Настройка RADIUS + LDAP для WPA2 в Ubuntu

Я постараюсь здесь ответить на вопрос о LDAP.

Вот краткий ответ: убедитесь, что ldap модуль удален из authenticate раздел и убедитесь, что mschap модуль присутствует как в authorize и authenticate раздел. И просто проигнорируйте «Неизвестный хороший пароль».

А теперь (очень) длинный ответ.

Как работает модуль ldap?

Когда вы активируете ldap модуль в authorize раздел, вот что он делает, когда пакет RADIUS получен FreeRADIUS:

1. он пытается подключиться к серверу LDAP (в качестве гостевого пользователя или с использованием данного идентификатора, если он настроен в ldap.conf)
2. он ищет запись DN пользователя, используя фильтр под базовым DN (настроенным в ldap.conf).
3. он выбирает все атрибуты LDAP, которые он может получить среди тех, которые настроены в ldap.attrmap, и преобразует их в атрибуты RADIUS.
4. он добавляет эти атрибуты в список элементов проверки пакета RADIUS.

Когда вы активируете ldap модуль в authenticate раздел, вот что делает FreeRADIUS:

1. он пытается привязаться к серверу LDAP как пользователь.
2. если он может привязать, то это успешная аутентификация, и Radius-Accept пакет будет отправлен обратно клиенту, иначе это сбой, приводящий к Radius-Reject пакет.

Итак, как я могу настроить FreeRADIUS, чтобы PEAP / MS-CHAP-v2 работал с LDAP?

Важным моментом здесь является то, что привязка как пользователь будет работать только в том случае, если сервер FreeRADIUS может получить пароль пользователя в открытом виде из полученного пакета RADIUS. Это только в том случае, когда используются методы аутентификации PAP или TTLS / PAP (и, возможно, также EAP / GTC). Только метод TTLS / PAP действительно безопасен, и по умолчанию он недоступен в Windows. Если вы хотите, чтобы ваши пользователи подключались к TTLS / PAP, вам необходимо, чтобы они установили программное обеспечение TTLS, которое редко бывает возможным. В большинстве случаев при развертывании WiFi с WPA Enterprise securiy PEAP / MS-CHAP-v2 является единственным разумным вариантом.

Итак, суть в следующем: если вы не используете PAP или TTLS / PAP, вы можете безопасно удалить ldap модуль из authenticate раздел, и на самом деле вам следует: привязка как пользователь не будет работать.

Если ваш тест работает, когда вы используете radtest, это, вероятно, означает, что ldap модуль активируется в authenticate раздел: он попытается выполнить привязку как пользователь, и, поскольку radtest использует аутентификацию PAP, это будет успешно. Но это не удастся, если вы попытаетесь подключиться через точку доступа, поскольку вы используете PEAP / MS-CHAP-v2.

Что вам следует сделать, так это удалить ldap модуль из authenticate раздел и убедитесь, что вы активировали mschap модуль как в authorize и authenticate раздел. Что произойдет, так это то, что mschap модуль позаботится об аутентификации с помощью NT-Password атрибут, который извлекается с сервера LDAP во время authorize фаза.

Вот что твое sites-enabled/default файл должен выглядеть (без всех комментариев):

    ...
    authorize {
        preprocess
        suffix
        eap {
            ok = return
        }
        expiration
        logintime
    }
    authenticate {
        eap
    }
    ...

А вот что твое sites-enabled/inner-tunnel файл должен выглядеть так:

    ...
    authorize {
        mschap
        suffix
        update control {
               Proxy-To-Realm := LOCAL
        }
        eap {
            ok = return
        }
        ldap
        expiration
        logintime
    }
    authenticate {
        Auth-Type MS-CHAP {
            mschap
        }
        eap
    }
    ...

Как насчет предупреждения "Нет известного надежного пароля"?

Что ж, можете смело игнорировать это. Это просто потому, что ldap модуль не смог найти UserPassword атрибут, когда он получил данные о пользователе с сервера LDAP во время authorize фаза. В вашем случае у вас есть NT-Password атрибут, и это прекрасно для PEAP/MS-CHAP-v2 аутентификация.

Я предполагаю, что предупреждение существует, потому что когда ldap модуль был разработан, PEAP/MS-CHAP-v2 еще не существовало, поэтому единственное, что казалось разумным в то время, - это получить атрибут UserPassword с сервера LDAP, чтобы использовать PAP, CHAP, EAP / MD5 или другие методы аутентификации.

