Ziel: Problemdefinition: Der vorhandene LDAP Dienst kann mit der Verwendung von MSCHAP nicht für die Authentifizierung verwendet werden.

Transkript

1 Ziel: Integration eines Radiusservers in eine LDAP/Active Directory Umgebung. Dies wird anhand eines Beispiels mit Redhat Enterprise Server 5 veranschaulicht. Problemdefinition: Der vorhandene LDAP Dienst kann mit der Verwendung von MSCHAP nicht für die Authentifizierung verwendet werden. Das Zusammenspiel von möglichen Radius Authentifizierungsprotokollen und Passwortspeicherformaten ist nicht immer gegeben. (EAP MSCHAPv2 - > ldapsearch - > Passwort vergleichen). 1 Des weiteren ist es nicht möglich gewissen Authentifizierungsprotokolle und Authentifizierungsmethoden zu kombinieren ( MSCHAP - > ldapbind, MSCHAP, PAM, ). 2 Lösungsansatz: Verwendung von MSCHAP und ntlm_auth. Voraussetzungen: RHEL5 (Redhat Enterprise Linux 5) Freeradius (2.1.x) Active Directory Samba Kerberos Konfiguration laut ACOnet Eduroam Workshop

2 Konfiguration von Samba Samba wir nicht für die Konfiguration eines Filesservers verwendet sondern ermöglicht die Integration einer Linux Maschine in eine Active Directory Umgebung. Die benötigten Programme sind windbind ein Dienst der die Verbindung zum Windows Domainencontroller ermöglicht. Er ermöglicht die Auflösung von Gruppen und Userinformationen von einem Windows Domainencontroller. ntlm_auth Programm das einen Benutzer per NTLM (NT Lan Manager) authentifiziert. Wir überprüfen, ob alle notwendigen Pakete installiert sind: ~]# rpm -qa grep -i samba samba-client el5_2.1 samba el5_2.1 samba-common el5_2.1 Die notwendige Konfiguration in /etc/samba/smb.conf [global] workgroup = FHS (Domain Name) security = ads (Active Directory) idmap uid = #(Bereich von Gruppen IDs die gemapped werden sollen) idmap gid = #(Bereich von User IDs die gemapped werden sollen) realm = FHS.FH-SALZBURG.AC.AT # (Kerberos Realm) password server = , # (IP Adresse der Domain Controller) Alle anderen Einstellungen (Share Definitionen,..) können bei Bedarf natürlich konfiguriert werden. Anbei die Konfiguration von Kerberos /etc/krb5.conf [libdefaults] default_realm = FHS.FH-SALZBURG.AC.AT dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h forwardable = yes [realms] FHS.FH-SALZBURG.AC.AT = { kdc = megan.fhs.fh-salzburg.ac.at kdc = madeline.fhs.fh-salzburg.ac.at admin_server = megan.fhs.fh-salzburg.ac.at [domain_realm].fhs.fh-salzburg.ac.at = FHS.FH-SALZBURG.AC.AT fhs.fh-salzburg.ac.at = FHS.FH-SALZBURG.AC.AT.core.fh-salzburg.ac.at = FHS.FH-SALZBURG.AC.AT

3 Alle andere Einstellungen können naütlrich je nach Bedarf umkonfiguriert werden. Die Einstellungen können mit den den Programmes aus dem Paket krb5- workstation (kinit / kdestroy) gestestet werden. Kontrolle ob alle Dienste laufen und Änderung der Bootkonfiguration: [root@wlan ~]# service smb status smbd (pid ) is running... nmbd (pid 12106) is running... [root@wlan ~]# service winbind status winbindd (pid ) is running... [root@wlan ~]# chkconfig smb on [root@wlan ~]# chkconfig winbind on Wenn alles wie gewünscht funktioniert kann man die Linux Maschine der Active Directory Domain beitreten. [root@wlan ~]# net join U ADMIN Joined WLAN to realm FHS.FH-SALZBURG.AC.AT Jetzt kann mit Programm ntlm_auth die Authentifizierung überprüft werden. ntml_auth wird später auch vom freeradius verwendet um User zu authentifizieren. [root@wlan ~]# ntlm_auth --request-nt-key --username=asartori password: NT_STATUS_OK: Success (0x0) Achtung: ntml_auth muss auf das Verzeichnis /var/cache/samba/winbindd_privileged Zugriff haben. Der Radiusserver läuft aber laut ACOnet Workshop Konfiguration als user radius. Hier mit ist die Konfiguration von Samba abgeschlossen.

