eduroam konfiguráció workshopMohácsi János
NIIF Intézet

Nemzeti Információs Infrastruktúra
Fejlesztési Intézet

Miért szeretjük a wireless hozzáférést?

GÉANT +BIX

Intézmény A

WLAN

WLAN
ISP
HBONE gerinc

Intézmény
B
WLAN

GPRS
ISP

dial-up
ISP

ADSL
ISP

Előadás címeNemzeti Információs Infrastruktúra
IEEE 802.1x
Fejlesztési Intézet• EAPOL – EAP over LANs (néha EAPOW) EAP csomagok átvitele 802.3 LAN-ok adatkapcsolati rétegefelett• szereplők: supplicant – hozzá akar férni a hálózathoz
 authenticator – ellenőrizni akarja a supplicant jogosultságát
 authentication server – az authenticator számára ellenőrzi asupplicant jogosultságát

supplicant

authenticato
rauth.
serverRADIUS

MAC

EAPOL

EAPUDPElőadás címe

RADIUSEAPNemzeti
Információs Infrastruktúra
IEEE 802.1x(folyt.)
Fejlesztési Intézet• amíg a supplicant azonossága nincs igazolva,
addig az authenticator csak EAP forgalmat enged
át a supplicant portján WLAN esetén ez az Association ID-hez rendelt
virtuális port
EAP

supplicant

adat

authenticato
rauth.
serverRADIUS

MAC

EAPOL

EAPUDPElőadás címe

RADIUSEAPNemzeti Információs Infrastruktúra
Fejlesztési Intézet

EAP típusok
Tulajdonság

EAP MD5LEAPEAP TLSPEAP

EAP TTLS

Biztonsági
megoldás

Szabványos

Vendorspecifikus

Szabványos

Szabván
yos

Szabványos

Tanúsítvány –Kliens

Nem?

Igen

Nem

Nem

Tanúsítvány –Szerver

Nem?

Igen

Igen

Igen

Azonosítás
biztonsága

Semmilyen

GyengeErősErősErős

Támogatottautentikációs
adatbázis

Nyílt szövegűadatbázis

ActiveDirectory,
NT Domains

ActiveDirectory,
LDAP stb.

ActiveDirectory, NTDomain,
Token
Systems,SQL,
LDAPstb.

ActiveDirectory,LDAP, SQL,
Egyszerű jelszó
fájl, Token
Systems stb.

Dinamikus Kulcs
Csere

Nem

Igen

Igen

Igen

Igen

Kölcsönös
azonosítás

Nem

Igen

Igen

Igen

Igen

Előadás címeNemzeti Információs Infrastruktúra
Fejlesztési Intézet

Roaming?

Előadás címeNemzeti Információs Infrastruktúra
Hogyan csatlakozzunkaz
Eduroam-hoz?
Fejlesztési Intézet• Előfeltételek: Működtessünk egy karbantartottfelhasználói adatbázist Működtessünk helpdesk-et ahol afelhasználói és biztonsági problémákat
tudjuk kezelni
 Legyen felhasználói szabályzatunk és/vagyAUP-nk• Állítsunk fel helyi vezeték nélküli
hálózati szolgáltatást amely a fenti
felhasználói adatbázist használja
felhasználói azonosításra (802.1x)Előadás címeNemzeti Információs
Hogyan csatlakozzunk
azInfrastruktúra
Eduroam-hoz? /2Fejlesztési Intézet• Állítsuk be a helyi 802.1X infrastruktúrát, hogy
 A my-domain.hu realmről érkező kéréseket helyiként
dolgozza fel
 Továbbítsa a nem helyi kéréseket (proxy) a nemzetiszerverre• Egyeztessünk az NIIF-el: Nemzeti radius szerverek FQDN neveiről és IP címeiről
 RADIUS szerverek közötti shared secretről – biztonságos
csatornán Intézményi vezetéknélküli/eduroam website URL-je
 test-accountról – biztonságos csatornán Adminisztrátor elérhetősége• Írjuk/írassuk alá a föderációs szerződéstElőadás címeNemzeti InformációsHogyan válaszunk
AccessInfrastruktúra
Pointot?
Fejlesztési Intézet• Alapvető
 802.1x támogatás
 WPA- Enterprise, WPA2-Enterprise – 802.11i,
 Logolás, konfigurálhatóság, SNMPv2c• Ha komolyan gondoljuk 802.11 - rádió
Több SSIDs támogatás a Beacon-ben
 802.11 MIB
 802.1X - 802.1X MIB SNMPv3
 RADIUS Authentication and accounting• Jó ha van Dynamic VLAN support
 Wireless Controllel – ha nehany tucatnál több AP-t kellmenedzselniElőadás címeNemzeti Információs Infrastruktúra
802.1x ~ RADIUS
Fejlesztési Intézet• RADIUS autentikáció szükséges EAP-hoz• Szervernek támogatni kell a választott típust (EAPTLS, EAP-TTLS, PEAP)• Több szerver lehetséges, hogy redundáns legyen• Szerverek:

 Cisco ACS – egészen a 4.2-es változatig gyatra EAPtámogatás FreeRADIUS – manuál gyenge, de a levelezési listán mindenreválaszolnak
 IAS 2003 – csak PEAP, viszont integrálva van a Microsoft
Active Directory-val
 Radiator – nagyon jó támogatás Infoblox
 Funk Steel-belted
 És még sok másElőadás címe

Információs Infrastruktúra
RADIUS Nemzeti
konfiguráció
Fejlesztési Intézet• Access point konfiguráció – IP cím +shared secret• EAP mód konfiguráció – és választás!
 EAP-TTLS – tetszőleges jelszó adatbázis
 PEAP – a felhasználói név/jelszó
adatbázisuknak vagy Microsoft AD-ben,vagy NTLM hash-ben, vagy nyílt
szövegben kell lennie
 Mind két esetben szükségünk van a
RADIUS szerveren szerver tanusítványra
(TLS!) – pl. NIIF TERENA SCSElőadás címeNemzeti
Információs Infrastruktúra
RADIUS
konfiguráció
Fejlesztési Intézet• NIIF Eduroam Proxy konfiguráció – 2IP, + shared secret• Realm-el ellátott (username@realm)azonosítók feldolgozásának
konfigurálása
 Saját realm
 Forward a NIIF Edurom proxy-nak• Teszt/monitoring accountkonfigurálása
Előadás címeNemzeti
Információs Infrastruktúra
Freeradius
konfiguráció
Fejlesztési Intézet• Ha több realm szükséges lehethet(unlang) – javasolt http://ipv6.niif.hu/m/
Wireless_Eduroam_FreeRadius Szerzők: Jákó András, KadlecsikJózsef,Mohácsi János• Ha csak 1 realm (Fallback to default) https://confluence.terena.org/display/
H2eduroam/How+to+deploy+eduroam+on-site+or+on+campusElőadás címeNemzeti Információs Infrastruktúra
Fejlesztési Intézet

802.1x supplicant ~ EAP Compatibility
98/
MEXP/2KOSX

LinuxPckt
PCTLSPEAPTTLS





CHAPv2beépített

OSX beépített



beépítettSecureW2













$$/
ingyenes

Odyssey (J)$$

AEGIS (C)









$$

wpa_supp









ingyenes

Xsupplicant











ingyenes

KliensWin beépített

Reference: LIN 802.1x factsheetElőadás címe

Licensz

Nemzeti Információs Infrastruktúra
Fejlesztési Intézet

Kérdések

eduroam@niif.huElőadás címe