Используя Веб Интерфейс Администратора откройте страницу Установки Домена и найдите панель Способы Аутентификации:
CLRTXT
Когда эта опция выбрана, сервер оповещает обо всех поддерживаемых небезопасных (незащищённых) Методах Аутентификации для этого Домена.
CRAM-MD5, DIGEST-MD5
Когда выбраны эти опции, Сервер оповещает о возможности использования CRAM-MD5 и DIGEST-MD5 безопасных методов аутентификации для этого Домена.
Не выбирайте эти опции, если Пользователи Домена используют пароли, зашифрованные односторонним образом, Пароли из ОС или другие способы, не поддерживающие безопасные методы аутентификации.
APOP
Когда выбрана эта опция, Сервер выдаёт специальный начальный запрос для POP и PWD соединений. Почтовые клиенты могут использовать этот запрос для использования безопасного метода аутентификации APOP.
Не выбирайте эту опции, если Пользователи Домена используют пароли, зашифрованные односторонним образом, Пароли из ОС или другие способы, не поддерживающие безопасные методы аутентификации.
GSSAPI
Когда эта опция выбрана, сервер оповещает обо всех поддерживаемых GSSAPI Методах Аутентификации.
Не выбирайте эту опции, если в Домене не установлена поддержка GSSAPI методов (например, вы не указали необходимые Ключи Kerberos).
MSN, NTLM
Когда выбраны эти опции, Сервер оповещает о возможности использования для этого Домена нестандартных MSN и NTLM методов аутентификации (используемых в некоторых продуктах Microsoft).
Не выбирайте эти опции, если Пользователи Домена используют пароли, зашифрованные односторонним образом, Пароли из ОС или другие способы, не поддерживающие безопасные методы аутентификации.
Обратите внимание: В случаях, если в продуктах Microsoft Outlook для некоторых версий MacOS есть настройки для более чем одного пользователя, то эти продукты работают с методом MSN некорректно.
Обратите внимание: Некоторые продукты Microsoft отправляют неверные полномочия, если они обнаруживают, что сервер поддерживает NTLM SASL метод. Хотя эти продукты впоследствии и пересылают корректные полномочия, закончившиеся неудачно попытки входа на сервер приводят к появлению в Журнале записей уровня Сбои и довольно быстро могут привести к увеличению счетчика "неудачных входов"; что, в свою очередь, может привести к временному блокированию попыток Пользователя входа на Сервер.
Эти опции Оповещения влияют только на услуги "сессионного" типа (SMTP, POP, IMAP, ACAP, PWD, FTP), и никак не оказывают никакого эффекта на услуги "транзакционного" типа (HTTP, SIP).
Эти опции Оповещения задают только то, как Сервер оповещает о доступных методах входа. Клиентские приложения могут использовать любые методы, даже если оповещение об их доступности со стороны Сервера было выключено.
SESSIONID
Эта опция активирует метод Аутентификации SessionID для этого Домена.
Системный Администратор может включить использование любого набора паролей для любого пользователя. На больших сайтах, лучше включать эти опции через Общие для Сервера или Общие для Домена Умолчания для Пользователей.
В случае, когда для пользователя включено использование нескольких паролей, Сервер сначала проверяет CommuniGate-Пароль (внутренний), затем Пароль из ОС, и только затем будет пытаться аутентифицировать пользователя Через Внешнюю Программу. Если хотя бы один из этих паролей получен от клиентского приложения, то этому приложению будет предоставлен доступ к Серверу.
Пароли, зашифрованные методом U-crpt, могут содержать специальные префиксы. Эти префиксы позволяют вам импортировать пароли, зашифрованные с использованием других методов шифрования.
Дополнительную информацию смотрите в разделе Миграция.
Обратите внимание: пожалуйста, не забывайте, что в обычной процедуре Unix crypt используются только первые 8 символов парольной строки.
Если CommuniGate-Пароль отсутствует или пустой, он не может использоваться для входа на Сервер даже если опция использовать CommuniGate-Пароль включена. Но если пользователь аутентифицировался на Сервере используя Пароль из ОС (или при помощи Внешней Программы), то пользователь сможет задать (изменить) CommuniGate-Пароль. Эта возможность может быть использована при миграции пользователей из действующих почтовых систем, когда у вас нет возможности создать список пользователей с незашифрованными паролями.
Эта ОС не поддерживает пароли, опция Пароль из ОС работать не будет.
Microsoft Windows 200x/XP/NT/Vista
Используется система аутентификации в домене Windows NT. Пользователь Windows, от имени которого запущен Сервер CommuniGate Pro, должен иметь право Действовать как часть операционной системы.
