security - FreeBSD tacacs+ 客户端

Question

我一直在尝试在 FreeBSD 9.2 上运行 tacacs+ 客户端，但它不起作用。服务器位于 Windows 上，使用 tacacs.net。我知道服务器正在工作，因为我可以让客户端在思科路由器上工作。但我无法让它在 FreeBSD 上运行。

这是我的/etc/pam.d/tacacs 文件:

auth        sufficient    /usr/lib/pam_tacplus.so     debug    server = 10.0.0.9    secret=somesecret
account     sufficient    /usr/lib/pam_tacplus.so     debug    server = 10.0.0.9    secret=somesecret    protocol=login
session     sufficient    /usr/lib/pam_tacplus.so     debug    server = 10.0.0.9    secret=somesecret    protocol=login

和/etc/pam.d/login:

auth        include        tacacs
account        include        tacacs
session        include        tacacs

和/etc/tacplus.conf:

10.0.0.9        "somesecret"        15

问题是没有任何关于如何做到这一点的好的教程，我所做的一切都是基于一些论坛，我不确定它们是否正确。

如果您能帮助我，我将不胜感激。谢谢，

编辑:我已经关闭了 Windows 上的防火墙，现在它可以连接了。但现在当我尝试登录时，它会提示我输入密码大约 5 次，然后显示“登录不正确。但密码是正确的。

EDIT2:我发现它验证正确并且 FreeBSD 得到它，但仍然无法登录。我的猜测是“登录”服务正在其他地方寻找登录信息，但找不到 TACACS+ 用户。我已经阅读了login.conf 文件，但还无法理解它。

Answer 1

好吧，我找到了如何让它发挥作用。完成所有这些配置后，您需要在客户端系统上本地添加要登录的 TACACS+ 用户。例如，您在 TACACS+ 服务器上有一堆用户，现在您想使用用户“one”登录客户端。您需要在本地添加此用户，无需任何进一步的配置，然后就可以设置了。问题是，您无法知道 TACACS+ 服务器上的所有用户；所以我仍在寻找更好的方法。

更新更好的方法是使用 pam_exec.so。您可以编写一个脚本将用户添加到系统；并让 pam_exec 执行它。