netzwerk zu lösen. Das
|
||||
<application>Kerberos</application>-Protokoll verwendet
|
||||
starke Kryptographie, sodass ein Server die Identität
|
||||
eines Clients (der umgekehrte Vorgang ist auch möglich)
|
||||
über ein unsicheres Netzwerk feststellen kann.</para>
|
||||
|
||||
<para>Der Begriff Kerberos wird sowohl für das Protokoll
|
||||
als auch für Programme verwendet, die
|
||||
<application>Kerberos</application> benutzen (wie
|
||||
<application>Kerberos</application>-Telnet). Die aktuelle
|
||||
Protokollversion ist 5 und wird in
|
||||
<acronym>RFC</acronym> 1510 beschrieben.</para>
|
||||
|
||||
<para>Mehrere Implementierungen des Protokolls stehen frei
|
||||
zur Verfügung und decken viele Betriebssysteme ab.
|
||||
Das Massachusetts Institute of Technology
|
||||
(<acronym>MIT</acronym>), an dem <application>Kerberos</application>
|
||||
ursprünglich entwickelt wurde, entwickelt seine
|
||||
<application>Kerberos</application>-Version weiter. In den
|
||||
<acronym>USA</acronym> wird diese Version häufig
|
||||
eingesetzt, unterlag aber Export-Beschränkungen,
|
||||
da sie in den <acronym>USA</acronym> entwickelt wurde.
|
||||
Die <acronym>MIT</acronym>-Version von
|
||||
<application>Kerberos</application> befindet sich im Port
|
||||
<filename role="package">security/krb5</filename>.
|
||||
Heimdal ist eine weitere Implementierung der Protokollversion 5.
|
||||
Sie wurde außerhalb der <acronym>USA</acronym> entwickelt
|
||||
und unterliegt daher keinen Export-Beschränkungen.
|
||||
Heimdal-<application>Kerberos</application> befindet sich
|
||||
im Port <filename role="package">security/heimdal</filename>
|
||||
und das Basissystem von &os; enthält eine minimale
|
||||
Installation von Heimdal.</para>
|
||||
|
||||
<para>Um möglichst viele Benutzer anzusprechen, verwenden
|
||||
die folgenden Beispiele die in &os; enthaltene
|
||||
Heimdal-Distribution.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Das Heimdal <acronym>KDC</acronym> einrichten</title>
|
||||
|
||||
<para><application>Kerberos</application> authentifiziert
|
||||
Benutzer an einer zentralen Stelle: dem Key Distribution
|
||||
Center (<acronym>KDC</acronym>). Das <acronym>KDC</acronym>
|
||||
verteilt <firstterm>Tickets</firstterm>, mit denen ein
|
||||
Dienst die Identität eines Benutzers feststellen kann.
|
||||
Alle Mitglieder eines <application>Kerberos</application>-Realms
|
||||
vertrauen dem <acronym>KDC</acronym>, daher gelten für
|
||||
das <acronym>KDC</acronym> erhöhte
|
||||
Sicherheitsanforderungen.</para>
|
||||
|
||||
<para>Obwohl das <acronym>KDC</acronym> wenig Ressourcen eines
|
||||
Rechners benötigt, sollte es wegen der
|
||||
Sicherheitsanforderungen auf einem separaten Rechner
|
||||
installiert werden.</para>
|
||||
|
||||
<para>Das <acronym>KDC</acronym> wird in
|
||||
<filename>/etc/rc.conf</filename> wie folgt aktiviert:</para>
|
||||
|
||||
<programlisting>kerberos5_server_enable="YES"
|
||||
kadmind5_server_enable="YES"
|
||||
kerberos_stash="YES"</programlisting>
|
||||
|
||||
<note>
|
||||
<para>Die Option <option>kerberos_stash</option> gibt es
|
||||
nur in &os; 4.X.</para>
|
||||
</note>
|
||||
|
||||
<para>Danach wird die Konfigurationsdatei von
|
||||
<application>Kerberos</application>,
|
||||
<filename>/etc/krb5.conf</filename>, erstellt:</para>
|
||||
|
||||
<programlisting>[libdefaults]
|
||||
default_realm = EXAMPLE.ORG
|
||||
[realms]
|
||||
EXAMPLE.ORG = {
|
||||
kdc = kerberos.example.org
|
||||
}
|
||||
[domain_realm]
|
||||
.example.org = EXAMPLE.ORG</programlisting>
|
||||
|
||||
<para>Diese Einstellungen setzen voraus, dass der voll
|
||||
qualifizierte Name des <acronym>KDC</acronym>s
|
||||
<hostid role="fqdn">kerberos.example.org</hostid> ist.
