Есть у меня небольшая проблема, постоянно забываю свои логины-пароли. Всего так много, почта, логин на нескольких форумах, на рабочем ПК, на домашнем ноутбуке, на всяких железках, ПИН сим-карты, и т.д. Дабы как-то облегчить жизнь бедолагам вроде меня, добрые люди придумали сервер где могут хранится логины-пароли. Смысл такой: вы вводите логин-пароль на железке, железка авторизируется на севере, проверяет ваши данные, если они совпадают, то все чудесно. Таким образом, заведя одну запись на одном сервере, можно ее использовать на целом ряде устройств. Наибольшее распространение получили сервера RADUIS и TACACS+. Предлагаю установить это счастье на Debian Linux, настроить и связать с Cisco. Использовать будем RADIUS.
1. Установка. Пакет называется freeraduis
root@darkstar:~# apt-get install freeradius
тут будет длинный вывод, генерация ключа Диффи-Хелмана (не передвавать же пароли в открытом виде)
2. Настройка. Настроек великое множество и сосредоточены они в папке /etc/freeradius. Не будем сильно углубляться, а преступим к делу, отредактируем файл /etc/freeradius/clients.conf. В нем находятся данные для регистрации клиентов, которые будут соединяться и проверять данные авторизации. Добавляем параметры для нашего коммутатора
client 192.168.10.30 {
Secret = cisco
Вместо адреса можно использовать доменное имя, далее введен пароль cisco для регистрации клиента с указанным адресом.
3. Настраиваем базу пользователей. Редактируем файл /etc/freeradius/users, там добавляем строки.
andrey Cleartext-Password:= "$ecret"
Reply-Message = "Hello, andrey"
В этом случае моего пользователя andrey будет определять пароль $ecret, при этом клиенту будет передан параметр сообщения Reply-Message, оно будет отображаться при логине. Вообще, можно много разных параметров передавать, например:
“John Smith” Cleartext-Password:= "callme"
Service-Type = Callback-Login-User,
Login-IP-Host = timeshare1,
Login-Service = PortMaster,
Callback-Number = "9,1-800-555-1212"
Этот файл достаточно хорошо документирован, так что рекомендую почитать перед сном.
4. Не забываем перезапустить
сервер
для примения настроек
root@darkstar:~# /etc/init.d/freeradius restart
[ ok ] Stopping FreeRADIUS daemon: freeradius.
[ ok ] Starting FreeRADIUS daemon: freeradius. User Access Verification
root@darkstar:~#
5. Теперь нужно настроить клиента. Клиентом у нас будет коммутатор Cisco.
Catalyst(config)#aaa new-model
5.2. Определяем адрес сервера и ключ (тот пароль который мы задавали в файле /etc/freeradius/clients.conf)
Catalyst(config)#radius-server host 192.168.10.1 key cisco
5.3. Добавляем аутентификацию пользователя через radius сервер
Catalyst(config)#aaa authentication login default group radius
На этом настройка завершена. Подключаемся к нашему коммутатору
Username: andrey
Password:
Hello, andrey
Catalyst>
А вот и сообщение, которое указано у нас в настройках пользователя.
Здесь будет рассмотрено как установить Radius-сервер FreeRadius с веб интерфейсом Daloradius
Установка пакетов
1. Перед установкой обновляем все пакеты в системе
Apt-get update apt-get upgrade
2. Установим Apache2 и PHP
Apt-get install apache2 apt-get install php5 libapache2-mod-php5 php5-mysql php5-gd php-pear php-db
Модули php5-gd php-pear php-db необходимы для работы веб интерфейса Daloradius
3. Устанавливаем Mysql сервер
Apt-get install mysql-server
4. Устанавливаем FreeRadius
Apt-get install freeradius
5. Устанавливаем пакет freeradius-mysql
Apt-get install freeradius-mysql
Настройки MySQL
1. Подключаемся к серверу Mysql
#mysql> create database radius;
3. Назначим полные права пользователю radius
#mysql> grant all on radius.* to radius@localhost identified by "youpass";
4. Отключаемся от Mysql
#mysql> exit
5. Импортируем таблицы в базу данных radius
#mysql -u root -p radius
6. Для проверки добавим тестовые значения в таблицу radcheck
#mysql -u root -p #mysql> use radius; #mysql> INSERT INTO radcheck (UserName, Attribute, Value) VALUES ("sqltest", "Password", "testpwd"); #mysql> exit
7. Теперь нужно добавить Radius клиентов в файл /etc/freeradius/clients.conf
Пример добавления:
Client 192.168.1.0/16 { secret = secretpass shortname = testclient nastype= testdevice }
Настройка конфигов
1.Открываем файл настроек Freeradius для MySQL
Расположение файла - /etc/freeradius/sql.conf
Редактируем строки до такого вида:
Database = mysql login = radius password = youpass readclients = yes
Uncomment sql on authorize{} # See “Authorization Queries” in sql.conf sql ... Uncomment sql on accounting{} # See “Accounting queries” in sql.conf sql ... Uncomment sql on session{} # See “Simultaneous Use Checking Queries” in sql.conf sql ... Uncomment sql on post-auth{} # See “Authentication Logging Queries” in sql.conf sql ...
