WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti

Oleme juba kirjeldanud mõningaid näiteid ettevõtte WiFi korraldamiseks. Siin ma selgitan, kuidas selline lahendus ellu viia ja millised probleemid olid seoses erinevate seadmetega ühendamisega. Kasutame juba olemasolevat LDAP koos registreeritud kasutajatega, seadistame FreeRadiusi ja konfigureerime WPA2-Enterprise Ubnt kontrolleris. Näib, et kõik on lihtne. Vaadake…

Natuke EAP meetoditest

Enne ülesande täitmise alustamist tuleb otsustada, millist autentimismeetodit meie lahenduses kasutada.

Vikipeediast:

EAP on autentimisraamistik, mida kasutatakse sageli traadita võrkudes ja punkt-punkt ühendustes. Formaat kirjeldati esmakordselt RFC 3748-s ja uuendati RFC 5247-s.
EAP-d kasutatakse autentimismeetodi valimiseks, võtmete edastamiseks ja nende võtmete töötlemiseks, mida tehakse EAP meetoditeks nimetatud moodulite kaudu. EAP meetodeid on palju, nii neid, mis on määratletud koos EAP-iga, kui ka eraldi tootjate poolt välja antud. EAP ei määratle kanalitaset, see määratleb ainult sõnumite formaadi. Igal EAP-d kasutaval protokollil on oma EAP sõnumite kapseldamise protokoll.

Meetodid ise:

• LEAP on CISCO loodud patenteeritud protokoll. Leitud on turvaauke. Praegu ei soovitata kasutada.
• EAP-TLS on hästi toetatud traadita ühenduste pakkujate seas. See on turvaline protokoll, kuna on SSL-standardite järeltulija. Kliendi seadistamine on üsna keeruline. Vajalik on klientsertifikaat koos parooliga. Toetatakse paljudes süsteemides.
• EAP-TTLS on laialdaselt toetatud paljudes süsteemides, pakkudes head turvalisust, kasutades PKI sertifikaate ainult autentimisseervas.
• EAP-MD5 on teine avatud standard. Pakkuda minimaalset turvalisust. On haavatav, ei toeta vastastikust autentimist ja võtmete genereerimist.
• EAP-IKEv2 põhineb Internet Key Exchange Protokollil versioon 2. Tagab vastastikuse autentimise ja seansivõtme loomise kliendi ja serveri vahel.
• PEAP on CISCO, Microsofti ja RSA Security ühislahendus, millel on avatud standard. Laialdaselt saadaval toodetes, tagades väga hea turvalisuse. Sarnane EAP-TTLS-iga, nõudes ainult sertifikaati serveripoolses osas.
• PEAPv0/EAP-MSCHAPv2 — pärast EAP-TLS on see teine laialdaselt kasutatav standard maailmas. Kasutatakse kliendi-serveri suhet Microsoftis, Ciscos, Apple'is ja Linuxis.
• PEAPv1/EAP-GTC — loodud Cisco poolt alternatiivina PEAPv0/EAP-MSCHAPv2-le. Ei kaitse autentimisandmeid mingil juhul. Windows OS-is ei toetata.
• EAP-FAST — meetod, mille on välja töötanud Cisco, et parandada LEAP-i puudusi. Kasutab Protected Access Credential (PAC). Pole täielikult arendatud.

Kõikidest neist valikutest ei ole valik siiski lai. Autentimismeetodilt nõuti: head turvalisust, tuge erinevates seadmetes (Windows 10, macOS, Linux, Android, iOS) ja lihtsust. Seega langes valik EAP-TTLS kasuks koos PAP-protokolliga.
Võib tekkida küsimus — miks siis kasutada PAP-i? kas see ei edasta paroole avatud kujul?

Jah, kõik on õige. Suhtlemine FreeRadius ja FreeIPA vahel toimub just nii. Vigade jälgimise režiimis saab jälgida, kuidas edastatakse kasutajanimi ja parool. Ja olgu saadetud, kuid teil on ju juurdepääs FreeRadius serverile.