|
||||
Wenn Ihr <acronym>KDC</acronym> einen anderen Namen hat,
|
||||
müssen Sie in der DNS-Zone einen Alias-Eintrag (CNAME-Record)
|
||||
für das <acronym>KDC</acronym> hinzufügen.</para>
|
||||
|
||||
<note>
|
||||
<para>Auf großen Netzwerken mit einem ordentlich
|
||||
konfigurierten <acronym>BIND</acronym>
|
||||
<acronym>DNS</acronym>-Server kann die Datei verkürzt
|
||||
werden:</para>
|
||||
|
||||
<programlisting>[libdefaults]
|
||||
default_realm = EXAMPLE.ORG</programlisting>
|
||||
|
||||
<para>Die Zonendatei von <hostid role="fqdn">example.org</hostid>
|
||||
muss dann die folgenden Zeilen enthalten:</para>
|
||||
|
||||
<programlisting>_kerberos._udp IN SRV 01 00 88 kerberos.example.org.
|
||||
_kerberos._tcp IN SRV 01 00 88 kerberos.example.org.
|
||||
_kpasswd._udp IN SRV 01 00 464 kerberos.example.org.
|
||||
_kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org.
|
||||
_kerberos IN TXT EXAMPLE.ORG.</programlisting>
|
||||
</note>
|
||||
|
||||
<para>Im nächsten Schritt wird die
|
||||
<application>Kerberos</application>-Datenbank eingerichtet.
|
||||
Die Datenbank enthält die Schlüssel aller Prinzipale
|
||||
und ist mit einem Passwort geschützt. Dieses Passwort
|
||||
brauchen Sie nicht zu behalten, da ein davon abgeleiteter
|
||||
Schlüssel in der Datei <filename>/var/heimdal/m-key</filename>
|
||||
gespeichert wird. Den Schlüssel erstellen Sie, indem
|
||||
Sie das Programm <command>kstash</command> aufrufen und
|
||||
ein Passwort eingeben.</para>
|
||||
|
||||
<para>Nachdem Sie den Schlüssel in
|
||||
<filename>/var/heimdal/m-key</filename> erstellt haben,
|
||||
können Sie die Datenbank mit dem Kommando
|
||||
<command>kadmin</command> initialisieren. Verwenden
|
||||
Sie hierbei die Option <option>-l</option> (lokal). Mit
|
||||
dieser Option wird die Datenbank lokal modifiziert. Normal
|
||||
würde der <command>kadmind</command>-Dienst benutzt,
|
||||
der aber zu diesem Zeitpunkt noch nicht läuft. An
|
||||
der Eingabeaufforderung von <command>kadmin</command>
|
||||
können Sie mit dem Kommando <command>init</command>
|
||||
die Datenbank des Realms einrichten.</para>
|
||||
|
||||
<para>Zuletzt erstellen Sie mit dem Kommando <command>add</command>
|
||||
Ihren ersten Prinzipal. Benutzen Sie die voreingestellten
|
||||
Optionen; Sie können die Einstellungen später
|
||||
mit dem Kommando <command>modify</command> ändern.
|
||||
An der Eingabeaufforderung zeigt das Kommando
|
||||
<command>?</command> Hilfetexte an.</para>
|
||||
|
||||
<para>Zusammengefasst wird die Datenbank wie folgt
|
||||
eingerichtet:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kstash</userinput>
|
||||
Master key: <userinput>xxxxxxxx</userinput>
|
||||
Verifying password - Master key: <userinput>xxxxxxxx</userinput>
|
||||
|
||||
&prompt.root; <userinput>kadmin -l</userinput>
|
||||
kadmin> <userinput>init EXAMPLE.ORG</userinput>
|
||||
Realm max ticket life [unlimited]:
|
||||
kadmin> <userinput>add tillman</userinput>
|
||||
Max ticket life [unlimited]:
|
||||
Max renewable life [unlimited]:
|
||||
Attributes []:
|
||||
Password: <userinput>xxxxxxxx</userinput>
|
||||
Verifying password - Password: <userinput>xxxxxxxx</userinput></screen>
|
||||
|
||||
<para>Jetzt kann das <acronym>KDC</acronym> gestartet werden.
|
||||
Führen Sie zum Start der Dienste die Kommandos
|
||||
<command>/etc/rc.d/kerberos start</command> und
|
||||
<command>/etc/rc.d/kadmind start</command> aus. Obwohl
|
||||
zu diesem Zeitpunkt noch keine kerberisierten Dienste
|
||||
laufen, können Sie die Funktion des <acronym>KDC</acronym>s
|
||||
schon überprüfen. Für den eben angelegten
|
||||
Benutzer können Sie sich vom <acronym>KDC</acronym>
|
||||
Tickets holen und diese Tickets anzeigen:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>k5init <replaceable>tillman</replaceable></userinput>
|
||||
tillman@EXAMPLE.ORG's Password:
|
||||
|
||||
&prompt.user; <userinput>k5list</userinput>
|
||||
Credentials cache: FILE: <filename>/tmp/krb5cc_500</filename>
|
||||
Principal: tillman@EXAMPLE.ORG
|
||||
|
||||
Issued Expires Principal
|
||||
Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG
|
||||
Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG
|
||||
|
||||
v4-ticket file: /tmp/tkt500
|
||||
k5list: No ticket file (tf_util)</screen>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title><application>Kerberos</application>-Dienste
|
||||
einrichten</title>
|
||||
|
||||
<para>Alle Rechner, die kerberisierte Dienste anbieten,
|
||||
müssen eine Kopie der
|
||||
<application>Kerberos</application>-Konfigurationsdatei
|
||||
<filename>/etc/krb5.conf</filename> besitzen. Sie
|
||||
können die Datei einfach vom <acronym>KDC</acronym>
|
||||
kopieren.</para>
|
||||
|
||||
<para>Anschließend müssen Sie die Datei
|
||||
<filename>/etc/krb5.keytab</filename> erzeugen. Im
|
||||
Gegensatz zu normalen Workstations benötigt jeder
|
||||
Server eine <filename>keytab</filename>.