#Uncomment #$INCLUDE sql.conf $INCLUDE sql.conf
Тест RADIUS-сервера
1. Откройте 2 ssh окна терминала.
В первом окне остановим сервис Freeradius
Service freeradius stop
2. И запустим сервис в режиме debug
Freeradius -X - debug mode
3. Теперь открываем второе окно терминала и вводим запрос
Radtest sqltest testpwd localhost 18128 testing123
Если вывод команды такой:
Sending Access-Request of id 68 to 127.0.0.1 port 1812 User-Name = "sqltest" User-Password = "testpwd" NAS-IP-Address = 127.0.1.1 NAS-Port = 18128 rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=68, length=20
То все в порядке.
Установка веб интерфейс DaloRadius
1. Скачиваем последнюю версию ПО
Wget http://downloads.sourceforge.net/project/daloradius/daloradius/daloradius0.9-9/daloradius-0.9-9.tar.gz
2. Распаковываем в текущий каталог
Tar xvfz daloradius-0.9-9.tar.gz
3. Переносим в папку /var/www/
Mv daloradius-0.9-9 /var/www/daloradius
4. Импортируем таблицы в базу данных radius
Cd /var/www/daloradius/contrib/db mysql -u root -p radius
5. Далее правим конфиг веб интерфейса
Расположение файла - /var/www/daloradius/library/daloradius.conf.php
Редактируем строку $configValues[‘CONFIG_DB_PASS’] = »;
В нее вводим наш пароль к БД
Должно получится так:
$configValues["CONFIG_DB_PASS"] = "Пароль от root к Mysql";
Если хотите использовать пользователя отличного от root измените строку
- Tutorial
С практической точки зрения было бы удобно управлять Wi-Fi сетями, выдавая пароль каждому пользователю. Это облегчает задачу с доступом к вашей беспроводной сети. Используя так называемую WPA2 PSK авторизацию, чтобы предотвратить доступ случайному пользователю, нужно менять ключ, а также заново проходить процесс авторизации на каждом отдельном Wi-Fi устройстве. Кроме того, если вы имеете несколько точек доступа, ключ нужно менять на всех из них. А если Вам надо скрыть пароль от кого-нибудь, придется раздать всем сотрудникам новый.
Представим ситуацию - к вам в офис зашел кто-то посторонний (клиент, контрагент?), и нужно дать ему доступ в интернет. Вместо того, чтобы давать ему WPA2 - ключ, можно сделать для него отдельный аккаунт, который потом, после его ухода, можно удалить заблокировать. Это даст вам гибкость в управлении учетками, а пользователи будут очень довольны.
Мы сделаем удобную схему, применяемую в корпоративных сетях, но полностью из подручных средств с минимальными финансовыми и аппаратными вложениями. Ее одобрит служба безопасности и руководство.
Немного теории
Когда-то давно инженерами IEEE был придуман стандарт 802.1x. Этот стандарт отвечает за возможность авторизации пользователя сразу при подключении к среде передачи данных. Иными словами, если для соединения, например, PPPoE, вы подключаетесь к среде(коммутатору), и уже можете осуществлять передачу данных, авторизация нужна для выхода в интернет. В случае же 802.1x вы не сможете делать ничего, пока не авторизуетесь. Само конечное устройство вас не допустит. Аналогичная ситуация с Wi-Fi точками доступа. Решение же о допуске вас принимается на внешнем сервере авторизации. Это может быть RADIUS, TACACS, TACACS+ и т.д.Терминология
Вообще авторизация пользователя на точке может быть следующих видов:- Open - доступна всем
- WEP - старое шифрование. Уже у всех плешь проедена о том, что его ненадо использовать вообще
- WPA - Используется TKIP в качестве протокола шифрования
- WPA2 - Используется шифрование AES
А теперь рассмотрим варианты того, как точка доступа узнает сама, можно ли предоставлять пользователю доступ к сети или нет:
- WPA-PSK, WPA2-PSK - ключ к доступу находится в самой точке.
