TRIỂN KHAI GIAO THỨCKERBEROSGiao thức an toàn mạngNgười hướng dẫn: TS Trần Thị LượngSinh viên thực hiện: abcMã sinh viên: ATTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSMô hình mạng:ServerOS: Windows Server 2012IP: 10.6.15.128Domain Name:hainguyenkma.comClientOS: Windows 10IP: 10.6.15.129TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSCấu hình Server:⮚ Thiết lập Domain :TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSCấu hình Server:⮚ Cấu hình IPTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSCấu hình Client:⮚ Cấu hình địa chỉ IPTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSKết nối giữa client – server Kết nối giữa server – clientTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSCấu hình Client:⮚ Thực hiện join domainTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROSBắt gói tin liên quan đến Kerberos bằng wiresharkTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS• Gói tin ASREQ(AuthenticationService Request) : Máykhách (Windowns 10) gửi yêucầu xác thực đến máy chủKerberos (KDC) bằng cáchgửi một gói tin AS_REQ chứatên người dùng (desktopl252kj1) và tên máy chủ(hainguyenkma.com)• Điều này yêu cầu KDC cấpmột Ticket Granting Ticket(TGT) để tiếp tục phiên làmviệcTRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS• Gói tin ASREP (AuthenticationService Reply) : Sau khi nhậnđược yêu cầu ASREQ, máy chủxác thực (AS) sẽ kiểm tra thôngtin và phản hồi bằng gói tin ASREP.• Gói tin này chứa TGT, được mãhóa bằng khóa chia sẻ giữa máykhách và AS. Máy khách sẽ sửdụng TGT này để yêu cầu truycập vào các dịch vụ khác.TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS• Gói tin TGSREQ (TicketGranting Service Request)Máy khách sử dụng TGTtrong ASREP để yêu cầumột Ticket Granting Service(TGS) ticket từ máy chủ phânphối dịch vụ (Ticket GrantingServer TGS).• Gói tin TGSREQ chứa TGTvà yêu cầu truy cập tới mộtdịch vụ cụ thể (serviceprincipal).TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS• Gói tin TGSREP (TicketGranting Service Reply)Máy chủ phân phối dịch vụ(TGS) kiểm tra thông tintrong TGT và phản hồi vớigói tin TGSREP chứa TGSticket được mã hóa bằngkhóa chia sẻ giữa máy kháchvà TGS.• TGS ticket này sẽ được sửdụng để yêu cầu truy cậpvào dịch vụ cụ thể (serviceprincipal).TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS• Sesion Setup Request :Máy khách sử dụng TGS tickettrong TGSREP để yêu cầu truycập vào dịch vụ cụ thể (serviceprincipal).• Gói tin TGSREQ chứaTGS ticket và thông tin vềservice principal.TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS• Sesion Setup Response :Server trả lời accept yêu cầudịch vụMIT KERBEROSMô hình mạng:ServerOS: Ubuntu 22.04IP: 10.6.15.50Hostname:server.hainguyenkma.comClientOS: Ubuntu 22.04IP: 10.6.15.133Hostname:client.hainguyenkma.comMIT KERBEROSCấu hình server:⮚Đặt địa chỉ IP:MIT KERBEROSCấu hình server:⮚Đặt host name⮚Cấu hình fileetchostsMIT KERBEROSCấu hình server:⮚Cấu hình lại file etckrb5.confMIT KERBEROSCấu hình server: Tạo Kerberos databaseMIT KERBEROSCấu hình server:⮚Khởi động lại các dịchvụ⮚Thiết lập chế độ tựđộng khởi động chomáy chủ KDCMIT KERBEROSCấu hình server:⮚Sửa file cấu hình etckrb5kdckadm5.acl để cấp quyền cho admin⮚Khởi động lại máy chủ quản trị KDCMIT KERBEROSCấu hình server:⮚Tạo Kerberos admin:MIT KERBEROSCấu hình server:⮚Tạo tài khoản cho clientMIT KERBEROSCấu hình client:⮚Đặt lại địa chỉ IPMIT KERBEROSCấu hình client:⮚Đặt host name⮚Sửa file etchostsMIT KERBEROSCấu hình client:⮚Sửa file cấu hình MIT Kerberos (krb5.conf)MIT KERBEROSCấu hình client:⮚Kết nối tới MIT Kerberos serverMIT KERBEROSBắt các gói tin bằng Wireshark:MIT KERBEROSBắt các gói tin bằng Wireshark:Gói tin ASREQ:MIT KERBEROSBắt các gói tin bằng Wireshark:Gói tin ASREP:MIT KERBEROSBắt các gói tin bằng Wireshark:Gói tin Client gọi dịch vụtừ server.MIT KERBEROSBắt các gói tin bằng Wireshark:Gói tin Server phảnhồi dịch vụ choClient.
