Eduroam Training 18.11.2010 Конфигурација на freeradius.
-
Upload
lucas-anderson -
Category
Documents
-
view
225 -
download
2
Transcript of Eduroam Training 18.11.2010 Конфигурација на freeradius.
![Page 1: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/1.jpg)
eduroam Training
18.11.2010
Конфигурација на freeradius
![Page 2: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/2.jpg)
18.11.2011 [email protected] 2
Агенда
Инсталација и конфигурација на freeradius Конфигурација на eduroam Service provider
(Авторизација) Конфигурација на eduroam Identity provider
(Автентификација)
Конфигурација на Access PointКонфигурација на клиенти
![Page 3: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/3.jpg)
18.11.2011 [email protected] 3
Identity vs. Service Provider
Home institution = Identity Provider
• База за управување со идентитети
• Врши АВТЕНТИФИКАЦИЈА – Дали корисникот е оној кој се претставува дека е?
Visited institution = Service Provider
• Ја нуди својата мрежна инфраструктура (e.g. Access points, VLANS, пристап до интернет, RADIUS сервери)
• Врши АВТОРИЗАЦИЈА – Каков мрежен пристап треба да добие корисникот?
![Page 4: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/4.jpg)
18.11.2011 [email protected] 4
Service Provider (SP)
Конфигурација на RADIUS сервер
Конфигурација access point со SSID eduroam
Конфигурација на supplicants
![Page 5: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/5.jpg)
18.11.2011 [email protected] 5
freeradius
www.freeradius.org
Компајлирање и инсталација на FreeRADIUS• ./configure --sysconfdir=... • make• make install
Конфигурациските фајлови се наоѓаат во• $SYSCONFDIR/raddb/*
![Page 6: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/6.jpg)
18.11.2011 [email protected] 6
Важни фајлови
clients.conf proxy.confsites-enabled/eduroam radiusd.conf
![Page 7: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/7.jpg)
18.11.2011 [email protected] 7
clients.conf
Дефиниција на клиенти - уреди коишто
можат да праќаат request-и до серверот:
• Access points претставуваат клиенти за RADIUS серверот
• Останатите RADIUS сервери во хиерархијата се исто така клиенти
Секој клиент е дефиниран со посебна client { ... } структура
• Дефиницијата вклучува shared secret
![Page 8: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/8.jpg)
18.11.2011 [email protected] 8
clients.conf
#Definicija na RADIUS klienti (NAS, Access Point, itn.).
#localhost za testiranje
client localhost {ipaddr = 127.0.0.1secret = testing123shortname = localhostnastype = othervirtual_server = eduroam
}
#access points so shared secretsclient __CLIENT_DESCRIPTIVE_NAME__{ ipaddr = __CLIENT_IP_ADDR__ netmask = 32 secret = __SHARED_SECRET__ shortname = __CLIENT_SHORT_NAME__ nastype = other virtual_server = eduroam}
#uplink RADIUS server od federacijataclient tld1.eduroam.mk { ipaddr = 194.149.131.37 netmask = 32 secret =_SHARED_SECRET__ shortname = eduroam-tld1 nastype = other virtual_server = eduroam}
![Page 9: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/9.jpg)
18.11.2011 [email protected] 9
proxy.conf
Препраќање на request-и дo FLRs и управување со realms
Рутирањето во eduroam се базира на т.н. realms кои се одредуваат со @suffix
home_server, home_server_pool и realm DEFAULT (во proxy.conf) + suffix модул
![Page 10: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/10.jpg)
18.11.2011 [email protected] 10
proxy.conf
proxy server {default_fallback = yes
}
#FTLR
home_server tld1-eduroam-mk { type = auth+acct ipaddr = 194.149.131.37 port = 1812 secret = __SHARED_SECRET__ response_window = 20 zombie_period = 40 revive_interval = 60 status_check = status-server check_interval = 10 num_answers_to_alive = 3}
