NTTacPlus Server

®
NTTacPlus
NTTacPlus Server
RADIUS/TACACS+ Access Control Server per Windows
Installazione e Guida all’uso
Release 2.0
NTTacPlus Server per Windows 2.0
Un prodotto completo per la gestione degli accessi e l’elaborazione
dei dati di accounting.
Particolarmente studiato per le esigenze degli Internet Service
Provider.
Realizzato per Windows NT 4.0, Windows 95/98 e Windows 2000.
Pronto per l’anno 2000.
MASTER SOFT S.N.C. SI RISERVA IL DIRITTO DI MODIFICARE LA PRESENTE
DOCUMENTAZIONE SENZA PREAVVISO.
É INOLTRE POSSIBILE CHE QUESTA DOCUMENTAZIONE CONTENGA ERRORI TIPOGRAFICI O
INESATTEZZE TECNICHE. MASTER SOFT S.N.C. NON SI ASSUME NESSUNA RESPONSABILITÁ
DERIVANTE DALL’USO PROPRIO O IMPROPRIO DI QUESTA DOCUMENTAZIONE O DEL
PRODOTTO SOFTWARE NTTACPLUS.
NESSUNA PARTE DI QUESTA DOCUMENTAZIONE PUÓ VENIRE RIPRODOTTA, TRASMESSA,
MEMORIZZATA O TRADOTTA IN QUALUNQUE LINGUA, IN QUALUNQUE FORMA O CON
QUALUNQUE MEZZO, ELETTRONICO, MECCANICO, OTTICO, CHIMICO, MANUALE O
EQUIVALENTE, SENZA L’ESPLICITA CONCESSIONE SCRITTA DA PARTE DI MASTER SOFT
S.N.C.
Copyright  1998-2000 MASTER SOFT S.N.C. - Novara (Italy) - Tutti i diritti riservati.
NTTacPlus e MSoft sono marchi registrati di proprietà della Master Soft S.n.c.
Tutti i riferimenti a nomi di compagnie o prodotti citati nella presente documentazione sono
marchi di fabbrica o marchi registrati ed appartengono ai loro rispettivi proprietari.
Installazione e guida all’uso.
Rel. 2.0.74 22/06/2017
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus Server per Windows 2.0
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 1/95
Indice
Introduzione ...................................................................................................................................... 3
Cos’è NTTacPlus........................................................................................................................... 3
Caratteristiche principali di NTTacPlus ......................................................................................... 4
Novità della release 2.0 .................................................................................................................... 7
Introduzione alla versione 2.0 ....................................................................................................... 7
Differenze rispetto alla versione 1.x .............................................................................................. 7
Come effettuare l’aggiornamento dalla versione 1.x ................................................................... 10
Installazione di NTTacPlus ............................................................................................................ 11
Requisiti di sistema ..................................................................................................................... 11
Contenuto del pacchetto d’installazione ...................................................................................... 11
Installazione di NTTacPlus .......................................................................................................... 11
Disinstallazione di NTTacPlus ..................................................................................................... 12
Avvio di NTTacPlus come applicazione stand-alone .................................................................. 12
Avvio di NTTacPlus come servizio di Windows NT ..................................................................... 12
Esecuzione di NTTacPlus in modalità non registrata.................................................................. 13
Configurazione di NTTacPlus ....................................................................................................... 14
Prima esecuzione del server NTTacPlus .................................................................................... 14
Primo login su NTTacPlus ........................................................................................................... 15
Elementi della console di NTTacPlus .......................................................................................... 15
Sommario dei parametri di configurazione .................................................................................. 18
Configurare i NAS per interagire con NTTacPlus ....................................................................... 23
Configurazione di parametri specifici RADIUS/TACACS+ .......................................................... 27
Configurare NTTacPlus e i NAS per la disconnessione forzata ................................................. 29
Impostazioni di carattere generale .............................................................................................. 32
Configurazione dell’activity event log .......................................................................................... 36
Resincronizzazione con i NAS Cisco .......................................................................................... 38
Configurazione di un server NTTacPlus di backup ..................................................................... 40
Configurazione dei messaggi di login ......................................................................................... 41
I protocolli RADIUS e TACACS+ ................................................................................................... 42
Il modello AAA ............................................................................................................................. 42
Authentication .............................................................................................................................. 42
Authorization................................................................................................................................ 42
Accounting ................................................................................................................................... 43
Implementazione del modello AAA in NTTacPlus ....................................................................... 43
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 2/95
Il processo di Authentication in NTTacPlus ................................................................................. 43
Il processo di Authorization in NTTacPlus .................................................................................. 44
Il processo di Accounting in NTTacPlus ...................................................................................... 45
Un confronto tra alcuni attributi RADIUS e l’equivalente in TACACS+ ....................................... 46
Gli attributi RADIUS e il dizionario............................................................................................... 46
Gestione degli account .................................................................................................................. 48
Il Database degli Account Utente ................................................................................................ 48
Struttura gerarchica del database utenti ..................................................................................... 48
Parametri di un profilo utente ...................................................................................................... 49
Espressioni con i caratteri jolly .................................................................................................... 59
Alcuni esempi di profili utente e di gruppo .................................................................................. 60
Configurazioni particolari ............................................................................................................. 63
Gli script post-autenticazione ...................................................................................................... 64
I messaggi di scadenza account e esaurimento credito ............................................................. 65
Gli Account nel formato SQL ODBC ........................................................................................... 66
Gestione del database utenti tramite Profile Manager ................................................................ 68
Considerazioni sulle impostazioni dei profili nel Profile Manager ............................................... 69
I dati di Accounting ........................................................................................................................ 77
Dati di Accounting generati da NTTacPlus ................................................................................. 77
File di Accounting per utente ....................................................................................................... 77
File di Accounting globali ............................................................................................................. 78
Dati di Accounting su datasource ODBC .................................................................................... 79
Output ODBC degli utenti attivi ................................................................................................... 79
Configurazione dell’accounting ................................................................................................... 80
Preparazione per l’accounting su ODBC .................................................................................... 82
Configurazione manuale ................................................................................................................ 85
Struttura del file di configurazione ............................................................................................... 85
I parametri speciali Flags e Debug .............................................................................................. 87
Supporto Tecnico/Registrazione .................................................................................................. 90
Documentazione da allegare alle comunicazioni ........................................................................ 90
Registrazione del prodotto .......................................................................................................... 90
Contratto e Licenza d'uso ............................................................................................................ 91
Come contattarci ......................................................................................................................... 92
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 3/95
Introduzione
Cos’è NTTacPlus
NTTacPlus è un’applicazione server centralizzata per il controllo e la gestione degli accessi remoti in rete
tramite i protocolli standard TACACS+ (sviluppato da Cisco) e RADIUS (sviluppato da Livingston, ora
standard IETF), ed implementa il modello AAA (Authentication, Authorization, Accounting):
 Authentication. Processo di verifica e convalida degli account utente (coppie username/password).
 Authorization.
Processo di autorizzazione per l’assegnazione ad un utente di risorse di rete.
 Accounting.
Processo di registrazione dei dati relativi all’utilizzo del sistema da parte di un utente.
Gestione centralizzata degli accessi
NTTacPlus è in grado di operare sia come applicazione stand-alone oppure come servizio di Windows NT.
NTTacPlus utilizza un database degli utenti implementabile in due modalità operative: un insieme di semplici
file di testo in cui ciascun file rappresenta il profilo di un singolo utente; oppure un database SQL ODBC
formato da tabelle che contengono i profili utente; nei profili degli utenti vengono memorizzate tutte le
caratteristiche ad essi associate, quali password, scadenza, restrizioni orarie nell’accesso al sistema, ecc.
Il Network Access Server (o NAS), talvolta chiamato Communication Server, Remote Access Server o
Terminal Server, è un dispositivo che accetta solitamente accessi remoti tramite telefonate su linee
analogiche o ISDN attraverso modem o terminal adapter ISDN. Il NAS permette di collegare gli utenti dialin alla rete interna (Intranet) – tipicamente una Local Area Network (LAN) – oppure all’intera rete di Internet.
NTTacPlus soddisfa le richieste di authentication e di authorization provenienti dai NAS (come ad esempio
Cisco AS5200, Ascend MAX4000 o 3Com TotalControl) esaminando i profili utente e rispondendo in base
alle caratteristiche configurate per ciascun utente.
NTTacPlus acquisisce inoltre i dati di accounting inviati dal NAS e li elabora registrandoli in una fonte dati
ODBC, in modo da renderli disponibili per elaborazioni statistiche sugli accessi, per la generazione di billing
report dettagliati, ecc.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 4/95
Caratteristiche principali di NTTacPlus
Elevate prestazioni, occupazione ridotta
NTTacPlus, sviluppato in C++, è ottimizzato per fornire ottime prestazioni con una limitata occupazione di
memoria e di risorse. È in grado di eseguire un elevato numero di autenticazioni al secondo, con bassa
occupazione del processore.
Le dimensioni del file eseguibile sono ridotte. L’installazione è rapida, poiché l’applicazione non utilizza
DLL di runtime o altre librerie di appoggio esterne non già fornite con il sistema operativo. Tutte le
componenti dell’applicazione risiedono nella directory di installazione (nessuna DLL viene sparsa nella
directory di sistema di Windows o altrove).
NTTacPlus non utilizza il registry database di Windows: nessuna perdita di tempo girovagando per la
complicata struttura del registry in cerca dei valori di configurazione del programma! Tutti i dati di
configurazione sono impostati nei file di testo e risiedono nella directory di installazione.
Supporto completo per autenticazione, autorizzazione e accounting
NTTacPlus supporta tutte le funzioni di authentication, authorization ed accounting come sono definite nelle
specifiche standard dei protocolli TACACS+ e RADIUS. La sua flessibilità consente di supportare nuove
estensioni dei valori proprietari di AV pairs definite per l’authorization per entrambi i protocolli.
Gestione semplificata e remota del database dei profili utenti
I profili utente sono facilmente modificabili tramite qualunque editor di testo (NOTEPAD.EXE) se
memorizzati in file ASCII, o tramite l’esecuzione di query su tabelle se memorizzati in un database ODBC.
Non occorre effettuare operazioni di caricamento o salvataggio del database utenti (load o save user
database): le modifiche apportate ai profili sono istantanee dal momento in cui si salva il file.
Il backup dell’intero database è immediato: è sufficiente copiare le directory dei profili utente e dei profili di
gruppo per la modalità ASCII, oppure effettuare il backup del database ODBC prescelto per la modalità SQL
ODBC.
Tramite l’utility NTTacPlus Console è possibile effettuare la gestione remota completa dei server NTTacPlus
e dei profili utente/gruppo ad essi associati. L’applicazione di gestione remota è ridotta ad un singolo
eseguibile, e funziona su di un qualunque PC Windows 95 o NT connesso in rete tramite TCP/IP; consente la
modifica in tempo reale dei profili utente e della configurazione dialogando con un server NTTacPlus. Lo
scambio dei dati tra NTTacPlus Console e il server NTTacPlus avviene in maniera crittografata.
Gruppi ed ereditarietà
Con NTTacPlus è possibile definire, oltre ai profili utente, i profili di gruppo.
I profili di gruppo possono comprendere tutti i parametri definibili per ogni singolo utente. È sufficiente
assegnare l’appartenenza di un utente ad un gruppo perché esso erediti automaticamente tutti i parametri
preimpostati nel gruppo di assegnazione.
Un profilo utente può appartenere a più gruppi, e in tal caso la ricerca degli attributi procede attraverso
l’analisi di ciascun gruppo.
Un gruppo a sua volta può appartenere ad un altro gruppo. È possibile così creare una struttura gerarchica
che consente di gestire in modo molto semplice i profili utente, evitando inutili ripetizioni in ciascun profilo e
mettendo a fuoco solo i parametri che differenziano gli utenti tra loro, lasciando nei gruppi le impostazioni
comuni.
Controllo in tempo reale dell’attività (anche remoto)
NTTacPlus consente di monitorare lo stato delle connessioni attive, mettendo a disposizione, tramite la
console, una finestra che mostra l’elenco degli utenti attivi, da quanto tempo e su quale NAS sono collegati.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 5/95
NTTacPlus registra inoltre in tempo reale tutte le richieste provenienti di autenticazione, autorizzazione, e
accounting, oltre alle sessioni di gestione remota. Gli eventi vengono visualizzati a video in una finestra di
log e vengono anche registrati permanentemente in un file di log.
È possibile disconnettere forzatamente gli utenti dal sistema in maniera automatica (tramite l’appoggio al
protocollo RSHELL incorporato o ad utility esterne, quali SNMPSET o script di telnet).
Tramite l’applicazione indipendente NTTacPlus Console è possibile visualizzare la finestra degli utenti attivi
su di un qualunque PC remoto (Windows 95 o NT) connesso in rete TCP/IP.
Funzionamento ridondante e Backup
NTTacPlus può essere installato su di una seconda macchina, ed essere configurato come server ridondante
di backup.
NTTacPlus è in grado di connettersi automaticamente al server NTTacPlus primario e sincronizzare
periodicamente l’intero database degli utenti.
Il trasferimento dei dati durante la sincronizzazione avviene tramite connessione TCP ed i pacchetti scambiati
sono crittografati.
In caso di malfunzionamento del computer server principale, i NAS possono reindirizzare le richieste al
server di backup.
Controllo di accesso esteso
NTTacPlus offre un elevato numero di parametri tramite i quali regolare l’accesso degli utenti al sistema. In
particolare è possibile configurare l’accesso in base a:
-
data di scadenza o durata account
fasce orarie di collegamento (giornaliere o settimanali con calendario festività programmabile)
Caller/Calling ID (numero di telefono chiamante o chiamato se previsto dall’operatore Telecom)
NAS di provenienza o porta del NAS (controllo e distinzione chiamate analogiche o ISDN)
Numero di login contemporanei per lo stesso account
Credito residuo totale di tempo
Credito residuo totale di traffico
Quota assegnata di tempo per un determinato periodo
Livello di privilegio (da utente base ad amministratore)
Controllo esteso su scadenze e situazioni sospette
NTTacPlus è in grado di rilevare tentativi falliti di accesso (ad esempio a causa di password, ora di
collegamento, o privilegio errati, oppure tentativo di doppio accesso con una stessa username), e di
intraprendere di conseguenza azioni amministrative (liberamente attivabili o disattivabili), come:
-
Invio di notifiche e-mail all’amministratore del sistema
Invio di notifiche e-mail all’utente in oggetto
Disabilitazione immediata dell’account utente
Disconnessione forzata immediata dell’utente
NTTacPlus è in grado inoltre di inviare una e-mail personalizzabile di avvertimento all'utente quando il suo
account è prossimo alla scadenza (sia temporale che dei crediti).
Supporto esteso per l’accounting (ODBC)
NTTacPlus offre un supporto esteso per l’accounting.
Per ogni sessione NTTacPlus registra una serie di informazioni utili quali ad esempio durata della sessione,
traffico generato in ingresso e in uscita e crediti residui di traffico e tempo.
L’output di accounting viene riversato in tempo reale in una tabella (file) ASCII standard oppure in un
database standard ODBC, come ad esempio Microsoft Access, SQL Server, Paradox, ecc.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 6/95
NTTacPlus può anche, opzionalmente, mantenere una tabella aggiornata in tempo reale dei dati relativi agli
utenti collegati, oltre che nel monitor video, anche in un database ODBC.
Funzionamento come modulo Proxy per Windows NT, UNIX o altri server TACACS+
NTTacPlus offre la possibilità di effettuare le autenticazioni delle username e password reindirizzando le
richieste di accesso ad una macchina Windows NT (anche remota), sfruttandone il database degli utenti. È in
grado inoltre di reindirizzare autenticazioni ad altri server TACACS+ o di utilizzare gli account presenti nel
file standard passwd di UNIX.
Sincronizzazione automatica con NAS Cisco
NTTacPlus è in grado di sincronizzare la propria finestra degli utenti attivi con qualunque access server
Cisco, evitando così la perdita di informazioni che può occorrere al riavvio del computer in cui è in
esecuzione NTTacPlus o al riavvio del NAS stesso.
NTTacPlus inoltre è in grado di sincronizzare periodicamente lo stato degli utenti attivi interrogando l’access
server e aggiornando le informazioni in suo possesso, eliminando i problemi nel caso in cui venissero persi
dati di accounting (ad es. quando il NAS non invia correttamente informazioni di termine sessione a
NTTacPlus).
Architettura aperta ed espandibilità
NTTacPlus offre un’architettura aperta tramite l’uso dell’interfacciamento dati standard ODBC per la
memorizzazione dei profili utente e dei dati di accounting, permettendo una facile integrazione con altri
applicativi di gestione ed adattandosi bene a situazioni preesistenti.
NTTacPlus consente all’amministratore di estendere le capacità di autenticazione ed accounting permettendo
l’interazione con script esterni personalizzabili.
Facile interfacciamento con il Web
NTTacPlus può facilmente esporre i propri dati relativi ai profili utente e all’accounting su pagine Web
(tramite ASP, Cold Fusion, CGI, ecc.), consentendo all’amminsitratore di configurare pagine dedicate alla
generazione di report sulle sessioni (accessibili anche dai propri utenti), pagine dedicate alla gestione dei
profili utente, ecc.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 7/95
Novità della release 2.0
Introduzione alla versione 2.0
La nuova versione di NTTacPlus introduce notevoli miglioramenti rispetto alle versioni precedenti del
software, tra cui il supporto per il protocollo di autenticazione RADIUS, divenuto ormai standard presso tutte
le piattaforme hardware NAS, e l’introduzione dell’interfaccia ODBC come supporto per la memorizzazione
del database degli account.
L’evoluzione del software di gestione degli accessi NTTacPlus procede in direzione di un’apertura verso le
esigenze degli amministratori di sistemi di networking attraverso il progetto OAK (Open Administration Kit).
Il software NTTacPlus è stato realizzato mantenendo il più possibile un’architettura aperta, grazie anche
all’introduzione del supporto database utenti via ODBC.
Il progetto OAK ha come obbiettivo l’integrazione del motore di autenticazione e accounting di NTTacPlus
nelle procedure aziendali esistenti (contabilità, gestionali, fatturazione, emissione bollette, statistiche, ecc.)
senza sconvolgere i metodi operativi esistenti.
Il progetto OAK prevede il rilascio progressivo della documentazione e di un set di API scritte per gestire il
server NTTacPlus in qualsiasi linguaggio di programmazione, insieme all’estensione per il supporto Active
Server Pages e Cold Fusion Application Server, realizzando così un software aperto attorno al quale ciascuno
sarà in grado di sviluppare procedure integrate anche con il Web in maniera semplice e flessibile.
Differenze rispetto alla versione 1.x
NTTacPlus presenta parecchi miglioramenti rispetto alla versione 1.x, e tra questi alcune modifiche
sostanziali nell’interfaccia grafica con cui si presenta. Si consiglia a coloro che possiedono e utilizzano una
release precedente di effettuare un’attenta lettura di questo breve panorama che illustra le differenze
fondamentali. La descrizione dettagliata delle nuove opzioni viene presentata invece più avanti nei relativi
capitoli del manuale d’uso. Ecco un sommario delle nuove caratteristiche di NTTacPlus:
 Interfaccia utente completamente trasferita nella console remota
 Supporto per il protocollo RADIUS
 Supporto per la memorizzazione degli account in un database SQL ODBC
 Riorganizzazione dei menu e delle opzioni di configurazione
 Miglioramento delle opzioni di resincronizzazione con i NAS Cisco
 Diverse altre modifiche minori
Trasferimento interfaccia utente nella console remota
La console remota è stata completamente ridisegnata ed ora integra in un’unica applicazione eseguibile la
vecchia console e il vecchio NTTacPlus User Manager.
L’interfaccia dal lato server è stata ridotta una semplice finestra di dialogo/icona sulla tray bar se NTTacPlus
viene eseguito come applicazione. Se NTTacPlus viene eseguito come servizio, nessuna finestra GUI visibile
viene attivata. Questa nuova implementazione miglora l’utilizzo di memoria e di risorse dal lato server.
Tutte le funzioni precedentemente disponibili solo sulla finestra principale del server sono ora disponibili
sulla console remota. Ciò include anche la possibilità di configurare ogni impostazione di NTTacPlus da un
computer remoto senza dover accedere al server direttamente.
Il programma di installazione consente di scegliere la componente console remota solamente, per poterla
installare su PC client remoti.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 8/95
Non è necessario comunque eseguire il setup per installare la console remota su un PC client. È sufficiente
molto più semplicemente copiare i seguenti due file in una directory del computer di destinazione:
NTTACMON.EXE
l’eseguibile della console remota
RADDICT.DAT
il dizionario degli attributi RADIUS usato per la gestione degli account utente
Per la gestione locale del server NTTacPlus è necessario comunque avviare la console, ed effettuare il login
selezionando localhost come indirizzo server.
Supporto del protocollo RADIUS
Questa release di NTTacPlus finalmente supporta il protocollo RADIUS per qualsiasi client abilitato al
RADIUS.
Alcuni attributi specifici del protocollo RADIUS vengono automaticamente rimappati in parametri
NTTacPlus standard, per mantenere un’interfaccia di configurazione degli utenti consistente con il protocollo
TACACS+ e compatibile anche con versioni precedenti di NTTacPlus. Per una descrizione relativa a questa
caratteristica vedere il paragrafo Un confronto tra alcuni attributi RADIUS e l’equivalente in TACACS+ più
avanti.
Tramite il protocollo RADIUS, NTTacPlus ora è in grado di sfruttare l’attributo Session-Timeout per
terminare implicitamente le sessioni degli utenti. Consultare più avanti il paragrafo Utilizzo di
Session-Timeout.
Supporto per la memorizzazione degli account in un database SQL ODBC
NTTacPlus ora è in grado di memorizzare i dati relativi agli account utente, oltre che nei file di testo ASCII
come nella release precedente, in un database SQL ODBC.
Tutti i dettagli riguardanti l’utilizzo di un database per gli account e le modalità di migrazione dei profili dal
formato ASCII al database sono riportate al paragrafo Gli Account nel formato SQL ODBC.
Un database d’esempio in formato Microsoft Access 97 è incluso nel setup di NTTacPlus.
Aprendo questo database con Access è possibile accedere ad una maschera che esegue automaticamente
l’importazione degli utenti dal formato ASCII.
Riorganizzazione dei menu e delle opzioni di configurazione
Tutto l’insieme delle opzioni di configurazione è stato riorganizzato e spostato in una singola finestra di
dialogo accessibile con tramite il menu Tools/Options (F8).
La finestra di dialogo per la configurazione di NTTacPlus può essere richiamata ora da qualsiasi console
remota.
Qualunque modifica apportata alle opzioni all’interno di tale finestra diviene effettiva alla pressione del tasto
OK e non richiede il riavvio del server.
Miglioramento delle opzioni di resincronizzazione con i NAS Cisco
Un nuovo insieme di utilità per la resincronizzazione è stato implementato per superare i problemi causati dai
record di accounting STOP persi dai Cisco. Accade infatti che, in alcune circostanze, a causa di diversi bug
del sistema IOS, i record di STOP possano “perdersi” senza venire inviati a NTTacPlus, lasciando l’utente in
uno stato “fantasma” nella finestra degli utenti attivi di NTTacPlus.
I dettagli sulla configurazione di NTTacPlus e dei NAS si trovano al paragrafo Resincronizzazione con i
NAS Cisco.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 9/95
Sommario delle modifiche minori
Segue un elenco sintetico di tutte le modifiche e le aggiunte minori apportate al software NTTacPlus. Le
informazioni dettagliate relative a ciascuna funzionalità sono reperibili nei paragrafi relativi più avanti.
Modifiche relative all’interfaccia e alla configurazione di NTTacPlus:
 Aggiunto il supporto per i menù di contesto (clic destro e doppio clic) nella finestra delle sessioni
attive.
 Nuova sintassi della sezione Kill dedicata agli script esterni di disconnessione forzata: supporto
caratteri jolly nei nomi delle interfacce, distinzione in base al NAS, supporto comando di default.
 Supporto interno del protocollo RSHELL: non è più necessario richiamare applicazioni esterne per
inviare comandi rsh.
 Supporto per l’esecuzione di uno script post-accounting globale (non per utente) per estendere le
funzionalità di accounting con proprie procedure personalizzate esterne.
 Aggiunto il supporto per i protocolli di autenticazione MS-CHAP e ARAP-DES in TACACS+.
 Riorganizzato il formato dei messaggi nell’activity event log, ora più dettagliati ma anche più
compatti.
 Aggiunto il supporto per l’operatore refuse (not), designato dal simbolo “!” nelle espressioni con i
caratteri jolly.
 Migliorato il dettaglio delle informazioni riportate nelle email amministrative di avvertimento.
 Aggiunto il supporto per l’accounting di sistema TACACS+.
 Aggiunta la possibilità di configurare l’intervallo di tempo tra due controlli sulle sessioni attive.
 Aggiunta la possibilità di disattivare l’output su schermo dell’activity event log, per ridurre il carico
specialmente in caso di numerose sessioni console remote.
Modifiche relative ai profili degli account:
 Supporto del nuovo parametro EffectiveFrom in grado di indicare una data di attivazione dell’account
oltre a quella classica di scadenza.
 Supporto del nuovo formato per il parametro Expires, in grado di indicare, anziché una data assoluta
di scadenza, una durata in giorni dell’account; combinato con EffectiveFrom può gestire account di
durata in giorni prefissata con conteggio a partire dal primo login.
 Supporto per l’esecuzione di uno script post-autenticazione per utente: è possibile estendere le
funzioni di autenticazione con proprie procedure personalizzate esterne.
 Riorganizzato il supporto per le email di avvertimento/scadenza account ora funzionali anche per
l’esaurimento di crediti di tempo o traffico.
 Aggiunta una sezione dedicata per la gestione della password nel Profile Manager.
 Aggiunto il supporto per le password crittografate DES.
 Aggiunto il supporto per l’autenticazione su file UNIX standard passwd (5).
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 10/95
Come effettuare l’aggiornamento dalla versione 1.x
Per installare la versione 2.0 su di un’installazione precedente senza danneggiare la configurazione o
compromettere il funzionamento dei profili utente, occorre osservare le seguenti istruzioni:
1.
2.
3.
4.
5.
6.
Effettuare comunque una copia di backup della directory di NTTacPlus 1.x.
Fermare qualsiasi istanza attiva della console remota e del servizio NTTacPlus.
Eseguire il setup della nuova versione, indicando come destinazione la precedente directory.
Riavviare il servizio.
Effettuare il login dalla console.
Verificare con attenzione tutti i parametri di configurazione dalla finestra Tools/Options.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 11/95
Installazione di NTTacPlus
Questo capitolo tratta l’installazione di NTTacPlus su di un sistema ove non sia presente un’installazione
precedente di NTTacPlus stesso. Per effettuare un aggiornamento dalla versione precedente, si rimanda al
capitolo precedente.
Requisiti di sistema
Sistema operativo
Windows 95 o Windows NT 4.0
CPU
Pentium/133 o superiore
RAM
16 Mb su Windows 95, 32 Mb su Windows NT
Spazio su disco
Meno di 4 Mb per l’installazione; spazio addizionale è richiesto per
ospitare i file di log, i dati di accounting e i dati sui profili utente
Rete
Stack TCP/IP compatibile WinSock
Contenuto del pacchetto d’installazione
Il pacchetto originale del prodotto NTTacPlus contiene le seguenti componenti:
NTTACP.EXE
NTTACP.INI
RADDICT.DAT
INSTSERV.EXE
README.TXT
MESSAGES\*.TXT
ODBC\STAT.MDB
ODBC\NTTACDB.MDB
NTTACMON.EXE
EXTERNAL\*.*
DOCS\MANUAL.DOC
DOCS\ORDER.DOC
DOCS\MANUALE.DOC
DOCS\ORDINE.DOC
USERS\*.USR
GROUPS\*.UGP
L’eseguibile del server NTTacPlus
File di configurazione di NTTacPlus
Dizionario estensibile degli attributi RADIUS
Utility per l’installazione e l’avvio di NTTacPlus come servizio NT
File di testo contenente le ultime aggiunte e alcune informazioni utili
Directory contenente file di testo (banner) pre e post-autenticazione
File di database Microsoft Access con tabelle di accounting d’esempio
File di database Microsoft Access con tabelle profili utenti d’esempio
L'eseguibile di NTTacPlus Console
Directory con utility/script esterni NT
Documentazione in inglese
Modulo d'ordine del presente software (valido per l'estero)
Documentazione in italiano
Modulo d'ordine del presente software (valido per l'Italia)
Esempi di profili utente preconfigurati in formato ASCII
Esempi di profili gruppo preconfigurati in formato ASCII
Installazione di NTTacPlus
1.
2.
3.
Creare una directory temporanea per l'installazione di NTTacPlus (ad es. c:\temp).
Esplodere l’archivio zip nella directory creata.
Eseguire il programma di installazione setup.exe e seguire le istruzioni.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 12/95
Disinstallazione di NTTacPlus
Per disinstallare NTTacPlus. Alternativamente è possibile scegliere il comando Uninstall dalla cartella
NTTacPlus aggiunta al menu Avvio di Windows, oppure utilizzare la funzione Installa/Rimuovi applicazioni
dal Pannello di Controllo.
Se il programma è stato configurato come servizio di Windows NT, occorre rimuoverlo dall'elenco dei
servizi prima della disinstallazione, utilizzando l'utility allegata INSTSERV.EXE.
Nel caso che la procedura automatica di disinstallazione non si completasse, dopo aver fermato e rimosso il
servizio con INSTSERV procedere nel seguente modo:
1.
2.
3.
Rimuovere tutti i collegamenti a NTTacPlus dalla cartella Menù Avvio/Programmi/NTTacPlus.
Rimuovere tutti i datasource di sistema ODBC che fanno riferimento a database di NTTacPlus.
Cancellare la directory principale di NTTacPlus e tutte le sue subdirectory (ad es. “C:\NTTacPlus2”)
4.
Eseguire REGEDIT.EXE e cancellare in ordine tutte le seguenti chiavi dal database registry:
HKEY_LOCAL_MACHINE\SOFTWARE\Master Soft\NTTacPlusConsole
HKEY_LOCAL_MACHINE\SOFTWARE\Master Soft\NTTacPlusMgr
HKEY_LOCAL_MACHINE\SOFTWARE\Master Soft (solo se questa chiave è vuota)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NTTacPlus 2.0
Avvio di NTTacPlus come applicazione stand-alone
NTTacPlus può funzionare come applicazione stand-alone. Per avviarlo eseguire il programma
NTTACP.EXE.
Al primo avvio si consiglia di lanciare NTTacPlus come applicazione stand-alone piuttosto che come
servizio, in modo da poter procedere alla configurazione delle impostazioni.
Avvio di NTTacPlus come servizio di Windows NT
NTTacPlus può funzionare come servizio di Windows NT (non richiede cioè il logon di un utente per
l’avvio). Per installarlo come servizio, lanciare l’utility INSTSERV.EXE:
Per aggiungere NTTacPlus all’elenco dei servizi del Service Control Manager, premere Install service.
