搭建kerberos和NTP服务器以及安全的NFS服务

Kerberos协议主要用于计算机网络的身份鉴别(Authentication), 它的特点是用户只需输入一次身份验证信息就可以凭借此验证获得的票据(ticket-granting ticket)访问多个服务，即SSO(Single Sign On)。由于在每个Client和Service之间建立了共享密钥，使得该协议具有相当的安全性。

Kerberos协议分为两个部分：

1.Client向KDC发送自己的身份信息，KDC从Ticket Granting Service得到TGT(ticket-granting ticket)，并用协议开始前Client与KDC之间的密钥将TGT加密回复给Client。

此时只有真正的Client才能利用它与KDC之间的密钥将加密后的TGT解密，从而获得TGT。

（此过程避免了Client直接向KDC发送密码，以求通过验证的不安全方式）

2.Client利用之前获得的TGT向KDC请求其他Service的Ticket，从而通过其他Service的身份鉴别。

用对话场景来解释kerbeors的设计过程请参考：

https://blog.csdn.net/dog250/article/details/5468741

kerberos认证原理请参考：****

https://blog.csdn.net/wulantian/article/details/42418231

kerberos认证简易流程：这里就不详解kerberos的原理和搭建设计思路了。

概念补充：

1、principal

认证的主体，简单来说就是"用户名"

2、realm

　　realm有点像编程语言中的namespace。在编程语言中，变量名只有在某个"namespace"里才有意义。同样的，一个principal只有在某个realm下才有意义。

所以realm可以看成是principal的一个"容器"或者"空间"。相对应的，principal的命名规则是"what_name_you_like@realm"。

在kerberos, 大家都约定成俗用大写来命名realm, 比如"EXAMPLE.COM"

3、password

　　某个用户的密码，对应于kerberos中的master_key。password可以存在一个keytab文件中。所以kerberos中需要使用密码的场景都可以用一个keytab作为输入。

4、credential

　　credential是“证明某个人确定是他自己/某一种行为的确可以发生”的凭据。在不同的使用场景下， credential的具体含义也略有不同：

对于某个principal个体而言，他的credential就是他的password。

在kerberos认证的环节中，credential就意味着各种各样的ticket。

10.2 使用ntp搭建NTP时间服务器

10.2.1 安装软件包

在我们RHEL7.4的ISO镜像文件中有ntp的包，所以直接yum安装即可。

1 [root@foundation ~]# yum install ntp

10.2.2 配置

#简化配置文件，去掉所有注释，可以使用egrep -v
[root@foundation ~]# grep -v -E "^$|#" /etc/ntp.conf
driftfile /var/lib/ntp/drift
restrict default nomodify notrap nopeer noquery
restrict 172.25.0.55 nomodify notrap nopeer noquery
restrict 127.0.0.1
restrict ::1
server 127.127.1.0
fudge 127.127.1.0 stratum 10
includefile /etc/ntp/crypto/pw
keys /etc/ntp/keys
disable monitor

配置参数的解释

#以下是配置项的解释
[root@foundation ~]# cat /etc/ntp.conf

For more information about this file, see the man pages

ntp.conf(5), ntp_acc(5), ntp_auth(5), ntp_clock(5), ntp_misc(5), ntp_mon(5).

driftfile /var/lib/ntp/drift #预定义的时间差异分析档案存放的路径，一般不作更改

Permit time synchronization with our time source, but do not

permit the source to query or modify the service on this system.

restrict default nomodify notrap nopeer noquery #拒绝IPV4的用户
#restrict -6 default kod nomodify notrap nopeer noquery #拒绝 IPv6 的用户

restrict 172.25.0.55 nomodify notrap nopeer noquery #当前节点的IP地址

Permit all access over the loopback interface. This could

be tightened as well, but to do so would effect some of

the administrative functions.

#放行局域网用户来源，也可以单独列出IP地址
restrict 172.25.0.0 mask 255.255.255.0 nomodify #一般是局域网中网关的IP或者直接是网段
#单独列出IP放行主机（上游主机）进入本NTP源的格式如下
restrict 172.25.0.11

#下面的是默认值，放行本机来源
restrict 127.0.0.1
restrict ::1

Hosts on local network are less restricted.

