{"id":37065,"date":"2019-10-31T22:15:33","date_gmt":"2019-10-31T19:15:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/wifi-enterprise-freeradius-freeipa-ubiquiti\/"},"modified":"2019-10-31T22:15:33","modified_gmt":"2019-10-31T19:15:33","slug":"wifi-enterprise-freeradius-freeipa-ubiquiti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/wifi-enterprise-freeradius-freeipa-ubiquiti","title":{"rendered":"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/4c045a0710e5eb14b73359afad484c3d.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nM\u00e1r eml\u00edtettek n\u00e9h\u00e1ny p\u00e9ld\u00e1t a v\u00e1llalati WiFi megszervez\u00e9s\u00e9re. Itt kifejtem, hogyan val\u00f3s\u00edtottam meg egy hasonl\u00f3 megold\u00e1st \u00e9s azokat a probl\u00e9m\u00e1kat, amelyekkel k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6z\u00f6k csatlakoztat\u00e1sa sor\u00e1n szembes\u00fcltem. Az el\u0151re l\u00e9trehozott LDAP felhaszn\u00e1l\u00f3kat fogjuk haszn\u00e1lni, fel\u00e1ll\u00edtjuk a FreeRadiusot, \u00e9s be\u00e1ll\u00edtjuk a WPA2-Enterprise-t az Ubnt vez\u00e9rl\u0151n. \u00dagy t\u0171nik, minden egyszer\u0171. L\u00e1ssuk...<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>EAP m\u00f3dszerekr\u0151l egy kicsit<\/h2>\n<p>\nMiel\u0151tt elkezden\u00e9nk a feladat v\u00e9grehajt\u00e1s\u00e1t, meg kell hat\u00e1roznunk, hogy milyen hiteles\u00edt\u00e9si m\u00f3dszert fogunk haszn\u00e1lni a megold\u00e1sunkban.<\/p>\n<p><b>A Wikip\u00e9di\u00e1b\u00f3l:<\/b><\/p>\n<blockquote><p>Az EAP egy hiteles\u00edt\u00e9si keretrendszer, amelyet gyakran haszn\u00e1lnak vezet\u00e9k n\u00e9lk\u00fcli h\u00e1l\u00f3zatokban \u00e9s pont-pont kapcsolatokban. A form\u00e1tumot el\u0151sz\u00f6r az RFC 3748-ban \u00edrt\u00e1k le, majd az RFC 5247-ben friss\u00edtett\u00e9k.<br \/>\nAz EAP a hiteles\u00edt\u00e9si m\u00f3dszer kiv\u00e1laszt\u00e1s\u00e1ra, a kulcsok \u00e1tad\u00e1s\u00e1ra \u00e9s ezen kulcsok kezel\u00e9s\u00e9re szolg\u00e1l\u00f3 EAP m\u00f3dszereknek nevezett csatlakoz\u00f3 modulokkal val\u00f3 egy\u00fcttm\u0171k\u00f6d\u00e9sre haszn\u00e1latos. Sz\u00e1mos EAP m\u00f3dszer l\u00e9tezik, amelyeket vagy mag\u00e1val az EAP-val egy\u00fctt hat\u00e1roztak meg, vagy k\u00fcl\u00f6n gy\u00e1rt\u00f3k adtak ki. Az EAP nem hat\u00e1rozza meg a csatorna szintet; csup\u00e1n az \u00fczenetek form\u00e1tum\u00e1t hat\u00e1rozza meg. Minden olyan protokoll, amely az EAP-t haszn\u00e1lja, saj\u00e1t EAP \u00fczenetencapsul\u00e1ci\u00f3s protokollal rendelkezik. <\/p><\/blockquote>\n<p>\n<b>A m\u00f3dszerek:<\/b><\/p>\n<ul>\n<li>LEAP \u2014 egy propriet\u00e1rius protokoll, amelyet a CISCO fejlesztett ki. Sebezhet\u0151s\u00e9geket tal\u00e1ltak. Jelenleg nem aj\u00e1nlott a haszn\u00e1lata <\/li>\n<li> EAP-TLS \u2014 a vezet\u00e9k n\u00e9lk\u00fcli kapcsolatok sz\u00e1ll\u00edt\u00f3i k\u00f6r\u00e9ben j\u00f3l t\u00e1mogatott. Biztons\u00e1gos protokoll, mivel az SSL szabv\u00e1nyok \u00f6r\u00f6k\u00f6se. Az \u00fcgyf\u00e9lszint\u0171 be\u00e1ll\u00edt\u00e1s meglehet\u0151sen bonyolult. Az \u00fcgyf\u00e9ltan\u00fas\u00edtv\u00e1ny mellett jelsz\u00f3ra van sz\u00fcks\u00e9g. Sok rendszer t\u00e1mogatja. <\/li>\n<li> EAP-TTLS \u2014 sz\u00e9les k\u00f6rben t\u00e1mogatott sz\u00e1mos rendszerben, j\u00f3 biztons\u00e1got k\u00edn\u00e1lva, a PKI tan\u00fas\u00edtv\u00e1nyokat csak a hiteles\u00edt\u00e9si kiszolg\u00e1l\u00f3n haszn\u00e1lva. <\/li>\n<li> EAP-MD5 \u2014 egy m\u00e1sik ny\u00edlt szabv\u00e1ny. Minim\u00e1lis biztons\u00e1got k\u00edn\u00e1l. Sebezhet\u0151, nem t\u00e1mogatja a k\u00f6lcs\u00f6n\u00f6s hiteles\u00edt\u00e9st \u00e9s a kulcsgener\u00e1l\u00e1st. <\/li>\n<li> EAP-IKEv2 \u2014 az Internet Key Exchange Protocol version 2-n alapul. K\u00f6lcs\u00f6n\u00f6s hiteles\u00edt\u00e9st \u00e9s munkameneti kulcs l\u00e9trehoz\u00e1s\u00e1t biztos\u00edt az \u00fcgyf\u00e9l \u00e9s a szerver k\u00f6z\u00f6tt. <\/li>\n<li> PEAP \u2014 a CISCO, a Microsoft \u00e9s az RSA Security k\u00f6z\u00f6s megold\u00e1sa, mint ny\u00edlt szabv\u00e1ny. Sz\u00e9les k\u00f6rben el\u00e9rhet\u0151 term\u00e9kekben, nagyon j\u00f3 biztons\u00e1got ny\u00fajt. Hasonl\u00f3 az EAP-TTLS-hez, csak a szerveroldali tan\u00fas\u00edtv\u00e1nyt ig\u00e9nyli. <\/li>\n<li> PEAPv0\/EAP-MSCHAPv2 \u2014 az EAP-TLS ut\u00e1n a m\u00e1sodik legelterjedtebb szabv\u00e1ny a vil\u00e1gon. \u00dcgyf\u00e9l-szerver kapcsolatot haszn\u00e1l a Microsoft, Cisco, Apple, Linux rendszerekben. <\/li>\n<li> PEAPv1\/EAP-GTC \u2014 a Cisco \u00e1ltal kifejlesztett alternat\u00edva a PEAPv0\/EAP-MSCHAPv2-nek. Egy\u00e1ltal\u00e1n