വൈഫൈ എന്റർപ്രൈസ്. FreeRadius + FreeIPA + Ubiquiti

കോർപ്പറേറ്റ് വൈഫൈ സംഘടിപ്പിക്കുന്നതിനുള്ള ചില ഉദാഹരണങ്ങൾ ഇതിനകം വിവരിച്ചിട്ടുണ്ട്. സമാനമായ ഒരു പരിഹാരം ഞാൻ എങ്ങനെ നടപ്പിലാക്കിയെന്നും വ്യത്യസ്ത ഉപകരണങ്ങളിൽ കണക്റ്റുചെയ്യുമ്പോൾ ഞാൻ അഭിമുഖീകരിക്കേണ്ടി വന്ന പ്രശ്‌നങ്ങളെക്കുറിച്ചും ഇവിടെ ഞാൻ വിവരിക്കും. രജിസ്റ്റർ ചെയ്ത ഉപയോക്താക്കളുമായി ഞങ്ങൾ നിലവിലുള്ള LDAP ഉപയോഗിക്കും, FreeRadius ഉയർത്തുകയും Ubnt കൺട്രോളറിൽ WPA2-Enterprise കോൺഫിഗർ ചെയ്യുകയും ചെയ്യും. എല്ലാം ലളിതമാണെന്ന് തോന്നുന്നു. നമുക്ക് കാണാം…

EAP രീതികളെക്കുറിച്ച് കുറച്ച്

ടാസ്‌ക്കുമായി മുന്നോട്ടുപോകുന്നതിനുമുമ്പ്, ഞങ്ങളുടെ പരിഹാരത്തിൽ ഏത് ആധികാരികത ഉറപ്പാക്കൽ രീതിയാണ് ഞങ്ങൾ ഉപയോഗിക്കേണ്ടതെന്ന് തീരുമാനിക്കേണ്ടതുണ്ട്.

വിക്കിപീഡിയയിൽ നിന്ന്:

വയർലെസ് നെറ്റ്‌വർക്കുകളിലും പോയിന്റ്-ടു-പോയിന്റ് കണക്ഷനുകളിലും പലപ്പോഴും ഉപയോഗിക്കുന്ന ഒരു പ്രാമാണീകരണ ചട്ടക്കൂടാണ് EAP. ഫോർമാറ്റ് ആദ്യം RFC 3748 ൽ വിവരിക്കുകയും RFC 5247 ൽ അപ്ഡേറ്റ് ചെയ്യുകയും ചെയ്തു.
ഒരു പ്രാമാണീകരണ രീതി തിരഞ്ഞെടുക്കുന്നതിനും കീകൾ കൈമാറുന്നതിനും EAP രീതികൾ എന്ന് വിളിക്കുന്ന പ്ലഗ്-ഇന്നുകൾ ഉപയോഗിച്ച് ആ കീകൾ പ്രോസസ്സ് ചെയ്യുന്നതിനും EAP ഉപയോഗിക്കുന്നു. നിരവധി ഇഎപി രീതികളുണ്ട്, ഇവ രണ്ടും ഇഎപിയിൽ തന്നെ നിർവചിക്കപ്പെട്ടതും വ്യക്തിഗത വെണ്ടർമാർ പുറത്തിറക്കിയതുമാണ്. EAP ലിങ്ക് ലെയർ നിർവചിക്കുന്നില്ല, അത് സന്ദേശ ഫോർമാറ്റ് മാത്രമേ നിർവചിക്കുന്നുള്ളൂ. EAP ഉപയോഗിക്കുന്ന ഓരോ പ്രോട്ടോക്കോളിനും അതിന്റേതായ EAP സന്ദേശ എൻക്യാപ്‌സുലേഷൻ പ്രോട്ടോക്കോൾ ഉണ്ട്.

രീതികൾ തന്നെ:

