Traadita võrgu turvamine FreeRADIUS’ega - Revision history

Irokk: Common name unikaalsus sisse

2014-05-10T07:39:00Z

Common name unikaalsus sisse

← Older revision		Revision as of 10:39, 10 May 2014
Line 151:		Line 151:


	''Common name'' valige ise (selle sertifikaadi ''common name'' on teie hilisem FreeRADIUSE kasutajanimi, mis tuleb sisestada FreeRADIUSe ''users'' faili, nii et pange see kindlasti kirja labori abilehele. Märkige sinna ka sertifikaadi, sertifikaadi võtme ja p12 failide nimed juhul kui te ei kasutanud vaikeväärtuseid. '''Export password pange labori abilehele kirja, kuna teil läheb seda tulevikus vaja''' . ''Challenge password'' jätke täitmata. Kindlasti peab antud sertifikaadile alla kirjutama.		''Common name'' valige ise (selle sertifikaadi ''common name'' on teie hilisem FreeRADIUSE kasutajanimi, mis tuleb sisestada FreeRADIUSe ''users'' faili, nii et pange see kindlasti kirja labori abilehele. Märkige sinna ka sertifikaadi, sertifikaadi võtme ja p12 failide nimed juhul kui te ei kasutanud vaikeväärtuseid. '''NB!''' Igal sertifikaadil peab olema unikaalne ''Common name''. '''Export password pange labori abilehele kirja, kuna teil läheb seda tulevikus vaja''' . ''Challenge password'' jätke täitmata. Kindlasti peab antud sertifikaadile alla kirjutama.

	Käsu tulemusel saame kolm uut faili. '''Vaikeväärtuste''' kasutamise korral on loodud failide nimedeks <span style="color:#FF0000"> client_key.pem</span> ja<span style="color:#FF0000"> client_cert.pem</span> ja <span style="color:#FF0000"> client_cert.p12</span> .		Käsu tulemusel saame kolm uut faili. '''Vaikeväärtuste''' kasutamise korral on loodud failide nimedeks <span style="color:#FF0000"> client_key.pem</span> ja<span style="color:#FF0000"> client_cert.pem</span> ja <span style="color:#FF0000"> client_cert.p12</span> .

	[[File:Sert8.png]]		[[File:Sert8.png]]



	===Diffie-Hellman väärtuse genereerimine===		===Diffie-Hellman väärtuse genereerimine===

Irokk: /* Serveri käivitamine */

2013-05-28T11:45:57Z

Serveri käivitamine

← Older revision		Revision as of 14:45, 28 May 2013
Line 264:		Line 264:

	==Serveri käivitamine==		==Serveri käivitamine==

			FreeRADIUSe server vajab oma tööks avatud UDP porte 1812 ja 1813. Juhul kui need ei ole eelnevalt avatud, siis tuleb need tulemüüris avada. Iptables kasutamise korral on käskudeks:

			$ iptables -I INPUT -p udp --dport 1812 -j ACCEPT
			$ iptables -I INPUT -p udp --dport 1813 -j ACCEPT

			'''NB!''' Kui serverile tehakse taaskäivitus, siis need reeglid unustatakse.

	Peale seda jääb meil veel üle FreeRADIUS server käivitada, seda saame me teha käsuga ''freeradius'', soovitatav oleks käivitada server debug reziimis (siis kuvatakse freeradiuse logi otse ekraanile), seda saab teha käsurealt järgneva käsuga :		Peale seda jääb meil veel üle FreeRADIUS server käivitada, seda saame me teha käsuga ''freeradius'', soovitatav oleks käivitada server debug reziimis (siis kuvatakse freeradiuse logi otse ekraanile), seda saab teha käsurealt järgneva käsuga :

	$ radiusd -X		$ radiusd -X


	=Ruuteri/pääsupunkti konfigureerimine=		=Ruuteri/pääsupunkti konfigureerimine=

Irokk: /* Ruuteri/pääsupunkti konfigureerimine */

2013-05-09T07:54:22Z

Ruuteri/pääsupunkti konfigureerimine

← Older revision		Revision as of 10:54, 9 May 2013
Line 274:		Line 274:
	Näiteks Tomato Version 1.27 puhul		Näiteks Tomato Version 1.27 puhul

