Kymenlaakson ammattikorkeakoulu Joni Ruotsalainen Radius-autentikointi 26.4.2012
Sisällys 1. Johdanto ja tavoite... 3 2. Radius-clientit... 4 2.1 Siemens hid 6610 -kytkimet... 4 2.2 Cisco-laitteet... 4 3. Active Directoryn konfigurointi... 5 3.1 Radius-käyttäjäryhmän luominen... 5 3.2 Käytettäessä Windowsin Network Policy Serveriä... 6 4. Freeradius-palvelin - Centos 6.2... 8 5. Huomioita ja loppusanat... 11
1. JOHDANTO JA TAVOITE Käytettäessä Radius-autentikointia verkon laitteisiin kirjautumisen yhteydessä voidaan pääsynhallinta hoitaa keskitetysti. Projektin tavoitteena oli tutustua Radiukseen ja selvittää erityisesti Freeradiuksen käyttöönottoa sekä AD-integraatiota koskevia asioita. Muitakin, pääasiassa kaupallisia Radius-palvelinohjelmistoja on olemassa. Windowsilla esim. TekRadius, Clearbox, Windows Server 2003:ssa IAS (Internet Authentication Service), Windows server 2008:ssa ja R2:ssa NPS (Network Policy Server) tai Cisco ACS.
2. RADIUS-CLIENTIT Radius-palvelimen ja clientien välinen liikenne kuljetetaan protokollan 1812-1813(UDP) porttien kautta. 2.1 Siemens hid 6610 -kytkimet Kytkimet sallivat viiden yhtäaikaisen Radius/Tacacs -palvelimen käytön, joten Radius-palvelu on tältä osin mahdollista varmentaa. Radius-autentikoinnin epäonnistuessa turvaudutaan kirjautumisessa laitteen paikalliseen käyttäjäkantaan. Hätätapauksia varten joka laitteessa oltava paikallinen admintunnus. Otetaan Radius-autentikointi käyttöön paikallisesti (console): login local radius primary login local radius enable ja etäyhteyksillä: login remote radius primary login remote radius enable Asetetaan Radius-palvelinten osoitteet ja avaimet: 2.2 Cisco-laitteet login radius server 10.0.0.8 radius9000 Ciscon IOS-järjestelmissä Radius käyttää oletuksena portteja 1645-1646: (config)aaa new-model (config)aaa authentication login default group radius local enable (config)radius-server host 10.0.0.8 auth-port 1812 acct-port 1813 key radius9000
3. ACTIVE DIRECTORYN KONFIGUROINTI 3.1 Radius-käyttäjäryhmän luominen Käytettäessä muita kuin Windowsin NPS:ää, AD:n puolelta tarvitsee vain huolehtia, että Radius-palvelimen konetili on kunnossa ja luoda uusi ryhmä radiuskäyttäjille, esim. Radius-users. Lisätään halutut käyttäjät tähän ryhmään.
3.2 Käytettäessä Windowsin Network Policy Serveriä Windows server 2008 R2 standardissa rajoituksena 50 Radius-clienttiä.. Enterprise- ja datacenter-versioissa tätä rajoitusta ei ole (http://technet.microsoft.com/en-us/library/dd365355(ws.10).aspx). Päivitys Windows Server 2008 R2 Enterpriseen mahdollista 2003:n ja 2008:n standardversioista (http://technet.microsoft.com/en-us/library/dd979563(ws.10).aspx). Rooli asennetaan server managerin kautta. Luodaan NPS:stä uusi policy testi kuvassa näkyvin asetuksin. Tärkeinpänä service-type: login, joka sallii kirjautumisen. Myös autentikointivaihtoehtoja on valittavissa useita. Tässä voidaan määritellä myös valmistajakohtaisia Radius-parametrejä. Mikäli käytetään usean valmistajan laitteita ja valmistajakohtaisia Radius-attribuutteja, monimutkaistuu ylläpito huomattavasti.
