Skip to main content

ssh authentication with kerberos


This documentation have been tested on CentOS 7.

Install KDC

# yum install -y krb5-server krb5-workstation pam_krb5  

Hostname and resolving Set your hostname

  # hostnamectl set-hostname hanthana.ucsc.com
verify your hostname

# hostname Your domain should resolve. In case if you do not use dns service..
[danishka@kdc ~]$ cat /etc/hosts
192.168.1.101  hanthana.ucsc.com
127.0.0.1  localhost.localdomain localhost 
::1  localhost6.localdomain6 localhost6


Server Configuration

# ls /var/kerberos/krb5kdc/
kadm5.acl  kdc.conf
 
ACL grant all privileges to anyone with admin role. 
Replace EXAMPLE.COM with your realm.
 
# cd  /var/kerberos/krb5kdc/
# cat kadm5.acl 
*/admin@UCSC *
 
# cat kdc.conf 
[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 UCSC.COM = {
  #master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }


Client Configuration
# cat /etc/krb5.conf

includedir /etc/krb5.conf.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 default_realm = UCSC.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 UCSC.COM = {
  kdc = hanthana.ucsc.com
  admin_server = hanthana.ucsc.com
 }

[domain_realm]
 .ucsc.com = UCSC.COM
 ucsc.com = UCSC.COM

KDC Database

# kdb5_util create -s -r UCSC.COM
 
Start and enable kadmin and krbkdc services
# systemctl start kadmin.service 
# systemctl start krb5kdc.service 
# systemctl enable kadmin.service 
# systemctl enable krb5kdc.service 

Principals
Objects in the KDC database known as principals, those objects can be users or hosts.
So we need to add each principal for each object. 
# kadmin.local kadmin.local: addprinc root/admin kadmin.local: addprinc danishka kadmin.local: addprinc host/hanthana.ucsc.com kadmin.local: quit

Copy enrypted Kerberos keytab files

# kadmin.local
kadmin.local: addprinc -randkey host/hanthana.ucsc.com
kadmin.local: ktadd host/hanthana.ucsc.com
kadmin.local: quit
 
Configure ssh client to allow clients to use Kerberos authentication.

Edit /etc/ssh/ssh_config
 
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes
Now update PAM configuration
# authconfig  --enablekrb5 --update
Reload ssh configuration
# systemctl reload sshd.service
 
 
As local user you should able to get your token
[danishka@kdc ~]$ klist 
Ticket cache: KEYRING:persistent:1000:1000
Default principal: danishka@UCSC.COM

Valid starting       Expires              Service principal
08/28/2018 11:19:21  08/29/2018 10:56:50  krbtgt/UCSC.COM@UCSC.COM
 
In case if you get following result, run kinit instead
 
$ klist 
klist: Credentials cache keyring 'persistent:1000:1000' not found
[madura@localhost ~]$ kinit 
Password for danishka@UCSC.COM: 
[madura@localhost ~]$ klist 
Ticket cache: KEYRING:persistent:1000:1000
Default principal: danishka@UCSC.COM

Valid starting       Expires              Service principal
08/28/2018 11:19:21  08/29/2018 10:56:50  krbtgt/UCSC.COM@UCSC.COM  
 
 

Now SSH without password using your Kerberos token.

[danishka@kdc ~]$ ssh hanthana.ucsc.com
Last login: Tue Aug 28 13:49:19 2018 from 192.168.1.99

Create .pcap file
 
tcpdump -i any -w /tmp/tcpdump.pcap 

Comments

Popular posts from this blog

හේරත් ගෙදර ගියා

2008 වසරේ දිනක මධ්‍යම පළාත් තොරතුරු තාක්ශන පුහුණු මධ්‍යස්්ථානයේ පැවති දින 5ක නේවාසික වැඩසටහනක් අධ්‍යාපන අමාත්‍යාංශයෙන් දියත් කළා. මේක කළේ සුෙච්ත ඔව් අර අලුත්ගම සින් එකට තනියම පිකට් කළේ එයා තමයි. මේ වැඩසටහනට විවිධ ගුරු චරිත එක්ව සිටියා. ඒ අය විවිධ වු හැකියාවන් වගේම ගති ගුණ තිබු අය. හේරත් සර් ඔවුන් අතරින් කෙනෙක්. නඩේ ගුරා මෙරට ‘පරිගණකයක් භාවිතයෙන්’ රජයේ පාසලක පරිගණක අධ්‍යාපනය ලබා දේ නම් ඒ සැම පාසලකම වගේ තොරතුරු තාක්ශන ගුරුවරු මෙන්ම අධ්‍යාපන විද්‍යාපිඨ වල පිරිස් ද මේ හේරත් චරිතය අනිවාර්යෙන්ම දන්නව. මොකද පාසල් වල වාර්ශික පරිගණක නඩත්තුව සදහා රට වටා යන ගුරුවරුන් කිහිප දෙනාගෙන් කෙනෙක් මොහු. අැත්තටම මොහු ඒ ගමනේ නඩේ ගුරා කිවත් වැරදි නැ. කොට අදින අලි මේ පිරිස රටවටේ යමින් පැත්තකට විසි කර තිබු පරිගණකවලින් අඩකට වඩා සැම විටම යළි භාවිත කළ හැකි අයුරින් පිළිසකර කර දීමත්, පාසල් වලින් එන ගුරුවරුන් සහ දරුවන් සදහා තම දැණුම බෙදා දිමත් නොපැකිලව සිදු කරනව. නමුත් මේ මුදල් ඉතිරිය ඔබ මෙතෙක් නොදැන සිටියා විය හැක. බටා ගෙනව නේද? ඇත්තටම ගාල්ල අවට පුදගලික මට්ටමින් අප සංවිධානය කළ වැඩසටහන් ගණනාවකට නුවර සිට තම යතුරු …