Lisainfot EAP-TTLS töö kohta saab lugeda. siit

FreeRADIUS

Tõstame FreeRadius üles CentOS 7.6-l. Siin pole midagi keerulist, installeerime tavapärasel viisil.

yum install freeradius freeradius-utils freeradius-ldap -y

Pakettidest installitakse versioon 3.0.13. Viimast saab võtta aadressilt. https://freeradius.org/

Pärast seda töötab FreeRadius juba. Failis /etc/raddb/users saab kommenteerida rea.

steve   Cleartext-Password := "testing"

Käivita server silumise režiimis.

freeradius -X

Ja teeme katseühenduse localhostiga.

radtest steve testing 127.0.0.1 1812 testing123

Saime vastuse. Received Access-Accept Id 115 from 127.0.0.1:1812 to 127.0.0.1:56081 length 20, see tähendab, et kõik on korras. Jätkame edasi.

Ühendame mooduli. ldap.

ln -s /etc/raddb/mods-available/ldap /etc/raddb/mods-enabled/ldap

Ja muudame seda kohe. Me vajame, et FreeRadius saaks rääkida FreeIPA-ga.

mods-enabled/ldap

ldap {
server="ldap://ldap.server.com"
port=636
start_tls=yes
identity="uid=admin,cn=users,dc=server,dc=com"
password=**********
base_dn="cn=users,dc=server,dc=com"
set_auth_type=yes
...
user {
base_dn="${..base_dn}"
filter="(uid=%{%{Stripped-User-Name}:-%{User-Name}})"
}
...

Taaskäivitage radius-server ja kontrollige LDAP kasutajate sünkroonimist:

radtest user_ldap password_ldap localhost 1812 testing123

Toimetame eap-d mods-enabled/eap
Siia lisame kaks eksemplari eap-d. Need erinevad ainult sertifikaatide ja võtmete poolest. Veidi allpool selgitan, miks just nii.

mods-enabled/eap

eap eap-client {                                                                                                                                                                                                                           default_eap_type = ttls                                                                                                                                                                                                                 timer_expire = 60                                                                                                                                                                                                                       ignore_unknown_eap_types = no                                                                                                                                                                                                          cisco_accounting_username_bug = no                                                                                                                                                                                                      max_sessions = ${max_requests}
           tls-config tls-common {
           private_key_file = ${certdir}/fisrt.key
           certificate_file = ${certdir}/first.crt
           dh_file = ${certdir}/dh
           ca_path = ${cadir}
           cipher_list = "HIGH"
           cipher_server_preference = no
           ecdh_curve = "prime256v1"
           check_crl = no
           }
                                                                                                                                                                                                                                                                                                                                                                                                                                                 
           ttls {
           tls = tls-common
           default_eap_type = md5
           copy_request_to_tunnel = no
           use_tunneled_reply = yes
           virtual_server = "inner-tunnel"
           }
}
eap eap-guest {
default_eap_type = ttls                                                                                                                                                                                                                 timer_expire = 60                                                                                                                                                                                                                       ignore_unknown_eap_types = no                                                                                                                                                                                                          cisco_accounting_username_bug = no                                                                                                                                                                                                      max_sessions = ${max_requests}
           tls-config tls-common {
           private_key_passwotd=blablabla
           private_key_file = ${certdir}/server.key
           certificate_file = ${certdir}/server.crt
           dh_file = ${certdir}/dh
           ca_path = ${cadir}
           cipher_list = "HIGH"
           cipher_server_preference = no
           ecdh_curve = "prime256v1"
           check_crl = no
           }
                                                                                                                                                                                                                                                                                                                                                                                                                                                 
           ttls {
           tls = tls-common
           default_eap_type = md5
           copy_request_to_tunnel = no
           use_tunneled_reply = yes
           virtual_server = "inner-tunnel"
           }
}

Jätkame redigeerimist site-enabled/default. Huvi pakuvad jaotised authorize ja authenticate.

site-enabled/default

authorize {
  filter_username
  preprocess
  if (&User-Name == "guest") {
   eap-guest {
       ok = return
   }
  }
  elsif (&User-Name == "client") {
    eap-client {
       ok = return 
    }
  }
  else {
    eap-guest {
       ok = return
    }
  }
  ldap
  if ((ok || updated) && User-Password) {
    update {
        control:Auth-Type := ldap
    }
  }
  expiration
  logintime
  pap
  }

authenticate {
  Auth-Type LDAP {
    ldap
  }
  Auth-Type eap-guest {
    eap-guest
  }
  Auth-Type eap-client {
    eap-client
  }
  pap
}

Jaotis authorize loobime kõik moodulid, mida me ei vaja. Jätame alles ainult ldap. Lisame kliendi kontrolli kasutajanime järgi. Just selleks lisasime varem kaks eksemplari eap.