• CISCO വികസിപ്പിച്ചെടുത്ത ഒരു പ്രൊപ്രൈറ്ററി പ്രോട്ടോക്കോൾ ആണ് LEAP. കേടുപാടുകൾ കണ്ടെത്തി. നിലവിൽ ഇത് ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്തിട്ടില്ല
• EAP-TLS വയർലെസ് വെണ്ടർമാർക്കിടയിൽ നന്നായി പിന്തുണയ്ക്കുന്നു. ഇത് ഒരു സുരക്ഷിത പ്രോട്ടോക്കോൾ ആണ്, കാരണം ഇത് SSL മാനദണ്ഡങ്ങളുടെ പിൻഗാമിയാണ്. ക്ലയന്റ് സജ്ജീകരിക്കുന്നത് വളരെ സങ്കീർണ്ണമാണ്. പാസ്‌വേഡിന് പുറമെ നിങ്ങൾക്ക് ഒരു ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് ആവശ്യമാണ്. നിരവധി സിസ്റ്റങ്ങളിൽ പിന്തുണയ്ക്കുന്നു
• EAP-TTLS - പല സിസ്റ്റങ്ങളിലും വ്യാപകമായി പിന്തുണയ്ക്കുന്നു, ആധികാരികത സെർവറിൽ മാത്രം PKI സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് നല്ല സുരക്ഷ നൽകുന്നു
• EAP-MD5 മറ്റൊരു ഓപ്പൺ സ്റ്റാൻഡേർഡാണ്. കുറഞ്ഞ സുരക്ഷ വാഗ്ദാനം ചെയ്യുന്നു. ദുർബലമായത്, പരസ്പര പ്രാമാണീകരണത്തെയും കീ ജനറേഷനെയും പിന്തുണയ്ക്കുന്നില്ല
• EAP-IKEv2 - ഇന്റർനെറ്റ് കീ എക്സ്ചേഞ്ച് പ്രോട്ടോക്കോൾ പതിപ്പ് 2 അടിസ്ഥാനമാക്കി. ക്ലയന്റിനും സെർവറിനുമിടയിൽ പരസ്പര പ്രാമാണീകരണവും സെഷൻ കീ സ്ഥാപനവും നൽകുന്നു
• ഒരു ഓപ്പൺ സ്റ്റാൻഡേർഡ് എന്ന നിലയിൽ CISCO, Microsoft, RSA സെക്യൂരിറ്റി എന്നിവയുടെ സംയുക്ത പരിഹാരമാണ് PEAP. ഉൽപ്പന്നങ്ങളിൽ വ്യാപകമായി ലഭ്യമാണ്, വളരെ നല്ല സുരക്ഷ നൽകുന്നു. EAP-TTLS-ന് സമാനമായി, സെർവർ വശത്ത് ഒരു സർട്ടിഫിക്കറ്റ് മാത്രമേ ആവശ്യമുള്ളൂ
• PEAPv0/EAP-MSCHAPv2 - EAP-TLS-ന് ശേഷം, ലോകത്ത് വ്യാപകമായി ഉപയോഗിക്കുന്ന രണ്ടാമത്തെ മാനദണ്ഡമാണിത്. Microsoft, Cisco, Apple, Linux എന്നിവയിൽ ക്ലയന്റ്-സെർവർ ബന്ധം ഉപയോഗിച്ചു
• PEAPv1/EAP-GTC - PEAPv0/EAP-MSCHAPv2 എന്നതിന് പകരമായി സിസ്‌കോ സൃഷ്‌ടിച്ചത്. ഒരു തരത്തിലും പ്രാമാണീകരണ ഡാറ്റ പരിരക്ഷിക്കുന്നില്ല. Windows OS-ൽ പിന്തുണയ്ക്കുന്നില്ല
• LEAP-ന്റെ പോരായ്മകൾ പരിഹരിക്കാൻ സിസ്‌കോ വികസിപ്പിച്ചെടുത്ത ഒരു സാങ്കേതികതയാണ് EAP-FAST. സംരക്ഷിത ആക്സസ് ക്രെഡൻഷ്യൽ (പിഎസി) ഉപയോഗിക്കുന്നു. പൂർണ്ണമായും പൂർത്തീകരിച്ചിട്ടില്ല

ഈ വൈവിധ്യത്തിൽ, തിരഞ്ഞെടുപ്പ് ഇപ്പോഴും മികച്ചതല്ല. പ്രാമാണീകരണ രീതി ആവശ്യമാണ്: നല്ല സുരക്ഷ, എല്ലാ ഉപകരണങ്ങളിലും പിന്തുണ (Windows 10, macOS, Linux, Android, iOS) കൂടാതെ, വാസ്തവത്തിൽ, ലളിതവും മികച്ചതുമാണ്. അതിനാൽ, PAP പ്രോട്ടോക്കോളുമായി ചേർന്ന് തിരഞ്ഞെടുപ്പ് EAP-TTLS-ൽ വന്നു.
ചോദ്യം ഉയർന്നേക്കാം - എന്തിനാണ് PAP ഉപയോഗിക്കുന്നത്? കാരണം അവൻ പാസ്‌വേഡുകൾ വ്യക്തമായി കൈമാറുന്നുണ്ടോ?

അതെ അത് ശരിയാണ്. FreeRadius ഉം FreeIPA ഉം തമ്മിലുള്ള ആശയവിനിമയം ഈ രീതിയിൽ നടക്കും. ഡീബഗ് മോഡിൽ, ഉപയോക്തൃനാമവും പാസ്‌വേഡും എങ്ങനെയാണ് അയച്ചതെന്ന് നിങ്ങൾക്ക് ട്രാക്ക് ചെയ്യാം. അതെ, അവരെ വിട്ടയക്കുക, നിങ്ങൾക്ക് മാത്രമേ FreeRadius സെർവറിലേക്ക് ആക്‌സസ് ഉള്ളൂ.

EAP-TTLS-ന്റെ പ്രവർത്തനത്തെക്കുറിച്ച് നിങ്ങൾക്ക് കൂടുതൽ വായിക്കാം ഇവിടെ

ഫ്രീറേഡിയസ്

CentOS 7.6-ൽ FreeRadius ഉയർത്തും. ഇവിടെ സങ്കീർണ്ണമായ ഒന്നും തന്നെയില്ല, ഞങ്ങൾ അത് സാധാരണ രീതിയിൽ സജ്ജീകരിച്ചിരിക്കുന്നു.

yum install freeradius freeradius-utils freeradius-ldap -y

പാക്കേജുകളിൽ നിന്ന് പതിപ്പ് 3.0.13 ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്. രണ്ടാമത്തേത് എടുക്കാം https://freeradius.org/

അതിനുശേഷം, FreeRadius ഇതിനകം പ്രവർത്തിക്കുന്നു. നിങ്ങൾക്ക് /etc/raddb/users-ൽ വരി അൺകമന്റ് ചെയ്യാം

steve   Cleartext-Password := "testing"

ഡീബഗ് മോഡിൽ സെർവറിലേക്ക് ലോഞ്ച് ചെയ്യുക

freeradius -X

ലോക്കൽ ഹോസ്റ്റിൽ നിന്ന് ഒരു ടെസ്റ്റ് കണക്ഷൻ ഉണ്ടാക്കുക

radtest steve testing 127.0.0.1 1812 testing123

ഉത്തരം കിട്ടി 115:127.0.0.1 മുതൽ 1812:127.0.0.1 ദൈർഘ്യം 56081 വരെയുള്ള ആക്‌സസ്-അംഗീകരിക്കൽ ഐഡി 20 ലഭിച്ചു, എല്ലാം ശരിയാണെന്നാണ് ഇതിനർത്ഥം. മുന്നോട്ടുപോകുക.