nem v\u00e9di az autentik\u00e1ci\u00f3s adatokat. Nem t\u00e1mogatj\u00e1k a Windows OS-t. <\/li>\n<li> EAP-FAST \u2014 a Cisco \u00e1ltal kifejlesztett m\u00f3dszer, amely a LEAP hi\u00e1nyoss\u00e1gait hivatott orvosolni. A Protected Access Credential (PAC) haszn\u00e1lat\u00e1val m\u0171k\u00f6dik. Teljesen nem kidolgozott. <\/li>\n<\/ul>\n<p>\nE sokf\u00e9les\u00e9g k\u00f6z\u00fcl a v\u00e1laszt\u00e9k m\u00e9gis korl\u00e1tozott. Az autentik\u00e1ci\u00f3s m\u00f3dszerrel szemben elv\u00e1r\u00e1s volt: j\u00f3 biztons\u00e1g, t\u00e1mogat\u00e1s minden eszk\u00f6z\u00f6n (Windows 10, macOS, Linux, Android, iOS) \u00e9s persze, min\u00e9l egyszer\u0171bb, ann\u00e1l jobb. Ez\u00e9rt az EAP-TTLS mellett d\u00f6nt\u00f6tt\u00fcnk a PAP protokollal kombin\u00e1lva. <br \/>\nFelmer\u00fclhet a k\u00e9rd\u00e9s \u2014 mi\u00e9rt is haszn\u00e1ljunk PAP-ot? Hiszen a jelszavakat ny\u00edlt sz\u00f6vegk\u00e9nt tov\u00e1bb\u00edtja? <\/p>\n<p>Igen, ez teljesen igaz. A FreeRadius \u00e9s a FreeIPA k\u00f6z\u00f6tti kommunik\u00e1ci\u00f3 pontosan \u00edgy fog t\u00f6rt\u00e9nni. Debug \u00fczemm\u00f3dban k\u00f6vethetj\u00fck, hogyan k\u00fcld\u0151dnek el a felhaszn\u00e1l\u00f3n\u00e9v \u00e9s a jelsz\u00f3. De h\u00e1t, ha m\u00e1r itt tartunk, csak \u00d6nnek van hozz\u00e1f\u00e9r\u00e9se a FreeRadius szerverhez.<\/p>\n<p>Tov\u00e1bbi inform\u00e1ci\u00f3kat olvashat az EAP-TTLS m\u0171k\u00f6d\u00e9s\u00e9r\u0151l. <noindex><a rel=\"nofollow\" href=\"https:\/\/ru.bmstu.wiki\/EAP-TTLS_(Tunneled_Transport_Layer_Security)\">itt<br \/>\n<\/a><\/noindex><\/p>\n<h2>FreeRADIUS<\/h2>\n<p>\nA FreeRadius-t CentOS 7.6 rendszerre telep\u00edtj\u00fck. Itt semmi bonyolult nincs, a megszokott m\u00f3don telep\u00edtj\u00fck.<\/p>\n<pre><code class=\"bash\">yum install freeradius freeradius-utils freeradius-ldap -y<\/code><\/pre>\n<p>\n<i>A csomagokb\u00f3l a 3.0.13-as verzi\u00f3 telep\u00fcl. A leg\u00fajabbat innen szerezheti be. <noindex><a rel=\"nofollow\" href=\"https:\/\/freeradius.org\/\">https:\/\/freeradius.org\/<\/a><\/noindex><\/i><\/p>\n<p>Ezut\u00e1n a FreeRadius m\u00e1r m\u0171k\u00f6dik. A \/etc\/raddb\/users mapp\u00e1ban kommentelheti a k\u00f6vetkez\u0151 sort:<\/p>\n<pre><code class=\"bash\">steve   Cleartext-Jelsz\u00f3 := \"testing\"<\/code><\/pre>\n<p>\nFuttassa a szervert debug m\u00f3dban.<\/p>\n<pre><code class=\"bash\">freeradius -X<\/code><\/pre>\n<p>\n\u00c9s v\u00e9gezz\u00fcnk el egy tesztkapcsolatot a localhost-tal.<\/p>\n<pre><code class=\"bash\">radtest steve testing 127.0.0.1 1812 testing123<\/code><\/pre>\n<p>\nMegkaptuk a v\u00e1laszt. <i>Received Access-Accept Id 115 from 127.0.0.1:1812 to 127.0.0.1:56081 length 20<\/i>, teh\u00e1t minden rendben van. Folytassuk.<\/p>\n<p>Bekapcsoljuk a modult. <i><b>ldap<\/b><\/i>.<\/p>\n<pre><code class=\"bash\">A tartalm\u00e1t a k\u00f6vetkez\u0151k\u00e9ppen alak\u00edtom \u00e1t:<\/code><\/pre>\n<p>\n\u00c9s azonnal m\u00f3dos\u00edtjuk. Sz\u00fcks\u00e9g\u00fcnk van arra, hogy a FreeRadius hozz\u00e1f\u00e9rhessen a FreeIPA-hoz.<\/p>\n<p><b class=\"spoiler_title\">mods-enabled\/ldap<\/b><\/p>\n<pre><code class=\"bash\">ldap {\nserver=\"ldap:\/\/ldap.server.com\"\nport=636\nstart_tls=igen\nidentity=\"uid=admin,cn=users,dc=server,dc=com\"\npassword=**********\nbase_dn=\"cn=users,dc=server,dc=com\"\nset_auth_type=igen\n...\nuser {\nbase_dn=\"${..base_dn}\"\nfilter=\"(uid=%{%{Stripped-User-Name}:-%{User-Name}})\"\n}\n...<\/code><\/pre>\n<p>\u00dajraind\u00edtjuk a radius szervert, \u00e9s ellen\u0151rizz\u00fck az LDAP felhaszn\u00e1l\u00f3k szinkroniz\u00e1l\u00e1s\u00e1t:<\/p>\n<pre><code class=\"bash\">radtest user_ldap password_ldap localhost 1812 testing123<\/code><\/pre>\n<p>\nSzerkesztj\u00fck az eap-t a <i><b>mods-enabled\/eap<\/b><\/i><br \/>\nItt k\u00e9t EAP p\u00e9ld\u00e1nyt adunk hozz\u00e1. Ezek csak a tan\u00fas\u00edtv\u00e1nyokban \u00e9s kulcsokban fognak elt\u00e9rni. Kicsit k\u00e9s\u0151bb elmagyar\u00e1zom, mi\u00e9rt \u00e9ppen \u00edgy.