Radius-clienttejä voidaan lisätä yksitellen tai useampia ilmoittavalla IP/mask esim. 10.0.0.0/24 sekä Radius-avain:
4. FREERADIUS-PALVELIN - CENTOS 6.2 Isäntäjärjestelmäksi valittiin Centos-järjestelmän server -versio, jonka lisäksi asennettiin paketit freeradius freeradius-ldap freeradius-utils samba openldapservers dependensseineen. Freeradiuksen dokumentaatio on avoimen lähdekoodin ohjelmistoille tyypilliseen tapaan pirstoutunut; osa virallisilla sivuilla olevasta tiedosta on vanhaa. Vaikka konfiguraatiotiedostot on pääosin hyvin kommentoitu, on oikeiden asioiden suodattaminen niistä kovin aikaa vievää. Freeradiuksen konfigurointi vaatii useamman konfiguraatiotiedoston muokkaamista. IPv6:een siirtymisen helpottamiseksi on suotavaa käyttää nimiä IP-osoitteiden tilalla siellä, missä se vain on mahdollista. o Freeradiuksen ydinkonfiguraatio on tiedostossa /etc/raddb/radiusd.conf. Kiinnostavimpana asiana tässä tiedostossa: Lokitus, joka tallentaa oletuksena tiedostoon /var/log/radius/radius.log. Kirjautumiset saadaan tallennettua muuttamalla lokitusta koskevaa asetusta auth = no -> auth = yes. Myös oikein/väärin kirjoitetut salasanat saadaan tallennettua niin haluttaessa. Lokin selaamiseen riittänevät komentorivityökalut cat ja grep, joilla saadaan nopeasti esille halutut tiedot. Seuraavassa esimerkiksi palvelin käynnistetty, hyväksytty kirjautuminen, kirjautumisyritys väärällä tunnuksella ja väärällä salasanalla: o /etc/raddb/clients.conf tiedostossa määritellään sallitut Radiusclientit. Esimerkiksi seuraavassa sallitaan kyselyt 10.0.0.x osoitteista käytettäessä radius9000-avainta. Shortname kuvaa laiteryhmää ja näkyy lokitiedoissa. client 10.0.0.0/24 { secret=radius9000 shortname=a-switches } o AD-yhteyttä varten tarvitaan Samba-ohjelmiston työkaluja. /etc/samba/smb.conf tiedostoon määritellään tarvittavat ADpalvelinta koskevat tiedot ja Radius-palvelimen NETBIOS-nimi: security = ads realm = PROVIDERSUNITED.COM password server = WIN-LEJVIUI8P3I winbind separator = +
winbind use default domain = yes workgroup = PROVIDERSUNITED netbios name = RADIUS o /etc/krb5.conf tiedostossa asetetaan default_realm, realms ja domain_realm vastaamaan Samban asetuksia: [libdefaults] default_realm = PROVIDERSUNITED.COM dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true [realms] PROVIDERSUNITED.COM = { kdc = WIN-LEJVIUI8P3I.providersunited.com admin_server = WIN-LEJVIUI8P3I.providersunited.com default_domain = providersunited.com } [domain_realm].providersunited.com = PROVIDERSUNITED.COM providersunited.com = PROVIDERSUNITED.COM o /etc/raddb/sites-available/default lisättävä NTLM-autentikointi: authenticate { Auth-Type ntlm_auth { ntlm_auth } authorize { ntlm_auth } Edellisten konfiguraatiomuutosten jälkeen on tärkeää syknronoida Radiuspalvelimen kello vastaamaan AD-palvelimen aikaa koneen liittämiseksi. ntpdate WIN-LEJVIUI8P3I.providersunited.com Annetaan Radius-palvelimelle oikeus lukea dataa AD:ltä: kinit Administrator@PROVIDERSUNITED.COM Käynnistetään SMB ja NMB uudelleen, jotta muutokset tulevat voimaan: /etc/init.d/smb start && /etc/init.d/nmb restart Liitetään kone net ads join UAdministrator /etc/raddb/modules/ntlm_auth tiedostossa osoitettava ntlm-auth binaarin sijainti ja haluttaessa sallittavan vain tietyn käyttäjäryhmän autentikointi, selvitetään tarvittava ryhmän sid-tunnus komennolla wbinfo n @Radiususers, jonka tuloksena saadaan seuraavaa: S-1-5-21-1147742945-3860970398-
2663272961-2613 SID_DOM_GROUP (2) exec ntlm_auth { wait = yes program = "/usr/bin/ntlm_auth --request-nt-key -- domain=providersunited.com --username=%{mschap:user- Name} --require-membership-of=s-1-5-21-1147742945-3860970398-2663272961-2613 --password=%{user-password}" } Testataan käyttäjän autentikointia ntlm_auth:lla: 1Shellistä 2Erillisellä ohjelmalla
3Kysely Radius-palvelimen näkökulmasta debug-tilassa Normaalissa toiminnassa nämä tiedot eivät ole näkyvissä. 5. HUOMIOITA JA LOPPUSANAT Tässä dokumentissa esitetty konfiguraatio sopii hyvin henkilöstömäärältään pienelle yritykselle: kaikilla halutuilla käyttäjillä on tasavertaiset oikeudet laitteisiin ja kirjautumisyritykset tallennetaan. Käyttäjien oikeuksien muokkaaminen tapahtuu täysin AD:n kautta. Radius-palvelin ei normaalissa toiminnassa tarvitse ylläpidollisia toimia ainoastaan clientteja lisätessä.