VYSOKÁ ŠKOLA BÁŇSKÁ - TECHNICKÁ UNIVERZITA OSTRAVA

Technologie počítačových sítí

RADIUS

Autor : Tomáš Huňka (hun012)

Datum : 10.01.2005

možnost stáhnutí celého projektu

• schopnost dynamicky přidělit WEP klíč pro jednotlivé uživatele a relace
• uživatelé musejí absolvovat skutečný autentizační dialog -> důkladnou autentizační metodu (od prostých kombinací jména uživatele a hesla až po digitální certifikáty).

• přístupový server k síti (Network Access Server), tj. přepínač nebo bezdrátový přístupový bod, vyšle uživateli na základě detekce jeho přítomnosti zprávu EAP REQUEST-ID
• uživatel odpoví zprávou EAP RESPONSE-ID, která obsahuje identifikační údaje uživatele; přístupový server zapouzdří celou zprávu EAP RESPONSE-ID do paketu RADIUS ACCESS_REQUEST a vyšle ji serveru RADIUS
• zprávy EAP jsou posílány mezi uživatelem a RADIUS serverem prostřednictvím přístupového serveru: na straně uživatele zapouzdřeny jako EAPOL a na straně serveru jako RADIUS
• server RADIUS odpoví zprávou obsahující povolení/zákaz přístupu (ACCESS ACCEPT/DENY) pro daného uživatele do sítě, která v sobě obsahuje informaci EAP SUCCESS/FAILURE, jíž přístupový server přepošle uživateli
• v případě povolení (SUCCESS) je příslušný port přístupu do sítě (přes který autentizační komunikace probíhala) otevřen pro data daného uživatele, který je na základě úspěšného výše popsaného procesu považován za autentizovaného

• FreeRADIUS
• Cisco Secure Access Control Server
• Funk Steel Belted RADIUS
• Radiator
• Interlink Merit

1. Access-Request - paket je odeslán RADIUS serveru a zprostředkovává informace použité pro rozhodování, zda-li má být uživateli umožněn přístup přes daný přístupový server (RADIUS klienta). Klient musí RADIUS paket odeslat s hodnotou 1 v poli Kód. Paket Access-Request musí obsahovat atributy User-Name, User-Password. Dále pak může obsahovat atributy NAS-IP Address,NAS-Identifier,NAS-Port,NAS-Port-Type.
2. Access-Accept - paket je odesílán RADIUS serverem a poskytuje specifické konfigurační informace potřebné pro službu, která je poskytována uživateli.
3. Access-Reject - při odmítnutí požadavku RADIUS server odesílá Access-Reject. Tento paket může obsahovat zprávou, která je zobrazena uživateli o zamítnutí přístupu.
4. Accounting-Request
5. Accounting-Response
6. Access-Challenge

• Request Authenticator (128 bitů)- náhodně velké číslo, obsaženo v paketu Access-Request. Tato hodnota by měla být nepředvídatelná a jedinečná po dobu existence sdíleného hesla mezi RADIUS klientem a RADIUS serverem. RADIUS klient (NAS) a RADIUS server mají sdílené tajemství. Na sdílené tajemství společné s Request Athenticatorem je aplikována jednocestná hashovací funkce MD5, pomocí které je vytvořena 128 bitů velká hodnota, která je xorována s heslem jež zadal uživatel.
• Response Authenticator - použit v Access-Accept, Access-Reject, Access-Challenge paketech a obsahuje výsledek jednocestné funkce MD5, která je počítána z RADIUS paketu, Request Athenticator z Access-Request paketu, z atributů obsažených v odpovědi následované sdíleným tajemstvím.