|
||||
Diese Datei enthält den Schlüssel des
|
||||
Servers, mit dem sich der Server und das
|
||||
<acronym>KDC</acronym> gegenseitig authentifizieren
|
||||
können. Die Datei muss sicher auf den Server
|
||||
transportiert werden (beispielsweise mit &man.scp.1;
|
||||
oder einer Diskette). Unter keinen Umständen
|
||||
darf die Datei im Klartext, zum Beispiel mit
|
||||
<acronym>FTP</acronym>, übertragen werden,
|
||||
da sonst die Sicherheit des Servers gefährdet
|
||||
ist.</para>
|
||||
|
||||
<para>Sie können die <filename>keytab</filename> auch
|
||||
mit dem Programm <command>kadmin</command> übertragen.
|
||||
Da Sie mit <command>kadmin</command> sowieso einen Host-Prinzipal
|
||||
für den Server einrichten müssen, ist das ganz
|
||||
praktisch.</para>
|
||||
|
||||
<para>Sie müssen allerdings schon ein Ticket
|
||||
besitzen und berechtigt sein, <command>kadmin</command>
|
||||
auszuführen. Die Berechtigung erhalten Sie durch
|
||||
einen Eintrag in der Zugriffskontrollliste
|
||||
<filename>kadmind.acl</filename>. Weitere Informationen
|
||||
über Zugriffskontrolllisten erhalten Sie in den
|
||||
Heimdal-Info-Seiten (<command>info heimdal</command>)
|
||||
im Abschnitt <quote>Remote administration</quote>. Wenn
|
||||
der Zugriff auf <command>kadmin</command> von entfernten
|
||||
Maschinen verboten ist, müssen Sie sich sicher
|
||||
auf dem <acronym>KDC</acronym> anmelden (lokale Konsole,
|
||||
&man.ssh.1; oder kerberisiertes Telnet) und die
|
||||
<filename>keytab</filename> lokal mit
|
||||
<command>kadmin -l</command> erzeugen.</para>
|
||||
|
||||
<para>Nachdem Sie die Datei <filename>/etc/krb5.conf</filename>
|
||||
installiert haben, können Sie das Kommando
|
||||
<command>kadmin</command> benutzen. An der Eingabeaufforderung
|
||||
von <command>kadmin</command> erstellt das Kommando
|
||||
<command>add --random-key</command> den Host-Prinzipal
|
||||
und das Kommando <command>ext</command> extrahiert den
|
||||
Schlüssel des Prinzipals in eine Datei:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kadmin</userinput>
|
||||
kadmin> <userinput>add --random-key host/myserver.EXAMPLE.ORG</userinput>
|
||||
Max ticket life [unlimited]:
|
||||
Max renewable life [unlimited]:
|
||||
Attributes []:
|
||||
kadmin> <userinput>ext host/myserver.EXAMPLE.ORG</userinput>
|
||||
kadmin> <userinput>exit</userinput></screen>
|
||||
|
||||
<para>Das Kommando <command>ext</command> (von
|
||||
<foreignphrase>extract</foreignphrase>) speichert den
|
||||
extrahierten Schlüssel in der Datei
|
||||
<filename>/etc/krb5.keytab</filename>.</para>
|
||||
|
||||
<para>Wenn auf dem <acronym>KDC</acronym>, vielleicht aus
|
||||
Sicherheitsgründen, <command>kadmind</command>
|
||||
nicht läuft, können Sie das Kommando
|
||||
<command>kadmin</command> von entfernten Rechnern nicht
|
||||
benutzen. In diesem Fall legen Sie den Host-Prinzipal
|
||||
<username>host/myserver.EXAMPLE.ORG</username> direkt
|
||||
auf dem <acronym>KDC</acronym> an. Den Schlüssel
|
||||
extrahieren Sie in eine temporäre Datei (damit
|
||||
die Datei <filename>/etc/krb5.keytab</filename> nicht
|
||||
überschrieben wird):</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kadmin</userinput>
|
||||
kadmin> <userinput>ext --keytab=/tmp/example.keytab host/myserver.example.org</userinput>
|
||||
kadmin> <userinput>exit</userinput></screen>
|
||||
|
||||
<para>Anschließend müssen Sie die erzeugte
|
||||
<filename>example.keytab</filename> sicher auf den
|
||||
Server kopieren (mit <command>scp</command> oder
|
||||
mithilfe einer Diskette). Geben Sie auf jeden Fall
|
||||
einen anderen Namen für die <filename>keytab</filename>
|
||||
an, weil sonst die <filename>keytab</filename> des
|
||||
<acronym>KDC</acronym>s überschrieben würde.</para>
|
||||
|
||||
<para>Wegen der Datei <filename>krb5.conf</filename> kann
|
||||
der Server nun mit dem <acronym>KDC</acronym> kommunizieren
|
||||
und seine Identität mithilfe der Datei
|
||||
<filename>krb5.keytab</filename> nachweisen. Jetzt
|
||||
können wir kerberisierte Dienste aktivieren.
