FreeRADIUS - Versionsgeschichte

Lukas am 9. Juli 2016 um 10:26 Uhr

2016-07-09T10:26:38Z

← Nächstältere Version		Version vom 9. Juli 2016, 10:26 Uhr
Zeile 112:		Zeile 112:
	Die meisten AccessPoints können heute mit RADIUS-Authentifizierung umgehen. Wichtig ist, dass man zwei Seiten konfigurieren muss. Einerseits die Authentifizierung und das Accounting. Meistens sind die aber untereinander aufgeführt. Oft ist die Konfiguration der RADIUS-Daten auch ausgelagert, zum Beispiel auf einem Netgear-AP:		Die meisten AccessPoints können heute mit RADIUS-Authentifizierung umgehen. Wichtig ist, dass man zwei Seiten konfigurieren muss. Einerseits die Authentifizierung und das Accounting. Meistens sind die aber untereinander aufgeführt. Oft ist die Konfiguration der RADIUS-Daten auch ausgelagert, zum Beispiel auf einem Netgear-AP:
	[[Datei:Radius_Netgear.png]]		[[Datei:Radius_Netgear.png]]

			Eine Anleitung für die Konfiguration von Routern als Accesspoints findet sich hier: [[WLAN-Accesspoint mit DD-WRT und RADIUS]]

	== Nachtrag 29.03.2016 ==		== Nachtrag 29.03.2016 ==

Lukas: /* Nachtrag 29.03.2016 */

2016-03-29T17:46:52Z

Nachtrag 29.03.2016

← Nächstältere Version		Version vom 29. März 2016, 17:46 Uhr
Zeile 114:		Zeile 114:

	== Nachtrag 29.03.2016 ==		== Nachtrag 29.03.2016 ==
	Komischerweise geht das System seit heute mit neuen AccessPoints nicht mehr richtig um. Zwar sind diese in der Datenbank-Tabelle nas eingetragen, doch Freeradius lehnt auch nach einem Service-Neustart alle Verbindungen der neuen Geräte ab.		Komischerweise geht das System seit heute mit neuen AccessPoints nicht mehr richtig um. Zwar sind diese in der Datenbank-Tabelle nas eingetragen, doch Freeradius lehnt auch nach einem Service-Neustart alle Verbindungen der neuen Geräte ab:

			Error: Ignoring request to accounting address * port 1813 from unknown client 172.16.245.2 port 37159
			Error: Ignoring request to authentication address * port 1812 from unknown client 172.16.245.2 port 45878

	Abhilfe bietet hier die Datei clients.conf, die um folgende Zeilen (pro Accesspoint den gesamten Block einsetzen) manuell erweitert wird:		Abhilfe bietet hier die Datei clients.conf, die um folgende Zeilen (pro Accesspoint den gesamten Block einsetzen) manuell erweitert wird:

Lukas: /* Nachtrag 29.03.2016 */

2016-03-29T17:44:24Z

Nachtrag 29.03.2016

@@ Zeile 121: / Zeile 121: @@
           shortname = WLAP-0316-0A5FB4
           nastype = Haus 6 1. Stock H6115 # Angabe ist optional
+  }

Lukas: /* Nachtrag 29.03.2016 */

2016-03-29T17:43:14Z

Nachtrag 29.03.2016

← Nächstältere Version		Version vom 29. März 2016, 17:43 Uhr
Zeile 116:		Zeile 116:
	Komischerweise geht das System seit heute mit neuen AccessPoints nicht mehr richtig um. Zwar sind diese in der Datenbank-Tabelle nas eingetragen, doch Freeradius lehnt auch nach einem Service-Neustart alle Verbindungen der neuen Geräte ab.		Komischerweise geht das System seit heute mit neuen AccessPoints nicht mehr richtig um. Zwar sind diese in der Datenbank-Tabelle nas eingetragen, doch Freeradius lehnt auch nach einem Service-Neustart alle Verbindungen der neuen Geräte ab.