ජාතිවාදය සහ අන්තර්ජාල නිදහස

තිස් වසරක යුද්ධයෙන බැටකැ රටක් ලෙස අමිහිරි අත් දැකීම් සහ කදුලු පිරිණු රටක් යළිත් ලේ විලක් බවට පරිවර්තනය වීම කිසී සේත්ම නොවිය යුත්තක්!

තම දේශපාලන, ව්‍යාපාරික සහ උද්ගලික අවශ්‍යතා සඳහා කෝටත් තෛලය ලෙස ජාතිවාදය ඈවිස්සීම අපේ රටේ සමහරක්ට සුලු දෙයක්.

අපි මොකක්ද බලා පොරොත්තු වෙන්නේ? සිංහල දෙමාපියන් යටතේ අපි ඉපදුන නිසා අපි අනෙක් ජාතීන්ට වෛර කරනවද?

මීට සති කිහිපයකට උඩ දී මේ දුපතේ ජනප්‍රිය පුවතක් වූයේ සිංගප්පුරු රජය තම අයවැයෙන් පසුව 2018 වසර සඳහා සිංගප්පුරූ ඩොලර් 300ක් බැගින් තම රට වැසියන්ට "Hongbao" නම් වූ බෝනස් එකක් ලෙස බෙදා දීමයි.

මෙහි දි සත්‍යලෙසම සිදු වූයේ වාර්ශික ආදායම සි.ඩොලර් 28,000ට අඩු නම් සි.ඩොලර් 300ද, වාර්ශික ආදායම සි.ඩොලර් 28,001 ත් - 100,000ත් අතර නම් සි.ඩොලර් 200  වාර්ශික ආදායම සි.ඩොලර් 100,000ට වැඩි නම් සි.ඩොලර් 100ක්ද ලෙසයි.
අපේ අය මේයට හේතුව ලෙස දැක්කේ සිංගප්පුරු රජයේ සියලුම අමාත්‍ය වරුන් උපාධි ධාරින් වීමයි.

එතකොට රටේ වෙන කිසිදු වෙනසක් නැද්ද?

සරලව පවසනවා නම් දෙවන ලෝක යුද්ධයේදි (1942-1945) ජපාන අධිරාජ්‍යා යටතට පත්වන සිංගප්පුරුව යුද්ධය අවසන් වෙත්ම බ්‍රිතාන්‍ය පාලනයටත්…

කණ්ඩියපිටවැව නාලන්දාවට වල් අලින්ගෙන් තෑග්ගක්

පසුගිය කාලයේ රටවටේ විවිධ වැඩසටහන් සඳහා එක් වුවත් ඊයේ පෙරෙදා උන සිදු වීම නම් ලියන්නම ඔන කියල හිතුනා.

කණ්ඩියපිටවැව, නාලන්දා පාසලට පසුගිය ජූලි 19 දින ගියේ මීට පෙර කිසි දිනෙක නොදුට පිරිසක් සමඟ..


උදේ පාන්දර 3.30ට පමණ ගෙදරින් පිටත්වෙලා, වල් අලි කරදර වලින් දුක්විදින ජනතාවගෙ ජීවන තත්ත්වය උසස් කිරීමට සහාය වන Born Free Foundation ආයතනයේ මිතුරන් සමඟ   කොළඹදි එක් විමෙන් අනතුරුව බලංගොඩ තණමල්විම මාර්ගයේ ගමන් කරන කොට හම්බවෙන හම්බේගමුව ප්‍රාදේශීය ලේකම් කාර්යයාලයට අයත් ප්‍රදේශයට අපි ලගා උනේ දවල් 1ත් පහුවෙද්දි. අපි යද්දි පාසල් වාර විභාගය ලියමින් සිටි ලමයි ගෙදර යන්න කලින් වදිනව.. එවගේම පොඩි පැංචො ටිකක් නම් ඒ වෙද්දිත් අපි එන අතරමග...



පාසලට ඇතුල් වන විටම ලැබුණු සිනා සංග්‍රහය


මේ වෙද්දි පරිගණක විද්‍යාගාරය (මෙය මුලින් ගොඩනගල තියෙන්නෙ පුස්තකාලයකට) විදුලිය ලබා දි තිබුනෙ නැ, එවගේම අවශ්‍ය අභ්‍යන්තර රැහැන් ඇදීමක්ද තිබුනෙ නැ.  පෙරෙදා පාසලෙ තිබුණු උත්සවේකදි කියවුනෙ ඒ ගොඩනැගිල්ලට ආණ්ඩුවෙන් 50,000ක මුදලක් ලැබුනත් ඉස්කොලෙ ලොකු සර්, ගුරුවරු, පාසල් ලමුන් සහ ගම්මු එකතු වෙලා තවත් බාහිර පිරිස් සමඟ මේ වැඩේ අහවර කරගෙන. …