freeRADIUS a eap-tls

Po týdnu zkoušení všeho možného na základě několika how-to se mi stále nedaří autentifikovat bezdrátového klienta (WinXP) vůči RADIUS serveru (Debian Sarge). Popíšu můj přesný postup, ve kterém někdo snad najdete chybu.

Topologie:
freeRADIUS-PC-DEBIAN-Sarge(eth0_192.168.0.112/24)
AP-ORINOCO-AP-4000(eth0_192.168.0.111/24)
Client-PC-WinXP-LinkSysWMP54GS(eth0_192.168.0.113/24)

Jelikož debianí balíček nemá podporu pro eap-tls, stáhnul jsem na jiném stroji také se Sarge freeradius_1.0.5-0.tar.gz
nainstaloval jsem potřebné balíky pro kompilaci + libssl-dev, vytvořil balíky


apt-get build-dep freeradius

apt-get install libssl-dev

cd freeradius_1.0.5-0

dpkg-buildpackage -rfakeroot

Vzniklé balíky jsem přenesl na server a nainstaloval spolu se závislostmi jen freeradius_1.0.5-0_i386.deb (dpkg -i)

Změny v eap.conf


default_eap_type = tls

ještě jsem odkomentoval tls sekci

Změny v clients.conf


client 172.16.17.2/26 {

secret = yyy

shortname = ORINOCO

nastype = other

}

radiusd.conf beze změn

Certifikáty jsem generoval následovně:
CA


openssl req -new -x509 -keyout newreq.pem -out newreq.pem -days 730

echo "newreq.pem" | /usr/lib/ssl/misc/CA.pl -newca >/dev/null

openssl pkcs12 -export -in demoCA/cacert.pem -inkey newreq.pem -out root.p12 -cacerts

openssl pkcs12 -in root.p12 -out root.pem

openssl x509 -inform PEM -outform DER -in root.pem -out root.der

Server


openssl req -new -keyout newreq.pem -out newreq.pem -days 730

openssl ca -policy policy_anything -out newcert.pem -extensions xpserver_ext -extfile xpextensions -infiles newreq.pem

openssl pkcs12 -export -in newcert.pem -inkey newreq.pem -out cert-srv.p12 -clcerts

openssl pkcs12 -in cert-srv.p12 -out cert-srv.pem

openssl x509 -inform PEM -outform DER -in cert-srv.pem -out cert-srv.der

Client


openssl req -new -keyout newreq.pem -out newreq.pem -days 730

openssl ca -policy policy_anything -out newcert.pem -extensions xpclient_ext -extfile xpextensions -infiles newreq.pem

openssl pkcs12 -export -in newcert.pem -inkey newreq.pem -out cert-clt.p12 -clcerts

openssl pkcs12 -in cert-clt.p12 -out cert-clt.pem

openssl x509 -inform PEM -outform DER -in cert-clt.pem -out cert-clt.der

Na WinXP (sp2) jsem pomocí konsole mmc přidal certifikáty cacert.pem a cert-clt.p12, v upřesňujících nastaveních připojení dal ověření: WPA, šifrování: TKIP, typ EAP: Smart Card nebo jiný certifikát, ověřit jako počítač, použít certifikát v tomto počítači, použít zjednodušený výběr certifikátu, ověřit certifikát serveru, zaškrtnuto moje CA

Po spuštění pomocí
freeradius -X -A
zajímavé je tohle:


TLS_accept: SSLv3 write certificate request A

TLS_accept: SSLv3 flush data

TLS_accept:error in SSLv3 read client certificate A

V googlu jsem řešení nenašel. Snad mi někdo pomůžete.

Ještě drobná oprava:

Změny v clients.conf


client 192.168.0.111{

secret = yyy

shortname = ORINOCO

nastype = other

}

To jste se s touhle chybou nikdo nesetkal?

Dotaz: freeRADIUS a eap-tls

Odpovědi