Guide@Debianizzati.Org

Autenticazione degli accessi Wireless tramite server Radius: differenze tra le versioni

Pagina Discussione

Autenticazione degli accessi Wireless tramite server Radius (visualizza wikitesto)

Versione delle 09:44, 17 ott 2012

2 235 byte rimossi ,  17 ott 2012
m
corretto template autori (numero revisori)
m (corretto template autori (numero revisori))
Riga 10: Riga 10:
* Debian Lenny/Squeeze/Wheezy o superiori
* Debian Lenny/Squeeze/Wheezy o superiori
* Un ambiente LAMP: [[Installare un ambiente LAMP: Linux, Apache2, SSL, MySQL, PHP5]]
* Un ambiente LAMP: [[Installare un ambiente LAMP: Linux, Apache2, SSL, MySQL, PHP5]]
* ''(Solo se si intende utilizzare LDAP per archiviare le credenziali di accesso)'' Un database LDAP configurato e funzionante, come descritto ad esempio in queste guide:
* Un database LDAP configurato e funzionante, come descritto ad esempio in queste guide:
** [http://guide.debianizzati.org/index.php/Samba_e_OpenLDAP:_creare_un_controller_di_dominio_NT4_con_Debian_Wheezy#Installazione_del_server_LDAP Wheezy]
** [http://guide.debianizzati.org/index.php/Samba_e_OpenLDAP:_creare_un_controller_di_dominio_NT4_con_Debian_Wheezy#Installazione_del_server_LDAP Wheezy]
** [http://guide.debianizzati.org/index.php/Samba_e_OpenLDAP:_creare_un_controller_di_dominio_con_Debian_Squeeze#Installazione_del_server_LDAP Squeeze]
** [http://guide.debianizzati.org/index.php/Samba_e_OpenLDAP:_creare_un_controller_di_dominio_con_Debian_Squeeze#Installazione_del_server_LDAP Squeeze]
* Uno o più Access Point che supportino il protocollo WPA(2) 802.1x
* Uno o più Access Point che supportino il protocollo WPA(2) 802.1x


== ''(Opzionale)'' Riconfigurazione di OpenLDAP ==
== Riconfigurazione di OpenLDAP ==
Il server OpenLDAP va riconfigurato e modificato per potersi integrare con FreeRadius, l'implementazione LInux più comune di un server Radius.
Il server OpenLDAP va riconfigurato e modificato per potersi integrare con FreeRadius, l'implementazione LInux più comune di un server Radius.
<br/>
<br/>
Riga 100: Riga 100:
</pre>
</pre>
<pre>
<pre>
client localhost {
client 127.0.0.1 {
        ipaddr = 127.0.0.1
         secret          = chiave_segreta
         secret          = chiave_segreta  
         nastype        = other         # localhost non è un NAS
        require_message_authenticator = no
         nastype        = other  
}
}
</pre>
</pre>
Riga 125: Riga 123:


=== Autenticazione via MySQL ===
=== Autenticazione via MySQL ===
Apriamo il file di configurazione <tt>/etc/freeradius/radiusd.conf</tt> e decommentiamo la voce:
Apriamo il file di configurazione <tt>/etc/freeradius/radiusd.conf</tt> e cerchiamo al suo interno tutte le configurazioni seguenti, aggiungendo l'autenticazione <tt>sql</tt>:
<pre>
$INCLUDE sql.conf
</pre>
Poi apriamo il file <tt>/etc/freeradius/sites-available/default</tt> e cerchiamo al suo interno tutte le configurazioni seguenti, decommentando l'autenticazione <tt>sql</tt>:
<pre>
<pre>
bind_address = *
bind_address = *
Riga 135: Riga 129:
#$INCLUDE  ${confdir}/proxy.conf
#$INCLUDE  ${confdir}/proxy.conf