Per avviare NTTacPlus come servizio immediatamente, premere Start service.
NOTA: non è possibile eseguire più di un’istanza di NTTacPlus, per cui il servizio non parte se NTTacPlus è
già attivo come stand-alone e viceversa.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 13/95
Per fermare NTTacPlus in esecuzione come servizio, premere Stop service.
Per rimuovere il servizio dall’elenco dei servizi, premere Remove service.
NOTA: la rimozione del servizio non implica l’arresto di un’eventuale istanza attiva del servizio.
Alternativamente è possibile avviare/fermare il servizio tramite la finestra standard dei servizi del Pannello di
Controllo.
Esecuzione di NTTacPlus in modalità non registrata
Al primo avvio di NTTacPlus il software parte in modalità non registrata.
La modalità non registrata consente un periodo di valutazione del software di 30 giorni dal primo avvio. Il
software in modalità non registrata è completamente funzionante in tutte le sue opzioni.
Trascorso il periodo di 30 giorni dal primo avvio, il prodotto cessa di funzionare al primo riavvio della
macchina.
È possibile cambiare la modalità di esecuzione del software da non registrata a registrata avviando la
console, scegliendo il menu Help/Registration… e compilando la scheda Registration che compare:
Premendo OK il software passa immediatamente in modalità registrata. Poiché la chiave di registrazione si
basa sul nome della macchina su cui il software è in funzione, in caso di cambiamento del nome o di
spostamento del software su di un'altra macchina, occorre richiedere a Master Soft S.n.c. la nuova chiave di
registrazione.
Per informazioni su come ottenere i dati di registrazione, consultare il paragrafo Come registrare il prodotto
alla fine di questo documento.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 14/95
Configurazione di NTTacPlus
Prima esecuzione del server NTTacPlus
All’avvio di NTTacPlus compare una piccola finestra di stato del server:
NOTA: Se il programma viene avviato come servizio, nessuna finestra è visibile; riducendo invece ad
icona la finestra precedente, questa viene nascosta dalla taskbar di Windows ed al suo posto viene
aggiunta una icona nel tray di sistema:
L’intero controllo del server NTTacPlus è affidato alla console remota (applicazione indipendente). Per
procedere alla configurazione del server, avviare NTTacPlus Console (NTTACMON.EXE), che richiederà di
effettuare un login amministrativo:
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 15/95
Primo login su NTTacPlus
Effettuare il primo login utilizzando il seguente account:
Username
Password
Server name
Encryption key
=
=
=
=
admin
admin
localhost
(oppure indirizzo del server NTTacPlus)
(lasciare vuoto)
Elementi della console di NTTacPlus
Finestra delle sessioni attive
All’avvio della console di NTTacPlus, dopo aver effettuato il login, compare la finestra principale che
consente di monitorare le sessioni in corso:
Cliccando con il tasto destro sull’utente è possibile
accedere a comandi relativi alla sessione in corso
Selezionando Properties oppure eseguendo un
doppio clic sulla username della sessione in corso,
compare una scheda informativa sull’account
associato
Shortcut per l’invio di un
messaggio di e-mail
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 16/95
Finestra degli eventi (activity log window):
Premendo il tasto F4 oppure selezionando Edit/Log window, compare la finestra degli eventi, che mostra
l’attività del server NTTacPlus in tempo reale con un dettaglio di informazioni che può variare molto a
seconda della configurazione della quantità di informazioni di cui si desidera tenere traccia (vedere più avanti
il paragrafo Configurazione dell’activity event log):
NOTA: La visualizzazione del log dell’attività del server NTTacPlus nella finestra degli eventi è possibile
solo se è attivata la voce di menu Edit/Receive log event stream.
Finestra di gestione degli account (Profile Manager)
Premendo il tasto F10 oppure selezionando il menu Edit/Profile Manager si attiva la finestra di gestione degli
account e dei profili di gruppo di NTTacPlus:
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 17/95
Finestra delle opzioni di configurazione
Dalla finestra principale premere F8 (Menu Tools/Options) per attivare la finestra di configurazione:
La finestra di configurazione del server è suddivisa in più sezioni. Procedere all’impostazione di ciascuna
opzione secondo la seguente tabella riassuntiva di tutte le opzioni disponibili. Al termine dell’impostazione
dei parametri di configurazione, premere OK.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 18/95
Sommario dei parametri di configurazione
La seguente tabella presenta un quadro complessivo di riferimento di tutte le opzioni globali di
configurazione di NTTacPlus. Una descrizione e una spiegazione più approfondite di ciascuna opzione di
configurazione verranno trattate più avanti nelle sezioni dedicate.
Sezione General
E-Mail global settings
Notification E-Mail Address
Indirizzo di e-mail al quale NTTacPlus invia le notifiche amministrative
SMTP Server
Indirizzo o nome del server di posta SMTP da utilizzare per inviare i
messaggi di e-mail
Server source e-mail
Indirizzo mittente di NTTacPlus
Banners
Pre-authentication msg file
Percorso/nome del file di testo contenente il messaggio personalizzabile
che si presenta al prompt di login del NAS prima dell’autenticazione
Post-authentication msg file
Percorso/nome del file di testo contenente il messaggio personalizzabile
che si presenta al prompt di login del NAS dopo l’autenticazione
User database settings
Enable ODBC user database
attiva l’utilizzo di un database ODBC per la memorizzazione dei profili
utente (se disattivato, utilizza il formato ASCII in file di testo)
using this datasource
Nome del datasource di sistema configurato sul database utenti
Serialize SQL queries
se attivato gestisce tutte le interrogazioni al database utenti in una coda
sequenziale (da usare ad es. con SQL Server)
DB Username
Account da usare per la connessione al datasource
DB Password
Password da usare per la connessione al datasource
User file directory
la directory ove risiedono i profili utente (file *.usr) in formato ASCII
(ignorata se attivo il database ODBC)
Group file directory
la directory ove risiedono i profili gruppo (file *.ugp) in formato
ASCII (ignorata se attivo il database ODBC)
Default user
Enable <default> user
Abilita l’utilizzo del profilo di default quando una username non viene
trovata nel database degli utenti.
Create user profile from
<default>
Consente la creazione automatica di un profilo utente, duplicando
quello di default
Email admin on unknown users
Invia notifiche all’amministratore quando un utente sconosciuto tenta
il login
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 19/95
General
Max login attempts
Numero massimo di login falliti prima di inviare l’e-mail di notifica
First day of week
Consente di impostare il primo giorno della settimana (per il calcolo
delle quote settimanali), ad es. domenica nei paesi anglosassoni, lunedì
negli altri paesi europei
Periodic check interval
Imposta la frequenza con la quale NTTacPlus effettua un controllo
periodico dei crediti degli utenti attivi (per procedere ad eventuali
disconnessioni forzate)
Use username for maxlogins
Identifica univocamente una sessione utilizzando anche il nome utente
in aggiunta alla porta e all’indirizzo del NAS
Resolve name (DNS)
Risolve gli indirizzi dei NAS nei nomi (sconsigliato per prestazioni)
Sezione Logging
Event logging options
Enable logging to screen
Invia gli eventi di log alle finestre di log delle console
Enable logging to file
Registra gli eventi di in un file giornaliero (formato ASCII)
Log file directory
Percorso della directory dove NTTacPlus crea i file di log giornalieri
Debug Logging Events
Session thread execution
Mostra informazioni sull’avvio/termine dei thread del programma e
delle applicazioni esterne (script/utility)
Authentication session
Mostra dettagli sulle richieste di autenticazione
Authorization session
Mostra dettagli sulle richieste di autorizzazione e le coppie A/V
Accounting session
Mostra dettagli sui dati di accounting ricevuti
Packet dumping
Evidenzia il contenuto dei pacchetti RADIUS/TACACS+ ricevuti
Password checking
Mostra in chiaro il processo di verifica delle password
Port cleaning commands
Mostra dettagli sui comandi di disconnessione inviati ai NAS
User account charging
Mostra dettagli sul calcolo degli addebiti di traffico e tempo
Max logins check
Mostra eventi relativi al controllo di login concorrenti
Extended session
Mostra dettagli sulle sessioni di gestione remota (Remote Console)
Backup events
Mostra gli eventi relativi alla sincronizzazione tra server NTTacPlus
SMTP connections
Mostra gli eventi relativi all’invio delle e-mail di notifica
Sezione Accounting
Time & traffic roundoff
Session time rounding offset
Arrotondamento (in minuti) per eccesso che viene applicato al tempo
nell’accounting (definisce il pacchetto “minimo” di tempo)
Session traffic rounding offset
Arrotondamento (in Kbytes) per eccesso che viene applicato al traffico
nell’accounting (definisce il pacchetto “minimo” di traffico)
Account expiration warnings
Date expiration warning
Imposta il periodo di avvertimento precedente la scadenza dell'account
Time expiration warning
Imposta la soglia di avvertimento (tempo) per l’esaurirsi del credito
Traffic expiration warning
Imposta la soglia di avvertimento (traffico) per l’esaurirsi del credito
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 20/95
ASCII Accounting
Accounting directory
Imposta il percorso dove NTTacPlus crea i file di accounting ASCII
Enable accounting text output
Abilita la creazione dei file ASCII giornalieri di accounting ( *.acc)
Per-user accounting logging
Abilita la creazione di file ASCII per utente che registrano tutti i
messaggi di accounting ricevuti dal NAS (*.log)
Log unknown user accounting
Registra tutti i dati di accounting relativi a username non configurate nel
file _unknown_.log
General Accounting
Send unknown users to active
window
Mostra anche utenti sconosciuti (non configurati) nella finestra degli
utenti attivi (registrandone quindi la sessione)
Run the post accounting script
Abilita l’esecuzione di uno script esterno alla ricezione di ogni
messaggio di accounting dai NAS
ODBC Accounting
Enable ODBC accounting
attiva l’utilizzo di un database ODBC per la memorizzazione dei dati di
accounting
Datasource name
Nome del datasource di sistema configurato per l’accounting
Login Username
Account da usare per la connessione al datasource
Login Password
Password da usare per la connessione al datasource
Accounting table name
Nome della tabella che memorizza i dati sulle sessioni utente
Log active users on table
Abilita il mantenimento di una tabella sincronizzata con il contenuto
della finestra degli utenti attivi
Automatic reconnect on
connection failure
Abilita il ripristino automatico della connessione al datasource nel caso
di perdita di connessione (ad es. SQL Server via TCP/IP)
Sezione Messages
Reply messages
Account expiring
Restituito quando l’account è sotto la soglia di avvertimento scadenza
Account expired
Restituito quando l’account è scaduto
Account disabled
Restituito quando l’account è disabilitato
Account not effective
Restituito se la data di attivazione è successiva al momento del login
Too many logins
Restituito se si supera la quantità massima di login contemporanei
Invalid login time
Restituito se si tenta il login in un’ora non autorizzata
Login time-up
Resituito se si ha esaurito il credito di tempo
Login Kbytes-up
Restituito se si ha esaurito il credito di traffico
Quota time-up
Restituito se si ha esaurito la quota periodica di tempo
Bad login user/pwd
Restituito su username o password non valide
Bad login NAS port
Restituito se si tenta il login su un’interfaccia NAS o con un
Caller/Called ID non autorizzati
Bad login NAS
Restituito se si tenta il login su di un NAS non autorizzato
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 21/95
Sezione Backup/Synch
Backup settings
Enable this server for backup
Abilita NTTacPlus come server di backup
Primary server name or addr
Nome/indirizzo del server NTTacPlus primario
Primary server port
Porta TCP del server primario (default = 49)
Primary login username
Account amministrativo (privilege=15) per la connessione al primario
Primary login password
Password dell’account amministrativo per la connessione al primario
Backup interval
Frequenza del refresh degli account (intervallo in minuti tra due backup)
Remove local accounts before
backup
Elimina gli account locali, comprese le modifiche ad essi fatte,
sostituendoli completamente con gli account del primario
Forward accounting to primary
server
Invia una copia dei messaggi di accounting ricevuti dai NAS al server
primario
Cisco IOS boxes synch
List of NAS to query
Elenco dei NAS Cisco (separato da virgolo) da interrogare per i refresh
List of valid interfaces
Elenco delle interfacce valide per la sincronizzazione
Perform synchronization during Esegue un refresh sui Cisco ad ogni intervallo di controllo utenti
(configurato nella sezione General)
active users check
Perform synchronization on
maxlogin collision detected
Esegue un refresh sui Cisco al rilevamente di un probabile superamento
di login contemporanei da parte di un utente
Username for RSHELL
Username con la quale NTTacPlus si presenta nell’esecuzione dei
comandi RSHELL (RSH)
Command to issue with RSH
Comando IOS Exec da usare per l’elenco degli utenti
Sezione Secrets
Encryption key settings
Always encrypt
Invia sempre pacchetti TACACS+ crittografati se configurata la chiave
Default secret key
Chiave di cifratura di default (globale)
Restrict NAS to configured IP
addresses only
Limita le interrogazioni al server NTTacPlus ai soli NAS indicati nella
lista
NAS IP address
indirizzo ip del NAS per cui configurare una chiave segreta autonoma
Secret key
Chiave segreta da associare ad un NAS specifico
Sezione Kill
Kill commands configuration
Interface name
Nome dell’interfaccia sulla quale eseguire il comando di kill
Command line
Riga di comando da eseguire per eseguire il reset dell’interfaccia
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 22/95
Sezione TACACS+/RADIUS
RADIUS protocol settings
RADIUS Authentication port
Porta UDP di ascolto per le sessioni di autenticazione RADIUS
RADIUS Accounting port
Porta UDP di ascolto per le sessioni di accounting RADIUS
Use Session-Timeout for
disconnection
Utilizza l’attributo RADIUS Session-Timeout per forzare la
disconnessione degli utenti all’esaurirsi del credito.
TACACS+ protocol settings
TACACS+ TCP port
Porta TCP di ascolto per le sessioni di autenticazione TACACS+ e di
gestione console remota.
Ignore multiple STOP records
Rimuove l’utente dalla lista degli utenti attivi al ricevimento del primo
record di STOP. I successivi eventuali STOP vengono solo loggati.
Username prompt
Prompt da presentare all’utente durante il login di tipo terminale alla
richiesta di username.
Password prompt
Prompt da presentare all’utente durante il login di tipo terminale alla
richiesta di password.
Enable prompt
Prompt da presentare all’utente durante il login di tipo terminale alla
richiesta di password di enable.
Sezione Holiday calendar
Kill commands configuration
Date
Giorno e mese dell’anno per cui fissare una festività
Type
Tipo di festività (prefestivo o festivo)
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 23/95
Configurare i NAS per interagire con NTTacPlus
Esiste un grande numero di marche e modelli di Network Access Server che supportano i protocolli RADIUS
e TACACS+, per cui non è possibile includere i comandi di configurazione per tutti. Vengono qui proposte
alcune linee guida generiche di configurazione dei NAS per l’uso di NTTacPlus e alcuni comandi di
configurazione per apparecchiature NAS Cisco che eseguono il sistema operativo IOS versione 11.0 e
successive.
Impostare NTTacPlus come server di autenticazione/autorizzazione/accounting
Ciascun modello di Network Access Server abilitato all’uso di RADIUS o TACACS+ prevede la possibilità di
delegare l’autenticazione, l’autorizzazione e l’accounting (leggere il capitolo successivo per una descrizione
più approfondita di queste fasi) ad un server esterno, impostandone l’indirizzo IP e la chiave di encryption,
oltre ad una serie di parametri specifici di ciascun modello di NAS.
Alcune apparecchiature consentono di configurare separatamente una o più delle tre fasi AAA
(authentication, authorization, accounting), impostando autonomamente per ciascuna di esse il server di
riferimento. Si consiglia di delegare tutte e tre le funzioni allo stesso server NTTacPlus per un funzionamento
ottimale. Ad esempio, nel protocollo RADIUS le fasi di autenticazione e autorizzazione sono conglobate in
un’unica operazione, per cui molti NAS, tra cui ad esempio i sistemi 3Com TotalControl o Ascend MAX,
consentono di impostare un server per autenticazione/autorizzazione e uno per l’accounting. In tal caso
occorre specificare le medesime impostazioni per entrambe le configurazioni.
La chiave di encryption (secret key)
Entrambi i protocolli RADIUS e TACACS+, senza entrare troppo nei dettagli tecnici, prevedono la possibilità
di crittografare la comunicazione tra i NAS ed il server di autenticazione tramite specifici algoritmi che
utilizzano una chiave segreta nota e condivisa tra i NAS e il server. Tale chiave (chiamata a volte key, secret o
encryption key) consiste in una stringa di caratteri, esattamente come una password (e quindi sensibile alle
maiuscole), che deve venire configurata manualmente dall’amministratore sia nei NAS che nel server di
autenticazione.
La comunicazione crittografata impedisce (o perlomeno ne riduce fortemente la possibilità) l’eventuale
intercettazione dei pacchetti RADIUS/TACACS+ scambiati tra i NAS e il server (compresa la trasmissione
delle password degli account).
NOTA: la mancata o errata configurazione delle chiavi di encryption (secret) impedisce la
comunicazione tra i NAS e NTTacPlus, producendo anche risultati imprevedibili. Si consiglia
sempre di verificare con molta attenzione la configurazione di tali chiavi.
Impostare le chiavi di encryption in NTTacPlus
NTTacPlus prevede la possibilità di operare con i NAS in due modi, relativamente alle chiavi di encryption:
 utilizzare una chiave di default globale per le richieste di tutti i NAS, eccetto quelli che compaiono
esplicitamente nella lista di NTTacPlus
 scartare le richieste di tutti i NAS che non compaiono esplicitamente nella lista di NTTacPlus
Nel primo caso NTTacPlus è in grado di accettare richieste da qualunque NAS senza restrizione; al momento
della richiesta da parte di un NAS, NTTacPlus ricerca se esiste una chiave configurata per quel NAS; se non
viene trovata, NTTacPlus utilizza la chiave globale (di default).
Nel secondo caso, al momento della richiesta da parte di un NAS, NTTacPlus ricerca se esiste una chiave
configurata per quel NAS; se non viene trovata la richiesta viene scartata immediatamente.
Per configurare le chiavi di encryption in NTTacPlus, dalla console remota selezionare Tools/Options (F8) e
passare alla sezione Secrets.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 24/95
Se l’opzione Restrict NAS access to configured IP addresses only non è barrata, NTTacPlus opera nella
prima modalità descritta, cioè utilizzando le chiavi configurate per i NAS presenti nella lista oppure usando la
chiave di default per le richieste provenienti da NAS non inclusi nella lista.
Se l’opzione Restrict NAS access to configured IP addresses only è barrata, allora NTTacPlus opera nella
seconda modalità descritta, cioè scartando le richieste provenienti da NAS non inclusi nella lista.
ATTENZIONE: La console di NTTacPlus viene considerata a tutti gli effetti dal server NTTacPlus
alla stregua di un NAS. Ciò significa che anche per la console valgono le stesse regole
applicate alla scelta della chiave di encryption. Se si decide di restringere l’accesso
alla lista configurata, occorre includere in essa anche gli indirizzi IP dai quali verrà
eseguita la console, compreso l’IP dello stesso server se la console verrà eseguita
localmente. Inoltre occorrerà effettuare il login della console inserendo
correttamente nella casella Encryption key la chiave configurata precedentemente
nel server NTTacPlus.
Se si effettuano modifiche alle impostazioni di encryption, occorre effettuare
nuovamente il logoff e il logon dalla console.
Se, per qualche motivo, la modifica della configurazione delle chiavi di encryption
precludesse l’accesso tramite console al server NTTacPlus, consultare il capitolo
Configurazione manuale più avanti, per ripristinare l’accesso.
Configurazione di un router Cisco/IOS TACACS+ per l’uso di NTTacPlus
Il modello AAA nei NAS Cisco prevede che le procedure di authentication, authorization ed accounting
possano venire configurate separatamente ed indipendentemente.
NOTA: Il modello AAA/Tacacs+ è supportato anche nella versione 10.3 dello IOS. Tuttavia i messaggi di
accounting (START/STOP), fondamentali all’applicazione per tenere traccia degli utenti collegati,
non vengono inviati al server NTTacPlus, ma mantenuti nella memoria del NAS (che, dopo un certo
periodo di funzionamento, tra l’altro, si esaurisce).
E’ indispensabile, pertanto, effettuare un aggiornamento del sistema operativo sui NAS che
ancora montano una versione di IOS inferiore alla 11.0. Per l'upgrade del sistema operativo dei
NAS Cisco, consultare la documentazione allegata al prodotto e contattare il proprio fornitore.
ATTENZIONE: la configurazione dei NAS Cisco per l’utilizzo del protocollo tacacs+ richiede l’inserimento
del comando aaa new-model che causa il reset immediato di tutte le interfacce (e quindi la
disconnessione forzata degli utenti dalle linee). Effettuare pertanto la configurazione
quando si è certi di non causare problemi.
A livello globale (router(config)#), inserire i seguenti comandi di configurazione:
!
aaa new-model
!
tacacs-server host a.b.c.d
tacacs-server timeout 20
tacacs-server key pippo
!
attiva il modello AAA
sostituire “a.b.c.d” con l’IP del server su cui è installato NTTacPlus
valore in secondi per l’attesa di risposta
sostituire “pippo” con la chiave di encryption
Per attivare l’authentication con tacacs+, aggiungere a livello globale:
!
aaa authentication login default tacacs+ local
aaa authentication ppp default if-needed tacacs+ local
aaa authentication enable default tacacs+ enable
!
Questi comandi prevedono l’attivazione dell’autenticazione per il login con finestra del terminale, con ppp o
per il passaggio in modalità enable.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 25/95
La prima riga crea una procedura di authentication di default per chi si collega ad una tty o vty (prompt) del
Cisco, e utilizza tacacs+ per verificare username/password. L’aggiunta di local al termine della riga indica
al sistema di utilizzare l’elenco interno di username nel caso che il server tacacs+ non risponda
correttamente.
La seconda riga crea una procedura di authentication di default per chi si collega richiedendo una
connessione PPP al Cisco, e utilizza tacacs+ per verificare username/password (tramite PAP o CHAP).
L’aggiunta di local al termine della riga indica al sistema di utilizzare l’elenco interno di username nel caso
in cui nessun server tacacs+ risponda correttamente.
L’ulteriore indicazione if-needed evita di procedere nuovamente ad una fase di autenticazione nel caso che
un utente già autenticato e collegato al prompt del Cisco digiti il comando PPP per passare in modalità PPP.
La terza riga crea una procedura di authentication di default per chi, già collegato al prompt del Cisco,
richieda il passaggio alla modalità enable (tramite comando ENABLE), e utilizza tacacs+ per verificare la
password di enable. L’aggiunta di enable al termine della riga indica al sistema di utilizzare la password
interna secret/enable nel caso in cui nessun server tacacs+ risponda correttamente.
È possibile aggiungere altre righe per l’authentication secondo le proprie esigenze. Consultare la
documentazione del NAS a riguardo.
Per attivate i messaggi di accounting tacacs+, aggiungere a livello globale:
!
aaa accounting exec default start-stop tacacs+
aaa accounting network default start-stop tacacs+
!
La prima riga attiva l’accounting per l’accesso alla shell (prompt del Cisco), mentre la seconda attiva
l’accounting per l’uso dei servizi di rete (ad es. per la connessione in PPP).
La keyword default è supportata solo dalle release 11.3 e successive, nelle release precedenti non deve
essere inserita.
Se disponete di una versione IOS 11.2.9 o successiva, occorre aggiungere, oltre alle due precedenti, i
seguenti comandi (se disponibili):
!
aaa accounting update newinfo
aaa accounting nested
!
che consente al NAS di inviare anche le informazioni di accounting relative ai cambiamenti di stato durante la
sessione dell'utente (ad es., segnalazione dell'indirizzo IP, ecc.). Questa opzione è implicita nelle versioni
precedenti di IOS.
A livello di interfaccia (asincrona, seriale, BRI, Dialer, ecc.), se volete attivare l’utilizzo del protocollo PAP
(Password Authentication Protocol) per l’uso con PPP, occorre aggiungere (router(config-if)#):
!
ppp authentication pap oppure chap (o entrambi)
!
Le linee di configurazione qui indicate rappresentano il caso tipico di un ISP che vende accessi ad Internet
tramite una connessione analogica (con modem su interfacce asincrone) o ISDN (ad es. su seriali sincrone),
attraverso l’incapsulazione del TCP/IP nel protocollo PPP, attivando la possibilità di login sia con
PAP/CHAP che con una finestra terminale.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 26/95
È possibile fare in modo che il Cisco determini automaticamente la modalità scelta dall’utente, aggiungendo,
a livello di configurazione di linee (router(config-line)#), i seguenti comandi:
!
autoselect during-login
autoselect ppp
autocommand ppp
!
È possibile infine opzionalmente attivare l’autenticazione sul server secondario NTTacPlus, aggiungendo alla
configurazione globale una seconda riga:
!
tacacs-server host e.f.g.h
!
sostituire “e.f.g.h” con l’IP del server NTTacPlus secondario
Il Cisco automaticamente invia la richiesta al secondo server qualora il primo non dovesse rispondere.
Se desiderate attivare anche l'authorization, potete inserire, ad esempio, sempre a livello globale:
!
aaa
aaa
aaa
aaa
!
authorization
authorization
authorization
authorization
commands 1 default tacacs+ local if-authenticated
commands 15 default tacacs+ local if-authenticated
exec default tacacs+ local
network default tacacs+ local
Queste righe attivano l'autorizzazione alla shell (exec), ai servizi di rete (network), ai comandi standard ed in
modalità enable (commands 1 e commands 15) solo per utenti già autenticati da NTTacPlus, utilizzando la
configurazione locale nel caso che il server (o i server) tacacs+ non rispondessero alle richieste (vedere più
avanti il paragrafo Authorization per maggiori dettagli).
La keyword default è supportata solo dalle release 11.3 e successive, nelle release precedenti non deve
essere inserita.
Per una descrizione più dettagliata della configurazione dei router Cisco per i server AAA
RADIUS/TACACS+ si rimanda alla documentazione stessa dei router.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 27/95
Configurazione di parametri specifici RADIUS/TACACS+
Questa sezione prevede la possibilità di cambiare le impostazioni di default relative a parametri specifici dei
protocolli RADIUS o TACACS+.
Sezione
Parametro
Valore
TACACS+/RADIUS RADIUS Authentication Port
Porta UDP di ascolto per le sessioni di
autenticazione RADIUS
RADIUS Accounting Port
Porta UDP di ascolto per le sessioni di
accounting RADIUS
Use Session-Timeout for disconnection
Utilizza l’attributo RADIUS
Session-Timeout per forzare la
disconnessione degli utenti all’esaurirsi
del credito.
TACACS+ TCP Port
Porta TCP di ascolto per le sessioni di
autenticazione TACACS+ e di gestione
console remota.
Ignore multiple (nested) STOP records
Rimuove l’utente dalla lista degli utenti
attivi al ricevimento del primo record di
STOP. I successivi eventuali STOP
vengono solo registrati nei file di log.
Username prompt
Prompt da presentare all’utente durante il
login di tipo terminale alla richiesta di
username.
Password prompt
Prompt da presentare all’utente durante il
login di tipo terminale alla richiesta di
password.
Enable prompt
Prompt da presentare all’utente durante il
login di tipo terminale alla richiesta di
password di enable.
La modifica del numero di porta di ascolto RADIUS può risultare utile in alcuni casi. Le specifiche iniziali
del protocollo infatti prevedevano l’utilizzo delle seguenti porte UDP:
1645
Richieste di autenticazione RADIUS
1646
Messaggi di accounting RADIUS
Successivamente la commissione IANA per gli standard Internet ha modificato le specifiche, per evitare
conflitti con altri servizi che utilizzavano le stesse porte, assegnando ufficialmente al protocollo RADIUS le
seguenti porte UDP:
1812
Richieste di autenticazione RADIUS
1813
Messaggi di accounting RADIUS
Tuttavia la grande maggioranza dei NAS in commercio (anche nelle versioni software più recenti) continuano
ad utilizzare i numeri non standard originari. Anche NTTacPlus segue questa impostazione di default.
Consultare la manualistica del NAS per verificare quali numeri di porta vengono utilizzati dal NAS in uso.
La modifica del numero di porta di ascolto TACACS+ invece è solo una comodità nel caso si decida di
variare (per motivi di sicurezza) la porta di comunicazione tra NAS e NTTacPlus.
ATTENZIONE: Il protocollo di gestione remota (NTTacPlus Console) e il protocollo di backup tra
server NTTacPlus sfruttano il trasporto dei dati nella stessa porta TCP di ascolto di
TACACS+. Se si decide di cambiare il numero di porta TCP TACACS+ in un server
NTTacPlus, occorrerà indicare tale porta anche durante il login su console remota, e
nelle impostazioni di tutti i server di backup che devono sincronizzarsi con il server di
riferimento (vedere il paragrafo Configurazione di un server NTTacPlus di backup
più avanti).
Dopo aver cambiato la porta TCP dalla console, è inoltre inispensabile effettuare il
logoff e un nuovo login specificando la nuova porta.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 28/95
Utilizzo dei timeout di sessione per la disconnessione
L’opzione Use Session-Timeout for disconnection consente a NTTacPlus di utilizzare l’attributo RADIUS
Session-Timeout (che indica al NAS il timeout assoluto, cioè la durata massima che una sessione può avere,
trascorsa la quale il NAS termina forzatamente la sessione), se supportato dal NAS per disconnettere
forzatamente l’utente all’esaurirsi del suo credito.
Per una descrizione precisa su come NTTacPlus opera per la disconnessione degli utenti si rimanda alla
sezione successiva dedicata a tale argomento.
 Si consiglia di lasciare questa opzione sempre attiva.
Ignorare i messaggi multipli di STOP in TACACS+
NTTacPlus aggiorna il proprio elenco di utenti collegati basandosi sui messaggi di inizio/termine sessione
(accounting START/STOP records) che il NAS gli invia.
Normalmente può capitare che il NAS invii ad NTTacPlus più sequenze start/stop annidate. Ad esempio, se
l'utente inizia una sessione Exec (shell) tipo terminale per autenticarsi, e poi entra in modalità PPP (digitando
manualmente il comando ppp oppure perché è configurato autocommand ppp sulla linea a cui è
collegato), il NAS invia un messaggio START quando inizia la sessione Exec; quindi invia un secondo START
quando inizia la sessione PPP. Quando l'utente si disconnette, il NAS invia uno STOP per indicare il termine
della sessione PPP (messaggio che contiene anche informazioni circa il traffico generato nella sessione), poi
invia un secondo STOP per indicare il termine della sessione Exec da cui è partita la modalità PPP (tutto ciò
non accade se l'utente si collega invece direttamente in PPP/PAP, nel cui caso il NAS invia un'unica sequenza
START/STOP).
Se l'opzione Ignore multiple STOP records non è barrata, NTTacPlus considera l'utente scollegato (e quindi
procede a rimuoverlo dalla lista) solo quando riceve l'ultimo record di STOP. Purtroppo a volte capita, con
alcune versioni di IOS Cisco che lo STOP relativo alla sessione di Exec non venga correttamente inviato dal
NAS, per cui l'utente risulterebbe erroneamente collegato anche se in realtà non lo è più.
 È fortemente consigliabile lasciare questa casella attivata; disattivarla solo se è il caso.
I prompt di login
I prompt di login specificano i messaggi che il NAS deve presentare all’utente al momento della richiesta di
informazioni nelle autenticazioni TACACS+ di tipo terminale (login).
Può essere utile modificare queste informazioni se alcuni client remoti utilizzano script di connessione che si
aspettano determinati prompt prima di inserire automaticamente username e password.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 29/95
Configurare NTTacPlus e i NAS per la disconnessione forzata
Vi sono due casi in cui è utile avere a disposizione una procedura che consente di terminare forzatamente la
sessione in corso di uno o più utenti.
Il primo caso riguarda la disconnessione manuale da parte dell’amministratore, allorché egli decida di
terminare una sessione dalla console remota NTTacPlus senza dover manualmente collegarsi, ad esempio in
telnet, al NAS per inviare il comando di disconnessione.
Il secondo caso invece riguarda la disconnessione forzata automatica da parte di NTTacPlus allorché un
utente stia esaurendo il proprio credito di connessione durante una sessione in corso.
NTTacPlus mette a disposizione infatti la possibilità, per ciascun profilo utente, di assegnare per la
connessione dei crediti di tempo o delle quote di tempo a periodo (giornaliere, settimanali, ecc.).
L’amministratore del sistema può decidere il comportamento che NTTacPlus deve tenere nei confronti degli
utenti che, durante una sessione in corso, stanno esaurendo i crediti e le quote a loro disposizione (lasciar
proseguire la sessione sino al termine oppure interromperla quando il credito raggiunge lo zero).
Purtroppo né il protocollo RADIUS né il protocollo TACACS+ prevedono comandi o estensioni per
ordinare ai NAS di terminare sessioni attive. NTTacPlus allora sfrutta due metodi per la disconnessione: un
metodo implicito tramite l’attributo RADIUS Session-Timeout, e un metodo esplicito, appoggiandosi a
utility/script esterni che consentono di inviare ai NAS il comando appropriato per terminare le sessioni.
L’utilizzo di procedure o piccole applicazioni esterne è motivato dal fatto che ogni marca (e persino ogni
modello o addirittura ogni release software di uno specifico modello) di NAS prevede comandi o modalità
diverse per raggiungere lo scopo, non essendoci un comando standard di disconnessione.
Utilizzo di Session-Timeout
Attivando l’opzione di Session-Timeout come riportato nella sezione precedente, NTTacPlus esegue al
momento del login dell’utente un calcolo di quale sia la durata massima della sessione per quell’utente,
inviando il risultato al NAS nell’attributo Session-Timeout. Trascorso questo tempo, è il NAS che procede
alla terminazione della sessione. Nessun comando viene inviato esplicitamente da NTTacPlus.
Il valore trasmesso nell’attributo Session-Timeout viene calcolato come il minimo valore tra i seguenti
(vedere il capitolo Gestione degli account per maggiori informazioni sui singoli parametri):

