ERserver. iseries. Telnet

Átírás

1 ERserer iseries Telnet

2

3 ERserer iseries Telnet

4 Szerzői jog IBM Corporation 1998, Minden jog fenntarta

5 Tartalom Telnet A V5R2 újdonságai Témakör nyomtatása Telnet példahelyzetek Telnet példahelyzet: Telnet szerer beállítása Telnet példahelyzet: Lépcsős Telnet szekciók Rendszerkérés feldolgozási példahelyzet Csoportjob használata Példahelyzet: Biztonságos Telnet az SSL protokollal Konfigurációs részletek Telnet szerer terezése Virtuális eszköz leírások Telnet biztonság Telnet hozzáférés megakadályozása Telnet hozzáférés felügyelete Telnet szerer beállítása Telnet szerer indítása Virtuális eszközök számának beállítása Virtuális eszközök automatikus konfigurálása Saját irtuális eszközök létrehozása Előjogokkal rendelkező felhasználók adott eszközökre korlátozása és a bejelentkezési kísérletek számának korlátozása Szekció kapcsolatfenntartási paraméter beállítása Eszközök hozzárendelése alrendszerekhez QSYSWRK alrendszer aktiálása Felhasználói profilok létrehozása AziSeries által támogatott emulációtípusok Telnet szerer beállítása az 5250 teljes képernyős módhoz Telnet szerer beállítása a 3270 teljes képernyős módhoz Támogatott 3270 termináltípusok Telnet szerer beállítása a VTxxx teljes képernyős módhoz Biztonságos Telnet az SSL protokollal SSL beállítása a Telnet szereren Port korlátozások megszüntetése Igazolás hozzárendelése a Telnet szererhez Telnet szerer kliens hitelesítésének engedélyezése (elhagyható lépés) SSL engedélyezése a Telnet szereren SSL inicializálás és egyeztetés Telnet szerer kezelése Telnet nyomtatószekciók beállítása A Telnet nyomtatószekciókra onatkozó köetelmények Szerer szekció befejezése Eszközkezelő jobok befejezése Telnet égprogramok használata Eszköz inicializálási égprogram Telnet kilépési pont INIT0100 formátum: Kötelező paramétercsoport INIT0100: Felhasználói leírás információk formátuma INIT0100: Eszközleírás információk formátuma INIT0100: Kapcsolatleíró információk formátuma Eszköz bezárási égprogram Telnet kliens kezelése Telnet szerer funkciók ezérlése a kliensről Telnet kliens szekciók Szerzői jog IBM 1998, 2002 iii

6 5250 Telnet kliens szekció indítása Telnet kliens szekciók Telnet kliens szekció indítása Teljes képernyős 3270 szempontok Terminálok használata A Telnet szererek 3270 billentyűzetkiosztása VTxxx Telnet kliens szekciók VTxxx Telnet kliens szekció indítása Teljes képernyős VTxxx szempontok VTxxx emulációs beállítások VTxxx billentyű értékek VTxxx nemzeti nyeli támogatás VTxxx nemzeti mód Numerikus billentyűzet Szerkesztő billentyűzet VTxxx billentyű értékek 5250 funkció szerint VT220 munkaállomás működési módok A VT220 billentyűzet felső sorának funkcióbillentyűi VT100 és VT220 ezérlőkarakter kulcsszaak Lépcsős Telnet szekció kialakítása Lépcsős Telnet szekciók közötti mozgás Telnet kliens szekció befejezése Telnet problémák hibaelhárítása Telnet problémák meghatározása Hoszt rendszer pingelése Emulációtípusok hibaelhárítása Telnet SSL szerer hibaelhárítása Rendszer állapotának ellenőrzése Aktí SSL figyelő ellenőrzése Telnet munkanapló ellenőrzése SSL isszatérési kódok TRCTCPAPP szerizprogram kimenetei Telnet problémák jelentéséhezszükséges anyagok Automatikusan előállított diagnosztikai információk Telnet szolgáltatáshoz kapcsolódó információk i iseries: Telnet

7 Telnet A Telnet olyan protokoll, amely lehetőé teszi a táoli számítógépekre bejelentkezést és azok használatát úgy, mintha az közetlenül a helyi hálózathoz csatlakozna. A fizikailag használt számítógép (általában egy PC) a Telnet kliens. A Telnet szerer a táoli számítógép, amelyhez a kliens csatlakozik. Az iseries TM TCP/IP a Telnet szerer és kliens funkciókat is támogatja. A Telnet funkciók közül a legfontosabb aza képessége, amellyel azadatfolyamok átitelét egyezteti a Telnet kliens és a szerer között. Ez a fajta egyeztetés lehetőé teszi, hogy a kliens és a szerer is kezdeményezhesse és elfogadhassa a kéréseket. A kérések egyeztetéséhez és ezek kimenetté alakításához többféle emulációtípus is rendelkezésre áll. Az iseries Telnet szererek esetén azelőnyben részesített típus az5250 emuláció. AziSeries emellett a 3270 és VTxxx típusú munkaállomásokat, alamint azrfc 2877 (TN5250E) nyomtató támogatási módokat támogatja. A köetkező témakörök ismertetik a Telnet funkciót, és segítséget nyújtanak a Telnet adminisztrálásáhozaziseries szereren. A V5R2újdonságai AzInformációs központ Telnet témakörének újdonságai. Témakör nyomtatása Ha azinformációkat papíron szeretné elolasni, akkor a teljes témakör kinyomtatható PDF fájlként. Telnet példahelyzetek Eza témakör bemutat néhány példát a Telnet használatára azalapfogalmak és konfigurációs feladatok beezetéséhez. Telnet szerer terezése Ez a témakör magyarázza el a a rendszerhez csatlakoztatott munkaállomáshoz társítandó irtuális eszközök számának meghatározását. Itt találhatók emellett a Telnet elérés felügyeletére és megakadályozására onatkozó biztonsági eljárások is. Telnet szerer beállítása Ez a témakör magyarázza el a Telnet szerer beállítását a különféle emulációtípusok támogatásához. Telnet szerer kezelése Ez a témakör írja le a Telnet szerer használatát, illete a felhasználói hozzáférést felügyelő égprogramok beállítását. Telnet kliens kezelése Ez a témakör adja meg a különféle emulációtípusokat alkalmazó Telnet kliens szekciók indításának lépéseit. Emellett eza szakaszírja le a lépcsős Telnet szekciók kialakításának módját. Telnet problémák hibaelhárítása Tippek és útmutatások a Telnet szerer, azemulációtípusok és azssl hibaelhárításához. Kapcsolódó információk Hiatkozások és egyéb Telnet Információforrások. A V5R2 újdonságai Eza témakör emeli ki a Telnet áltozásait a V5R2 kiadásban. Új szolgáltatások Szerzői jog IBM 1998,