<\/p>\n<p><b class=\"spoiler_title\">mods-enabled\/eap<\/b><\/p>\n<pre><code class=\"bash\">eap eap-client {                                                                                                                                                                                                                           default_eap_type = ttls                                                                                                                                                                                                                 timer_expire = 60                                                                                                                                                                                                                       ignore_unknown_eap_types = no                                                                                                                                                                                                          cisco_accounting_username_bug = no                                                                                                                                                                                                      max_sessions = ${max_requests}\n           tls-config tls-common {\n           private_key_file = ${certdir}\/fisrt.key\n           certificate_file = ${certdir}\/first.crt\n           dh_file = ${certdir}\/dh\n           ca_path = ${cadir}\n           cipher_list = \"HIGH\"\n           cipher_server_preference = no\n           ecdh_curve = \"prime256v1\"\n           check_crl = no\n           }\n                                                                                                                                                                                                                                                                                                                                                                                                                                                 \n           ttls {\n           tls = tls-common\n           default_eap_type = md5\n           copy_request_to_tunnel = no\n           use_tunneled_reply = yes\n           virtual_server = \"inner-tunnel\"\n           }\n}\neap eap-guest {\ndefault_eap_type = ttls                                                                                                                                                                                                                 timer_expire = 60                                                                                                                                                                                                                       ignore_unknown_eap_types = no                                                                                                                                                                                                          cisco_accounting_username_bug = no                                                                                                                                                                                                      max_sessions = ${max_requests}\n           tls-config tls-common {\n           private_key_passwotd=blablabla\n           private_key_file = ${certdir}\/server.key\n           certificate_file = ${certdir}\/server.crt\n           dh_file = ${certdir}\/dh\n           ca_path = ${cadir}\n           cipher_list = \"HIGH\"\n           cipher_server_preference = no\n           ecdh_curve = \"prime256v1\"\n           check_crl = no\n           }\n                                                                                                                                                                                                                                                                                                                                                                                                                                                 \n           ttls {\n           tls = tls-common\n           default_eap_type = md5\n           copy_request_to_tunnel = no\n           use_tunneled_reply = yes\n           virtual_server = \"inner-tunnel\"\n           }\n}<\/code><\/pre>\n<p>Ezut\u00e1n szerkesztj\u00fck <i><b>site-enabled\/default<\/b><\/i>. Az authorize \u00e9s authenticate szakaszok \u00e9rdekelnek.<\/p>\n<p><b class=\"spoiler_title\">site-enabled\/default<\/b><\/p>\n<pre><code class=\"bash\">authorize {\n  filter_username\n  preprocess\n  if (&amp;User-Name == \"guest\") {\n   eap-guest {\n       ok = return\n   }\n  }\n  elsif (&amp;User-Name == \"client\") {\n    eap-client {\n       ok = return \n    }\n  }\n  else {\n    eap-guest {\n       ok = return\n    }\n  }\n  ldap\n  if ((ok || updated) &amp;&amp; User-Password) {\n    update {\n        control:Auth-Type := ldap\n    }\n  }\n  expiration\n  logintime\n  pap\n  }\n\nauthenticate {\n  Auth-Type LDAP {\n    ldap\n  }\n  Auth-Type eap-guest {\n    eap-guest\n  }\n  Auth-Type eap-client {\n    eap-client\n  }\n  pap\n}<\/code><\/pre>\n<p>Az authorize szakaszban elt\u00e1vol\u00edtjuk az \u00f6sszes felesleges modult. Csak az ldap-t hagyjuk meg. Hozz\u00e1adjuk a kliens ellen\u0151rz\u00e9s\u00e9t a felhaszn\u00e1l\u00f3n\u00e9v alapj\u00e1n. Pontosan ez\u00e9rt adtunk hozz\u00e1 k\u00e9t p\u00e9ld\u00e1nyt az eap-hoz kor\u00e1bban.