home_server_pool EDUROAM-FTLR { type = fail-over home_server = tld1-eduroam-mk}
realm NULL { nostrip
}
realm DEFAULT { pool = EDUROAM-FTLR nostrip}
![Page 11: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/11.jpg)
18.11.2011 [email protected] 11
radiusd.conf
Референцира т.н. Виртуелни сервери
Виртуелниот сервер (eduroam) дефинира кои модули се извршуваат за даден request
SP не врши автентификација, само ги препраќа добиените пакети од клиентите до proxy серверите, откако ќе ги испроцесира
realm suffix {format = suffixdelimiter = "@"
}
![Page 12: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/12.jpg)
18.11.2011 [email protected] 12
eduroam Виртуелен сервер
preacct { suffix}
accounting { }
pre-proxy { pre_proxy_log if (Packet-Type != Accounting-Request) { attr_filter.pre-proxy }}post-proxy { attr_filter.post-proxy post_proxy_log}
}
server eduroam { authorize {
auth_log suffix }
authenticate { }
post-auth { reply_log Post-Auth-Type REJECT { reply_log } }
![Page 13: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/13.jpg)
18.11.2011 [email protected] 13
Identity Provider (IdP)
Identity Provider = Service Provider + :
• Сопствен realm (__institucija__.mk)
• EAP Endpoint - Неколку конфигурациски промени во серверот
• База на корисници
![Page 14: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/14.jpg)
18.11.2011 [email protected] 14
proxy.conf
сопствениот realm се обработува локално
realm __INSTITUCIJA__.mk {
nostrip
}
![Page 15: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/15.jpg)
18.11.2011 [email protected] 15
Виртуелен сервер eduroam
EAP модулот се додава во authorize и authenticate authorize { auth_log suffix if ((Proxy-To-Realm == DEFAULT) && (User-Name =~
/.*@.*.__INSTITUCIJA__.mk$/)){ update control {
Proxy-To-Realm := NULL }}eap
}
authenticate {eap
}
![Page 16: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/16.jpg)
18.11.2011 [email protected] 16
eduroam-inner-tunnel
Внатрешна автентификација: нов виртуелен сервер eduroam-inner-tunnel
authorize { auth_log files mschap pap}
post-auth { reply_log Post-Auth-Type REJECT { reply_log }}
authenticate { Auth-Type PAP{ pap } Auth-Type MS-CHAP{ mschap }}
![Page 17: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/17.jpg)
18.11.2011 [email protected] 17
eap.conf
дефинира: • дозволени EAP методи• Серверски сертификат
eap { ….ttls {
default_eap_type = papcopy_request_to_tunnel =
yesuse_tunneled_reply = yesvirtual_server = "eduroam-inner-tunnel"
}
peap {default_eap_type = mschapv2copy_request_to_tunnel =
yesuse_tunneled_reply = yesvirtual_server = "eduroam-inner-tunnel"
}
}
![Page 18: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/18.jpg)
eduroam Training
18.11.2010
Конфигурација на Access Point
![Page 19: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/19.jpg)
18.11.2011 [email protected] 19
Конфигурација на Access Point
SSIDEncryptionNTPRADIUS uplinkIP адреса
![Page 20: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/20.jpg)
18.11.2011 [email protected] 20
Конфигурација на Access Point (dd-wrt)
Setup Basic Setup Time Settings
(конфедерациско побарување: сигурен временски извор)
![Page 22: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/22.jpg)
eduroam Training
18.11.2010
Конфигурација на Supplicants
![Page 30: Eduroam Training 18.11.2010 Конфигурација на freeradius.](https://reader035.fdocuments.net/reader035/viewer/2022062421/56649cef5503460f949bd903/html5/thumbnails/30.jpg)
18.11.2011 [email protected] 30
SecureW2
Control Panel Network Connections Wireless Network Connection
WPA2/AES или WPA/TKIP
* WPA patch за XP SP2