8 Indítandó szererjobok száma Az indítható szererjobok maximális lehetséges száma 100-ról 200-ra emelkedett, emellett az érték lehet Számított is (ezazalapértelmezés). Egynél több job futtatása csökkenti annak esélyét, hogy a kapcsolati kéréseket a szerer isszautasítsa. A beállított érték az eszközkezelő jobok és a Telnet szerer jobok számára onatkozik. QAUTOVRT áltozások A QAUTOVRT az átjelentkezési eszközök és a Telnet rendszeráltozója. A QAUTOVRT alábbi áltozásai annak hatással a Telnet szolgáltatásra: Ha a QAUTOVRT értéke 0, akkor a rendszer a toábbiakban nem hozza létre automatikusan a Telnet agy a irtuális terminál API-k eszközeit felhasználó által megadott neekkel. A QAUTOVRT rendszeráltozó rendelkezik egy új *REGFAC paraméterrel. Ez lehetőé teszi a bejegyzési szolgáltatás használatát egy olyan program meghíásához, amely a rendszer QPADEV alapértelmezésének használata helyett isszaadja az automatikusan létrehozott eszközök elneezési megállapodását. A rendszeráltozóról toábbi információkat a Rendszerkezelés > Rendszeráltozók > Rendszeráltozó kategóriák > Eszközök témakör Eszközökre onatkozó rendszeráltozók: Átjelentkezési eszközök és Telnet című cikkében talál. Új információk A Telnet témakör a V5R2 kiadásban frissítésre került. A cikkeket átszereztük, hogy a szükséges információkat egyszerűbben meg lehessen találni. Az információk újraszerezése mellett a V5R1 óta néhány áltozás is történt a technikai információk körében. A témakör fontosabb technikai áltozásai a köetkezők: A Telnet példahelyzetek bemutatnak néhány példát a Telnet használatára: Telnet szerer beállítása Lépcsős Telnet szekciók Biztonságos Telnet az SSL protokollal A Telnet biztonság témakör a Telnet szerer édelmét tárgyalja: Telnet hozzáférés megakadályozása Telnet hozzáférés felügyelete A Telnet szerer beállítása eljárások frissítésre kerültek az iseries naigátor használatához. A Biztonságos Telnet azssl protokollal azssl témakörből átkerült a Telnet témakörbe. A technikai áltozások helyének azonosítását az alábbi jelzések könnyítik meg: A kép jelzi az új agy megáltozott információk kezdetét. A kép jelzi az új agy megáltozott információk égét. A kiadás toábbi újdonságairól és áltozásairól a Felhasználói feljegyzés című témakörben olashat. 2 iseries: Telnet

9 Témakör nyomtatása A PDF áltozat megtekintéséhez agy letöltéséhez álassza ki a Telnet hiatkozást (megközelítőleg 413 KB agy 102 oldal). PDF fájlok mentése A PDF fájl mentése a munkaállomáson megjelenítés agy nyomtatás céljából: 1. Kattintson a jobb egérgombbal a böngésző PDF hiatkozására (a fenti hiatkozás). 2. Válassza az előugró menü Cél mentése másként... menüpontját. 3. Válassza ki a könytárat, amelybe a PDF fájlt menteni kíánja. 4. Kattintson a Mentés gombra. Adobe Acrobat Reader letöltése A PDF fájlok megjelenítéséhezés módosításáhozszükség an azadobe Acrobat Reader programra, amely letölthető azadobe webhelyről ( Telnet példahelyzetek A Telnet beállításának és használatának megkönnyítéséhezazalábbi Telnet példahelyzetek bemutatnak néhány Telnet felhasználási példát. Telnet szerer beállítása Ez a példahelyzet egy adminisztrátort mutat be, aki testre szabja a Telnet szerert. Lépcsős Telnet szekciók Ez a példahelyzet mutatja be a Telnet szekciók indítását Telnet szekciókból. A csatlakozás után a rendszerek közötti átkapcsolás rendszerkérési funkciókkal lehetséges. Biztonságos Telnet az SSL protokollal Az SSL segítségéel biztonságossá teheti az iseries Telnet szererét. A példahelyzet leírja ennek lépésenként megadott konfigurációs példáját. Telnet példahelyzet: Telnet szerer beállítása Körülmények és célok A állalathoz új iseries szerer érkezett. Be kell állítani rajta a Telnet szerert a köetkező meghatározások szerint: Legfeljebb 100 irtuális eszköz automatikus létrehozásának engedélyezése. Bejelentkezés megjelenítése minden alkalommal. Az előjogokkal rendelkező felhasználók bizonyos eszközökre korlátozása. Minden felhasználó egy eszköz szekcióra korlátozása. Telnet 3

10 Előfeltételek és feltételezések Írja le a felhasználói berendezésekre, az aktuális helyzetre és helyre onatkozó köetelményeket és feltételezéseket, amelyeknek teljesülniük kell a példahelyzet felhasználásához. A állalat által használt iseries szerer szintje V5R2. A TCP/IP be an állíta. A beállítást égző felhasználó rendelkezik IOSYSCFG jogosultsággal. Konfiguráció részletei 1. Telnet szerer indítása a. Bontsa ki az iseries szerer > Hálózat > Szererek > TCP/IP elemet. b. A jobb oldali ablakrészben keresse meg a Telnet szerer bejegyzését. c. Győződjön meg róla, hogy az Állapot oszlopban az Elindult felirat látható. d. Ha a szerer nem fut, akkor kattintson a jobb egérgombbal a Telnet elemre, majd álassza az előugró menü Indítás menüpontját. 2. Virtuális eszközök számának beállítása a. AziSeries naigátorban álassza ki aziseries szerer, > Konfiguráció és szeriz > Rendszeráltozók kategóriát. b. A jobb oldali ablakrészben kattintson a jobb egérgombbal az Eszközök bejegyzésre majd álassza azelőugró menü Tulajdonságok menüpontját. c. Az Eszközökre onatkozó rendszeráltozók lapon engedélyezze az Átjelentkezési eszközök és Telnet beállítást, az Eszközök maximális számát pedig állítsa 100-ra. 3. Telnet szerer tulajdonságainak beállítása a. AziSeries naigátorban álassza ki aziseries szerer > Hálózat > Szererek > TCP/IP elemet. b. A jobb oldali ablakrészben kattintson a jobb egérgombbal a Telnet bejegyzésre majd álassza az előugró menü Tulajdonságok menüpontját. Kattintson erre a lapra... Rendszer bejelentkezés Táoli bejelentkezés Táoli Időtúllépés Majd tegye a köetkezőket... Válassza ki a köetkező beállításokat: Az előjogokkal rendelkező felhasználók bizonyos eszközökre korlátozása. Minden felhasználó egy eszköz szekcióra korlátozása. Adja meg a megengedett rendszer bejelentkezések számát, illete a rendszer teékenységét a maximális számú bejelentkezési kísérlet elérésekor. A Telnet használata a táoli bejelentkezéshez beállításnak adja meg a Bejelentkezés mindig megjelenik értéket. Adja meg a jobok időtúllépésekor beköetkező teékenységet. Emellett beállítható, hogy műeletek mennyi ideig tarthatnak a jog időtúllépése előtt. Azértékek inaktí és szétkapcsolt jobokra is megadhatók. Megjegyzés: Ezek a beállítások az iseries szerer összes interaktí eszközére és jobjára onatkoznak, nemcsak a Telnetre. 4. Eszközök hozzárendelése alrendszerekhez a. A karakteres felületen írja be a köetkező parancsot: 4 iseries: Telnet

