Dotaz: Radius server

[Pavel]

Zdravím, na serveru, který slouží jako GW jsem si vytvořil VLAN rozhraní a teď bych to chtěl spojit s wifi WRTU54G na které mám OpenWRT. Chci to transparentně, to znamená aby klient nemusel nikde nic nastavovat. Představuji si to tak, že wifi bude vysílat pod jedním SSID. Klient se připojí, bez hesla a proběhne ověření na základě MAC. Bude-li MAC někde na Radiusu zapsaná přiřadí se do VLAN200, jinak bude ve VLAN100. Otázka zní jestli se to takto dá realizovat a co je třeba kde nainstalovat a nastavit.

PS: vím jaká rizika ssebou nese ověřování podle MAC.

---

---

Odpovědi

[Pavel]

Ještě přidám podotázku, je možné potom připojeným klientům dynamicky měnit VLAN? Např. zjistím že uživatel produkuje bordel v síti, tak ho přeředím do VLAN300 a tím omezím nějaké služby.

[NN]

Videl bych to na hostapd na OpenWRT a Freeradius na serveru, plus drobnosti jako trunky na prepinaci a DHCP pro jednotlive VLAN. Odpoved na druhou otazku je, NE.

[Pavel]

Díky, tak v tom případě jsou moje plány ztraceny :) Chtěl jsem udělat následující:

wifi klient se připojí na AP, protože to je jeho první připojení, je zařazen do VLAN100, všechny porty jsou blokovány, na 80 je proxy a mam přesměrováno na interní web s přihlášením. Je-li přihlášení OK, proběhne přesun klienta z VLAN100 do VLAN200, kde není nijak omezen.

[niobi]

Klienta můžeš z AP vykopnout. Při další asociaci už spadne do druhé VLAN.

[Pavel]

To jsem si myslel, ale pozná to nějak klient a bude se muset znovu připojit nebo to bude automatický? Mam možnost to celý rozjet na mikrotiku RB411 s CM9 wifi, byla by to lepší možnost než současné AP? Co jsem koukal, tak CM9 umí jen klienta, tak v tom by byl asi problém...

[petr_p]

To jsem si myslel, ale pozná to nějak klient a bude se muset znovu připojit nebo to bude automatický?

AP pošle klientovi zprávu deauthenticate. Co udělá klient, záleží na něm. A klient to pozná tak jako tak, protože provoz řídí AP. Klient si nemůže jen tak vysílat, ale čeká na výzvu od AP. V nejhorším vytimeoutuje.

CM9 umí jen klienta

Kdysi jsem rozjížděl CM9 v Gentoo přes Madwifi jako AP. Jak je to dnes, netuším, ale nevidím důvod, proč by to nemělo fungovat. Podle všeho atk5 s AR5213 režim master umí.

[Pavel]

Myslel jsem to tak, jako že třeba bude vyžadována nějaká interakce od uživatele, když tam třeba píchnu AP klienta, tak abych nemusel vždy po změně VLAN do konfigurace a připojit se k síti. Prostě aby se to dělo vše automaticky a uživatel nemusel do ničeho šahat a nastavovat

[NN]

Ze strany klienta to automaticke bude vzdycky, ale system nepocita s tim ,ze ho manualne vykopnes..

[Pavel]

Takže jak se to bude tvářit?

[NN]

No jak, normalne pouze neni mechanismus, ktery by ti umoznoval tranparentne uzivaky presouvat bez toho, aniz by jsi je manulane nakonfiguroval do jine VLAN, natvrdo vykopnul a nechal znovu overit..nicmene na klientech kteri maji nastaveny automaticky pripojovani by to castecne zafungovat mohlo.

[Pavel]

Jak jsou potom tedy zabezpečený připojení různých poskytovalů?

Když se k jednomu připojím, vyskočí na mě hláška že počítač s touto MAC není v této síti registrován, ale můžu se přihlásit a po přidání MAC adresy PC do seznamu, se mi změní IP a můžu normálně na net. To znamená, že když si natvrdo nastavím jinou IP, můžu přímo na net?

