Lehekülje Eduroami kasutamiseks Radius server seadistamine lähteteksti vaatamine

===Radius serveri seadistus=== 
'''NB! VEEL POOLIK TEKST, kasutamisel võib esinda probleeme'''

Vaatleme juhust kui paroolid asuvad unixi passwd failis ja autentimiseks TTLS-PAP ning vaja on seadistada
radius külge 2 wifi seadet ip'dega '''192.168.3.10''' ja '''192.168.3.20'''. Kõrgemal asuvateks radius serveriteks kuhu
saadame mitte lokaalseid autentimis päringuid ning mis omakorda meilt mõningate serveri lokaalsete kasutajate kohta pärivad
mis hetkel mõnes teises ''''radius.server.ee''' ja ''''radius2.server.ee''''

       ___
      |   |                            ___
      |___|                  _________|   |
  radius.server.ee         _|_        |___|
     ....   ............. |   |      Server kasutajatunnustega
       ..    .... ... .   |___|
      ....Internet    radius2.server.ee
          ......
           _|_
          |   |
          |___| radius server
            |
            |
    ________|______  lokaalne võrk
   _|_            _|_
  |   |          |   |
  |___|          |___|               __
 wifi ap1       wifi ap2   .....    |  |
                      .......   ... |__|
                          .....        wifi klient


Näites täpsemalt paneme test eduroami käima Freeradiusega (hetkel ver 2.1.10), autentimine käib nii TTLS-PAP (unixi passwd faili vastu) kui ka PEAP-MSCHAPv2 (samba paroolifaili vastu). Soovides kasutada Ldapi andmebaasi sõltub sellest palju mis kujul paroolid LDAP-is on -- kui seal on kirjas NT-HASH, saab kasutada mõlemat (TTLS ja PEAP), kui aga pole, siis ainult EAP-TTLS-PAP. Windowsi kasutajatele on mugavam PEAP, kuna siis ei pea lisatarkvara installima, samas on teine variant väidetavalt turvalisem.

FreeRadius install

*Redhat, Fedora, CentOS - yum install freeradius
*Debian, Ubuntu - apt-get install freeradius
*FreeBSD - cd /usr/ports/net/freeradius && make install clean
* ...

Edasi peale paigaldamist tuleb liikuda süsteemi etc alla (debian freeradius, redhat, freebsd raddb) radiuse seadistuskausta

'''clients.conf''' sisaldab kohalikke wifi seadmeid ning samuti kõrgemal asuvaid radius servereid nt EENeti omi mis saavavad
päringuid väljaspool antud wifi võrku asuvate kasutajate autentimiseks

<source lang=bash>
 # EE top-level radiuse serverid mis proxyvad meile väljaspoolt päringuid
 client mingiv2lineipaadress {
         secret          = parool
         shortname       = radius.server.ee
 }
 client mingiv2lineipaadress {
         secret          = parool
         shortname       = radius2.server.ee
 }
 
 # wifi seadmed, kohalikud ap'd
 client 192.168.3.10 {
         secret          = parool1
         shortname       = wifi1
 }
 client 192.168.3.20 {
         secret          = parool2
         shortname       = wifi2
 }
</source>

'''proxy conf,''' ehk määrang kuhu mis autentimise päringud võrku tulnud kasutajate korral suunatalse
<source lang=bash>
 # kohalikud kasutajad autenditakse lokaalse serveri andmebaasi vastu
 realm zoo.tartu.ee {
         type            = radius
         authhost        = LOCAL
         accthost        = LOCAL
 }
 
 # kõik päringud mida ei saa lahendada lokaalselt saadetakse edasi .ee top-level radiuse proxy-dele
 #
 realm DEFAULT {
         type            = radius
         authhost        = radius.server.ee:1812
         accthost        = radius.server.ee:1813
         secret          = parool
         nostrip
 }
 realm DEFAULT {
         type            = radius
         authhost        = radius2.server.ee:1812
         accthost        = radius2.server.ee:1813
         secret          = parool
         nostrip
 }
</source>
'''users'''

Fail kuhu saab kirjutada kasutajad katsetamiseks, neid tuleb tekitada kujul.

 ants    User-Password == "parool"

Soovides kasutada autentimiseks lokaalseid kasutajaid tuleb kirjutada

 DEFAULT Auth-Type = System
         Fall-Through = 1

'''radiusd.conf''' tarkvara peamine seadistusfail. Faili suure mahu tõttu ei hakka seda tervenisti välja tooma vaid ainult muudatused
lisaks võib kaotada ära st väljakommenteerida erinevad protokollid ja autentimise mehanismid mis kasutamist ei leia nt ldap, mysql etc.
<source lang=bash>
 authorize {
         preprocess
         auth_log
         mschap
         suffix
         eap
         files
 }
 
 authenticate {
        Auth-Type PAP {
                pap
        }
          Auth-Type MS-CHAP {
                 mschap
         } 
        unix
 }
</srouce>

ja modules sektsiooni

<source lang=bash>
 $INCLUDE ${confdir}/eap.conf
 
         mschap {
                 authtype = MS-CHAP
                 use_mppe = yes
                 require_encryption = yes
                 require_strong = yes
         }
</source>

Kontrollida tuleks ,et files blokk oleks samuti olemas, üldiselt peaks default seadistuses see olema

'''eap.conf''' peaks sisaldama järgnevat, vaja on eelnevalt genereerida sertifikaadi failid server.key ja server.crt. Radiuse sertifikaadid soovitatakse teha self-signed, on turvalisem.

<source lang=bash>
        eap {
                default_eap_type = md5
                timer_expire     = 60
                ignore_unknown_eap_types = no
                cisco_accounting_username_bug = no
                md5 {
                }
 
                tls {
                        private_key_file = /usr/local/secret/server.key
                        certificate_file = /usr/local/secret/server.crt
 
                        #  Trusted Root CA list
                        CA_file = ${raddbdir}/certs/SK.pem
 
                        dh_file = ${raddbdir}/certs/dh
                        random_file = ${raddbdir}/certs/random
 
                        fragment_size = 1024
                        include_length = yes
                }
 
                ttls {
                        default_eap_type = md5
                }
 
                peap {
                        default_eap_type = mschapv2
                }
 
                mschapv2 {
                }
        }
</source>

Ehitamise kohta on mõned tekstid eduroam.org veebis, näiteks Documents lehel "eduroam CookBook".

* http://www.howtoforge.org/setting-up-a-freeradius-based-aaa-server-with-mysql-and-management-with-daloradius

Teised NRENid kiidavad Radiatorit, mis on küll tasuline tarkvara.