4 Konfiguration von Freeradius Um Freeradius mit ntlm Authentifizierung verwenden zu können, müssen wir ein paar Kleinigkeiten an der ACOnet Workshop Konfiguration verändern. /etc/raddb/modules/mschap mschap { # fehler bei Benutzer Information im challenge/response with_ntdomain_hack = yes ntlm_auth = "/usr/bin/ntlm_auth --request-nt-key --username=%{stripped-user- Name:-%{User-Name:-None --challenge=%{mschap:challenge:-00 --ntresponse=%{mschap:nt-response:-00" Hiermit wird wird die Verwendung vom Programm ntml_auth als Authentifizierung für mschap konfiguriert. /etc/raddb/sites- available/eduroam- inner- tunnel server eduroam-inner-tunnel { authorize { preprocess auth_log suffix mschap files eap { ok = return authenticate { Auth-Type MS-CHAP { mschap eap Konfiguration von Accounting Voraussetzungen: MySQL, PostgreSQL (um MySQL Support zu haben, muss freeradius neu kompiliert werden. Das Paket mysql- devel muss installiert sein) Installation des Datenbank Schemas: (Datenbank + User müssen zuvor angelegt werden) mysql u root p radius < /etc/raddb/sql/mysql/schema.sql

5 Erweiterung der freeradius Konfiguration: /etc/raddb/sites- available/eduroam accounting { sql Um auch Authentifizierungsversuche (erfolgreiche / nicht erfolgreiche) mitzuprotokollieren, muss noch folgendes erweitert werden: /etc/raddb/sites- available/eduroam authorize { auth_log suffix mschap eap { ok = return if ( ("%{User-Name"!~ /@/) ("%{User-Name" =~ /@.*@/)) { update reply { Reply-Message := "Invalid User-Name Syntax - (%{User-Name)" reject post-auth { reply_log Post-Auth-Type REJECT { reply_log sql sql Abgeschlossen wird die freeradius Konfiguration mit den nötigen Änderungen (DB Name, DB User, DB Treiber,..) in /etc/raddb/sql.conf database = "mysql" server = "db server" login = "xxx" password = "xxx" radius_db = "xxx"

6 /etc/raddb/radiusd.conf modules { $INCLUDE ${confdir/modules/ $INCLUDE eap.conf $INCLUDE sql.conf Anschliessend die Konfiguration des Radius Servers mit radiusd X testen. Nach der Konfiguration des freeradius Servers müssen noch die Accesspoints konfiguriert werden (in unserem Falle Cisco Aironet 1231 und Aironet 1242). Beispiel Konfiguration auf ) aaa accounting send stop- record authentication failure aaa accounting session- duration ntp- adjusted aaa accounting update newinfo periodic 1 aaa accounting exec default start- stop group eduroam aaa accounting network default start- stop group eduroam aaa accounting network acct_methods start- stop group eduroam aaa accounting connection default start- stop group eduroam aaa accounting system default start- stop group eduroam aaa accounting resource default start- stop group eduroam Anschliessend noch Accounting fuer die SSID eduroam aktivieren: dot11 ssid eduroam accounting acct_methods Eine Weboberfläche für das Accounting / Administration kann unter salzburg.ac.at/ gefunden werden.