<\/p>\n<p><b class=\"spoiler_title\">T\u00f6bb EAP<\/b>Az a helyzet, hogy bizonyos eszk\u00f6z\u00f6k csatlakoztat\u00e1sakor rendszerszint\u0171 tan\u00fas\u00edtv\u00e1nyokat fogunk haszn\u00e1lni, \u00e9s megadjuk a domaint. Van egy tan\u00fas\u00edtv\u00e1nyunk \u00e9s kulcsunk egy megb\u00edzhat\u00f3 tan\u00fas\u00edt\u00f3hat\u00f3s\u00e1gt\u00f3l. Szerintem ez a csatlakoz\u00e1si elj\u00e1r\u00e1s egyszer\u0171bb, mint minden eszk\u00f6zre \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyt alkalmazni. De \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyok n\u00e9lk\u00fcl sem siker\u00fclt megker\u00fclni a probl\u00e9m\u00e1t. A Samsung eszk\u00f6z\u00f6k \u00e9s az Android &lt; 6 verzi\u00f3 nem tudj\u00e1k haszn\u00e1lni a rendszerszint\u0171 tan\u00fas\u00edtv\u00e1nyokat. Ez\u00e9rt sz\u00e1mukra l\u00e9trehozunk egy k\u00fcl\u00f6n eap-guest p\u00e9ld\u00e1nyt \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyokkal. Minden m\u00e1s eszk\u00f6zh\u00f6z az eap-client-t fogjuk haszn\u00e1lni megb\u00edzhat\u00f3 tan\u00fas\u00edtv\u00e1nnyal. A User-Name az eszk\u00f6z csatlakoztat\u00e1sakor az Anonymous mez\u0151b\u0151l ker\u00fcl meghat\u00e1roz\u00e1sra. Csak 3 \u00e9rt\u00e9ket lehet haszn\u00e1lni: Guest, Client \u00e9s \u00fcres mez\u0151. Minden m\u00e1s elutas\u00edt\u00e1sra ker\u00fcl. Ez a politik\u00e1kban van be\u00e1ll\u00edtva. P\u00e9ld\u00e1t kicsit k\u00e9s\u0151bb hozok.<\/p>\n<p>Szerkeszteni fogjuk az authorize \u00e9s authenticate szakaszokat a <i><b>site-enabled\/inner-tunnel<\/b><\/i><\/p>\n<p><b class=\"spoiler_title\">site-enabled\/inner-tunnel<\/b><\/p>\n<pre><code class=\"bash\">authorize {\n  filter_username\n  filter_inner_identity\n  update control {\n   &amp;Proxy-To-Realm := LOCAL\n  }\n  ldap\n  if ((ok || updated) &amp;&amp; User-Password) {\n    update {\n        control:Auth-Type := ldap\n    }\n  }\n  expiration\n  digest\n  logintime\n  pap\n  }\n\nauthenticate {\n  Auth-Type eap-guest {\n    eap-guest\n  }\n  Auth-Type eap-client {\n    eap-client\n  }\n  Auth-Type PAP {\n    pap\n  }\n  ldap\n}<\/code><\/pre>\n<p>Ezut\u00e1n meg kell hat\u00e1roznunk a politik\u00e1kban, hogy milyen neveket lehet haszn\u00e1lni az anonim bejelentkez\u00e9shez. Szerkesztj\u00fck a <b><i>policy.d\/filter<\/i><\/b>.<\/p>\n<p>Meg kell tal\u00e1lni hasonl\u00f3 sorokat ehhez:<\/p>\n<pre><code class=\"bash\">if (&amp;outer.request:User-Name !~ \/^(anon|@)\/) {\n  update request {\n    Module-Failure-Message = \"User-Name is not anonymized\"\n  }\n  reject\n}<\/code><\/pre>\n<p>\n\u00c9s alatta, az elsif \u00e1gba hozz\u00e1adni a sz\u00fcks\u00e9ges \u00e9rt\u00e9keket:<\/p>\n<pre><code class=\"bash\">elsif (&amp;outer.request:User-Name !~ \/^(guest|client|@)\/) {\n  update request {\n    Module-Failure-Message = \"User-Name is not anonymized\"\n  }\n  reject\n}<\/code><\/pre>\n<p>\nMost \u00e1t kell l\u00e9pn\u00fcnk a k\u00f6nyvt\u00e1rba <b><i>certs<\/i><\/b>. Ide kell elhelyezni a megb\u00edzhat\u00f3 tan\u00fas\u00edt\u00f3hat\u00f3s\u00e1gt\u00f3l sz\u00e1rmaz\u00f3 kulcsot \u00e9s tan\u00fas\u00edtv\u00e1nyt, amely m\u00e1r megvan, \u00e9s gener\u00e1lni kell az \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyokat az eap-guest sz\u00e1m\u00e1ra.<\/p>\n<p>A f\u00e1jl param\u00e9tereit m\u00f3dos\u00edtjuk <b><i>ca.cnf<\/i><\/b>.<\/p>\n<p><b class=\"spoiler_title\">ca.cnf<\/b><\/p>\n<pre><code class=\"bash\">\n...\ndefault_days = 3650\ndefault_md = sha256\n...\ninput_password = blablabla\noutput_password = blablabla\n...\ncountryName = RU\nstateOrProvinceNmae = State\nlocalityNmae = City\norganizationName = NONAME\nemailAddress = admin@admin.ru\ncommonName = \"CA FreeRadius\"<\/code><\/pre>\n<p>Ugyanazokat az \u00e9rt\u00e9keket \u00edrjuk be a f\u00e1jlba <b><i><i>server.cnf<\/i><\/i><\/b>. Csak azt v\u00e1ltoztatjuk <br \/>\n<b>commonName<\/b>:<\/p>\n<p><b class=\"spoiler_title\">server.cnf<\/b><\/p>\n<pre><code class=\"bash\">\n...\ndefault_days = 3650\ndefault_md = sha256\n...\ninput_password = blablabla\noutput_password = blablabla\n...\ncountryName = RU\nstateOrProvinceNmae = State\nlocalityNmae = City\norganizationName = NONAME\nemailAddress = admin@admin.ru\ncommonName = \"Server Certificate FreeRadius\"<\/code><\/pre>\n<p>L\u00e9trehoz\u00e1s:<\/p>\n<pre><code class=\"bash\">make<\/code><\/pre>\n<p>\nK\u00e9sz. A kapott <b><i>server.crt<\/i><\/b> \u00e9s <b><i>server.key<\/i><\/b> m\u00e1r fentebb szerepelnek az eap-guest f\u00e1jlban.