Я постараюсь ответить здесь на вопрос OpenSSL: краткий ответ - используйте FreeRADIUS 2.1.8 или выше, который включает OpenSSL. Он доступен в бэкпортах Ubuntu Lucid и Debian Lenny (и, вероятно, в конечном итоге также появится в бэкпортах Ubuntu Karmic).

Вот длинный ответ:

К сожалению, лицензия OpenSSL была (в некоторой степени) несовместима с лицензией FreeRADIUS. Поэтому люди Ubuntu решили предоставить двоичный файл FreeRADIUS. не связан с OpenSSL. Если вам нужен EAP / TLS, PEAP или TTLS, вы было получить исходники и скомпилировать их с --with-openssl вариант (как объясняет рецепт, который вы использовали).

Но недавно проблема с лицензированием исправлена. FreeRADIUS версии 2.1.8 или выше можно компилировать и распространять с OpenSSL. Плохая новость заключается в том, что самый последний стабильный дистрибутив Ubuntu (Karmic Koala) включает только FreeRADIUS 2.1.0 без OpenSSL (то же самое касается Debian, поскольку Lenny содержит только FreeRADIUS 2.0.4). Я проверил Karmic-backports, но похоже, что FreeRADIUS 2.1.8 или выше еще не был загружен туда (но он может быть добавлен в ближайшее время, посмотри здесь). Так что пока вы должны либо переключиться на Ubuntu Lucid (который включает FreeRADIUS 2.1.8), либо придерживаться компиляции. Для пользователей Debian дела обстоят немного ярче: бэкпорты Lenny включают FreeRADIUS 2.1.8. Поэтому, если вам нужно что-то очень стабильное, простое в установке и обслуживании, я предлагаю вам развернуть сервер с Debian Lenny и установить пакет FreeRADIUS с обратным переносом (он также дает вам возможность бесплатно писать модули python без необходимости перекомпилировать с помощью все экспериментальные модули).

Я получил сертификат от http://CACert.org (если возможно, вам следует получить "настоящий" сертификат)

Есть одна проблема с «настоящими» сертификатами (в отличие от самоподписанных сертификатов).

Я использовал один, подписанный Thawte. Он работает нормально, и пользователи видят красивый «действительный» сертификат с названием вроде www.my-web-site.com. Когда пользователь принимает сертификат, его компьютер действительно понимает, что все сертификатам, выпущенным одним и тем же центром сертификации, следует доверять (Я тестировал это с Windows Vista и MacOSX Snow Leopard)! Итак, в моем случае, если у хакера есть сертификат, скажем, на www.some-other-web-site.com, также подписанный Thawte, то он может легко запустить атаку Man-in-the-middle без каких-либо предупреждений, отображаемых на компьютере пользователя!

Решение этой проблемы лежит в глубине конфигурации сети компьютера пользователя, чтобы специально указать, что доверять следует только «www.my-web-site.com». Это займет всего минуту, но большинство пользователей не будут знать, где это настроить, если вы не дадите им четкую процедуру и убедитесь, что все пользователи ей следуют. Я до сих пор использую «действительные» сертификаты, но, честно говоря, разочаровывает то, что и Windows, и MacOSX разделяют эту «ошибку»: доверие к центру сертификации вместо конкретного сертификата. Ой ...

Согласно отчету об ошибке, простая перестройка FreeRADIUS должна решить проблему с поддержкой OpenSSH. Это нужно сделать только один раз.

Я не уверен, какое отношение имеет простота администрирования к настройке. Часто, чем сложнее и детальнее настройка, тем проще ее администрировать, потому что настройка охватывала все основы. Вы имеете в виду, что конфигурацию нужно легко удалить и на других серверах? Сколько беспроводных локальных сетей вы настраиваете?

После настройки администрирование должно быть ограничено добавлением, удалением и изменением пользователем LDAP. Это должно быть достаточно просто, чтобы либо создать сценарий с помощью ldapmodify (и др.), Либо найти достойный графический интерфейс LDAP и документировать процессы со снимками экрана.

Я столкнулся с той же проблемой. Мне пришлось загрузить исходники RADIUS и скомпилировать их самостоятельно.

Вы можете использовать FreeRADIUS2 (с OpenSSL) + EAP-TLS + WPA2-enterprises. Вот wery подробное КАК. Windows XP SP3 имеет встроенную поддержку, а также Windows 7, Android 2.3, iPhone, Symbian. Но я не знаю о совместимости с SLDAP в такой схеме.