|
||||
Für <command>telnet</command> muss die folgende
|
||||
Zeile in <filename>/etc/inetd.conf</filename> eingefügt
|
||||
werden:</para>
|
||||
|
||||
<programlisting>telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a user</programlisting>
|
||||
|
||||
<para>Ausschlaggebend ist, dass die Authentifizierungs-Methode
|
||||
mit <option>-a</option> auf <literal>user</literal> gesetzt
|
||||
wird. Weitere Details entnehmen Sie bitte der Hilfeseite
|
||||
&man.telnetd.8;.</para>
|
||||
|
||||
<para>Nachdem sie die Zeile in <filename>/etc/inetd.conf</filename>
|
||||
eingefügt haben, starten Sie &man.inetd.8; mit
|
||||
dem Kommando <command>/etc/rc.d/inetd restart</command>
|
||||
durch.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title><application>Kerberos</application>-Clients
|
||||
einrichten</title>
|
||||
|
||||
<para>Ein Client lässt sich leicht einrichten.
|
||||
Sie benötigen nur die
|
||||
<application>Kerberos</application>-Konfigurationsdatei
|
||||
<filename>/etc/krb5.conf</filename>. Kopieren Sie
|
||||
die Konfigurationsdatei einfach vom <acronym>KDC</acronym>
|
||||
auf den Client.</para>
|
||||
|
||||
<para>Sie können jetzt mit <command>kinit</command>
|
||||
Tickets anfordern, mit <command>klist</command> Tickets
|
||||
anzeigen und mit <command>kdestroy</command> Tickets
|
||||
löschen. Sie können mit
|
||||
<application>Kerberos</application>-Anwendungen kerberisierte
|
||||
Server ansprechen. Wenn das nicht funktioniert,
|
||||
Sie aber Tickets anfordern können, hat wahrscheinlich
|
||||
der kerberisierte Server ein Problem und nicht der
|
||||
Client oder das <acronym>KDC</acronym>.</para>
|
||||
|
||||
<para>Wenn Sie eine Anwendung wie <command>telnet</command>
|
||||
testen, können Sie mit einem Paket-Sniffer
|
||||
(beispielsweise &man.tcpdump.1;) überprüfen,
|
||||
dass Passwörter verschlüsselt übertragen
|
||||
werden. Probieren Sie auch die Option <option>-x</option>
|
||||
von <command>telnet</command>, die den gesamten Datenverkehr
|
||||
verschlüsselt (analog zu <command>ssh</command>).</para>
|
||||
|
||||
<para>Die <application>Kerberos</application>-Basisanwendungen
|
||||
<command>kinit</command>, <command>klist</command>,
|
||||
<command>kdestroy</command> und <command>kpasswd</command>
|
||||
gehören zum &os;-Basissystem. Beachten Sie, dass
|
||||
die Programme vor &os; 5.0 in <command>k5init</command>,
|
||||
<command>k5list</command>, <command>k5destroy</command>,
|
||||
<command>k5passwd</command> und <command>k5stash</command>
|
||||
umbenannt wurden.</para>
|
||||
|
||||
<para>Zu Heimdal gehören noch weitere Anwendungen.
|
||||
Allerdings enthält das &os;-Basissystem eine
|
||||
minimale Heimdal-Installation und nur eine
|
||||
kerberisierte Anwendung: <command>telnet</command>.</para>
|
||||
|
||||
<para>Der Heimdal-Port enthält noch mehr kerberisierte
|
||||
Anwendungen wie <command>ftp</command>, <command>rsh</command>,
|
||||
<command>rcp</command> und <command>rlogin</command>.