<\/p>\n<p>\u00c9s v\u00e9g\u00fcl, hozz\u00e1adjuk a hozz\u00e1f\u00e9r\u00e9si pontjainkat a f\u00e1jlhoz <b><i>client.conf<\/i><\/b>. Nekem 7 van. Hogy ne kelljen minden egyes pontot k\u00fcl\u00f6n hozz\u00e1adni, csak a h\u00e1l\u00f3zatot \u00edrjuk be, amelyben tal\u00e1lhat\u00f3k (nekem a hozz\u00e1f\u00e9r\u00e9si pontok egy k\u00fcl\u00f6n VLAN-ban vannak).<\/p>\n<pre><code class=\"bash\">client APs {\nipaddr = 192.168.100.0\/24\npassword = password_AP\n}<\/code><\/pre>\n<p><\/p>\n<h2>Ubiquiti vez\u00e9rl\u0151<\/h2>\n<p>\nA vez\u00e9rl\u0151n l\u00e9trehozunk egy k\u00fcl\u00f6n h\u00e1l\u00f3zatot. Legyen 192.168.2.0\/24<br \/>\nMenj\u00fcnk a be\u00e1ll\u00edt\u00e1sokhoz -&gt; profil. K\u00e9sz\u00edts\u00fcnk egy \u00fajat:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/57d97f7ef2db1a62633aa16131435065.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00cdrjuk be a radius-szerver c\u00edm\u00e9t \u00e9s portj\u00e1t, valamint a f\u00e1jlban megadott jelsz\u00f3t <b><i>clients.conf<\/i><\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/edab8e5ef03897c88bb45b2912e577ec.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nK\u00e9sz\u00edts\u00fcnk \u00faj vezet\u00e9k n\u00e9lk\u00fcli h\u00e1l\u00f3zatnevet. Az azonos\u00edt\u00e1si m\u00f3dszernek a WPA-EAP (Enterprise) megold\u00e1st v\u00e1lasztjuk, \u00e9s megadjuk a l\u00e9trehozott radius-profilt:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/9dc918b734cac3d7382db796feb6b7a2.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMindent elment\u00fcnk, alkalmazzuk, \u00e9s l\u00e9p\u00fcnk tov\u00e1bb.<\/p>\n<h2>Kliensek be\u00e1ll\u00edt\u00e1sa<\/h2>\n<p>\nKezdj\u00fck a legnehezebbel!<\/p>\n<h3>Windows 10<\/h3>\n<p>\nA neh\u00e9zs\u00e9g abban rejlik, hogy a Windows m\u00e9g nem tud csatlakozni a v\u00e1llalati WiFi-hez domain alapj\u00e1n. Ez\u00e9rt manu\u00e1lisan kell import\u00e1lni a tan\u00fas\u00edtv\u00e1nyunkat a megb\u00edzhat\u00f3 tan\u00fas\u00edtv\u00e1nyok t\u00e1rol\u00f3j\u00e1ba. Itt haszn\u00e1lhatunk \u00f6nal\u00e1\u00edrt vagy a hiteles\u00edt\u00e9sszolg\u00e1ltat\u00f3t\u00f3l sz\u00e1rmaz\u00f3 tan\u00fas\u00edtv\u00e1nyt. \u00c9n a m\u00e1sodikat fogom haszn\u00e1lni. <\/p>\n<p>Ezut\u00e1n l\u00e9tre kell hozni egy \u00faj kapcsolatot. Ehhez menj\u00fcnk a H\u00e1l\u00f3zati \u00e9s Internet be\u00e1ll\u00edt\u00e1sokhoz -&gt; H\u00e1l\u00f3zatok \u00e9s megoszt\u00e1s k\u00f6zpontja -&gt; \u00daj kapcsolat vagy h\u00e1l\u00f3zat l\u00e9trehoz\u00e1sa \u00e9s be\u00e1ll\u00edt\u00e1sa:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/406e515cff889ea70e226116f1dc0521.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/f88e592920e43d42cc7fed34423f09ea.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/1d7c045e02eb8e3b14016aacfa00da4c.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nK\u00e9zzel be\u00edrjuk a h\u00e1l\u00f3zat nev\u00e9t, \u00e9s megv\u00e1ltoztatjuk a biztons\u00e1gi t\u00edpust. Ezut\u00e1n kattintunk a <i>kapcsolati be\u00e1ll\u00edt\u00e1sok m\u00f3dos\u00edt\u00e1sa<\/i> f\u00fclre, a Biztons\u00e1g r\u00e9szen kiv\u00e1lasztjuk a h\u00e1l\u00f3zat hiteles\u00edt\u00e9s\u00e9nek m\u00f3dj\u00e1t \u2014 EAP-TTLS.<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/7e736b4cffd6dca5fdd9df70cedd7988.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/6c328ff8b4a434ed488c46b594aa5108.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/d4a3d2883088a06592addae770a12a16.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nL\u00e9pj\u00fcnk be a be\u00e1ll\u00edt\u00e1sokba, \u00e1ll\u00edtsuk be az azonos\u00edt\u00e1si titkoss\u00e1got \u2014 <b>client<\/b>. Mint megb\u00edzhat\u00f3 hiteles\u00edt\u00e9si k\u00f6zpont, v\u00e1lasztjuk a kor\u00e1bban hozz\u00e1adott tan\u00fas\u00edtv\u00e1nyt, bepip\u00e1ljuk a \"Ne k\u00e9rj\u00fck a felhaszn\u00e1l\u00f3t, ha a szerver hiteles\u00edt\u00e9se nem siker\u00fcl\" lehet\u0151s\u00e9get, \u00e9s az azonos\u00edt\u00e1si m\u00f3dszernek a titkos\u00edtatlan jelsz\u00f3t (PAP) v\u00e1lasztjuk.<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/eb4897493f805f0d8869c22a1b706dec.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEzut\u00e1n l\u00e9pj\u00fcnk be a tov\u00e1bbi be\u00e1ll\u00edt\u00e1sokba, \u00e9s pip\u00e1ljuk be a \u201eAdja meg a hiteles\u00edt\u00e9si m\u00f3dot\u201d lehet\u0151s\u00e9get. V\u00e1lassza a \u201eFelhaszn\u00e1l\u00f3 hiteles\u00edt\u00e9se\u201d pontot, majd kattintson a <i>jelszavak ment\u00e9s\u00e9re<\/i>. Itt meg kell adni a username_ldap \u00e9s password_ldap adatokat.