ഞങ്ങൾ മൊഡ്യൂൾ ബന്ധിപ്പിക്കുന്നു ldap.

ln -s /etc/raddb/mods-available/ldap /etc/raddb/mods-enabled/ldap

ഞങ്ങൾ അത് ഉടൻ മാറ്റും. FreeIPA ആക്സസ് ചെയ്യാൻ ഞങ്ങൾക്ക് FreeRadius ആവശ്യമാണ്

mods-enabled/ldap

ldap {
server="ldap://ldap.server.com"
port=636
start_tls=yes
identity="uid=admin,cn=users,dc=server,dc=com"
password=**********
base_dn="cn=users,dc=server,dc=com"
set_auth_type=yes
...
user {
base_dn="${..base_dn}"
filter="(uid=%{%{Stripped-User-Name}:-%{User-Name}})"
}
...

റേഡിയസ് സെർവർ പുനരാരംഭിച്ച് LDAP ഉപയോക്താക്കളുടെ സമന്വയം പരിശോധിക്കുക:

radtest user_ldap password_ldap localhost 1812 testing123

ഈപ്പ് ഇൻ എഡിറ്റ് ചെയ്യുന്നു mods-enabled/eap
ഇവിടെ നാം eap ന്റെ രണ്ട് ഉദാഹരണങ്ങൾ ചേർക്കുന്നു. അവ സർട്ടിഫിക്കറ്റുകളിലും കീകളിലും മാത്രം വ്യത്യാസപ്പെട്ടിരിക്കും. ഇത് എന്തുകൊണ്ടാണെന്ന് ഞാൻ ചുവടെ വിശദീകരിക്കും.

mods-enabled/eap

eap eap-client {                                                                                                                                                                                                                           default_eap_type = ttls                                                                                                                                                                                                                 timer_expire = 60                                                                                                                                                                                                                       ignore_unknown_eap_types = no                                                                                                                                                                                                          cisco_accounting_username_bug = no                                                                                                                                                                                                      max_sessions = ${max_requests}
           tls-config tls-common {
           private_key_file = ${certdir}/fisrt.key
           certificate_file = ${certdir}/first.crt
           dh_file = ${certdir}/dh
           ca_path = ${cadir}
           cipher_list = "HIGH"
           cipher_server_preference = no
           ecdh_curve = "prime256v1"
           check_crl = no
           }
                                                                                                                                                                                                                                                                                                                                                                                                                                                 
           ttls {
           tls = tls-common
           default_eap_type = md5
           copy_request_to_tunnel = no
           use_tunneled_reply = yes
           virtual_server = "inner-tunnel"
           }
}
eap eap-guest {
default_eap_type = ttls                                                                                                                                                                                                                 timer_expire = 60                                                                                                                                                                                                                       ignore_unknown_eap_types = no                                                                                                                                                                                                          cisco_accounting_username_bug = no                                                                                                                                                                                                      max_sessions = ${max_requests}
           tls-config tls-common {
           private_key_passwotd=blablabla
           private_key_file = ${certdir}/server.key
           certificate_file = ${certdir}/server.crt
           dh_file = ${certdir}/dh
           ca_path = ${cadir}
           cipher_list = "HIGH"
           cipher_server_preference = no
           ecdh_curve = "prime256v1"
           check_crl = no
           }
                                                                                                                                                                                                                                                                                                                                                                                                                                                 
           ttls {
           tls = tls-common
           default_eap_type = md5
           copy_request_to_tunnel = no
           use_tunneled_reply = yes
           virtual_server = "inner-tunnel"
           }
}

കൂടുതൽ എഡിറ്റിംഗ് സൈറ്റ്-പ്രാപ്തമാക്കി/ഡിഫോൾട്ട്. അധികാരപ്പെടുത്തുകയും പ്രാമാണീകരിക്കുകയും ചെയ്യുന്ന വിഭാഗങ്ങൾ താൽപ്പര്യമുള്ളതാണ്.

സൈറ്റ്-പ്രാപ്തമാക്കി/ഡിഫോൾട്ട്

authorize {
  filter_username
  preprocess
  if (&User-Name == "guest") {
   eap-guest {
       ok = return
   }
  }
  elsif (&User-Name == "client") {
    eap-client {
       ok = return 
    }
  }
  else {
    eap-guest {
       ok = return
    }
  }
  ldap
  if ((ok || updated) && User-Password) {
    update {
        control:Auth-Type := ldap
    }
  }
  expiration
  logintime
  pap
  }

authenticate {
  Auth-Type LDAP {
    ldap
  }
  Auth-Type eap-guest {
    eap-guest
  }
  Auth-Type eap-client {
    eap-client
  }
  pap
}

അംഗീകൃത വിഭാഗത്തിൽ, ഞങ്ങൾക്ക് ആവശ്യമില്ലാത്ത എല്ലാ മൊഡ്യൂളുകളും ഞങ്ങൾ നീക്കംചെയ്യുന്നു. ഞങ്ങൾ ldap മാത്രം അവശേഷിക്കുന്നു. ഉപയോക്തൃനാമം പ്രകാരം ക്ലയന്റ് സ്ഥിരീകരണം ചേർക്കുക. അതുകൊണ്ടാണ് ഞങ്ങൾ മുകളിൽ ഈപ്പിന്റെ രണ്ട് സന്ദർഭങ്ങൾ ചേർത്തത്.