Další poskytovatel nabízí hodinu na zkoušku po zaregistrování, zde mám vyzkoušeno, že po připojení se dostanu do sítě 192.168.1.0 a po registraci do 10.0.0.0, to znamená, že opět mohu nastavit přímo IP? Při registraci u toho ISP dokonce ukazoval čas do vypršení IP z DHCP a poté, že mi bude změněna adresa a budu vše funkční.

Ani u jednoho ISP jsem nijak nepocítil odpojení ze sítě, automatické připojování mám vypnuté.

[petr_p]

Nastuduj si DHCP lease time. Odpojování z AP je o jedna a půl vrstvy níže.

[Pavel]

Však to vim, ale to mi chceš říct, že to nemaj lépe zabezpečené?

[Ivan]

Kdysi jsem tohle delal. Na zkousku byl uzivatel pripojen do jedne VLANy. Po registraci bylo potreba shodit port, zmenit VLAN a zase port nahodit(asi po 3ech vterinach). To ze se VLANa zmenila, ale uzivatel nema sanci poznat.

Diky tomu, ze jde port dolu, Wokna nechtely prodlouzit pujceni stavajici IP adresy (DHCPREQUEST message), ale poslou broadcast do site (DHCPDISCOVER). A protoze na DHCP server prijde pozadavek z jiny site, tak uzivaleli prideli jiny IPcko nez mu dal predtim - i kdyz uz ho "zna" - tzn. ma o nem zaznam v dhcp.leases.

PS: Linux se tak nechoval - uzivatele na Linuxu meli smulu a museli si chvilku pockat.

[Pavel]

Díky, asi něco podobného jsem chtěl slyšet, jiná IP mi nevadí, stejně chci po registraci přidělovat statické.

Existuje nějaké řešení jak snadno upravit soubor dhcp.conf a přidávat či odebírat klienty? Něco jako připojit do něj jiný soubor ve kterém budou registrace? Nebo je opravdu nutné šáhnout do zdrojáku na určitý řádek, zjistit co je zapsáno a případně upravit?

[Ivan]

Ja jsem si napsal patch, ale kvuli necemu jinemu. Existuje jeden vice-meni oficialni a udrzovany patch na LDAP backend. Do LDAPu to ulozi celou konfiguraci. Neumi to dynamicky pridavat nebo menit parametry DHCPD, ani to neumi pridavat site. Ty se ctou jen jednou pri startu. Umi to ale dynamicky menit host zaznamy, na ty se pta DHCPD pokazde LDAPu. Dokonce je k tomu i tool, ktery zkonvertuje dhcpd.conf do LDIF formatu.

[Pavel]

Tak ještě jednou, než začnu nastavovat freeradius a teprve pak zjistím že to nejde. Na serveru mám 2 VLAN v trunk portu vedené do mikrotiku s licencí L3. Cíl je takový, uřivatel se připojí, mikrotik se podívá na radius jestli je tam MAC adresa, v případě že ano, umístí uživatele do VLAN200 a dhcp server se postará o přiřazení IP. Bude-li se jednat o nového uživatele, nebude mít záznam MAC a bude zařazen do VLAN100. Provede-li následně registraci, dojde k vykopnutí a při dalším připojení se přeřadí do VLAN200, protože radius už bude mít záznam. Celé to musí být jednoduché na obsluhu, takže uživatel se připojí, klidně i z telefonu a o víc se nestará, žádné nastavování nikde. Předpokládam tedy že na mikrotiku mi stačí jedna síť SSID se dvěma VLAN, celé bych to rozběhal nejspíše na freeradiusu. Otázka zní půjde to takto jak jsem navrhl?

[NN]

Dve veci, byla tu puvodne rec o OpenWRT a MK level 3 neumoznuje AP mod..

[Pavel]

Ano vím, ale přeci mikrotik bude lepší než openwrt, či ne? klidně to mohu nechat na něm. Jinak AP mod mi umožňuje, ale musel jsem ho nastavit do bridge modu, což jsem ale i tak chtěl. Momentálně mám bridge nastaven mezi WLAN a VLAN100 natvrdo a funguje normálně

[NN]

Jenze overovani podle MAC neni to same jako dymicke pridelovani do VLAN a to pokud se nepletu Mikrotik neumi..

[Pavel]

Aha, a v případě, že bych použil openwrt tak by to takto fungovalo?

[NN]

Podle tohoto navoduto pomoci hostapd jde.