|
||||
Der <acronym>MIT</acronym>-Port enthält ebenfalls
|
||||
weitere kerberisierte Anwendungen.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title><filename>.k5login</filename> und
|
||||
<filename>.k5users</filename></title>
|
||||
|
||||
<para>Normalerweise wird ein
|
||||
<application>Kerberos</application>-Prinzipal wie
|
||||
<username>tillman@EXAMPLE.ORG</username> auf ein lokales
|
||||
Benutzerkonto, beispielsweise <username>tillman</username>,
|
||||
abgebildet. Daher benötigen Client-Anwendungen (zum
|
||||
Beispiel <command>telnet</command>) keinen Benutzernamen.</para>
|
||||
|
||||
<para>Manchmal wird aber Zugriff auf ein lokales Benutzerkonto
|
||||
benötigt, zu dem es keinen passenden
|
||||
<application>Kerberos</application>-Prinzipal gibt.
|
||||
Der Prinzipal <username>tillman@EXAMPLE.ORG</username>
|
||||
bräuchte beispielsweise Zugriff auf das Konto
|
||||
<username>webdevelopers</username>. Ebenso könnten
|
||||
andere Prinzipale auf dieses Konto zugreifen wollen.</para>
|
||||
|
||||
<para>Die Dateien <filename>.k5login</filename> und
|
||||
<filename>.k5users</filename> im Heimatverzeichnis eines
|
||||
Benutzerkontos gewähren Zugriffe ähnlich wie
|
||||
die Dateien <filename>.hosts</filename> und
|
||||
<filename>.rhosts</filename>. Um den Prinzipalen
|
||||
<username>tillman@example.org</username> und
|
||||
<username>jdoe@example.org</username> auf das Konto
|
||||
<username>webdevelopers</username> zu geben, wird im
|
||||
Heimatverzeichnis von <username>webdevelopers</username>
|
||||
die Datei <filename>.k5login</filename> mit folgendem
|
||||
Inhalt angelegt:</para>
|
||||
|
||||
<screen>tillman@example.org
|
||||
jdoe@example.org</screen>
|
||||
|
||||
<para>Die angegebenen Prinzipale haben nun ohne ein gemeinsames
|
||||
Passwort Zugriff auf das Konto.</para>
|
||||
|
||||
<para>Einzelheiten entnehmen Sie bitte den Hilfeseiten
|
||||
zu diesen Dateien. Die Datei <filename>.k5users</filename>
|
||||
wird in der Hilfeseite des Kommandos <command>ksu</command>
|
||||
beschrieben.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Tipps und Fehlersuche</title>
|
||||
|
||||
<itemizedlist>
|
||||
<listitem>
|
||||
<para>Wenn Sie den Heimdal-Port oder den
|
||||
<acronym>MIT</acronym>-Port benutzen, muss in der
|
||||
Umgebungsvariable <envar>PATH</envar> der Pfad zu
|
||||
den Programmen des Ports vor dem Pfad zu den
|
||||
<application>Kerberos</application>-Programmen des Systems
|
||||
stehen.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Sind die Uhrzeiten der Systeme synchronisiert?
|
||||
Ist die Zeitdifferenz zu groß (normalerweise
|
||||
größer 5 Minuten), dann schlägt
|
||||
die Authentifizierung fehl.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Die <acronym>MIT</acronym>- und Heimdal-Systeme
|
||||
arbeiten bis auf <command>kadmin</command> gut zusammen.
|
||||
Für <command>kadmin</command> wurde das Protokoll
|
||||
nicht normiert.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Wenn Sie den Namen eines Rechners ändern,
|
||||
müssen Sie auch den <username>host/</username>-Prinzipal
|
||||
ändern und die Datei <filename>keytab</filename>
|
||||
aktualisieren. Dies betrifft auch spezielle Einträge
|
||||
wie den Prinzipal für Apaches <filename
|
||||
role="package">www/mod_auth_kerb</filename>.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Die Rechnernamen müssen vor- und
|
||||
rückwärts aufgelöst werden (im
|
||||
<acronym>DNS</acronym> oder in
|
||||
<filename>/etc/hosts</filename>).
|
||||
<acronym>CNAME</acronym>-Einträge im
|
||||
<acronym>DNS</acronym> funktionieren, aber die
|
||||
entsprechenden A- und PTR-Einträge müssen
|
||||
vorhanden und richtig sein. Wenn sich Namen nicht
|
||||
auflösen lassen, ist die Fehlermeldung nicht
|
||||
gerade selbstsprechend: <errorname>Kerberos5 refuses
|
||||
authentication because Read req
|
||||
failed: Key table entry not found</errorname>.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Einige Betriebssysteme installieren
|
||||
<command>ksu</command> mit falschen Zugriffsrechten;
|
||||
es fehlt das Set-UID-Bit für <username>root</username>.
|
||||
Das mag aus Sicherheitsgründen richtig sein,
|
||||
doch funktioniert <command>ksu</command> dann nicht.
