RADIUS. Moritz Blanke (KaWo1) TANAG 2017

Transkript

1 RADIUS Moritz Blanke (KaWo1) TANAG 2017

2 RADIUS Weg von den Bastellösungen! Moritz Blanke (KaWo1) TANAG 2017

3 AAA RADIUS? Was ist das?

4 AAA-Protokoll Authentication Authorization Accounting RADIUS? Was ist das?

5 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das?

6 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der?

7 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der? Was/Wieviel macht der?

8 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der? Was/Wieviel macht der? Server/Client-Basiert

9 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der? Was/Wieviel macht der? Server/Client-Basiert Client: Network Access Server, z.b. Switch Server: AAA-Server

10 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der? Was/Wieviel macht der? Server/Client-Basiert Client: Network Access Server, z.b. Switch Server: AAA-Server Shared Secret

11 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der? Was/Wieviel macht der? Server/Client-Basiert Client: Network Access Server, z.b. Switch Server: AAA-Server Shared Secret Oft in Verbindung mit 802.1X/EAP

12 RADIUS? Was ist das? AAA-Protokoll Authentication Authorization Accounting Wer ist das? Was darf der? Was/Wieviel macht der? Server/Client-Basiert Client: Network Access Server, z.b. Switch Server: AAA-Server Shared Secret Oft in Verbindung mit 802.1X/EAP TCP oder UDP

13 Framed-MTU = 3038 NAS-IP-Address = NAS-Identifier = "sw-h2u2" User-Name = "10:1f:74:XX:XX:XX" Service-Type = Call-Check Framed-Protocol = PPP NAS-Port = 35 NAS-Port-Type = Ethernet NAS-Port-Id = "35" Called-Station-Id = "00-24-a8-d8-39-9d" Calling-Station-Id = "10-1f-74-XX-XX-XX" Connect-Info = "CONNECT Ethernet 100Mbps Full duplex" Tunnel-Type:0 = VLAN Tunnel-Medium-Type:0 = IEEE-802 Tunnel-Private-Group-Id:0 = "4001" State = <state> EAP-Message = <eap> Message-Authenticator = 0xce0ed637383d2043a1ad40b4257e38c1 MS-RAS-Vendor = 11 HP-Capability-Advert = 0x011a b28 HP-Capability-Advert = 0x0151

14 Zentralisierung der Authentifizierung Warum überhaupt?

15 Zentralisierung der Authentifizierung Redundante Setups sind möglich Warum überhaupt?

16 Zentralisierung der Authentifizierung Redundante Setups sind möglich Flexibles Protokoll Warum überhaupt?

17 Zentralisierung der Authentifizierung Redundante Setups sind möglich Flexibles Protokoll Große Verbreitung/Viele Resourcen Warum überhaupt?

18 Warum überhaupt? Zentralisierung der Authentifizierung Redundante Setups sind möglich Flexibles Protokoll Große Verbreitung/Viele Resourcen Sehr flexible Implementierungen (FreeRADIUS!)

19 Über 60 Module! FreeRADIUS

20 FreeRADIUS Über 60 Module! Klassisch: file, date, unix, csv, passwd, pam,...

21 FreeRADIUS Über 60 Module! Klassisch: file, date, unix, csv, passwd, pam,... Datenbanken: redis, couchbase, mysql, oracle, sqlite, postgres,...

22 FreeRADIUS Über 60 Module! Klassisch: file, date, unix, csv, passwd, pam,... Datenbanken: redis, couchbase, mysql, oracle, sqlite, postgres,... Scripts: perl, python, rest, ruby,

23 FreeRADIUS Über 60 Module! Klassisch: file, date, unix, csv, passwd, pam,... Datenbanken: redis, couchbase, mysql, oracle, sqlite, postgres,... Scripts: perl, python, rest, ruby, Schnittstellen: json, ldap, opendirectory,...

24 Beispiel: HP Procurve radius-server host <server-ip> key <secret> aaa authentication port-access eap-radius aaa authentication mac-based peap-mschapv2 aaa port-access mac-based 1-20 aaa port-access mac-based 1-20 addr-limit 32 aaa port-access mac-based 1-20 max-requests 10 aaa port-access mac-based 1-20 reauth-period aaa port-access mac-based addr-format multi-colon

25 Beispiel: FreeRADIUS client testnas { ipaddr = <ip> secret = <secret> } <mac> Cleartext-Password := <mac> Tunnel-Type := 13 Tunnel-Medium-Type := 6 Tunnel-Private-Group-Id := <vlan>

26 Beispiel: Ablauf Access

27 Framed-MTU = 3038 NAS-IP-Address = NAS-Identifier = "sw-h2u2" User-Name = "10:1f:74:XX:XX:XX" Service-Type = Call-Check Framed-Protocol = PPP NAS-Port = 35 NAS-Port-Type = Ethernet NAS-Port-Id = "35" Called-Station-Id = "00-24-a8-XX-XX-XX" Calling-Station-Id = "10-1f-74-XX-XX-XX" Connect-Info = "CONNECT Ethernet 100Mbps Full duplex" Tunnel-Type:0 = VLAN Tunnel-Medium-Type:0 = IEEE-802 Tunnel-Private-Group-Id:0 = "4001" State = <state> EAP-Message = <eap> Message-Authenticator = 0xce0ed637383d2043a1ad40b4257e38c1 MS-RAS-Vendor = 11 HP-Capability-Advert = 0x011a b28 HP-Capability-Advert = 0x0151

28 Denkbare Einsatzzwecke

29 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs

30 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP

31 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP Drucker-Accounts

32 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP Drucker-Accounts RFID Zugangssysteme

33 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP Drucker-Accounts RFID Zugangssysteme Waschsysteme

34 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP Drucker-Accounts RFID Zugangssysteme Waschsysteme Website Logins

35 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP Drucker-Accounts RFID Zugangssysteme Waschsysteme Website Logins Und und und...

36 Denkbare Einsatzzwecke Authentifizierung an Switchen und APs DHCP Drucker-Accounts RFID Zugangssysteme Waschsysteme Website Logins Und und und - der Fantasie sind (fast) keine Grenzen gesetzt!

37 Fragen?

38