<!DOCTYPE article PUBLIC "-//OASIS//DTD DocBook V3.1//EN">

<article>

<!-- Header -->

 <artheader>

  <title>Authentication Gateway HOWTO</title>

  <author>
     <firstname>Nathan</firstname>
     <surname>Zorn</surname>
     <affiliation>
        <address>
           <email>zornnh@musc.edu</email>
        </address>
     </affiliation>
  </author>

  <othercredit lang="ja">
    <firstname>yomoyomo</firstname>
    <surname></surname>
    <contrib>日本語訳</contrib>
    <affiliation>
      <address>ymgrtq@ma.neweb.ne.jp</address>
    </affiliation>
</othercredit>

   <revhistory>

   <revision>
       <revnumber>0.03</revnumber>
       <date>2001-12-06</date>
       <authorinitials>nhz</authorinitials>
   </revision>
   
   <revision>
       <revnumber>0.02</revnumber>
       <date>2001-09-28</date>
       <authorinitials>KET</authorinitials>
   </revision>

   <revision>
         <revnumber>0.01</revnumber>
         <date>2001-09-06</date>
         <authorinitials>nhz</authorinitials>
   </revision>

   
   <!-- Additional (*earlier*) revision histories go here -->
   </revhistory>

  <abstract>
    <indexterm>
      <primary></primary>
    </indexterm>

    <para>
    <!--
    There are many concerns with the security of wireless networks and
    public access areas such as libraries or dormitories. These
    concerns are not met with current security implementations. A work around
    has been proposed by using an authentication gateway. This gateway
    addresses the security concerns by forcing the user to authenticate 
    in order to use the network.
    -->
    無線ネットワークや、図書館や寮などの公開アクセスエリアにおける
    セキュリティには、多くの懸念事項があります。そうした懸念事項は、
    現行のセキュリティ実装では解決できません。その回避策として、
    認証ゲートウェイを利用する方法が推奨されてきました。このゲートウェイは、
    ユーザがネットワークを利用する際に認証を強制することで、
    セキュリティに関する懸念事項に取り組むものです。
    </para>
  </abstract>

 </artheader>


<!-- Section1: intro -->

 <sect1 id="intro">
   <title><!--Introduction-->はじめに</title>

   <indexterm>
    <primary>security!introduction</primary>
   </indexterm>

  
  <para>
  <!--
  With wireless networks and public acces areas it is very easy for 
  an unauthorized user to gain access. Unauthorized users can look 
  for a signal and grab connection information from the signal. 
  Unauthorized users can plug their machine into a public terminal and
  gain access to the network. Security has been put in place such as 
  WEP, but this security can be subverted with tools like AirSnort. 
  One approach to solving these problems is to not rely on the wireless 
  security features , and instead to place an authentication gateway in 
  front of the wireless network or public access area and force users 
  to authenticate against it before using the network. This HOWTO describes 
  how to set up this gateway with Linux.
  -->
  無線ネットワークや公開アクセスエリアに、許可されてないユーザがアクセス
  するのはとても簡単です。許可されてないユーザでも、通信を探り、
  その通信から接続情報を横取りできます。許可されてないユーザが、
  マシンを公開ターミナルにつなぎ、ネットワークにアクセスすることが
  可能なのです。セキュリティが WEP などで整備されてきていますが、
  こうしたものによるセキュリティは、AirSnort などのツールによって
  破られる可能性があります。以上の問題を解決するアプローチの一つとして、
  無線のセキュリティ機能に頼らず、代わりに無線ネットワークや公開
  アクセスエリアの前面に認証ゲートウェイを設置し、ユーザがネットワーク
  を利用する前に、そのゲートウェイに認証を受けることを強制するというのが
  あります。この HOWTO は、Linux でこのゲートウェイを構築する方法を説明
  するものです。
  </para>

<!-- Section2: copyright -->

  <sect2 id="copyright">
   <title><!-- Copyright Information -->著作権情報</title>

   <para>
    <!--
    This document is copyrighted (c) 2001 Nathan Zorn. Permission is granted 
    to copy, distribute and/or modify this document under the terms of the 
    GNU Free Documentation License, Version 1.1 or any later version published 
    by the Free Software Foundation; with no Invariant Sections, with no 
    Front-Cover Texts, and with no Back-Cover Texts. A copy of the license 
    is available at http://www.gnu.org/copyleft/fdl.html
    -->
    This document is copyrighted (c) 2001 Nathan Zorn. この文書の複製、
    配布、修正は、Free Software Foundation により公開されている、
    GNU Free Documentation License (以下 GFDL) バージョン 1.1、
    もしくはそれ以降のバージョンの元で許可されます。
    ただし、この文書には GFDL で規定されている「変更不可部分」は
    ありませんし、また表紙テキストや裏表紙テキストなどもありません。
    このライセンスのコピーは、http://www.gnu.org/copyleft/fdl.html
    で入手可能です。
   </para>

