crypto/external/bsd/heimdal/dist/doc/misc.texi

   1 @c Id
   2 @c $NetBSD: misc.texi,v 1.1.1.2 2011/04/14 14:08:08 elric Exp $
   3
   4 @node Things in search for a better place, Kerberos 4 issues, Applications, Top
   5 @chapter Things in search for a better place
   6
   7 @section Making things work on Ciscos
   8
   9 Modern versions of Cisco IOS has some support for authenticating via
  10 Kerberos 5. This can be used both by having the router get a ticket when
  11 you login (boring), and by using Kerberos authenticated telnet to access
  12 your router (less boring). The following has been tested on IOS
  13 11.2(12), things might be different with other versions. Old versions
  14 are known to have bugs.
  15
  16 To make this work, you will first have to configure your router to use
  17 Kerberos (this is explained in the documentation). A sample
  18 configuration looks like the following:
  19
  20 @example
  21 aaa new-model
  22 aaa authentication login default krb5-telnet krb5 enable
  23 aaa authorization exec krb5-instance
  24 kerberos local-realm FOO.SE
  25 kerberos srvtab entry host/router.foo.se 0 891725446 4 1 8 012345678901234567
  26 kerberos server FOO.SE 10.0.0.1
  27 kerberos instance map admin 15
  28 @end example
  29
  30 This tells you (among other things) that when logging in, the router
  31 should try to authenticate with kerberised telnet, and if that fails try
  32 to verify a plain text password via a Kerberos ticket exchange (as
  33 opposed to a local database, RADIUS or something similar), and if that
  34 fails try the local enable password. If you're not careful when you
  35 specify the `login default' authentication mechanism, you might not be
  36 able to login at all. The `instance map' and `authorization exec' lines
  37 says that people with `admin' instances should be given `enabled' shells
  38 when logging in.
  39
  40 The numbers after the principal on the `srvtab' line are principal type,
  41 time stamp (in seconds since 1970), key version number (4), keytype (1 ==
  42 des), key length (always 8 with des), and then the key.
  43
  44 To make the Heimdal KDC produce tickets that the Cisco can decode you
  45 might have to turn on the @samp{encode_as_rep_as_tgs_rep} flag in the
  46 KDC. You will also have to specify that the router can't handle anything
  47 but @samp{des-cbc-crc}. This can be done with the @samp{del_enctype}
  48 command of @samp{kadmin}.
  49
  50 This all fine and so, but unless you have an IOS version with encryption
  51 (available only in the U.S) it doesn't really solve any problems. Sure
  52 you don't have to send your password over the wire, but since the telnet
  53 connection isn't protected it's still possible for someone to steal your
  54 session. This won't be fixed until someone adds integrity to the telnet
  55 protocol.
  56
  57 A working solution would be to hook up a machine with a real operating
  58 system to the console of the Cisco and then use it as a backwards
  59 terminal server.