Deutsches Forschungsnetz

Transkript

1 Deutsches Forschungsnetz

2 Aktuelles zu DFNRoaming Ralf Paffrath DFN-GS 50.BT vom

3 Konzept Zugang zum X-WiN für reisende Nutzer , WWW, VPN (SSH, SSL, etc....) Gemeinschaftsdienst (Unterstützung aus den Einrichtungen) Vertrauen in gemeinsam betriebenes und verteiltes Authentifizierungssystem (DFN-PKI (Global)) Eingebunden in europäische Initiative (eduroam) DFNRoaming Seite 3

4 Stand März 2009 ca. 86 Einrichtungen bieten DFNRoaming/eduroam an Radius-Backbone Infrastruktur auf Basis von radsecproxy läuft stabil ca. 10 Einrichtungen nutzen radsecproxy auf Basis von Zertifikaten der DFN-PKI (global) Neue Standort Karte wird von fast allen DFNRoaming Teilnehmern angenommen ca. 98 DFNRoaming/eduroam Standorte Durchführung von Tests zur dynamischen Server- Erkennung sind erfolgreich verlaufen DFNRoaming Seite 4

5 AK Mobile-IT DFNRoaming Seite 5

6 DFNRoaming Seite 6

7 OTRS für DFNRoaming Erreichbar unter URL: an: Zugriff nur mit Nutzerzertifikat der DFN-PKI (Global) möglich Nicht verifizierbare s werden verworfen DFNRoaming Seite 7

8 radsecproxy (1) Bisherige Authentifizierung: UDP MD5 abgesicherte Kommunikation Radsec ermöglicht TCP TLS abgesicherte Verbindung Robuste Client Server Verbindung, da verbindungsorientiertes Protokoll Sichere Client Server Verbindung auf der Grundlage der DFN-PKI (Global) radsecproxy in der Version 1.2 unterstützt sowohl IPv4 als auch IPv6 DFNRoaming Seite 8

9 radsecproxy (2) Läuft unter Linux, BSD, SUN-Solaris, WindowsXP Download unter: Zukünftige radsecproxy Erweiterungen sollen in einem Testbed erprobt werden, z.b. dynamische Realmauflösung durch SRV Resource Records z.b. host -t srv _radsec._tcp.dfn.de _radsec._tcp.dfn.de has SRV record izar.dfn.de. DFNRoaming Seite 9

10 Neue Ausgangslage TOP-Level Infrastruktur Top-Level Server enthält Links aller Radius Server RadSec Proxy Radius Server A RadSec Proxy A 802.1X Accesspoint MAC Filter 802.1Q Trunk X-WiN SSID: 802.1X auf VLAN 2 Nutzer A permit ip.. VPN B :::: Nutzer B SSID: eduroam auf VLAN 3 TLS abgesicherte Verbindungen DFN-PKI (Global)!! Radius Server B Accesspoint 802.1Q Trunk RadSec Proxy B permit ip.. VPN A Nutzer A Nutzer B DFNRoaming Seite 10

11 radsecproxy im Einsatz Konfigurations-Beispiel Ralf Paffrath DFN-GS 49.BT vom DFNRoaming Seite 11

12 radsecproxy.conf listenudp :1812 ListenAccountingUDP *:1813 LogLevel 4 LogDestination file:///var/log/rsp1.log LoopPrevention on ######## TLS section tls default { CACertificateFile /etc/radsec/cert/radius1.dfn.de.pem CertificateFile /etc/radsec/cert/radius1.dfn.de.pem CertificateKeyFile /etc/radsec/cert/radius1.dfn.de.key #CertificateKeyPassword Include /etc/radsec/rewrites.conf Include /etc/radsec/clients.conf Include /etc/radsec/servers.conf Include /etc/radsec/realms.conf DFNRoaming Seite 12

13 rewrites.conf #### entfernen der VLAN rewrite defaultserver { removeattribute 64 removeattribute 65 removeattribute 81 rewrite UserName { modifyattribute 1:/(.*)@.*\.de/\1/ DFNRoaming Seite 13

14 clients.conf Client DFNRoamingTop1 { host radius1.dfn.de type TLS Client DFNRoamingTop2 { host radius2.dfn.de type TLS Client HomeRadius { host type UDP secret strenggeheim Client anyip4tls { host /0 type TLS DFNRoaming Seite 14

15 servers.conf Server DFNRoamingTop1 { host radius1.dfn.de type TLS statusserver on # secret dideldum Server DFNRoamingTop2 { host radius2.dfn.de type TLS statusserver on Server HomeRadius { host rewriteout UserName type UDP secret strenggeheim DFNRoaming Seite 15

16 realms.conf realm /(myabc meine(firma abc))\.(de com)$ { replymessage "Klient nicht korrekt konfiguriert!" realm /\.3gppnetwork.* { replymessage "Misconfigured client!" realm /@lokaler-realm.de$ { host HomeRadius accountingserver HomeRadius # accountingresponse on realm * { host DFNRoamingTOP1 host DFNRoamingTOP2 DFNRoaming Seite 16