   <para>
    <!--
    If you have any questions, please contact 
    <email>zornnh@musc.edu</email>
    -->
    何か質問があれば、<email>zornnh@musc.edu</email> に連絡してください。
   </para>
  </sect2>

<!-- Section2: disclaimer -->

  <sect2 id="disclaimer">
   <title><!-- Disclaimer -->免責</title>

   <para>
    <!--
    No liability for the contents of this documents can be accepted.
    Use the concepts, examples and other content at your own risk.
    As this is a new edition of this document, there may be errors
    and inaccuracies, that may of course be damaging to your system.
    Proceed with caution, and although this is highly unlikely,
    the author(s) do not take any responsibility for that.
    -->
    この文書の内容に関しては、何の責任も持てません。ご自身の責任の元で、
    この文書のコンセプト、例、そしてその他の内容を利用してください。
    これは本文書の新版ですので、誤りや不正確な記述を含んでいる
    かもしれませんし、それらの誤りや不正確な記述によって、
    あなたのシステムに被害を与える可能性もまた当然ながらあります。
    慎重に読み進んでください。実際に何らかの被害を生ずるといった
    可能性はほとんど無いはずですが、たとえそうしたことが起きて
    しまったとしても、著者(達)は、それについて何の責任も負いません。
   </para>

   <para>
    <!--
    All copyrights are held by their by their respective owners, unless
    specifically noted otherwise. Use of a term in this document
    should not be regarded as affecting the validity of any trademark
    or service mark.
    -->
    特に記述がない限り、著作権はそれぞれの保有者に帰するものとします。
    またこの文書中で使用される用語は、各商標の範囲に抵触しないものとします。
   </para>

   <para>
    <!--
    Naming of particular products or brands should not be seen 
    as endorsements.
    -->
    特定の商品名やブランド名を挙げた場合でも、
    それらを推奨するものではありません。 
   </para>

   <para>
    <!--
    You are strongly recommended to take a backup of your system 
    before major installation and backups at regular intervals.
    -->
    主要なインストールを行う前にご利用のシステムのバックアップを取り、
    そしてバックアップを定期的に行うことを強くお勧めします。
   </para>
  </sect2>

<!-- Section2: newversions-->

  <sect2 id="newversions">
   <title><!-- New Versions-->最新版</title>

    <indexterm>
     <primary>(your index root)!news on</primary>
    </indexterm>

   <para>
    <!--
    This is the initial release.
    -->
    これは初期公開版です。
   </para>

   <para>
    <!--
    The newest release of this document can be found at <ulink url="http://www.itlab.musc.
edu/~nathan/authentication_gateway/">http://www.itlab.musc.edu/~nathan/authentication_gate
way/</ulink>.
    Related HOWTOs can be found at the 
    <ulink url="http://www.linuxdoc.org/">Linux Documentation
    Project</ulink> homepage.
    -->
    この文書の最新版は、
    <ulink 
url="http://www.itlab.musc.edu/~nathan/authentication_gateway/">http://www.itlab.musc.edu/
~nathan/authentication_gateway/</ulink>
    にあります。関連する HOWTO 文書は、
    <ulink url="http://www.linuxdoc.org/">Linux Documentation Project</ulink>
    ホームページで見つけられます。
   </para>
   </sect2>
   
<!-- Section2: credits -->

  <sect2 id="credits">
   <title><!-- Credits -->クレジット</title>
   <para>Jamin W. Collins</para>
   <para>Kristin E Thomas</para>
  </sect2>

   
<!-- Section2: feedback -->

  <sect2 id="feedback">
   <title><!-- Feedback -->フィードバック</title>

   <para>
    <!--
    Feedback is most certainly welcome for this document. Without
    your submissions and input, this document wouldn't exist. Please
    send your additions, comments and criticisms to the following
    email address : <email>zornnh@musc.edu</email>.
    -->
    この文書に関するフィードバックを、もちろん歓迎します。
    あなたがたの提案や意見がなければ、この文書は存在しなかったでしょう。
    追加、批評、そして批判を以下の電子メールアドレスまでお送りください:
    <email>zornnh@musc.edu</email>
   </para>
   </sect2>