Аргумент командной строки --BatchLogon может быть использован для задания Серверу метода аутентификации LOGON_BATCH (если опция не задана, будет использоваться метод LOGON_NETWORK).
Сервер проверяет, содержит ли созданное имя пользователя ОС символ процент (%). Если такой символ имеется, то часть Имени Пользователя перед этим символом рассматривается как имя пользователя в Windows, а часть после будет считаться доменным именем Windows.
Если для Пользователей из домена CommuniGate Pro company1.dom опция Имя в ОС установлена в *%comp1, то имя пользователя в ОС для пользователя CommuniGate Pro joe, будет joe%comp1, и Сервер CommuniGate Pro будет использовать Windows API LogonUser для того, что бы аутентифицировать почтового клиента как пользователя Windows joe из домена Windows comp1.
Операционные системы Unix
Используются механизмы аутентификации passwd и shadow или другие, поддерживаемые OS.
OS/400 systems
Используется механизм аутентификации user profile.
OpenVMS системы
Полученное имя пользователя и парольная строка преобразовываются в заглавные буквы, а затем используется механизмы аутентификации OpenVMS.
BeOS
Эта ОС не поддерживает пароли, опция Пароль из ОС работать не будет.
Пароль из ОС являются односторонне зашифрованными паролями. Как следствие, они не могут использоваться для Методов Безопасной Аутентификации.
Когда Сервер получает мандат Kerberos, он извлекает из Мандата имя Сервера ("sname"). Если Имя Сервера имеет только одну компоненту (domain.dom), то эта компонента используется как имя целевого Домена (ticket-domain-name). Если Имя Сервера имеет две или более компоненты, (service/domain.dom), то используется вторая компонента. Затем Сервер создаёт фиктивный адрес LoginPage@ticket-domain-name и пытается осуществить его маршрутизацию. При этом используется точно такой же механизм маршрутизации, что и при нахождении целевого Домена при HTTP запросах.
Если целевой Домен найден, Сервер ищет подходящий ключ в списке Ключей Kerberos для этого Домена. Если Ключ найден, и Мандат и Авторизационная информация могут быть расшифрованы с помощью этого Ключа, то пользователь аутентифицируется. Имя Пользователя берется из Имени Клиента, указанного в Мандате. Это имя должны быть "простым", то есть не должно содержать символов @ или %.
CommuniGate Pro добавляет имя целевого Домена к полученному имени пользователя и использует этот адрес как имя Пользователя, к ресурсам которого необходимо предоставить доступ.
Обратите внимание: Механизм Аутентификации Kerberos НЕ осуществляет маршрутизацию финального получившегося имени пользователя. Если бы использовался Маршрутизатор, то имя в одном Домене теоретически могло бы быть перенаправлено на имя в другом Домене, что привело бы к тому, что с помощью Kerberos Ключей действительных для одного Домена, был бы получен доступ к другому Домену. Побочным эффектом этого является то, что Псевдонимы Пользователей не могут использоваться в мандатах Kerberos.
Сервер будет предоставлять доступ к ресурсам только тех Пользователей, для которых Kerberos Аутентификация включена.
Если клиент отправляет такой сертификат, то адрес электронной почты, указанный в элементе subjectAltName Сертификата (если есть) или в поле электронной почты в элементе Subject может быть использован для Аутентификации по Сертификату. Этот адрес интерпретаруется как имя Пользователя, который должен войти на сервер CommuniGate Pro.
Обратите внимание: Механизм Аутентификации по Сертификату НЕ производит маршрутизацию адреса через Маршрутизатор. Если бы использовался Маршрутизатор, то имя в одном Домене теоретически могло бы быть перенаправлено на имя в другом Домене, что привело бы к тому, что с помощью Доверенных Сертификатов действительных для одного Домена, был бы получен доступ к другому Домену. Побочным эффектом этого является то, что Псевдонимы Пользователей не могут использоваться в механизме Аутентификации через Сертификаты.
Сервер будет предоставлять доступ к ресурсам только тех Пользователей, для которых Аутентификация По Сертификату включена.
Имя программы для Внешней Аутентификации и её дополнительные параметры задаются через Веб Интерфейс Администратора на странице Помощники. Через Веб Интерфейс Администратора откройте в области Установки страницу Помощники:
Записи, помещаемые в Системный Журнал Сервера модулем Внешней Аутентификации имеют метку EXTAUTH.
Если программа, осуществляющая Внешнюю Аутентификацию, не запущена, то все запросы на Внешнюю Аутентификацию отвергаются.