• string 1 - 253 Bytů
• adresa 32 bitů
• integer 32 bitů
• time 32 bitů

1. User-Name
2. User-Password
3. CHAP-Password
4. NAS-IP-Address
5. NAS-Port
6. Service-Type
7. Framed-Protocol
8. Framed-IP-Address
9. Framed-IP-Netmask
10. Framed-Routing
11. Filter-Id
12. Framed-MTU
13. Framed-Compression
14. Login-IP-Host
15. Login-Service
16. Login-TCP-Port
17. (unassigned)
18. Reply-Message
19. Callback-Number
20. Callback-Id
21. (unassigned)
22. Framed-Route
23. Framed-IPX-Network
24. State
25. Class
26. Vendor-Specific
27. Session-Timeout
28. Idle-Timeout
29. Termination-Action
30. Called-Station-Id
31. Calling-Station-Id
32. NAS-Identifier
33. Proxy-State
34. Login-LAT-Service
35. Login-LAT-Node
36. Login-LAT-Group
37. Framed-AppleTalk-Link
38. Framed-AppleTalk-Netw.
39. Framed-AppleTalk-Zone

40. Acct-Status-Type
41. Acct-Delay-Time
42. Acct-Input-Octets
43. Acct-Output-Octets
44. Acct-Session-Id
45. Acct-Authentic
46. Acct-Session-Time
47. Acct-Input-Packets
48. Acct-Output-Packets
49. Acct-Terminate-Cause
50. Acct-Multi-Session-Id

60. CHAP-Challenge
61. NAS-Port-Type
62. Port-Limit
63. Login-LAT-Port

• Accounting-Request - pakety jsou posílány od klienta RADIUS Accounting serveru a nesou informace pro použití při účtování služeb poskytovaných uživateli.
• Accounting-Response - pakety jsou posílány RADIUS Access serverem klientovi. Jako potvrzení, že Accounting-Request byl přijat a v pořádku zaznamenán.

Následující část se bude týkat OpenSSL

1. Stáhněte si poslední verzi OpenSSL-0.9.7-stable snapshot z adresy openSSL stable snapshot nebo přímo z toho odkazu openssl-0.9.7-stable-SNAP-20050113.tar.gz do svého domovského adresáře a pokračujte následujícími kroky.



2. Pod linuxem vytvoříme adresářovou strukturu /usr/src/802/openssl nebo pomocí příkazu:
   mkdir -p /usr/src/802/openssl



3. Pomocí následujících příkazů dekomprimujeme soubor openssl-0.9.7-stable-SNAP-20050113.tar.gz
   do adresáře /usr/src/802/openssl a to pomocí příkazů:
   
   zkopírování souboru do ciloveho adresáře..
   cp /home/user/openssl-0.9.7-stable-SNAP-20050113.tar.gz \
   openssl-0.9.7-stable-SNAP-20050113.tar.gz
   
   dekomprimace souboru a následný přesun do adresáře.. gunzip openssl-0.9.7-stable-SNAP-20050113.tar.gz
   tar xvf openssl-0.9.7-stable-SNAP-20050113.tar
   cd openssl-0.9.7-stable-SNAP-20050113



4. Provedeme konfiguraci OpenSSL (kam bude nastaven vystup openSSL):
   ./config shared --prefix=/usr/local/openssl



5. Přeložení openSSL:
   make



6. Nainstalování openSSL:
   make install

Následující část se bude týkat FreeRADIUS serveru

1. Stáhněte si poslední verzi FreeRADIUS snapshot z adresy freeRADIUS snapshot
   nebo přímo z tohoto odkazu: freeradius-snapshot-20050113.tar.gz do svého domovského adresáře.



2. Pod linuxem vytvoříme adresářovou strukturu /usr/src/802/openssl nebo pomocí příkazu:
   mkdir -p /usr/src/802/radius



3. Pomocí následujících příkazů dekomprimujeme soubor freeradius-snapshot-20050113.tar.gz
   do adresáře /usr/src/802/radius a to pomocí příkazů:
   kopirovani souboru do adresáře..
   cp /home/user/freeradius-snapshot-20050113.tar.gz \
   freeradius-snapshot-20050113.tar.gz
   
   dekomprimace souboru a následný přesun do adresáře..
   gunzip freeradius-snapshot-20050113.tar.gz
   tar xvf freeradius-snapshot-20050113.tar
   cd freeradius-snapshot-20050113



4. Provedeme konfiguraci RADIUS serveru s integrováním openSSL, knihoven potřebných pro openSSL,a nastavení výstupu freeRADIUS serveru:
   ./configure --with-openssl-includes=/usr/local/openssl/include \
   --with-openssl-libraries=/usr/local/openssl/lib \
   --prefix=/usr/local/radius