 </sect1>

<!-- Section1: intro: END -->


<!-- Section1: services  -->

 <sect1 id="services">
  <title><!-- What is needed -->必要なもの</title>

  <para>
  <!--
  This section describes what is needed for the authentication gateway.
  -->
  このセクションでは、認証ゲートウェイに必要なものについて記述します。
  </para>

    

  <sect2 id="netfilter">
   <title>Netfilter</title>

   
   <para>
  <!--
   The authentication gateway uses Netfilter and iptables to manage the 
   firewall. Please see the 
   <ulink 
url="http://netfilter.samba.org/unreliable-guides/packet-filtering-HOWTO/index.html">Netfi
lter HOWTO</ulink>.
  -->
  認証ゲートウェイは、ファイヤウォールを管理するのに、Netfilter と
  iptables を利用します。
  <ulink 
url="http://netfilter.samba.org/unreliable-guides/packet-filtering-HOWTO/index.html">Netfi
lter HOWTO</ulink>
  を参照ください。
   </para>

   
  </sect2>



  <sect2 id="pamiptables">
   <title><!-- PAM for Netfilter rules. -->Netfilter ルール用 PAM</title>

   <para>
   <!--
   This is a pluggable authentication module (PAM) written by Nathan Zorn that can be 
found 
   at <ulink 
url="http://www.itlab.musc.edu/~nathan/pam_iptables/">http://www.itlab.musc.edu/~nathan/pa
m_iptables</ulink>.
   -->
   これは Nathan Zorn によって書かれたプラグ可能認証モジュール(PAM)で、
   <ulink 
url="http://www.itlab.musc.edu/~nathan/pam_iptables/">http://www.itlab.musc.edu/~nathan/pa
m_iptables</ulink>
   から入手できます。
   </para>

   
  </sect2>


  <sect2 id="dhcpd">
   <title><!-- DHCP Server -->DHCP サーバ</title>

   <para>
    <!--
    The authentication gateway will act as the dynamic host
    configuration protocol (DHCP) server for the public network. It
    only serves those requesting DHCP services on the public
    network. I used the <ulink url="http://www.isc.org/products/DHCP/">ISC DHCP Server
    </ulink>. 
    -->
    認証ゲートウェイは、公開ネットワークに対して、動的ホスト設定プロトコル
    (DHCP)サーバの役割を果たします。それは公開ネットワークからの
    DHCP サービス要求にのみ応答します。私は
    <ulink url="http://www.isc.org/products/DHCP/">ISC DHCP Server</ulink>
    を使用しました。
   </para>

   
  </sect2>

  <sect2 id="authentication">
    <title><!-- Authentication mechanism -->認証のメカニズム</title>

    <para><!-- The gateway can use any means of PAM authentication.
    The authentication mechanism the Medical University of South
    Carolina uses is LDAP. Since LDAP was used for authentication,
    the pam modules on the gateway box were set up to use
    LDAP. More information can be found at <ulink
    url="http://www.padl.com/pam_ldap.html">http://www.padl.com/pam_ldap.html</ulink>.
    PAM allows you to use many means of authentication. Please see
    the documentation for the PAM module you would like to use. For
    more information on other methods, see <ulink 
url="http://www.kernel.org/pub/linux/libs/pam/modules.html">pam modules</ulink>. 
    -->
    ゲートウェイは、PAM の認証方法ならどれでも利用できます。
    サウスカロライナ医大が使用している認証機構は LDAP です。
    LDAP を認証目的に使用しますので、ゲートウェイ上の PAM
    モジュールは、LDAP を使用するように設定されました。
    もっと多くの情報を、
    <ulink 
url="http://www.padl.com/pam_ldap.html">http://www.padl.com/pam_ldap.html</ulink>
    で見つけることができます。PAM により、多くの認証手段を利用
    できるようになります。他の手法についての情報をもっと知りたい場合は、
    <ulink url="http://www.kernel.org/pub/linux/libs/pam/modules.html">PAM モジュールにつ
いての文章</ulink>
    を参照してください。
    </para>
  </sect2>

  <sect2 id="dnsserver">
    <title><!-- DNS Server -->DNS サーバ</title>
    
    <para>
    <!--
    The gateway box also serves as a DNS server for the public
    network. I installed <ulink
    url="http://www.isc.org/products/BIND/">Bind</ulink>, and set it
    up as a caching nameserver. The rpm package
    caching-namserver was also used. This package came with Red Hat.
    -->
    ゲートウェイは、公開ネットワークに対する DNS サーバの機能も果たします。
    私は <ulink url="http://www.isc.org/products/BIND/">Bind</ulink>
    をインストールし、それをキャッシングネームサーバとして使用しています。
    キャッシングサーバ構築には Red Hat に同梱されている caching-namserver
    という RPM パッケージも利用可能です。
 </para>
 </sect2>
 </sect1>




