150 kullanıcı için kablosuz bir ağ kuruyorum. Kısacası, RADIUS sunucusunu WPA2'yi bir LDAP'ye göre doğrulayacak şekilde ayarlamak için bir rehber arıyorum. Ubuntu üzerinde.
- Çalışan bir LDAP aldım, ancak üretimde olmadığı için bu projenin gerektirebileceği değişikliklere kolayca adapte edilebilir.
- FreeRADIUS'a bakıyorum, ancak herhangi bir RADIUS sunucusu yapacak.
- Sadece WiFi için ayrı bir fiziksel ağımız var, bu yüzden bu cephedeki güvenlik hakkında çok fazla endişe duymuyoruz.
- AP'lerimiz HP'nin düşük kaliteli kurumsal ürünleridir - aklınıza gelebilecek her şeyi destekliyor gibi görünüyorlar.
- Hepsi Ubuntu Sunucusu, bebeğim!
Ve kötü haber:
- Şimdi benden daha az bilgili biri sonunda yönetimi devralacak, bu yüzden kurulumun mümkün olduğunca "önemsiz" olması gerekiyor.
- Şimdiye kadar, kurulumumuz LDAP yönetim web uygulamamız ve birkaç küçük özel komut dosyası haricinde yalnızca Ubuntu depolarındaki yazılımlara dayanmaktadır. Dolayısıyla, "önlenebilirse X, untar, ./configure"-things paketini getirmeyin.
GÜNCELLEME 2009-08-18:
Birkaç yararlı kaynak buldum, ancak ciddi bir engel var:
Ignoring EAP-Type/tls because we do not have OpenSSL support.
Ignoring EAP-Type/ttls because we do not have OpenSSL support.
Ignoring EAP-Type/peap because we do not have OpenSSL support.
Temel olarak FreeRADIUS'un Ubuntu sürümü SSL'yi ( hata 183840 ) desteklemez, bu da tüm güvenli EAP türlerini işe yaramaz hale getirir. Aylak.
Ancak ilgilenen herkes için bazı yararlı belgeler:
- http://vuksan.com/linux/dot1x/802-1x-LDAP.html
- http://tldp.org/HOWTO/html_single/8021X-HOWTO/#confradius
GÜNCELLEME 2009-08-19:
Dün akşam kendi FreeRADIUS paketimi derledim - http://www.linuxinsight.com/building-debian-freeradius-package-with-eap-tls-ttls-peap-support.html adresinde gerçekten iyi bir tarif var (Bkz. güncellenen talimatlar için yayına yapılan yorumlar).
Http://CACert.org adresinden bir sertifika aldım (mümkünse "gerçek" bir sertifika almanız gerekir)
Sonra http://vuksan.com/linux/dot1x/802-1x-LDAP.html adresindeki talimatları uyguladım . Bu , WiFi güvenliğinin nasıl çalıştığını bilmek istiyorsanız çok değerli bir okuma olan http://tldp.org/HOWTO/html_single/8021X-HOWTO/ adresine bağlanır.
GÜNCELLEME 2009-08-27:
Yukarıdaki kılavuzu izledikten sonra FreeRADIUS'un LDAP ile konuşmasını sağladım:
LDAP'da şifre ile bir test kullanıcısı oluşturdum mr2Yx36M- bu kabaca bir LDAP girişi veriyor:
uid: testuser
sambaLMPassword: CF3D6F8A92967E0FE72C57EF50F76A05
sambaNTPassword: DA44187ECA97B7C14A22F29F52BEBD90
userPassword: {SSHA}Z0SwaKO5tuGxgxtceRDjiDGFy6bRL6ja
Kullanırken radtest, ince bağlayabilirsiniz:
> radtest testuser "mr2Yx36N" sbhr.dk 0 radius-private-password
Sending Access-Request of id 215 to 130.225.235.6 port 1812
User-Name = "msiebuhr"
User-Password = "mr2Yx36N"
NAS-IP-Address = 127.0.1.1
NAS-Port = 0
rad_recv: Access-Accept packet from host 130.225.235.6 port 1812, id=215, length=20
>
Ama AP denediğimde, uçmuyor - NT ve LM şifrelerini çözdüğünü doğrularken:
...
rlm_ldap: sambaNTPassword -> NT-Password == 0x4441343431383745434139374237433134413232463239463532424542443930
rlm_ldap: sambaLMPassword -> LM-Password == 0x4346334436463841393239363745304645373243353745463530463736413035
[ldap] looking for reply items in directory...
WARNING: No "known good" password was found in LDAP. Are you sure that the user is configured correctly?
[ldap] user testuser authorized to use remote access
rlm_ldap: ldap_release_conn: Release Id: 0
++[ldap] returns ok
++[expiration] returns noop
++[logintime] returns noop
[pap] Normalizing NT-Password from hex encoding
[pap] Normalizing LM-Password from hex encoding
...
NT ve LM parolalarının yukarıdakilerden farklı olduğu açıktır, ancak mesaj [ldap] user testuser authorized to use remote access- ve daha sonra kullanıcı reddedilir ...