|
||||
Dies ist kein Fehler des <acronym>KDC</acronym>s.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Wenn Sie für einen Prinzipal unter
|
||||
<acronym>MIT</acronym>-<application>Kerberos</application>
|
||||
Tickets mit einer längeren Gültigkeit als
|
||||
der vorgegebenen zehn Stunden einrichten wollen,
|
||||
müssen Sie zwei Sachen ändern. Benutzen
|
||||
Sie das <command>modify_principal</command> von
|
||||
<command>kadmin</command>, um die maximale
|
||||
Gültigkeitsdauer für den Prinzipal selbst
|
||||
und den Prinzipal <username>krbtgt</username>
|
||||
zu erhöhen.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Mit einem Packet-Sniffer können Sie feststellen,
|
||||
dass Sie sofort nach dem Aufruf von <command>kinit</command>
|
||||
eine Antwort vom <acronym>KDC</acronym>
|
||||
bekommen – noch bevor Sie überhaupt ein
|
||||
Passwort eingegeben haben! Das ist in Ordnung:
|
||||
Das <acronym>KDC</acronym> händigt
|
||||
ein Ticket-Granting-Ticket (<acronym>TGT</acronym>)
|
||||
auf Anfrage aus, da es durch einen vom Passwort
|
||||
des Benutzers abgeleiteten Schlüssel
|
||||
geschützt ist. Wenn das Passwort
|
||||
eingegeben wird, wird es nicht zum <acronym>KDC</acronym>
|
||||
gesendet, sondern zum Entschlüsseln der
|
||||
Antwort des <acronym>KDC</acronym>s benutzt, die
|
||||
<command>kinit</command> schon erhalten hat.
|
||||
Wird die Antwort erfolgreich entschlüsselt,
|
||||
erhält der Benutzer einen Sitzungs-Schlüssel
|
||||
für die künftige verschlüsselte
|
||||
Kommunikation mit dem <acronym>KDC</acronym> und das
|
||||
Ticket-Granting-Ticket. Das Ticket-Granting-Ticket
|
||||
wiederum ist mit dem Schlüssel des <acronym>KDC</acronym>s
|
||||
verschlüsselt. Diese Verschlüsselung ist
|
||||
für den Benutzer völlig transparent und
|
||||
erlaubt dem <acronym>KDC</acronym>,
|
||||
die Echtheit jedes einzelnen <acronym>TGT</acronym>
|
||||
zu prüfen.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Die Zeit innerhalb des Realms muss synchronisiert
|
||||
sein. Für die Synchronisation setzen Sie am
|
||||
besten <acronym>NTP</acronym> (siehe
|
||||
<xref linkend="network-ntp">) ein.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Wenn Sie <application>OpenSSH</application> verwenden
|
||||
und Tickets mir einer langen Gültigkeit
|
||||
(beispielsweise einer Woche) benutzen, setzen Sie die Option
|
||||
<option>TicketCleanup</option> in der Datei
|
||||
<filename>sshd_config</filename> auf <literal>no</literal>.
|
||||
Ansonsten werden Ihre Tickets gelöscht, wenn Sie
|
||||
sich abmelden.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Host-Prinzipale können ebenfalls Tickets mit
|
||||
längerer Gültigkeit besitzen. Wenn der
|
||||
Prinzipal eines Benutzers über ein Ticket verfügt,
|
||||
das eine Woche gültig ist, das Ticket des
|
||||
Host-Prinzipals aber nur neun Stunden gültig ist,
|
||||
funktioniert der Ticket-Cache nicht wie erwartet.
|
||||
Im Cache befindet sich dann ein abgelaufenes Ticket
|
||||
des Host-Prinzipals.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Wenn Sie mit <filename>krb5.dict</filename> die
|
||||
Verwendung schlechter Passwörter verhindern wollen,
|
||||
geht das nur mit Prinzipalen, denen eine Passwort-Policy
|
||||
zugewiesen wurde. Die Hilfeseite von
|
||||
<command>kadmind</command> beschreibt kurz, wie
|
||||
<filename>krb5.dict</filename> verwendet wird. Das
|
||||
Format von <filename>krb5.dict</filename> ist
|
||||
einfach: Die Datei enthält pro Zeile ein Wort.
|
||||
Sie können daher einen symbolischen Link auf
|
||||
<filename>/usr/share/dict/words</filename> erstellen.</para>
|
||||
</listitem>
|
||||
</itemizedlist>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Unterschiede zum <acronym>MIT</acronym>-Port</title>
|
||||
|
||||
<para>Der Hauptunterschied zwischen
|
||||
<acronym>MIT</acronym>-<application>Kerberos</application>
|
||||
und Heimdal-<application>Kerberos</application>
|
||||
ist das Kommando <command>kadmin</command>.
|
||||
Die Befehlssätze des Kommandos (obwohl funktional
|
||||
gleichwertig) und das verwendete
|
||||
Protokoll unterscheiden sich in beiden Varianten.