മൾട്ടി ഇഎപിചില ഉപകരണങ്ങൾ ബന്ധിപ്പിക്കുമ്പോൾ, ഞങ്ങൾ സിസ്റ്റം സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കുകയും ഡൊമെയ്ൻ വ്യക്തമാക്കുകയും ചെയ്യും എന്നതാണ് വസ്തുത. വിശ്വസനീയമായ ഒരു സർട്ടിഫിക്കറ്റ് അതോറിറ്റിയിൽ നിന്നുള്ള ഒരു സർട്ടിഫിക്കറ്റും കീയും ഞങ്ങളുടെ പക്കലുണ്ട്. വ്യക്തിപരമായി, എന്റെ അഭിപ്രായത്തിൽ, അത്തരമൊരു കണക്ഷൻ നടപടിക്രമം ഓരോ ഉപകരണത്തിലും സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റ് എറിയുന്നതിനേക്കാൾ എളുപ്പമാണ്. എന്നാൽ സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റുകൾ ഇല്ലെങ്കിലും, അത് ഇപ്പോഴും വിജയിച്ചില്ല. Samsung ഉപകരണങ്ങൾക്കും Android =< 6 പതിപ്പുകൾക്കും സിസ്റ്റം സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കാൻ കഴിയില്ല. അതിനാൽ, സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് ഞങ്ങൾ അവർക്കായി ഈപ്പ്-ഗസ്റ്റിന്റെ ഒരു പ്രത്യേക ഉദാഹരണം സൃഷ്ടിക്കുന്നു. മറ്റെല്ലാ ഉപകരണങ്ങൾക്കും, ഞങ്ങൾ ഒരു വിശ്വസനീയ സർട്ടിഫിക്കറ്റ് ഉള്ള eap-client ഉപയോഗിക്കും. ഉപകരണം കണക്‌റ്റ് ചെയ്യുമ്പോൾ അജ്ഞാത ഫീൽഡാണ് ഉപയോക്തൃ നാമം നിർണ്ണയിക്കുന്നത്. 3 മൂല്യങ്ങൾ മാത്രം അനുവദനീയമാണ്: അതിഥി, ക്ലയന്റ്, ശൂന്യമായ ഫീൽഡ്. ബാക്കിയെല്ലാം തള്ളിക്കളയുന്നു. അത് രാഷ്ട്രീയക്കാരിൽ കോൺഫിഗർ ചെയ്യപ്പെടും. ഞാൻ കുറച്ച് കഴിഞ്ഞ് ഒരു ഉദാഹരണം പറയാം.

ലെ അംഗീകൃത വിഭാഗങ്ങൾ എഡിറ്റ് ചെയ്യാം, ആധികാരികമാക്കാം സൈറ്റ് പ്രവർത്തനക്ഷമമാക്കിയ/അകത്തെ-തുരങ്കം

സൈറ്റ് പ്രവർത്തനക്ഷമമാക്കിയ/അകത്തെ-തുരങ്കം

authorize {
  filter_username
  filter_inner_identity
  update control {
   &Proxy-To-Realm := LOCAL
  }
  ldap
  if ((ok || updated) && User-Password) {
    update {
        control:Auth-Type := ldap
    }
  }
  expiration
  digest
  logintime
  pap
  }

authenticate {
  Auth-Type eap-guest {
    eap-guest
  }
  Auth-Type eap-client {
    eap-client
  }
  Auth-Type PAP {
    pap
  }
  ldap
}

അടുത്തതായി, അജ്ഞാത ലോഗിൻ ചെയ്യുന്നതിന് ഏത് പേരുകളാണ് ഉപയോഗിക്കേണ്ടതെന്ന് നിങ്ങൾ നയങ്ങളിൽ വ്യക്തമാക്കേണ്ടതുണ്ട്. എഡിറ്റിംഗ് policy.d/filter.

ഇതിന് സമാനമായ വരികൾ നിങ്ങൾ കണ്ടെത്തേണ്ടതുണ്ട്:

if (&outer.request:User-Name !~ /^(anon|@)/) {
  update request {
    Module-Failure-Message = "User-Name is not anonymized"
  }
  reject
}

താഴെ elsif-ൽ ആവശ്യമുള്ള മൂല്യങ്ങൾ ചേർക്കുക:

elsif (&outer.request:User-Name !~ /^(guest|client|@)/) {
  update request {
    Module-Failure-Message = "User-Name is not anonymized"
  }
  reject
}

ഇപ്പോൾ നമ്മൾ ഡയറക്ടറിയിലേക്ക് നീങ്ങേണ്ടതുണ്ട് സർട്ടിഫിക്കറ്റുകൾ. ഇവിടെ നിങ്ങൾ ഒരു വിശ്വസ്ത സർട്ടിഫിക്കറ്റ് അതോറിറ്റിയിൽ നിന്നുള്ള കീയും സർട്ടിഫിക്കറ്റും നൽകേണ്ടതുണ്ട്, അത് ഞങ്ങൾക്ക് ഇതിനകം തന്നെയുണ്ട്, കൂടാതെ eap-gust-നായി സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കേണ്ടതുണ്ട്.

ഫയലിലെ പാരാമീറ്ററുകൾ മാറ്റുക ca.cnf.

ca.cnf

...
default_days = 3650
default_md = sha256
...
input_password = blablabla
output_password = blablabla
...
countryName = RU
stateOrProvinceNmae = State
localityNmae = City
organizationName = NONAME
emailAddress = [email protected]
commonName = "CA FreeRadius"

ഞങ്ങൾ ഫയലിൽ ഒരേ മൂല്യങ്ങൾ എഴുതുന്നു server.cnf. ഞങ്ങൾ മാത്രം മാറുന്നു
പൊതുവായ പേര്:

server.cnf

...
default_days = 3650
default_md = sha256
...
input_password = blablabla
output_password = blablabla
...
countryName = RU
stateOrProvinceNmae = State
localityNmae = City
organizationName = NONAME
emailAddress = [email protected]
commonName = "Server Certificate FreeRadius"

സൃഷ്ടിക്കാൻ:

make

തയ്യാറാണ്. ലഭിച്ചു server.crt и server.key ഞങ്ങൾ ഇതിനകം ഈപ്-ഗസ്റ്റിൽ മുകളിൽ രജിസ്റ്റർ ചെയ്തിട്ടുണ്ട്.