11 ADDWSE SBSD(QINTER) WRKSTNTYPE(*ALL) 5. QSYSWRK alrendszer aktiálása Ellenőrizze a QSYSWRK alrendszer állapotát: a. Az iseries szerer karakteres felületén írja be az Alrendszerek kezelése (WRKSBS) parancsot. b. Ellenőrizze, hogy megjelennek-e a köetkező rendszerek: QSYSWRK QINTER QSPL Ha a QSYSWRK alrendszer nem aktí, akkor tegye a köetkezőket: a. Az iseries szerer karakteres felületén írja be az Alrendszer indítása (STRSBS) parancsot. b. Írja be a QSYSWRK Alrendszer leírást, illete a QSYS Könytárat, majd nyomja meg az Enter billentyűt. c. Ismételje meg a fentieket a QINTER alrendszerre és QSYS könytárra, illete a QSPL alrendszerre és QSYS könytárra. 6. Telnet felhasználói profilok létrehozása a. Indítsa el aziseries naigátort, és bontsa ki aziseries szerert. b. Kattintson a jobb egérgombbal a Felhasználók és csoportok elemre, majd álassza az előugró menü Új felhasználó menüpontját. c. Adja meg a felhasználó neét, leírását és jelszaát. d. Jobleírás meghatározásához kattintson a Jobok gombra, majd adja meg a job leírását. e. Kattintson az OK gombra. 7. Telnet működésének ellenőrzése Indítson el egy 5250 emulációs szekciót, és csatlakozzon a Telnet szererre. Kapcsolódó témakörök Azeljárásról toábbi információkat a köetkező témakörökben talál: Telnet szerer beállítása iseries támogatott emulációtípusok Telnet példahelyzet: Lépcsős Telnet szekciók Ebben a példahelyzetben a felhasználó több szererrel alakít ki Telnet szekciókat. Ezeket lépcsős Telnet szekcióknak híjuk. A módszer használatáal a felhasználó a köetkezőket teheti meg: Telnet kapcsolat kialakítása a telephely és a győri rendszer között. Toábbi Telnet szererekhez csatlakozás a kezdeti szekció befejezése nélkül. Mozgás a szekciók között a budapesti rendszeren futó job folytatásához. Körülmények és célok Koács Istán egy ingatlanügynökség marketing igazgatója. Budapesti irodájából Telnet segítségéel csatlakozik a győrben található központi rendszerre. Miután Koács bejelentkezett a győri rendszer Telnet szereréhez, rájön, hogy szüksége an néhány fájlra a szegedi irodából. Koács a győri Telnet kliens segítségéel csatlakozik a szegedi rendszer Telnet szereréhez. Miközben csatlakozik a szegedi rendszerhez, úgy találja, hogy a miskolci rendszerről is szüksége an néhány információra. Telnet 5

12 Koács kapcsolatait az ábra mutatja be. A kezdeti kapcsolatot nyújtó iseries szerer nee saját rendszer. Innen csatlakozik a Győrben található B jelű köztes rendszerre, majd arról a szegedi C jelű köztes rendszerre; innen alakítja ki a kapcsolatot a miskolci D jelű égpont rendszerrel. Részletek A példahelyzet az alábbiakat feltételezi: Minden rendszeren fut Telnet szerer. Koács bejelentkezhet minden rendszerre. Minden rendszer legalább V4R5 szintű iseries szerer. A Telnet rendszerekhez csatlakozáshoz Koács a köetkezőket teszi: 1. A budapesti rendszeren beírja az STRTCPTELN GYOR parancsot. 2. A győri rendszeren beírja az STRTCPTELN SZEGED parancsot. 3. A szegedi rendszeren beírja az STRTCPTELN MISKOLC parancsot. A miskolci rendszerre csatlakozás után Koács el szeretne égezni egy feladatot a budapesti (saját) rendszeren. 1. Megnyomja a System Request billentyűt. 2. Kiálasztja a 14. menüpontot (Átitel a saját rendszerre). Ezzel isszatér a budapesti rendszeren futó alternatí jobhoz. A budapesti rendszeren égzett teékenységének befejezéséel Koács a köetkezőképpen térhet issza a miskolci rendszerre: 1. Megnyomja a System Request billentyűt. 2. Kiálasztja a 15. menüpontot (Átitel a égpont rendszerre). Ezzel bármilyen köztes rendszerről agy a saját rendszerről isszakerül a égpont rendszerre. Az összes szekció befejezéséhez a SIGNOFF parancs használható. Ez befejezi az aktuális szekciót, és Koács isszatér a saját rendszer bejelentkezési képernyőjéhez. Kapcsolódó témakörök A lépcsős Telnet szekciókról toábbi részleteket, illete összetettebb lépcsős szekciókra onatkozó példákat azalábbi témakörökben talál: Rendszerkérés feldolgozása - Különféle lépcsős rendszerek példahelyzetei. Csoportjob használata - Csoportjobok és alternatí jobok felhasználása több rendszeren égzett teékenységekhez. Lépcsős szekció kialakítása - Toábbi információk a lépcsős szekciók kialakításáal kapcsolatban. Lépcsős Telnet szekció közötti mozgás - Több rendszer szükséges rendszerkérés funkciók. 6 iseries: Telnet

13 Rendszerkérés feldolgozási példahelyzet Az alábbi példahelyzetek magyarázzák el a rendszerkérések feldolgozásának működését a különféle típusú rendszereken. 1. példahelyzet Minden szerer iseries szerer. A rendszerkérés feldolgozása a megszokottaknak megfelelően működik. * 2. példahelyzet A budapesti rendszer egy 3270 agy VTxxx Telnet funkciót használó nem iseries szerer. * A rendszerkérés feldolgozása az első példahelyzethez hasonlóan működik, azzal a kiétellel, hogy itt a győrit tekintjük saját rendszernek. A saját rendszernek küldött alamennyi kérés feldolgozására a győri rendszeren kerül sor. 3. példahelyzet A miskolci rendszer egy 3270 agy VTxxx Telnet funkciót használó nem iseries szerer. * A rendszerkérés feldolgozása az első példahelyzethez hasonlóan működik azzal a kiétellel, hogy itt a szegedi rendszert tekintjük égpont rendszernek az összes rendszerkérés feldolgozásának szempontjából. Ha megnyomja a System Request billentyűt, majd az Entert, akkor a szegedi rendszer Rendszerkérés menüje jelenik meg. 4. példahelyzet Telnet 7

14 A szegedi rendszer egy 3270 agy VTxxx Telnet funkciót használó nem iseries szerer. * A rendszerkérés feldolgozása az első példahelyzethez hasonlóan működik azzal a kiétellel, hogy itt a győri rendszert tekintjük égpont rendszernek a rendszerkérések feldolgozásának szempontjából. Ha megnyomja a System Request billentyűt, majd az Entert, akkor a győri rendszer Rendszerkérés menüje jelenik meg. Ha a bécsi rendszernek kíán rendszerkérést küldeni, akkor a győri rendszeren leképezhet egy funkcióbillentyűt a System Request billentyűre. A funkció leképezésekor a bécsi rendszer lesz a égpont rendszer, a győri rendszer pedig a saját rendszer. * Az iseries 3270 Telnet szererének ezen leképezési funkcióját illusztrálandó az alapértelmezett billentyűzetkiosztás a System Request billentyűt egy 3270 PF11 billentyűként azonosítja. Az iseries 3270 Telnet kliensek esetén az F11 billentyű a 3270 PF11 billentyűre an leképeze. Ha a szegedi a 3270 adatfolyamot használó rendszer, akkor az F11 megnyomása a győri rendszer System Request billentyűjét adja meg. A rendszerkérés átmegy a bécsi rendszerre, és megjelenik a bécsi rendszer Rendszerkérés menüje. Megjegyzés: Azemlített leképezési funkciók meglehetősen bonyolultak, különösen akkor, ha VTxxx adatfolyamot használ, és a helyzetet a blokkadatok és a karakteres adatok közötti leképezés is bonyolítja. 8 iseries: Telnet