Massima durata di una singola sessione intera (MaxConnectionTime)

Quota temporale residua per il periodo in corso (QuotaLeft)

Credito di tempo residuo per l’account (TimeLeft)
Ciascuno dei tre parametri precedenti viene valutato nel calcolo solo se l’account è configurato per avere una
limitazione su tale parametro e solo se l’account è configurato per venire disconnesso forzatamente
all’esaurirsi di tale parametro.
In caso contrario, l’attributo Session-Timeout non viene inviato al NAS per cui non si applicano limitazioni
implicite alla sessione.
NOTA: questo metodo opera correttamente solo nelle autenticazioni di tipo RADIUS e se il NAS interessato
supporta l’attributo Session-Timeout. Tramite questo metodo inoltre non è possibile disconnettere
manualmente un utente dal comando Edit/Kill della console remota.
Configurazione delle utility esterne per la disconnessione forzata
Il metodo esplicito di disconnessione prevede che, quando l’utente ha esaurito il credito o l’amministratore ha
selezionato il comando Edit/Kill della console remota, NTTacPlus esegua uno script esterno il quale, ricevuti
da NTTacPlus i parametri descrittivi della sessione, provveda ad inviare al NAS il comando di
disconnessione.
La sezione kill della finestra di configurazione di NTTacPlus contiene le informazioni per indicare a
NTTacPlus che comandi eseguire per la disconnessione degli utenti dalle porte dei NAS alle quali sono
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 30/95
collegati. È possibile configurare per ogni tipo di NAS o porta (interfaccia) al quale è collegato l'utente un
comando (programma o script da eseguire) diverso.
L'esempio che segue mostra come configurare il sistema per il funzionamento con un Access Server Cisco
AS5200 e sfrutta due utility, $RSH (comando incorporato) e SNMPSET.EXE (utility esterna inserita nella
subdirectory EXTERNAL creata all'installazione):
default=$rsh $nas clear interface $port
tty*=.\external\snmpset $nas public .1.3.6.1.4.1.9.2.9.10.0 $line
Queste righe indicano a NTTacPlus di eseguire SNMPSET qualora la disconnessione sia da effettuare su un
utente collegato su una porta tty, mentre viene richiamato il comando RSH per utenti connessi alle interfacce
asincrone (modem analogici) e seriali (connessioni ISDN).
SNMPSET esegue un'operazione set sulla variabile intera .1.3.6.1.4.1.9.2.9.10.0, impostandola al
valore della linea da disconnettere. RSH invece invia il comando IOS clear interface passandogli
come parametro il nome esteso completo della porta.
Le tre macro che compaiono sulle tre righe, $nas, $port e $line, vengono sostituite al momento della
chiamata al programma, rispettivamente con l'indirizzo del NAS, il nome completo della porta, e il numero
estratto dal nome della porta.
Ad esempio, per un utente collegato al NAS 198.83.24.2 sulla porta tty14, risulta:
$nas = 198.83.24.2
$line = 14
$port = tty14
e il comando che verrebbe eseguito corrisponde a:
.\external\snmpset 198.83.24.2 public .1.3.6.1.4.1.9.2.9.10.0 14
Occorre comunque configurare il NAS in modo che accetti i comandi SNMP e RSH dal server NTTacPlus. As
esempio, supponendo che l'indirizzo del server NTTacPlus sia 198.83.24.5 e il programma sia in esecuzione
come servizio, sull'AS5200 occorre aggiungere, a livello globale:
!
username SYSTEM privilege 15 password xxxx
!
ip rcmd rsh-enable
ip rcmd remote-host SYSTEM 198.83.24.5 SYSTEM enable
!
access-list 15 permit 198.83.24.5
!
snmp-server community public RW 15
!
L'access-list non è obbligatoria, ma è indispensabile per bloccare operazioni SNMP da host indesiderati.
La sintassi per l’associazione dei comandi di kill ai NAS e alle interfacce è la seguente:
[<nas_ip>@]<port>=<command>
dove port è il nome dell’interfaccia per la quale eseguire il comando (possono essere utilizzati i caratteri
jolly), mentre nas_ip è l’indirizzo (opzionale) del NAS. Se non si specifica il NAS, tale comando viene
applicato a qualsiasi NAS. Ecco alcuni esempi:
default=otherapp.exe $sessionid
tty*=myapp.exe $port
10.0.0.2@async*=kill_them_all.exe $nas $port
10.0.0.5@*=script.bat $line
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 31/95
In questo caso verrà eseguito script.bat per tutti gli utenti collegati al NAS 10.0.0.5, verrà eseguito
kill_them_all.exe per gli utenti collegati sulle porte async del NAS 10.0.0.2, mentre verranno eseguiti
myapp.exe per tutti gli altri utenti collegati sulle porte tty (indipendentemente dal NAS) e otherapp.exe
per tutti gli altri casi (porte e NAS) non contemplati esplicitamente.
È possibile indicare i seguenti parametri sulla riga di comando da eseguire:
$nas
$username
$sessionid
$port
$line
=
=
=
=
=
indirizzo IP del NAS
username della sessione da terminare
id della sessione (trasmesso dal NAS come dato di accounting)
nome completo della porta (interfaccia)
numero della porta (o linea)
NTTacPlus supporta internamente l’utilizzo del protocollo RSHELL, per cui non richiede l’esecuzione di
applicazioni esterne. Per inviare un comando RSHELL è sufficiente iniziare il comando con la macro $rsh:
Serial*=$rsh $nas clear interface $port
questo comando invia “clear interface” tramite RSHELL al NAS in questione. La username utilizzata dal
comando interno RSHELL è quella configurata nella sezione Synch (vedere Resincronizzazione con i NAS
Cisco più avanti).
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 32/95
Impostazioni di carattere generale
Verranno descritte qui di seguito alcune impostazioni di configurazione di carattere generale, a prescindere
dal tipo di NAS utilizzato. Tutte le opzioni di qui descritte vengono impostate dalla finestra di dialogo delle
Opzioni, attivabile con il comando Tools/Options (F8).
Configurazione di NTTacPlus per l’invio di e-mail
NTTacPlus è in grado di inviare notifiche amministrative per email al verificarsi di eventi particolari quali
tentativi di login falliti, tentativi di doppi accessi non autorizzati, backup falliti, ecc.
NTTacPlus inoltre può inviare notifiche particolari quali la scadenza di un account o l’esaurirsi di crediti agli
utenti interessati. Per poter inviare messaggi, occorre configurare i seguenti parametri:
Sezione
Parametro
Valore
General
Notification e-mail address
Indirizzo a cui NTTacPlus invia tutte le
notifiche amministrative
Indirizzo IP o nome del server SMTP
Indirizzo mittente con cui NTTacPlus si
presenta (campo From:)
Invia una notifica all’amministratore nel
caso di tentativi di login di username
sconosciute
SMTP Server
Server source e-mail (sender)
E-Mail admin on unknown users
Banners
I parametri relativi ai banner consentono di configurare dei messaggi di testo da presentare prima e dopo
l’autenticazione di tipo terminale (login). I banner sono file di testo ASCII, e attualmente sono supportati solo
dal protocollo TACACS+. I parametri relativi ai banner sono i seguenti:
Sezione
Parametro
Valore
General
Pre-authentication msg file
Percorso/nome del file di testo per il
banner pre-autenticazione
Percorso/nome del file di testo per il
banner post-autenticazione
Post-authentication msg file
Default user
Le impostazioni relative all’utente di default consentono di attivare un profilo comune di base utilizzato per
qualsiasi username richieda l’autenticazione.
Sezione
Parametro
Valore
General
Enable <default> user
Create user profile from <default>
Attiva l’utilizzo del profilo di default
Attiva la duplicazione del profilo di
default su autenticazione completata con
successo
Attivando il profilo di default, NTTacPlus, nel caso in cui non abbia trovato all’interno del suo database un
profilo utente la cui username corrisponda con quella in fase d’autenticazione, utilizza un profilo standard
denominato default.usr recuperandone tutti gli attributi (password compresa).
Se, al contrario, il profilo di default non è attivo, le richieste di autenticazione relative a username non
presenti nel database falliranno, restituendo al NAS un messaggio di “utente sconosciuto”.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 33/95
Il profilo di default può essere utile se combinato, ad esempio, con il modulo proxy di autenticazione per
server Windows NT, in modo da poter redirigere le autenticazioni verso un database SAM di NT già
esistente.
Con l’opzione Create profile from default attiva (operativa solo se è abilitato il profilo di default), è possibile
fare in modo che NTTacPlus, qualora riceva una richiesta di autenticazione di un utente sconosciuto, utilizzi
il profilo default.usr e, in caso di successo dell’autenticazione, provveda a duplicare il profilo
default.usr in un altro profilo identico, il cui nome coincida con quello della username sconosciuta; nei
successivi tentativi di login la username non risulterà più sconosciuta poiché verrà usato il profilo creato dal
profilo di default. È possibile combinare queste opzioni con la funzionalità di password grabbing per
catturare la password digitata dall’utente (vedere il paragrafo Parametri di un profilo utente alla sezione
relativa alle opzioni di password nei profili utente per maggiori informazioni).
Max login attempts
Questo valore fissa la soglia di tentativi falliti da parte di un utente prima di inviare una e-mail di
avvertimento all'amministratore e/o disattivare l’account (opzioni attivabili indipendentemente per ciascun
account). Ad esempio, se il valore è 4, ogni quattro tentativi consecutivi di accesso fallito, verrà inviata l'email. Ad ogni tentativo riuscito di login, il contatore viene azzerato.
Sezione
Parametro
Valore
General
Max login attempts
Numero di tentativi massimi di login
prima di bloccare l’account o inviare
una e-mail all’amministratore
NOTA: questa impostazione non ha nulla a che fare con quella configurata nei NAS, che decidono
indipendentemente quanti tentativi dare prima di disconnettere la linea.
Identificazione sessione tramite username
 Normalmente questa casella non è barrata. Questa opzione può interessare principalmente coloro che
utilizzano router Cisco. Se sussiste la necessità di dare accessi Exec agli utenti, se è il caso, attivare
l'impostazione. Lasciate comunque disattivata questa opzione se non strettamente necessario.
Sezione
Parametro
Valore
General
Use username field also for maxlogins check
Utilizza anche la username per
riconoscere una sessione univocamente
Poiché non può capitare che due utenti diversi siano collegati contemporaneamente alla stessa porta dello
sesso NAS, NTTacPlus normalmente identifica univocamente un utente collegato esaminando il NAS a cui è
collegato e la Porta del NAS a cui è collegato; la username non viene considerata. Infatti a volte può capitare
(con alcune versioni di IOS Cisco) che per qualche motivo certi messaggi di STOP vadano persi. Questo
comporta il fatto che un utente risulti erroneamente collegato anche quando in realtà non lo è più. Quando
NTTacPlus riceve un messaggio di START relativo ad una coppia NAS/Porta sulla quale gli risulta già
collegato un utente, ritiene che ci sia stata la perdita del messaggio di STOP per questo utente, procede a
simulare uno STOP, elimina l'utente dalla lista, e aggiunge il nuovo utente del messaggio START appena
ricevuto alla lista. Tutto questo accade indipendentemente dalle username degli utenti. Se infatti venisse
confrontata la username, non sarebbe possibile rimuovere l'utente vecchio dalla lista, e risulterebbero così
collegate due username diverse sullo stesso NAS e sulla stessa Porta.
Purtroppo, però, in alcune situazioni occorre identificare univocamente l'utente collegato confrontando, oltre
al NAS e alla Porta del NAS, anche la username con il quale è collegato.
Questo accade, ad esempio, quanto un utente inizia una sessione Exec (shell) al prompt dei comandi del NAS.
Se l'utente decide di cambiare login senza prima fare logout, gli verranno richieste le nuove credenziali e (se
la nuova autenticazione ha successo), il NAS procederà ad inviare uno START ad NTTacPlus per il nuovo
utente PRIMA di inviare lo STOP dell'utente precedente. Se la username non venisse confrontata, in questo
caso NTTacPlus, ricevendo uno START su di una coppia NAS/Porta già occupata, penserebbe alla perdita
dello STOP precedente, sostituirebbe quindi il vecchio utente con quello nuovo, ma quando poi riceve lo
STOP del vecchio utente, poiché non controlla di che utente si tratta, considera questo STOP come fine
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 34/95
sessione del nuovo utente. Il risultato è che nessun utente risulterebbe collegato, mentre in realtà il nuovo
utente ha aperta una sessione Exec.
Risoluzione dei nomi
Questa opzione, se attivata, consente di visualizzare il nome dei NAS anziché il loro indirizzo IP (se è
disponibile un reverse lookup).
Sezione
Parametro
Valore
General
Resolve NAS names (DNS)
Converte gli indirizzi IP dei NAS in
nomi
 Si consiglia di lasciare questa opzione disattivata per non degradare inutilmente le prestazioni.
Controllo periodico degli utenti
NTTacPlus esegue periodicamente un thread che verifica i crediti e le quote di tempo disponibili per tutti gli
utenti con una sessione attiva in corso, per verificare se qualche account abbia esaurito il credito (ed
eventualmente passare ad eseguire il comando di disconnessione forzata degli utenti).
Sezione
Parametro
Valore
General
Periodic check interval
Intervallo in minuti tra un controllo e
l’altro degli utenti attivi
Se il NAS utilizzato consente di usare i timeout di sessione (Session-Timeout), questo thread di controllo può
rivelarsi inutile.
Poiché inoltre in condizioni di carico (più di 200 utenti attivi simultaneamente) il thread può richiedere molto
tempo per l’esecuzione (fino a 30 secondi), è possibile impostare con che frequenza eseguirlo, arrivando a
disabilitarlo del tutto con un valore pari a zero.
Primo giorno della settimana
Con questa opzione è possibile decidere qual è il giorno della settimana che riporta a zero il contatore delle
quote di tempo settimanali assegnate.
Sezione
Parametro
Valore
General
First day of the week
Primo giorno della settimana
Normalmente i paesi anglosassoni impostano questo valore a domenica. In Italia, invece, occorre impostarlo
a lunedì, in modo che la quota settimanale riparta dal valore massimo in coincidenza col trascorrere della
mezzanotte tra domenica e lunedì.
Calendario festività
Poiché è possibile definire per ciascun utente un piano settimanale per le fasce orarie di accesso al sistema,
NTTacPlus dà la possibilità di stabilire anche un calendario annuale delle festività e delle prefestività.
I giorni prefestivi infrasettimanali assumono la configurazione impostata per il sabato; i giorni festivi
infrasettimanali o i sabati festivi assumono la configurazione impostata per la domenica. Eventuali
impostazioni del calendario festività per le domeniche vengono ignorate, in quando il giorno di domenica è
considerato comunque festivo.
Per stabilire il calendario festività occorre modificare la sezione Holiday della finestra di configurazione.
L'impostazione di una giornata festiva o prefestiva va fatta inserendo una riga del tipo gg-mm=p per i giorni
prefestivi oppure gg-mm=h per quelli festivi (p = preholiday, h = holiday).
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 35/95
Ad esempio è possibile configurare nella lista delle festività:
23-09=p
24-12=p
25-12=h
Questo esempio imposta il 23 settembre come giorno prefestivo, la vigilia di Natale come prefestivo e Natale
come festivo.
NOTA: il calendario festività non prevede date legate ad un anno particolare, per cui le feste mobili (che
cambiano cioè data ogni anno –come la Pasqua-) vanno riconfigurate di anno in anno.
Configurazione del database utenti
Le impostazioni relative alla configurazione del database utenti dalla sezione General nella finestra delle
opzioni di NTTacPlus sono trattate separatamente nel capitolo dedicato Gestione degli account.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 36/95
Configurazione dell’activity event log
NTTacPlus mette a disposizione la possibilità di monitorare in tempo reale l’attività del server, mostrando a
video (e inviando il flusso a tutte le console amministrative aperte) la successione di eventi in corso.
NTTacPlus consente anche di registrare la successione di eventi in file di log ASCII giornalieri suddivisi per
data di creazione, memorizzati nella directory di Log, e il cui nome ha il formato yyyymmdd.log
(anno/mese/giorno).
Tipi di messaggi ed eventi
NTTacPlus genera 3 differenti tipi di messaggi di log:

