FreeRADIUS 802.1x сетевой доступ локальных пользователей
Контроль сетевого доступа локальных пользователей может быть использован в небольшой сети уровня рабочих групп. Данный подход не подразумевает наличие централизованных служб вроде LDAP, Active Directory, Samba Domain и др, а все учетные записи для входа в ОС хранятся локально.
FreeRADIUS под управлением ОС ALT
01 Первоначальная настройка
01.01 Установить пакет freeradius:
|
1 |
apt-get install freeradius |
01.02 Удалить дефолтные сертификаты:
|
1 2 |
cd /etc/raddb/certs rm -f *csr *key *p12 *pem *crl *crt *der *mk *txt *attr *old serial dh |
01.03 Измененные параметры генерации ca.cnf, server.cnf:
|
1 2 3 4 5 6 7 8 9 10 11 |
[ CA_default ] default_days = 3640 default_crl_days = 3640 [certificate_authority] countryName = RU stateOrProvinceName = SMR localityName = Samara organizationName = SPECNIX emailAddress = cert@specnix.corp commonName = "RADIUS EAP CA" |
01.04 client.cnf
|
1 2 3 4 5 6 7 8 9 10 11 |
[ CA_default ] default_days = 3640 default_crl_days = 3640 [certificate_authority] countryName = RU stateOrProvinceName = SMR localityName = Samara organizationName = SPECNIX emailAddress = user@specnix.corp commonName = "RADIUS EAP CA" |
01.05 Сгенерировать новые сертификаты
|
1 2 3 4 |
cd /etc/raddb/certs make cd ../ chown root:radiusd certs/* |
Сертификат client.p12 импортировать в хранилище сертификатов локального компьютера под управлением ОС Windows. Обязательно, при импорте оставить выбранный пункт: «Включить все расширенные свойства».
02 Основные настройки
02.01 Настроить доступ для локальной учетной записи Administrator ОС Windows.
Добавить в файл /etc/raddb/users следующие строки:
|
1 2 3 4 |
Administrator Cleartext-Password := "p@ssw0rd" Tunnel-Type = "VLAN", Tunnel-Medium-Type = "IEEE-802", Tunnel-Private-Group-ID = "101" |
Логин и пароль должны строго соответствовать логину и паролю локальной учетной записи ОС.
02.02 Настроить подключение клиента (коммутатора) к FreeRADIUS
Добавим в файл /etc/raddb/clients.conf строки
|
1 2 3 |
client 192.168.0.11 { secret = passw0rd } |
02.03 Настроить EAP в FreeRADIUS
Изменить параметр в секции eap «use_tunneled_reply = yes», а в других секциях параметр «use_tunneled_reply» перевести в «no» если активен.
/etc/raddb/mods-enabled/eap:
|
1 2 3 4 5 6 |
peap { tls = tls-common default_eap_type = mschapv2 copy_request_to_tunnel = no use_tunneled_reply = yes virtual_server = "inner-tunnel" |
02.04 Запустить FreeRADIUS
|
1 |
systemctl enable radiusd.service --now |
03 Не обязательные настройки
03.01 Включить поддержку модуля отладки
|
1 2 |
cd /etc/raddb/sites-enabled/ ln -s ../sites-available/control-socket control-socket |
Отредактировать control-socket
|
1 2 3 4 5 |
listen { type = control socket = ${run_dir}/${name}.sock mode = rw } |
Активировать отладку
|
1 2 3 |
radmin debug level 4 exit |
Дальше смотреть подробные логи.
04 Настроить ОС Windows
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
.----------------------------------------------------------------. | Ethernet: свойства | |----------------------------------------------------------------| | ______| Проверка подлинности |________________________________ | || || || v Вкючить проверку подлинности IEEE 802.1X || || || || Выберите метод проверки подлинности в сети: || || .---------------------------------------. .-----------. || || | Microsoft: защищенные EAP (PEAP) | | Параметры | || || '---------------------------------------' '-----------' || || || || v Запоминать мои учетные данные для этого || || подключения при каждом входе в систему || || || || _ Вернуться к неавторизованному сетевому || || доступу || ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ |
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 |
.----------------------------------------------------------------. | Свойства защищенного EAP | |----------------------------------------------------------------| | При подключении: | | v Подтвердить удостоверение сервера с помощью проверки | | сертификата | | _ Подключаться к следующим серверам (примеры: | | srv1;srv2;.*\.srv3\.com): | | .-------------------------------------------------------. | | | | | | '-------------------------------------------------------' | | | | Доверенные корневые центры сертификации | .-------------------------------------------------------. | | | RADIUS EAP CA | | | '-------------------------------------------------------' | | | | Уведомление перед подключением: | | .-------------------------------------------------------. | | | Уведомить пользователя, если не указано имя сервера...| | | '-------------------------------------------------------' | | | | Выберите метод проверки подлинности: | | .---------------------------------------. .-----------. | | | защищенный пароль (EAP-MSCHAP v2) | | Настроить | | | '---------------------------------------' '-----------' | | v Включить быстрое переподключение | | | | _ Отключаться, если сервер не поддерживает привязку с | | шифрованием через механизм TLV | | _ Включить удостоверение .---------------------------. | | конфиденциальности | | | | '---------------------------' | ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ |
Добавить комментарий