15 Csoportjob használata A Telnet és az alternatí job segítségéel több rendszerre is csatlakozhat a saját rendszerről. Fontoljuk meg a köetkező példát: A Telnet kialakít egy szekciót Budapest és Győr között. Emellett be kíán jelentkezni a Szegedi rendszerre is úgy, hogy a győri rendszerrel megmarad a kapcsolat. A budapesti rendszeren a SysRq 11. menüpontjáal elindíthat egy alternatí jobot. A Telnet paranccsal kialakíthatja a kapcsolatot a szegedi rendszerrel. Egy toábbi rendszerre úgy juthat el, ha egy újabb Telnet szekciót indít a győri agy a szegedi rendszerről. Az alternatí jobok mellett csoportjobok is használhatók. A csoportjobok azonos munkaállomás eszközhöz és felhasználóhoztársított, legfeljebb 16 interaktí jobból álló csoportok. Csoportjob beállításáhoztegye a köetkezőket: 1. Azaktuális jobot módosítsa csoportjobra a Csoportattribútumok módosítása (CHGGRPA) parancs segítségéel. CHGGRPA GRPJOB(home) 2. Indítson el egy csoportjobot a győri rendszeren azátitel csoportjobhoz(tfrgrpjob) paranccsal. TFRGRPJOB GRPJOB(CHICAGO) INLGRPPGM(QCMD) 3. Hozzon létre egy Telnet szekciót a győri rendszerrel. TelnetGYOR1 4. Az ATTN billentyű lenyomásáal térjen issza a saját rendszerhez. Az ATTN billentyű lenyomására megjelenik a Telnet ezérlőfunkció küldése menü. 5. A Telnet ezérlőfunkció küldése menü karakteres felületén írja be a köetkezőt: TFRGRPJOB GRPJOB(home) Ezzel isszakerül az eredeti jobba. Toábbi csoportjobokat és Telnet szekciókat ehhez hasonlóan indíthat. A TFRGRPJOB GRPJOB(*SELECT) parancsban kiálaszthatja a használni kíánt csoportjobot. Ha például a csoportjobok GYOR, SZEGED, MISKOLC és BECS néen indulnak el, akkor a TFRGRPJOB GRPJOB(*SELECT) parancs kimenete a köetkező lesz: Transfer to Group Job System: SYS198 Actie group job...:home Text...: Type option, press Enter. 1=Transfer to group job Suspended Group Jobs OptGroup Job Text _ BECS _ MISKOLC _ SZEGED Telnet 9

16 _ GYOR Bottom F3=Exit F5=Refresh F6=Start a new group job F12=Cancel Ezután a Telnet segítségéel minden rendszerhez kialakíthat egy szekciót a megfelelő jobból. Egy csoportjob példahelyzetet mutat be az alábbi példa: * A csoportjob befejezéséhez használja a Csoportjob befejezése (ENDGRPJOB) parancsot. Átkapcsolás másik rendszerre a Telnet szekciókon belül: 1. Nyomja meg azattn billentyűt. 2. A karakteres felületen írja be a TFRGRPJOB parancsot. Példahelyzet: Biztonságos Telnet az SSL protokollal Ez a példahelyzet írja le a Telnet biztonságossá tételét az SSL protokoll felhasználásáal. Alaphelyzet Árpád egy kisméretű, otthonról működtetett brókercég létrehozását terezi. Egy nagy brókercégnél betöltött korábbi állását felada folytatni kíánja hasonló szolgáltatások biztosítását néhány ügyfélnek az otthonában berendezett irodából. A hátteret egy kisebb iseries szerer biztosítja, amelyen az ügyfelek 5250 Telnet szekcióból elérhető felhasználói számláal rendelkeznek. Árpád ki szeretne dolgozni egy működő megoldást 10 iseries: Telnet

17 arra, hogy az ügyfelei folyamatosan hozzáférjenek a számláikhoz, és felügyelhessék befektetéseiket. Árpád azt szeretné, ha az ügyfelek 5250 Telnet szekciókat használnának a számláik elérésére, de aggódik a szerer biztonsága és az ügyfelek szekcióinak megbízhatatlansága miatt. Az iseries Telnet szerere által nyújtott biztonsági lehetőségek tanulmányozása után Árpád úgy dönt, hogy a Védett socket réteg (SSL) segítségéel biztosítja az iseries szerer és az ügyfelei között az 5250 Telnet szekciókban áramló adatokat. Célok A példahelyzetben Árpád biztonságos lehetőséget kíán nyújtani az ügyfeleinek az iseries szereren léő befektetői számláik eléréséhez. Az SSL engedélyezése biztosítaná az ügyfelek adatainak bizalmasságát, miközben azok áthaladnak az Interneten. Emellett be kíánja ezetni a kliens hitelesítés használatát, hogy a szerer ellenőrizhesse a számláikhoz hozzáférő ügyfelek azonosságát. Miután Árpád beállította a Telnet szerert, az SSL szolgáltatást, és engedélyezte a kliens és szerer hitelesítést, beezetheti az ügyfelek számára a számlák elérésének új, biztonságos módját. A Telnet 5250 szekciókban folyó adatátitel biztonságának megalósításáhozazalábbi céloknak kell teljesülnie: Telnet szerer biztonságossá tétele az SSL protokollal Kliens hitelesítés engedélyezése a Telnet szereren Saját igazolás szerzése egy helyi igazolási hatóságtól, és az igazolás hozzárendelése a Telnet szererhez. Részletek Árpád otthonról működtetett brókercége AziSeries szerer azos/400 R V5R2 kiadását futtatja, az ügyfeleknek 5250 Telnet szekción keresztül biztosítja a számláik elérését. Az OS/400 Telnet szerer alkalmazása elindult az iseries szereren. A Telnet szerer inicializálja az SSL-t, és ellenőrzi a QIBM_QTV_TELNET_SERVER alkalmazásazonosítóhoz tartozó igazolás információkat. Ha a Telnet igazolás beállításai megfelelők, akkor a Telnet szerer megkezdi a kliens kapcsolatok figyelését azssl porton. Egy kliens kapcsolati kérést ad ki a Telnet szerer számára. A Telnet szerer egy igazolás bemutatásáal álaszol a kliensnek. A kliens szoftere érényesíti az igazolást, és megállapítja, hogy az elfogadható és megbízható-e. A Telnet szerer igényel egy igazolást a kliens szoftertől. A kliens szoftere álaszként bemutatja igazolását a Telnet szerernek. A Telnet szerer érényesíti az igazolást, és megállapítja, hogy a kliens jogosult-e 5250 szekció kialakítására a szererrel. A Telnet szerer kialakítja az 5250 szekciót a klienssel. Előfeltételek és feltételezések A példahelyzet megalósításához Árpádnak biztosítania kell az alábbi köetelmények teljesítését: AziSeries szereren azos/400 V5R2 áltozata fut. A TCP/IP be an állíta. Árpád rendelkezik IOSYSCFG jogosultsággal. A Telnet szerer be an állíta. Árpád meghatározta az SSL terezése című témakörben felázolt kérdések kezelésének módját. Árpád létrehozott egy helyi igazolási hatóságot az iseries szereren. Telnet 11