Messaggi ordinari

Messaggi d'errore

Messaggi di debug
I messaggi ordinari e d'errore vengono visualizzati sempre. L'insieme dei messaggi di debug invece può
venire attivato o disattivato a piacere secondo le opzioni barrate nella sezione Debugging log events.
Il formato generale di un messaggio ordinario ha la forma:
#dd-mm-yyyy hh:mm:ss# message_text
mentre i messaggi d'errore o di debug hanno la forma:
#dd-mm-yyyy hh:mm:ss ERROR# message_text
oppure
#dd-mm-yyyy hh:mm:ss DEBUG# message_text
Il campo message_text a sua volta, nel caso si riferisca a eventi associati a pacchetti scambiati con i NAS,
ha il seguente formato:
PR_TYPE NAS_ADDR[SESSION_ID]: text
dove:
PR = tipo di protocollo (TAC=TACACS+, RAD=RADIUS)
TYPE = tipo di richiesta (AUTHN=autenticazione, AUTHR=autorizzazione, ACCT=accounting,
EXTN=console remota)
NAS_ADDR = indirizzo del NAS o della console remota
SESSION_ID = numero che identifica la sessione
Messaggi ordinari
Vengono sempre visualizzati e segnalano gli eventi ordinari del server NTTacPlus, come accettazione o
respinta di richieste di authentication, messaggi di accounting, ecc.
Messaggi di errore
Vengono sempre visualizzati e segnalano eventi anomali o risposte non standard ricevute dal NAS.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 37/95
Messaggi di debug
Vengono visualizzati a seconda delle opzioni impostate nella finestra Options di NTTacPlus.
Riepilogo dei parametri di configurazione di logging:
Sezione
Parametro
Valore
Logging
Enable logging to screen
Abilita l’invio del log degli eventi allo
schermo (a tutte le finestre di log delle
console aperte)
Attiva la creazione di un file giornaliero
che registra l’attivita
Directory dove vengono creati i file di
log degli eventi
Enable logging to file
Log file directory
Sezione
Parametro
Valore
Logging
Session thread execution
Mostra informazioni sull’avvio/termine
dei thread del programma e delle
applicazioni esterne (script/utility)
Authentication session
Mostra dettagli sulle richieste di
autenticazione
Authorization session
Mostra dettagli sulle richieste di
autorizzazione e le coppie A/V
Accounting session
Mostra dettagli sui dati di accounting
ricevuti
Packet dumping
Evidenzia il contenuto dei pacchetti
RADIUS/TACACS+ ricevuti
Password checking
Mostra in chiaro il processo di verifica
delle password
Port cleaning commands
Mostra dettagli sui comandi di
disconnessione inviati ai NAS
User account charging
Mostra dettagli sul calcolo degli
addebiti di traffico e tempo
Max logins check
Mostra eventi relativi al controllo di
login concorrenti
Extended session
Mostra dettagli sulle sessioni di gestione
remota (Remote Console)
Backup events
Mostra gli eventi relativi alla
sincronizzazione tra server NTTacPlus
SMTP connections
Mostra gli eventi relativi all’invio delle
e-mail di notifica
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 38/95
Resincronizzazione con i NAS Cisco
I messaggi di accounting sono vitali per il corretto funzionamento di NTTacPlus, il quale basa la sua
conoscenza delle sessioni attive e del consumo di traffico e di tempo proprio sui record START, STOP e
UPDATE che vengono inviati dai NAS sotto forma di messaggi di accounting.
Purtroppo, in alcune circostanze, può capitare (anche a causa di problemi nei sistemi operativi IOS) che con i
NAS Cisco alcuni record di STOP (fine sessione) non vengano trasmessi a NTTacPlus, impedendogli quindi
di prendere conoscenza del termine di una sessione utente. In tal caso NTTacPlus continua a mostrare
l’utente come attivo, anche se in realtà non lo è; questa situazione genera problemi relativi alla registrazione
errata del traffico e del tempo “consumati” ed inoltre impedisce un calcolo corretto delle sessioni attive
dell’utente (eventualmente bloccando anche nuovi tentativi “legittimi” di login).
NTTacPlus incorpora ora un metodo basato su alcune estensioni RSHELL per ricreare un elenco corretto
delle sessioni attive, anche in caso di mancato recapito di un messaggio di STOP.
Per abilitare questa funzione occorre innanzitutto verificare che sia attivo nei NAS Cisco il protocollo
RSHELL, lo stesso protocollo usato per inviare i comandi di disconnessione forzata; i comandi di attivazione
del protocollo sono i medesimi:
!
username SYSTEM privilege 15 password non_ha_importanza
ip rcmd rsh-enable
ip rcmd remote-host SYSTEM a.b.c.d SYSTEM enable
!
(rispettare le maiuscole/minuscole esattamente come scritto!)
dove a.b.c.d è l’indirizzo del server NTTacPlus, mentre la password dell’account locale SYSTEM non ha
importanza poiché non viene utilizzata da RSHELL.
Nella finestra di configurazione di NTTacPlus, impostare i seguenti parametri:
Sezione
Parametro
Valore
Backup/synch
List of NAS to query
Elenco separato da virgole degli IP dei
NAS Cisco da interrogare
Elenco delle interfacce da includere
nella sincronizzazione (vuoto=tutte)
Effettua un controllo con RSHELL ad
ogni intervallo di controllo utenti
Effettua una verifica con RSHELL
quando rileva accessi contemporanei
non consentiti
Username da usare con RSHELL
Comando inviato tramite RSHELL per
recuperare l’elenco degli utenti
List of valid interfaces
Perform synchronization during active users
periodic check
Perform synchronization on maxlogin
collision detected
Username for RSHELL protocol
Command to issue with RSHELL
Inserendo in List of NAS to query un elenco separato da virgole degli indirizzi IP dei NAS Cisco, viene
abilitata la possibilità da parte di NTTacPlus di ricostruire automaticamente al riavvio l’elenco degli utenti
collegati interrogando i Cisco (eccetto che per il dato di Caller ID).
È possibile filtrare le interfacce valide (ad esempio per escludere interfacce virtuali create dinamicamente e
delle quali non si desidera monitorare lo stato in NTTacPlus) inserendo l’elenco delle interfacce, separato da
virgole; sono consentiti i caratteri jolly (ad es. “Async*,tty*,Serial*”). Lasciando il campo vuoto, tutte le
interfacce per cui esiste un’azione attiva di accounting vengono recuperate.
L’opzione Perform synchronization during active users periodic check indica a NTTacPlus di richiedere
tramite RSHELL l’elenco degli account attivi ai Cisco ad ogni controllo periodico degli utenti attivi (la cui
frequenza è configurabile nella sezione General), confrontandolo con il proprio elenco visualizzato e, in caso
di differenze, aggiornando il proprio elenco secondo quanto ricevuto dai Cisco.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 39/95
L’opzione Perform synchronization on maxlogin collision detected, invece, indica a NTTacPlus di richiedere
tramite RSHELL l’elenco degli account attivi ai Cisco nel momento in cui si verifica un tentativo di
superamento di accessi contemporanei consentiti da parte di un utente. In tal caso, NTTacPlus, prima di
negare l’accesso all’utente segnalando il problema e prendendo i provvedimenti del caso, verifica tramite i
dati restituiti da RSHELL che il superamento sia effettivo, che, cioè, tutte le altre sessioni riportate per
quell’utente siano effettivamente in corso.
Queste due ultime opzioni garantiscono sempre un’effettiva corrispondenza tra gli utenti effettivi e le sessioni
riportate da NTTacPlus. Esse tuttavia hanno lo svantaggio di rallentare le prestazioni di NTTacPlus poiché
ogni interrogazione tramite RSHELL sospende i processi di autenticazione e accounting durante la propria
esecuzione (che può durare fino a 5 secondi).
L’opzione Username for RSHELL protocol consente di impostare con quale username NTTacPlus invia le
richieste ai NAS tramite RSHELL, e deve coincidere con l’account locale creato per l’rsh nei Cisco
(rispettando le maiuscole/minuscole).
L’opzione Command to issue with RSHELL indica quale sia esattamente il comando inviato da NTTacPlus ai
NAS Cisco per recuperare l’elenco delle azioni attive di accounting.
Entrambe le ultime due opzioni vanno lasciate normalmente sui valori di default (rispettivamente SYSTEM e
show accounting) salvo necessità particolari.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 40/95
Configurazione di un server NTTacPlus di backup
La maggior parte dei NAS prevede ormai la possibilità di configurare più di un server di riferimento per
l’autenticazione e l’accounting, in modo da indirizzare le richieste, in caso di indisponibilità temporanea del
server principale, in maniera automatica verso un server secondario (di backup).
NTTacPlus è in grado di operare come backup di un altro server NTTacPlus. La sincronizzazione dei dati e
del database utenti avviene in maniera automatica tramite una connessione TCP tra i due server.
Il server di backup, infatti, ad intervalli regolari, apre una connessione TCP verso il server primario
(sfruttando lo stesso trasporto del protocollo TACACS+), si autentica presso il server primario con un account
NTTacPlus amministrativo, quindi procede al prelievo di tutte le informazioni degli account.
In caso di fallimento della procedura di backup (dovuto ad es. alla caduta della connessione TCP a causa di
timeout) il server di backup invia una notifica email amministrativa di fallimento, ritentando nuovamente il
backup entro i 10 minuti successivi, e continuando così sino al completamento con successo della procedura.
Il backup effettua una copia “grezza” dei profili, mantenendo quindi anche parametri aggiuntivi inseriti
manualmente dall’amministratore.
La trasmissione dei dati durante la procedura di backup avviene in maniera crittografata esattamente come
accade per i pacchetti TACACS+.
Sezione
Parametro
Valore
Backup/synch
Enable this server for backup
Attiva NTTacPlus come server di
backup
Nome o indirizzo IP del server
NTTacPlus primario
Porta TCP del server primario
(default=49)
Username amministrativa per il login
sul primario
Password dell’account amministrativo
Intervallo (in minuti) tra due backup
successivi
Rimuove gli account locali sostituendoli
con quelli del primario
Invia l’accounting ricevuto al server
primario (solo TACACS+)
Primary server name or addr
Primary server port
Username
Password
Backup interval
Remove local accounts before backup
Forward accounting to primary server
L’account amministrativo (username/password) non è un account di Windows NT del server primario, ma
un account del database di NTTacPlus primario che abbia privilegio amministrativo (privilegio 15),
esattamente come un account che viene usato per il login da console remota.
La rimozione degli account locali (Remove local accounts before backup) fa sì che l’intero database del
server di backup venga rimpiazzato con quello del primario; in questo modo, gli account che sono stati
eliminati dal primario vengono eliminati anche nel backup, così come vengono eliminati gli account aggiunti
solo nel server di backup.
L’opzione di inoltro messaggi al server primario (Forward accounting to primary server), funzionante solo
con il protocollo TACACS+, risulta utile con i NAS Cisco. Questi, infatti, in caso di indisponibilità del server
primario, inviano l’accounting al server di backup; ma poiché si “ricordano” a quale server hanno inviato
l’accounting, anche se il server primario ritorna disponibile, vengono comunque inviati al server di backup
tutti i messaggi di STOP i cui corrispondenti messaggi di START erano pure stati inviati al backup.
Nel caso di sincronizzazione all’avvio si avrebbe quindi che la sessione tracciata dal server di backup termina
correttamente, mentre sul server primario resta la sessione che è stata “ricostruita” con la sincronizzazione
automatica, poiché questi non riceverebbe alcun messaggio di STOP. L’inoltro dei messaggi risolve il
problema.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 41/95
Configurazione dei messaggi di login
La configurazione dei messaggi di login prevede la possibilità di personalizzare il messaggio di risposta del
server NTTacPlus nei login di tipo terminale (interattivi).
Tali messaggi non possono però essere visualizzati ad esempio nelle autenticazioni di tipo PPP/PAP o
PPP/CHAP (come nei client RAS Windows 95/98).
Sezione
Parametro
Valore
Reply messages
Account expiring
Restituito quando l’account è sotto la soglia di
avvertimento scadenza
Account expired
Restituito quando l’account è scaduto
Account disabled
Restituito quando l’account è disabilitato
Account not effective
Restituito se la data di attivazione è successiva al
momento del login
Too many logins
Restituito se si supera la quantità massima di login
contemporanei
Invalid login time
Restituito se si tenta il login in un’ora non autorizzata
Login time-up
Resituito se si ha esaurito il credito di tempo
Login Kbytes-up
Restituito se si ha esaurito il credito di traffico
Quota time-up
Restituito se si ha esaurito la quota periodica di tempo
Bad login user/pwd
Restituito su username o password non valide
Bad login NAS port
Restituito se si tenta il login su un’interfaccia NAS o
con un Caller/Called ID non autorizzati
Bad login NAS
Restituito se si tenta il login su di un NAS non
autorizzato
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 42/95
I protocolli RADIUS e TACACS+
Il modello AAA
Il protocollo RADIUS è un protocollo di sicurezza sviluppato da Livingston e divenuto poi uno standard
internet ratificato dalla commissione IETF.
Il protocollo TACACS+ è un sofisticato protocollo sviluppato da Cisco Systems. Nonostante il nome possa
trarre in inganno, questo protocollo è assai differente da TACACS e XTACACS.
NTTacPlus attualmente supporta il protocollo RADIUS e il protocollo TACACS+, mentre non supporta i
protocolli TACACS e XTACACS che sono meno flessibili, affidabili e sicuri dei due precedenti, e sono stati
ormai dichiarati obsoleti da Cisco.
Il modello di sicurezza AAA, su cui si basano RADIUS e TACACS+, prevede la distinzione di tre diverse fasi
dell’accesso di un utente alle risorse di rete: Authentication, Authorization e Accounting. L’attivazione dei
messaggi di ciascuna di queste tre fasi può venire attivata o disattivata indipendentemente nel NAS. Ciò che il
NAS invierà al server AAA (NTTacPlus) dipende strettamente dalla configurazione del NAS stesso.
In pratica, per il protocollo TACACS+ nella grande maggioranza dei casi, sarà fondamentale l’attivazione di
authentication e accounting, mentre l’attivazione di authorization non è indispensabile finché non si vuole
avere un controllo dettagliato di ciò che l’utente può fare.
Nel caso di utilizzo di RADIUS, le procedure di authentication e authorization avvengono in un’unica fase in
cui la richiesta di autenticazione contiene anche i parametri definiti o richiesti per l’autorizzazione.
Authentication
La authentication è il processo che identifica chi è un utente. Quando un utente tenta di collegarsi, il NAS
interroga il server NTTacPlus su cosa fare. Il server tipicamente ordinerà al NAS di richiedere una coppia
username/password all’utente. Successivamente invierà al NAS una risposta di accesso consentito o negato.
Authorization
La authorization è il processo che stabilisce che cosa un utente può fare. Dopo che l’utente si è collegato, per
ogni comando inserito, il NAS invia una richiesta di autorizzazione al server. Il NAS può proporre una
configurazione (chiamata elenco di coppie Attributo/Valore) da applicare all’utente. Ad esempio, se l’utente
invia il comando per entrare in modalità PPP, il NAS invia una richiesta al server per l’autorizzazione al PPP,
e può proporre un determinato indirizzo IP da assegnare all’utente. Basandosi sulle informazioni della
richiesta di autorizzazione, il server risponderà concedendo o negando l’autorizzazione. Se l’autorizzazione
viene concessa, il server può indicare al NAS di applicare un’altra serie di attributi all’utente. Per esempio, il
server può comunicare al NAS di scartare l’indirizzo IP proposto, utilizzando invece quello indicato dal
server stesso, oltre ad applicare un certo valore di timeout per la connessione.
Nel protocollo TACACS+ ogni attributo proposto dal NAS nella richiesta di autorizzazione può essere
opzionale o obbligatorio. Se l’attributo è opzionale, il server può a sua volta proporre un attributo alternativo.
Se è obbligatorio, il server non può modificare tale attributo. Se il server ritiene che tale attributo non sia
valido, può solo rispondere con un messaggio di autorizzazione negata.
Anche gli attributi aggiunti dal server nella risposta di autorizzazione concessa possono essere obbligatori o
opzionali. Se opzionali, il NAS può scegliere autonomamente se applicare gli attributi all’utente. Se sono
obbligatori, il NAS deve usare tali attributi. Se per qualche motivo il NAS non può rispettare gli attributi
richiesti, deve negare l’autorizzazione anche se la risposta del server era positiva.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 43/95
Nel protocollo RADIUS, al momento stesso dell’autenticazione, il NAS invia all’interno della stessa richiesta
una serie di parametri (coppie Attributo/Valore) che descrivono il tipo di login e di servizio richiesti
dall’utente. Il server RADIUS può utilizzare tali attributi per decidere se rifiutare o concedere
l’autorizzazione all’utente, e in quest’ultimo caso può includere nella risposta un’altra serie di attributi
applicabili all’utente (quali ad esempio l’ip statico, l’indirizzo dei server DNS, ecc.). Il NAS a sua volta può
decidere se tali attributi sono effettivamente applicabili e quindi proseguire con la sessione o terminarla
immediatamente.
Accounting
L'accounting è il processo che misura il consumo di risorse di un utente. Indipendentemente
dall’authentication e dall’authorization, con RADIUS o TACACS+ il NAS invia i messaggi di accounting di
start al server per indicare l’inizio di una sessione di accounting, i messaggi di update per aggiornare la
situazione della sessione in corso, e i messaggio di stop per indicare che la sessione di accounting è
terminata. Nel messaggio di stop solitamente vengono incluse anche informazioni addizionali relative alla
sessione appena conclusa, quali la durata (tempo) della sessione e la quantità (traffico) di dati scambiati
durante la sessione.
Implementazione del modello AAA in NTTacPlus
NTTacPlus supporta tutti i tipi di Authentication, Authorization e Accounting definiti nelle specifiche del
protocollo TACACS+ (al momento della stesura del manuale giunte alla versione DRAFT 1.78), mentre non
implementa le richieste di autenticazione ARAP e MSCHAP per il protocollo RADIUS (al momento della
stesura del manuale definito nelle RFC 2138 e 2139).
Il processo di Authentication in NTTacPlus
Quando NTTacPlus riceve una richiesta di authentication da un NAS, richiede a questo una coppia
username/password. NTTacPlus ricerca quindi l’utente in oggetto all’interno del suo database.
Se l’utente non viene trovato e non è attivata l’autenticazione di default o non esiste il profilo di default
default.usr, NTTacPlus restituisce accesso negato al NAS ed il processo termina istantaneamente.
Se l’utente non viene trovato ma è attiva l’autenticazione di default, allora il controllo viene effettuato sul
profilo di default anziché su quello dell’utente.
Se invece l'utente esiste, viene utilizzato il suo profilo.
NTTacPlus procede quindi al controllo delle seguenti condizioni:

la password è corretta?

l’account è abilitato?

può l’utente collegarsi dal NAS da cui proviene la richiesta?

l’account è scaduto?

può l’utente collegarsi dalla porta del NAS da cui sta tentando l’accesso?

può l’utente collegarsi con il Caller ID proposto (=eventuale numero di telefono ISDN)?

può l’utente collegarsi in questa fascia oraria o in questo giorno della settimana?

ha l’utente del credito residuo (minuti) per la connessione?

ha l’utente del credito residuo (kbytes) per la connessione?

ha l’utente superato il numero massimo di accessi contemporanei consentiti?
Se qualunque condizione precedente non risulta vera, allora il login fallisce e NTTacPlus restituisce accesso
negato (salvo casi speciali descritti più avanti), altrimenti l’authentication si conclude con successo.
Nel caso di richieste RADIUS, NTTacPlus conclude l’authentication con successo solo se anche la verifica di
authorization si conclude con esito positivo.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 44/95
Il processo di Authorization in NTTacPlus
L’Authorization in TACACS+
NTTacPlus riceve dal NAS la richiesta di autorizzazione, insieme ad una serie di attributi, quindi risponde con
una risposta positiva (e una serie eventualmente modificata di attributi) oppure nega l’autorizzazione.
Possono verificarsi richieste di autorizzazione per tre diversi tipi di servizi:

Autorizzazione alla shell (Exec)

