Я встановлюю бездротову мережу для ~ 150 користувачів. Коротше кажучи, я шукаю посібник для встановлення RADIUS-сервера для автентифікації WPA2 проти LDAP. На Ubuntu.
- Я отримав робочий LDAP, але оскільки він не використовується у виробництві, він може бути дуже легко адаптований до будь-яких змін, які цього проекту можуть вимагати.
- Я дивився на FreeRADIUS, але будь-який RADIUS сервер зробить.
- Ми отримали окрему фізичну мережу лише для WiFi, тому не надто багато турбот про безпеку на цьому фронті.
- Наші AP - це найнижчі підприємства компанії HP - вони, здається, підтримують все, що ви можете придумати.
- Усі сервери Ubuntu, дитина!
І погані новини:
- Я зараз хтось менш обізнаний, ніж я, врешті-решт візьме на себе адміністрацію, тому налаштування має бути максимально тривіальним.
- Поки наша установка базується лише на програмному забезпеченні з репозиторіїв Ubuntu, за винятком нашого веб-додатку для адміністрування LDAP та кількох невеликих спеціальних сценаріїв. Так що жодного "завантажувального пакета X, untar, ./configure"-things, якщо це неможливо.
ОНОВЛЕННЯ 2009-08-18:
Хоча я знайшов кілька корисних ресурсів, є одна серйозна перешкода:
Ignoring EAP-Type/tls because we do not have OpenSSL support.
Ignoring EAP-Type/ttls because we do not have OpenSSL support.
Ignoring EAP-Type/peap because we do not have OpenSSL support.
В основному версія Ubuntu FreeRADIUS не підтримує SSL ( помилка 183840 ), що робить усі захищені типи EAP марними. Бампер.
Але кілька корисних документів для всіх, хто цікавиться:
- http://vuksan.com/linux/dot1x/802-1x-LDAP.html
- http://tldp.org/HOWTO/html_single/8021X-HOWTO/#confradius
ОНОВЛЕННЯ 2009-08-19:
Я вчора ввечері склав власний пакет FreeRADIUS - на http://www.linuxinsight.com/building-debian-freeradius-package-with-eap-tls-ttls-peap-support.html (див. Див. Справді хороший рецепт) коментарі до публікації для оновлених інструкцій).
Я отримав сертифікат від http://CACert.org (ви, ймовірно, повинні отримати "справжній" серт, якщо це можливо)
Потім я дотримувався вказівок на веб-сайті http://vuksan.com/linux/dot1x/802-1x-LDAP.html . Це посилання на http://tldp.org/HOWTO/html_single/8021X-HOWTO/ , які дуже варто прочитати, якщо ви хочете знати, як працює безпека Wi-Fi.
ОНОВЛЕННЯ 2009-08-27:
Дотримуючись вищезазначеного керівництва, мені вдалося змусити FreeRADIUS поговорити з LDAP:
Я створив тестового користувача в LDAP з паролем mr2Yx36M- це дає запис LDAP приблизно:
uid: testuser
sambaLMPassword: CF3D6F8A92967E0FE72C57EF50F76A05
sambaNTPassword: DA44187ECA97B7C14A22F29F52BEBD90
userPassword: {SSHA}Z0SwaKO5tuGxgxtceRDjiDGFy6bRL6ja
Під час використання radtestя можу добре підключити:
> radtest testuser "mr2Yx36N" sbhr.dk 0 radius-private-password
Sending Access-Request of id 215 to 130.225.235.6 port 1812
User-Name = "msiebuhr"
User-Password = "mr2Yx36N"
NAS-IP-Address = 127.0.1.1
NAS-Port = 0
rad_recv: Access-Accept packet from host 130.225.235.6 port 1812, id=215, length=20
>
Але коли я пробую AP, він не летить - хоча він підтверджує, що він з'ясовує паролі NT і LM:
...
rlm_ldap: sambaNTPassword -> NT-Password == 0x4441343431383745434139374237433134413232463239463532424542443930
rlm_ldap: sambaLMPassword -> LM-Password == 0x4346334436463841393239363745304645373243353745463530463736413035
[ldap] looking for reply items in directory...
WARNING: No "known good" password was found in LDAP. Are you sure that the user is configured correctly?
[ldap] user testuser authorized to use remote access
rlm_ldap: ldap_release_conn: Release Id: 0
++[ldap] returns ok
++[expiration] returns noop
++[logintime] returns noop
[pap] Normalizing NT-Password from hex encoding
[pap] Normalizing LM-Password from hex encoding
...
Зрозуміло, що паролі NT і LM відрізняються від вищезазначених, але повідомлення [ldap] user testuser authorized to use remote access- і користувач пізніше відхиляється ...