Multi EAPTegelikult, kui ühendame mõned seadmed, kasutame süsteemi sertifikaate ja märkime domeeni. Meil on sertifikaat ja võti usaldusväärselt sertifitseerimiskeskuselt. Minu arvates on see ühendumisprotseduur lihtsam, kui visata igale seadmele iseallkirjastatud sertifikaat. Kuid ka ilma iseallkirjastatud sertifikaatideta me ei saanud hakkama. Samsungi seadmed ja Android < 6 versioon ei oska kasutada süsteemi sertifikaate. Seetõttu loome neile eraldi eksemplari eap-guest iseallkirjastatud sertifikaatidega. Kõikidele teistele seadmetele kasutame eap-client usaldusväärse sertifikaadiga. User-Name määratakse Anonymous väljast ühendamisel. Lubatud on kasutada ainult 3 väärtust: Guest, Client ja tühi väli. Kõik muu jäetakse kõrvale. See seadistatakse poliitikates. Toome näite natuke hiljem.

Redigeerime jaotised authorize ja authenticate site-enabled/inner-tunnel

site-enabled/inner-tunnel

authorize {
  filter_username
  filter_inner_identity
  update control {
   &Proxy-To-Realm := LOCAL
  }
  ldap
  if ((ok || updated) && User-Password) {
    update {
        control:Auth-Type := ldap
    }
  }
  expiration
  digest
  logintime
  pap
  }

authenticate {
  Auth-Type eap-guest {
    eap-guest
  }
  Auth-Type eap-client {
    eap-client
  }
  Auth-Type PAP {
    pap
  }
  ldap
}

Jätkamiseks peame poliitikates määrama, milliseid nimesid saab kasutada anonüümseks sisenemiseks. Redigeerime policy.d/filter.

Peame leidma read, mis näevad välja sellised:

if (&outer.request:User-Name !~ /^(anon|@)/) {
  update request {
    Module-Failure-Message = "User-Name ei ole anonymiseeritud"
  }
  reject
}

Ja allpool elsif lisama vajalikud väärtused:

elsif (&outer.request:User-Name !~ /^(guest|client|@)/) {
  update request {
    Module-Failure-Message = "User-Name ei ole anonymiseeritud"
  }
  reject
}

Nüüd peame liikuma katalooge certs. Siia tuleb panna võti ja sertifikaat usaldusväärselt sertifitseerimiskeskuselt, mis meil juba on, ja genereerida iseallkirjastatud sertifikaadid eap-guest jaoks.

Muudame parameetreid failis ca.cnf.

ca.cnf

...
default_days = 3650
default_md = sha256
...
input_password = blablabla
output_password = blablabla
...
countryName = EE
stateOrProvinceNmae = Osariik
localityNmae = Linn
organizationName = NONAME
emailAddress = admin@admin.ee
commonName = "CA FreeRadius"

Samad väärtused kirjutame failis server.cnf. Muudame ainult
commonName:

server.cnf

...
default_days = 3650
default_md = sha256
...
input_password = blablabla
output_password = blablabla
...
countryName = EE
stateOrProvinceNmae = Osariik
localityNmae = Linn
organizationName = NONAME
emailAddress = admin@admin.ee
commonName = "Server Certificate FreeRadius"

Loomeme:

tee

Valmis. Saadud server.crt ja server.key on meil juba soovitud eap-guest failis.

