RADIUS Loadbalacing. 66. DFN Betriebstagung. mit Freeradius 3. Chemnitz 21. März 2017 Ronald Schmidt

Transkript

1 RADIUS Loadbalacing mit Freeradius 3

2 Agenda Motivation Ausgangs-Situation Loadbalacing mit Freeradius Ausblick 2

3 Motivation () Hauptlast durch Eduroam-Authentifizierung ~2000 gleichzeitige AAA in Mittagszeit 3

4 Motivation (2) 802.X ist sicher, aber komplex kompliziert Eduroam CAT Schlechte Useability Bootstrapping: Playstore ohne Netz? Unterstützung alter oder unbekannter Geräte? Folge: Viele mangelhafte Eduroam-Konfigurationen Unter 50% enthält Geräte angreifbar, URZ-Passworte in Geräten gespeichert 62. BT, Bernard, Honsack, Uni Bonn, eduroam mit Android URZ-Login-Daten sind absolut schützenswerte Daten 4

5 Motivation (2) Lösung TU Chemnitz: App-und-Gerätespezifische Passworte 63. BT, Daniel Schreiber, TU Chemnitz, App- und Geräte-Spezifische Passwörter Durchprobieren von mehreren App-Passworten pro Authentifizierung Folge: Last auf -Servern 5

6 Motivation (2) Wir brauchen für -AAA: Ausfallsicherheit/Redundanz EAP-Kompatible Lastverteilung Robust + KISS + erweiterbar 6

7 Ausgangssituation - -Cluster Alt L4-Switch, Active-Standby WLC L4 Backend Backend 2 7

8 Ausgangssituation - -Cluster Alt WLC L4 Backend Backend 2 Herausforderungen L4-Switch (Citrix Netscaler): Komplexe Konfiguration EAP-Kompatible Lastverteilung unklar Klassische LB-Hash funktionieren nicht 8

9 Paradigmenwechsel (fast) alle -Klienten können selbst Failover (ohne EPA) ist recht simpel Lastverteilung selbst implementieren Freeradius 3 kann Lastverteilung 9

10 Redesign -Cluster WLC Front Front 2 Backend Backend 2 Failover Loadbalance 0

11 Redesign -Cluster Front Konfiguration Frontend Absolut minimalistisch ( grüne Wiese ) Keine Module Ausschließlich -Router kennt kein EAP Konfiguration:. Backend-Definition 2. Realm-Routing 3. Frontend (Virtueller Server)

12 Redesign -Cluster - Backend Front home_server backend-server- { type = auth+acct ipaddr = secret = xxxxxxxxxxxxxxxxxxxxxxx port = 645 status_check = status-server home_server backend-server-2 { home_server_pool backend-pool- { type = keyed-balance home_server = backend-server- home_server = backend-server-2 2

13 Redesign -Cluster 2. Realm-Routing Front realm "tu-chemnitz.de" { auth_pool = backend-pool- acct_pool = backend-pool- realm dfn-roaming" { auth_pool = backend-pool-2 acct_pool = backend-pool-2 3

14 Redesign 2. Realm-Routing, 3. Frontent server default-radius { listen {... Front authorize { if ("%{User-Name" =~ /@tu-chemnitz\.de$/) { update control { Proxy-To-Realm := 'tu-chemnitz.de' update control { Load-Balance-Key := "%{NAS-IP-Address \ %{NAS-Port %{User-Name \ %{Calling-Station-ID" 4

15 Redesign -Cluster 5

16 Redesign -Cluster Funktionen: Loadbalancing DFN-Roaming Realm-Routing 6

17 Redesign -Cluster Realm-Routing if ("%{User-Name" =~ { update control { Proxy-To-Realm := 'tu-chemnitz.de' elsif ("%{User-Name" =~ /@guest.tu-chemnitz\.de$/i && &EAP-Message) { update control { Proxy-To-Realm := 'guest.tu-chemnitz.de' elsif ("%{User-Name" =~ /@guest.tu-chemnitz\.de$/i) { update control { Proxy-To-Realm := 'inner-guest.tu-chemnitz.de' elsif ("%{User-Name" =~ /@.*tu-chemnitz\.de.*/i) { # Alle weiteren TUC-Realms nicht proxyen elsif ("%{User-Name" =~ /@/ && &EAP-Message) { update control { Proxy-To-Realm := 'dfn-roaming' 7

18 Redesign -Cluster - Feinabstimmung WLC Timeout Front Timeout 2 Delay Back Delay 2 Auth Back Feinabstimmung: Summe möglicher Delays beachten delayed reject ungünstig 8

19 Redesign -Cluster Feinabstimmung Front home_server sin.hrz.tu-chemnitz.de:645 { type = auth+acct response_window = response_timeouts = max_outstanding = zombie_period = 40 status_check = "status-server" ping_interval = 30 check_timeout = 4 num_answers_to_alive = 3 revive_interval = 300 9

20 Fazit + Ausblick Fazit: Kein komplizierter L4-Switch nötig Echte /EAP-Lastverteilung Rel. Überschaubare Konfiguration Ausblick: Redesign und Vereinfachung Backends (FR2->FR3) 20

21 Vielen Dank für die Aufmerksamkeit. Gibt es Fragen? 2