അവസാനമായി, ഫയലിലേക്ക് നമ്മുടെ ആക്സസ് പോയിന്റുകൾ ചേർക്കാം client.conf. എനിക്ക് അവയിൽ 7 എണ്ണം ഉണ്ട്. ഓരോ പോയിന്റും വെവ്വേറെ ചേർക്കാതിരിക്കാൻ, അവ സ്ഥിതിചെയ്യുന്ന നെറ്റ്‌വർക്ക് മാത്രമേ ഞങ്ങൾ എഴുതുകയുള്ളൂ (എന്റെ ആക്‌സസ് പോയിന്റുകൾ ഒരു പ്രത്യേക VLAN-ലാണ്).

client APs {
ipaddr = 192.168.100.0/24
password = password_AP
}

യുബിക്വിറ്റി കൺട്രോളർ

കൺട്രോളറിൽ ഞങ്ങൾ ഒരു പ്രത്യേക നെറ്റ്‌വർക്ക് ഉയർത്തുന്നു. അത് 192.168.2.0/24 ആയിരിക്കട്ടെ
ക്രമീകരണങ്ങൾ -> പ്രൊഫൈലിലേക്ക് പോകുക. ഞങ്ങൾ പുതിയൊരെണ്ണം സൃഷ്ടിക്കുന്നു:

റേഡിയസ് സെർവറിന്റെ വിലാസവും പോർട്ടും ഫയലിൽ എഴുതിയ പാസ്‌വേഡും ഞങ്ങൾ എഴുതുന്നു clients.conf:

ഒരു പുതിയ വയർലെസ് നെറ്റ്‌വർക്ക് പേര് സൃഷ്ടിക്കുക. പ്രാമാണീകരണ രീതിയായി WPA-EAP (എന്റർപ്രൈസ്) തിരഞ്ഞെടുത്ത് സൃഷ്ടിച്ച റേഡിയസ് പ്രൊഫൈൽ വ്യക്തമാക്കുക:

ഞങ്ങൾ എല്ലാം സംരക്ഷിച്ച് പ്രയോഗിക്കുകയും മുന്നോട്ട് പോകുകയും ചെയ്യുന്നു.

ക്ലയന്റുകളെ സജ്ജീകരിക്കുന്നു

നമുക്ക് ഏറ്റവും ബുദ്ധിമുട്ടുള്ളതിൽ നിന്ന് ആരംഭിക്കാം!

വിൻഡോസ് 10

ഒരു ഡൊമെയ്‌ൻ വഴി കോർപ്പറേറ്റ് വൈഫൈയിലേക്ക് എങ്ങനെ കണക്റ്റുചെയ്യണമെന്ന് വിൻഡോസിന് ഇതുവരെ അറിയില്ല എന്നതാണ് ബുദ്ധിമുട്ട്. അതിനാൽ, വിശ്വസ്ത സർട്ടിഫിക്കറ്റ് സ്റ്റോറിലേക്ക് ഞങ്ങളുടെ സർട്ടിഫിക്കറ്റ് നേരിട്ട് അപ്‌ലോഡ് ചെയ്യണം. ഇവിടെ നിങ്ങൾക്ക് സ്വയം ഒപ്പിട്ടതും സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയിൽ നിന്നും ഉപയോഗിക്കാം. ഞാൻ രണ്ടാമത്തേത് ഉപയോഗിക്കും.

അടുത്തതായി, നിങ്ങൾ ഒരു പുതിയ കണക്ഷൻ സൃഷ്ടിക്കേണ്ടതുണ്ട്. ഇത് ചെയ്യുന്നതിന്, നെറ്റ്‌വർക്കിലേക്കും ഇന്റർനെറ്റ് ക്രമീകരണങ്ങളിലേക്കും പോകുക -> നെറ്റ്‌വർക്ക്, പങ്കിടൽ കേന്ദ്രം -> ഒരു പുതിയ കണക്ഷൻ അല്ലെങ്കിൽ നെറ്റ്‌വർക്ക് സൃഷ്‌ടിക്കുകയും കോൺഫിഗർ ചെയ്യുകയും ചെയ്യുക:

നെറ്റ്‌വർക്കിന്റെ പേര് സ്വമേധയാ നൽകി സുരക്ഷയുടെ തരം മാറ്റുക. ഞങ്ങൾ ക്ലിക്ക് ചെയ്ത ശേഷം കണക്ഷൻ ക്രമീകരണങ്ങൾ മാറ്റുക സെക്യൂരിറ്റി ടാബിൽ, നെറ്റ്‌വർക്ക് ആധികാരികത തിരഞ്ഞെടുക്കുക - EAP-TTLS.

ഞങ്ങൾ പാരാമീറ്ററുകളിലേക്ക് പോകുന്നു, പ്രാമാണീകരണത്തിന്റെ രഹസ്യാത്മകത നിർദ്ദേശിക്കുന്നു - കക്ഷി. ഒരു വിശ്വസനീയ സർട്ടിഫിക്കേഷൻ അതോറിറ്റി എന്ന നിലയിൽ, ഞങ്ങൾ ചേർത്ത സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കുക, "സെർവറിന് അംഗീകാരം നൽകാൻ കഴിയുന്നില്ലെങ്കിൽ ഉപയോക്താവിന് ഒരു ക്ഷണം നൽകരുത്" എന്ന ബോക്‌സ് ചെക്ക് ചെയ്‌ത് പ്രാമാണീകരണ രീതി തിരഞ്ഞെടുക്കുക - എൻക്രിപ്റ്റ് ചെയ്യാത്ത പാസ്‌വേഡ് (PAP).