Ja viimane, lisame meie juurdepääsupunktid faili client.conf. Mul on neid 7. Selleks, et mitte iga punkti eraldi lisada, kirjutame lihtsalt võrgu, kuhu nad kuuluvad (minu juurdepääsupunktid asuvad eraldi VLAN-is).

client APs {
ipaddr = 192.168.100.0/24
password = password_AP
}

Ubiquiti kontroller

Kontrolleris loome eraldi võrgu. Olgu see 192.168.2.0/24
Liigume seadetesse -> profiil. Loome uue:

Kiresime radius-serveri aadressi ja portaad ja parooli, mille me failis oleme määranud clients.conf:

Loome uue juhtmeta võrgu nime. Autentimise meetodina valime WPA-EAP (Enterprise) ja osutame loodud radius-profiilile:

Kinnitame kõik, rakendame ja liigume edasi.

Kliendi seadistamine

Alustame kõige keerulisemast!

ja Android. Ja kuigi sageli ei toimind need süsteemid eriti hästi, on huvitav, et see on üldse võimalik.

Raskus seisneb selles, et Windows ei oska veel domeeni kaudu ettevõtte WiFi-iga ühenduda. Seetõttu peame käsitsi oma sertifikaadi usaldusväärsete sertifikaatide salvestusse lisama. Siin saab kasutada kas ise allkirjastatud või sertifitseerimiskeskusest.

Seejärel tuleb luua uus ühendus. Selleks liikume võrgu- ja Interneti seadete juurde -> Võrgu ja jagamise juhtimiskeskus -> Uue ühenduse või võrgu loomine ja seadistamine:

Käsitsi kirjutame võrgu nime ja muudame turvatüüpi. Seejärel vajutame muuda ühenduse seadeid ja turvalisuse vahekaardil valime võrgu autentimise - EAP-TTLS.

Siseneme seadetele, määrame autentimise konfidentsiaalsuse - client. Usaldusväärse sertifitseerimiskeskuse valimisel valime lisatud sertifikaadi, märkime kasti "Ärge kuvage kasutajale kutset, kui serveri autentimine ebaõnnestub" ja autentimise meetodina valime - krüpteerimata parooli (PAP).

Jätkame lisaseadete juurde, paneme märgi "Määrake autentimise režiim". Valime "Kasutaja autentimine" ja vajutame salvesta sisselogimisandmed. Siia tuleb sisestada username_ldap ja password_ldap

Salvestame kõik, rakendame, sulgeme. Saame hakata uude võrku ühenduma.

Linux

Olen testinud Ubuntu 18.04, 18.10, Fedora 29, 30.

Alustuseks laadime alla sertifikaadi. Ma ei leidnud Linuxist, kas on võimalik kasutada süsteemi sertifikaate ja kas seal on üldse selline hoidla.

Ühendume domeeni kaudu. Seetõttu on vajalik sertifikaat sertifitseerimisasutuselt, kellelt meie sertifikaat on soetatud.

Kogu ühendamine toimub ühes aknas. Valime meie võrgu:

anonüümne — klient
domeen — domeen, millele sertifikaat on välja antud

Android

non-Samsung

Alates versioonist 7 on WiFi ühendamisel võimalik kasutada süsteemi sertifikaate, märkides ainult domeeni:

domeen — domeen, millele sertifikaat on välja antud
anonüümne — klient

Samsung

Nagu juba eespool mainisin, ei oska Samsungi seadmed WiFi ühendamisel kasutada süsteemi sertifikaate ja neil pole domeeni kaudu ühendamise võimalust. Seetõttu tuleb käsitsi lisada sertifitseerimiskeskuse juureskirjastus (ca.pem, saame Radius serverilt). Siin kasutatakse iseallkirjastatud sertifikaati.

Laadime sertifikaadi oma seadmesse ja installime selle.

Sertifikaadi installimine







Selleks tuleb installida ekraanilukustuse muster, PIN-kood või parool, kui see pole veel seadistatud:

Kusin keerukat sertifikaadi installimise varianti. Enamikus seadmetes piisab lihtsalt allalaaditud sertifikaadile klikkimisest.

Kui sertifikaat on installitud, saame liikuda ühendamise juurde:

sertifikaat — näitame seda, mida oleme installinud
anonüümne kasutaja — külaline

macOS

Apple'i seadmed saavad kohe ühenduda ainult EAP-TLS-iga, kuid sertifikaat tuleb ikka neile edastada. Teise ühendamismeetodi valimiseks tuleb kasutada Apple Configurator 2. Seetõttu tuleb see eelnevalt Macile alla laadida, luua uus profiil ja lisada kõik vajalikud WiFi seaded.