Autorizzazione ai comandi

Autorizzazione ai servizi di rete
Autorizzazione alla shell (Exec)
L'autorizzazione alla shell (Exec) nel protocollo TACACS+ stabilisce se un utente sia abilitato all'esecuzione
di una shell dei comandi sul NAS, nonché le condizioni ed i filtri da applicare all'utente.
La richiesta di autorizzazione Exec avviene quando un utente si collega al NAS in modalità terminale e
richiede una shell dei comandi. Questa richiesta può non venire inoltrata, invece, se l'utente si collega al NAS
in modalità PPP usando l'autenticazione PAP o CHAP, evitando così la shell dei comandi.
Autorizzazione ai comandi
La richiesta di autorizzazione ai comandi viene inoltrata dal NAS per autorizzare l'utente ad eseguire specifici
comandi.
NTTacPlus consente di impostare un elenco di comandi consentiti o negati, e permette di specificare di
negare alcuni comandi anche in base ai parametri dei comandi stessi. Ad esempio è possibile consentire l'uso
del comando telnet solo quando i parametri si riferiscono a determinati host.
Autorizzazione ai servizi di rete
L'autorizzazione ai servizi di rete nel protocollo tacacs+ stabilisce se un utente sia abilitato alla connessione
al NAS tramite un particolare protocollo, nonché le condizioni ed i filtri da applicare all'utente.
La richiesta di autorizzazione ai servizi di rete avviene quando un utente si collega al NAS, ad esempio, in
modalità PPP usando l'autenticazione PAP o CHAP.
Elenco delle coppie Attribute-Value
Le autorizzazioni alla shell (Exec) ed ai servizi di rete consentono di specificare le condizioni ed i filtri da
applicare all'utente. I parametri applicati all'utente vengono specificati tramite la negoziazione tra il NAS e
NTTacPlus delle coppie attributo-valore (attribute-value pairs).
Una coppia AV assume la seguente forma:
attribute=value
oppure
attribute*value
dove il segno "=" indica che l'attributo deve essere applicato obbligatoriamente all'utente (pena il fallimento
della richiesta di autorizzazione), mentre il segno "*" indica un attributo opzionale che può venire applicato a
discrezione del NAS.
L'elenco delle coppie AV supportate dal NAS dipende strettamente dalla marca e dal modello del NAS,
nonché dalla versione del sistema operativo che esegue.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 45/95
Un elenco delle coppie AV supportate dai NAS Cisco (con sistema operativo IOS) viene riportato alla fine di
questo manuale.
Normalmente il NAS e NTTacPlus negoziano le coppie da applicare all'utente.
Per ogni coppia proposta dal NAS, se obbligatoria, NTTacPlus applica il seguente schema:
a- se la medesima coppia obbligatoria è configurata in NTTacPlus, la coppia viene applicata;
b- se una coppia contraddittoria (cioè con un valore diverso) è configurata in NTTacPlus, ma in NTTacPlus
è indicata come opzionale, la coppia proposta dal NAS verrà mantenuta;
c- se una coppia contraddittoria è configurata in NTTacPlus come obbligatoria, oppure non è per nulla
configurata, allora l'intera autorizzazione viene negata se il valore di default è deny;
d- altrimenti la coppia verrà mantenuta.
Se la coppia proposta dal NAS è facoltativa, NTTacPlus applica il seguente schema:
a-
se la medesima coppia è configurata come obbligatoria in NTTacPlus, la coppia viene sostituita da quella
identica ma obbligatoria;
b- se una coppia contraddittoria è configurata come obbligatoria in NTTacPlus, la coppia viene sostituita da
quella di NTTacPlus con il nuovo valore e trasmessa come obbligatoria;
c- se la medesima coppia è configurata come facoltativa in NTTacPlus, la coppia viene mantenuta (come
facoltativa);
d- se una coppia contraddittoria è configurata come facoltativa in NTTacPlus, la coppia viene sostituita da
quella di NTTacPlus con il nuovo valore (ma resta facoltativa);
e- se nessun caso dei precedenti è vero, la coppia viene scartata (ma l'autorizzazione procede comunque) se
il valore di default per l'autorizzazione è deny;
f- altrimenti la coppia facoltativa del NAS viene mantenuta.
L’Authorization in RADIUS
La fase di authorization in RADIUS avviene contemporaneamente alla fase di authentication.
NTTacPlus riceve dal NAS la richiesta di autenticazione/autorizzazione, insieme ad una serie di attributi;
quindi procede a confrontare gli attributi ricevuti con quelli presenti nella check-list RADIUS.
Gli attributi presenti solo nella richiesta di autenticazione e non presenti nella check-list vengono ignorati
(salvo alcuni attributi speciali come descritto più avanti in questo capitolo).
Se gli attributi presenti nella check-list trovano una corrispondenza con quelli proposti dal NAS, NTTacPlus
risponde con esito positivo e aggiunge eventualmente un’altra serie di attributi, prelevata dalla reply-list
RADIUS.
Se invece alcuni attributi della check-list hanno valori diversi da quelli presenti nella richiesta di
autenticazione oppure non trovano una corrispondenza nella richiesta stessa, in tal caso NTTacPlus nega
l’autorizzazione.
Il processo di Accounting in NTTacPlus
NTTacPlus sfrutta i messaggi di accounting inviati dal NAS per mantenere l'elenco degli utenti collegati, per
registrare la durata delle singole sessioni di ciascun utente, e per stabilire il traffico generato da ciascun
utente per ogni singola sessione.
NTTacPlus memorizza tutti i dati di accounting ricevuti dal NAS in tabelle di testo oppure in un database
SQL (ODBC), consentendo una facile elaborazione dei dati relativi all'uso delle risorse da parte di ciascun
utente.
NTTacPlus usa gli stessi dati di accounting per stabilire i crediti in tempo e traffico residui per gli utenti che
hanno un profilo a credito a scalare, ed è in grado di bloccare l'accesso agli utenti che hanno esaurito il
proprio credito, oppure di memorizzare la durata della connessione o il traffico generato oltre il credito
residuo in campi separati.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 46/95
Un confronto tra alcuni attributi RADIUS e l’equivalente in TACACS+
Il protocollo TACACS+ prevede che alcuni parametri fondamentali, che descrivono il tipo di login che
l’utente sta effettuando, vengano comunicati al server non tramite coppie A/V ma tramite appositi campi nei
pacchetti TACACS+.
Il protocollo RADIUS, al contrario, comunica tutti i parametri (compresa la username e la password) tramite
l’utilizzo di coppie attributo valore.
NTTacPlus, per mantenere un’interfaccia consistente e comune, indipendente ove possibile dal tipo di
protocollo utilizzato (RADIUS o TACACS+), rimappa in maniera trasparente alcuni attributi RADIUS nei
parametri standard equivalenti dei profili utente NTTacPlus, originariamente appartenenti a specifici campi
del protocollo TACACS+. Ciò consente di evitare la configurazione esplicita di una check-list RADIUS e dei
filtri TACACS+ separatamente.
In particolare, i seguenti attributi RADIUS vengono convalidati nei campi definiti a lato, indipendentemente
dalla check-list configurata:
 NAS-Port e NAS-Port-Type (se uno o entrambi sono presenti) vengono combinati e confrontati con
l’attributo Port, seguendo le stesse regole di convalida (con regular expressions) di TACACS+.
 Calling-Station-Id viene copiato nel campo CallerID di NTTacPlus, ed è convalidato dalle
espressioni inserite nell’omonimo campo del profilo.
 NAS-IP-Address viene convertito nel formato puntato standard e usato come riferimento per la
convalida del campo NAS del profilo utente NTTacPlus.
Gli attributi RADIUS e il dizionario
Il protocollo RADIUS è incentrato sul concetto di Attributo/Valore.
Ogni pacchetto RADIUS scambiato tra il NAS e il server incapsula le informazioni da trasmettere in una lista
di coppie attributo/valore. Ad esempio, un tipico pacchetto di richiesta di autenticazione inviato dal NAS
potrebbe avere il seguente contenuto:
Tipo = Authentication-Request
ID = (identificativo della richiesta)
Elenco di attributi/valori:
Attributo
User-Name
User-Password
NAS-IP-Address
NAS-Port
Service-Type
Framed-Protocol
Called-Station-Id
Calling-Station-Id
NAS-Identifier
NAS-Port-Type
Valore
rick
mandy71
10.0.0.5
4
Framed
PPP
275885412
268598741
MAX4030-01
Async
In realtà nel pacchetto RADIUS non vengono trasmesse le coppie così come sono rappresentate in questa
tabella; piuttosto ogni attributo è identificato da un numero intero (byte), e il valore ad esso associato dipende
dall’attributo stesso. Ad esempio l’attributo NAS-Port che indica il numero di porta, ha associato un valore
intero, mentre l’attributo User-Name ha associato un valore di tipo stringa di caratteri.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 47/95
In previsione di una variazione futura dell’elenco di tutti gli attributi RADIUS supportati sia dai NAS che dal
server di autenticazione, e per consentire un’espandibilità e un arricchimento degli attributi con nuove
coppie, è stato introdotto il meccanismo del dizionario RADIUS.
Il dizionario degli attributi RADIUS (chiamato RADDICT.DAT) consiste in un file di testo ASCII in cui viene
definito l’insieme di tutti gli attributi disponibili, con il numero intero che li rappresenta ed il tipo di valore
che specificano. Per fare in modo che NTTacPlus supporti un nuovo attributo è sufficiente inserire la
definizione dell’attributo e del tipo di dato ad esso riferito nel dizionario, riavviando il server.
ATTENZIONE: la modifica del file di dizionario è un operazione molto delicata. Il dizionario infatti
richiede una sintassi ben precisa. Il danneggiamento del file di dizionario o una
modifica inaccurata possono rendere inutilizzabile il server NTTacPlus, il quale carica
e analizza all’avvio il dizionario, interrompendo l’esecuzione in caso di sintassi errata.
La Master Soft rilascerà aggiornamenti del file di dizionario a mano a mano che verranno introdotti dalle
case produttrici nuovi attributi nei NAS.
Nel caso si fosse danneggiato il file di dizionario e non fosse più possibile ripristinare il file originale, è
possibile richiedere alla Master Soft un file di dizionario integro.
Supporto attributi Vendor-Specific
Il dizionario degli attributi RADIUS è in grado di accettare anche definizioni di attributi Vendor-Specific
(attributi estesi incapsulati nell’attributo n.26) sia in formato standard come consigliato nelle RFC, sia nel
formato specifico USRobotics/3Com.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 48/95
Gestione degli account
Il Database degli Account Utente
NTTacPlus offre la possibilità, per la memorizzazione degli account utente, di utilizzare tabelle in un
database SQL ODBC oppure mantenere tutti i profili in file di testo ASCII.
Dal punto di vista funzionale non vi sono differenze tra un metodo e l’altro, pertanto i paragrafi successivi
descriveranno i profili utente nel formato testo, mentre un paragrafo conclusivo del capitolo illustrerà come
configurare NTTacPlus per sfruttare un database ODBC e come i profili utente vengono effettivamente
memorizzati nelle tabelle del database.
NTTacPlus mantiene il proprio database degli account utente in due directory (configurate
dall'amministratore). La prima contiene tutti i profili di gruppo, la seconda contiene i profili utente
individuali.
Il profilo di un utente è costituito da un file di testo (ASCII), la cui struttura è la stessa utilizzata nei file di
configurazione di Windows 3.1 (file di inizializzazione INI). I vari parametri di configurazione, cioè, sono
raggruppati in diverse sezioni.
Il file di un profilo utente ha estensione .usr, mentre il nome del file coincide con la username del profilo.
Cambiando il nome del file si cambia implicitamente anche la username del profilo. NTTacPlus, infatti,
recupera il profilo di una data username cercando, nella directory degli utenti, un file il cui nome coincida
con la username in oggetto e che abbia estensione .usr.
Le stesse regole si applicano per i file dei profili gruppo: il formato dei profili di gruppo è lo stesso di quelli
utente. L'unica differenza sta nell'estensione dei file gruppo che è .ugp (user group).
Struttura gerarchica del database utenti
NTTacPlus offre la possibilità di configurare i parametri comuni ad una serie di profili utente una volta
soltanto, tramite l'utilizzo dei profili di gruppo.
Questo non solo evita di ripetere i parametri comuni in ciascun profilo utente, ma consente di focalizzare
l'attenzione solo sui parametri che differenziano i profili utente, come ad esempio la password o la scadenza
dell'account.
È sufficiente assegnare l'appartenenza degli utenti ad un determinato gruppo, perché questi ereditino
automaticamente tutte le impostazioni configurate per il gruppo di cui sono membri.
È possibile assegnare l'appartenenza degli utenti anche a più di un gruppo, oppure assegnare l'appartenenza di
uno stesso gruppo ad altri gruppi. Si può così costruire una gerarchia più o meno complessa, che facilità però
la gestione del singolo profilo utente.
Si applicano le seguenti regole:

un utente può non appartenere ad alcun gruppo

un utente può appartenere ad uno o più gruppi

un gruppo può non appartenere ad alcun altro gruppo (gruppo base)

un gruppo può appartenere ad uno o più gruppi

un gruppo non può appartenere a gruppi che a loro volta appartengono al gruppo stesso (riferimento
circolare): questa situazione condurrebbe ad un ciclo infinito

un utente o gruppo possono (inutilmente) appartenere a più gruppi, uno o più dei quali appartengono a
un gruppo comune a cui fa riferimento anche il profilo stesso direttamente o indirettamente