#restrict 192.168.1.0 mask 255.255.255.0 nomodify notrap

Use public servers from the pool.ntp.org project.

Please consider joining the pool (http://www.pool.ntp.org/join.html).

#设置上游主机来源，一般会先注释掉默认的几个
#server 0.rhel.pool.ntp.org iburst
#server 1.rhel.pool.ntp.org iburst
#server 2.rhel.pool.ntp.org iburst
#server 3.rhel.pool.ntp.org iburst
#上游主机
#server 172.25.0.77 prefer #加上prefer表示这台主机优先

#默认当上游主机找不到，我们就使用本机的时间作为时间服务
server 127.127.1.0
fudge 127.127.1.0 stratum 10

#broadcast 192.168.1.255 autokey # broadcast server
#broadcastclient # broadcast client
#broadcast 224.0.1.1 autokey # multicast server
#multicastclient 224.0.1.1 # multicast client
#manycastserver 239.255.254.254 # manycast server
#manycastclient 239.255.254.254 autokey # manycast client

Enable public key cryptography.

#crypto

includefile /etc/ntp/crypto/pw

Key file containing the keys and key identifiers used when operating

with symmetric key cryptography.

keys /etc/ntp/keys

Specify the key identifiers which are trusted.

#trustedkey 4 8 42

Specify the key identifier to use with the ntpdc utility.

#requestkey 8

Specify the key identifier to use with the ntpq utility.

#controlkey 8

Enable writing of statistics records.

#statistics clockstats cryptostats loopstats peerstats

Disable the monitoring facility to prevent amplification attacks using ntpdc

monlist command when default restrict does not include the noquery flag. See

CVE-2013-5211 for more details.

Note: Monitoring will not be disabled with the limited restriction flag.

disable monitor

restrict [ 客户端IP ] mask [ IP掩码 ] [参数]
“客户端IP” 和 “IP掩码” 指定了对网络中哪些范围的计算机进行控制，如果使用default关键字，则表示对所有的计算机进行控制，参数指定了具体的限制内容，常见的参数如下：
◆ ignore：拒绝连接到NTP服务器
◆ nomodiy：客户端不能更改服务端的时间参数，但是客户端可以通过服务端进行网络校时。
◆ noquery：不提供客户端的时间查询
◆ notrap：不提供trap远程登录功能，trap服务是一种远程时间日志服务。
◆ notrust：客户端除非通过认证，否则该客户端来源将被视为不信任子网。
◆ nopeer：提供时间服务，但不作为对等体。
◆ kod：向不安全的访问者发送Kiss-Of-Death报文。

server host [ key n ] [ version n ] [ prefer ] [ mode n ] [ minpoll n ] [ maxpoll n ] [ iburst ]
其中host是上层NTP服务器的IP地址或域名，随后所跟的参数解释如下所示：
◆ key：表示所有发往服务器的报文包含有秘钥加密的认证信息，n是32位的整数，表示秘钥号。
◆ version：表示发往上层服务器的报文使用的版本号，n默认是3，可以是1或者2。
◆ prefer：如果有多个server选项，具有该参数的服务器有限使用。
◆ mode：指定数据报文mode字段的值。
◆ minpoll：指定与查询该服务器的最小时间间隔为2的n次方秒，n默认为6，范围为4-14。
◆ maxpoll：指定与查询该服务器的最大时间间隔为2的n次方秒，n默认为10，范围为4-14。
◆ iburst：当初始同步请求时，采用突发方式接连发送8个报文，时间间隔为2秒

启动服务并设置服务为自启动并配置防火墙放行123端口

1 [root@foundation ~]# systemctl restart ntpd
2 [root@foundation ~]# systemctl enable ntpd
3 [root@foundation ~]# firewall-cmd --permanent --add-service=ntp && firewall-cmd --reload
4 [root@foundation ~]# ntpq -p #服务端检查ntp同步是否正常
5 [root@foundation ~]# netstat -lntup|grep 123 #查看端口监听情况