അടുത്തതായി, വിപുലമായ ക്രമീകരണങ്ങളിലേക്ക് പോകുക, "ഓതന്റിക്കേഷൻ മോഡ് വ്യക്തമാക്കുക" എന്നതിൽ ഒരു ടിക്ക് ഇടുക. "ഉപയോക്തൃ പ്രാമാണീകരണം" തിരഞ്ഞെടുത്ത് ക്ലിക്കുചെയ്യുക ക്രെഡൻഷ്യലുകൾ സംരക്ഷിക്കുക. ഇവിടെ നിങ്ങൾ username_ldap, password_ldap എന്നിവ നൽകേണ്ടതുണ്ട്

ഞങ്ങൾ എല്ലാം സംരക്ഷിക്കുന്നു, പ്രയോഗിക്കുന്നു, അടയ്ക്കുന്നു. നിങ്ങൾക്ക് ഒരു പുതിയ നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാനാകും.

ലിനക്സ്

ഞാൻ ഉബുണ്ടു 18.04, 18.10, ഫെഡോറ 29, 30 എന്നിവയിൽ പരീക്ഷിച്ചു.

ആദ്യം നമുക്ക് നമ്മുടെ സർട്ടിഫിക്കറ്റ് ഡൗൺലോഡ് ചെയ്യാം. സിസ്റ്റം സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കാൻ കഴിയുമോ എന്നും അത്തരമൊരു സ്റ്റോർ ഉണ്ടോ എന്നും ഞാൻ ലിനക്സിൽ കണ്ടെത്തിയില്ല.

നമുക്ക് ഡൊമെയ്‌നുമായി ബന്ധിപ്പിക്കാം. അതിനാൽ, ഞങ്ങളുടെ സർട്ടിഫിക്കറ്റ് വാങ്ങിയ സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയിൽ നിന്ന് ഞങ്ങൾക്ക് ഒരു സർട്ടിഫിക്കറ്റ് ആവശ്യമാണ്.

എല്ലാ കണക്ഷനുകളും ഒരു വിൻഡോയിലാണ് നിർമ്മിച്ചിരിക്കുന്നത്. ഞങ്ങളുടെ നെറ്റ്‌വർക്ക് തിരഞ്ഞെടുക്കുന്നു:

അജ്ഞാത-ക്ലയന്റ്
ഡൊമെയ്ൻ - സർട്ടിഫിക്കറ്റ് നൽകുന്ന ഡൊമെയ്ൻ

ആൻഡ്രോയിഡ്

നോൺ-സാംസങ്

പതിപ്പ് 7 മുതൽ, വൈഫൈ കണക്റ്റുചെയ്യുമ്പോൾ, ഡൊമെയ്ൻ മാത്രം വ്യക്തമാക്കിയുകൊണ്ട് നിങ്ങൾക്ക് സിസ്റ്റം സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കാം:

ഡൊമെയ്ൻ - സർട്ടിഫിക്കറ്റ് നൽകുന്ന ഡൊമെയ്ൻ
അജ്ഞാത-ക്ലയന്റ്

സാംസങ്

ഞാൻ മുകളിൽ എഴുതിയതുപോലെ, വൈഫൈയിലേക്ക് കണക്റ്റുചെയ്യുമ്പോൾ സിസ്റ്റം സർട്ടിഫിക്കറ്റുകൾ എങ്ങനെ ഉപയോഗിക്കണമെന്ന് സാംസങ് ഉപകരണങ്ങൾക്ക് അറിയില്ല, കൂടാതെ അവർക്ക് ഒരു ഡൊമെയ്ൻ വഴി കണക്റ്റുചെയ്യാനുള്ള കഴിവില്ല. അതിനാൽ, നിങ്ങൾ സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുടെ റൂട്ട് സർട്ടിഫിക്കറ്റ് സ്വമേധയാ ചേർക്കണം (ca.pem, ഞങ്ങൾ അത് റേഡിയസ് സെർവറിൽ എടുക്കുന്നു). ഇവിടെയാണ് സ്വയം ഒപ്പിട്ടത് ഉപയോഗിക്കുന്നത്.

നിങ്ങളുടെ ഉപകരണത്തിലേക്ക് സർട്ടിഫിക്കറ്റ് ഡൗൺലോഡ് ചെയ്ത് ഇൻസ്റ്റാൾ ചെയ്യുക.

സർട്ടിഫിക്കറ്റ് ഇൻസ്റ്റാളേഷൻ







അതേ സമയം, സ്‌ക്രീൻ അൺലോക്ക് പാറ്റേൺ, പിൻ കോഡ് അല്ലെങ്കിൽ പാസ്‌വേഡ് ഇതിനകം സജ്ജീകരിച്ചിട്ടില്ലെങ്കിൽ നിങ്ങൾ സജ്ജീകരിക്കേണ്ടതുണ്ട്:

ഒരു സർട്ടിഫിക്കറ്റ് ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന്റെ സങ്കീർണ്ണമായ പതിപ്പ് ഞാൻ കാണിച്ചു. മിക്ക ഉപകരണങ്ങളിലും, ഡൗൺലോഡ് ചെയ്ത സർട്ടിഫിക്കറ്റിൽ ക്ലിക്ക് ചെയ്യുക.