un gruppo non può appartenere a se stesso (!).
NOTA: le modifiche manuali ai file di testo –o alle tabelle nel database- dei profili utente/gruppo (senza
usare, cioè, il Profile Manager di NTTacPlus) non comportano alcuna verifica sulle incongruenze
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 49/95
della gerarchia disegnata dall'amministratore (riferimenti circolari, ecc.), per cui occorre prestare
attenzione alle variazioni che si apportano ai file.
Esempio
Gruppo BARBÚN
Gruppo W IL BARBERA
Gruppo BRAVI RAGAZZI
Gruppo W IL BARBERA
Utente BRAMBILLA (1)
Gruppo BARBÚN (2)
Gruppo W IL BARBERA (3)
Gruppo BRAVI RAGAZZI (4)
Gruppo W IL BARBERA (5)
Quando NTTacPlus cerca i parametri del profilo Brambilla, cerca ordinatamente nell'albero gerarchico creato
dall'amministratore. Tuttavia, il gruppo W il Barbera viene esplorato due volte (inutilmente), prima
direttamente, poi indirettamente tramite Bravi ragazzi.
Le gerarchie andrebbero organizzate in modo snello. In questo esempio è inutile aggiungere Brambilla al
gruppo W il barbera, poiché Brambilla appartiene già indirettamente al gruppo W il barbera tramite il
gruppo Bravi ragazzi.
Quando NTTacPlus deve recuperare un particolare parametro (ad es. TimeLeft=), incomincia la ricerca nel
profilo utente. Se non lo trova, esamina la lista di gruppi d'appartenenza (Groups=), quindi procede
ricorsivamente e ordinatamente la ricerca dal primo gruppo della lista. Se il parametro non viene trovato nel
primo gruppo, viene (eventualmente) ricercato nei gruppi di appartenenza del primo gruppo. Dopo aver
esaminato l'intero ramo del primo gruppo, se il parametro non è ancora stato trovato, NTTacPlus passa al
secondo gruppo, e così via, finché il parametro non viene trovato o non ci sono più gruppi da esaminare.
Riferendoci all'esempio, supponiamo la seguente situazione:
Brambilla.usr
Bravi ragazzi.ugp
W Il Barbera.ugp
Barbun.ugp
ha
ha
non ha
non ha
Groups=Barbun,W Il Barbera,Bravi Ragazzi
Groups=W Il Barbera
Groups=
Groups=
In questo caso l'ordine di ricerca dei parametri è quello indicato nel diagramma.
Per questo motivo è molto importante l'ordine con cui viene assegnata l'appartenenza ai gruppi. Infatti, se
supponiamo che sia Barbun che Bravi ragazzi contengano il parametro TimeLeft=, verrà usato il primo
incontrato nella ricerca, cioè quello di Barbun.
Parametri di un profilo utente
Segue ora una descrizione dettagliata di tutti i parametri che caratterizzano un profilo utente o gruppo.
Verranno riportati alcuni esempi di utenti al termine della descrizione.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 50/95
Sezione [Global]
Questa sezione regola i parametri globali per l'autenticazione.
Parametro
Descrizione
Name
Nome o descrizione del profilo utente o gruppo. Ha valore solo descrittivo e non
influisce sul comportamento del profilo.
Passwd
Password dell'utente. Se il file viene modificato con un editor di testo, è possibile
inserire solo la password in chiaro. Per inserire la password crittografata occorre
utilizzare NTTacPlus Profile Manager per modificare il profilo.
È possibile indicare in questo campo a NTTacPlus alcuni valori speciali che
modificano il comportamento della verifica delle password.
La sintassi dei valori speciali è:
Passwd=[<type>][$|#][<value>]
dove <type> può essere NT, TACACS+, NONE, DES, UNIX.
Esempi
Passwd=[NT]
Autentica localmente utilizzando gli account di NT
Passwd=[NT]\\pino
Autentica utilizzando gli account di NT sul server PINO
Passwd=[NT]ced
Autentica utilizzando gli account di NT del dominio CED
Passwd=[DES]CpuskTjR7spcM
Autentica utilizzando una password crittografata DES UNIX-style
Passwd=[TACACS+]192.168.0.6
Autentica utilizzando il server tacacs+ sull'host 192.168.0.6
Passwd=[NONE]
Autentica con successo senza verificare la password
Passwd=[UNIX]c:\nttacplus2\passwd
Autentica utilizzando un file di password di UNIX
Esempi con "grab password"
Passwd=[NT]#\\antonio
Autentica utilizzando gli account di NT sul server ANTONIO e, al primo
accesso riuscito dell'utente, l'intera espressione [NT]#\\antonio
viene sostituita dalla password in chiaro che l'utente ha inserito.
Passwd=[NT]$domain
Autentica utilizzando gli account di NT sul dominio DOMAIN e, al
primo accesso riuscito dell'utente, l'intera espressione [NT]$domain
viene sostituita dalla password crittografata che l'utente ha inserito.
L'opzione $ o # può venire specificata anche con il proxy TACACS+.
Le password crittografate assumono la forma:
+@XXXXXX
dove XXXXXX è un'espressione esadecimale.
Omettendo questo parametro l'autenticazione fallisce sempre.
EffectiveFrom
Specifica la data di attivazione dell’account. Il campo va impostato con il formato:
dd-mm-yyyy
Se l'anno viene indicato a due cifre, i numeri tra 00 e 89 vengono interpretati come
2000-2089, mentre i numeri tra 90 e 99 diventano 1990-1999.
Omettendo questo parametro l'account viene considerato immediatamente attivo.
Expires
Master Soft S.n.c.
Specifica la data di scadenza dell'account. Il campo va impostato con uno dei
seguenti formati:
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 51/95
dd-mm-yyyy
oppure
#nn[,dd-mm-yyyy]
Se l'anno viene indicato a due cifre, i numeri tra 00 e 89 vengono interpretati come
2000-2089, mentre i numeri tra 90 e 99 diventano 1990-1999.
Il primo formato permette di specificare una scadenza assoluta dell’account.
Il secondo formato consente di indicare una durata in giorni dell’account, il cui
conteggio inizia dal valore presente nel campo EffectiveFrom.
Opzionalmente, in questo caso, è comunque possibile indicare una data assoluta di
scadenza dell’account indipendentemente dai giorni residui, aggiungendo una
virgola e una data. Se il campo EffectiveFrom non è presente, allora
NTTacPlus crea automaticamente tale campo al primo login dell’utente, e da allora
inizia il conteggio della durata in giorni.
Per specificare un account che non scade mai, occorre inserire:
Expires=never
Omettendo questo parametro l'account viene considerato scaduto
Groups
Specifica una lista dei gruppi di appartenenza. Ad esempio:
Groups=standard,isdn
assegna l'appartenenza ai due gruppi standard e isdn.
Omettendo questo parametro, il profilo non appartiene ad alcun gruppo.
LoginHours
Indica le fasce orarie nelle quali consentire il login. Ad esempio:
LoginHours=02:00-06:00,15:00-17:30
consente l'accesso tra le 2 e le 6 di mattina e le 3 e le 5:30 pomeridiane. Le ore
vanno inserite nel formato 24h. Per differenziare l'accesso in base ai giorni della
settimana, occorre inserire:
LoginHours=weekly
e aggiungere un piano di accesso settimanale nella sezione [WeekPlan] (vedi
più avanti)
Omettendo questo parametro, nessun controllo di orario viene applicato.
MaxLogins
Indica quanti accessi contemporanei sono consentiti al profilo. Può essere un
numero compreso tra 0 e 9999.
Inserendo 0 si disattiva l'account.
Omettendo questo parametro, NTTacPlus considera l'account disattivato.
Disabled
Se impostato a 1 l’account è disattivato indipendentemente dagli altri parametri.
Se impostato a zero oppure omesso, l’account non è disattivato.
CallerID
Questo parametro è in grado di bloccare gli accessi esaminando il campo
rem_addr del protocollo tacacs+. Il contenuto del campo dipende molto dal
NAS e dal sistema operativo. Ad esempio, nella versione 11.3 di IOS, il campo,
per le chiamate da linee telefoniche ISDN, contiene il numero di telefono
chiamante e quello chiamato nel formato:
CallerID/CalledID
per cui è possibile controllare gli accessi in base al numero di telefono chiamante.
È possibile specificare una lista di valori validi per il campo, con l'uso di caratteri
jolly. Ad esempio:
CallerID=321498784*,32145345[3-7]*
accetta tutti i numeri che iniziano per 321498784 ed i numeri che iniziano per
32145345 e hanno un'altra cifra compresa tra 3 e 7 (per l'uso dei caratteri jolly
nelle espressioni vedere più avanti).
Omettendo questo parametro non viene effettuato nessun controllo sul campo.
NAS
Master Soft S.n.c.
Questo parametro è in grado di bloccare gli accessi in base al NAS sul quale
l'account sta tentando il login. È possibile indicare una lista di NAS validi, o
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 52/95
intervalli di indirizzi. Ad esempio:
NAS=192.168.0.3,192.168.1.15-192.168.1.22
accetta le richiesta dal NAS 192.168.0.3 e da quelli compresi tra 192.168.1.15 e
192.168.1.22.
Omettendo questo parametro non viene applicata alcuna restrizione sul NAS di
provenienza.
Port
Questo parametro è in grado di bloccare gli accessi in base alla porta del NAS
sulla quale l'account sta tentando il login. Ad esempio, indicando:
Port=tty*,async*
si consente all'account il collegamento solo su linee tty o interfacce asincrone
(bloccando così l'accesso ISDN sulle interfacce seriali)
Per l'uso dei caratteri jolly nelle espressioni vedere più avanti.
Omettendo questo parametro non viene effettuato nessun controllo sulla porta.
Privilege
Questo parametro assegna il livello di privilegio dell'utente, che può essere un
valore numerico compreso tra 0 e 15.
Il valore 15 è richiesto per gli account di SuperManager che intendono utilizzare
NTTacPlus Remote Console.
Quando è attiva anche l'authorization per le sessioni exec, NTTacPlus converte
automaticamente questo valore nella coppia A/V "priv-lvl", a meno che questa non
sia esplicitamente configurata nella relativa sezione (vedere parametri relativi
all'autorizzazione).
Omettendo questo parametro NTTacPlus assume privilegio uguale a zero.
NOTA: l’attributo privilege level non viene utilizzato con il protocollo RADIUS.
MaxConnectionTime
Questo parametro imposta la durata massima (in minuti) di una sessione. Ad
esempio:
MaxConnectionTime=480
limita la durata massima di una connessione ad 8 ore.
NTTacPlus esegue periodicamente il controllo sugli utenti collegati. Se rileva
qualche account oltre la durata massima, invia un comando di kill al NAS per la
disconnessione forzata.
Omettendo questo parametro non si impongono limiti alla durata della sessione.
Email
Questo parametro specifica l'indirizzo di e-mail del profilo utente in oggetto.
Viene ignorato nei profili di gruppo.
Quando NTTacPlus deve inviare una notifica amministrativa su di un evento che
riguarda il profilo in oggetto, una copia del messaggio viene inviata anche
all'utente se è presente questo campo.
Questo stesso parametro viene usato per l’invio dei messaggi di avvertimento
scadenza.
È possibile indicare una lista, separata da virgole, di più destinatari.
Omettendo questo parametro l'utente non riceve alcuna copia delle notifiche.
Comment
Un commento sul profilo. Questo parametro non influisce il comportamento
dell'account.
ExpiringEMailMsg
Un nome/percorso completo che punta ad un file di testo contenente il messaggio
da spedire all'utente se il suo account sta per scadere.
Per informazioni sui messaggi di avvertimento scadenza, vedere la sezione relativa
più avanti.
TimeLowEMailMsg
Un nome/percorso completo che punta ad un file di testo contenente il messaggio
da spedire all'utente se il suo account sta per esaurire il credito di tempo.
TrafficLowEMailMsg
Un nome/percorso completo che punta ad un file di testo contenente il messaggio
da spedire all'utente se il suo account sta per esaurire il credito di traffico.
AuthenScript
Script post-autenticazione da richiamare se l’autenticazione in NTTacPlus ha
successo. Tramite questo script è possibile estendere le funzionalità di
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 53/95
autenticazione con applicazioni esterne personalizzate.
Per informazioni dettagliate sullo script post autenticazione, consultare più avanti
il paragrafo Gli script post-autenticazione.
Se questo parametro è omesso, non viene eseguito alcuno script.
Sezione [WeekPlan]
Questa sezione (opzionale) stabilisce un piano di accesso per le fasce orarie nei giorni della settimana. Viene
esaminata solo se nella sezione [Global] è stato inserito LoginHours=weekly.
Parametro
Descrizione
Mon
Indica le fasce orarie nelle quali consentire il login il lunedì. Per la sintassi, vedere
LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Mon=00:00-23:59
Tue
Indica le fasce orarie nelle quali consentire il login il martedì. Per la sintassi,
vedere LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Tue=00:00-23:59
Wed
Indica le fasce orarie nelle quali consentire il login il mercoledì. Per la sintassi,
vedere LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Wed=00:00-23:59
Thu
Indica le fasce orarie nelle quali consentire il login il giovedì. Per la sintassi,
vedere LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Thu=00:00-23:59
Fri
Indica le fasce orarie nelle quali consentire il login il venerdì. Per la sintassi,
vedere LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Fri=00:00-23:59
Sat
Indica le fasce orarie nelle quali consentire il login il sabato e nei giorni prefestivi
secondo il calendario stabilito nel file di configurazione di NTTacPlus. Per la
sintassi, vedere LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Sat=00:00-23:59
Sun
Indica le fasce orarie nelle quali consentire il login la domenica e nei giorni festivi
secondo il calendario stabilito nel file di configurazione di NTTacPlus. Per la
sintassi, vedere LoginHours nella sezione [Global]
Omettendo questo parametro, l'accesso viene negato per tutta la giornata. Per
consentire l'accesso di 24 ore, occorre inserire esplicitamente:
Sun=00:00-23:59
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 54/95
Sezione [Credits]
Questa sezione (opzionale) stabilisce l'ammontare complessivo dei crediti in tempo e traffico per l'account.
L'intera sezione può venire omessa per account con credito illimitato.
Parametro
Descrizione
KBytesInitial
Indica l'ammontare iniziale del credito in Kbytes per l'account.
KBytesLeft
Indica l'ammontare del credito residuo in Kbytes per l'account. Inizialmente questo
valore coincide con KBytesInitial; successivamente NTTacPlus decrementa
il valore a mano a mano che l'account esaurisce il credito.
TimeInitial
Indica l'ammontare iniziale del credito in minuti per l'account.
KBytesLeft
Indica l'ammontare del credito residuo in minuti per l'account. Inizialmente questo
valore coincide con TimeInitial; successivamente NTTacPlus decrementa il
valore a mano a mano che l'account esaurisce il credito.
OnExtraTimeCharge
Se impostato a 1 indica a NTTacPlus di consentire ugualmente l'accesso
all'account anche se ha esaurito il credito di tempo, registrando però le ore in
eccesso in un campo separato dell'accounting, e consentire così la fatturazione
separata delle ore in eccesso sul credito iniziale.
Se omesso il default vale 0.
OnExtraKBytesCharge
Se impostato a 1 indica a NTTacPlus di consentire ugualmente l'accesso
all'account anche se ha esaurito il credito di traffico, registrando però i kbytes in
eccesso in un campo separato dell'accounting, e consentire così la fatturazione
separata del traffico in eccesso sul credito iniziale.
Se omesso il default vale 0.
OnTimeExceededKill
Se impostato a 1 indica a NTTacPlus di disconnettere forzatamente un utente che
abbia esaurito il suo credito di tempo durante l'ultima sessione.
Se omesso il default vale 0.
OnQuotaExceededKill
Se impostato a 1 indica a NTTacPlus di disconnettere forzatamente un utente che
abbia esaurito il suo credito di quota tempo relativo al periodo in corso.
Se omesso il default vale 0.
QuotaPeridod
Indica il periodo nel quale assegnare la quota di tempo per il profilo. Può valere:
daily
weekly
monthly
yearly
(giornaliero)
(settimanale)
(mensile)
(annuale)
Se omesso, non vi sono restrizioni sulla quota di tempo.
Quota
Questo è il valore in minuti per la quota di tempo assegnabile nel periodo dato.
QuotaLeft
(usato internamente da NTTacPlus, non ne è consigliabile la modifica) Memorizza
la quota di tempo residua per il periodo in corso.
Sezione [Warning]
Questa sezione viene creata ed aggiornata automaticamente da NTTacPlus per uso interno. Non occorre
modificare nessun parametro.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 55/95
Sezione [Suspicious]
Questa sezione regola il comportamento di NTTacPlus in caso di comportamenti "sospetti" dell'account.
Parametro
Descrizione
OnFailedEmail
Se impostato a 1, NTTacPlus invia una notifica e-mail amministrativa ogni
serie di n tentativi consecutivi falliti di accesso dell'account, dove n è il
valore impostato nel campo Max login attempts delle Options di
NTTacPlus.
Se omesso il default è zero.
OnFailedDisable
Se impostato a 1, NTTacPlus disabilita l'account (MaxLogins=0) dopo una
serie di n tentativi consecutivi falliti di accesso, dove n è il valore impostato
nel campo Max login attempts delle Options di NTTacPlus.
Se omesso il default è zero.
OnMultipleAccessEmail
Se impostato a 1, NTTacPlus invia una notifica e-mail amministrativa
quando accade un tentativo di superamento di numero di accessi
contemporanei consentiti all'account.
Se omesso il default è zero.
OnMultipleAccessKill
Se impostato a 1, NTTacPlus procede ad inviare un comando kill ai NAS
per tutte le occorrenze attive della username in oggetto quando accade un
tentativo di superamento di numero di accessi contemporanei consentiti
all'account.
Se omesso il default è zero.
OnMultipleAccessDisable
Se impostato a 1, NTTacPlus disabilita l'account (MaxLogins=0) quando
accade un tentativo di superamento di numero di accessi contemporanei
consentiti all'account.
Se omesso il default è zero.
OnExpiredAuthenticate
Se impostato a 1, NTTacPlus consente l'autenticazione dell'account anche
quando questo è scaduto o ha esaurito il credito in tempo/traffico senza
avere l'opzione OnExtraTimeCharge o OnExtraKByteCharge.
L'account scaduto però utilizza i parametri di autorizzazione di una sezione
apposita diversa da quella normalmente utilizzate. Questo consente di
specificare ad esempio, un accesso scaduto che consenta di leggere (e non
inviare) la posta ma non di navigare, oppure di collegarsi alla sola pagina
web da dove può ricaricarsi da solo il credito fornendo un numero di carta
di credito.
OnExpiringEmail
Se impostato a 1, NTTacPlus provvede ad inviare un messaggio di posta
(secondo quanto configurato nel campo ExpiringEMailMsg della
sezione [Global]) all'utente la prima volta che questi effettua un login
nel periodo di avvertimento che precede la scadenza del suo account. La
durata del periodo di avvertimento è configurabile nelle opzioni generali di
NTTacPlus.
EmailNotifyToUser
Se impostato a 1, NTTacPlus invia una copia delle notifiche
amministrative, normalmente spedite solo all’amministratore, anche
all’utente stesso.
OnTimeLowEmail
Se impostato a 1, NTTacPlus provvede ad inviare un messaggio di posta
(secondo quanto configurato nel campo TimeLowEMailMsg della
sezione [Global]) all'utente la prima volta che questi effettua un login
nel periodo di avvertimento che precede l’esaurirsi del credito di tempo del
suo account. La soglia di avvertimento è configurabile nelle opzioni
generali di NTTacPlus.
OnTrafficLowEmail
Come il parametro precedente, ma valido per l’esaurimento del credito di
traffico.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 56/95
Sezione [Authorization]
Questa sezione regola il comportamento di default di NTTacPlus per richieste di autorizzazione TACACS+
che non sono configurate esplicitamente.
Parametro
Descrizione
DefaultService
Se impostato a permit, NTTacPlus autorizza la richiesta proveniente dal NAS
per i servizi che non sono configurati esplicitamente. In caso contrario
l'autorizzazione fallisce.
Se omesso il default è deny.
DefaultCommand
Se impostato a permit, NTTacPlus autorizza la richiesta proveniente dal NAS
per i comandi della shell (Exec) che non sono configurati esplicitamente. In caso
contrario i comandi non configurati non vengono autorizzati.
Se omesso il default è deny.
NoAppendTacCmd
Se impostato a 1, NTTacPlus non accoda le autorizzazioni ai comandi
eventualmente configurate nei gruppi d’appartenenza.
Se omesso, NTTacPlus completa la lista delle autorizzazioni ai comandi del
profilo utente con quelle inserite nei profili gruppo d’appartenenza.
NoAppendTacSvc
Se impostato a 1, NTTacPlus non accoda le autorizzazioni ai servizi
eventualmente configurate nei gruppi d’appartenenza.
Se omesso, NTTacPlus completa la lista delle autorizzazioni ai servizi del profilo
utente con quelle inserite nei profili gruppo d’appartenenza.
Sezioni [cmd <cmd_name>]
Queste sezioni configurano l'autorizzazione TACACS+ per i comandi della shell (Exec) del NAS. Ogni
sezione configura un determinato tipo di comando. Il corpo della sezione contiene quindi l'elenco dei
parametri da accettare o rifiutare per il comando. Ad esempio configurando:
[cmd logout]
*=permit
[cmd telnet]
192.168.10.1 *=deny
192.168.10.*=permit
è consentito digitare al prompt della shell il comando logout con qualsiasi parametro, mentre è consentito
il comando telnet solo se il primo parametro indica un indirizzo IP della classe 192.168.10.0 escluso .1.
In generale la sintassi per i parametri del comando è:
<elenco_argomenti>=permit | deny
dove <elenco_argomenti> è un'espressione che può contenere caratteri jolly.
NOTA: I NAS Cisco con alcune versioni dei IOS aggiungono sempre letterlmente la stringa di quattro
caratteri "<cr>" per marcare la fine della riga (carriage return). Per un comando digitato senza
parametri, viene quindi presentata comunque una richiesta di autorizzazione che ha come unico
parametro la stringa "<cr>". Tenere presente questa stringa quando si configurano i parametri
validi.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 57/95
Sezione [Services]
Questa sezione regola il comportamento di NTTacPlus per richieste di autorizzazione TACACS+ ai servizi
di rete. Il corpo della sezione può contenere una o più righe che abilitano il servizio. La sintassi per
configurare un servizio esplicitamente è:
<service_name> default=permit | deny
Ad esempio, per configurare l'autorizzazione alla shell (Exec) del NAS, si deve inserire:
Exec default=permit | deny
L'opzione permit o deny regola il comportamento che NTTacPlus deve avere nei confronti delle coppie
attributo/valore che non sono esplicitamente configurate per il servizio. Con permit, la coppia ricevuta e non
configurata viene comunque mantenuta (sia essa obbligatoria o facoltativa) e l'autorizzazione ha successo.
Con deny, la coppia ricevuta e non configurata viene scartata e l'autorizzazione procede se è facoltativa,
mentre l'autorizzazione fallisce se la coppia è obbligatoria.
Per i servizi che prevedono anche l'indicazione di un protocollo (come ad es. per PPP), si deve inserire:
<service_name>-<protocol> default=permit | deny
Ad esempio, per configurare il servizio PPP con protocollo IP occorre inserire:
PPP-IP default=permit | deny
ATTENZIONE: Nel caso del servizio PPP, poiché il NAS invia separatamente richieste di autorizzazione
per PPP/LCP prima, poi quella relativa al protocollo su PPP (ad es. TCP/IP su PPP),
occorre configurare esplicitamente entrambi i servizi.
Ad esempio, per attivare l'autorizzazione al TCP/IP su PPP, sono richieste entrambe le seguenti linee:
PPP default=deny
PPP-IP default=deny
Per configurare anche una lista di coppie attributo/valore, aggiungere le linee:
<service_name> AV=attr1=value1;attr2=value2;attr3*value3;...
oppure
<service_name>-<protocol> AV=attr1=value1;attr2=value2;attr3*value3;...
Esempio di configurazione
[Services]
Exec default=deny
Exec AV=autocmd=ppp
PPP default=deny
PPP-IP default=deny
PPP-IP AV=addr=192.168.1.54;inacl=110
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 58/95
Queste linee configurano i servizi Exec, PPP/LCP e TCP/IP su PPP. Inoltre assegnano la coppia
autocmd=ppp (comando da eseguire quando si avvia la shell) al servizio Exec, mentre assegnano
addr=192.168.1.54 (IP statico) e inacl=110 (access-list da applicare all'utente) al servizio TCP/IP
su PPP.
Le coppie A/V possono venire indicate come attributo=valore oppure attributo*valore, dove
il segno di uguale indica una coppia obbligatoria, mentre il segno di asterisco indica una coppia opzionale,
applicabile a discrezione del NAS.
Sezione [Services Expired]
Questa sezione regola il comportamento di NTTacPlus per richieste di autorizzazione ai servizi di rete da
applicare solo quando l'account è scaduto o ha esaurito il proprio credito di tempo o traffico.
La sezione viene consultata solo se il parametro OnExpiredAuthenticate è impostato a 1.
Il corpo della sezione contiene parametri con la stessa sintassi della sezione [Services].
Sezione [RADIUS]
Questa sezione regola il comportamento di default di NTTacPlus per richieste di autorizzazione RADIUS.
Parametro
Descrizione
NoAppendRadChk
Se impostato a 1, NTTacPlus non accoda le checklist degli attributi RADIUS
eventualmente configurate nei gruppi d’appartenenza.
Se omesso, NTTacPlus completa la checklist degli attributi RADIUS del profilo
utente con quelle inserite nei profili gruppo d’appartenenza.
NoAppendRadRep
Se impostato a 1, NTTacPlus non accoda le reply list degli attributi RADIUS
eventualmente configurate nei gruppi d’appartenenza.
Se omesso, NTTacPlus completa la reply list degli attributi RADIUS del profilo
utente con quelle inserite nei profili gruppo d’appartenenza.
Sezione [RADIUS CheckList]
Questa sezione regola il comportamento di NTTacPlus per richieste di autorizzazione RADIUS. Il corpo
della sezione può contenere una o più righe di coppie attributo-valore che devono essere ricevute dal NAS
per poter autenticare con successo l’utente. Il NAS infatti invia un elenco di attributi che descrivono il tipo di
accesso che l’utente sta richiedendo. In questa lista è possibile inserire un elenco di attributi che devono
obbligatoriamente essere presenti tra gli attributi forniti dal NAS affinché l’autenticazione abbia successo. Il
formato per ogni riga è:
<attrbiute-name>=<value>
Ad esempio, per limitare l’accesso in dialup al solo login terminale, è possibile inserire l’attributo:
[RADIUS CheckList]
Service-Type=NAS-Prompt
Sezione [RADIUS ReplyList]
Questa sezione regola il comportamento di NTTacPlus per richieste di autorizzazione RADIUS. Il corpo
della sezione può contenere una o più righe di coppie attributo-valore che devono essere inviate al NAS
insieme alla risposta di autenticazione completata con successo. Il NAS interpreta gli attributi ricevuti da
NTTacPlus e decide se applicarli all’utente, scartarli o negare l’accesso all’utente e terminare la sessione Il
formato per ogni riga è, come nella check-list:
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 59/95
<attrbiute-name>=<value>
Ad esempio, per assegnare un indirizzo IP statico con RADIUS, occorre inserire:
[RADIUS ReplyList]
Service-Type=Framed
Framed-IP-Address=a.b.c.d
Framed-IP-Netmask=e.f.g.h
Dove a.b.c.d è l’indirizzo statico da assegnare e e.g.f.h la maschera di sottorete associata.
Sezioni [RADIUS Expired CheckList] e [RADIUS Expired ReplyList]
Queste sezioni regolano il comportamento di NTTacPlus per richieste di autorizzazione RADIUS rete da
applicare solo quando l'account è scaduto o ha esaurito il proprio credito di tempo o traffico.
La sezione viene consultata solo se il parametro OnExpiredAuthenticate è impostato a 1.
I corpi delle sezioni contengono parametri con la stessa sintassi delle sezioni [RADIUS CheckList] e
[RADIUS ReplyList].
Espressioni con i caratteri jolly
Le espressioni con i caratteri jolly utilizzate da NTTacPlus (ad es. nei campi Port= o CallerID= oppure nei
permessi ai comandi) prevedono l'uso dei seguenti caratteri speciali:
Carattere
Significato
*
Zero o più caratteri
?
Qualunque carattere singolo
[<a>-<b>]
Un carattere compreso tra <a> e <b> (ad es. [2-9] sono le cifre tra 2 e 9)
\*
Il carattere * letterale
\?
Il carattere ? letterale
\[
Il carattere [ letterale
\\
Il carattere \ letterale
Anteponendo il carattere di refuse (“!”) ad un’espressione con caratteri jolly, si indica a NTTacPlus di
rifiutare l’espressione che segue.
Ad esempio, nel campo Port la seguente espressione:
Port=!Async4,Async[1-8],Serial*
Accetta tutte le porte Async dalla 1 alla 8 tranne la 4, e tutte le porte Serial.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 60/95
Alcuni esempi di profili utente e di gruppo
Supponiamo il caso di un Internet Service Provider che fornisca accessi ISDN e analogici con connessione
TCP/IP su PPP, dotato di un NAS in grado di distinguere tra chiamate analogiche e ISDN, come ad esempio
Cisco AS5200. L'indirizzo IP del 5200 è 192.168.0.1
Supponiamo che il provider decida di vendere i seguenti tipi di accesso:

FLAT 24h analogico

HALF 12h diurno dalle 8:00 alle 20:00 analogico (tranne i festivi/prefestivi che consentono 24h)

HALF 12h notturno dalle 20:00 alle 8:00 analogico (tranne i festivi/prefestivi che consentono 24h)

HALF 12h diurno dalle 8:00 alle 20:00 ISDN (anche nei festivi/prefestivi)

HALF 12h notturno dalle 20:00 alle 8:00 ISDN (anche nei festivi/prefestivi)