注意：ntpq -p 命令在服务端检查ntp同步是否正常时，一般有输出不报错就没问题的，

但是也可能遇到当所有远程服务器的jitter值都为4000，并且reach和dalay的值是0时，就表示时间同步有问题。

主要原因有两个，一是服务端防火墙没有允许123端口通过，而是NTP服务重启后和客户端建立连接一般需要3-5分钟，

这个时间段可能不会正常同步。（下图为正常情况，图中的*LOCAL()表示正在使用本机时间作为NTP的时间服务）。

10.2.3 测试（在rhel7这台主机）

这里我们使用chronyd作为客户端，也可以使用ntpd作为客户端

1 [root@rhel7 /]# systemctl restart chronyd
2 [root@rhel7 /]# systemctl enable chronyd
3 [root@rhel7 /]# vim /etc/chrony.conf
4 注释掉以前的上游服务器地址，然后添加我们的foudation.mei.com主机

注意，刚配置完服务器端，马上就用chronyc测试，可能会一直同步不到，

当然也可能是之前配置时服务器端忘记了防火墙放行123端口，建议直接使用ntpdate命令来测试。

如果ntpdate测试出现no server suitable for synchronization found错误提示，前面防火墙也没问题，

那么可能是每次重启ntp服务器之后，大约3-5分钟客户端才能与服务端建立连接，

建立连接之后才能进行时间同步，这段时间内可能客户端确实还没有和服务端连接，所以就报错。

出现这种情况稍等片刻再测试就行。

使用ntpdate测试

1 [root@rhel7 ~]# date
2 Mon Jul 8 06:10:22 CST 2019
3 [root@rhel7 ~]# date -s 2017-09-01
4 Fri Sep 1 00:00:00 CST 2017
5 [root@rhel7 ~]# ntpdate 172.25.0.55 #这里是NTP服务器的地址，可以是域名
6 8 Jul 06:10:41 ntpdate[13649]: step time server 172.25.0.55 offset 58342229.655396 sec
7 [root@rhel7 ~]# date #再次获取时间能够看到时间已经同步
8 Mon Jul 8 06:21:59 CST 2019

10.3 使用chronyd搭建NTP时间服务器

10.3.1 安装

因为RHEL7默认安装了chronyd的，所以我们直接就可以使用了，如果没有直接yum安装即可。

10.3.1 配置

直接编辑配置文件如下

[root@foundation ~]# grep -v -E "^$|#" /etc/chrony.conf
server 0.rhel.pool.ntp.org iburst
server 1.rhel.pool.ntp.org iburst
server 2.rhel.pool.ntp.org iburst
server 3.rhel.pool.ntp.org iburst
stratumweight 0
driftfile /var/lib/chrony/drift
rtcsync
makestep 10 3
allow 172.25.0.0/16
bindcmdaddress 127.0.0.1
bindcmdaddress ::1
bindcmdaddress 172.25.0.55
local stratum 10
keyfile /etc/chrony.keys
commandkey 1
generatecommandkey
noclientlog
logchange 0.5
logdir /var/log/chrony

配置选项（参数）解释

# 用于添加时钟服务器，可以添任意多个
server 0.rhel.pool.ntp.org iburst
server 1.rhel.pool.ntp.org iburst
server 2.rhel.pool.ntp.org iburst
server 3.rhel.pool.ntp.org iburst

Ignore stratum in source selection.

stratumweight指令设置当chronyd从可用源中选择同步源时，每个层应该添加多少距离到同步距离。默认情况下，设置为0，让chronyd在选择源时忽略源的层级。

stratumweight 0

Record the rate at which the system clock gains/losses time.

chronyd程序的主要行为之一，就是根据实际时间计算出计算机增减时间的比率，将它记录到一个文件中是最合理的，它会在重启后为系统时钟作出补偿，甚至可能的话，会从时钟服务器获得较好的估值。

driftfile /var/lib/chrony/drift

Enable kernel RTC synchronization.

rtcsync指令将启用一个内核模式，在该模式中，系统时间每11分钟会拷贝到实时时钟（RTC）。

rtcsync

In first three updates step the system clock instead of slew

if the adjustment is larger than 10 seconds.