- WPA-EAP, WPA2-EAP - ключ к доступу сверяется с некоторой удаленной базой данных на стороннем сервере
Также существует довольно большое количество способов соедининея конечного устройства к серверу авторизации (PEAP, TLS, TTLS...). Я не буду их здесь описывать.
Общая схема сети
Для наглядного понимания приведем общую схему работы нашей будущей схемы:Если словами, то клиенту, при подключении к Wi-Fi - точке предлагается ввести логин и пароль. Получив логин и пароль Wi-Fi точка передает эти данные RADIUS-серверу, на что сервер отвечает, что можно делать с этим клиентом. В зависимости от ответа, точка решает, дать ему доступ, урезать скорость или что-то еще.
За авторизацию пользователей будет отвечать наш сервер с установленным freeradius. Freeradius является реализацией протокола RADIUS , который в свою очередь является реализацией общего протокола AAA. AAA - это набор средств для осуществления следующих действий:
Authentication - проверяет допустимость логина и пароля.
Authorization - проверяет наличие прав на выполнение некоторых действий.
Accounting - учитывает ваши дейсвия в системе.
Сам протокол передает имя пользователя, список атрибутов и их значений для него. То есть, например, атрибут Auth-Type:= Reject - отклонить этого клиента, а Client-Password == «password» - сравнить атрибут в запросе со значением password.
Вообще говоря, база аккаунтов и прав для них не обязательно должна храниться на RADIUS-сервере, да и базой может быть что угодно - никсовые пользователи, пользователи домена Windows… да хоть текстовый файлик. Но в нашем случае все будет в одном месте.
Базовая настройка
В этой статье нас будут интересовать в первую очередь WPA2-EAP/TLS способ авторизации.Практически все современные точки доступа Wi-Fi стоимостью больше 3 тыс. рублей поддерживают нужную нам технологию. Клиентские устройства поддерживают и подавно.
В статье я буду использовать следующее оборудование и програмное обеспечение:
- Точка доступа Ubiquiti NanoStation M2
- Сервер Gentoo и Freeradius
- Клиентское оборудование с установленным програмным обеспечением Windows 7, Android, iOS
Настройка точки доступа
Главное, чтоб точка поддерживала нужный способ аутентификации. Оно может называться по разному в разных устройствах: WPA-EAP, WPA2 Enterprise и т.д. Во всяком случае выбираем аутентификацию, устанавливаем IP-адрес и порт RADIUS-сервера и ключ, который мы вводили в clients.conf при настройке Freeradius.Приведу картинку с настроенной точки Ubiquiti. Помечено галкой то, что нужно менять.
RADIUS-сервер
Зайдем на наш компьютер с Linux и установим RADIUS-сервер. Я брал freeradius, и ставил я его на gentoo. К моему удивлению, в рунете нет материалов, относящихся к настройке Freeradius 2 для наших целей. Все статьи довольно стары, относятся к старым версиям этого програмного обеспечения.root@localhost ~ # emerge -v freeradius
Все:) RADIUS-сервер уже может работать:) Вы можете проверить это так:
Это debug-mode. Вся информация вываливается на консоль. Приступем к его настройке.
Как это водится в Linux, настройка выполняется через конфигурационные файлы. Конфигурационные файлы хранятся в /etc/raddb. Сделаем подготовительные действия - скопируем исходные конфиги, почистим конфигурация от всякого мусора.
root@localhost ~ # cp -r /etc/raddb /etc/raddb.olg root@localhost ~ # find /etc/raddb -type f -exec file {} \; | grep "text" | cut -d":" -f1 | xargs sed -i "/^ *\t* *#/d;/^$/d"
Далее добавим клиента - точку доступа. Добавляем в файлик /etc/raddb/clients следующие строки:
root@localhost ~ # cat /etc/raddb/clients.conf | sed "/client test-wifi/,/}/!d" client test-wifi { ipaddr = 192.168.0.1 #IP адрес точки, которая будет обращаться к радиусу secret = secret_key #Секретный ключик. Такой же надо будет поставить на Wi-Fi точке. require_message_authenticator = no #Лучше так, с каким-то D-Linkом у меня не получилось иначе }
Далее добавляем домен для пользователей. Сделаем дефолтовый.
root@localhost ~ # cat /etc/raddb/proxy.conf | sed "/realm DEFAULT/, /^}/!d" realm DEFAULT { type = radius authhost = LOCAL acchost = LOCAL }
Домены в RADIUS
Здесь надо заметить, что можно делить пользователей по доменам. А именно, в формате имени пользователя может указываться домен(например user@radius). DEFAULT означает любой неопределенный домен. NULL - без домена. В зависимости от домена(можно сказать префикса в имени пользователя) можно осуществлять различные действия, как то отдать право аутентифицировать другому хосту, отделять ли имя от домена во время проверки логина и т.д.