ISDN con un totale di 300 ore
Tutti gli abbonamenti hanno scadenza annuale.
Si possono creare i seguenti profili di gruppo:
standard.ugp
[Global]
Name=Gruppo di base comune a tutti
MaxLogins=1
MaxConnectionTime=480
Privilege=1
NAS=192.168.0.1
Port=Async*,tty*
ExpiringEMailMsg=c:\nttacplus\messages\expiring.txt
[Suspicious]
OnFailedEmail=1
OnExpiredAuthenticate=0
OnMultipleAccessEmail=1
OnMultipleAccessKill=0
OnMultipleAccessDisable=0
OnExpiringEmail=1
[Authorization]
DefaultCommand=deny
DefaultService=deny
[Services]
Exec default=deny
Exec AV=autocmd=ppp
PPP default=deny
PPP-IP default=deny
[cmd exit]
*=permit
[cmd logout]
*=permit
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 61/95
day.ugp
[Global]
Name=Accesso diurno analogico
Groups=standard
LoginHours=weekly
[WeekPlan]
mon=08:00-19:59
tue=08:00-19:59
wed=08:00-19:59
thu=08:00-19:59
fri=08:00-19:59
sat=00:00-23:59
sun=00:00-23:59
night.ugp
[Global]
Name=Accesso notturno analogico
Groups=standard
LoginHours=weekly
[WeekPlan]
mon=00:00-07:59,20:00-23:59
tue=00:00-07:59,20:00-23:59
wed=00:00-07:59,20:00-23:59
thu=00:00-07:59,20:00-23:59
fri=00:00-07:59,20:00-23:59
sat=00:00-23:59
sun=00:00-23:59
dayisdn.ugp
[Global]
Name=Accesso diurno ISDN
Groups=standard
LoginHours=08:00-19:59
Port=Serial*,Async*,tty*
nightisdn.ugp
[Global]
Name=Accesso notturno ISDN
Groups=standard
LoginHours=00:00-07:59,20:00-23:59
Port=Serial*,Async*,tty*
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 62/95
isdn300.ugp
[Global]
Name=Accesso ISDN con un credito totale di 300 ore
Groups=standard
Port=Serial*,Async*,tty*
[Credits]
TimeInitial=18000
TimeLeft=18000
A questo punto si possono creare facilmente i profili utente assegnandoli al gruppo desiderato.
L'utente 'asdrubale' acquista un abbonamento flat analogico a partire dal 1° giugno 1999:
asdrubale.usr
[Global]
Name=Asdrubale Rossi
Passwd=indovina
Expires=01-06-2000
Groups=standard
[email protected]
L'utente 'antonio' acquista un abbonamento isdn 300 ore a partire dal 15 maggio 1999, con una quota di
tempo massima di 20 ore settimanali:
antonio.usr
[Global]
Name=Antonio Bianchi
Passwd=chilosa
Expires=15-05-2000
Groups=isdn300
[email protected]
[Credits]
QuotaPeriod=weekly
Quota=1200
L'utente 'ermenegildo' acquista un abbonamento ISDN diurno, con scadenza 30 aprile 2001, durata di 180
giorni e decorrenza dal primo login, con 2 accessi contemporanei, indirizzo IP statico pari a 199.189.161.15,
e limitazione di accesso dai soli suoi due numeri telefonici 02-77836524 e 02-77836525:
ermenegildo.usr
[Global]
Name=Ermenegildo Verdi
Passwd=lhodimenticata
Expires=#180,30-04-2001
Groups=dayisdn
MaxLogins=2
CallerID=27783652[4-5]*
[email protected]
[Services]
PPP-IP AV=addr=199.189.161.15
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 63/95
Configurazioni particolari
Un appunto sul valore di privilegio e il protocollo TACACS+
Quando NTTacPlus riceve una richiesta TACACS+ di autorizzazione al servizio Exec (shell), aggiunge
automaticamente alla lista di coppie A/V nella risposta anche la coppia "priv-lvl=nn", dove nn è il
valore che viene ripescato dall'impostazione Privilege= della sezione [Global].
In tal modo è possibile, per un amministratore che abbia un account con Privilege=15, entrare
direttamente in modalità enable al prompt del NAS (su Cisco con IOS 11.1 o successive), senza dover
digitare il comando enable e reinserire la password di enable.
Se invece si aggiunge esplicitamente la coppia a/v "priv-lvl=nn" nella configurazione
dell'autorizzazione del servizio Exec (ad es. con "Exec AV=priv-lvl=7"), il valore del parametro
Privilege viene ignorato.
Le password di enable e il protocollo TACACS+
Nei sistemi IOS più vecchi (11.1) le password di enable vengono richieste al server tacacs+ senza fornire la
username dell'utente che ha digitato il comando enable.
Quando NTTacPlus riceve una simile richiesta di autenticazione di enable, ricerca la password in un profilo
utente speciale, il cui nome è $enab<n>$ se la richiesta di enable specifica un valore di privilegio compreso
tra 0 e 14 (<n> è il numero tra 0 e 14), mentre se il privilegio è 15 ricerca prima un utente chiamato
$enab15$ e poi, se non lo trova, un utente chiamato $enable$. Ciò significa che se si attiva anche
l'autenticazione di enable con il protocollo tacacs+, occorre inserire la password di enable in un file utente
chiamato $enable$.usr.
Nelle versioni più recenti, le richieste di autenticazione di enable specificano anche la username dell'utente.
In tal caso, se l'utente ha privilegio sufficiente per la richiesta in corso, la password usata da NTTacPlus è la
stessa usata dall'utente per effettuare il login al prompt del NAS.
L’assegnazione di IP statici con RADIUS
I gruppi di esempio preconfigurati in NTTacPlus contengono gli attributi RADIUS per autorizzare l’accesso
ai servizi di rete PPP. Assegnando un utente ad un gruppo in cui sono configurati gli attributi RADIUS di
reply per l’accesso PPP (come ad esempio quelli preconfigurati), l’utente eredita automaticamente tali
attributi anche se non sono dichiarati esplicitamente nel suo profilo, poiché NTTacPlus accoda gli attributi
nel gruppo a quelli dell’utente. Gli attributi RADIUS reply tipici per l’accesso in PPP sono:
[RADIUS ReplyList]
Service-Type=Framed
Framed-Protocol=PPP
Framed-IP-Address=Select-by-NAS
Per assegnare un indirizzo ip statico ad un account, occorre indicare, nel suo profilo:
[RADIUS ReplyList]
Service-Type=Framed
Framed-Protocol=PPP
Framed-IP-Address=a.b.c.d
Framed-IP-Netmask=e.f.g.h
avendo però cura di disabilitare l’accodamento automatico degli attributi RADIUS dei gruppi tramite
l’opzione:
[RADIUS]
NoAppendRadRep=1
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 64/95
Senza tale accorgimento, infatti, NTTacPlus restituirebbe un elenco di attributi composto da entrambe le liste:
Service-Type=Framed
Framed-Protocol=PPP
Framed-IP-Address=a.b.c.d
Framed-IP-Netmask=e.f.g.h
Service-Type=Framed
Framed-Protocol=PPP
Framed-IP-Address=Select-by-NAS
Attributi dell’utente
Attributi accodati dal gruppo
In questo caso, oltre a trasmettere inutili ripetizioni, l’ip statico verrebbe ignorato poiché l’ultimo attributo
trasmesso relativo all’ip sarebbe Select-by-NAS.
Gli script post-autenticazione
Oltre alle verifiche standard di autenticazione di NTTacPlus (password, scadenza, ecc.), è possibile estendere
la procedura di autenticazione mediante script esterni (eseguibili, file batch, ecc.) ai quali NTTacPlus
trasmette i parametri ricevuti dal NAS, e dai quali NTTacPlus attende una risposta per l’esito della fase di
autenticazione.
Nella riga di comando per richiamare gli script post-autenticazione, configurabile nel parametro
AuthenScript della sezione [Global], sono disponibili le seguenti macro che vengono sostituite
automaticamente da NTTacPlus:
$user
$pass
$nas
$port
$clid
$addr
$priv
$svc
$action
$type
Username
Password digitata dall’utente
Indirizzo ip o nome del NAS
Numero/nome della porta del NAS
Caller ID (se disponibile)
Indirizzo di rete
Livello di privilegio
Codice numerico del tipo di servizio
Azione richiesta
Tipo di autenticazione
NTTacPlus si aspetta che lo script restituisca l’esito dell’autenticazione sul flusso di standard output,
trasmettendo righe nella forma parametro=valore (senza spazi all’inizio della riga).
I parametri di ritorno che NTTacPlus accetta sono:
status=pass
(oppure fail)
reply-msg=<messaggio di testo da restituire al NAS e quindi all’utente>
Il parametro status è obbligatorio, mentre reply-msg è facoltativo. Tutte le altre righe non riconosciute
vengono ignorate.
Esempio di uno script (inutile) batch
nel profilo utente (o gruppo) è configurato
AuthenScript=cmd.exe /c c:\nttacplus\external\fool.bat $user
@echo off
if not "%1"=="alberto" goto bother_it_is_not_alberto
echo reply-msg=Hello, Alberto, welcome!
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 65/95
goto exit_fool_bat
:bother_it_is_not_alberto
echo reply-msg=Hey, you're not Alberto. Welcome, anyway!
:exit_fool_bat
echo status=pass
I messaggi di scadenza account e esaurimento credito
I messaggi che vengono inviati ad un utente il cui account sta per scadere o sta esaurendo il proprio credito di
tempo o traffico, sono file di testo ASCII, da creare nel seguente formato:
From: SuperExtraMeganet Staff <[email protected]>
To: $fullname <$email>
Subject: Avviso scadenza abbonamento
Spett. $fullname,
questo messaggio Le è stato inoltrato automaticamente
per ricordarLe che il suo account (ID account = <$username>)
scadrà il $expiry.
Siamo lieti di informarLa che per questo mese
offriamo condizioni speciali per i rinnovi dei contratti
di abbonamento a Internet.
Qualora Lei decidesse di rinnovare il contratto di accesso
entro la fine del mese, potrebbe usufruire di vantaggiosi sconti.
Cordiali saluti,
Lo Staff di SuperExtraMeganet.
NOTA: Affinché i messaggi vengano inviati correttamente, occorre che non ci siano linee vuote all'inizio
del file.
Inoltre è obbligatorio che le prime tre linee contengano i campi From, To e Subject, seguiti da una linea
vuota..
Nove macro speciali possono essere incluse nel testo e, al momento dell'invio del messaggio, vengono
sostituite dai parametri relativi all'account in questione:
$fullname
Il nome dell'utente
$username
La username dell'account
$email
L'indirizzo di posta dell'utente
$expiry
La data di scadenza dell'account
$effectivefrom
La data di attivazione dell'account
$timeinitial
Il credito iniziale in minuti dell'account
$timeleft
Il credito residuo in minuti dell'account
$kbytesinitial
Il credito iniziale in Kbytes dell'account
$kbytesleft
Il credito residuo in Kbytes dell'account
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 66/95
Gli Account nel formato SQL ODBC
NTTacPlus è in grado di affidarsi ad un database SQL ODBC per la memorizzazione dei profili utente e
gruppo anziché i file di testo.
NTTacPlus utilizza due tabelle per la memorizzazione, rispettivamente, dei gruppi e degli account:
Tabella per i profili di gruppo: TAC_GRP
Tabella per i profili utente:
TAC_USR
Entrambe le tabelle seguono lo stesso formato dei campi:
Campo
TAC_ID
TAC_ATTR
TAC_VAL
Tipo
TEXT
TEXT
TEXT
Primary Key
Il campo TAC_ID contiene la username del profilo.
Il campo TAC_ATTR contiene il nome del parametro, cioè una stringa composta dalla sezione e dal nome del
parametro equivalenti nel profilo di testo.
Il campo TAC_VAL contiene il valore del parametro indicato in TAC_ATTR.
Nella tabella utenti o gruppi saranno presenti quindi, per ciascuna username, tanti record quanti sono i
parametri presenti nell’account associato a tale username.
NTTacPlus considera esistente un account (o un gruppo) nel database quando compare almeno un record in
cui TAC_ID contenga la username (o il nome del gruppo) in oggetto.
Esempio di conversione profili da testo a database
Supponendo di avere il seguente profilo utente chiamato abelarda.usr:
[Global]
Name=Nonna Abelarda
Groups=ISDN
Expires=#120,01-01-2002
EffectiveFrom=15-07-1999
Passwd=nonnasprint
NAS=212.195.12.121-212.195.12.126
[Credits]
QuotaPeriod=weekly
Quota=3600
QuotaLeft=2500
[RADIUS ReplyList]
Framed-IP-Address=212.195.12.192
Il contenuto equivalente della tabella TAC_USR sarebbe rappresentato dai seguenti 10 record:
TAC_ID
abelarda
abelarda
abelarda
abelarda
TAC_ATTR
[Global]Name
[Global]Groups
[Global]Expires
[Global]EffectiveFrom
Master Soft S.n.c.
TAC_VAL
Nonna Abelarda
Expires
#120,01-01-2002
15-07-1999
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
abelarda
abelarda
abelarda
abelarda
abelarda
abelarda
pag. 67/95
[Global]Passwd
[Global]NAS
[Credits]QuotaPeriod
[Credits]Quota
[Credits]QuotaLeft
[RADIUS ReplyList]Framed-IP-Address
nonnasprint
212.195.12.121-212.195.12.126
weekly
3600
2500
212.195.12.192
Configurare il database utenti in un datasource ODBC
Per poter utilizzare un database SQL per la memorizzazione degli account utente e gruppo occorre
configurare un datasource ODBC che faccia riferimento al database:
1.
2.
3.
4.
5.
6.
Dal Pannello di Controllo selezionare ODBC.
Selezionare la finestra per la creazione di System DSN (DSN di sistema)
Premere Add (Aggiungi) e selezionare il tipo di database (ad es. MS Access Driver)
Indicare un nome per il datasource (ad es. utenti) ed eventualmente una descrizione
Premere Select (Seleziona) e indicare il percorso/nome del database (ad es.
c:\NTTacPlus2\odbc\nttacdb.mdb)
Premere OK, chiudere tutte le finestre ed il pannello di controllo. Il datasource è configurato.
Per abilitare in NTTacPlus l’utilizzo del database per gli account anziché l’utilizzo dei profili ASCII, attivare
la casella Enable ODBC user database, inserendo opportuni valori nei campi Datasource, username e
password a seconda di quanto impostato nel Pannello di Controllo/ODBC (ad. es “utenti”, “admin”, “”).
L’opzione Serialize SQL Queries fa in modo che tutte le query (sia di lettura che aggiornamento) sul database
utenti vengano eseguite in una coda (cioè sequenzialmente); questa opzione è richiesta con alcuni driver
ODBC che non supportano l’esecuzione concorrente di query di estrazione dati (come ad esempio il driver
per Microsoft SQL Server); utilizzando altri driver, come quello di MS Access, non occorre barrare tale
casella.
ATTENZIONE: nel momento in cui si barra la casella Enable ODBC user database, NTTacPlus
utilizza immediatamente gli account del database, ignorando i profili di testo.
Prestare quindi molta attenzione prima di confermare il cambiamento, poiché se
l’account amministrativo con il quale si è collegati alla console non è presente nel
database, non sarà più possibile riaccedere a NTTacPlus dalla console.
Esportazione account da e verso un database
Nel pacchetto NTTacPlus è incluso un database utenti di esempio in formato Microsoft Access 97, chiamato
NTTACDB.MDB.
Tale database contiene già le due tabelle richieste da NTTacPlus (TAC_GRP e TAC_USR) ed è pronto per
l’utilizzo con NTTacPlus.
Se si possiede una copia installata di Microsoft Access 97 è possibile, aprendo il database fornito, attivare
due form del database che contengono routine già preparate per importare o esportare account utente o
gruppo di NTTacPlus da e verso i file standard .usr e .ugp.
Per l’utilizzo di altri formati di database occorre creare una propria routine personalizzata per la conversione.
Apertura del database utenti
Una caratterisrica che contraddistingue il database utenti NTTacPlus è l’apertura verso altre applicazioni. È
possibile infatti intervenire sul database con proprie routine e altri software personalizzati per modificare gli
account utente, senza dover necessariamente interagire tramite console remota. Tutte le modifiche sui record
del database diventano immediatamente effettive al termine della transazione d’aggiornamento. È possibile
infine appoggiarsi al database utenti per inserire record personalizzati su ogni utente a seconda delle proprie
esigenze: NTTacPlus ignora gli attributi non riconosciuti, mantenendoli però anche nei database dei server di
backup, anche se questi utilizzano i profili in formato ASCII.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 68/95
Gestione del database utenti tramite Profile Manager
Premendo F10 dalla console remota (oppure selezionando Edit/Profile Manager) si accede all’interfaccia
grafica per la gestione degli account NTTacPlus:
Creazione un nuovo utente (gruppo)
1.
2.
3.
Selezionare Users (Groups) nel riquadro Display options.
Premere il pulsante New user (New group).
Digitare la nuova username nella casella di testo User/Group name.
4.
5.
6.
Quando ci si sposta su di un altro elemento della finestra, compare l'indicatore
Configurare i parametri del profilo nelle varie sezioni.
Al termine, premere Update per salvare i cambiamenti.
.
Creazione (duplicazione) di un nuovo utente (gruppo) da uno esistente
1.
2.
3.
4.
5.
Selezionare un nome esistente dalla lista a discesa o digitandolo direttamente nella casella di testo.
Spostarsi su di un altro elemento della finestra
Tornare nella casella di testo User/Group name e digitare il nuovo nome.
Modificare i parametri desiderati.
Al termine, premere Update per salvare i cambiamenti.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 69/95
Eliminazione di un utente (gruppo) esistente
1.
2.
Selezionare un nome esistente dalla lista a discesa o digitandolo direttamente nella casella di testo.
Premere il pulsante Delete e confermare l'operazione.
Modifica di un utente (gruppo) esistente
1.
2.
3.
4.
Selezionare un nome esistente dalla lista a discesa o digitandolo direttamente nella casella di testo.
Quando ci si sposta su di un altro elemento della finestra, le proprietà del profilo dovrebbero venire
caricate.
Quando si apporta una modifica al profilo dall'ultimo salvataggio, compare una piccola sfera blu per
indicare che sono state apportate modifiche al profilo senza averle ancora salvate: .
Al termine, premere Update per salvare i cambiamenti oppure Revert per ripristinare i valori originali
dell'ultimo salvataggio.
Considerazioni sulle impostazioni dei profili nel Profile Manager
Tutti i parametri configurabili per gli utenti possono venire impostati anche nei gruppi (ad eccezione del
campo e-mail che viene ignorato nei gruppi).
Lasciando vuota una impostazione, compare nel riquadro la scritta (group) per ricordare che il parametro
omesso verrà ricercato da NTTacPlus server nei gruppi a cui il profilo eventualmente appartiene.
Se il profilo non dovesse appartenere ad alcun gruppo, l'impostazione non ha alcun valore. Per i parametri
obbligatori (come ad esempio la data di scadenza dell'account), occorre verificare che essi esistano (nel
profilo utente o di gruppo d'appartenenza), altrimenti l'autenticazione o l'autorizzazione falliscono.
Impostazioni della sezione General
Parametro
Full Name
Account disabled
E-Mail
Expiration date
Activation date
Max concurrent logins
Privilege level
Allowed NASes
Master Soft S.n.c.
Descrizione
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
/
/
/
/
/
/
/
/
Name=
Disabled=1
Email=
Expires=
EffectiveFrom=
MaxLogins=
Privilege=
NAS=
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
Allowed Port
Caller/Called ID
Comment
pag. 70/95
equivale a [Global] / Port=
equivale a [Global] / CallerID=
equivale a [Global] / Comment=
Impostazioni della sezione Password
Parametro
Regular Password
No Password
Blank Password
NT Proxy Password
TACACS+ Proxy Password
DES Encrypted Password
UNIX password file
Descrizione
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
equivale a [Global]
/
/
/
/
/
/
/
Passwd=<password_utente>
Passwd=[NONE]
Passwd=
(vuoto)
Passwd=[NT]
Passwd=[TACACS+]
Passwd=[DES]
Passwd=[UNIX]
Impostazioni della sezione Options
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 71/95
Sezione
Failed login attempts
Parametro
Send e-mail
Failed login attempts
Disable the account
Concurrent logins
exceeded
Concurrent logins
exceeded
Concurrent logins
exceeded
Send e-mail
Disable the account
Terminate sessions
Send a copy of...
Authenticate even if...
Descrizione
equivale a [Suspicious] /
OnFailedEmail=
equivale a [Suspicious] /
OnFailedDisable=
equivale a [Suspicious] /
OnMultipleAccessEmail=
equivale a [Suspicious] /
OnMultipleAccessDisable=
equivale a [Suspicious] /
OnMultipleAccessKill=
equivale a [Suspicious] /
EmailNotifyToUsers=
equivale a [Suspicious] /
OnExpiredAuthenticate=
Impostazioni della sezione Warnings
Parametro
Send msg when expiring (date)
Email msg file (date)
Send msg when expiring (time)
Email msg file (time)
Send msg when expiring (traffic)
Email msg file (traffic)
Master Soft S.n.c.
Descrizione
equivale a [Suspicious] / OnExpiringEMail=
equivale a [Global] / ExpiringEMailMsg=
equivale a [Suspicious] / OnTimeLowEMail=
equivale a [Global] / TimeLowEMailMsg=
equivale a [Suspicious] / OnTrafficLowEMail=
equivale a [Global] / TrafficLowEMailMsg=
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 72/95
Impostazioni della sezione Group membreship
Questa sezione imposta l'appartenenza del profilo ai gruppi, ed equivale a [Global] / Groups=.
I pulsanti Up e Down servono per scambiare l'ordine di appartenenza ai gruppi, poiché la ricerca dei
parametri nei gruppi di appartenenza avviene secondo l'ordine stabilito in questa lista.
Il parametro Post authentication script equivale a [Global] / AuthenScript=
Impostazioni della sezione Hours
Parametro
Login Hours
Week plan
Mon
Tue
Wed
Thu
Fri
Sat
Sun
Descrizione
equivale a [Global] / LoginHours=
equivale ad impostare [Global] / LoginHours=weekly
equivale a [WeekPlan] / Mon=
equivale a [WeekPlan] / Tue=
equivale a [WeekPlan] / Wed=
equivale a [WeekPlan] / Thu=
equivale a [WeekPlan] / Fri=
equivale a [WeekPlan] / Sat=
equivale a [WeekPlan] / Sun=
NOTA: Impostando un piano settimanale e lasciando vuoto un giorno della settimana, se l'impostazione per
quel giorno non è impostata nemmeno a livello di gruppo, l'accesso per quel giorno verrà negato. Per
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 73/95
concedere un accesso a tutta la giornata senza restrizioni, occorre specificare esplicitamente un
intervallo di 24 ore.
Impostazione sezione Credits
Parametro
Max connection time
Initial Time
Time Left
Assign a time quota
Quota
Reset quota left
Kill when exceeding
time credit
Kill when time quota
is over
Allow extra-credit
time
Initial KBytes
KBytes Left
Allow extra-credit
Kbytes
Master Soft S.n.c.
Descrizione
equivale a [Global] / MaxConnectionTime=
equivale a [Credits] / TimeInitial=
equivale a [Credits] / TimeLeft=
equivale a [Credits] / QuotaPeriod=
equivale a [Credits] / Quota=
cancella il parametro [Credits] / Quota= riazzerando la quota
equivale a [Credits] / OnTimeExceededKill=1
equivale a [Credits] / OnQuotaExceededKill=1
equivale a [Credits] / OnExtraTimeCharge=1
equivale a [Credits] / KBytesInitial=
equivale a [Credits] / KBytesLeft=
equivale a [Credits] / OnExtraKBytesCharge=1
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 74/95
Impostazioni della sezione TACACS+ Command Authorization
Parametro
Descrizione
Permit commands not
equivale a [Authorization] / DefaultCommand=
explicitly configured
Permit services not
equivale a [Authorization] / DefaultService=
explicitly configured
Do not append all
equivale a [Authorization] / NoAppendTacCmd=
group configured
commands
La sezione relativa ai comandi configurati e le permissions, equivale alle sezioni [cmd <cmd_name>].
Per aggiungere la configurazione per l'autorizzazione di un comando della shell, digitare il comando nella
casella di testo di sinistra (ad es. telnet) e premere il pulsante Add di sinistra.
Selezionare quindi il comando appena aggiunto nella lista dei comandi, poi digitare nella casella di testo di
destra i parametri configurati per il comando, scegliendo permit o deny e premere il pulsante Add di destra.
Impostazioni della sezione TACACS+ Services
Le impostazioni di questa sezione equivalgono, nel profilo, alla sezione [Services] se è selezionata
l'opzione Ordinary authorization, mentre equivalgono alla sezione [Services Expired] se è
selezionata l'opzione Expired authorization.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 75/95
La lista dei servizi configurati in Configured services equivale alle righe
<svc_name>-<protocol>=permit|deny
Per aggiungere una lista di coppie A/V ad un servizio configurato, selezionare il servizio nella lista di
sinistra, quindi aggiungere ciascuna coppia nella casella di testo di destra e premere Add. La coppia può
avere il formato:
attributo=valore
oppure
attributo*valore
L’opzione Do not append all group services equivale al parametro [Authorization] /
NoAppendTacSvc=
Impostazioni della sezione RADIUS CheckList
Le impostazioni di questa sezione equivalgono, nel profilo, alla sezione [RADIUS CheckList] se è
selezionata l'opzione Ordinary authorization, mentre equivalgono alla sezione
[RADIUS Expired CheckList] se è selezionata l'opzione Expired authorization.
Ciascuna riga della lista di attributi da verificare, aggiunta selezionando a sinistra l’attributo, inserendo a
destra il valore e premendo Add, compare come corpo della sezione del profilo utente nel formato
attributo=valore
Il contenuto delle caselle a discesa per gli attributi e i valori dipende dal file del dizionario di attributi
RADIUS (file RADDICT.DAT).
L’opzione Do not append all group attribute check list equivale al parametro [RADIUS] /
NoAppendRadChk=
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 76/95
Impostazioni della sezione RADIUS Reply List
Le impostazioni di questa sezione equivalgono, nel profilo, alla sezione [RADIUS ReplyList] se è
selezionata l'opzione Ordinary authorization, mentre equivalgono alla sezione
[RADIUS Expired ReplyList] se è selezionata l'opzione Expired authorization.
Ciascuna riga della lista di attributi da restituire al NAS dopo l’autenticazione, aggiunta selezionando a
sinistra l’attributo, inserendo a destra il valore e premendo Add, compare come corpo della sezione del
profilo utente nel formato:
attributo=valore
Il contenuto delle caselle a discesa per gli attributi e i valori dipende dal file del dizionario di attributi
RADIUS (file RADDICT.DAT).
L’opzione Do not append all group attribute check list equivale al parametro [RADIUS] /
NoAppendRadRep=
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 77/95
I dati di Accounting
Dati di Accounting generati da NTTacPlus
NTTacPlus è in grado di generare diversi tipi di output riguardo ai dati di accounting, cioè i dati sul numero,
sulla durata e sul traffico delle sessioni registrate da NTTacPlus:

File di testo separati per ciascun utente, creati nella directory di Accounting, il cui nome coincide con la
username dell'utente, e con estensione .log. Questi file registrano, per ciascun utente, tutti i messaggi
di accounting inviati dal NAS.

File di testo di accounting globali, creati giornalmente nella directory di Accounting, il cui nome è nel
formato yyyymmdd.acc (anno/mese/giorno). Questi file registrano, per ogni sessione utente,
informazioni sulla durata e sul traffico generato relativamente a tale sessione.