	Basic ->Network-> lehekülje lõpp. Sealt valida Security ''none'' asemel ''WPA2 Enterprise'' ning sisestada ''Shared Key'' (shared key on [[#clients.conf\|clients.conf]] failis, antud näite puhul oleks selleks : “password“ ). Serveri aadressiks panna selle masina IP, kus FreeRADIUS server asetseb ja pordiks jätta 1812 (default port) Peale seda vajutada nupul ''Save''. Soovitatav on ka muuta SSID, et see poleks juba eksisteerivaga identne.		Basic ->Network-> lehekülje lõpp. Sealt valida Security ''none'' asemel ''WPA2 Enterprise'' ning sisestada ''Shared Key'' (shared key on kirjas [[#clients.conf\|clients.conf]] failis, antud näite puhul oleks selleks : “password“ ). Serveri aadressiks panna selle masina IP, kus FreeRADIUS server asetseb ja pordiks jätta 1812 (default port) Peale seda vajutada nupul ''Save''. Soovitatav on ka muuta SSID, et see poleks juba eksisteerivaga identne.

	[[File:ruuter.png]]		[[File:ruuter.png]]

Irokk: /* Serveriga ühenduse tekitamine */

2013-05-09T07:52:48Z

Serveriga ühenduse tekitamine

← Older revision		Revision as of 10:52, 9 May 2013
Line 451:		Line 451:
	Edasi vajutage ekraani paremas nurgas oleval võrguühenduse ikoonil ja valige sealt ühendus, mille te just seadistasite ning vajutage nupul ''Connect''		Edasi vajutage ekraani paremas nurgas oleval võrguühenduse ikoonil ja valige sealt ühendus, mille te just seadistasite ning vajutage nupul ''Connect''

	[[File:~~win8~~.png]]		[[File:raadius_Win8.png]]

Irokk at 09:37, 8 December 2011

2011-12-08T09:37:03Z

← Older revision		Revision as of 12:37, 8 December 2011
Line 6:		Line 6:
	=Sissejuhatus=		=Sissejuhatus=

	Labori eesmärgiks on läbi viia praktiline FreeRadiuse konfigureerimine ning vajalike sertifikaatide seadistamine. Kasutatakse EAP-TLS ~~autentikeerimismehhanismi~~. Labori võib jagada neljaks osaks :		Labori eesmärgiks on läbi viia praktiline FreeRadiuse konfigureerimine ning vajalike sertifikaatide seadistamine. Kasutatakse EAP-TLS autentimise mehhanismi. Labori võib jagada neljaks osaks :

	*Kuidas paigaldada vajalikud tarkvarapaketid RADIUS serverile.		*Kuidas paigaldada vajalikud tarkvarapaketid RADIUS serverile.

Irokk at 12:17, 7 December 2011

2011-12-07T12:17:49Z

Irokk at 12:03, 7 December 2011

2011-12-07T12:03:55Z

← Older revision		Revision as of 15:03, 7 December 2011
Line 68:		Line 68:
	=Sertifikaatide loomine=		=Sertifikaatide loomine=
	<span style="color:#FF0000">		<span style="color:#FF0000">
	Käesolevas juhendis luuakse sertifikaadid lihtsustamise mõttes ~~scripti~~ abil. Loodud sertifikaadid sobivad lahenduse testimiseks, aga kindlasti mitte igapäevasesse kasutusse. Juhul, kui on kavas sertifikaate kasutada ka mujal, tehke seda omal vastutusel või looge sertifikaadid käsitsi, kasutades näiteks järgnevat juhendit http://gagravarr.org/writing/openssl-certs/ca.shtml</span>		Käesolevas juhendis luuakse sertifikaadid lihtsustamise mõttes skripti abil. Loodud sertifikaadid sobivad lahenduse testimiseks, aga kindlasti mitte igapäevasesse kasutusse. Juhul, kui on kavas sertifikaate kasutada ka mujal, tehke seda omal vastutusel või looge sertifikaadid käsitsi, kasutades näiteks järgnevat juhendit http://gagravarr.org/writing/openssl-certs/ca.shtml</span>

	<span style="color:#FF0000">		<span style="color:#FF0000">
Line 76:		Line 76:
	'''TÄHTIS! '''		'''TÄHTIS! '''

	'''Kui te loote sertifikaate siis kirjutaga kindlasti paberile või mõnele muule meediumile enda valitud sertifikaadide ''common name'' ja salasõnad! Juursertifikaadi salasõna on ~~scriptis~~ teie eest juba ära täidetud ja selle nimeks on ''whatever''.''' Laboritöö hõlbustamiseks on rangelt soovitatav välja printida järgnev abileht ning seda labori käigus täita. Seal on ära toodud ka konfiguratsioonifailide asukohad.		'''Kui te loote sertifikaate siis kirjutaga kindlasti paberile või mõnele muule meediumile enda valitud sertifikaadide ''common name'' ja salasõnad! Juursertifikaadi salasõna on skriptis teie eest juba ära täidetud ja selle nimeks on ''whatever''.''' Laboritöö hõlbustamiseks on rangelt soovitatav välja printida järgnev abileht ning seda labori käigus täita. Seal on ära toodud ka konfiguratsioonifailide asukohad.