<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/469bb4337e4e601a80de1021a48bc101.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/999dc6c41a69b22c8de2b49398c9a613.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/75347f2f7140cac58a181a325ab0f3ad.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMindent ment\u00fcnk, alkalmazzuk, majd bez\u00e1rjuk. Most m\u00e1r csatlakozhatunk az \u00faj h\u00e1l\u00f3zathoz.<\/p>\n<h3>Linux<\/h3>\n<p>\nUbuntu 18.04, 18.10, Fedora 29, 30 alatt ellen\u0151riztem.<\/p>\n<p>El\u0151sz\u00f6r t\u00f6lts\u00fck le a tan\u00fas\u00edtv\u00e1nyt. Nem tal\u00e1ltam Linuxban lehet\u0151s\u00e9get a rendszer tan\u00fas\u00edtv\u00e1nyainak haszn\u00e1lat\u00e1ra, \u00e9s hogy egy\u00e1ltal\u00e1n l\u00e9tezik-e ilyen t\u00e1rol\u00f3. <\/p>\n<p>Domain alapj\u00e1n fogunk csatlakozni. Ez\u00e9rt sz\u00fcks\u00e9g van arra a tan\u00fas\u00edtv\u00e1nyra, amelyb\u0151l a tan\u00fas\u00edtv\u00e1nyunkat megszerezt\u00fck.<\/p>\n<p>Az \u00f6sszes csatlakoz\u00e1s egy ablakban t\u00f6rt\u00e9nik. V\u00e1lasszuk ki a h\u00e1l\u00f3zatunkat:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/9e05f44a52ee7290921b5b74df718a0c.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>anonymous \u2014 kliens<br \/>\ndomain \u2014 a tan\u00fas\u00edtv\u00e1nyra ki\u00e1ll\u00edtott domain<br \/>\n<\/i><\/p>\n<h3>Android<\/h3>\n<p><\/p>\n<h4>non-Samsung<\/h4>\n<p>\nA 7-es verzi\u00f3t\u00f3l a WiFi csatlakoz\u00e1s\u00e1hoz haszn\u00e1lhatjuk a rendszer tan\u00fas\u00edtv\u00e1nyait, csak a domaint kell megadnunk:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/f935493cbe35f5a19c4da8bb5632604f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>domain \u2014 a tan\u00fas\u00edtv\u00e1nyra ki\u00e1ll\u00edtott domain<br \/>\nanonymous \u2014 kliens<br \/>\n<\/i><\/p>\n<h4>Samsung<\/h4>\n<p>\nAhogy m\u00e1r eml\u00edtettem, a Samsung-eszk\u00f6z\u00f6k nem tudj\u00e1k haszn\u00e1lni a rendszer tan\u00fas\u00edtv\u00e1nyait a WiFi csatlakoz\u00e1skor, \u00e9s nincs lehet\u0151s\u00e9g\u00fck domainen val\u00f3 kapcsol\u00f3d\u00e1sra. Ez\u00e9rt k\u00e9zzel kell hozz\u00e1adni a gy\u00f6k\u00e9r tan\u00fas\u00edtv\u00e1nyt (ca.pem), amit a Radius szerveren kapunk. Itt \u00f6nal\u00e1\u00edrt v\u00e1ltozatot haszn\u00e1l.<\/p>\n<p>T\u00f6lts\u00fck le a tan\u00fas\u00edtv\u00e1nyt a k\u00e9sz\u00fcl\u00e9k\u00fcnkre \u00e9s telep\u00edts\u00fck azt.<\/p>\n<p><b class=\"spoiler_title\">A tan\u00fas\u00edtv\u00e1ny telep\u00edt\u00e9se<\/b><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/d02770f35c44a618f2f6243085c258b8.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/eb9ec984d5e68824ebd0b138551a87c2.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/2c5c95c339b00085845470fdff56932e.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/1561758abad60a168e067f1ecb0b94f5.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEhhez be kell \u00e1ll\u00edtani a k\u00e9perny\u0151 felold\u00e1s\u00e1hoz sz\u00fcks\u00e9ges mint\u00e1t, PIN-k\u00f3dot vagy jelsz\u00f3t, ha m\u00e9g nincs be\u00e1ll\u00edtva:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/eeb9189ecdb8c255f2b76918ec1954b5.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/741c2f6df3e50c5ebb94c76e907efb33.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>A tan\u00fas\u00edtv\u00e1ny telep\u00edt\u00e9si folyamat\u00e1t mutattam be, a legt\u00f6bb eszk\u00f6z\u00f6n elegend\u0151, ha csak r\u00e1kattintunk a let\u00f6lt\u00f6tt tan\u00fas\u00edtv\u00e1nyra.<\/i><\/p>\n<p>Miut\u00e1n a tan\u00fas\u00edtv\u00e1nyt telep\u00edtett\u00fck, \u00e1tt\u00e9rhet\u00fcnk a csatlakoz\u00e1sra:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/4e2a8716b30634b3effdb0f2cbf781af.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>tan\u00fas\u00edtv\u00e1ny \u2014 megadjuk azt, amelyiket telep\u00edtett\u00fck<br \/>\nanonim felhaszn\u00e1l\u00f3 \u2014 vend\u00e9g<br \/>\n<\/i><\/p>\n<h3>macOS<\/h3>\n<p>\nAz Apple eszk\u00f6z\u00f6k alapb\u00f3l csak az EAP-TLS-hez tudnak csatlakozni, de a tan\u00fas\u00edtv\u00e1nyt nekik is \u00e1t kell adni. M\u00e1sik csatlakoz\u00e1si m\u00f3dszer megad\u00e1s\u00e1hoz az Apple Configurator 2-t kell haszn\u00e1lni. Ennek megfelel\u0151en el\u0151zetesen le kell t\u00f6lteni a Mac-re, \u00faj profilt l\u00e9trehozni, \u00e9s hozz\u00e1adni minden sz\u00fcks\u00e9ges WiFi be\u00e1ll\u00edt\u00e1st.<\/p>\n<p><b class=\"spoiler_title\">Apple Configurator<\/b><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/1864dedc371b851dbf2594eff3ec7fc7.