Output di accounting globale su database SQL/ODBC. Questi dati vengono inseriti in una tabella (il cui
formato è descritto più avanti), e registrano i dati su ogni sessione utente, sulla sua durata e sul traffico
che ha generato.
File di Accounting per utente
I file di accounting generati singolarmente per ogni utente contengono i dati esatti ricevuti come messaggi di
accounting dal server NAS. Ogni riga (record) rappresenta un messaggio di START, STOP, o UPDATE ed
elenca i campi in formato separato da virgole (comma delimited), con il seguente significato:
Campo
Datetime
Type
NAS
Port
CallerID
ExtraArgs
Task_ID
Elapsed_Time
Bytes_In
Bytes_Out
Paks_In
Paks_Out
Bytes
Paks
Descrizione
Data/ora di ricezione del messaggio, (formato dd-mm-yyyy hh:mm:ss)
Tipo del messaggio ("START", "STOP", o "UPDATE")
Nome o indirizzo del NAS da cui proviene il messaggio
Nome della porta su cui è collegato l'utente
Eventuale Caller ID dell'utente (ad es. n. telefono chiamante)
elenco separato da punti e virgole di argomenti aggiuntivi inviati dal NAS
Numero univoco che identifica il task (comune alle coppie START/STOP)
Durata in secondi della connessione
Totale bytes inviati dall'utente
Totale bytes ricevuti dall'utente
Totale pacchetti inviati dall'utente
Totale pacchetti ricevuti dall'utente
Totale bytes scambiati dall'utente (se applicabile)
Totale pacchetti scambiati dall'utente (se applicabile)
Esempio:
15-01-1998 14:30:49,START(2),194.184.16.2,tty53,async/321457913,
addr=194.184.16.57;service=ppp,3769,0,0,0,0,0,0,0
15-01-1998 14:30:49,UPDATE(8),194.184.16.2,tty53,async/321457913,
addr=194.184.16.57;service=ppp;protocol=ip,3769,0,0,0,0,0,0,0
15-01-1998 14:32:56,STOP(4),194.184.16.2,tty53,async/321457913,
addr=194.184.16.57;service=ppp;protocol=ip,3769,133,12415,49283,162,106,0,0
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 78/95
File di Accounting globali
I file di accounting globale memorizzano in ogni riga (record) ciascuna sessione utente. I file (ASCII)
contengono i campi in formato separato da tabulazione (tab delimited), con il seguente significato:
Campo
Username
CallerID
Addr
NAS
Port
StartTime
Descrizione
StopTime
Data/ora di termine della sessione (formato dd-mm-yyyy hh:mm:ss)
Durata in minuti della sessione, arrotondata per eccesso secondo quanto
configurato nelle opzioni di NTTacPlus
Durata in minuti della sessione (arrotondata per eccesso), dopo il
superamento del credito in tempo dell'account
Credito totale residuo in minuti dopo la sessione
Totale kbytes inviati dall'utente
Totale kbytes ricevuti dall'utente
Totale traffico (in kbytes) generato durante la sessione, arrotondato per
eccesso secondo quanto configurato nelle opzioni di NTTacPlus
Totale traffico (in kbytes) generato durante la sessione (arrotondato per
eccesso), dopo il superamento del credito in traffico dell'account
Credito totale residuo in kbytes dopo la sessione
SessionTime
ExtraTime
TimeLeft
KBytesIN
KBytesOut
SessionKB
ExtraKB
KBytesLeft
Nome dell'account a cui si riferisce la sessione
Eventuale Caller ID dell'utente (ad es. n. telefono chiamante)
Eventuale indirizzo dell'utente
Nome o indirizzo del NAS su cui si è collegato l'utente
Nome della porta su cui si è collegato l'utente
Data/ora di inizio della sessione (formato dd-mm-yyyy hh:mm:ss)
I campi ExtraTime, TimeLeft, ExtraKB e KBytesLeft vengono normalmente impostati a zero per
le connessioni che non hanno limite di traffico o di tempo, mentre diventano utili per gli account a credito.
La durata effettiva (non arrotondata) di una sessione può venire calcolata come differenza tra start e stop.
Esempio
Se l'utente ermenegildo ha comprato una connessione per 200 minuti totali, può avere diverse sessioni, per
ciascuna delle quali consumerà una certa parte del suo credito. Supponiamo che la durata media delle sue
sessioni sia di circa 10-20 minuti. Allora nei dati di accounting comparirà un record per ogni sessione di
ermenegildo, per esempio:
Sessione
1
SessionTime
20
ExtraTime
0
TimeLeft
180
2
10
0
170
3
25
0
145
…
…
…
…
23
30
0
20
Dopo 23 sessioni, ermenegildo ha un credito residuo di 20 minuti. Se il suo profilo non ha impostato il
parametro OnExtraTimeCharge=1, l'utente sarà in grado di collegarsi per i rimanenti 20 minuti,
dopodiché nei tentativi successivi di connessione l'accesso gli sarà negato.
Se invece è impostato OnExtraTimeCharge=1, ermenegildo potrà continuare a collegarsi anche dopo
aver esaurito il credito di 20 minuti, ma il consumo in eccedenza verrà memorizzato nel campo ExtraTime
anziché nel campo SessionTime.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 79/95
Supponiamo che, avendo 20 minuti di credito, si colleghi per 30 minuti (eccedendo così di 10 minuti).
Supponiamo infine che si colleghi ancora in un'altra sessione per 40 minuti. La durata delle sessioni verrà
così registrata nei dati di accounting:
Sessione
24
SessionTime
20
ExtraTime
10
TimeLeft
0
25
0
40
0
Questo significa che, sommando tutti i valori di SessionTime per un dato account da quando l'utente ha
iniziato a consumare il credito, si ottiene il credito iniziale (in questo esempio 300), mentre per avere il
consumo extra è sufficiente sommare tutti i valori di ExtraTime (10 + 40 = 50 minuti).
Lo stesso procedimento viene impiegato anche per il consumo del traffico in KBytes.
È possibile quindi, per un ISP, ad esempio, vendere un abbonamento per un totale di 300 ore di connessione,
consentendo l'accesso anche a credito esaurito, e facendo pagare una determinata tariffa oraria per ogni ora di
connessione oltre il credito iniziale. Il provider determina la durata totale delle connessioni extra sommando
sul campo ExtraTime.
Dati di Accounting su datasource ODBC
Gli stessi record che vengono registrati nei file di accounting di testo giornalieri, possono venire registrati
anche in un database SQL attraverso l'uso di un datasource ODBC. Il database deve essere configurato in
modo da contenere una tabella che abbia un formato simile a quella fornita nel database di esempio
(stat.mdb) che è un file di MS Access 97. I campi della tabella di accounting sono dati nel seguente
ordine:
Campo
Username
CallerID
Addr
NAS
Port
StartTime
StopTime
SessionTime
ExtraTime
TimeLeft
KBytesIN
KBytesOut
SessionKB
ExtraKB
KBytesLeft
Tipo
TEXT
TEXT
TEXT
TEXT
TEXT
DATE/TIME
DATE/TIME
LONG INTEGER
LONG INTEGER
LONG INTEGER
LONG INTEGER
LONG INTEGER
LONG INTEGER
LONG INTEGER
LONG INTEGER
Output ODBC degli utenti attivi
Gli stessi record che vengono visualizzati nella finestra monitor degli utenti attivi, possono venire registrati in
tempo reale anche in un database SQL attraverso l'uso di un datasource ODBC. Il database deve essere
configurato in modo da contenere una tabella che abbia un formato simile a quella fornita nel database di
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 80/95
esempio (stat.mdb) che è un file di MS Access 97. I campi della tabella di accounting sono dati nel
seguente ordine:
Campo
UserID
NAS
Port
Username
CallerID
Address
LoginTime
Tipo
TEXT (Primary Key)
TEXT
TEXT
TEXT
TEXT
TEXT
DATE/TIME
Ad ogni inizio o termine sessione di un dato utente, il corrispondente record nella tabella viene aggiunto o
rimosso contemporaneamente a quanto riportato a video. È così possibile, ad esempio, tramite un gateway
ODBC, consultare da una pagina web gli utenti collegati on-line.
Configurazione dell’accounting
Tutti i parametri per la configurazione dell’accounting in NTTacPlus sono organizzati nella sezione
Accounting della finestra di configurazione del server (Tools/Options o F8).
Attivazione dell’accounting di testo globale e per utente
Sezione
Parametro
Valore
Accounting
Accounting directory
Imposta il percorso dove NTTacPlus crea i file di
accounting ASCII
Enable accounting text output
Abilita la creazione dei file ASCII giornalieri di
accounting (*.acc)
Per-user accounting logging
Abilita la creazione di file ASCII per utente che
registrano tutti i messaggi di accounting ricevuti
dal NAS (*.log)
Log unknown user accounting
Registra tutti i dati di accounting relativi a
username non configurate nel file
_unknown_.log
L’opzione Log unknown user accounting consente a NTTacPlus di creare, sempre nella directory di
accounting, un file chiamato _unknown_.log nel quale confluiscono tutti i messaggi di accounting ricevuti
dai NAS, relativi ad account che non sono configurati nel database di NTTacPlus (ad es. record di accounting
con username nulla). Se questa opzione non è barrata, NTTacPlus semplicemente ignora tali record.
Invio accounting di username sconosciute alla finestra sessioni attive
Sezione
Parametro
Valore
Accounting
Send unknown users to active
window
Mostra anche utenti sconosciuti (non configurati)
nella finestra degli utenti attivi (registrandone
quindi la sessione)
L’opzione Send unknown users to active window fa in modo che NTTacPlus registri regolarmente le sessioni
attive (mostrandole quindi anche nella finestra delle sessioni attive) anche dai messaggi di accounting relativi
a username sconosciute (non configurate). Questa opzione può essere utile nel caso si utilizzi un unico
profilo di default per cui gli account effettivi non sono memorizzati nel database di NTTacPlus. In caso
contrario è consigliabile lasciare disattivata questa opzione.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 81/95
Esecuzione di uno script personalizzato post-accounting
Sezione
Parametro
Valore
Accounting
Run the following post accounting
external script
Abilita l’esecuzione di uno script esterno alla
ricezione di ogni messaggio di accounting dai
NAS
È possibile configurare NTTacPlus in modo da eseguire uno script o un’applicazione esterna per ogni
messaggio di accounting ricevuto dal NAS. Questa funzione rende possibile estendere l’accounting di
NTTacPlus secondo proprie procedure personalizzate.
NOTA: questa impostazione opera a livello globale, e non per utente, al contrario di quanto accade invece
per gli script post-autenticazione.
È possibile passare sulla riga di comando al programma o script da richiamare una serie di parametri, tramite
l’utilizzo delle seguenti macro:
Macro
Valore
$user
Username
Indirizzo IP o nome del NAS
Porta/interfaccia
Caller ID
Indirizzo di rete
Livello di privilegio
Tipo di record di accounting (= START, STOP o UPDATE)
Identificativo della sessione
Tempo trascorso (in secondi), calcolato dal NAS e non da NTTacPlus
Byte trasferiti in input
Byte trasferiti in output
Pacchetti trasferiti in input
Pacchetti trasferiti in output
$nas
$port
$clid
$addr
$priv
$type
$taskid
$elapsed
$bytesin
$bytesout
$paksin
$paksout
Non è necessario che lo script post-accounting ritorni alcun codice o risposta a NTTacPlus.
Esempio per uno script (inutile) post-accounting
Riga di comando configurata nella finestra delle opzioni:
cmd.exe /c c:\nttacplus2\external\foolacct.bat $user $type
Contenuto del file di script c:\nttacplus\external\foolacct.bat
@echo off
if not "%1"=="alberto" goto exit_foolacct_bat
if "%2"=="START" goto is_start
if "%2"=="STOP" goto is_stop
goto exit_foolacct_bat
:is_start
net send davide "Hey, Alberto is logging on!"
goto exit_foolacct_bat
:is_stop
net send davide "Hey, Alberto is logging off!"
:exit_foolacct_bat
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 82/95
Arrotondamento nel calcolo del consumo di tempo e traffico
Sezione
Parametro
Valore
Accounting
Session time rounding offset
Arrotondamento (in minuti) per eccesso che viene
applicato al tempo nell’accounting (definisce il
pacchetto “minimo” di tempo)
Session traffic rounding offset
Arrotondamento (in Kbytes) per eccesso che viene
applicato al traffico nell’accounting (definisce il
pacchetto “minimo” di traffico)
L'impostazione di time rounding offset fissa il valore minimo, in minuti, con il quale calcolare
l'arrotondamento per eccesso del tempo di connessione di una singola sessione. Ad esempio, se fisso questo
valore a 5 minuti, i tempi di connessione vengono calcolati di 5 minuti in 5 minuti: 7 minuti e 32 secondi di
connessione diventano 10 minuti, un'ora e 42 minuti diventa un'ora e 45, ecc.
L'opzione è utile per fissare uno "scatto" minimo di tempo che l'utente comunque consuma. Si applica agli
account che prevedono un monte ore di connessione.
Il procedimento equivalente si applica al conteggio del traffico generato in KBytes (somma del traffico in
entrata e di quello in uscita), dove è possibile fissare il "consumo" minimo in KBytes nell'impostazione di
traffic rounding offset.
Impostazione delle soglie di avvertimento
NTTacPlus è in grado di inviare agli utenti email personalizzate di notifica che avvertono della prossima
scadenza (scadenza temporale o esaurimento di crediti di tempo o traffico). È possibile impostare la soglia
minima al di sotto della quale l’account “entra in riserva”, facendo inviare a NTTacPlus un messaggio email
di avvertimento.
Sezione
Parametro
Valore
Accounting
Date expiration warning
Imposta il periodo di avvertimento precedente la
scadenza dell'account
Time expiration warning
Imposta la soglia di avvertimento (tempo) per
l’esaurirsi del credito
Traffic expiration warning
Imposta la soglia di avvertimento (traffico) per
l’esaurirsi del credito
Preparazione per l’accounting su ODBC
Sezione
Parametro
Valore
Accounting
Enable ODBC accounting
attiva l’utilizzo di un database ODBC per la
memorizzazione dei dati di accounting
Datasource name
Nome del datasource di sistema configurato per
l’accounting
Login Username
Account da usare per la connessione al datasource
Login Password
Password da usare per la connessione al datasource
Accounting table name
Nome della tabella che memorizza i dati sulle sessioni
utente
Log active users on table
Abilita il mantenimento di una tabella sincronizzata
con il contenuto della finestra degli utenti attivi
Automatic reconnect on
connection failure
Abilita il ripristino automatico della connessione al
datasource nel caso di perdita di connessione (ad es.
SQL Server via TCP/IP)
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 83/95
Per poter sfruttare in pieno le potenzialità di accounting è possibile utilizzare un database SQL ODBC per la
memorizzazione dei dati relativi alle sessioni. Occorre configurare un datasource ODBC che faccia
riferimento al database per l’accounting:
1.
2.
3.
4.
5.
6.
Dal Pannello di Controllo selezionare ODBC.
Selezionare la finestra per la creazione di System DSN (DSN di sistema)
Premere Add (Aggiungi) e selezionare il tipo di database (ad es. MS Access Driver)
Indicare un nome per il datasource (ad es. accessi) ed eventualmente una descrizione
Premere Select (Seleziona) e indicare il percorso/nome del database (ad es.
c:\NTTacPlus2\odbc\stat.mdb)
Premere OK, chiudere tutte le finestre ed il pannello di controllo. Il datasource è configurato.
Per abilitare in NTTacPlus l’output dei dati di accounting su ODBC, attivare la casella Enable ODBC
accounting output, inserendo opportuni valori nei campi Datasource name, username e password a seconda
di quanto impostato nel Pannello di Controllo/ODBC (ad. es “accessi”, “admin”, “”).
Inserire in Accounting table name il nome della tabella che riceverà informazioni di accounting.
Se si desidera mantenere aggiornata anche la tabella contenente le sessioni attive, barrare la casella Log
active users on table specificando anche il nome della tabella per le sessioni attive.
Il file di esempio stat.mdb fornito con NTTacPlus contiene le due tabelle per l’accounting e le sessioni
attive, chiamate rispettivamente Accounting e ActiveUsers.
L’ultima opzione (Automatic reconnect on connection failure) fa in modo che NTTacPlus, in caso di perdita
di connessione con il driver ODBC e il datasource, avvii automaticamente un thread che tenta la
riconnessione al datasource. Questa funzione è utile tipicamente con i database SQL remoti (come ad
esempio Oracle o SQL Server) che prevedono per esempio una connessione TCP/IP tra il driver ODBC e
l’host su cui è in esecuzione il motore del database.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 84/95
Esempi di elaborazione dei dati di Accounting
Questo paragrafo presenta alcuni esempi su come estrapolare i dati di accounting per diverse elaborazioni.
Presuppone l'utilizzo dell'output di accounting su di un database SQL/ODBC e riporta gli esempi come query
SQL.
Estrazione delle sessioni di un utente in un intervallo di date
Sessioni dell'utente ermenegildo tra 01-gen-99 e 10-gen-99:
SELECT * FROM Accounting
WHERE (Start Between #1/1/99# And #1/10/99#) AND (Username = "ermenegildo")
ORDER BY Start;
Conteggio delle sessioni di un utente in un intervallo di date
Numero di sessioni dell'utente ermenegildo tra 01-gen-99 e 10-gen-99:
SELECT Count(username) AS NumeroSessioni FROM Accounting
HAVING (Start Between #1/1/99# And #1/10/99#) AND (Username = "ermenegildo");
Conteggio del traffico e del tempo extra di un utente
Traffico e tempo extra dell'utente ermenegildo tra 01-feb-99 e 28-feb-99:
SELECT Sum(ExtraTime) AS SommaTime, Sum(ExtraKB) AS SommaKB FROM Accounting
HAVING (Username = "ermenegildo") AND (Start Between #2/1/99# And #2/28/99#);
Chi si è collegato a mezzanotte del capodanno '98-'99
Nessun commento aggiuntivo (!):
SELECT * FROM Accounting
WHERE (Start <= #12/31/98 11:59:00 PM#) AND (Stop > #1/1/99#)
ORDER BY Start;
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 85/95
Configurazione manuale
NTTacPlus memorizza tutti i parametri relativi alla propria configurazione in un file di testo chiamato
NTTACP.INI e situato nella stessa directory principale ove risiede il programma eseguibile.
Non è necessario intervenire direttamente sul file di configurazione, poiché tutti parametri sono impostabili
direttamente dalla finestra delle opzioni nella console remota.
La modifica manuale di alcuni parametri del file di configurazione, inoltre, richiede l’arresto e il riavvio di
NTTacPlus per rendere effettive le modifiche, mentre, utilizzando la console remota, ogni modifica alla
configurazione diviene immediatamente attiva alla chiusura della finestra delle opzioni.
Tuttavia, in alcuni casi è opportuno operare direttamente sul file di configurazione, ad esempio quando
modifiche incaute da console bloccano il funzionamento del server e anche tutti i tentativi successivi di
riaccedere al server da console.
Struttura del file di configurazione
Il file di configurazione NTTACP.INI ha la struttura dei file INI di Windows, ed è suddiviso in sezioni. La
seguente tabella illustra tutti i parametri del file, indicandone l’equivalente nella finestra delle opzioni e
segnalando se la modifica manuale del parametro richiede il riavvio del server.
Sezione
Parametro
Nella finestra opzioni equivale a (sezione/valore)
[Options]
LogPath
Logging / Log file directory
General / User file directory
General / Group file directory
Accounting / Accounting directory
General / Pre-authentication message file
General / Post-authentication message file
TACACS+ / Username prompt
TACACS+ / Password prompt
TACACS+ / Enable prompt
General / Notification E-Mail Address
General / SMTP Server
Secrets / Default secret key
General / Max login attempts
Accounting / Session time rounding offset
Accounting / Session traffic rounding offset
(vedi tabella dedicata più avanti)
TACACS+ / TACACS+ TCP Port
Accounting / Date expiration warning period
General / First day of week
General / Server source e-mail
Accounting / Time expiration warning period
Accounting / Traffic expiration warning period
General / Periodic check interval
RADIUS / RADIUS Authentication port
RADIUS / RADIUS Accounting port
UserPatha
GroupPath
AcctPath
PreAuthMsgFile
PostAuthMsgFile
UsernamePrompt
PasswordPrompt
EnablePrompt
Email
SMTP
Key
MaxLoginAttempts
TimeRoundUp
KbytesRoundUp
Debug
TacacsPort
WarningPeriod
FirstDayOfWeek
SourceEMail
WarningTime
WarningKBytes
UserCheckInterval
RADIUSAuthPort
RADIUSAcctPort
Master Soft S.n.c.
NTTacPlus Access Control Server
Richiede
riavvio
sì
sì
sì
sì
no
no
no
no
no
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
sì
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 86/95
Flags
(vedi tabella dedicata più avanti)
Accounting / post accounting script
usato internamente
sì
no
--
Registration / Registration name
Registration / Registration key 1
Registration / Registration key 2
sì
sì
sì
Accounting / ODBC Datasource name
Accounting / Accounting table name
Accounting / Login Username
Accounting / Login Password
Accounting / online users table
General / User database / using this datasource
General / DB Username
General / DB Password
sì
sì
sì
sì
sì
sì
sì
sì
Messages / Account disabled
Messages / Too many logins
Messages / Invalid login time
Messages / Login time-up
Messages / Login Kbytes-up
Messages / Bad login user/pwd
Messages / Bad login NAS port
Messages / Bad login NAS
Messages / Account expiring
Messages / Account expired
Messages / Quota time-up
Messages / Account not effective
no
no
no
no
no
no
no
no
no
no
no
no
Backup / Primary server port
Backup / Backup interval
Backup / Primary server name or address
Backup / Primary login username
Backup / Primary login password
sì
sì
sì
sì
sì
Synch / Username for RSHELL
Synch / Command to issue with RSHELL
no
no
NASResynchPorts
Synch / List of NAS to query
Synch / List of valid interfaces
no
no
[Holiday]
(dd-mm list)
elenco festività come nella sezione Holiday
no
[Kill]
(interface list)
elenco interfacce/comandi come nella sezione Kill
no
[Keys]
(nas list)
elenco ip/chiavi come nella sezione Secrets
no
AccountingScript
LSCfgChkPt
[Registration]
Name
Key1
Key2
[ODBC]
Datasource
AccountingTable
LoginUser
LoginPasswd
OnlineTable
UserDBDatasource
UserDBLoginUser
UserDBLoginPasswd
[Messages]
AccountDisabled
TooManyLogins
InvalidLoginTime
LoginTimeUp
LoginKBytesUp
BadLoginPassword
BadLoginPort
BadLoginNAS
AccountExpiring
AccountExpired
QuotaTimeUp
AccountNotEffective
[Backup]
PrimaryTacascPort
BackupInterval
PrimaryTacacsServer
TacUser
TacPass
[RSH]
Username
AccountingCommand
[Resynch]
Master Soft S.n.c.
NASResynchList
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 87/95
I parametri speciali Flags e Debug
Tutte le opzioni di NTTacPlus che sono configurabili barrando una casella con un segno di spunta vengono
memorizzate nel file di configurazione sotto forma di valori numerici (bitmapped) in due parametri della
sezione [Options]: Debug (per quanto riguarda le opzioni di dettaglio dell’activity event log) e Flags (per
tutte le altre opzioni). La modifica di uno qualsiasi di questi parametri richiede il riavvio del server.
Valori di Flags
Opzione equivalente della finestra di configurazione
Valore (esadecimale)
General / Resolve names (DNS)
Secrets / Always encrypt
Accounting / Enable accounting text output
Accounting / Enable ODBC accounting
TACACS+ / Ignore multiple STOP records
Backup / Remove local accounts before backup
Backup / Enable this server for backup
General / Use username for maxlogins check
General / Email admin on unknown users
General / Enable <default> user
General / Create user profile from <default>
Accounting / Log active users on table <nn>
Accounting / Per-user accounting logging
Logging / Enable logging to file
Accounting / Automatic reconnect on connection failure
(valore usato internamente)
Accounting / Log unknown user accounting
Accounting / Send unknown users to the active window
Backup / Forward accounting to primary server
Secrets / Restrict NAS to configured IP addresses only
Synch / Perform synchronization during active users check
Logging / Enable logging to screen
Synch / Perform synchronization on maxlogins collision detected
General / Enable ODBC user database
Accounting / Run the post accounting script
General / Serialize SQL queries
RADIUS / Use Session-Timeout for disconnection
0x00000001
0x00000002
0x00000004
0x00000008
0x00000010
0x00000020
0x00000040
0x00000080
0x00000100
0x00000200
0x00000400
0x00000800
0x00001000
0x00002000
0x00004000
0x00008000
0x00010000
0x00020000
0x00040000
0x00080000
0x00100000
0x00200000
0x00400000
0x00800000
0x01000000
0x02000000
0x04000000
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 88/95
Valori di Debug
Opzione equivalente della finestra di configurazione (logging)
Valore (esadecimale)
Extended session
Session thread execution
Authorization session
Authentication session
Accounting session
Password checking
Backup events
Packet dumping
Port cleaning commands
User account charging
SMTP connections
Max logins check
0x00000002
0x00000004
0x00000008
0x00000010
0x00000020
0x00000040
0x00000080
0x00000100
0x00001000
0x00002000
0x00004000
0x00008000
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 89/95
Attributi su NAS Cisco
Elenco degli attributi supportati dai NAS Cisco
Questa sezione riporta l'elenco degli attributi per l'autorizzazione, come definito nelle specifiche del
protocollo TACACS+.
Attributo
Descrizione
acl
Numero ASCII che rappresenta una access-list di connessione. Usato solo
per il servizio Exec.
inacl
Identificatore ASCII per una access-list di input su di un'interfaccia.
outacl
Identificatore ASCII per una access-list di output su di un'interfaccia.
zonelist
Un valore numerico di zonelist (applicabile solo per AppleTalk).
addr
Un indirizzo di rete.
addr-pool
L'identificatore di un pool di indirizzi dal quale il NAS dovrebbe
assegnare un indirizzo.
routing
Booleano. Indica se l'informazione di routing debba essere propagata e
accettata da questa interfaccia.
route
Indica un percorso di routing da applicare a questa interfaccia. I valori
devono essere nel formato "<indirizzo_dest> <maschera>
[<indirizzo_routing>]". Se <indirizzo_routing> non è
specificato, il percorso risultante dovrebbe passare dal peer richiedente.
timeout
Un timer assoluto per la connessione (in minuti). Un valore pari a zero
indica nessun timeout. Non applicabile ai servizi PPP.
idletime
Un timeout di inattività per la connessione (in minuti). Un valore pari a
zero indica nessun timeout.
autocmd
Un comando da eseguire automaticamente. Valido solo su servizio Exec.
noescape
Booleano. Impedisce all'utente di usare un carattere di escape. Valido solo
per il servizio Exec.
nohangup
Booleano. Non disconnette dopo un comando automatico. Valido solo per
il servizio Exec.
priv-lvl
Livello di privilegio da assegnare.
remote_user
ID dell'utente remoto (valido se l'autenticazione è avvenuta con RCMD).
remote_host
Host remoto (valido solo se l'autenticazione è avvenuta con RCMD).
callback-dialstring
Indica che dovrebbe venire eseguito un callback. Il valore è NULL,
oppure una stringa di dial. Un valore NULL indica che il servizio può
scegliere di recuperare la stringa di dial altrove.
callback-line
Il numero di linea da usare per il callback.
callback-rotary
Il numero di rotary da usare per il callback.
nocallback-verify
L'autenticazione non è richiesta dopo il callback.
Per gli attributi di tipo booleano, i valori validi sono "true" o "false". Un valore NULL indica un
attributo con una stringa di lunghezza zero.
Una descrizione più dettagliata degli attributi è disponibile online sul sito CCO di Cisco all’indirizzo
http://www.cisco.com/univercd/cc/td/doc/product/software/ios120/12cgcr/secur_c/scprt6/index.htm
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 90/95
Supporto Tecnico/Registrazione
Documentazione da allegare alle comunicazioni
Per aiutarci a fornire rapidamente soluzioni ai vostri problemi o alle vostre domande, vi invitiamo a preparare
le seguenti informazioni da includere in ogni segnalazione specifica che ci inviate:
1.
Tipo e numero di versione del sistema operativo su cui gira NTTacPlus server.
2.
Marca, modello e versione del sistema operativo del NAS (Network Access Server).
3.
Configurazione relativa ai protocolli RADIUS o TACACS+ nel NAS.
4.
File di configurazione di NTTacPlus (NTTACP.INI) ed eventualmente profili utente/gruppo interessati
5.
File di log generati da NTTacPlus (con le informazioni di debug più dettagliate possibili) che illustrino
il problema in oggetto.
6.
Numero di versione e build (potete recuperarli dalla finestra About...)
7.
Il nome e la chiave di registrazione che vi è stata fornita da Master Soft per l’attivazione del prodotto.
Registrazione del prodotto
Per ottenere la licenza d'uso e le chiavi che attivano il prodotto in modalità registrata,
LEGGERE ATTENTAMENTE E COMPILARE CON CURA IN OGNI SUA PARTE il modulo
d'ordine allegato (ORDINE.DOC), ed inviarlo via fax o come allegato di posta elettronica ai seguenti
indirizzi:

Ordine via FAX:
A: Master Soft S.n.c.
Supporto Software
Oggetto: Ordine NTTacPlus
Fax: +39-(0)321-465939

Ordine via E-mail:
To: [email protected]
Subject: Ordine NTTacPlus
Importante!
L'acquisto di una copia del prodotto garantisce il diritto alla licenza per l'uso di due copie installabili su due
macchine diverse (consentendo l'attivazione di un server primario ed uno di backup).
A seguito dell’ordine e della richiesta di registrazione, Master Soft vi fornirà due chiavi di attivazione per le
due rispettive copie del software.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 91/95
Contratto e Licenza d'uso
Master Soft S.n.c. concede in licenza all'utente finale il presente software NTTacPlus (il "Software") solo a
condizione che si accettino tutti i termini contenuti in questo contratto per la licenza d'uso prima
dell'installazione del software. Leggere attentamente tutti i termini del contratto. Installando, copiando o
usando in qualunque modo il Software, l'utente accetta di essere vincolato dalle condizioni del presente
contratto. Se l'utente non intende aderire alle condizioni del presente contratto, è tenuto a non installare
alcuna copia del Software e a distruggere le copie in suo possesso.
Licenza d'uso
Il Software è tutelato dalle leggi e dai trattati internazionali sul copyright, oltre che dalle leggi e trattati sulla
proprietà individuale.
Il Software che accompagna questa licenza è di proprietà della Master Soft S.n.c. e viene concesso in licenza,
non venduto. Mentre Master Soft S.n.c. mantiene la proprietà del Software, per un periodo di tempo limitato
l'utente potrà avere diritti limitati per l'uso del Software dopo aver accettato i termini di questa licenza.
Il presente contratto concede all'utente i seguenti diritti: usare due copie del software su due distinti computer
(una copia come server principale ed una copia come server di backup); creare una copia del Software per
l'archiviazione.
Non è possibile: copiare la documentazione che accompagna il Software; noleggiare o cedere con qualunque
forma di leasing qualsiasi parte del Software, decompilare, disassemblare, effettuare reverse engineering,
modificare, tradurre o compiere qualsiasi tentativo di risalire al codice sorgente del Software, o creare
applicazioni derivate dal Software, con l'eccezione di quanto espressamente consentito dalla legge in vigore.
Garanzia e responsabilità
Master Soft S.n.c. garantisce che il Software funzionerà, in conformità con quanto affermato nel materiale
scritto di accompagnamento, per un periodo di sessanta (60) giorni dalla data di acquisto e registrazione.
L'utente potrà godere di altri eventuali diritti che variano da paese a paese.
Nella massima misura consentita dalla legge Master Soft S.n.c. non riconosce relativamente al Software
alcuna garanzia, espressa o implicita, comprese la garanzia di commerciabilità ed idoneità ad un fine
particolare. Master Soft S.n.c. inoltre in nessun caso sarà responsabile per danni accidentali derivanti dall'uso
o dall'incapacità di fare uso del Software, anche nel caso in cui Master Soft S.n.c. sia stata avvertita della
possibilità di tali danni.
Termine del contratto
Master Soft S.n.c. può interrompere il diritto all'uso del Software dietro avviso all'utente finale, e l'utente
finale può interrompere questa licenza d'uso in qualunque momento distruggendo o cancellando qualunque
copia del Software in suo possesso. All'interruzione della licenza d'uso l'utente finale è tenuto a terminare
l'uso del Software e a rimuovere il Software dal proprio sistema. Master Soft S.n.c. si riserva il diritto di
modificare in qualunque momento e senza preavviso prezzi, caratteristiche, specifiche, funzioni, condizioni
di licenza, disponibilità o qualsiasi altra caratteristica del Software.
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0
NTTacPlus – Installazione e Guida all’uso
pag. 92/95
Come contattarci
Per suggerimenti, consigli, segnalazione problemi, informazioni commerciali, di acquisto o di altro genere, lo
staff di supporto di Master Soft S.n.c. è raggiungibile al seguente indirizzo:
Master Soft S.n.c.
Piazzale Lombardia, 4
28100 NOVARA (ITALY)
Tel.
Fax
+39 – 0321 – 466 889
+39 – 0321 – 465 939
Lo staff di supporto Master Soft è contattabile per e-mail ai seguenti indirizzi:
Informazioni Commerciali:
[email protected]
Supporto Tecnico:
[email protected]
Staff di MSoft:
[email protected]
Novità, prezzi, informazioni e aggiornamenti sul software NTTacPlus e sugli altri software prodotti da
Master Soft sono disponibili online ai seguenti indirizzi web:
MSoft Software Site:
http://software.msoft.it/
MSoft Beta Software Site:
http://beta.software.msoft.it/
NTTacPlus Site:
http://www.nttacplus.com/
NTMonitor Site:
http://www.ntmonitor.com/
NTBatch Site :
http://www.ntbatch.com/
Master Soft S.n.c.
NTTacPlus Access Control Server
ver. 2.0