Wpa/WPA2-Radius+EAP-TLS/EAP-PEAP

----- Country Name (2 letter code) [KZ]: KZ State or Province Name (full name) [ALMT]: ALMT Almaty []: Almaty Organization Name (eg, company) [My Favorite Company]: Organizational Unit Name (eg, section) [IT-department]: Common Name (eg, YOUR name) []:RADIUS Root Certificate Email Address []:root@mydomain.org MAC verified OK

----- Country Name (2 letter code) [KZ]: State or Province Name (full name) [ALMT]: Almaty []: Organization Name (eg, company) [My Favorite Company]: Organizational Unit Name (eg, section) [IT-department]: Common Name (eg, YOUR name) []:server.name.local Email Address []:root@mydomain.org A challenge password []:SERVERPASSWORD Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y MAC verified OK

----- Country Name (2 letter code) [KZ]: State or Province Name (full name) [ALMT]: Almaty []: Organization Name (eg, company) [My Favorite Company]: Organizational Unit Name (eg, section) [IT-department]: Common Name (eg, YOUR name) []:client.name.local Email Address []:client@mydomain.org A challenge password []:CLIENTPASSWORD Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y

default_eap_type = tls # используем протокол EAP-TLS ........ tls { certdir = ${confdir}/certs cadir = ${confdir}/certs private_key_password = SERVERPASSWORD private_key_file = ${certdir}/server.name.local.pem certificate_file = ${certdir}/server.name.local.pem CA_file = ${cadir}/root.pem dh_file = ${certdir}/dh1024.pem random_file = ${certdir}/random }

mschap { use_mppe = yes # использовать алгоритм mppe require_encryption = yes # использовать шифрование require_strong = yes # всегда требует ключ 128 бит шифрования with_ntdomain_hack = yes # Windows посылает нам имя пользователя в форме # ДОМЕН \ пользователь, но посылает вызов ответ # на основе только часть пользователей. Этот хак # корректирует, что неправильное поведение.


		
		










5.2. Настройка FreeBSD 8.X



Не забываем про нашу любимую ОС

Подгружаем модули



/boot/loader.conf


wlan_ccmp_load="YES" # Включаем поддержку AES 
#wlan_tkip_load="YES" # TKIP мне не нужен, уж больно не надежен

Подгружаем драйвера



/boot/loader.conf


if_ath_load="YES" # у меня Ralink RT2500USB но в примере я возьму Atheros

Настраиваем WPA_supplicant

создаем папку mkdir /etc/wpa_supplicant, вы можете выбрать другую папку, копируем туда наши сертификаты из папки pem



root.pem

client.name.local.pem







/etc/wpa_supplicant.conf


network={
  ssid="bla-bla-bla"
  proto=RSN
  key_mgmt=WPA-EAP
  eap=TLS
  identity="loader"
  ca_cert="/etc/wpa_supplicant/root.pem"
  client_cert="/etc/wpa_supplicant/client.name.local.pem"
  private_key="/etc/wpa_supplicant/client.name.local.pem"
  private_key_passwd="CLIENTPASSWORD"
}

Если вы запустили FreeRadius в режиме отладки то во время подключение клиентов к сети вы уведите следующие:

..........
Message-Authenticator = 0x58eXXXXXXXXXXXXXXXXXXXXXXXXX
Service-Type = Framed-User
User-Name = "client.name.local"
Framed-MTU = 1488
State = 0xe7b150a9e4b85d68bcd4fc8d4cb0b30c
Called-Station-Id = "00-1E-XX-XX-XX-XX:bla-bla-bla"
Calling-Station-Id = "00-1B-XX-XX-XX-XX"
NAS-Identifier = "D-Link Access Point"
NAS-Port-Type = Wireless-802.11
Connect-Info = "CONNECT 54Mbps 802.11g"
EAP-Message = 0x020900060d00
NAS-IP-Address = 192.168.0.150
NAS-Port = 3
NAS-Port-Id = "STA port # 3"
..........




6.Отзыв клиентского сертификата



Бывает такая ситуация когда пользователи увольняются, прихватывая за собой свои ноутбуки, надо сделать так чтобы эта злыдня писюкатая не могла больше войти в сеть, для этого отзываем сертификат, в архиве для этого есть скрипт CA_revoke.sh.


# echo "01" >> ./demoCA/crlnumber

# ./CA_revoke.sh client.name.local ROOTPASSWORD

в папке revoke появится файл root-revoked.pem, копируем этот ключ в /usr/local/etc/raddb/certs


# cp ./revoke/root-revoked.pem /usr/local/etc/raddb/certs



/usr/local/etc/raddb/eap.conf


tls {
.........
#	CA_file = ${cadir}/root.pem # меняем на 

	CA_file = ${cadir}/root-revoked.pem
.........
#### добавляем
	check_crl = yes
}

Вот и все



P.S. Информация для счастливых обладателей Windows XP SP2 я хочу на помнить что в данной ОС нет поддержки WPA2, решение данной задачи обновления системы до SP3 или поставит патчик

P.S. Насчет как подключить коммуникаторы? я думаю разберитесь сами, пишите на форуме, язык и до Киева до видеть 





http://wiki.freeradius.org/

http://www.freebsd.org/doc/handbook/network-wireless.html

Maximus, 2011-05-18 в 18:57:42

Скрипты для создание и отзыва Сертификатов - не скачиваются! За статью спасибо!

Salimk, 2011-05-18 в 19:44:43

>Скрипты для создание и отзыва Сертификатов - не скачиваются! я сам в шоке вроде все сделал по инструкции а их нету, поэтому я их выложил на форуме http://forum.lissyara.su/download/file.php?id=3822&sid=8c23b3775b67a49f601a59407de746b7

fox, 2011-06-03 в 0:02:36

А с контроллером домена на правельной оси под LDAP это реально привязать к учёткам?

Salimk, 2011-06-03 в 8:31:02

> А с контроллером домена на правельной оси под LDAP это реально привязать к учёткам? Вообще да, но я пока еще это не реализовал, все рука не доходит до делать, вот мои конфиге для лдап, если за работает отпишитесь что да кака modules/ldap: ldap { server = "192.168.0.1" identity = "cn=Manager,dc=mydomain,dc=local" password = MY-PASS basedn = "ou=Users,dc=mydomain,dc=local" filter = "(posixAccount)(uid=%u))" } sites-available/default: authorize { #files ldap }

fox, 2011-06-03 в 11:17:02

Спасибо, скоро буду пробовать обязательно поделюсь впечатлениями!)))

VN8, 2011-07-31 в 20:33:10

Хочу дополнить касательно авторизации EAP-PEAP, т.е. без использования сертификатов, на friradius2. Кроме как в /usr/local/etc/raddb/sites-available/default запись "ntdomein" нужно раскомментировать и в /usr/local/etc/raddb/sites-available/inner-tunnel (тоже в разделе authorize {}). По крайней мере, у меня Win 7 авторизацию не проходила без активации этой записи.

bbk, 2011-08-05 в 10:23:21

Скрины для настройки Win 7 для связки Freeradius2 + EAP-TLS + WPA2 + Windows7 здесь.

`Оставьте свой комментарий:`
`Ваше имя: *`
`e-mail:`
`жирный` `наклонный` `подчёркнутый` `ссылка` `цвет`	Товарищщи! Это поля для ввода комментариев к статье, а не для вопросов. Сюда пишите найденные баги, или какие-то фичи :) Для вопросов есть форум!
`Нынешний год: *`