18 Feladat lépései A példahelyzet megalósításához Árpádnak két lépéssorozatot is el kell égeznie: Az egyik sorozatban be kell állítania az iseries szererét az SSL használatára és felhasználó hitelesítési igazolások igénylésére. A másik sorozatban az SSL szekciókat kialakító Telnet kliensek felhasználóinak kell beszerezniük a felhasználói hitelesítési igazolásaikat. A példahelyzet beállításához Árpád a köetkezőket teszi: Telnet szerer lépések A példahelyzet kialakításához Árpádnak az iseries szereren a köetkező lépéseket kell égrehajtania: 1. Port korlátozások megszüntetése (Lásd: 12) 2. Helyi igazolási hatóság létrehozása és használata (Lásd: 12) 3. Telnet szerer beállítása kliens hitelesítési igazolások igénylésére (Lásd: 13) 4. SSL engedélyezése a Telnet szereren és a szerer indítása (Lásd: 14) Kliens konfigurációs lépések A példahelyzet működéséhez Árpád iseries szereréhez csatlakozó alamennyi felhasználónak égre kell hajtania a köetkező lépéseket: 5. SSL engedélyezése a Telnet kliensen (Lásd: 14) 6. Igazolás bemutatásának engedélyezése a Telnet kliensen hitelesítés céljából (Lásd: 15) A feladatok égrehajtása után azssl és a kliens hitelesítés is használható, amelynek eredményeként Árpád ügyfelei SSL által édett 5250 Telnet szekción keresztül férhetnek hozzá a számlájukkal kapcsolatos információkhoz. Konfigurációs részletek A Telnet SSL édelmének beállításáhozhajtsa égre a köetkező konfigurációs lépéseket. 1. lépés - Port korlátozások megszüntetése A V5R1 kiadás előtt a port korlátozásokra azért olt szükség, mert a Védett socket réteg (SSL) támogatás nem állt rendelkezésre a Telnet szolgáltatáshoz. Most már lehetőség an SSL, nem SSL és egyidejűleg mindkét Telnet szerer elindítására. Ennek megfelelően nincs szükség többé port korlátozásokra. A korábbi kiadásokban megadott port korlátozásokat az SSL paraméter használatához meg kell szüntetni. A Telnet port korlátozások megjelenítéséhezés eltáolításáhoztegye a köetkezőket: 1. A jelenlegi port korlátozások megtekintéséhezindítsa el aziseries naigátort, és bontsa ki aziseries szerer > Hálózat kategóriát. 2. Kattintson a jobb egérgombbal a TCP/IP konfiguráció elemre, majd álassza az előugró menü Tulajdonságok menüpontját. 3. Kattintson a Port korlátozások lapra, és tekintse át a port korlátozási beállítások listáját. 4. Válassza ki a megszüntetni kíánt port korlátozást. 5. Kattintson az Eltáolítás gombra. 6. Kattintson az OK gombra. Alapértelmezésben az SSL szekciók a 992, a nem SSL szekciók a 23 porton indulnak el. A Telnet szerer a szolgáltatási táblázat Telnet és Telnet-SSL bejegyzése alapján határozza meg a nem SSL és SSL portokat. 2. lépés - Helyi igazolási hatóság létrehozása és használata 12 iseries: Telnet

19 Helyi iseries igazolási hatóság létrehozásához és kezeléséhez a Digitális igazolás kezelőben tegye a köetkezőket: 1. Indítsa el a Digitális igazolás kezelőt. 2. A Digitális igazolás kezelő naigációs keretében álassza az Igazolási hatóság (CA) létrehozása elemet az ehhez szükséges űrlapok megjelenítéséhez. Az űrlapok égigezetik a helyi igazolási hatóság létrehozásának, illete az SSL, objektum aláíró és aláírás ellenőrzési digitális igazolások használatba ételének folyamatán. 3. Töltse ki a megjelenő összes űrlapot. Az iseries szerer helyi igazolási hatóságának létrehozásához és használatáhozszükséges alamennyi feladathoztartozik egy űrlap. Azűrlapok kitöltése azalábbiakat teszi lehetőé: a. Helyi CA igazolás magánkulcs tárolásának meghatározása. Ez a lépés csak akkor jelenik meg, ha az iseries szerer rendelkezik IBM R PCI Kriptográfiai társprocesszorral. Ha a rendszer nem rendelkezik kriptográfiai társprocesszorral, akkor a Digitális igazolás kezelő az igazolást és a magánkulcsot automatikusan a Helyi CA igazolástárolóban tárolja. b. Helyi CA azonosítási információinak megadása. c. Helyi CA igazolásának telepítése a számítógépen agy a böngészőben. Ez teszi lehetőé a szofter számára a helyi CA, illete az általa kibocsátott igazolások felismerését és érényesítését. d. Helyi CA irányel adatok kiálasztása. e. Az alkalmazások által SSL kapcsolatokhoz használható szerer agy kliens igazolás kiadása a helyi igazolási hatóságtól. Ha az iseries szerer rendelkezik IBM R PCI Kriptográfiai társprocesszorral, akkor ez a lépés lehetőé teszi a szerer agy kliens igazoláshoz tartozó magánkulcs tárolásának meghatározását is. Ha a rendszerben nincs ilyen társprocesszor, akkor a Digitális igazolás kezelő az igazolást és a magánkulcsot automatikusan a *SYSTEM igazolástárolóba helyezi. A feladat részeként a Digitális igazolás kezelő létrehozza a *SYSTEM igazolástárolót. f. A szerer agy kliens igazolást SSL kapcsolatokhoz felhasználó alkalmazások kiálasztása. Megjegyzés: Győződjön meg róla, hogy kiálasztotta az OS/400 Telnet szerer alkalmazásazonosítóját (QIBM_QTV_TELNET_SERVER). g. Az új helyi igazolási hatóság segítségéel adjon ki egy objektum aláíró igazolást, amelyet az alkalmazások objektumok digitális aláírására használhatnak. Ez létrehozza az *OBJECTSIGNING igazolástárolót, amelyet az objektum aláíró igazolások kezelésére használhat. Megjegyzés: Bár ez a példahelyzet nem alkalmaz objektum aláíró igazolásokat, a lépést ettől függetlenül égre kell hajtani. Ha a feladatot ezen a ponton félbeszakítja, akkor a feladat befejeződik, és az SSL igazolásokkal kapcsolatos beállításokat később külön lépésekben kell elégezni. h. Válassza ki az alkalmazásokat, amelyek megbíznak a helyi igazolási hatóságban. Megjegyzés: Győződjön meg róla, hogy kiálasztotta az OS/400 Telnet szerer alkalmazásazonosítóját (QIBM_QTV_TELNET_SERVER). A feladat űrlapjainak kitöltése után állíthatja be a Telnet szerert kliens hitelesítés megköetelésére. 3. lépés - Telnet szerer beállítása kliens hitelesítési igazolások igénylésére A támogatás aktiálásához kérdezze meg a rendszeradminisztrátort az SSL támogatás kezeléséről. Az iseries naigátor Telnet tulajdonságai párbeszédablakának Általános lapján állíthatja be, hogy az SSL, a nem SSL agy mindkét támogatás induljon el a Telnet szerer indításakor. Alapértelmezésben az SSL és a nem SSL támogatás is mindig elindul. A rendszeradminisztrátor állíthatja be, hogy a rendszer minden Telnet szekcióhoz SSL kliens hitelesítést írjon elő. Ha az SSL aktí, és a rendszer kliens hitelesítést igényel, akkor egy érényes kliens igazolás birtoklásakor a rendszer megbízik a kliensben. Tegye a köetkezőket a Telnet szerer beállításához kliens hitelesítési igazolások igénylésére: Telnet 13