സർട്ടിഫിക്കറ്റ് ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ, നിങ്ങൾക്ക് കണക്ഷനിലേക്ക് പോകാം:

സർട്ടിഫിക്കറ്റ് - ഇൻസ്റ്റാൾ ചെയ്ത ഒന്ന് സൂചിപ്പിക്കുക
അജ്ഞാത ഉപയോക്താവ് - അതിഥി

മാക്ഒഎസിലെസഫാരി

ബോക്‌സിന് പുറത്തുള്ള Apple ഉപകരണങ്ങൾക്ക് EAP-TLS-ലേക്ക് മാത്രമേ കണക്‌റ്റ് ചെയ്യാനാകൂ, എന്നാൽ നിങ്ങൾ അവയ്‌ക്ക് നേരെ ഒരു സർട്ടിഫിക്കറ്റ് എറിയേണ്ടതുണ്ട്. മറ്റൊരു കണക്ഷൻ രീതി വ്യക്തമാക്കുന്നതിന്, നിങ്ങൾ Apple കോൺഫിഗറേറ്റർ 2 ഉപയോഗിക്കേണ്ടതുണ്ട്. അതനുസരിച്ച്, നിങ്ങൾ ആദ്യം ഇത് നിങ്ങളുടെ Mac-ലേക്ക് ഡൗൺലോഡ് ചെയ്യുകയും ഒരു പുതിയ പ്രൊഫൈൽ സൃഷ്ടിക്കുകയും ആവശ്യമായ എല്ലാ WiFi ക്രമീകരണങ്ങളും ചേർക്കുകയും വേണം.

ആപ്പിൾ കോൺഫിഗറേറ്റർ



നിങ്ങളുടെ നെറ്റ്‌വർക്ക് പേര് ഇവിടെ നൽകുക
സുരക്ഷാ തരം - WPA2 എന്റർപ്രൈസ്
അംഗീകരിച്ച EAP തരങ്ങൾ - TTLS
ഉപയോക്തൃനാമവും പാസ്‌വേഡും - ശൂന്യമായി വിടുക
ആന്തരിക പ്രാമാണീകരണം - PAP
ബാഹ്യ ഐഡന്റിറ്റി-ക്ലയന്റ്

ട്രസ്റ്റ് ടാബ്. ഇവിടെ ഞങ്ങൾ ഞങ്ങളുടെ ഡൊമെയ്ൻ വ്യക്തമാക്കുന്നു

എല്ലാം. പ്രൊഫൈൽ സംരക്ഷിക്കാനും ഒപ്പിടാനും ഉപകരണങ്ങളിലേക്ക് വിതരണം ചെയ്യാനും കഴിയും

പ്രൊഫൈൽ തയ്യാറായ ശേഷം, നിങ്ങൾ അത് പോപ്പിയിലേക്ക് ഡൌൺലോഡ് ചെയ്ത് ഇൻസ്റ്റാൾ ചെയ്യണം. ഇൻസ്റ്റാളേഷൻ പ്രക്രിയയിൽ, ഉപയോക്താവിന്റെ usernmae_ldap, password_ldap എന്നിവ നിങ്ങൾ വ്യക്തമാക്കേണ്ടതുണ്ട്:

ഐഒഎസ്

ഈ പ്രക്രിയ MacOS-ന് സമാനമാണ്. നിങ്ങൾ ഒരു പ്രൊഫൈൽ ഉപയോഗിക്കേണ്ടതുണ്ട് (നിങ്ങൾക്ക് macOS-ന് സമാനമായ ഒന്ന് ഉപയോഗിക്കാം. Apple കോൺഫിഗറേറ്ററിൽ ഒരു പ്രൊഫൈൽ എങ്ങനെ സൃഷ്ടിക്കാം, മുകളിൽ കാണുക).

പ്രൊഫൈൽ ഡൗൺലോഡ് ചെയ്യുക, ഇൻസ്റ്റാൾ ചെയ്യുക, ക്രെഡൻഷ്യലുകൾ നൽകുക, ബന്ധിപ്പിക്കുക:

അത്രയേയുള്ളൂ. ഞങ്ങൾ ഒരു റേഡിയസ് സെർവർ സജ്ജീകരിച്ചു, അത് FreeIPA-യുമായി സമന്വയിപ്പിച്ചു, Ubiquiti AP-കളോട് WPA2-EAP ഉപയോഗിക്കാൻ പറഞ്ഞു.

സാധ്യമായ ചോദ്യങ്ങൾ

വി: ഒരു ജീവനക്കാരന് പ്രൊഫൈൽ/സർട്ടിഫിക്കറ്റ് എങ്ങനെ കൈമാറാം?

വിവരം: വെബ് ആക്‌സസ് ഉള്ള എല്ലാ സർട്ടിഫിക്കറ്റുകളും/പ്രൊഫൈലുകളും ഞാൻ ftp-യിൽ സംഭരിക്കുന്നു. ftp ഒഴികെ, വേഗത പരിധിയും ഇന്റർനെറ്റ് ആക്‌സസ്സും ഉള്ള ഒരു അതിഥി നെറ്റ്‌വർക്ക് ഉയർത്തി.
പ്രാമാണീകരണം 2 ദിവസം നീണ്ടുനിൽക്കും, അതിനുശേഷം അത് റീസെറ്റ് ചെയ്യുകയും ക്ലയന്റ് ഇന്റർനെറ്റ് ഇല്ലാതെ അവശേഷിക്കുകയും ചെയ്യും. അത്. ഒരു ജീവനക്കാരൻ വൈഫൈയിലേക്ക് കണക്റ്റുചെയ്യാൻ ആഗ്രഹിക്കുമ്പോൾ, അവൻ ആദ്യം ഗസ്റ്റ് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യുന്നു, FTP ആക്‌സസ് ചെയ്യുന്നു, അയാൾക്ക് ആവശ്യമായ സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ പ്രൊഫൈൽ ഡൗൺലോഡ് ചെയ്യുന്നു, അത് ഇൻസ്റ്റാൾ ചെയ്യുന്നു, തുടർന്ന് കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാനാകും.