	Abhilfe bietet hier die Datei clients.conf, die um folgende Zeilen manuell erweitert wird:		Abhilfe bietet hier die Datei clients.conf, die um folgende Zeilen (pro Accesspoint den gesamten Block einsetzen) manuell erweitert wird:
	client 172.16.245.2 {		client 172.16.245.2 {
	secret = GeheimerSchluessel		secret = GeheimerSchluessel
	shortname = WLAP-0316-0A5FB4		shortname = WLAP-0316-0A5FB4
	nastype = Haus 6 1. Stock H6115		nastype = Haus 6 1. Stock H6115 # Angabe ist optional
	}		}

Lukas am 29. März 2016 um 17:42 Uhr

2016-03-29T17:42:36Z

← Nächstältere Version		Version vom 29. März 2016, 17:42 Uhr
Zeile 112:		Zeile 112:
	Die meisten AccessPoints können heute mit RADIUS-Authentifizierung umgehen. Wichtig ist, dass man zwei Seiten konfigurieren muss. Einerseits die Authentifizierung und das Accounting. Meistens sind die aber untereinander aufgeführt. Oft ist die Konfiguration der RADIUS-Daten auch ausgelagert, zum Beispiel auf einem Netgear-AP:		Die meisten AccessPoints können heute mit RADIUS-Authentifizierung umgehen. Wichtig ist, dass man zwei Seiten konfigurieren muss. Einerseits die Authentifizierung und das Accounting. Meistens sind die aber untereinander aufgeführt. Oft ist die Konfiguration der RADIUS-Daten auch ausgelagert, zum Beispiel auf einem Netgear-AP:
	[[Datei:Radius_Netgear.png]]		[[Datei:Radius_Netgear.png]]

			== Nachtrag 29.03.2016 ==
			Komischerweise geht das System seit heute mit neuen AccessPoints nicht mehr richtig um. Zwar sind diese in der Datenbank-Tabelle nas eingetragen, doch Freeradius lehnt auch nach einem Service-Neustart alle Verbindungen der neuen Geräte ab.

			Abhilfe bietet hier die Datei clients.conf, die um folgende Zeilen manuell erweitert wird:
			client 172.16.245.2 {
			secret = GeheimerSchluessel
			shortname = WLAP-0316-0A5FB4
			nastype = Haus 6 1. Stock H6115
			}

Lukas am 27. September 2015 um 15:13 Uhr

2015-09-27T15:13:46Z

← Nächstältere Version		Version vom 27. September 2015, 15:13 Uhr
Zeile 1:		Zeile 1:
	Es ist erstaunlich wie schlecht die Inbetriebnahme des RADIUS-Servers FreeRADIUS unter Ubuntu dokumentiert ist. Ich habe folgenden Anwendungszweck: Gäste sollen sich in unserem Netzwerk mit Benutzername und Passwort am WLAN authentifizieren. Die Benutzerdaten sollen zwecks einfacher Verwaltung in einer MySQL-Datenbank stehen.		Es ist erstaunlich wie schlecht die Inbetriebnahme des RADIUS-Servers FreeRADIUS mit MySQL-Anbindung unter Ubuntu (hier: Version 14.04) dokumentiert ist. Ich habe folgenden Anwendungszweck: Gäste sollen sich in unserem Netzwerk mit Benutzername und Passwort am WLAN authentifizieren. Die Benutzerdaten sollen zwecks einfacher Verwaltung in einer MySQL-Datenbank stehen.

	== Installation FreeRADIUS ==		== Installation FreeRADIUS ==

Lukas am 27. September 2015 um 15:13 Uhr

2015-09-27T15:13:23Z

← Nächstältere Version		Version vom 27. September 2015, 15:13 Uhr
Zeile 26:		Zeile 26:
	freeradius -X		freeradius -X
	können wir FreeRADIUS nun im Debug-Modus starten. Hier könnten einige Fehler auftreten. Wichtig ist zu kontrollieren, dass alle SQL-Parameter in den beiden oben genannten Dateien aktiviert sind.		können wir FreeRADIUS nun im Debug-Modus starten. Hier könnten einige Fehler auftreten. Wichtig ist zu kontrollieren, dass alle SQL-Parameter in den beiden oben genannten Dateien aktiviert sind.

			Einer der Fehler ist zum Beispiel folgende Fehlermeldung im Debug:
			Logout entry for NAS has wrong ID
			Ursache war in meinem Fall, dass ich vergessen hatte, die SQL-Parameter für den inner-tunnel zu aktivieren. Gleiches gilt für:
			No Cleartext-Password configured. Cannot create LM-Password.
			No Cleartext-Password configured. Cannot create NT-Password.
			nach einem Anmeldeversuch am WLAN.