Для того, что бы создать собственную программу для Внешней Аутентификации, ознакомьтесь в разделе Помощники с описанием Интерфейса и протокола для Внешней Аутентификации.
С примером программы и сценариев для Внешней Аутентификации можно ознакомиться на сайте CommuniGate Systems в разделеПомощники для Аутентификации.
На странице перечисляются все возможные Права Доступа, и отмечены те из них, которые предоставлены этому Пользователю.
Нижеперечисленные Права Доступа могут быть предоставлены только Пользователям из Главного Домена:
Может Всё (право Мастер)
Если пользователю предоставлено это право, он имеет полный доступ ко всем компонентам Сервера.
Может менять установки Сервера (право Настройки)
Это право позволяет пользователю изменять конфигурацию всех модулей и компонентов CommuniGate Pro (SMTP, POP, Маршрутизатор и т.д.))
Может менять установки Справочника (право Справочник)
Это право позволяет пользователю изменять конфигурацию системного Справочника
Может менять установки Всех Доменов и Пользователей (право Все Пользователи)
Эта настройка указывает, может ли пользователь создавать, переименовывать и удалять Домены, Пользователей и другие Объекты, а также изменять Установки Доменов, Пользователей и других Объектов.
Может наблюдать за Сервером (право Наблюдать)
Эта настройка указывает, может ли пользователь смотреть Системные Журналы Сервера, наблюдать за Очередями Сервера и т.д.
Нижеперечисленные Права Доступа могут быть предоставлены пользователю из любого домена:
Когда эта опция имеет значение Запретить, все операции "входа" (необходимые для POP, IMAP, SIP, XMPP, Веб Интерфейса Пользователя, ACAP, PWD и т.д.) осуществляются только с компьютера, на котором работает Сервер и с Сетевых Адресов Клиентов.
Когда модуль доступа принимает соединение с неуказанного в этом списке сетевого адреса, модуль отправляет клиентскому приложению сообщение об ошибке и соединение немедленно закрывается. Связь с остальным Интернетом будет использоваться только для целей Передачи Почты, обмена Сигналами Реального Времени и для HTTP доступа к Хранилищу файлов Пользователя.
Когда эта опция имеет значение Запретить, операция SMTP AUTH может использоваться, только если клиентская почтовая программа или сервер соединяются сетевого адреса, указанного в списке Сетевые Адреса Клиентов.
Когда эта опция имеет значение Запретить, любая из операций по обмену Сигналами, требующая аутентификации будет осуществляться, только если клиентское устройство или сервер установили соединение с сетевого адреса, указанного в списке Сетевые Адреса Клиентов.
Обратите внимание:До того, как вы выберите в этой опции значение Запретить, убедитесь, что сетевой адрес, которые вы используете в настоящее время, включён в список Сетевых Адресов Клиентов: в противном случае вы немедленно утратите доступ к Серверу даже через Веб Интерфейс Администратора.
Также вы можете установить ограничения на доступ к серверу на более низком уровне TCP-соединений. Для каждого сервиса (модуля), откройте страницу Приёмник и укажите адреса, с которых этот сервис (модуль) должен (или не должен) принимать соединения. Если соединение устанавливается с адреса, который не включён в число адресов, доступ с которых Разрешён, или этот адрес включён в число адресов, доступ с которых Запрещён, то соединение немедленно закрывается, и никаких операций на уровне модуля не выполняется.
Действия от чужого имени поддерживаются при работе с методами Аутентификации PLAN и GSSAPI.
При использовании Действия от чужого имени, Сервер проверяет, есть ли соответствующие полномочия у аутентифицированного пользователя, и разрешена ли для этого пользователя эта услуга. Он также проверяет, если ли у Аутентифицированного Пользователя Право Может выступать от имени другихв Правах Доступа Домена.
Этот метод является SASL-методом и требует "непосредственного" указания параметров в командах аутентификационного протокола. Первый параметр - это имя Пользователя, второй, отделённый пробелом, это идентификационный номер сессии.
Для PWD модуля операция аутентификации SESSIONID выглядит как:
AUTH SESSIONID userNamesession-ID
Для IMAP модуля операция аутентификации SESSIONID выглядит как:
AUTHENTICATE SESSIONID bindata где bindata это следующие данные, закодированные в base64:
userNamesession-ID
Если у пользователя открыта WebUser сессия с идентификационным номером 114-bXaKw92JK1pZVB5taj1r, то следующая команда PWD:
AUTH SESSIONID
114-bXaKw92JK1pZVB5taj1r
откроет PWD сессию для пользователя
.