5. Přeložení:
   make



6. Nainstalování freeRADIUS serveru:
   make install

...
# req_extensions = v3_req # The extensions to add to a certificate request

[ req_distinguished_name ]
countryName			= Country Name (2 letter code)
# název země (2 znaky)

countryName_default		= CZ
# standartně nastaveno na "CZ"

countryName_min			= 2
countryName_max			= 2

stateOrProvinceName		= State or Province Name (full name)
stateOrProvinceName_default	= CzechRepublic
# okres nebo provincie

localityName			= Locality Name (eg, city)
localityName_default		= Ostrava
# jméno města (standartně nastaven na "Ostrava")

0.organizationName		= Organization Name (eg, company)
0.organizationName_default	= Test
# jméno organizace nebo firmy (standartně na "Test")

organizationalUnitName		= Organizational Unit Name (eg, section)
#organizationalUnitName_default	= Engeneering

commonName			= Common Name (eg, user name)
# jména pro: (1.root, 2.RADIUS client(AP), 3.RADIUS sever)
# (Lukas, John, kob416b.vsb.cz)

commonName_max			= 64
# maximální délka jména

commonName_default 		= Lukas
# jméno našeho AP

emailAddress			= Email Address
emailAddress_max		= 40
# emailová adresa

# SET-ex3			= SET extension number 3

[ req_attributes ]
challengePassword		= A challenge password
challengePassword_min		= 4
challengePassword_max		= 20
challengePassword_default	= whatever

unstructuredName = An optional company name
...

1. Poprvé produkujeme certifikáty s označením root (pro RADIUS klienta), nic nemusíme zadávat, protože jsou nastaveny defaultní hodnoty. Výstupem jsou soubory: root.pem, root.p12,root.der.


2. Při druhém průběhu produkujeme certifikáty pro uživatele. Zde už musíme změnit commonName na uživatelské jméno (v mém případě to bylo John). Výstupem budou soubory se jmény: certl-clt.pem,cert-clt.p12,cert-clt.der.
Nenechte se zmást pojmenováním cert-clt. V tomto generování je cert-clt míněn certifikát pro uživatele.


3. Při třetím průběhu produkujeme certifikát pro server. Zde musíme změnit commonName na jméno serveru(v mém případě to bylo kolb416d.vsb.cz). Výstupem budou soubory se jmény: cert-srv.pem,cert-srv.p12,cert-srv.der.

client 10.0.0.1/24{
         secret = secret
         shortname = Lukas
         nastype = other
}

John

# jméno usera, který se bude snažit připojit do síťe

jinak: případ, kdy doplníme přesnější informace, není povinné!

John    Auth-Type := local, User-Password== "heslo"
           Client-IP-Address = 10.0.0.1
           Framed-IP-Address = 158.196.220.249

# User-Password - uživatelovo heslo
# Framed-IP-Address je zřejmě skutečné IP usera
# Client-IP-Address je IP našeho AP(RADIUS klienta) přes který se user snaží připojit

bind_address = 10.0.0.5

eap {   default_eap_type = tls

tls {
            private_key_password = secret
            private_key_file = ${raddbdir}/certs/cert-srv.pem
certificate_file = ${raddbdir}/certs/cert-srv.pem
CA_file = ${raddbdir}/certs/demoCA/cacert.pem
dh_file = ${raddbdir}/certs/dh
random_file = ${raddbdir}/certs/random

fragment_size = 1024
include_length = yes
check_crl = yes
check_cert_cn = %{User-Name}
}

----------------------------------------------------------------------
#!/bin/sh -x

LD_LIBRARY_PATH=/usr/local/openssl/lib
LD_PRELOAD=/usr/local/openssl/lib/libcrypto.so

export LD_LIBRARY_PATH LD_PRELOAD

/usr/local/radius/sbin/radiusd $@
----------------------------------------------------------------------

Wireless Port Control = Authentication Required
ReAuthentication Timer = 1800 seconds
Idle Timeout = 3600 seconds
Authentication Database = RADIUS only
Dynamic WEP Key Exchange = 128-bit WEP

At the RADIUS tab for authentication:

Active = Yes
Server IP = 192.168.1.10
Port Number = 1812
Shared Secret = secret
#sdilene tajemnstvi mezi klientem a RADIUS serverem

Nastavení AP Avaya dle mého projektu