<sect1 id="setup">
  <title><!-- Setting up the Gateway Services -->ゲートウェイサービスの設定</title>

    <para>
    <!--
    This section describes how to setup each piece of 
    the authentication gateway. The examples used are for a private 
    public network in the 10.0.1.0 subnet. eth0 is the interface on 
    the box that is connected to the internal network. eth1 is the 
    interface connected to the public network. The IP address used
    for this interface is 10.0.1.1. These settings can be 
    changed to fit the network you are using. Red Hat 7.1 was used for 
    the gateway box, so a lot of the examples are specific to Red Hat.
    -->
    このセクションでは、認証ゲートウェイの各部分の設定方法を説明します。
    ここで使用される例は、サブネットが 10.0.1.0 のプライベート
    公開ネットワークです。eth0 は内部ネットワークに接続される、
    ゲートウェイのインタフェースです。eth1 が公開ネットワークに接続
    されるインタフェースです。このインタフェース側の IP アドレスは
    10.0.1.1 です。これらの設定は、あなたが利用しているネットワーク
    に合うように変更可能です。ゲートウェイには Red Hat 7.1
    を利用したので、多くの例が Red Hat に限定されます。
    </para>

  

  <sect2 id="netfiltersetup">
   <title><!-- Netfilter Setup -->Netfilter の設定</title>

    
   <para>
   <!--
   To setup netfilter the kernel must be recompiled to include netfilter
   support. Please see the <ulink 
url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Kernel-HOWTO</ulink> 
   for more information on configuring and compiling your kernel.
   -->
   netfilter を設定するためには、netfilter サポートを加えてカーネル
   を再コンパイルしなければなりません。カーネルの設定とコンパイル
   についてもっと情報が必要なら、
   <ulink url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Kernel-HOWTO</ulink>
   を参照してください。
   </para>
   <para>
   <!--
   This is what my kernel configuration looked like.
   -->
   私のカーネル設定は、以下のような感じです。
   <screen>
   #
   # Networking options
   #
   CONFIG_PACKET=y
   # CONFIG_PACKET_MMAP is not set
   # CONFIG_NETLINK is not set
   CONFIG_NETFILTER=y
   CONFIG_NETFILTER_DEBUG=y
   CONFIG_FILTER=y
   CONFIG_UNIX=y
   CONFIG_INET=y
   CONFIG_IP_MULTICAST=y
   # CONFIG_IP_ADVANCED_ROUTER is not set
   # CONFIG_IP_PNP is not set
   # CONFIG_NET_IPIP is not set
   # CONFIG_NET_IPGRE is not set
   # CONFIG_IP_MROUTE is not set
   # CONFIG_INET_ECN is not set
   # CONFIG_SYN_COOKIES is not set


   #   IP: Netfilter Configuration
   #   
   CONFIG_IP_NF_CONNTRACK=y
   CONFIG_IP_NF_FTP=y
   CONFIG_IP_NF_IPTABLES=y
   CONFIG_IP_NF_MATCH_LIMIT=y
   CONFIG_IP_NF_MATCH_MAC=y
   CONFIG_IP_NF_MATCH_MARK=y
   CONFIG_IP_NF_MATCH_MULTIPORT=y
   CONFIG_IP_NF_MATCH_TOS=y
   CONFIG_IP_NF_MATCH_TCPMSS=y
   CONFIG_IP_NF_MATCH_STATE=y
   CONFIG_IP_NF_MATCH_UNCLEAN=y
   CONFIG_IP_NF_MATCH_OWNER=y
   CONFIG_IP_NF_FILTER=y
   CONFIG_IP_NF_TARGET_REJECT=y
   CONFIG_IP_NF_TARGET_MIRROR=y
   CONFIG_IP_NF_NAT=y
   CONFIG_IP_NF_NAT_NEEDED=y
   CONFIG_IP_NF_TARGET_MASQUERADE=y
   CONFIG_IP_NF_TARGET_REDIRECT=y
   CONFIG_IP_NF_NAT_FTP=y
   CONFIG_IP_NF_MANGLE=y
   CONFIG_IP_NF_TARGET_TOS=y
   CONFIG_IP_NF_TARGET_MARK=y
   CONFIG_IP_NF_TARGET_LOG=y
   CONFIG_IP_NF_TARGET_TCPMSS=y
   </screen>
   </para>
   <para>
   <!--
   iptables needs to be installed. To install iptables either use
   a package from your distribution or install from source. 
   Once the above options were compiled in the new kernel and iptables
   was installed, I set the following default firewall rules.
   -->
   iptables をインストールする必要があります。iptables
   をインストールするには、ご利用のディストリビューションに
   同梱されているパッケージを利用するか、ソースからインストール
   してください。上記のオプションを設定し新しいカーネルを作成して
   iptables をインストールした後に、私は以下のように
   デフォルトのファイヤウォールルールを設定しました。
   </para>

