Dynamic Pre-Shared Key na Unifi

19.7.2024 20:23 | Přečteno: 903× | poslední úprava: 26.7.2024 14:12

V tomto zápisu popíšu jak zprovoznit unikátní Pre-Shared Key spojený s MAC adresou zařízení na access pointech Unifi od Ubiquiti.

Edit po prvních příspěvcích v diskusi: ano jsem si vědoma, že ověřování čistě na základě MAC adresy je vcelku na nic, o tom také blogpost není. Ano, jsem si vědoma, že u PSK je možno podvrhnout AP. Ano, skutečně doma používám klasické WPA2-Enterprise s ověřováním přes EAP-PEAP nebo EAP-TLS, je to dobré pro orientaci v technologiích a případné testování nastavení FreeRADIUSe.

Ale o tom tento zápis není. Je proto zbytečně se mě snažit v diskusi přesvědčovat o výše uvedeném, dobýváte se do otevřených dveří. Berte to tak, že pokud nemáte Unifi či se ho nechystáte pořídit, není tento zápis pro vás. Předpokládám, že sem stále ještě chodí i lidé, kteří dělají síťovou infrastrukturu a s těmito technologiemi do styku přijdou, pro ně to může být užitečné. Konec editu

Dlouhou dobu jsme ve firmě všude používali Mikrotiky jako univerzální švýcarský nožík pro routing i wifi. Bohužel s postupujícím časem se kvalita bezdrátových částí Mikrotiků postupně zhoršovala, stabilita snižovala, navíc obecně docházelo k technickému zastarávání. Protože se nám nechtělo čekat na wifiwave2/Wifi (které mě v současné době, kdy už je k dispozici pro více zařízení, stejně výkonnostně nijak nenadchlo), nakonec jsme dospěli k rozdělení: na routování Mikrotiky, pro bezdráty Ubiquiti.

Do firem zákazníků s tím nebyl problém, pro interní síť se použilo WPA2-Enterprise, pro hosty jeden sdílený klíč nebo hotspot. Nyní jsem se ovšem rozhodla k přechodu i u sebe doma a narazila na potíž. Notebooky i mobily si s WPA-Enterprise poradí snadno, bez problémů jim lze z RADIUSu přidělovat i VLAN ID, ale můj PocketBook konfiguraci s tunelovaným EAP-PEAP prostě nedává. Stejně jako různá IoT zařízení. Řešením je předsdílený klíč (PSK), ovšem ten pro změnu nechci trvale nechávat každému návštěvníkovi, který se mi mihne v domácnosti a bude se chtít připojit na wifi.

Mikrotiky v tomto směru nabízely snadné řešení: pomocí Access Listu se ve Winboxu nebo z promptu nechal každému zařízení přidělit vlastní PSK vázaný na MAC adresu, takže bylo bez problémů možné používat krátkodobé unikátní PSK pro konkrétního uživatele. V nastavení Unifi Network Serveru (UNS) jsem ovšem po podobné funkcionalitě koukala marně.

I nažhavila jsem strýčka Googla a začala pátrat. A vypátrala tuto stránku. která ukazuje, jak dynamické PSK zprovoznit. No a poté, co jsem to celé rozchodila, jsem se rozhodla jednak přepsat celý postup pro případ, že by odkazovaná “kuchařka” zmizela, jednak doplnit některé další postřehy.

Jak na to?

V první řadě je potřeba mít rozběhaný RADIUS a na něm nastavené ověřování pomocí MAC adresy. Osobně používám FreeRADIUS, jeho konfigurace ovšem jde nad rámec tohoto blogpostu, takže jen odkážu na oficiální návod s popisem nastavení.

Na UNS si pak nastavte připojení k RADIUS serveru stejným způsobem, jako u WPA-Enterprise. Vytvořte nové SSID s ověřováním přes WPA2 (WPA3 jsem nezkoušela, nejspíš fugnuje také), povolte u něj volbu RADIUS MAC Authentication, vyberte profil RADIUS serveru a volbu MAC Address Format nastavte na aa-bb-cc-dd-ee-ff.

Vyzkoušejte si, že vám ověřování podle MAC adresy skutečně funguje.

