目的 †

FreeRADIUS2を利用した802.1X認証を実施する。
オーセンティケータにはCisco機器(ルータ・L2SW)を利用する
サプリカントはWindowsXP付属のものを利用する
RADIUSサーバはCentOS6.3上で稼動。本稿記述時点でのバージョンは2.1.12

[root@radius]# radiusd -v
radiusd: FreeRADIUS Version 2.1.12, for host x86_64-redhat-linux-gnu, built on Oct  3 2012 at 01:22:51
Copyright (C) 1999-2011 The FreeRADIUS server project and contributors.
There is NO warranty; not even for MERCHANTABILITY or FITNESS FOR A
PARTICULAR PURPOSE.
You may redistribute copies of FreeRADIUS under the terms of the
GNU General Public License.
For more information about these matters, see the file named COPYRIGHT.
[root@radius]#
↑

RADIUSについて †

FreeRADIUSによる認証サーバを参照

↑

802.1X認証 †

以下の認証方式による接続テストを実施する。

利用するCisco機器は以下

↑

設定 †

↑

windows設定 †

WindowsXPは標準でEAP-MD5,EAP-PEAP,EAP-TLS対応のサプリカントが搭載されているが、 SP3を適用すると、ローカルエリア接続のプロパティに「認証タブ」が表示されなくなる。 その場合は、以下の手順でサービスを開始する。

  1. スタートメニューからコントロールパネルを起動
  2. 管理ツールからサービスを選択
  3. Wired AutoConfig?を右クリックして、開始を選択
  4. Wired AutoConfig?を右クリックして、プロパティを選択し、「スタートアップの種類」を「自動」にしておく
↑

Cisco設定 †

↑

全般設定 †

802.1X認証とログイン認証を別サーバで実施する場合は、radiusサーバをグループ化する必要がある。

↑

Cisco1812J †

MACアドレスバイパスは非対応

vlan database
 vlan 10 name soumu_seg
 vlan 20 name keiri_seg
 exit
!
interface vlan 10
  ip address 192.168.10.181 255.255.255.0
ip default-gateway 192.168.10.254
ip route 0.0.0.0 0.0.0.0 192.168.10.254
!
interface fas 2
 ## AuthPort : eap ##
 switchport mode access
 no ip address
 dot1x port-control auto
 spanning-tree portfast
interface fas 9
 ## UplinkPort ##
 switchport access vlan 10
 spanning-tree portfast
↑

Catalyst2940 †

MACアドレスバイパスは非対応

vlan 10
 name soumu_seg
vlan 20
 name keiri_seg
!
interface vlan 10
  ip address 192.168.10.181 255.255.255.0
ip default-gateway 192.168.10.254
!
interface FastEthernet0/1
 ## AuthPort : eap ##
 switchport mode access
 dot1x port-control auto
 spanning-tree portfast
interface giga 0/1
 ## UplinkPort ##
 switchport access vlan 10
 spanning-tree portfast
↑

Catalyst2960 †

vlan 10
 name soumu_seg
vlan 20
 name keiri_seg
!
interface vlan 10
  ip address 192.168.10.181 255.255.255.0
ip default-gateway 192.168.10.254
!
interface fas 0/1
 ## AuthPort : eap ###
 switchport mode access
 dot1x pae authenticator
 dot1x port-control auto
 dot1x violation-mode protect
 dot1x timeout tx-period 3
 spanning-tree portfast
interface fas 0/2
 ## AuthPort : mac address bypass ##
 switchport mode access
 dot1x mac-auth-bypass
 dot1x pae authenticator
 dot1x port-control auto
 dot1x violation-mode protect
 dot1x timeout tx-period 3
 spanning-tree portfast
interface range giga 0/48
 switchport access vlan 10
 spanning-tree portfast
interface FastEthernet0/1
 switchport access vlan 10
 switchport mode access
 authentication order dot1x
 authentication priority dot1x
 authentication port-control auto
 dot1x pae authenticator
 spanning-tree portfast
interface FastEthernet0/2
 switchport access vlan 10
 switchport mode access
 authentication order mab
 authentication priority mab
 authentication port-control auto
 mab
 dot1x pae authenticator
 spanning-tree portfast
↑