   <screen>
   iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   iptables -A INPUT -i eth0 -m state --state NEW, INVALID -j DROP
   iptables -A FORWARD -i eth0 -m state --state NEW, INVALID -j DROP
   iptables -I FORWARD -o eth0 -j DROP
   iptables -I FORWARD -s 10.0.1.0/24 -d 10.0.1.1 -j ACCEPT
   </screen>

   <para>
   <!--
   The above commands can also be put in an initscript to start up when
   the server restarts.
   To make sure the rules have been added issue the following
   commands:
   -->
   上記のコマンドは、サーバが再起動する際に起動するように、initscript
   の中に置くこともできます。ルールが追加されたことを確かめるために、
   以下のコマンドを実行してください。
   </para>

   <screen>
   iptables -v -t nat -L
   iptables -v -t filter -L
   </screen>
   
   <para>
   <!--
   To save these rules I used Red Hat's init scripts.
   -->
   以上のルールを保存するため、私は Red Hat の init
   スクリプトを利用しました。
   </para>
 
   <screen>
   /etc/init.d/iptables save
   /etc/init.d/iptables restart
   </screen>

   <para>
   <!--
   Once the rules are in place turn on IP forwarding by
   executing this command.
   -->
   ルールが適切に設定されたら、以下のコマンドを実行して、
   IP フォワーディングを有効にしてください。
   </para>

   <screen>
   echo 1 > /proc/sys/net/ipv4/ip_forward
   </screen>

   <para>
   <!--
   To make sure ip forwarding is enabled when the machine restarts
   add the following line to <filename>/etc/sysctl.conf</filename>.
   -->
   マシンの再起動時に IP フォワーディングが確実に有効になるように、
   以下の行を <filename>/etc/sysctl.conf</filename> に追加してください。
   </para>

   <screen>
   net.ipv4.ip_forward = 1
   </screen>

   <para>
   <!--
   Now the gateway box will be able to do network address translation
   (NAT), but it will drop all forwarding packets except those
   coming from within the public network and bound for the gateway.
   -->
   これでゲートウェイはネットワークアドレス変換(NAT)を行えるように
   なりますが、公開ネットワークの中から送信されたゲートウェイ宛ての
   パケット以外は、フォワーディングパケットをすべて破棄します。
   </para>   
   
  </sect2>

  <sect2 id="pamiptablessetup">
   <title><!-- PAM iptables Module -->PAM iptables モジュール</title>

   <para>
   <!--
   This module is a PAM session module that inserts the firewall rule
   needed to allow forwarding for the authenticated client. To set it
   up simply get the <ulink
   url="ftp://ftp.itlab.musc.edu/pub/pam_iptables.tar.gz">source</ulink>
   and compile it by running the following commands.
   -->
   このモジュールは、認証されたクライアントのフォワーディングを許可
   するのに必要な、ファイヤウォールルールを挿入する PAM セッション
   モジュールです。これを簡単にセットアップするには、単に
   <ulink url="ftp://ftp.itlab.musc.edu/pub/pam_iptables.tar.gz">ソース</ulink>
   を入手し、以下のコマンドを作動させて、コンパイルを行ってください。
   </para>

   <screen>
   gcc -fPIC -c pam_iptables.c
   ld -x --shared -o pam_iptables.so pam_iptables.o
   </screen>

   <para>
   <!--
   You should now have two binaries called
   <filename>pam_iptables.so</filename> and <filename>pam_iptables.o</filename>.
   Copy <filename>pam_iptables.so</filename> to
   <filename>/lib/security/pam_iptables.so</filename>.
   -->
   これで <filename>pam_iptables.so</filename> と
   <filename>pam_iptables.o</filename> という名前の二つのバイナリ
   ができるはずです。<filename>pam_iptables.so</filename> を
   <filename>/lib/security/pam_iptables.so</filename> にコピーしてください。
   </para>

   <screen>
   cp pam_iptables.so /lib/security/pam_iptables.so
   </screen>

   <para>
   <!--
   The chosen authentication client for the gateway was ssh so we added the
   following line to <filename>/etc/pam.d/sshd</filename>.
   -->
   ゲートウェイに選択された認証クライアントは SSH だったので、
   以下の行を <filename>/etc/pam.d/sshd</filename> に追加しました。
   </para>

   <screen>
   session    required     /lib/security/pam_iptables.so 
   </screen>

   <para>
   <!--
   Now, when a user logs in with ssh, the firewall rule will be added.
   -->
   これでユーザがSSHでログインすれば、ファイヤウォールルールが追加される
   ようになります。
   </para>

   <para>
   <!--
   The default interface for pam_iptables is eth0. This default can be 
   changed by adding the interface parameter.
   -->
   pam_iptables のデフォルトインタフェースは eth0 です。このデフォルト設定は、
   インタフェースパラメータを追加することで変更可能です。
   </para>
 
   <screen>
   session required /lib/security/pam_iptables.so interface=eth1
   </screen>

   <para>
   <!--
   This is only needed if the interface name that connects to the external
   network is not eth0.
   -->
   この設定は、外部ネットワークに接続するインタフェース名が eth0
   でない場合のみ必要になります。
   </para>

   <para>
   <!--
   To test if the pam_iptables module is working perform the following
   steps:
   -->
   pam_iptables モジュールが動作しているかテストするには、
   以下の手順を実行してください。
   </para>

   <orderedlist>
    <listitem>
     <para>
     <!--
     Log into the box with ssh.
     -->
     SSH でゲートウェイにログイン。
     </para>
    </listitem>
    <listitem>
     <para>
     <!--
     Check to see if the rule was added with the command
     <command>iptables -L</command>.
     -->
     ルールが追加されているか、<command>iptables -L</command> で確認。
     </para>
    </listitem>
    <listitem>
     <para>
     <!--
     Log out of the box to make sure the rule is removed.
     -->
     ゲートウェイからログアウトして、そのルールが削除されているのを確認。
     </para>
    </listitem>
   </orderedlist>
   
  </sect2>


  <sect2 id="dhcpdsetup">
   <title><!-- DHCP Server Setup -->DHCP サーバ設定</title>

   <para>
   <!--
   I installed DHCP using the following
   <filename>dhcpd.conf</filename> file.
   -->
   私は、以下の <filename>dhcpd.conf</filename> を用い、
   DHCP を導入しました。
   </para>

    <screen>
   subnet 10.0.1.0 netmask 255.255.255.0 {
   # --- default gateway
        option routers                  10.0.1.1;
        option subnet-mask              255.255.255.0;
        option broadcast-address        10.0.1.255;

        option domain-name-servers       10.0.1.1;      
        range   10.0.1.3 10.0.1.254;
        option time-offset              -5;     # Eastern Standard Time

        default-lease-time 21600;
        max-lease-time 43200;

    } 
    </screen>

    <para>
    <!--
    The server was then run using eth1 , the interface to the
    public net.
    -->
    DHCPサーバはこの場合、公開ネットのインタフェースである、eth1
    側に対して作動させました。
    </para>

    <screen>
    /usr/sbin/dhcpd eth1
    </screen>

   </sect2>
 
   <sect2 id="authenticationsetup">
   <title><!-- Authentication Method Setup -->認証手法の設定</title>

   <para>
   <!--
   As indicated in previous sections, I've set this gateway up to use
   LDAP for authenticating. However, you can use any 
   means that PAM allows for authentication. See <xref linkend="authentication"> for
   more information.
   -->
   前のセクションで述べたように、私は認証に LDAP を使用するよう
   ゲートウェイの設定を行いました。しかし、あなたがたは PAM
   が認証を許容するどの方法でも利用可能です。もっと情報が必要ならば、
   <xref linkend="authentication"> を参照ください。
   </para>
   
   <para>
   <!--
   In order to get PAM LDAP to authenticate, I installed <ulink
   url="http://www.openldap.org">OpenLDAP</ulink> and configured it
   with the following in <filename>/etc/ldap.conf</filename>.
   -->
   PAM LDAP で認証を行うために、私は
   <ulink url="http://www.openldap.org">OpenLDAP</ulink>
   をインストールし、<filename>/etc/ldap.conf</filename>
   に以下の設定を行いました。
   </para>

   <screen>
   # Your LDAP server. Must be resolvable without using LDAP.
   host itc.musc.edu