通常，chronyd将根据需求通过减慢或加速时钟，使得系统逐步纠正所有时间偏差。在某些特定情况下，系统时钟可能会漂移过快，导致该调整过程消耗很长的时间来纠正系统时钟。该指令强制chronyd在调整期大于某个阀值时步进调整系统时钟，但只有在因为chronyd启动时间超过指定限制（可使用负值来禁用限制），没有更多时钟更新时才生效。
makestep 10 3

Allow NTP client access from local network.

这里你可以指定一台主机、子网，或者网络以允许或拒绝NTP连接到扮演时钟服务器的机器。

#allow 172.25.0.0/24
#deny 172.25.0.11

Listen for commands only on localhost.

该指令允许你限制chronyd监听哪个网络接口的命令包（由chronyc执行）。该指令通过cmddeny机制提供了一个除上述限制以外可用的额外的访问控制等级。

bindcmdaddress 127.0.0.1
bindcmdaddress ::1

Serve time even if not synchronized to any NTP server.

#local stratum 10

keyfile /etc/chrony.keys

Specify the key used as password for chronyc.

commandkey 1

Generate command key if missing.

generatecommandkey

Disable logging of client accesses.

noclientlog

Send a message to syslog if a clock adjustment is larger than 0.5 seconds.

logchange 0.5

logdir /var/log/chrony
#log measurements statistics tracking

重启服务并且防火墙放行123端口通过

1 [root@foundation ~]# systemctl restart chronyd && systemctl enable chronyd
2 [root@foundation ~]# firewall-cmd --permanent --add-service=ntp
3 [root@foundation ~]# firewall-cmd --reload

10.3.2 客户端配置和测试（在rhel7这台主机）

配置：

在上游服务器的配置参数中添加我们刚才创建的服务器地址，可以是域名，也可以直接是IP地址。

然后测试：

注意，刚配置完服务器端，马上就用chronyc测试，可能会一直同步不到，当然也可能是之前配置时服务器端忘

记了防火墙放行123端口，建议直接使用ntpdate命令来测试。

如果ntpdate测试出现no server suitable for synchronization found错误提示，前面防火墙也没问题，

那么可能是每次重启ntp服务器之后，大约3-5分钟客户端才能与服务端建立连接，建立连接之后才能进行时间同步，

这段时间内可能客户端确实还没有和服务端连接，所以就报错。

出现这种情况稍等片刻再测试就行。

使用ntpdate测试

10.4 kerberos搭建

10.4.1 安装软件包

1 [root@foundation ~]# yum install krb5-server krb5-libs krb5-workstation -y

10.4.2 编辑配置文件

配置文件的具体含义和配置参数请直接参考官方文档（虽然是英文，但是技术文档一般都不会有很难的单词

，实在不行可以使用浏览器的翻译插件看，千万不要抵触英文）。

https://web.mit.edu/kerberos/krb5-latest/doc/admin/conf_files/index.html

[root@foundation ~]# cat /etc/krb5.conf

Configuration snippets may be placed in this directory as well

includedir /etc/krb5.conf.d/

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false

default_realm = EXAMPLE.COM

default_realm = MEI.COM
default_ccache_name = KEYRING:persistent:%{uid}

[realms]

EXAMPLE.COM = {

kdc = kerberos.example.com

admin_server = kerberos.example.com

}

MEI.COM = {
kdc = foundation.mei.com
admin_server = foundation.mei.com
}

[domain_realm]

.example.com = EXAMPLE.COM

example.com = EXAMPLE.COM

.mei.com = MEI.COM

[root@foundation ~]# cat /var/kerberos/krb5kdc/kdc.conf
[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88

[realms]
MEI.COM = {
kadmind_port = 749
max_life = 12h 0m 0s
max_renewable_life = 7d 0h 0m 0s
#master_key_type = aes256-cts
#master_key_type = aes256-cts
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
}/var/kerberos/krb5kdc/kadm5.acl

