1.Установка Radius2

Можно взять freeradius v1.X, изначально он у меня и стоял, а потом я как то не заметно перешел на freeradius2, по сути там и там будет работать одинакова.



# cd /usr/ports/net/freeradius2 # make install clean

еще понадобится openssl

2.Генерируем ключи и сертификаты

2.1 Качаем нужные скрипты:

Скрипты не мои я их с freeradius.org позаимствовал.


Скрипты для создание и отзыва Сертификатов файл скачан размер размещён примечание 1360 1.6kb 2011-05-19 Скрипты для создание и отзыва Сертификатов




CA_root.sh
CA_server.sh
CA_client.sh



2.2. Создаем файл xpextensions



[color=green]# # For use with the 'CA.all' script. # [ xpclient_ext] extendedKeyUsage = 1.3.6.1.5.5.7.3.2 [ xpserver_ext] extendedKeyUsage = 1.3.6.1.5.5.7.3.1 [/color]


2.3 Создаем корневой сертификат



# ./CA_root.sh ROOTPASSWORD

----- Country Name (2 letter code) [KZ]: KZ State or Province Name (full name) [ALMT]: ALMT Almaty []: Almaty Organization Name (eg, company) [My Favorite Company]: Organizational Unit Name (eg, section) [IT-department]: Common Name (eg, YOUR name) []:RADIUS Root Certificate Email Address []:root@mydomain.org MAC verified OK


2.4 Создаем сертификат сервера



# echo "01" > ./demoCA/serial # touch ./demoCA/index.txt

./CA_server.sh server.name.local SERVERPASSWORD ROOTPASSWORD

----- Country Name (2 letter code) [KZ]: State or Province Name (full name) [ALMT]: Almaty []: Organization Name (eg, company) [My Favorite Company]: Organizational Unit Name (eg, section) [IT-department]: Common Name (eg, YOUR name) []:server.name.local Email Address []:root@mydomain.org A challenge password []:SERVERPASSWORD Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y MAC verified OK


2.5 Создаем сертификат клиента



[color=red] # ./CA_client.sh client.name.local CLIENTPASSWORD ROOTPASSWORD [/color]

----- Country Name (2 letter code) [KZ]: State or Province Name (full name) [ALMT]: Almaty []: Organization Name (eg, company) [My Favorite Company]: Organizational Unit Name (eg, section) [IT-department]: Common Name (eg, YOUR name) []:client.name.local Email Address []:client@mydomain.org A challenge password []:CLIENTPASSWORD Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y


2.6 Создаем ключ Diffie-Hellman



# openssl dhparam -out dh1024.pem 1024


2.7 Записываем Random длиной 1024 байт



# dd if=/dev/urandom of=random count=2

2.8 Следующие ключи копируем в папку /usr/local/etc/raddb/certs



# cp ./pem/root.pem /usr/local/etc/raddb/certs/ # cp ./server.name.local.pem /usr/local/etc/raddb/certs/ # cp ./dh1024.pem /usr/local/etc/raddb/certs/ # cp ./random /usr/local/etc/raddb/certs/

После этого переходим непосредственно к настройке конфигурационных файлов FreeRADIUS


3. Настройка FreeRADIUS


3.1 EAP-TLS


/usr/local/etc/raddb/clients.conf



### В самый конец пихаем: client 192.168.0.150/32 { secret = qwerty shortname = LocolNet Access point }

Эта запись означает, что клиент с адресом 192.168.0.150 авторизируется на RADIUS-е с паролем qwerty
Shortname будет использована при логировании событий связанных с этой точкой доступа


/etc/raddb/radiusd.conf

Этот файл не требует никаких настроек относительно стандартных.
Единственное надо проверить чтобы в секции modules был включен файл настроек eap.conf


modules { ........ $INCLUDE ${confdir}/modules/ ........ $INCLUDE eap.conf ........ }


/usr/local/etc/raddb/eap.conf



default_eap_type = tls # используем протокол EAP-TLS ........ tls { certdir = ${confdir}/certs cadir = ${confdir}/certs private_key_password = SERVERPASSWORD private_key_file = ${certdir}/server.name.local.pem certificate_file = ${certdir}/server.name.local.pem CA_file = ${cadir}/root.pem dh_file = ${certdir}/dh1024.pem random_file = ${certdir}/random }


3.2. EAP-PEAP

Ранее я писал о том что у пользователей есть коммуникаторы (iPad, iPhone, Nokia и т.п), здесь проблема в том что в них нельзя установит наши сертификаты, как быть с ними, ради этого мне еще пришлось настраивать EAP-PEAP, может кому и пригодится если нет можете пропустить этот пункт


/usr/local/etc/raddb/modules/mschap



mschap { use_mppe = yes # использовать алгоритм mppe require_encryption = yes # использовать шифрование require_strong = yes # всегда требует ключ 128 бит шифрования with_ntdomain_hack = yes # Windows посылает нам имя пользователя в форме # ДОМЕН \ пользователь, но посылает вызов ответ # на основе только часть пользователей. Этот хак # корректирует, что неправильное поведение.

добавляем следующие строки в

/usr/local/etc/raddb/modules/realm



realm ntdomain { format = prefix delimiter = "\\" ignore_default = no ignore_null = no }


/usr/local/etc/raddb/sites-available/default



authorize { ......... # suffix ntdomain ......... }

добавляем следующие строки в

/usr/local/etc/raddb/proxy.conf



realm DEFAULT { type = radius authhost = LOCAL accthost = LOCAL }

Далее открываем eap.conf и подключаем к нашему TLS еще PEAP

/usr/local/etc/raddb/eap.conf



default_eap_type = tls peap ........ peap { default_eap_type = mschapv2 }

Теперь надо завести базу пользователей с паролями, FreeRaduis может хранит базу пользователей в различных хранилищах в текстовом файле, LDAP, MySQL, PgSQL и даже системные. Я не стал заморачиватся с SQL и LDAPом, а проста завел в текстовый файл, тем более у меня их всего 4 юзера.


/usr/local/etc/raddb/modules/files



files { usersfile = ${confdir}/users.db compat = no }


/usr/local/etc/raddb/users.db



user1 Cleartext-Password := "user1pass" user2 Cleartext-Password := "user2pass" user3 Cleartext-Password := "user3pass" user4 Cleartext-Password := "user4pass"

вроде все нечего не забыл


3.3 Тестирование и запуск FreeRadius



# echo 'radiusd_enable="YES"' >> /etc/rc.conf # chown freeradius:freeradius /usr/local/etc/raddb/certs/*

radiusd -fX

........ Listening on authentication address 192.168.0.X port 1812 Listening on accounting address 192.168.0.X port 1813 Listening on command file /var/run/radiusd/radiusd.sock Listening on proxy address 192.168.0.X port 1814 Ready to process requests.

все ОК



4. Настраиваем точку доступа


Заходим в настройки точки доступа http://192.168.0.150 (у меня так, а вообще по дефолту 192.168.0.50)