20 1. Indítsa el a Digitális igazolás kezelőt. 2. Kattintson az Igazolástároló kiálasztása gombra. 3. Válassza ki a *SYSTEM igazolástárolót, majd kattintson a Folytatás gombra. 4. Adja meg a *SYSTEM igazolástároló jelszaát, majd kattintson a Folytatás gombra. 5. A bal oldali naigációs menü újratöltése után álassza ki az Alkalmazások kezelése kategóriát a feladatok listájának megjelenítéséhez. 6. Válassza ki az Alkalmazás meghatározás frissítése feladatot az ezzel kapcsolatos űrlapok megjelenítéséhez. 7. Válassza ki a Szerer alkalmazást, majd kattintson a Folytatás gombra a szerer alkalmazások listájának megjelenítéséhez. 8. Az alkalmazások listájából álassza ki az OS/400 TCP/IP Telnet szerer bejegyzést. 9. Kattintson az Alkalmazás meghatározás frissítése elemre. 10. A megjelenő táblázatban álassza az Igen beállítást a kliens hitelesítés megköeteléséhez. 11. Kattintson az Alkalmaz gombra. Megjelenik az Alkalmazás meghatározás frissítése lap egy megerősítési üzenettel. 12. Kattintson a Kész gombra. Most, hogy engedélyezte a Telnet szereren a kliens hitelesítési igazolások megköetelését, engedélyezheti a Telnet szerer SSL funkcióját, és elindíthatja a szerert. 4. lépés - SSL engedélyezése a Telnet szereren és a szerer indítása A Telnet szerer SSL támogatásának engedélyezéséhez tegye a köetkezőket: 1. Nyissa meg aziseries naigátort. 2. Bontsa ki az iseries szerer > Hálózat > Szererek > TCP/IP elemet. 3. Kattintson a jobb egérgombbal a Telnet bejegyzésen. 4. Válassza az előugró menü Tulajdonságok menüpontját. 5. Kattintson az Általános lapra. 6. Válassza ki az SSL támogatás alamelyik beállítását: Csak édett Válassza ezt, ha a Telnet szerer csak SSL kapcsolatokat fogadhat. Csak nem édett Válassza ezt, ha a Telnet szereren tiltani kíánja a biztonságos szekciókat. Az SSL portra irányuló csatlakozási kísérletek nem járnak sikerrel. Védett és nem édett Engedélyezi mind a biztonságos, mind a nem biztonságos kapcsolatokat a Telnet szereren. A Telnet szerer elindításáhozaziseries naigátorban tegye a köetkezőket: 1. Bontsa ki az iseries szerer > Hálózat > Szererek > TCP/IP elemet. 2. A jobb oldali ablakrészben keresse meg a Telnet szerer bejegyzését. 3. Győződjön meg róla, hogy az Állapot oszlopban az Elindult felirat látható. 4. Ha a szerer nem fut, akkor kattintson a jobb egérgombbal a Telnet elemre, majd álassza az előugró menü Indítás menüpontját. 5. lépés - SSL engedélyezése a Telnet kliensben SSL szekció kialakításához a Telnet kliensnek képesnek kell lennie a Telnet szerer által bemutatott igazolás felismerésére és elfogadására. A szerer igazolásának hitelesítéséhez a Telnet kliensnek rendelkeznie kell az igazolási hatóság gyökér igazolásának egy példányáal a kulcsadatbázisban. Ha a Telnet szerer helyi 14 iseries: Telnet

21 igazolási hatóság által kibocsátott igazolást használ, akkor a Telnet kliensnek be kell szereznie a helyi igazolási hatóság igazolásának egy példányát, és telepítenie kell azt a kulcsadatbázisban. Ha az SSL szekciók kialakításának érdekében hozzá kíánja adni az iseries szereren található helyi igazolási hatóság igazolását a Telnet klienshez, akkor tegye a köetkezőket: 1. Nyissa meg aziseries naigátort. 2. Kattintson a jobb egérgombbal a rendszerre. 3. Válassza az előugró menü Tulajdonságok menüpontját. 4. Válassza ki a Védett socketek lapot. Megjegyzés: A lap csak akkor jelenik meg, ha szelektíen telepítette az iseries kliens titkosítás (5722-CE3) összeteőt. 5. Kattintson a Letöltés gombra. Ezzel automatikusan letölti az iseries igazolási hatóság igazolását a kulcsadatbázisba. 6. A program megkérdezi a kulcsadatbázis jelszaát. Ha a jelszót még nem módosította, akkor írja be a ca400 alapértelmezett jelszót. Megjelenik egy megerősítési üzenet. Kattintson az OK gombra. A Letöltés gomb automatikusan frissíti azibm R Jaa TM eszközkészlet PC kulcsadatbázisát. 6. lépés - Igazolás bemutatásának engedélyezése a Telnet kliensen hitelesítés céljából Befejeződött az Telnet szerer SSL beállítása, megadta, hogy a szerer megbízzon a helyi igazolási hatóság által kibocsátott igazolásokban, és megadta, hogy a szerer igazolást kérjen a kliens hitelesítéshez. Mostantól a felhasználóknak érényes és megbízható kliens igazolást kell bemutatnia a Telnet szerer felé minden egyes kapcsolati kérés során. A kliens hitelesítés működéséhez a klienseknek a Telnet szereren égzett hitelesítéshez igényelniük kell egy igazolást a helyi igazolási hatóságtól, és importálniuk kell az igazolást az IBM R kulcskezelés adatbázisba. Először is a klienseknek igényelniük kell egy felhasználói igazolást a Digitális igazolás kezelőben: 1. Indítsa el a Digitális igazolás kezelőt. 2. Bal oldali naigációs keretben álassza ki az Igazolás létrehozása hiatkozást. 3. A feladatok listájából álassza ki a Felhasználói igazolás bejegyzést, majd kattintson a Folytatás gombra. 4. Töltse ki a Felhasználói igazolás űrlapot. Csak a Kötelező mezőket kell feltétlenül kitölteni. Kattintson a Folytatás gombra. 5. A használt böngészőtől függően a program megkéri egy igazolás létrehozására, amely betöltésre kerül a böngészőben. Köesse a böngésző által megadott útmutatásokat. 6. A Felhasználói igazolás létrehozása lap újratöltésekor kattintson az Igazolás telepítése gombra. Ez telepíti az igazolást a böngészőben. 7. Exportálja az igazolást a számítógépre. Az igazolást jelszóédett fájlban kell tárolni. Megjegyzés: Azexportálási és importálási funkciókhozmicrosoft R Internet Explorer 5, Netscape 4.5 agy Mozilla böngésző szükséges. Ezután importálni kell az igazolást az IBM R kulcskezelés adatbázisba, hogy a Telnet kliens használhassa azt a hitelesítéshez. Ehhez tegye a köetkezőket: Telnet 15