   # The distinguished name of the search base.
   base dc=musc,dc=edu
   ssl no
   </screen>
   
   <para>
   <!--
   The following files were used to configure PAM to do the LDAP authentication.
   These files were generated by Red Hat's configuration utility.
   -->
   以下に挙げるファイルは、LDAP 認証を行うよう PAM を設定するのに使用
   されました。これらのファイルは、Red Hat の設定ユーティリティにより
   生成されました。
   </para>

   <variablelist>
    <varlistentry><term>
    <!--
    <filename>/etc/pam.d/system-auth</filename> was created and looked
   like this.
    -->
    <filename>/etc/pam.d/system-auth</filename> が作成され、
    以下のような内容になりました。
    </term>
     <listitem>
      <para><screen>
   #%PAM-1.0
   # This file is auto-generated.
   # User changes will be destroyed the next time authconfig is run.
   auth        required      /lib/security/pam_env.so
   auth        sufficient    /lib/security/pam_unix.so likeauth nullok
   auth        sufficient    /lib/security/pam_ldap.so use_first_pass
   auth        required      /lib/security/pam_deny.so

   account     required      /lib/security/pam_unix.so
   account     [default=ok user_unknown=ignore service_err=ignore system_err=ignore] 
/lib/security/pam_ldap.so

   password    required      /lib/security/pam_cracklib.so retry=3
   password    sufficient    /lib/security/pam_unix.so nullok use_authtok
   password    sufficient    /lib/security/pam_ldap.so use_authtok
   password    required      /lib/security/pam_deny.so

   session     required      /lib/security/pam_limits.so
   session     required      /lib/security/pam_unix.so
   session     optional      /lib/security/pam_ldap.so
       </screen>
       </para>
     </listitem>
    </varlistentry>
    <varlistentry><term>
    <!--
    Then the following
    <filename>/etc/pam.d/sshd</filename> file was created.
    -->
    また、以下の <filename>/etc/pam.d/sshd</filename>
    ファイルが作成されました。
     </term>
     <listitem><para>
       <screen>
   #%PAM-1.0
   auth       required     /lib/security/pam_stack.so service=system-auth
   auth       required     /lib/security/pam_nologin.so
   account    required     /lib/security/pam_stack.so service=system-auth
   password   required     /lib/security/pam_stack.so service=system-auth
   session    required     /lib/security/pam_stack.so service=system-auth
   #this line is added for firewall rule insertion upon login
   session    required     /lib/security/pam_iptables.so debug
   session    optional     /lib/security/pam_console.so
      </screen>
      </para>
     </listitem>
    </varlistentry>
   </variablelist>
  </sect2>

  <sect2 id="dnssetup">
   <title><!-- DNS Setup -->DNS の設定</title>
    
   <para>
   <!--
   I installed the default version of Bind that comes with Red Hat
   7.1, and the caching-nameserver RPM. The DHCP server tells
   the machines on the public net to use the gateway box as their nameserver.
   -->
   私は、Red Hat 7.1 についてきたデフォルトバージョンの Bind
   とキャッシングネームサーバ RPM をインストールしました。DHCP サーバは、
   公開ネットワーク上のマシンがネームサーバとしてゲートウェイ
   を利用するよう設定しています。
   </para>
  
  </sect2>
 </sect1>

 <sect1 id="usage">
 <title><!-- Using the authentication gateway -->認証ゲートウェイの利用</title>
 <para>
 <!--
 To use the authentication gateway, configure your client machine to use 
 DHCP. Install a ssh client on the box and ssh into the gateway.
 Once you are logged in, you will have access to the internal network.
 The following is an example session from a unix based client:
 -->
 認証ゲートウェイを利用するためには、クライアントに DHCP
 を使用するように設定してください。そのマシンに SSH
 クライアントをインストールして、ゲートウェイに SSH
 でログインしてください。一旦ログインすれば、
 内部ネットワークにアクセスが行えるようになります。以下は、unix
 ベースのクライアントにおけるセッション例です。
 </para>

 <screen>
 bash>ssh zornnh@10.0.1.1
 zornnh's Password:
 
 gateway>
 </screen>

 <para>
 <!--
 As long as you stayed logged in, you will have access. Once you log out,
 access will be taken away.
 -->
 ログインした状態である限り、アクセスが可能です。ログアウトしてしまうと、
 アクセスできなくなります。
 </para>