И, наконец, добавляем пользователей в файл /etc/raddb/users:
root@localhost ~ # cat /etc/raddb/users | sed "10,$!d" user1 Cleartext-Password:= "password1" user2 Cleartext-Password:= "password2" user3 Cleartext-Password:= "password3"
Ух, можно стартовать!
root@localhost ~ # radiusd -fX
Наш сервер запущен и ждет подключений!
Настройка клиентов
Пробежимся по настройке основных пользовательских устройств. У наших сотрудников есть клиенты, работающие на Android, iOS и Windows 7. Оговоримся сразу: так как мы используем самосозданные сертификаты, то нам нужно несколько раз вносить всевозможные исключения и подтверждать действия. Если бы мы пользовали купленные сертификаты, возможно, все было бы проще.Всех проще дело обстоит на iOS-устройствах. Вводим логин и пароль, нажимаем «Принять сертификат», и вперед.
Скриншот с IOS
Чуть сложнее выглядит, но на практике все тоже просто на Android. Там немного больше полей для ввода.
Скриншот с Android
Ну и на Windows 7 приедтся немного понастраивать. Осуществим следующие шаги:
Идем в центр беспроводных подключений.
- Устанавливаем необходимые параметры в свойствах Вашего беспроводного подключения
- Устанавливаем необходимые параметры в расширенных настройках EAP
- Устанавливаем необходимые параметры в расширенных настройках Дополнительных параметрах
- Подключаемся в панели задач к Wi-Fi сети и вводим логин-пароль, наслаждаемся доступом к Wi-Fi
Скриншоты Windows
Шаг 1
Шаг 2
Шаг 3
Шаг 4
Шаг 5
Собственный мини-биллинг
Теперь осталась одна проблема - если вы захотите добавить-удалить нового пользователя, то вам придется изменить users и перезапустить radius. Чтобы этого избежать подключим базу данных и сделать свой собственный мини-биллинг для пользователей. Используя БД, вы всегда сможете набросать простенький скрипт для добавления, блокировки, изменения пароля пользователя. И все это произойдет без останова всей системы.Для себя я использовал Postgres, вы же можете выбрать по своему усмотрению. Я привожу базовую настройку Postgres, не углубляясь в различные права доступа, пароли и прочие хитрости и удобства.
Для начала создаем саму базу данных:
Root@localhost ~ # psql -U postgres radius_wifi=> create user radius_wifi with password 1111; radius_wifi=> create database radius_wifi with owner=radius_wifi; radius_wifi=> \q
Далее надо создать нужные таблицы. Вообще с Freeradius идет документация по схемам таблиц для различных баз данных, правда в различных дистрибутивах находятся они в разных местах. У меня лично это лежит в /etc/raddb/sql/postgresql/schema.sql. Просто вставьте эти строки в psql, либо просто запустите
Root@localhost ~ # cat /etc/raddb/sql/postgresql/schema.sql | psql -U radius_wifi radius_wifi
На всякий случай добавлю сюда схему для Postgres:
Схема для Postgres
root@localhost ~ # cat /etc/raddb/sql/postgresql/schema.sql | sed "/^--/d;/\/\*/d;/\*/d;/^$/d;"
CREATE TABLE radacct (RadAcctId BIGSERIAL PRIMARY KEY,
AcctSessionId VARCHAR(64) NOT NULL,
AcctUniqueId VARCHAR(32) NOT NULL UNIQUE,
UserName VARCHAR(253),
GroupName VARCHAR(253),
Realm VARCHAR(64),
NASIPAddress INET NOT NULL,
NASPortId VARCHAR(15),
NASPortType VARCHAR(32),
AcctStartTime TIMESTAMP with time zone,
AcctStopTime TIMESTAMP with time zone,
AcctSessionTime BIGINT,
AcctAuthentic VARCHAR(32),
ConnectInfo_start VARCHAR(50),
ConnectInfo_stop VARCHAR(50),
AcctInputOctets BIGINT,
AcctOutputOctets BIGINT,
CalledStationId VARCHAR(50),
CallingStationId VARCHAR(50),
AcctTerminateCause VARCHAR(32),
ServiceType VARCHAR(32),
XAscendSessionSvrKey VARCHAR(10),
FramedProtocol VARCHAR(32),
FramedIPAddress INET,
AcctStartDelay INTEGER,
AcctStopDelay INTEGER);