Pokud vše pracuje jak má, změňte PSK na nějaký náhodný, dostatečně dlouhý. Máte k tomu poslední příležitost, po dalších krocích již nepůjde z webového rozhraní přenastavit, přičemž dříve nastavený PSK nadále zůstane funkční. Je proto vhodné ho mít co nejdelší a co nejnáhodnější. Tip pro Linux:

cat /dev/urandom | tr -dc A-Za-z0-9 | head -c${1:-63};echo;

Zazálohujte si pro jistotu aktuální konfiguraci, přihlašte se na terminál UNS a připojte se na MongoDB.

# mongo --port 27117

Nyní je potřeba nastavit pro dané SSID atribut attr_hidden_id na hodnotu UidIot, atribut wpa_psk_radius na required a pokud pomocí RADIUSu nastavujete VLAN ID, přepnout atribut vlan_wlan_mode též na hodnotu required (což je můj setup, bez toho jsem to nezkoušela).

use ace
db.wlanconf.update(
    {name: "TvojeSSID"},
    {
        $set: {
            "attr_hidden_id": "UidIot",
            "vlan_wlan_mode": "required",
            "wpa_psk_radius": "required"
        }
    }
)

Řetězec TvojeSSID samozřejmě nahraďte svým SSID, pro které unikátní PSK nastavujete, a pokud nepoužíváte RADIUS pro nastavení VLAN, odmažte z příkazu řádek “vlan_wlan_mode”: “required”.

V USN obnovte stránku s konfigurací SSID. Položka Password by nyní měla mít u sebe zaškrtnutý neaktivní škrtbox s popiskem Auto a položka RADIUS MAC Authentication by neměla být dostupná. Pokud vidíte něco jiného, je to chyba a nejprve ji odstraňte.

Nyní je potřeba uploadovat konfiguraci do AP. Jednoduchý restart AP nepomůže, já nakonec šla cestou nejmenšího odporu a jednoduše přepla tam a zase zpátky hodnotu Wifi Band v nastavení SSID. AP se restartoval a zaktualizoval si konfiguraci z UNS.

Doplněno: v legacy UI je možné vnutit konfiguraci jednomu konkrétnímu AP přes Devices -> vybrat AP -> vpravo pod Manage volbou "Force provision".

Na FreeRADIUSu nyní do souboru authorized_macs (pokud jste použili výše odkazovaný návod, v případě jiných konfigurací to může být jinde) ke každé MAC adrese doplňte nastavení atributu Tunnel-Password. Pokud nastavujete i VLANu, doplňte i atributy s ní související.

aa:bb:cc:dd:ee:ff Cleartext-Password := "aa:bb:cc:dd:ee:ff"
    Tunnel-Type = 13,
    Tunnel-Medium-Type = 6,
    Tunnel-Private-Group-Id = 1234,
    Tunnel-Password = NejakyPSKProDaneZarizeni

(pokud VLAN nenastavujete, můžete atributy Tunnel-Type, Tunnel-Medium-Type a Tunnel-Private-Group-Id vynechat)

Restartujte FreeRADIUS a vyzkoušejte svoje zařízení, jestli se připojí.

S čím je nutno počítat

• Před ruční úpravou databáze je nutné nastavit dostatečně silný PSK, neboť v konfiguraci zůstane a je nadále použitelný. Z webového rozhraní UNS už navíc nejde změnit. Totéž platí pro název SSID.
• SSID nejde po úpravě z webového rozhraní UNS smazat, v seznamu kandidátů pro smazání ho nelze vybrat. Řešením je opět hrábnout do databáze a atributu “attr_hidden_id” nastavit prázdnou hodnotu; pak je opět možno z WebUI editovat PSK a smazat ho SSID. Druhou možností je v nastavení SSID změnit Security Protocol z WPA2 na WPA2 Enterprise (a případně zpět), pak je editace opět možná.
• Prostý restart AP pro nové natažení konfigurace po změně databáze nestačí, je nutné mu aktualizaci vnutit.
• V logu RADIUS serveru se přístup z ověřené MAC adresy objeví jako povolený i v případě, že nebyl zadán odpovídající PSK a AP klienta odmítne.

Závěr

Osobně nechápu, proč není tato možnost k dispozici přímo ve WebUI UNS a je nutné ručně upravovat nastavení v databázi. UNS tuto konfiguraci očividně interně zná a počítá s ní, stejně tak aktuální firmware APček. V každém případě je dobře, že už lze kýženého výsledku dosáhnout alespoň ručním zásahem do MongoDB; dříve se musel upravovat konfigurák Hostapd přímo v APčku a změny pak nepřežily restart AP. Což nebylo v ostrém provozu příliš použitelné.

