Forum Discussion

MoritaKazuyuki_'s avatar
MoritaKazuyuki_
Icon for Nimbostratus rankNimbostratus
Sep 16, 2016

How to enable password auth on BIG-IP LTM

Hi,everyone   Could you show me how to enable password auth without challenge response auth on BIG-IP.   In my network,some clients without implementing challenge response auth exist.  
BIG-IP
LTM
security
Josiah_39459's avatar
Josiah_39459
Historic F5 Account

I don't fully understand the question. I assume you are talking about APM. You want some users to authenticate one way (locally stored password?) and others to authenticate a different way (challenge response) and you already have the challenge response part working?

In this case you will need to first get the username and then branch to the appropriate logon method based on that username (or whatever criteria it is to determine which auth method to use). So 

[ gather information ] - [ empty box with two branches ] -- a logic [auth method a]
                                                         -- b logic [auth method b]

Regarding password authentication, you can use localdb to authenticate against a local username or password (https://support.f5.com/kb/en-us/products/big-ip_apm/manuals/product/apm-authentication-single-sign-on-11-6-0/13.html?sr=57214347) or of course you can also use AAA AD auth, ldap auth, radius auth, etc

森田様

お世話になっております。F5ネットワークスのジョサイアです。もしよろしければ日本語での対応もできますので、回答させていただきます。

まずは質問の内容を確認させていただきます。同じVIPで何かの条件によってユーザたちを２つに分けてそれぞれの認証を行う設定方法についての説明が必要とされますでしょう。それなら、まずVPE(Visual Policy Editor)でその条件のデータを取得し（例えばユーザ名）、そして「Empty Box」の「Branch Rule」でTCLを利用して２つに分けます（複雑の場合はiRuleも可能です)。そしたら、各セッションが今のご利用されている「challenge response」かもしくは、新しい「password auth」に導入されて、それぞれの対応ができます。なお、「password auth」については多分「local userdb」が適切だそうですが、ad, ldap, radiusなどもあります。「local userdb」はこちらで確認できます　（https://support.f5.com/kb/en-us/products/big-ip_apm/manuals/product/apm-authentication-single-sign-on-11-6-0/13.html?sr=57214347）

それにこれを全部正しく実現するには、お客様の環境や事情にてかなり違いますので、こういう一般的な説明しか申し上げられません。大変申し訳ございませんが、私はこの掲示板を通してその細かい設定までなにも出来ませんので、コンサルティングにお願いしていただきますか、ある程度の自分自身の努力が必要になります。

といっても、具体的な問い合わせや不明点がありましたら、気軽に遠慮なく連絡してください。以上、よろしくお願い致します。

Josiah_39459's avatar
Josiah_39459
Historic F5 Account
Oct 06, 2016

森田様 詳しいご説明をどうもありがとうございました。最初の回答があまりにも的外れで失礼いたしました。以下の手順でsshの設定が変えられます。



[root@bigip:Active] config  tmsh
root@bigip(Active)(/Common)(tmos) edit sys sshd

-----
 Adding the following configuration 

modify sshd {
    include "
    ChallengeResponseAuthentication no
    PasswordAuthentication yes"
    }
-----

Save changes? (y/n/e) y
root@bigip(Active)(/Common)(tmos) 
root@bigip(Active)(/Common)(tmos) save sys config
 snip 
root@bigip(Active)(/Common)(tmos) show running-config sys sshd
sys sshd {
    include "
    ChallengeResponseAuthentication no
    PasswordAuthentication yes"
}

以上、よろしくお願い致します。