വി: എന്തുകൊണ്ട് MSCHAPv2-നൊപ്പം സ്കീമ ഉപയോഗിക്കരുത്? അവൾ സുരക്ഷിതയാണ്!

വിവരം: ഒന്നാമതായി, NPS-ൽ (Windows Network Policy System) അത്തരമൊരു സ്കീം നന്നായി പ്രവർത്തിക്കുന്നു, ഞങ്ങളുടെ നടപ്പാക്കലിൽ LDAP (FreeIpa) കോൺഫിഗർ ചെയ്യേണ്ടതും സെർവറിൽ പാസ്‌വേഡ് ഹാഷുകൾ സംഭരിക്കുന്നതും ആവശ്യമാണ്. ചേർക്കുക. ക്രമീകരണങ്ങൾ ഉണ്ടാക്കുന്നത് ഉചിതമല്ല, കാരണം. ഇത് അൾട്രാസൗണ്ട് സമന്വയിപ്പിക്കുന്നതിനുള്ള വിവിധ പ്രശ്നങ്ങളിലേക്ക് നയിച്ചേക്കാം. രണ്ടാമതായി, ഹാഷ് MD4 ആണ്, അതിനാൽ ഇത് കൂടുതൽ സുരക്ഷ നൽകുന്നില്ല.

വി: Mac-വിലാസങ്ങൾ വഴി ഉപകരണങ്ങൾ അംഗീകരിക്കാൻ കഴിയുമോ?

വിവരം: ഇല്ല, ഇത് സുരക്ഷിതമല്ല, ആക്രമണകാരിക്ക് MAC വിലാസങ്ങൾ മാറ്റാൻ കഴിയും, അതിലുപരിയായി MAC വിലാസങ്ങൾ നൽകുന്ന അംഗീകാരം പല ഉപകരണങ്ങളിലും പിന്തുണയ്‌ക്കുന്നില്ല.

വി: ഈ സർട്ടിഫിക്കറ്റുകൾക്കെല്ലാം പൊതുവെ എന്താണ് ഉപയോഗിക്കേണ്ടത്? അവരെ കൂടാതെ നിങ്ങൾക്ക് ചേരാൻ കഴിയുമോ?

വിവരം: സെർവറിനെ അംഗീകരിക്കാൻ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കുന്നു. ആ. കണക്റ്റുചെയ്യുമ്പോൾ, അത് വിശ്വസനീയമായ ഒരു സെർവറാണോ അല്ലയോ എന്ന് ഉപകരണം പരിശോധിക്കുന്നു. അങ്ങനെയാണെങ്കിൽ, പ്രാമാണീകരണം തുടരുന്നു, ഇല്ലെങ്കിൽ, കണക്ഷൻ അടച്ചു. നിങ്ങൾക്ക് സർട്ടിഫിക്കറ്റുകളില്ലാതെ കണക്റ്റുചെയ്യാനാകും, എന്നാൽ ഒരു ആക്രമണകാരിയോ അയൽക്കാരനോ ഒരു റേഡിയസ് സെർവറും ഞങ്ങളുടെ അതേ പേരിൽ ഒരു ആക്‌സസ് പോയിന്റും സജ്ജീകരിച്ചാൽ, ഉപയോക്താവിന്റെ ക്രെഡൻഷ്യലുകൾ അയാൾക്ക് എളുപ്പത്തിൽ തടസ്സപ്പെടുത്താൻ കഴിയും (അവ വ്യക്തമായ വാചകത്തിലാണ് കൈമാറ്റം ചെയ്യപ്പെടുന്നതെന്ന് മറക്കരുത്). ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുമ്പോൾ, ശത്രു അവന്റെ ലോഗുകളിൽ നമ്മുടെ സാങ്കൽപ്പിക ഉപയോക്തൃ നാമം മാത്രമേ കാണൂ - അതിഥി അല്ലെങ്കിൽ ക്ലയന്റ് കൂടാതെ ഒരു തരം പിശക് - അജ്ഞാത CA സർട്ടിഫിക്കറ്റ്

MacOS-നെ കുറിച്ച് കുറച്ചുകൂടിസാധാരണയായി MacOS-ൽ, സിസ്റ്റം വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുന്നത് ഇന്റർനെറ്റ് വഴിയാണ്. വീണ്ടെടുക്കൽ മോഡിൽ, Mac വൈഫൈയിലേക്ക് കണക്‌റ്റ് ചെയ്‌തിരിക്കണം, ഞങ്ങളുടെ കോർപ്പറേറ്റ് വൈഫൈയോ അതിഥി നെറ്റ്‌വർക്കോ ഇവിടെ പ്രവർത്തിക്കില്ല. വ്യക്തിപരമായി, ഞാൻ മറ്റൊരു നെറ്റ്‌വർക്ക് ഉയർത്തി, സാധാരണ WPA2-PSK, മറച്ചത്, സാങ്കേതിക പ്രവർത്തനങ്ങൾക്കായി മാത്രം. അല്ലെങ്കിൽ നിങ്ങൾക്ക് മുൻകൂട്ടി തന്നെ സിസ്റ്റം ഉപയോഗിച്ച് ബൂട്ടബിൾ യുഎസ്ബി ഫ്ലാഷ് ഡ്രൈവ് നിർമ്മിക്കാം. എന്നാൽ പോപ്പി 2015 ന് ശേഷമാണെങ്കിൽ, ഈ ഫ്ലാഷ് ഡ്രൈവിനായി നിങ്ങൾ ഇപ്പോഴും ഒരു അഡാപ്റ്റർ കണ്ടെത്തേണ്ടതുണ്ട്)

അവലംബം: www.habr.com