	'''[[Media:Radiuslab.pdf]]'''		'''[[Media:Radiuslab.pdf]]'''
Line 92:		Line 92:
	$ cd /home/serdid		$ cd /home/serdid

	Sertifikaadid teeme ülesande lihtsustamiseks modifitseeritud ~~scriptiga~~. ~~Scriptis~~ on enamikule küsimistele kohandatud vaikimisi vastused kandilistes ~~sugudes~~. Näiteks vajutades küsimuse '''State or Province Name (full name) [Harju]:''' korral klahvi '''Enter''' sisestatakse antud küsimusele vaikeväärtus ''Harju''. ~~Scripti~~ saab [http://enos.itcollege.ee/~avein/sert/cert.sh SIIT].		Sertifikaadid teeme ülesande lihtsustamiseks modifitseeritud skriptiga. Skriptis on enamikule küsimistele kohandatud vaikimisi vastused kandilistes sulgudes. Näiteks vajutades küsimuse '''State or Province Name (full name) [Harju]:''' korral klahvi '''Enter''' sisestatakse antud küsimusele vaikeväärtus ''Harju''. Skripti saab [http://enos.itcollege.ee/~avein/sert/cert.sh SIIT].

	~~Käsurea abil~~ saab faile alla laadida näiteks utiliidi wgeti abil		Käsureal saab faile alla laadida näiteks utiliidi wgeti abil

	<nowiki>$ wget http://enos.itcollege.ee/~avein/sert/cert.sh</nowiki>		<nowiki>$ wget http://enos.itcollege.ee/~avein/sert/cert.sh</nowiki>
Line 102:		Line 102:
	$ chmod a+x cert.sh		$ chmod a+x cert.sh

	~~Scripti~~ abil tekitame järgnevad failid :		Skripti abil tekitame järgnevad failid :
	*''cacert.pem'', on juursertifikaat		*''cacert.pem'', on juursertifikaat
	*''cakey.pem'', juursertifikaadi privaatvõti, ~~pass phrase~~ on ''whatever''		*''cakey.pem'', juursertifikaadi privaatvõti, (inglise keeles ''passphrase'') on ''whatever''
	*''cacert.der'', juursertifikaat binaaris Windowsi jaoks		*''cacert.der'', juursertifikaat binaaris Windowsi jaoks
	*''client_cert.pem'', kliendi sertifikaat		*''client_cert.pem'', kliendi sertifikaat
	*''client_key.pem'', kliendi privataatvõti, salasõna (~~pass phrase~~) Teie valikul		*''client_key.pem'', kliendi privataatvõti, salasõna (passphrase) Teie valikul
	*''server_cert.pem'', serveri sertifikaat		*''server_cert.pem'', serveri sertifikaat
	*''server_key.pem'', serveri privaatvõti		*''server_key.pem'', serveri privaatvõti
	*''client_cert.p12'' on PKCS#12 versioon kliendi sertifikaadist		*''client_cert.p12'' on PKCS#12 versioon kliendi sertifikaadist
	===Juursertifikaadi loomine (CA)===		===Juursertifikaadi loomine (CA)===
	Algatuseks teeme selfsigned juursertifikaadi. Selleks käivitame eelnevalt alla laetud ~~scripti~~ järgmise parameetriga :		Algatuseks teeme selfsigned juursertifikaadi. Selleks käivitame eelnevalt alla laetud skripti järgmise parameetriga :

	$ ./cert.sh ca		$ ./cert.sh ca
Line 472:		Line 472:
	=Lisa 1 : Sertifikaatide tühistamine=		=Lisa 1 : Sertifikaatide tühistamine=