|
||||
Das <acronym>KDC</acronym> lässt sich nur mit
|
||||
dem <command>kadmin</command> Kommando der passenden
|
||||
<application>Kerberos</application>-Variante verwalten.</para>
|
||||
|
||||
<para>Für dieselbe Funktion können auch die
|
||||
Client-Anwendungen leicht geänderte Kommandozeilenoptionen
|
||||
besitzen. Folgen Sie bitte der Anleitung auf der
|
||||
<application>Kerberos</application>-Seite
|
||||
(<ulink url="http://web.mit.edu/Kerberos/www/"></ulink>) des
|
||||
<acronym>MIT</acronym>s. Achten Sie besonders auf den
|
||||
Suchpfad für Anwendungen. Der <acronym>MIT</acronym>-Port
|
||||
wird standardmäßig in <filename>/usr/local/</filename>
|
||||
installiert. Wenn die Umgebungsvariable <envar>PATH</envar>
|
||||
zuerst die Systemverzeichnisse enthält, werden die
|
||||
Systemprogramme anstelle der <acronym>MIT</acronym>-Programme
|
||||
ausgeführt.</para>
|
||||
|
||||
<note>
|
||||
<para>Wenn Sie den <acronym>MIT</acronym>-Port
|
||||
<filename role="package">security/krb5</filename> verwenden,
|
||||
erscheint bei der Anmeldung mit <command>telnetd</command>
|
||||
und <command>klogind</command> die Fehlermeldung
|
||||
<errorname>incorrect permissions on cache file</errorname>.
|
||||
Lesen Sie dazu bitte die im Port enthaltene Datei
|
||||
<filename>/usr/local/share/doc/krb5/README.FreeBSD</filename>.
|
||||
Wichtig ist, dass zur Authentifizierung die Binärdatei
|
||||
<command>login.krb5</command> verwendet wird, die
|
||||
für durchgereichte Berechtigungen die Eigentümer
|
||||
korrekt ändert.</para>
|
||||
</note>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Beschränkungen von
|
||||
<application>Kerberos</application></title>
|
||||
|
||||
<sect3>
|
||||
<title><application>Kerberos</application> muss ganzheitlich
|
||||
verwendet werden</title>
|
||||
|
||||
<para>Jeder über das Netzwerk angebotetene Dienst
|
||||
muss mit <application>Kerberos</application>
|
||||
zusammenarbeiten oder auf anderen Wegen gegen Angriffe
|
||||
aus dem Netzwerk geschützt sein. Andernfalls
|
||||
können Berechtigungen gestohlen und wiederverwendet
|
||||
werden. Es ist beispielsweise nicht sinnvoll, für
|
||||
Anmeldungen mit <command>rsh</command> und
|
||||
<command>telnet</command> <application>Kerberos</application>
|
||||
zu benutzen, dagegen aber <acronym>POP3</acronym>-Zugriff
|
||||
auf einen Mail-Server zu erlauben, da <acronym>POP3</acronym>
|
||||
Passwörter im Klartext versendet.</para>
|
||||
</sect3>
|
||||
|
||||
<sect3>
|
||||
<title><application>Kerberos</application> ist für
|
||||
Einbenutzer-Systeme gedacht</title>
|
||||
|
||||
<para>In Mehrbenutzer-Umgebungen ist
|
||||
<application>Kerberos</application> unsicherer als in
|
||||
Einbenutzer-Umgebungen, da die Tickets im für alle
|
||||
lesbaren Verzeichnis <filename>/tmp</filename>
|
||||
gespeichert werden. Wenn ein Rechner von mehreren
|
||||
Benutzern verwendet wird, ist es möglich, dass
|
||||
Tickets gestohlen werden.</para>
|
||||
|
||||
<para>Dieses Problem können Sie lösen, indem Sie mit
|
||||
der Kommandozeilenoption <option>-c</option> oder besser
|
||||
mit der Umgebungsvariablen <envar>KRB5CCNAME</envar> einen
|
||||
Ort für die Tickets vorgeben. Diese Vorgehensweise
|
||||
wird leider selten benutzt. Es reicht, die Tickets
|
||||
im Heimatverzeichnis eines Benutzers zu speichern und
|
||||
mit Zugriffsrechten zu schützen.</para>
|
||||
</sect3>
|
||||
|
||||
<sect3>
|
||||
<title>Das <acronym>KDC</acronym> ist verwundbar</title>
|
||||
|
||||
<para>Das <acronym>KDC</acronym> muss genauso abgesichert
|
||||
werden wie die auf ihm befindliche Passwort-Datenbank.