[root@foundation ~]# cat /var/kerberos/krb5kdc/kadm5.acl
*/admin@MEI.COM *

10.4.3创建数据库

1 kdb5_util create -s -r MEI.COM #如果有多个realm这样就很有必要

10.4.4 添加数据库的管理员

添加database administrator
我们需要为Kerberos database添加administrative principals (即能够管理database的principals) —— 至少要添加1个principal来使得Kerberos的管理进程kadmind能够在网络上与程序kadmin进行通讯。：
kadmin.local -q "addprinc admin/admin"
或者：
[root@foundation ~]# kadmin.local
Authenticating as principal root/admin@MEI.COM with password.
kadmin.local: addprinc admin/admin
WARNING: no policy specified for admin/admin@MEI.COM; defaulting to no policy
Enter password for principal "admin/admin@MEI.COM":
Re-enter password for principal "admin/admin@MEI.COM":
Principal "admin/admin@MEI.COM" created.

10.4.4 启动服务并添加防火墙策略

1 [root@foundation ~]# systemctl restart krb5kdc kadmin
2 [root@foundation ~]# systemctl enable krb5kdc kadmin
3 [root@foundation ~]# firewall-cmd --permanent --add-service=kerberos
4 [root@foundation ~]# firewall-cmd --reload

10.4.5 添加principal

使用下面这种语法添加用户的同时添加密码（密码会显示在命令行输出中）：
kadmin.local -q "addprinc -pw "
或者下面这种语法，交互式输入密码
kadmin.local -q "addprinc "
再或者交互式添加和设置密码（建议使用）：
[root@foundation ~]# kadmin.local
Authenticating as principal host/admin@MEI.COM with password.
kadmin.local: addprinc host/rhel7
---中间输出省略---
按照此方法依次添加principal：
nfs/rhel7
host/rhel6
nfs/rhel6
host/foundation
nfs/foundation
后面如果有需要就按上面的方式添加principal即可
#下面为查看KDC的principal（简单说就是用户名）配置：
kadmin.local: listprincs
K/M@MEI.COM
admin/admin@MEI.COM
host/foundation@MEI.COM
host/rhel6@MEI.COM
host/rhel7@MEI.COM
kadmin/admin@MEI.COM
kadmin/changepw@MEI.COM
kadmin/foundation@MEI.COM
kiprop/foundation@MEI.COM
krbtgt/MEI.COM@MEI.COM
nfs/foundation@MEI.COM
nfs/rhel6@MEI.COM
nfs/rhel7@MEI.COM

10.4.6 服务端验证principal是否添加成功

1 可使用下面命令验证我们添加的principal，这里只验证一个作为例子。
2 [root@foundation ~]# kinit host/foundation
3 Password for host/foundation@MEI.COM:
4 [root@foundation ~]#

10.4.7 导出keytab文件并且不修改密码

kadmin:xst -norandkey -k /path/to/name.keytab
或者：
ktadd -norandkey -k /path/to/name.keytab

我们需要导出为某台主机添加的所有相关principal的keytab文件（即host/rhel7和nfs/rhe7）
例如：
[root@foundation ~]# kadmin.local
Authenticating as principal root/admin@MEI.COM with password.
kadmin.local: ktadd -norandkey -k /root/rhel7.keytab host/rhel7
---输出信息省略---
kadmin.local: ktadd -norandkey -k /root/rhel7.keytab nfs/rhel7
---输出信息省略---
注意：如果每次导出keytab文件的路径指向同一个文件，它将自动追加，这也正是我们需要的（让keytab存储多个信息）。

查看keytab文件
klist -kt /ptah/to/name.keytab
[root@foundation ~]# klist -kt /root/rhel7.keytab
Keytab name: FILE:/root/rhel7.keytab
KVNO Timestamp Principal
---输出信息省略---

10.4.6 客户端配置

1 安装软件包：
2 [root@rhel7 ~]# yum install krb5-workstation krb5-libs
3 拷贝服务端的krb5.conf文件替换客户端的krb5.conf文件，并保持随时同步。
4 使用scp 等方式拷贝即可。