	Vahel on tarvis ligipääsuõigus tagasi võtta (näiteks, kui kolmas osapool saab kasutaja sertifikaadi endale). Selleks peame sertifikaadi tühistama. Antud peatükis kirjeldame seda protseduuri FreeRADIUS serveri näitel. Järjekordselt kasutame ülesande lihtsustamiseks scipti (sama ~~script~~ millega tekitasime ka sertifikaadid). Kui lahendust on kavas kuskil kasutada, tasuks sertifikaadi tühistamiseks kasutada järgnevat lingil asetsevat juhendit, mitte ~~scripti~~: http://gagravarr.org/writing/openssl-certs/ca.shtml#ca-revoke )		Vahel on tarvis ligipääsuõigus tagasi võtta (näiteks, kui kolmas osapool saab kasutaja sertifikaadi endale). Selleks peame sertifikaadi tühistama. Antud peatükis kirjeldame seda protseduuri FreeRADIUS serveri näitel. Järjekordselt kasutame ülesande lihtsustamiseks scipti (sama skript millega tekitasime ka sertifikaadid). Kui lahendust on kavas kuskil kasutada, tasuks sertifikaadi tühistamiseks kasutada järgnevat lingil asetsevat juhendit, mitte skripti: http://gagravarr.org/writing/openssl-certs/ca.shtml#ca-revoke )


Line 485:		Line 485:
	$ ./cert.sh revok client_cert.pem		$ ./cert.sh revok client_cert.pem

	''~~Pass phrase~~'' on juursertifikaadi võtme salasõna (antud juhul on selleks ''whatever'').		''Passphrase'' on juursertifikaadi võtme salasõna (antud juhul on selleks ''whatever'').

	[[File:revok.png]]		[[File:revok.png]]
Line 491:		Line 491:
	==Tühistatud sertifikaatide nimekirja tekitamine==		==Tühistatud sertifikaatide nimekirja tekitamine==

	Edasi tekitame tühistatud sertifikaatide nimekirja. Antud käsu väljundiks on fail nimega ''crl.pem'' mis kujutab endast tühistatud sertifikaatide seerianumbrite nimekirja.''~~Pass phrase~~'' on juursertifikaadi võtme salasõna (antud juhul on selleks ''whatever''):		Edasi tekitame tühistatud sertifikaatide nimekirja. Antud käsu väljundiks on fail nimega ''crl.pem'' mis kujutab endast tühistatud sertifikaatide seerianumbrite nimekirja.''Passphrase'' on juursertifikaadi võtme salasõna (antud juhul on selleks ''whatever''):

	$ ./cert.sh crl		$ ./cert.sh crl

Irokk at 18:15, 2 October 2011

2011-10-02T18:15:46Z

← Older revision		Revision as of 21:15, 2 October 2011
Line 156:		Line 156:

	[[File:Sert8.png]]		[[File:Sert8.png]]



	===Diffie-Hellman väärtuse genereerimine===		===Diffie-Hellman väärtuse genereerimine===
Line 168:		Line 170:

	[[File:Dh.png]]		[[File:Dh.png]]


	===Juhuväärtuse tekitamine===		===Juhuväärtuse tekitamine===
Line 198:		Line 201:
	==clients.conf==		==clients.conf==

	Avage tekstiredaktoriga fail clients.conf ja lisage sinna enda ~~pääseupunkti~~ (AP) ~~aaddress~~. Oletame, et meie AP aadress on 192.168.1.14 (Kui pääsepunktil on mitu IP aadressi, siis kasutage seda aadressi, mis on FreeRADIUS serveriga samas võrgus). Selleks, et lisada antud ~~aaddress~~ lubatud klientide nimekirja, tuleb faili ''clients.conf'' lisada järgnev kirje :		Avage tekstiredaktoriga fail clients.conf ja lisage sinna enda pääsupunkti (AP) aadress. Oletame, et meie AP aadress on 192.168.1.14 (Kui pääsepunktil on mitu IP aadressi, siis kasutage seda aadressi, mis on FreeRADIUS serveriga samas võrgus). Selleks, et lisada antud aadress lubatud klientide nimekirja, tuleb faili ''clients.conf'' lisada järgnev kirje :

	<nowiki>		<nowiki>
Line 265:		Line 268:

	$ radiusd -X		$ radiusd -X


	=Ruuteri/pääsupunkti konfigureerimine=		=Ruuteri/pääsupunkti konfigureerimine=
Line 343:		Line 347:

	[[File:Linukscert1.png]]		[[File:Linukscert1.png]]