|
||||
Auf dem <acronym>KDC</acronym> dürfen keine anderen
|
||||
Dienste laufen und der Rechner sollte physikalisch
|
||||
gesichert sein. Die Gefahr ist groß, da
|
||||
<application>Kerberos</application> alle Passwörter
|
||||
mit einem Schlüssel, dem Haupt-Schlüssel,
|
||||
verschlüsselt. Der Haupt-Schlüssel wiederum
|
||||
wird in einer Datei auf dem <acronym>KDC</acronym>
|
||||
gespeichert.</para>
|
||||
|
||||
<para>Ein kompromittierter Haupt-Schlüssel ist nicht
|
||||
ganz so schlimm wie allgemein angenommen. Der
|
||||
Haupt-Schlüssel wird nur zum Verschlüsseln
|
||||
der Passwort-Datenbank und zum Initialisieren des
|
||||
Zufallsgenerators verwendet. Solange der Zugriff
|
||||
auf das <acronym>KDC</acronym> abgesichert ist, kann
|
||||
ein Angreifer wenig mit dem Haupt-Schlüssel
|
||||
anfangen.</para>
|
||||
|
||||
<para>Wenn das <acronym>KDC</acronym> nicht zur Verfügung
|
||||
steht, vielleicht wegen eines Denial-of-Service Angriffs
|
||||
oder wegen eines Netzwerkproblems, ist eine Authentifizierung
|
||||
unmöglich. Damit können die Netzwerk-Dienste
|
||||
nicht benutzt werden; das <acronym>KDC</acronym> ist
|
||||
also ein optimales Ziel für einen Denial-of-Service
|
||||
Angriff. Sie können diesem Angriff ausweichen,
|
||||
indem Sie mehrere <acronym>KDC</acronym>s (einen Master
|
||||
und einen oder mehrere Slaves) verwenden. Der Rückfall
|
||||
auf ein sekundäres <acronym>KDC</acronym> oder
|
||||
eine andere Authentifizierungs-Methode (dazu ist
|
||||
<acronym>PAM</acronym> bestens geeignet) muss sorgfältig
|
||||
eingerichtet werden.</para>
|
||||
</sect3>
|
||||
|
||||
<sect3>
|
||||
<title>Mängel von
|
||||
<application>Kerberos</application></title>
|
||||
|
||||
<para>Mit <application>Kerberos</application> können
|
||||
sich Benutzer, Rechner und Dienste gegenseitig
|
||||
authentifizieren. Allerdings existiert kein Mechanismus,
|
||||
der das <acronym>KDC</acronym> gegenüber Benutzern,
|
||||
Rechnern oder Diensten authentifiziert. Ein verändertes
|
||||
<command>kinit</command> könnte beispielsweise alle
|
||||
Benutzernamen und Passwörter abfangen. Die von
|
||||
veränderten Programmen ausgehende Gefahr können
|
||||
Sie lindern, indem Sie die Integrität von Dateien
|
||||
mit Werkzeugen wie
|
||||
<filename role="package">security/tripwire</filename>
|
||||
prüfen.</para>
|
||||
</sect3>
|
||||
</sect2>
|
||||
</sect1>
|
||||
|
||||
<sect1 id="firewalls">
|
||||
<sect1info>
|
||||
<authorgroup>
|
||||
|
|
@ -3329,9 +4083,8 @@ Netzwerk #2 [ Interne Rechner ]
|
|||
in diesem Abschnitt beschrieben werden.</para>
|
||||
</listitem>
|
||||
</orderedlist>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<sect3>
|
||||
<title>Schritt 1: Die virtuelle Verbindung einrichten</title>
|
||||
|
||||
<para>Nehmen wir an, sie wollten von der Gateway-Maschine
|
||||
|
|
@ -3576,9 +4329,9 @@ route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00"</programlisting>
|
|||
müssen vertauscht werden, vor.</para>
|
||||
</listitem>
|
||||
</itemizedlist>
|
||||
</sect2>
|
||||
</sect3>
|
||||
|
||||
<sect2>
|
||||
<sect3>
|
||||
<title>Schritt 2: Die Verbindung mit IPsec schützen</title>
|
||||
|
||||
<para>Um die Verbindung zu schützen, verwenden wir IPsec.
|
||||
|
|
@ -4046,6 +4799,7 @@ ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D</programlisting>
|
|||
auf beiden Netzen können miteinander kommunizieren
|
||||
und der Datenverkehr zwischen beiden Netzen wird automatisch
|
||||
verschlüsselt.</para>
|
||||
</sect3>
|
||||
</sect2>
|
||||
</sect1>
|
||||
|
||||
|
|
|
|||
|
|
@ -2,8 +2,8 @@
|
|||
The FreeBSD Documentation Project
|
||||
|
||||
$FreeBSD$
|
||||
$FreeBSDde: de-docproj/books/handbook/x11/chapter.sgml,v 1.13 2003/09/03 20:22:26 mheinen Exp $
|
||||
basiert auf: 1.129
|
||||
$FreeBSDde: de-docproj/books/handbook/x11/chapter.sgml,v 1.14 2003/09/05 11:55:25 mheinen Exp $
|
||||
basiert auf: 1.130
|
||||
-->
|
||||
|
||||
<chapter id="x11">
|
||||
|
|
|
|||
Loading…
Reference in a new issue