	Darüber hinaus kann es sein, dass SSL-Zertifikate fehlen, die zur Verschlüsselung der Authentifizierungsverbindung genutzt werden. FreeRADIUS benötigt folgende Dateien:		Darüber hinaus kann es sein, dass SSL-Zertifikate fehlen, die zur Verschlüsselung der Authentifizierungsverbindung genutzt werden. FreeRADIUS benötigt folgende Dateien:

Lukas: Die Seite wurde neu angelegt: „Es ist erstaunlich wie schlecht die Inbetriebnahme des RADIUS-Servers FreeRADIUS unter Ubuntu dokumentiert ist. Ich habe folgenden Anwendungszweck: Gäste soll…“

2015-09-27T15:01:31Z

Die Seite wurde neu angelegt: „Es ist erstaunlich wie schlecht die Inbetriebnahme des RADIUS-Servers FreeRADIUS unter Ubuntu dokumentiert ist. Ich habe folgenden Anwendungszweck: Gäste soll…“

Neue Seite

Es ist erstaunlich wie schlecht die Inbetriebnahme des RADIUS-Servers FreeRADIUS unter Ubuntu dokumentiert ist. Ich habe folgenden Anwendungszweck: Gäste sollen sich in unserem Netzwerk mit Benutzername und Passwort am WLAN authentifizieren. Die Benutzerdaten sollen zwecks einfacher Verwaltung in einer MySQL-Datenbank stehen.

== Installation FreeRADIUS ==
Zu aller Erst installieren wir FreeRADIUS, dessen MySQL-Anbindung und OpenSSL. Die korrekte Installation eines LAMP-Server setze ich an dieser Stelle voraus.
apt-get update
apt-get install freeradius freeradius-mysql openssl

Dann können wir mit der Konfiguration beginnen. Zu aller Erst erstellen wir eine neue Datenbank radius mit vollen Schreibrechten für den Benutzer radius mit dem Passwort radius. Mit Hilfe dieses Benutzers legen wir dann das Datenbank-Schema an.

mysql -u radius -p radius < /etc/freeradius/sql/mysql/schema.sql
mysql -u radius -p radius < /etc/freeradius/sql/mysql/nas.sql

Haben wir das gemacht, konfigurieren wir den SQL-Zugriff für FreeRADIUS in /etc/freeradius/sql.conf
login = "radius"
password = "radius"
# Database table configuration for everything except Oracle
radius_db = "radius"

Daraufhin binden wir die Datei in FreeRADIUS ein via /etc/freeradius/radiusd.conf (ca. Zeile 700):
$INCLUDE sql.conf

und aktivieren (sind schon als Kommentar vorhanden) die Authentifizierungsmethoden in /etc/freeradius/sites-enabled/default jeweils unter authorize, accounting, session und post-auth sowie in der Datei /etc/freeradius/sites-enabled/inner-tunnel in authorize, session und post-auth

== Testen der Konfiguration ==
Via
freeradius -X
können wir FreeRADIUS nun im Debug-Modus starten. Hier könnten einige Fehler auftreten. Wichtig ist zu kontrollieren, dass alle SQL-Parameter in den beiden oben genannten Dateien aktiviert sind.

Darüber hinaus kann es sein, dass SSL-Zertifikate fehlen, die zur Verschlüsselung der Authentifizierungsverbindung genutzt werden. FreeRADIUS benötigt folgende Dateien:
* ca.pem (Zertifikat der Certificate Authority als PEM)
* server.pem (Server-eigenes Zertifikat)
* server.key (Server-eigener Schlüssel)
* dh (Diffie-Hellmann)
Die Dateinamen können ggf. in /etc/freeradius/eap.conf ca. ab Zeile 150 abgeändert werden.

Der Betrieb einer eigenen Root-CA zur Erstellung der Zertifikate ist bei [https://wiki.ubuntuusers.de/CA Ubuntuusers] dokumentiert.

Wichtig ist, dass der Ordner und die Zertifikate auch dem FreeRADIUS-Benutzer und der Gruppe gehören
chown -R freerad.freerad /etc/freeradius/certs/

=== Fehlerbehebung ===
Die Log-Dateien unter /var/log/freeradius/radius.log geben gute Auskunft, alternativ auch der Debug-Modus von FreeRADIUS.