10.5 配置安全的NFS来测试kerberos

这里我们使用NFS的安全挂载来测试，安全方式使用kerb5p，NFS的搭建和客户端配置这里就不赘述了，并且这里我们使用前面搭建好的NFS环境即可。

注意，全程要保证时钟能够正常同步

10.5.1 NFS配置服务端

1 [root@foundation ~]# mkdir /nfssecure
2 [root@foundation ~]# grep "nfssecure" /etc/exports
3 [root@foundation ~]# vim /etc/sysconfig/nfs

从kerberos导出foudation这台主机相关的keytab文件，放到/etc/目录下面，并且重命名为krb5.keytab。

1 [root@foundation ~]# systemctl enable nfs-secure
2
3 [root@foundation ~]# systemctl restart nfs-secure

10.5.2 NFS客户端配置

从kerberos导出客户端这台主机的相关的keytab文件，放到/etc/目录下面，并且重命名为krb5.keytab。

编辑/etc/fstab文件

添加如下内容

1 foundation.mei.com:/nfssecure/ /mnt/ nfs defaults,v4.2,sec=krb5p 0 0

然后 mount -a 挂载

10.5.3 kerberos故障排除

挂载过程中可能会遇到下面的问题

1 [root@rhel7 ~]# mount -a
2 mount.nfs: access denied by server while mounting foundation.mei.com:/nfssecure/

排除故障的思路：

1、使用kinit -kt /path/to/name.keytab 确认能不能初始化

2、如果不能初始化，看服务端krb5kdc kdamin服务是否启动，防火墙是否允许kerberos通过；

3、在防火墙和服务都没有问题的情况下看/var/log/krb5kdc.log 里面的错误日志信息。

4、下面是查看日志排错过程：

[root@foundation ~]# tail -f /var/log/krb5kdc.log #实时查看错误日志信息

然后在客户端执行mount -a

返回到foundation看刚才的实时日志，这里我的错误如下：

Jul 09 19:05:26 foundation krb5kdc[11244](info): TGS_REQ (4 etypes {18 17 16 23}) 172.25.0.15: LOOKING_UP_SERVER: authtime 0, host/rhel7@MEI.COM for nfs/www.mei.com@MEI.COM, Server not found in Kerberos database

显然，客户端在认证是它要验证的是nfs/www.mei.com@MEI.COM，而我们的kerberos数据库中确实没有，

这里我们直接使用kadmin.local命令添加一个这样的用户，然后导出它的keytab文件并追加到之前导出

的foundation相关的keytab文件中即可，注意，这里指的追加是指导出时直接指定同一个文件，而不是控制台的追加重定向。

10.6 kerberos相关的一些命令介绍

服务端可以使用kadmin.local直接登录kerberos交互式进行管理，能补全，也可以非交互式的方式管理，但不能补全。
1、生成keytab:使用xst命令或者ktadd命令
不加/path/to/name.keytab（路径）和-k参数就存储到/etc/krb5.keytab
kadmin:xst -k /path/to/name.keytab username
或者
kadmin.local -q "ktadd -norandkey -k /path/to/name.keytab "
2、查看当前的认证用户
klist
3、删除当前的认证的缓存
kdestroy
4、验证用户
kinit -kt /path/to/name.keytab username #使用keytab文件加用户名
kinit username #直接使用用户名验证
5、创建principal
kadmin.local -q "addprinc -pw "
或者：
kadmin.local -q "addprinc "
6、查询keytab文件内容
klist -kt /path/to/name.keytab
7、查询KDC用户列表
kadmin.local: listprincs
8、删除用户
kadmin.local -q "delprinc -force "
9、修改密码
kpasswd 用户名
10、klist命令
klist 命令显示 Kerberos 凭证高速缓存或密钥表的内容。具体可以看man帮助
12、kadmin.local命令
具体可以看帮助或者shell执行kadmin.local然后进入后输入问号，能够显示命令的用法。

最后希望大家提意见、转发、评论和交流！！！

手机扫一扫

移动阅读更方便

你可能感兴趣的文章