Dotaz: freeRADIUS a eap-tls

[Mk]

Po týdnu zkoušení všeho možného na základě několika how-to se mi stále nedaří autentifikovat bezdrátového klienta (WinXP) vůči RADIUS serveru (Debian Sarge). Popíšu můj přesný postup, ve kterém někdo snad najdete chybu.

Topologie:
freeRADIUS-PC-DEBIAN-Sarge(eth0_192.168.0.112/24)
AP-ORINOCO-AP-4000(eth0_192.168.0.111/24)
Client-PC-WinXP-LinkSysWMP54GS(eth0_192.168.0.113/24)

Jelikož debianí balíček nemá podporu pro eap-tls, stáhnul jsem na jiném stroji také se Sarge freeradius_1.0.5-0.tar.gz
nainstaloval jsem potřebné balíky pro kompilaci + libssl-dev, vytvořil balíky
apt-get build-dep freeradius
apt-get install libssl-dev
cd freeradius_1.0.5-0
dpkg-buildpackage -rfakeroot
Vzniklé balíky jsem přenesl na server a nainstaloval spolu se závislostmi jen freeradius_1.0.5-0_i386.deb (dpkg -i)

Změny v eap.conf
default_eap_type = tls
ještě jsem odkomentoval tls sekci

Změny v clients.conf
client 172.16.17.2/26 {
secret = yyy
shortname = ORINOCO
nastype = other
}


radiusd.conf beze změn

Certifikáty jsem generoval následovně:
CA
openssl req -new -x509 -keyout newreq.pem -out newreq.pem -days 730
echo "newreq.pem" | /usr/lib/ssl/misc/CA.pl -newca >/dev/null
openssl pkcs12 -export -in demoCA/cacert.pem -inkey newreq.pem -out root.p12 -cacerts
openssl pkcs12 -in root.p12 -out root.pem
openssl x509 -inform PEM -outform DER -in root.pem -out root.der
Server
openssl req -new -keyout newreq.pem -out newreq.pem -days 730
openssl ca -policy policy_anything -out newcert.pem -extensions xpserver_ext -extfile xpextensions -infiles newreq.pem
openssl pkcs12 -export -in newcert.pem -inkey newreq.pem -out cert-srv.p12 -clcerts
openssl pkcs12 -in cert-srv.p12 -out cert-srv.pem
openssl x509 -inform PEM -outform DER -in cert-srv.pem -out cert-srv.der
Client
openssl req -new -keyout newreq.pem -out newreq.pem -days 730
openssl ca -policy policy_anything -out newcert.pem -extensions xpclient_ext -extfile xpextensions -infiles newreq.pem
openssl pkcs12 -export -in newcert.pem -inkey newreq.pem -out cert-clt.p12 -clcerts
openssl pkcs12 -in cert-clt.p12 -out cert-clt.pem
openssl x509 -inform PEM -outform DER -in cert-clt.pem -out cert-clt.der


Na WinXP (sp2) jsem pomocí konsole mmc přidal certifikáty cacert.pem a cert-clt.p12, v upřesňujících nastaveních připojení dal ověření: WPA, šifrování: TKIP, typ EAP: Smart Card nebo jiný certifikát, ověřit jako počítač, použít certifikát v tomto počítači, použít zjednodušený výběr certifikátu, ověřit certifikát serveru, zaškrtnuto moje CA

Po spuštění pomocí
freeradius -X -A
zajímavé je tohle:
TLS_accept: SSLv3 write certificate request A
TLS_accept: SSLv3 flush data
TLS_accept:error in SSLv3 read client certificate A

V googlu jsem řešení nenašel. Snad mi někdo pomůžete.

Odpovědi

[Mk]

Ještě drobná oprava:

Změny v clients.conf
client 192.168.0.111{
secret = yyy
shortname = ORINOCO
nastype = other
}


[Mk]

To jste se s touhle chybou nikdo nesetkal?