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/0847466b361f681bcfcabee92f1ac885.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>Itt adjuk meg a h\u00e1l\u00f3zatunk nev\u00e9t<br \/>\nBiztons\u00e1gi t\u00edpus \u2014 WPA2 Enterprise<br \/>\nElfogadott EAP t\u00edpusok \u2014 TTLS<br \/>\nFelhaszn\u00e1l\u00f3n\u00e9v \u00e9s jelsz\u00f3 \u2014 hagyjuk \u00fcresen<br \/>\nBels\u0151 hiteles\u00edt\u00e9s \u2014 PAP<br \/>\nK\u00fcls\u0151 identit\u00e1s \u2014 kliens <br \/>\n<\/i><\/p>\n<p><i>Bizalom f\u00fcl. Itt adjuk meg a domain\u00fcnket<\/i><\/p>\n<p>Ennyi. A profilt elmenthetj\u00fck, al\u00e1\u00edrhatjuk \u00e9s eloszthatjuk az eszk\u00f6z\u00f6k\u00f6n.<\/p>\n<p>Miut\u00e1n a profil elk\u00e9sz\u00fclt, le kell t\u00f6lteni a Mac-re \u00e9s telep\u00edteni. A telep\u00edt\u00e9s sor\u00e1n meg kell adni a felhaszn\u00e1l\u00f3nevet (username_ldap) \u00e9s a jelsz\u00f3t (password_ldap) a felhaszn\u00e1l\u00f3hoz:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/d7cb1cbcfd1de930d0718c1596bc60d7.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/dd2e90a77fd9b64f6a98b0c0b21a080c.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/c1cb62ec60fc835353c5e409a138f0be.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>iOS<\/h3>\n<p>\nA folyamat hasonl\u00f3 a macOS-hez. Profilra van sz\u00fcks\u00e9g (pontosan ugyanaz, mint a macOS-hez. Profil k\u00e9sz\u00edt\u00e9se az Apple Configuratorban, l\u00e1sd fent).<\/p>\n<p>Let\u00f6ltj\u00fck a profilt, telep\u00edtj\u00fck, megadjuk a bejelentkez\u00e9si adatokat, majd csatlakozunk:<\/p>\n<p><img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/9e2be411c0dfb427bfd54ad0b1f42dcb.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/d637fa93c0bcf09d1a5eb3701f769d4f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/0908737918cd81cbf3e1ebf9ba0d9820.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/3821dc0bd6f866730575c6ceb3d5bbfb.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/b4b0bf189ac037345e33e7864bfb2ad8.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti\" src=\"\/wp-content\/uploads\/2019\/08\/f5f9b7168ac14b67d6f4753d050a742e.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEzzel v\u00e9gezt\u00fcnk. Be\u00e1ll\u00edtottuk a Radius szervert, szinkroniz\u00e1ltuk a FreeIPA-val, \u00e9s megadtuk a Ubiquiti hozz\u00e1f\u00e9r\u00e9si pontoknak, hogy WPA2-EAP-t haszn\u00e1ljanak.<\/p>\n<h2>Lehets\u00e9ges k\u00e9rd\u00e9sek<\/h2>\n<p>\n<b>K:<\/b> hogyan k\u00fcldhetem el a profilt\/certifik\u00e1tot a munkat\u00e1rsnak?<\/p>\n<p><b>V:<\/b> Minden certifik\u00e1tot\/profillt FTP-n t\u00e1rolok, webes hozz\u00e1f\u00e9r\u00e9ssel. L\u00e9trehoztam egy vend\u00e9gh\u00e1l\u00f3zatot sebess\u00e9gkorl\u00e1toz\u00e1ssal \u00e9s csak internet hozz\u00e1f\u00e9r\u00e9ssel, FTP kiv\u00e9tel\u00e9vel. <br \/>\nAz autentik\u00e1ci\u00f3 2 napig tart, ut\u00e1na alaphelyzetbe \u00e1ll, \u00e9s a kliens internet n\u00e9lk\u00fcl marad. Teh\u00e1t amikor a munkat\u00e1rs csatlakozni szeretne a WiFi-hez, el\u0151sz\u00f6r csatlakozik a vend\u00e9gh\u00e1l\u00f3zathoz, bel\u00e9p az FTP-re, let\u00f6lti a sz\u00fcks\u00e9ges certifik\u00e1tot vagy profilt, majd telep\u00edti azokat, \u00e9s ut\u00e1na tud csatlakozni a v\u00e1llalati h\u00e1l\u00f3zathoz.<\/p>\n<p><b>K:<\/b> mi\u00e9rt ne haszn\u00e1lhatn\u00e1nk MSCHAPv2 s\u00e9m\u00e1t? az biztons\u00e1gosabb!<\/p>\n<p><b>V:<\/b> el\u0151sz\u00f6r is, ez a s\u00e9ma j\u00f3l m\u0171k\u00f6dik az NPS-sel (Windows Network Policy System), a mi megval\u00f3s\u00edt\u00e1sunkhoz tov\u00e1bbi LDAP (FreeIPA) be\u00e1ll\u00edt\u00e1sokra van sz\u00fcks\u00e9g, \u00e9s a jelszavak hash-eit a szerveren kell t\u00e1rolni. Tov\u00e1bbi be\u00e1ll\u00edt\u00e1sokat v\u00e9gezni nem k\u00edv\u00e1natos, mivel ez k\u00fcl\u00f6nb\u00f6z\u0151 szinkroniz\u00e1l\u00e1si probl\u00e9m\u00e1khoz vezethet. M\u00e1sodszor, a hash MD4 form\u00e1tum\u00fa, teh\u00e1t nem igaz\u00e1n n\u00f6veli a biztons\u00e1got<\/p>\n<p><b>K:<\/b> lehet-e eszk\u00f6z\u00f6ket MAC-c\u00edmek alapj\u00e1n hiteles\u00edteni?<\/p>\n<p><b>V:<\/b> NEM, ez nem biztons\u00e1gos, egy t\u00e1mad\u00f3 megv\u00e1ltoztathatja a MAC-c\u00edmeket, \u00e9s r\u00e1ad\u00e1sul sok eszk\u00f6z nem t\u00e1mogatja a MAC-c\u00edmek szerinti hiteles\u00edt\u00e9st <\/p>\n<p><b>K:<\/b> mi\u00e9rt kell egy\u00e1ltal\u00e1n ezeket a certifik\u00e1tokat haszn\u00e1lni? n\u00e9k\u00fcl\u00fck nem lehet csatlakozni?