 </sect1>

<!-- Section1: resources: END -->

 <sect1 id="remarks">
  <title><!-- Concluding Remarks-->終わりに</title>
  
   <indexterm>
    <primary>(your index root)!conclusion</primary>
   </indexterm>

  <itemizedlist>
   <listitem><para>
   <!--
   This method of security does not rely on the security provided by the
   wireless network community. It assumes that the entire wireless network
   is insecure and outside of your network. 
   -->
   この文書で示されるセキュリティ手法は、無線ネットワークコミュニティ
   により提供されるセキュリティに依存しません。無線ネットワーク全体
   が安全でなくても、またその無線ネットワークがあなたの管理下
   になくてもきちんと機能します。
   </para>
   </listitem>
   <listitem><para>
   <!--
   The gateway does not encrypt traffic. It only allows you access
   to the network behind it. If encryption and authentication are desired,
   a VPN should be used.
   -->
   ゲートウェイは、トラフィックを暗号化しません。その背後にある
   ネットワークへのアクセスを許可するだけです。
   もし暗号化も認証も必要ならば、VPN を利用すべきです。
   </para>
   </listitem>
  </itemizedlist>

 </sect1>

<!-- Section1: remarks: END -->


<!-- Section1: resources -->

<sect1 id="resource">
  <title><!-- Additional Resources -->追加の情報源</title>
  <itemizedlist>
   <listitem>
    <para>
    <!--
    A <ulink
    url="http://www.nas.nasa.gov/Groups/Networks/Projects/Wireless/index.html">document</u
link>
    describing the NASA implementation of the authentication gateway.
    -->
    NASA における認証ゲートウェイの実装について説明した
    <ulink url="http://www.nas.nasa.gov/Groups/Networks/Projects/Wireless/index.html">文書
</ulink>。
    </para>
   </listitem>
   <listitem>
    <para>
    <!--
    A <ulink url="http://www.ualberta.ca/~beck/authgw.html">white
    paper</ulink> describing how the University of Alberta created an authentication 
gateway.
    -->
    アルバータ大学において認証ゲートウェイを作成した方法を記述した
    <ulink url="http://www.ualberta.ca/~beck/authgw.html">白書</ulink>。
    </para>
   </listitem>
  </itemizedlist>
</sect1>

<!-- Section1: faq -->

 <sect1 id="faq">
  <title><!-- Questions and Answers -->質問と答え</title>

   <indexterm>
    <primary>(your index root)!FAQ</primary>
   </indexterm>
   <indexterm>
    <primary>(your index root)!frequently asked questions</primary>
   </indexterm>

  <para>
   <!--
   This is just a collection of what I believe are the most common
   questions people might have. Give me more feedback and I will turn
   this section into a proper FAQ.
   -->
   ここは、頂いた質問のうち、多くの人達が同じように疑問を抱くだろう
   と思われるものを集めていく場所です。本当に多くのフィードバック
   を頂けたなら、本来の意味のFAQにしていきます。
  </para>

 </sect1>

<!-- Section1: faq: END -->

<!-- 以下、日本語訳限定の章 -->

<!-- Section1: japanese -->

  <sect1 id="japanese">
    <title>日本語訳について</title>

    <indexterm>
      <primary>disk!japanese</primary>
    </indexterm>

    <para>
      日本語訳は Linux Japanese FAQ Project が行いました。
      翻訳に関するご意見は JF プロジェクト &lt;JF@linux.or.jp&gt; 宛に連絡
      してください。
    </para>

    <para>
    <variablelist><title>0.03j</title>
      <VarListentry><term>翻訳:</term>
      <listitem>
        <para>
           yomoyomo <email>ymgrtq@ma.neweb.ne.jp</email>
        </para>
      </listitem>
      </varlistentry>
      <VarListentry><term>校正:</term>
      <listitem>
        <itemizedlist>
          <listitem><para>
            office さん <email>office@ukky.net</email>
          </para></listitem>
          <listitem><para>
            佐野 武俊さん <email>kgh12351@nifty.ne.jp</email>
          </para></listitem>
          <listitem><para>
            高橋 全さん <email>arms405@jade.dti.ne.jp</email>
          </para></listitem>
          <listitem><para>
            早川 仁さん <email>cz@hykw.tv</email>
          </para></listitem>
        </itemizedlist>
      </listitem>
    </varlistentry>
    </variablelist>
    </para>

  </sect1>

<!-- Section1: japanese: END -->

</article>

<!-- Keep this comment at the end of the file
Local variables:
mode: sgml
sgml-omittag:t
sgml-shorttag:t
sgml-namecase-general:t
sgml-general-insert-case:lower
sgml-minimize-attributes:nil
sgml-always-quote-attributes:t
sgml-indent-step:1
sgml-indent-data:nil
sgml-parent-document:nil
sgml-exposed-tags:nil
sgml-local-catalogs:nil
sgml-local-ecat-files:nil
End:
-->