22 A kliens igazolást létrehozó igazolási hatóság gyökér igazolását hozzá kell adni a PC kulcsadatbázisához, ellenkező esetben a kliens igazolás importálása nem fog sikerülni. 1. Kattintson a Start > Programok > IBM iseries Access for Windows R > iseries Access for Windows R tulajdonságai menüpontra. 2. Válassza ki a Védett socketek lapot. 3. Kattintson az IBM kulcskezelés gombra. 4. A program megkérdezi a kulcsadatbázis jelszaát. Ha a jelszót még nem módosította, akkor írja be a ca400 alapértelmezett jelszót. Megjelenik egy megerősítési üzenet. Kattintson az OK gombra. 5. Válassza a legördülő menü Személyes igazolások menüpontját. 6. Kattintson az Importálás elemre. 7. A Kulcs importálása ablakban adja meg azigazolás elérési útját és fájlneét. Kattintson azok gombra. 8. Adja meg a édett fájl jelszaát. Ez ugyanaz a jelszót, mint amelyet az igazolás létrehozásakor megadott a Digitális igazolás kezelőben. Kattintson az OK gombra. Miután azigazolás sikeresen bekerült azibm kulcskezelés személyes igazolásai közé, használhatja a PC5250 emulátort agy tetszőleges más Telnet alkalmazást. A lépések befejezése után a Telnet szerer kialakíthat SSL szekciókat a Telnet klienssel, és a szerer a kliens által bemutatott igazolás alapján hitelesítheti a felhasználót a különféle erőforrások használatára. Telnet szerer terezése A Telnet szerer beállítása előtt át kell gondolni bizonyos biztonsági és működési kérdéseket. Meg kell határozni, hogy a Telnet hány irtuális eszközt állíthasson be automatikusan, agy el kell dönteni, hogy saját irtuális eszközöket kíán-e használni. Az automatikusan beállított irtuális eszközök száma hatással an az engedélyezett bejelentkezési kísérletek maximális számára. A bejelentkezési kísérletek számának nöelése nöeli annak esélyeit is, hogy jogosulatlan felhasználó fér hozzá a szererhez. Érdemes lehet megfontolni toábbi biztonsági lépéseket is, például annak beállítását, hogy a Telnet szerer felismerje a megszakadt kapcsolatokat. Virtuális eszköz leírások Toábbi információk a irtuális eszköz leírások elneezéséel és konfigurálásáal kapcsolatban. Telnet biztonság Eljárások a Telnet szerer biztonságosabbá tételéhez. Virtuális eszköz leírások A Telnet irtuális eszköz leírásokat használ a megnyitott Telnet szekciókhoz tartozó kliens munkaállomás információk karbantartásához. A irtuális eszköz olyan eszközleírás, amellyel a rendszer egy felhasználó és egy táoli rendszerhez csatlakozó fizikai munkaállomás közötti kapcsolatot határoz meg. A irtuális eszközök biztosítják a fizikai eszközre (terminál agy nyomtató) onatkozó információkat a szerer programjainak. A szerer a irtuális eszköz meghatározásához a csatlakozás kliens/szerer protokollját nézi meg. Ha a szerer nem talál egy adott irtuális eszközt, akkor egy bejegyzett égprogram segítségéel próbál kijelölt irtuális eszközt találni. Ha a szerer nem talál egy irtuális eszközt, akkor megpróbálkozik egy olyan irtuális eszköz leírás illesztéséel, amelynek eszköztípusa és modellje hasonló a helyi rendszer eszközéhez. Telnet elneezési megállapodások a irtuális ezérlőkre és eszközre A Telnet szerer az OS/400 szabányoknak megfelelően az alábbi elneezési megállapodásokat használja az automatikusan létrehozott irtuális ezérlőknél és eszközöknél: A irtuális ezérlők esetén a szerer a QPACTLnn neet használja. A irtuális eszközök esetén a szerer a QPADEVxxxx neet használja. 16 iseries: Telnet

23 Megneezett irtuális eszközök esetén a szerer a irtuális ezérlőknek a QVIRCDnnnn neet adja. Megjegyzések: AzOS/400 elneezési megállapodás hatálya alatt a irtuális ezérlőknek QPACTLnn néel kell rendelkeznie, ahol az nn egy 01-nél nagyobb decimális szám. A irtuális eszköz nee QPADEVxxxx, ahol az xxxx egy 0001 és zzzzz közötti, magánhangzókat nem tartalmazó alfanumerikus karaktersorozat lehet. A QTCP felhasználói profilnak jogosultságot kell biztosítani a felhasználó által létrehozott irtuális eszközökhöz. Az automatikusan létrehozott irtuális eszközök elneezési megállapodásait a QAUTOVRT *REGFAC paraméteréel módosíthatja. Toábbi információkat a Rendszeráltozók témakör QAUTOVRT című cikkében talál. Az Eszközök rendszeráltozó - Eszközök maximális száma beállítás csak a QPACTLnn ezérlőkhöz csatlakozó irtuális eszközökre onatkozik. Az engedélyezett bejelentkezési kísérletek száma az automatikusan konfigurált irtuális eszközökkel nöekszik. A bejelentkezési kísérletek számát a megkísérelt rendszer bejelentkezések számának és a létrehozható irtuális eszközök számának szorzata adja meg. A megengedett bejelentkezési kísérletek számát a Bejelentkezéssel kapcsolatos rendszeráltozók adják meg. A Telnet szerer az automatikusan létrehozott megléő rendelkezésre álló eszközöket azonos eszköztípussal és modellszámmal rendelkező irtuális eszközök kiálasztásáal használja fel újra. Ha nincs több eszköztípus és modell megegyezés, de még annak rendelkezésre álló irtuális eszközök, akkor az eszköz típusa és modellje a kliens eszközre és az egyeztetett modellel megegyezőre áltozik. Ez az automatikusan létrehozott (QPADEVxxxx) irtuális eszközökre és a megneezett irtuális eszközökre is onatkozik. Ha saját eszközök kézi létrehozása mellett dönt, akkor a a konfiguráció egyszerű kezelése érdekében ki kell alakítani egy elneezési megállapodást. Az OS/400 objektum elneezési szabályokon belül tetszőleges eszköz- és ezérlőneeket kiálaszthat. A irtuális eszközök létrehozásáal kapcsolatos eljárásokat a Virtuális eszközök számának beállítása című témakörben találja. Telnet biztonság Ha a Telnet funkciót TCP kapcsolaton keresztül használja, akkor meg kell fontolni azokat a biztonsági rendszabályokat, amelyek lehetőé teszik agy megtiltják a felhasználóknak az iseries Telnet elérését. Érdemes például korlátozni a bejelentkezési kísérletek számát, illete azon eszközök számát, amelyen a felhasználó egyszerre bejelentkezhet. A Telnet felhasználói elérésének felügyeletéről nézze meg az alábbi témaköröket: Telnet hozzáférés megakadályozása Ha nem terezi a Telnet szerer használatát, akkor az itt megadott lépésekkel tilthatja le azt. Ez biztosítja, hogy a szerert senki ne használja a tudomása nélkül. Telnet hozzáférés felügyelete Tippek a Telnet szerer megédéséhez. Telnet 17