<\/p>\n<p><b>V:<\/b> A tan\u00fas\u00edtv\u00e1nyokat a szerver hiteles\u00edt\u00e9s\u00e9re haszn\u00e1lj\u00e1k. Vagyis az eszk\u00f6z csatlakoz\u00e1skor ellen\u0151rzi, hogy ez a szerver megb\u00edzhat\u00f3-e vagy sem. Ha igen, akkor a hiteles\u00edt\u00e9s folytat\u00f3dik, ha nem, a kapcsolat megszakad. Tan\u00fas\u00edtv\u00e1nyok n\u00e9lk\u00fcl is lehet csatlakozni, de ha egy hacker vagy szomsz\u00e9d saj\u00e1t radius-szervert \u00e9s hozz\u00e1f\u00e9r\u00e9si pontot ind\u00edt el ugyanolyan n\u00e9vvel, mint a mi\u00e9nk, k\u00f6nnyen elkaphatja a felhaszn\u00e1l\u00f3 hiteles\u00edt\u00e9si adatait (ne felejts\u00fck el, hogy ezek ny\u00edlt form\u00e1ban ker\u00fclnek tov\u00e1bb\u00edt\u00e1sra). Ha viszont tan\u00fas\u00edtv\u00e1nyt haszn\u00e1lunk, az ellens\u00e9g csak a mi kital\u00e1lt felhaszn\u00e1l\u00f3n\u00e9vjegyeinket \u2013 vend\u00e9g vagy kliens \u2013 \u00e9s egy \u201eIsmeretlen CA tan\u00fas\u00edtv\u00e1ny\u201d hiba\u00fczenetet fog l\u00e1tni a napl\u00f3iban.<\/p>\n<p><b class=\"spoiler_title\">M\u00e9g egy kicsit az macOS-r\u00f3l<\/b>\u00c1ltal\u00e1ban az macOS \u00fajratelep\u00edt\u00e9se az interneten kereszt\u00fcl t\u00f6rt\u00e9nik. A helyre\u00e1ll\u00edt\u00e1si m\u00f3dban a Mac-et WiFi-re kell csatlakoztatni, \u00e9s itt sem a v\u00e1llalati WiFi-m, sem a vend\u00e9gh\u00e1l\u00f3zat nem m\u0171k\u00f6dik. \u00c9n szem\u00e9lyesen ind\u00edtottam egy m\u00e1sik h\u00e1l\u00f3zatot, egy szok\u00e1sos WPA2-PSK-t, rejtett, csak technikai m\u0171veletekhez. Vagy el\u0151re l\u00e9trehozhatunk egy rendszerrel t\u00f6lt\u00f6tt USB meghajt\u00f3t is. De ha a Mac 2015 ut\u00e1n k\u00e9sz\u00fclt, akkor sz\u00fcks\u00e9g lesz egy adapterre ehhez az USB-hez is.<\/p>\n<p>Forr\u00e1s: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/463225\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0423\u0436\u0435 \u0431\u044b\u043b\u0438 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e WiFi. \u0417\u0434\u0435\u0441\u044c \u044f \u0440\u0430\u0441\u043f\u0438\u0448\u0443 \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u0442\u044c\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043d\u0430 \u0440\u0430\u0437\u043d\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445. \u0411\u0443\u0434\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0443\u0436\u0435 \u0438\u043c\u0435\u044e\u0449\u0435\u0439\u0441\u044f LDAP \u0441 \u0437\u0430\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438, \u043f\u043e\u0434\u043d\u0438\u043c\u0435\u043c FreeRadius \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043c WPA2-Enterprise \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u0435 Ubnt. \u0412\u0440\u043e\u0434\u0435 \u0432\u0441\u0435 \u043f\u0440\u043e\u0441\u0442\u043e. \u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c\u2026 \u041d\u0435\u043c\u043d\u043e\u0433\u043e \u043e \u043c\u0435\u0442\u043e\u0434\u0430\u0445 EAP \u041f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0438\u0442\u044c \u043a \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044e [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":27785,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37065","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/wifi-enterprise-freeradius-freeipa-ubiquiti\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"hu_HU\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/wifi-enterprise-freeradius-freeipa-ubiquiti\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:15:33+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:15:33+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/wifi-enterprise-freeradius-freeipa-ubiquiti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47WiFi Enterprise. FreeRadius + FreeIPA + Ubiquiti | ProHoster","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/wifi-enterprise-freeradius-freeipa-ubiquiti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:15:33+00:00","article:modified_time":"2019-10-31T19:15:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37065","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 05:57:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 17:36:42","updated":"2026-01-22 05:57:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/37065","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=37065"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/37065\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/27785"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=37065"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=37065"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=37065"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}