Apple Configurator



Siin märkige oma võrgu nimi
Turbetüüp — WPA2 Enterprise
Aktsepteeritud EAP tüübid — TTLS
Kasutajanimi ja parool — jätame tühjaks
Siseautentimine — PAP
Väline identiteet — klient

Usaldusväärsuse vahekaart. Siin märgime oma domeeni

Kõik. Profiili saab salvestada, allkirjastada ja jagada seadmetele

Kui profiil on valmis, tuleb see mac-ile alla laadida ja installida. Installimise käigus tuleb sisestada kasutaja ldap ja parool ldap.

iOS

Protsess on samasugune nagu macOS-is. Tuleb kasutada profiili (seda võib kasutada sama, mis macOS-i jaoks). Kuidas profiili luua Apple Configuratoris, vaata ülalpool).

Laadi profiil alla, installi see, sisesta kasutajatunnused ja ühenda:

Sellega on kõik. Oleme seadistanud Radius-serveri, sünkrooninud selle FreeIPA-ga ja määranud Ubiquiti juurdepääsupunktidele kasutama WPA2-EAP.

Võimalikud küsimused

K: kuidas edastada profiil/sertifikaat töötajale?

V: Kõik sertifikaadid/profiilid hoian FTP-s, millele pääseb ligi läbi veebi. Olen seadistanud külalisjao, kus juurdepääs on piiratud kiirusest ja ainult internetti, välja arvatud FTP.
Autentimine kestab 2 päeva, pärast mida see kustutatakse ja klient jääb ilma internetita. Seega, kui töötaja soovib WiFi-ga ühendada, peab ta esmalt ühendama külalisse võrku, minema FTP-sse, laadima alla soovitud sertifikaadi või profiili, installima need ja pärast seda saab ta ühendada ettevõtte võrku.

K: miks mitte kasutada MSCHAPv2 skeemi? see on ju turvalisem!

V: Esiteks töötab see skeem hästi NPS-is (Windows Network Policy System), meie rakenduses on vajalik täiendavate LDAP (FreeIpa) seadistamine ja paroolide räsi hoidmine serveris. Täiendavate seadistuste tegemine pole soovitatav, kuna see võib põhjustada erinevaid sünkroonimisprobleeme. Teiseks, räsi on MD4, seega ei tõsta see eriti turvalisust.

K: kas seadmeid saab autoriseerida MAC-aadresside järgi?

V: EI, see ei ole turvaline, häkker võib MAC-aadresse petta ja autoriseerimine MAC-aadresside järgi ei ole paljude seadmete poolt toetatud.

K: miks üldse neid sertifikaate kasutada? saab ju ka ilma nendeta ühendada.

V: sertifikaate kasutatakse serveri autoriseerimiseks. See tähendab, et seade kontrollib ühendamisel, kas see on usaldusväärne server või mitte. Kui on, siis autentimine jätkub, kui ei, siis ühendus sulgetakse. Ühenduda on võimalik ka sertifikaatideta, kuid kui pahatahtlik isik või naaber seab endale kodus radius-serveri ja juurdepääsupunkti sama nimega nagu meil, saab ta kergesti tabada kasutaja autentimistunnuseid (ärgem unustagem, et need edastatakse avatud kujul). Kui aga sertifikaati kasutatakse, näeb vaenlane oma logides vaid meie väljamõeldud User-Name'id — külaline või klient ja veateadet, nagu Unknown CA Certificate.

veel natuke macOS-istTavaliselt toimub macOS-i uuesti installimine interneti kaudu. Taasterežiimis peab mac olema ühendatud WiFi-ga, ja siin ei tööta ei meie ettevõtte WiFi ega külaliste võrk. Isiklikult seadsin üles veel ühe võrgu, tavalise WPA2-PSK võrgu, peidetud, ainult tehniliste operatsioonide jaoks. Või siis on võimalik eelnevalt teha süsteemiga käivitatav USB-mälupulk. Kuid kui mac on pärast 2015. aastat, tuleb veel leida adapter selle mälupulga jaoks.)

Allikas: habr.com