Tôi đang thiết lập một mạng không dây cho ~ 150 người dùng. Nói tóm lại, tôi đang tìm một hướng dẫn để đặt máy chủ RADIUS xác thực WPA2 dựa trên LDAP. Trên Ubuntu.
- Tôi đã có một LDAP hoạt động, nhưng vì nó không được sử dụng trong sản xuất, nên nó có thể dễ dàng thích nghi với mọi thay đổi mà dự án này có thể yêu cầu.
- Tôi đã xem FreeRADIUS, nhưng bất kỳ máy chủ RADIUS nào cũng được.
- Chúng tôi có một mạng vật lý riêng chỉ dành cho WiFi, vì vậy không có quá nhiều lo lắng về bảo mật trên mặt trận đó.
- AP của chúng tôi là những thứ dành cho doanh nghiệp cấp thấp của HP - họ dường như hỗ trợ bất cứ điều gì bạn có thể nghĩ tới.
- Tất cả máy chủ Ubuntu, em yêu!
Và tin xấu:
- Bây giờ tôi có người ít hiểu biết hơn tôi cuối cùng sẽ nắm quyền quản trị, vì vậy việc thiết lập phải "tầm thường" nhất có thể.
- Cho đến nay, thiết lập của chúng tôi chỉ dựa trên phần mềm từ kho Ubuntu, ngoại trừ ứng dụng web quản trị LDAP của chúng tôi và một vài tập lệnh đặc biệt nhỏ. Vì vậy, không có "tìm nạp gói X, cho đến khi, ./có hình" nếu có thể tránh được.
CẬP NHẬT 2009-08-18:
Trong khi tôi tìm thấy một số tài nguyên hữu ích, có một trở ngại nghiêm trọng:
Ignoring EAP-Type/tls because we do not have OpenSSL support.
Ignoring EAP-Type/ttls because we do not have OpenSSL support.
Ignoring EAP-Type/peap because we do not have OpenSSL support.
Về cơ bản, phiên bản Ubuntu của FreeRADIUS không hỗ trợ SSL ( lỗi 183840 ), điều này làm cho tất cả các loại EAP an toàn trở nên vô dụng. Bummer.
Nhưng một số tài liệu hữu ích cho bất cứ ai quan tâm:
- http://vuksan.com/linux/dot1x/802-1x-LDAP.html
- http://tldp.org/HOWTO/html_single/8021X-HOWTO/#confradius
CẬP NHẬT 2009-08-19:
Tôi đã kết thúc việc biên soạn gói FreeRADIUS của riêng mình vào tối hôm qua - có một công thức thực sự tốt tại http://www.linuxinsight.com/building-debian-freeradius-package-with-eap-tls-ttls-peap-support.html (Xem các ý kiến cho bài viết để được hướng dẫn cập nhật).
Tôi đã nhận được chứng chỉ từ http://CACert.org (có lẽ bạn sẽ nhận được chứng chỉ "thực" nếu có thể)
Sau đó, tôi đã làm theo các hướng dẫn tại http://vuksan.com/linux/dot1x/802-1x-LDAP.html . Liên kết này đến http://tldp.org/HOWTO/html_single/8021X-HOWTO/ , đây là một bài đọc rất đáng giá nếu bạn muốn biết cách bảo mật WiFi hoạt động.
CẬP NHẬT 2009-08-27:
Sau khi làm theo hướng dẫn ở trên, tôi đã có được FreeRADIUS để nói chuyện với LDAP:
Tôi đã tạo một người dùng thử nghiệm trong LDAP, bằng mật khẩu mr2Yx36M- điều này mang lại một mục nhập LDAP khoảng:
uid: testuser
sambaLMPassword: CF3D6F8A92967E0FE72C57EF50F76A05
sambaNTPassword: DA44187ECA97B7C14A22F29F52BEBD90
userPassword: {SSHA}Z0SwaKO5tuGxgxtceRDjiDGFy6bRL6ja
Khi sử dụng radtest, tôi có thể kết nối tốt:
> radtest testuser "mr2Yx36N" sbhr.dk 0 radius-private-password
Sending Access-Request of id 215 to 130.225.235.6 port 1812
User-Name = "msiebuhr"
User-Password = "mr2Yx36N"
NAS-IP-Address = 127.0.1.1
NAS-Port = 0
rad_recv: Access-Accept packet from host 130.225.235.6 port 1812, id=215, length=20
>
Nhưng khi tôi thử qua AP, nó không bay - trong khi nó xác nhận rằng nó tìm ra mật khẩu NT và LM:
...
rlm_ldap: sambaNTPassword -> NT-Password == 0x4441343431383745434139374237433134413232463239463532424542443930
rlm_ldap: sambaLMPassword -> LM-Password == 0x4346334436463841393239363745304645373243353745463530463736413035
[ldap] looking for reply items in directory...
WARNING: No "known good" password was found in LDAP. Are you sure that the user is configured correctly?
[ldap] user testuser authorized to use remote access
rlm_ldap: ldap_release_conn: Release Id: 0
++[ldap] returns ok
++[expiration] returns noop
++[logintime] returns noop
[pap] Normalizing NT-Password from hex encoding
[pap] Normalizing LM-Password from hex encoding
...
Rõ ràng là mật khẩu NT và LM khác với ở trên, nhưng thông báo [ldap] user testuser authorized to use remote access- và người dùng sau đó bị từ chối ...