24 Telnet hozzáférés megakadályozása Ha senkinek sem kíánja engedélyezni az iseries Telnet szererének elérését, akkor meg kell akadályozni a Telnet szerer futását. Az iseries szerer Telnet elérésének letiltása az alábbiak szerint oldható meg. Telnet automatikus indításának megakadályozása A Telnet szererjobok automatikus indításának megakadályozásához tegye a köetkezőket: 1. AziSeries naigátorban bontsa ki aziseries szerer > Hálózat > Szererek > TCP/IP kategóriát. 2. Kattintson a jobb egérgombbal a Telnet elemre, majd álassza az előugró menü Tulajdonságok menüpontját. 3. Szüntesse meg az Indítás a TCP/IP indításakor jelölőnégyzet kiálasztását. Telnet portok elérésének megakadályozása Ha meg kíánja akadályozni a Telnet indítását, illete meg kíánja tiltani a felhasználói alkalmazásoknak az iseries által normális esetben a Telnet szererhez használt port használatát, akkor tegye a köetkezőket: 1. AziSeries naigátorban bontsa ki aziseries szerer > Hálózat > Szererek > TCP/IP kategóriát. 2. Kattintson a jobb egérgombbal a TCP/IP konfiguráció elemre, majd álassza az előugró menü Tulajdonságok menüpontját. 3. A TCP/IP konfiguráció tulajdonságai párbeszédablakban kattintson a Port korlátozások lapra. 4. A Port korlátozások lapon kattintson a Hozzáadás gombra. 5. A Port korlátozás hozzáadása párbeszédablakban adja meg a köetkezőket: Felhasználó nee: Adja meg egy édett iseries felhasználói profil neét. (A édett felhasználói profil olyan profil, amely nem birtokol jogosultságokat befogadó programokat, illete nem rendelkezik más felhasználók számára ismerhető jelszóal.) A port egy adott felhasználóra korlátozásáal automatikusan kizár minden más felhasználót. Kezdő port: 23 (nem SSL Telnet) agy 992 (SSL Telnet) Befejező port: 23 (nem SSL Telnet) agy 992 (SSL Telnet) Protokoll: TCP Megjegyzés: A portszámokat a Szolgáltatási tábla bejegyzéseinek kezelése (WRKSRVTBLE) táblázat telnet és telnet-ssl bejegyzései határozzák meg. Elképzelhető, hogy nem a 23 és 992 portra annak leképeze. Ismételje meg a fentieket minden korlátozni kíánt portra. Az általánosan használt portszámokról az Internet Assigned Numbers Authority (IANA) webhelyen tájékozódhat. 6. A korlátozás hozzáadásához kattintson az OK gombra. 7. A Port korlátozások lapon kattintson a Hozzáadás gombra, és ismételje meg a fenti lépéseket azudp protokollra. 8. Kattintson az OK gombra a port korlátozások mentéséhez és a TCP/IP konfiguráció tulajdonságai párbeszédablak bezárásához. 9. A port korlátozás a TCP/IP köetkező indításakor lép hatályba. Ha a port korlátozás beállításakor a TCP/IP aktí, akkor le kell állítani, majd újra kell indítani. 18 iseries: Telnet

25 Telnet hozzáférés felügyelete Ha a rendszert Telnet kliensek is használják, akkor figyelembe kell enni az alábbi biztonsági szempontokat: Kliens hitelesítés A Telnet szerer az SSL által biztosított szerer hitelesítés mellett kliens hitelesítésre is lehetőség an. Engedélyezése esetén az iseries Telnet szerer a szerer és kliens igazolásokat is hitelesíti, amikor a Telnet kliensek csatlakoznak a Telnet SSL portra. Az SSL porton kezdeményezett csatlakozási kísérlet során az érényes kliens igazolást nem küldő Telnet kliensek nem lesznek képesek szekció kialakítására. A V4R5 kiadásban azssl kliens hitelesítés bekapcsolását az5769-ss1-ptf SF61427 PFT fedőlap írja le. A V5R1 kiadással kezdődően az SSL kliens hitelesítés a Digitális igazolás kezelőel engedélyezhető agy tiltható le. Jelszaak édelme A Telnet jelszaak titkosítás nélkül kerülnek átitelre a hagyományos kliens és szerer között. A kapcsolati módszerektől függően elképzelhető, hogy rendszerek jelszaai onal lehallgatással megszerezhetők. A Telnet jelszaak akkor titkosítottak, ha a kliens és a szerer TN5250E egyeztetést használ titkosított jelszó cseréjéhez. Ebben az esetben a bejelentkezési panel kihagyható, a hálózaton pedig nem kerül toábbításra nyílt szöegű jelszó. TN5250E esetén csak a jelszó titkosított, a teljes adatforgalom titkosításához SSL szükséges. Megjegyzés: A onal elektronikus berendezéssel égzett megfigyelését gyakran lehallgatásnak (sniffelés) is híják. SSL Telnet szerer és SSL támogatással rendelkező Telnet kliens használatakor azonban alamennyi tranzakció, beleérte a jelszaakat is, titkosított. A Telnet SSL portot a WRKSRVTBLE Telnet-ssl bejegyzése határozza meg. Bejelentkezési kísérletek számának korlátozása: Bár a QMAXSIGN rendszeráltozó onatkozik a Telnetre, hatékonyságát csökkenti a irtuális eszközök automatikus konfigurálása. Ha a QAUTOVRT rendszeráltozó értéke nullánál nagyobb, akkor a sikertelenül bejelentkezni próbáló Telnet felhasználó újracsatlakozhat egy újonnan létrehozott irtuális eszközhöz. Ez az alábbiak alamelyikének beköetkezéséig folytatódhat: Minden irtuális eszköz letiltásra kerül, és a rendszer túllépi az új irtuális eszközök létrehozására onatkozó korlátot. Minden felhasználói profil letiltásra kerül. A betörő sikeresen bejelentkezik a rendszerre. A irtuális eszközök automatikus konfigurálása megtöbbszörözi a rendelkezésre álló Telnet kísérletek számát. Megjegyzés: A irtuális eszközök egyszerűbb felügyelete érdekében a QAUTOVRT rendszeráltozót érdemes lehet röid időre beállítani nullánál nagyobb értékekre. Ilyenkor a Telnet használatáal kényszerítse a rendszert a irtuális eszközök létrehozására, agy árja meg, amíg a felhasználók megfelelő számú irtuális eszközt hoznak létre. Ezután állítsa a QAUTOVRT rendszeráltozót ismét nullára. A Telnet bőítései lehetőséget biztosítanak arra, hogy korlátozza a betörők számára a rendszerbe lépéshez rendelkezésre álló kísérletek számát. Létrehozhat egy olyan égprogramot, amelyet a rendszer minden egyes alkalommal meghí, amikor egy kliens Telnet szekciót kezdeményez. A égprogram fogadja a kérést kiadó IP címét. Ha a program azonos IP címről röid idő alatt több kérést is észlel, akkor letilthatja a címről érkező toábbi kéréseket, és üzenetet küldhet a QSYSOPR üzenetsorba. A Telnet égprogram képességeit a Telnet égprogram képességének áttekintése című témakör írja le. Telnet 19