TRIỂN KHAI GIAO THỨC KERBEROS Giao thức an toàn mạng Người hướng dẫn: TS Trần Thị Lượng Sinh viên thực hiện: abc Mã sinh viên: AT TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Mơ hình mạng: Server OS: Windows Server 2012 IP: 10.6.15.128 Domain Name: hainguyenkma.com Client OS: Windows 10 IP: 10.6.15.129 TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Cấu hình Server: ⮚ Thiết lập Domain : TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Cấu hình Server: ⮚ Cấu hình IP TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Cấu hình Client: ⮚ Cấu hình địa IP TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Kết nối client – server Kết nối server – client TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Cấu hình Client: ⮚ Thực join domain TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS Bắt gói tin liên quan đến Kerberos wireshark TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS • • Gói tin AS REQ(Authentication Service Request) : Máy khách (Windowns 10) gửi yêu cầu xác thực đến máy chủ Kerberos (KDC) cách gửi gói tin AS_REQ chứa tên người dùng (desktopl252kj1$) tên máy chủ (hainguyenkma.com) Điều yêu cầu KDC cấp Ticket Granting Ticket (TGT) để tiếp tục phiên làm việc TRIỂN KHAI HỆ THỐNG SỬ DỤNG XÁC THỰC KERBEROS • Gói tin AS-REP (Authentication Service Reply) : Sau nhận yêu cầu AS-REQ, máy chủ xác thực (AS) kiểm tra thông tin phản hồi gói tin ASREP • Gói tin chứa TGT, mã hóa khóa chia sẻ máy khách AS Máy khách sử dụng TGT để yêu cầu truy cập vào dịch vụ khác MIT KERBEROS Cấu hình server: ⮚Cấu hình lại file /etc/krb5.conf MIT KERBEROS Cấu hình server: Tạo Kerberos database MIT KERBEROS Cấu hình server: ⮚Khởi động lại dịch vụ ⮚Thiết lập chế độ tự động khởi động cho máy chủ KDC MIT KERBEROS Cấu hình server: ⮚Sửa file cấu hình /etc/krb5kdc/kadm5.acl để cấp quyền cho admin ⮚Khởi động lại máy chủ quản trị KDC MIT KERBEROS Cấu hình server: ⮚Tạo Kerberos admin: MIT KERBEROS Cấu hình server: ⮚Tạo tài khoản cho client MIT KERBEROS Cấu hình client: ⮚Đặt lại địa IP MIT KERBEROS Cấu hình client: ⮚Đặt host name ⮚Sửa file /etc/hosts MIT KERBEROS Cấu hình client: ⮚Sửa file cấu hình MIT Kerberos (krb5.conf) MIT KERBEROS Cấu hình client: ⮚Kết nối tới MIT Kerberos server MIT KERBEROS Bắt gói tin Wireshark: MIT KERBEROS Bắt gói tin Wireshark: Gói tin AS-REQ: MIT KERBEROS Bắt gói tin Wireshark: Gói tin AS-REP: MIT KERBEROS Bắt gói tin Wireshark: Gói tin Client gọi dịch vụ từ server MIT KERBEROS Bắt gói tin Wireshark: Gói tin Server phản hồi dịch vụ cho Client