radiusサーバの設定 †

↑

EAP-MD5 †

ユーザ定義ファイルにユーザ名とパスワードを記載する。
Auth-TypeがSystemになっていれば、LinuxUID/PWDが利用できるが、EAPの場合にはAuth-TypeをEAPにする必要があるため、LinuxUID/PWDは利用できないみたい。

[centos@radius]# vi /etc/raddb/users
------------8<-----------------
eapuser Auth-Type:=EAP     , Cleartext-Password := "eappass"
------------8<-----------------
↑

EAP-TLS †

OpenSSLによるPKI構築を参照し、認証局を作成しておくこと。

# vi userlist/users.eap
eapuser Auth-Type == EAP , Cleartext-Password := "eappass"
# vi userlist/users.login
####################################################
## priv-lvl=15 :  Not Applied for Console login.
## echo -n PASSWORD | openssl md5
####################################################
loginuser Auth-Type := PAP , MD5-Password := "xxxx"

$enab15$  Auth-Type := PAP , MD5-Password := "xxxx"

user  Auth-Type := PAP ,  MD5-Password := "xxxx"
        Service-Type := NAS-Prompt-User , Cisco-AVPair := "shell:priv-lvl=1"

admin Auth-Type := PAP ,  MD5-Password := "xxxx"
        Service-Type := NAS-Prompt-User , Cisco-AVPair := "shell:priv-lvl=15"
# vi userlist/users.mab01
DEFAULT Auth-Type == PAP
        Tunnel-Type := 13 , Tunnel-Medium-Type := 6 , Tunnel-Private-Group-Id := "soumu_seg",
        Fall-Through = Yes

1877ecd5f394 Cleartext-Password := "1877ecd5f394" , NAS-Port-Type == Ethernet
2877ecd5f394 Cleartext-Password := "2877ecd5f394" , NAS-Port-Type == Ethernet
# vi userlist/users.mab02
DEFAULT Auth-Type == PAP
        Tunnel-Type := 13 , Tunnel-Medium-Type := 6 , Tunnel-Private-Group-Id := "keiri_seg",
        Fall-Through = Yes

055dc061bf92 Cleartext-Password := "055dc061bf92" , NAS-Port-Type == Ethernet
255dc061bf92 Cleartext-Password := "255dc061bf92" , NAS-Port-Type == Ethernet
# chown -R root.radiusd userlist
# vi eap.conf
eap {
  default_eap_type = tls
  timer_expire     = 60
  ignore_unknown_eap_types = no
  cisco_accounting_username_bug = no
  max_sessions = 2048
  tls {
    certdir = ${confdir}/certs
    cadir = ${confdir}/certs
    private_key_password = RadiusSV
    private_key_file = ${certdir}/RadiusSV_key.pem
    certificate_file = ${certdir}/RadiusSV_crt.pem
    CA_file = ${cadir}/chainCA_crt.pem
    dh_file = ${certdir}/dh
    random_file = /dev/urandom
    cipher_list = "DEFAULT"
    make_cert_command = "${certdir}/bootstrap"
    cache {
      enable = no
      lifetime = 24 # hours
      max_entries = 255
    }
  }
}
↑

クライアントの設定 †

↑

EAP-PEAP（MS-CAHP-V2） †

PEAPはサーバ証明書を利用し、UID/PWDによる利用者認証を実施する。
PEAPの場合も特に設定は変更しなくてよい。ただし、デフォルトのFreeRADIUSで作成されている証明書情報などを利用する場合には、有効期限切れのため、独自でRADIUSサーバとしてのサーバ証明書を生成する必要がある。




Counter: 26380, today: 1, yesterday: 1
トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS