Das neue GWDG-Gästenetz und die Gästeverwaltung

Transkript

1 Das neue GWDG-Gästenetz und die Gästeverwaltung Sebastian Klamt & Steffen Klemer Gesellschaft für Wissenschaftliche Datenverarbeitung Göttingen S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

2 Wer? Die GWDG ist ein Rechen- und IT-Kompetenzzentrums für die Max-Planck-Gesellschaft und Hochschulrechenzentrum für die Universität Göttingen. Ihre wissenschaftlichen Forschungsaufgaben liegen im Bereich der Angewandten Informatik. Ferner fördert sie die Ausbildung von Fachkräften für Informationstechnologie. S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

3 Wer? Über mich Sebastian Klamt HiWi in der Netzwerkabteilung der GWDG Zuständig für: WLAN- und VPN-Support Anlegen von Gastaccounts Linux-Administration (z.b. Syslog-Server) S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

4 Warum und Was? Table of Contents 1 Warum und Was? 2 Wie? Routing und Firewall Das Captive Portal Authentifizierung 3 Fazit S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

5 Warum und Was? Probleme Eduroam Bootstrap Zugriff auf Anleitungen CAT-Download S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

6 Warum und Was? Probleme Eduroam Bootstrap Zugriff auf Anleitungen CAT-Download Gäste ohne Eduroam-Account Bisher aufwändiger Antragsprozess Manuelles Erstellen mit Word-Seriendruck Lizenzen pro Gastaccount Nutzer geben Accounts weiter S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

7 Warum und Was? Probleme Eduroam Bootstrap Zugriff auf Anleitungen CAT-Download Gäste ohne Eduroam-Account Bisher aufwändiger Antragsprozess Manuelles Erstellen mit Word-Seriendruck Lizenzen pro Gastaccount Nutzer geben Accounts weiter Bisherige Lösung funktioniert nur in der Trapeze-WLAN-Infrastruktur S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

8 Warum und Was? Anforderungen Gästenetz Offene SSID Kabelgebundenes Gästenetz Captive-Portal Herstellerunabhängig Reguläre Benutzer und Gäste Mobilgerätefreundlich (Responsive Design) S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

9 Warum und Was? Anforderungen Gästenetz Offene SSID Kabelgebundenes Gästenetz Captive-Portal Herstellerunabhängig Reguläre Benutzer und Gäste Mobilgerätefreundlich (Responsive Design) Self-Service-Portal für die Gast-Account-Verwaltung Accounts für Konferenzen als Self-Service PDF-Voucher mit Anleitung Gastfunktion für alle Nutzer S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

10 Warum und Was? Sponsoring/Bürgschaft Self-Service-Portal Alternative zum Weitergeben von Accounts Ablauf: Gast Beantragt einen Account Gastgeber kann den Account freischalten S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

11 Warum und Was? Sponsoring/Bürgschaft Self-Service-Portal Alternative zum Weitergeben von Accounts Ablauf: Gast Beantragt einen Account Gastgeber kann den Account freischalten Jeder WLAN-Nutzer darf bürgen Bis zu fünf gleichzeitige Bürgschaften S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

12 Warum und Was? Sponsoring/Bürgschaft Self-Service-Portal Alternative zum Weitergeben von Accounts Ablauf: Gast Beantragt einen Account Gastgeber kann den Account freischalten Jeder WLAN-Nutzer darf bürgen Bis zu fünf gleichzeitige Bürgschaften Alternativer Ablauf: Gastgeber generiert ein Token Gast erzeugt mit dem Token einen Account S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

13 Warum und Was? Veranstaltungen Self-Service-Portal Autorisierte Benutzer (LDAP-Attribut): auf Antrag freigeschaltet Erzeugen vor PDF-Vouchern Anwendungsfälle: Veranstaltungen (Fester Zeitraum) Accounts auf Vorrat (Begrenzte Nutzungsdauer) S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

14 Table of Contents 1 Warum und Was? 2 Wie? Routing und Firewall Das Captive Portal Authentifizierung 3 Fazit S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

15 Routing und Firewall Routing and Firewall Captive-Portal S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

16 Routing und Firewall Routing and Firewall Kabelgebundene Gäste S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

17 Das Captive Portal Das Captive Portal pfsense OpenSource Firewall Distribution für x86 auf basis von FreeBSD mit Web-Frontend Firewall, NAT, VPN, Routing, Captive Portal, IPS Läuft als VM in unserem ESX-System Captive Portal-Webseite kann vom User Gestaltet werden (als html oder php) Authentifikation über RADIUS Siehe Vortrag auf der 64.BT von Christian Strauf Basis_von_pfSense_und_FreeRADIUS_Strauf.pdf S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

20 Authentifizierung Authentifizierung Überblick GWDG LDAP / Active Directory / MPI LDAP Guest DB regular users guests manage guests Radius Server GuestAccount Web Portal voucher.gwdg.de check user / password username: pfsense password: Internet S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

21 Authentifizierung Authentifizierung Datenbank Im bestehenden MySQL-Datenbankdienst Tabellen für: Anträge Veranstaltungen Gastaccounts Radius Accountingdaten Eduroam-Accounts (experimentell) Quasi unbegrenzt viele Gastaccounts View für den Radius Server S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

22 Authentifizierung Datenbankschema Gastaccounts Spalten für: -Adresse (Login) Passwort (Klartext) Name (vom Gast angegeben) Veranstaltungsid (bei Sponsoring leer) Sponsor (uid und Name) Kommentar Startdatum Enddatum Status (Gelöscht, Gesperrt oder Aktiv) S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

23 Authentifizierung RADIUS-View Beispieltabelle Name Status Startdatum Enddatum Anna Adler Bart Bieber Attribut Operation Wert Tmp-Integer-0 := Tmp-Integer-1 := Tmp-Integer-2 := 0 bbieber@example.com Tmp-Integer-0 := bbieber@example.com Tmp-Integer-1 := bbieber@example.com Tmp-Integer-2 := 0 S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

24 Technisches In Python mit dem Bottle-Microframework 2 Läuft unter Apache mit Modwsgi In einer VM im ESX-System SQL-Anbindung mit SQLAlchemy 3 Anmeldung gegen den bestehenden LDAP-Dienst Voucher werden mit einem L A T E X-Template erzeugt 2 Marcel Hellkamp: bottlepy.org 3 sqlalchemy.org S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

25 Sponsoring S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

28 Sponsoring Subject: Göttingen Campus Guest Network Request from: Hans Lore From: Date: :13 To: -- English version below -- Sehr geehrte(r) Sebastian Klamt, Hans Lore hat einen Gastzugang für das Gästenetz des Göttingen Campus beantragt und Sie als möglichen Bürgen angegeben. Falls dies korrekt ist, können Sie den Gastzugang im WLAN-Portal der GWDG < aktivieren. Falls Sie Hans Lore nicht kennen, nichts von der Anfrage wissen oder den Gastaccount nicht freischalten möchten, können Sie diese Nachricht einfach ignorieren. Hans Lore schrieb zusätzlich als Nachricht an Sie: Bitte freischalten Bei Fragen können Sie sich gerne an den GWDG-Support wenden. Kontaktmöglichkeiten finden Sie auf < Ihr GWDG-Netzwerk-Team =========================================================================== -- English version: -- =========================================================================== Dear Sebastian Klamt, Hans Lore has requested a guest account for the WiFi of Göttingen Campus and named you as the host. If this is correct, you can activate the guest account in the GWDG WiFi portal < If you do not know Hans Lore, you have not heard anything about this request or you do not want to give Hans Lore guest access, please ignore this message. Hans Lore also wrote you a message: Bitte freischalten If you have any questions feel free to contact the GWDG support at < Sincerly yours GWDG network team S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

31 Veranstaltungsvoucher S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

36 Admins S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

39 Fazit Table of Contents 1 Warum und Was? 2 Wie? Routing und Firewall Das Captive Portal Authentifizierung 3 Fazit S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

40 Fazit Sicherheit IP/MAC-Spoofing DHCP-Snooping Keine Umleitung von HTTPS-Traffic Captive-Portal-Detection ist mittlerweile in fast allen Systemen implementiert (Windows, Android, ios, macos, Firefox) Nutzer gewöhnen sich nicht an SSL/TLS-Fehlerseite Durch Key-Pinning bei einigen Seiten nicht möglich HTTPS-Host mit Umleitung zum Portal S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

41 Fazit Fazit In der Uni Göttingen im produktiven Einsatz Funktioniert in der heterogenen Infrastuktur (CISCO, Trapeze und Kabelgebunden) Keine zusätzlichen Lizenzen nötig Sponsoring wird gut angenommen Self-Service für Veranstaltungsvoucher spart viel Arbeit Rechtliche Fragen noch nicht abschließend geklärt S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

42 Fazit Fragen Kontaktmöglichkeiten Danke für ihre Aufmerksamkeit. Mailingliste: Anfragen an: S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

43 Bonusfolien Eduroam-Accounts S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26

47 Bonusfolien RADIUS-View CREATE VIEW radreply AS SELECT guest_guests. id AS id, guest_guests. AS username, Tmp Integer 0 AS attribute, := AS op, UNIX_TIMESTAMP( guest_guests. start_date ) AS value FROM guest_guests UNION ALL SELECT guest_guests. id AS id, guest_guests. AS username, Tmp Integer 1 AS attribute, := AS op, UNIX_TIMESTAMP( guest_guests. end_date ) AS value FROM guest_guests UNION ALL SELECT guest_guests. id AS id, guest_guests. AS username, Tmp Integer 2 AS attribute, := AS op, guest_guests. status AS value FROM guest_guests UNION ALL SELECT guest_guests. id AS id, guest_guests. AS username, Tmp String 2 AS attribute, := AS op, CONCAT( guest_guests. sponsor_name, <, guest_guests. sponsor_primary_ , > ) AS value FROM guest_guests ORDER BY id DESC S. Klamt & S. Klemer (GWDG) GWDG Gästeverwaltung / 26