# Sezione authorize{}
authorize {
    # See “Authorization Queries” in sql.conf
preprocess
    sql
# auth_log
# attr_filter
chap
mschap
# digest
# IPASS
suffix
# ntdomain
eap
files
sql
# etc_smbpasswd
# ldap
# daily
# checkval
}
 
authenticate {
Auth-Type PAP {
pap
}


# Sezione accounting{}
Auth-Type CHAP {
    # See “Accounting queries” in sql.conf
chap
    sql
}


# Sezione session{}
Auth-Type MS-CHAP {
    # See “Simultaneous Use Checking Queries” in sql.conf
mschap
    sql
}


# Sezione post-auth{}
# digest
    # See “Authentication Logging Queries” in sql.conf
# pam
    sql  
# unix
 
# Auth-Type LDAP {
# ldap
# }
 
eap
}
 
preacct {
preprocess
acct_unique
# IPASS
suffix
# ntdomain
files
}
 
accounting {
detail
# daily
unix
sql
radutmp
# sradutmp
# main_pool
# pgsql-voip
}
 
session {
radutmp
sql
}
</pre>
</pre>
Aggiungiamoun nuovo utente al file <tt>/etc/freeradius/users</tt>:
Aggiungiamoun nuovo utente al file <tt>/etc/freeradius/users</tt>:
Riga 162: Riga 208:
# Fall-Through = 1
# Fall-Through = 1
</pre>
</pre>
Riavviamo FreeRADIUS e testiamo il nuovo account:
<pre>
# /etc/init.d/freeradius restart
# radtest testsql passwordsql 127.0.0.1 0 chiave_segreta
Sending Access-Request of id 44 to 127.0.0.1:1812
        User-Name = "testsql"
        User-Password = "passwordsql"
        NAS-IP-Address = 127.0.0.1
        NAS-Port = 0
rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=44, length=20
</pre>
Ok, anche l'autenticazione su SQL funziona.


== Configurazione del database MySQL ==
== Configurazione del database MySQL ==
Riga 172: Riga 230:
mysql> CREATE DATABASE radius;
mysql> CREATE DATABASE radius;
mysql> quit
mysql> quit
# mysql -u root radius -p < /etc/freeradius/sql/mysql/schema.sql
# zcat /usr/share/doc/freeradius/examples/db_mysql.sql.gz | mysql -u root radius -p
# mysql -u root -p radius < /etc/freeradius/sql/mysql/nas.sql
</pre>
</pre>
Creiamo un nuovo utente <tt>radius@localhost</tt> e diamogli i privilegi di accesso corretti sul database appena creato.
Creiamo un nuovo utente <tt>radius@localhost</tt> e diamogli i privilegi di accesso corretti sul database appena creato:
* Da shell:
<pre>
<pre>
# mysql -u root -p
# mysql -u root -p
Riga 183: Riga 239:
mysql> quit;
mysql> quit;
</pre>
</pre>
* Da phpMyAdmin, inserendo un nuovo record nella tabella <tt>radcheck</tt>
L'unica cosa che resta da fare è istruire FreeRADIUS su come connettersi al database appena predisposto. Apriamo il file <tt>/etc/freeradius/sql.conf</tt> e modifichiamo le linee seguenti con le corrette credenziali di accesso:
L'unica cosa che resta da fare è istruire FreeRADIUS su come connettersi al database appena predisposto. Apriamo il file <tt>/etc/freeradius/sql.conf</tt> e modifichiamo le linee seguenti con le corrette credenziali di accesso:
<pre>
<pre>
Riga 190: Riga 245:
         login = "radius"
         login = "radius"
         password = "radiuspassword"
         password = "radiuspassword"
        readclients = yes
</pre>
</pre>
Aggiungiamo un nuovo utente di test:
Aggiungiamo un nuovo utente di test:
Riga 209: Riga 263:
rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=48, length=20
rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=48, length=20
</pre>
</pre>
Ok, anche l'autenticazione su SQL funziona.


== Debug ==
== Debug ==
Riga 216: Riga 269:
# /etc/init.d/freeradius stop
# /etc/init.d/freeradius stop
# freeradius -X
# freeradius -X
</pre>
== daloRadius, un'interfaccia grafica per FreeRadius ==
daloRadius è un'interfaccia grafica per facilitare l'inserimento e la gestione degli utenti Radius all'interno del database MySQL, che ci eviterà quindi di dover inserire a mano tramite query tutti i nostri utenti.
<br/>
daloRadius ha alcuni requisiti, che provvediamo a soddisfare:
<pre>
# apt-get install php5-gd php-pear php-db
</pre>
Quindi scarichiamo l'ultima versione dal sito del progetto: http://sourceforge.net/projects/daloradius/
<br/>
Infine scompattiamo l'archivio scaricato, copiamolo nella nostra directory di Apache e impostiamo i permessi corretti:
<pre>
# tar xvfz daloradius-0.9-9.tar.gz
# mv daloradius-0.9-9 daloradius
# mv daloradius /var/www
# chown www-data:www-data /var/www/daloradius -R
# chmod 644 /var/www/daloradius/library/daloradius.conf.php
</pre>
L'ultimo passo che resta da compiere è aggiungere la tabella <tt>daloradius</tt> al nostro database MySQL e impostare i corretti parametri di connessione per la nuova applicazione:
<pre>
# cd /var/www/daloradius/contrib/db
# mysql -u root -p radius < mysql-daloradius.sql
</pre>
<pre>
# nano /var/www/daloradius/library/daloradius.conf.php
</pre>
impostando correttamente la variabile:
<pre>
$configValues['CONFIG_DB_PASS'] = 'thepassword';
</pre>
A questo punto possiamo collegarci all'interfaccia: http://127.0.0.1/daloradius , utilizzando per il primo ingresso le credenziali:
<pre>
username: administrator
password: radius
</pre>
</pre>


== Conclusioni ==
== Conclusioni ==
A questo punto abbiamo un server Radius installato su Debian, in grado di gestire le richieste di autenticazione di tutti i dispositivi che supportano il protocollo di autenticazione Radius. Gli utenti saranno archiviati in un database MySQL; in ogni momento potranno essere aggiunti nuovi utenti tramite la shell <tt>mysql</tt> o tramite l'interfaccia <tt>phpMyAdmin</tt>.
A questo punto abbiamo un server Radius installato su Debian, in grado di gestire le richieste di autenticazione di tutti i dispositivi che supportano il protocollo di autenticazione Radius. Gli utenti saranno archiviati in un database MySQL; in ogni momento potranno essere aggiunti nuovi utenti tramite la shell <tt>mysql</tt> o tramite l'interfaccia <tt>phpMyAdmin</tt>.
<br/>
 
Il passo successivo è decidere come configurare i nostri Access Point Wireless. In sostanza ci troviamo di fronte due possibili strade:
# Impostare ogni Access Point per gestire le autenticazioni WPA/WPA2 Enterprise. L'Access Point rigirerà automaticamente al nostro server ogni richiesta di autenticazione sulla rete wireless; su ogni client comparirà una richiesta di inserimento di una coppia di credenziali (user/password). In questo caso nella configurazione dell'Access Point dovremo indicare:
## L'indirizzo IP del nostro server Radius
## La chiave segreta di connessione al server Radius
# Lasciare la rete wireless aperta e impostare un'autenticazione a livello di Proxy. Si veda ad esempio la seguente guida: [[Autenticare Squid Proxy Server su un server Radius]]
# Lasciare la rete wireless aperta e impostare un sistema Captive Portal per la gestione degli accessi e delle login.
<br/>
<br/>
{{Autori
{{Autori
|Autore = [[Utente:Ferdybassi|Ferdybassi]] 10:01, 1 set 2012 (CEST)
|Autore = [[Utente:Ferdybassi|Ferdybassi]] 10:01, 1 set 2012 (CEST)
|Verificata_da =
|Verificata_da =
|Numero_revisori = 1
|Numero_revisori = 0
}}
}}


People
287

contributi

Estratto da "https://guide.debianizzati.org/index.php/Speciale:DiffMobile/30681"