== Tool zur Manipulation ==
Zur Manipulation der Daten benutze ich das Tool [http://sourceforge.net/projects/phpradiusadmin/ PHPRadiusAdmin]. Dieses ist unter Apache mit PHP lauffähig und ist sehr einfach zu konfigurieren. Unter lib/dbconfig.php werden die Daten des SQL-Zugriffs für FreeRADIUS eingegeben. Man kann natürlich auch einen individuellen Zugang auf die Datenbank radius einrichten. Die Datenbank muss um folgende Tabellen erweitert werden (radius.sql):

CREATE TABLE IF NOT EXISTS `adminbans` (
`id` int(25) NOT NULL AUTO_INCREMENT,
`ip` varchar(25) COLLATE latin1_general_ci NOT NULL,
`hostname` varchar(255) COLLATE latin1_general_ci NOT NULL,
`datetime` datetime NOT NULL,
`reason` varchar(255) COLLATE latin1_general_ci NOT NULL,
PRIMARY KEY (`id`)
) ENGINE=MyISAM DEFAULT CHARSET=latin1 COLLATE=latin1_general_ci AUTO_INCREMENT=1 ;

CREATE TABLE IF NOT EXISTS `adminconfig` (
`setting` varchar(255) COLLATE latin1_general_ci NOT NULL DEFAULT '',
`value` varchar(255) COLLATE latin1_general_ci NOT NULL DEFAULT '',
`description` varchar(255) COLLATE latin1_general_ci NOT NULL DEFAULT '',
PRIMARY KEY (`setting`),
KEY `value` (`value`)
) ENGINE=MyISAM DEFAULT CHARSET=latin1 COLLATE=latin1_general_ci;

INSERT INTO `adminconfig` (`setting`, `value`, `description`) VALUES
('max_failed', '5', 'The maximum failed logins before a ban is issued.'),
('failed_timeout', '2', 'In hours, the timespan for the failed login timeouts.'),
('webmaster_email', 'webmaster@danodemano.com', 'The email address for the site webmaster.'),
('email_ban', '1', 'Send an email to the webmaster when an IP is banned'),
('email_from', 'webmaster@danodemano.com', 'The default email address messages are sent from');

CREATE TABLE IF NOT EXISTS `adminfaillog` (
`id` int(25) NOT NULL AUTO_INCREMENT,
`ip` varchar(25) COLLATE latin1_general_ci NOT NULL,
`username` varchar(255) COLLATE latin1_general_ci NOT NULL,
`datetime` datetime NOT NULL,
PRIMARY KEY (`id`)
) ENGINE=MyISAM DEFAULT CHARSET=latin1 COLLATE=latin1_general_ci AUTO_INCREMENT=1 ;

CREATE TABLE IF NOT EXISTS `adminusers` (
`id` int(25) NOT NULL AUTO_INCREMENT,
`username` varchar(50) COLLATE latin1_general_ci NOT NULL,
`password` varchar(50) COLLATE latin1_general_ci NOT NULL,
`active` tinyint(1) NOT NULL,
PRIMARY KEY (`id`)
) ENGINE=MyISAM DEFAULT CHARSET=latin1 COLLATE=latin1_general_ci AUTO_INCREMENT=2 ;

INSERT INTO `adminusers` (`id`, `username`, `password`, `active`) VALUES
(1, 'test', 'a94a8fe5ccb19ba61c4c0873d391e987982fbbd3', 1);

CREATE TABLE IF NOT EXISTS `expire` (
`id` int(25) NOT NULL AUTO_INCREMENT,
`user_id` int(25) NOT NULL,
`expires` datetime NOT NULL,
PRIMARY KEY (`id`)
) ENGINE=MyISAM DEFAULT CHARSET=latin1 COLLATE=latin1_general_ci AUTO_INCREMENT=1 ;

Hier wird auch gleich ein Admin-Account test mit dem Passwort test für die Administration über das Web eingerichtet.

Mit Hilfe des Tools radtest können die Accounts direkt auf dem Rechner ausprobiert werden:
radtest benutzer passwort localhost 18128 testing123

testing123 hier ist ein Standard-Secret mit dessen Hilfe man vom localhost aus auf die RADIUS-Datenbank zugreifen kann.

== Konfiguration der AccessPoints ==
Die meisten AccessPoints können heute mit RADIUS-Authentifizierung umgehen. Wichtig ist, dass man zwei Seiten konfigurieren muss. Einerseits die Authentifizierung und das Accounting. Meistens sind die aber untereinander aufgeführt. Oft ist die Konfiguration der RADIUS-Daten auch ausgelagert, zum Beispiel auf einem Netgear-AP:
[[Datei:Radius_Netgear.png]]