Testováno na

• Unifi U6 Pro s firmwarem ve verzi 6.6.73.15340.
• Unifi U7 Pro Wall s firmwarem ve verzi 7.0.59.
• Unifi Network Server ve verzi 8.2.93 pod Debianem 12.
• Nastavení přežilo upgrade z UNS 8.2.93 na verzi 8.3.32.

       

Komentáře

[RealJ]

“nastavené ověřování pomocí MAC adresy” - fakt?

[Jana J.]

OK, jak byste jakou formulaci pro toto byste tedy navrhoval? Možná "fitrování", když je to v kombinaci s PSK? Nevím, v angličtině se pro to běžně používá "authentication".

[Jana J.]

Ostatně i v té konfigurační volbě v UNS je "RADIUS MAC Authentication". Tak nevím.

[RealJ]

Hele, nevim, jake mas nastaveni, pokud mas na to nejakou vlanu ktera ma pristup do internetu a nikam jinam tak to klidne pouzivej. Predpokladam, ze ten pocketbook nema zadne certifikaty kterymi by se overoval dale. 802.1x je trochu slozitejsi a doma ho predpokladam nemas implementovane. Na iot a podobne obsolete zarizeni mam vlanu ktera nema nikam pristup. Pokud ti chodi domu spousta navstevniku kteri nutne potrebuji wifi pristup k internetu tak od toho je guest wifi a to rozhodne nesdilim s iot nebo obsolete vecma.

[Jana J.]

Boha jeho, nepředpokládejte, čtěte text. Píšu, že běžně používám EAP-PEAP (plus EAP-TLS, o tom jsem nepsala, ale mám to tam taky), čili klasické WPA2-Enterprise s certifikátama na straně RADIUSe a částečně i na straně klientů. Berte to tak, že to mám zároveň jako domácí testovací laboratoř.

V blogpostu ale jde o úpravu Unifi tak, aby pro speciální případy byl k dispozici pro každou MAC adresu separátní PSK, přičemž základem je RADIUS nastavený na filtrování podle MAC adresy (v angličtině běžně používaný termín MAC-Based Authorization, proto jsem to v češtině použila takto), který APčku na základě této adresy posílá PSK vyžadovaný pro dané spojení. Jiné značky to umí samy o sobě; Mikrotik to zvládá i bez RADISe, další běžně akceptují atribut Tunnel-Password. Unifi se pro tenhle setup musí trošku nestandardně přiohnout a o tom je celý blogpost.

Měla jsem za to, že to je z textu zřejmé. Nevím jestli je chyba u mě nebo u vás.

[GeorgeWH]

Skor tym chcel povedat, ze overovat na zaklade MAC adresy, je asi ako overovat na zaklade farby vlasov.

[Jana J.]

Já fakt nemůžu za to, že se pro filtrování používá tahle terminologie. Standardně se to kombinuje s dalšími metodami, v tomto případě s PSK. Akorát mám pocit, že tady někdo nepochopil, že celý zápis je o tom, jak to PSK mít pro každé zařízení nastaveno jiné. Případně že se diskutující zasekli u věty Vyzkoušejte si, že vám ověřování podle MAC adresy skutečně funguje a nečetli dál.

[panika]

mne to dava smysl. je to napsany velmi dobre dekuju. (trollu si nevsimej, kdyz jim budes odpovidat budou akorat prudit vic..)

[Jana J.]

Díky.

[Vantomas]

Když se otevře Devices, vybere jedno Unifi, tak pak vpravo pod Manage je volba "Force provision". Tím by se do toho měla ta konfigurace vnutit také.

[Jana J.]

Příloha:

• Screenshot_20240726_093758.png (42741 bytů)

Hmm, tak to tam nemám. Možná záleží na verzi (v mém případě aktuálně 8.3.32).

[Vantomas]

Aha, ono to v novém UI není

Tak to pardon za zmatky, stále se držím starého UI a do nového přepínám jen, když potřebuji nastavit něco, co ze starého nejde.

[Jana J.]

Ajo, v legacy UI to je.

Nevím, jestli to doplňovat do textu. Pokud člověk používá nové UI (což jsem, přiznám se, předpokládala), je to přes ruku oboje.

[Jana J.]

PS: nakonec jsem to tam zmínila.
Díky.