CREATE INDEX radacct_active_user_idx ON radacct (UserName, NASIPAddress, AcctSessionId) WHERE AcctStopTime IS NULL;
CREATE INDEX radacct_start_user_idx ON radacct (AcctStartTime, UserName);
CREATE TABLE radcheck (id SERIAL PRIMARY KEY,
UserName VARCHAR(64) NOT NULL DEFAULT "",
Attribute VARCHAR(64) NOT NULL DEFAULT "",
op CHAR(2) NOT NULL DEFAULT "==",
Value VARCHAR(253) NOT NULL DEFAULT "");
create index radcheck_UserName on radcheck (UserName,Attribute);
CREATE TABLE radgroupcheck (id SERIAL PRIMARY KEY,
GroupName VARCHAR(64) NOT NULL DEFAULT "",
Attribute VARCHAR(64) NOT NULL DEFAULT "",
op CHAR(2) NOT NULL DEFAULT "==",
Value VARCHAR(253) NOT NULL DEFAULT "");
create index radgroupcheck_GroupName on radgroupcheck (GroupName,Attribute);
CREATE TABLE radgroupreply (id SERIAL PRIMARY KEY,
GroupName VARCHAR(64) NOT NULL DEFAULT "",
Attribute VARCHAR(64) NOT NULL DEFAULT "",
op CHAR(2) NOT NULL DEFAULT "=",
Value VARCHAR(253) NOT NULL DEFAULT "");
create index radgroupreply_GroupName on radgroupreply (GroupName,Attribute);
CREATE TABLE radreply (id SERIAL PRIMARY KEY,
UserName VARCHAR(64) NOT NULL DEFAULT "",
Attribute VARCHAR(64) NOT NULL DEFAULT "",
op CHAR(2) NOT NULL DEFAULT "=",
Value VARCHAR(253) NOT NULL DEFAULT "");
create index radreply_UserName on radreply (UserName,Attribute);
CREATE TABLE radusergroup (UserName VARCHAR(64) NOT NULL DEFAULT "",
GroupName VARCHAR(64) NOT NULL DEFAULT "",
priority INTEGER NOT NULL DEFAULT 0);
create index radusergroup_UserName on radusergroup (UserName);
CREATE TABLE radpostauth (id BIGSERIAL PRIMARY KEY,
username VARCHAR(253) NOT NULL,
pass VARCHAR(128),
reply VARCHAR(32),
CalledStationId VARCHAR(50),
CallingStationId VARCHAR(50),
authdate TIMESTAMP with time zone NOT NULL default "now()");
Отлично, база подготовлена. Теперь законфигурим Freeradius.
Добавьте, если ее там нет, в /etc/raddb/radiusd.conf строку
$INCLUDE sql.conf
Теперь отредактируйте /etc/raddb/sql.conf под вашу реальность. У меня он выглядит так:
Мой sql.conf
root@localhost ~ # cat /etc/raddb/sql.conf
sql {
database = "postgresql"
driver = "rlm_sql_${database}"
server = "localhost"
login = "radius_wifi"
password = "1111"
radius_db = "radius_wifi"
acct_table1 = "radacct"
acct_table2 = "radacct"
postauth_table = "radpostauth"
authcheck_table = "radcheck"
authreply_table = "radreply"
groupcheck_table = "radgroupcheck"
groupreply_table = "radgroupreply"
usergroup_table = "radusergroup"
deletestalesessions = yes
sqltrace = no
sqltracefile = ${logdir}/sqltrace.sql
num_sql_socks = 5
connect_failure_retry_delay = 60
lifetime = 0
max_queries = 0
nas_table = "nas"
$INCLUDE sql/${database}/dialup.conf
}
Добавим несколько новых пользователей test1, test2, test3, и… заблокируем test3
Root@localhost ~ # psql -U postgres radius_wifi=> insert into radcheck (username, attribute, op, value) values ("test1", "Cleartext-Password", ":=", "1111"); radius_wifi=> insert into radcheck (username, attribute, op, value) values ("test2", "Cleartext-Password", ":=", "1111"); radius_wifi=> insert into radcheck (username, attribute, op, value) values ("test3", "Cleartext-Password", ":=", "1111"); radius_wifi=> insert into radcheck (username, attribute, op, value) values ("test3", "Auth-Type", ":=", "Reject");
Ну, перезапускаем freeradius и пробуем подключиться. Должно все работать!
Конечно биллинг получился ущербный - у нас нигде не хранится информации по аккаунтингу(учету действий пользователя), но и нам здесь этого не надо. Чтобы вести аккаунтинг, необходимы еще и Wi-Fi точки подорооже, чем 3 тыс. рублей. Но уже и так мы с легкостью управлять пользователями.
radius
Добавить метки