	=Windows 7 klientmasina konfigureerimine=		=Windows 7 klientmasina konfigureerimine=

Irokk: /* Kliendi sertifikaadi loomine */

2011-10-02T18:06:12Z

Kliendi sertifikaadi loomine

← Older revision		Revision as of 21:06, 2 October 2011
Line 140:		Line 140:
	Näide 1: Kui jätta kliendi sertifikaadi ja ta võtme failinimed sisestamata, saame väljundiks failid nimedega ''client_cert.pem, client_key.pem ja client_cert.p12'' ( PKSC12 failis on avalik võti, privaatvõti ja juursertifikaat koos).		Näide 1: Kui jätta kliendi sertifikaadi ja ta võtme failinimed sisestamata, saame väljundiks failid nimedega ''client_cert.pem, client_key.pem ja client_cert.p12'' ( PKSC12 failis on avalik võti, privaatvõti ja juursertifikaat koos).
	$ ./cert.sh client cakey.pem cacert.pem		$ ./cert.sh client cakey.pem cacert.pem




Line 151:		Line 149:

	$ ./cert.sh client cakey.pem cacert.pem klientkey1.pem klientcert1.pem		$ ./cert.sh client cakey.pem cacert.pem klientkey1.pem klientcert1.pem

Irokk at 17:51, 2 October 2011

2011-10-02T17:51:21Z

← Older revision		Revision as of 20:51, 2 October 2011
Line 1:		Line 1:
	__NOTOC__		__NOTOC__
	[[File:Best_logos_small.jpg‎\|right\|text-top]]		[[File:Best_logos_small.jpg‎\|right\|text-top]]
	Autorid: Allan Vein ja Indrek Rokk		'''Autorid: Allan Vein ja Indrek Rokk'''
	<br style="clear: both" />		<br style="clear: both" />

← Older revision		Revision as of 15:17, 7 December 2011
Line 56:		Line 56:

	=FreeRADIUS serveri installatsioon=		=FreeRADIUS serveri installatsioon=
	Paigaldamiseks ''yum''i kasutavate linuksi ~~distribustioonide~~ korral kirjutage pakettide nimekirja uuendamiseks käsureale:		Paigaldamiseks ''yum''i kasutavate linuksi distributsioonide korral kirjutage pakettide nimekirja uuendamiseks käsureale:

	$ yum upgrade		$ yum upgrade
Line 94:		Line 94:
	Sertifikaadid teeme ülesande lihtsustamiseks modifitseeritud skriptiga. Skriptis on enamikule küsimistele kohandatud vaikimisi vastused kandilistes sulgudes. Näiteks vajutades küsimuse '''State or Province Name (full name) [Harju]:''' korral klahvi '''Enter''' sisestatakse antud küsimusele vaikeväärtus ''Harju''. Skripti saab [http://enos.itcollege.ee/~avein/sert/cert.sh SIIT].		Sertifikaadid teeme ülesande lihtsustamiseks modifitseeritud skriptiga. Skriptis on enamikule küsimistele kohandatud vaikimisi vastused kandilistes sulgudes. Näiteks vajutades küsimuse '''State or Province Name (full name) [Harju]:''' korral klahvi '''Enter''' sisestatakse antud küsimusele vaikeväärtus ''Harju''. Skripti saab [http://enos.itcollege.ee/~avein/sert/cert.sh SIIT].

	Käsureal saab faile alla laadida näiteks ~~utiliidi~~ wgeti abil		Käsureal saab faile alla laadida näiteks programmi wgeti abil

	<nowiki>$ wget http://enos.itcollege.ee/~avein/sert/cert.sh</nowiki>		<nowiki>$ wget http://enos.itcollege.ee/~avein/sert/cert.sh</nowiki>
Line 107:		Line 107:
	*''cacert.der'', juursertifikaat binaaris Windowsi jaoks		*''cacert.der'', juursertifikaat binaaris Windowsi jaoks
	*''client_cert.pem'', kliendi sertifikaat		*''client_cert.pem'', kliendi sertifikaat
	*''client_key.pem'', kliendi ~~privataatvõti~~, salasõna (passphrase) Teie valikul		*''client_key.pem'', kliendi privaatvõti, salasõna (passphrase) Teie valikul
	*''server_cert.pem'', serveri sertifikaat		*''server_cert.pem'', serveri sertifikaat
	*''server_key.pem'', serveri privaatvõti		*''server_key.pem'', serveri privaatvõti
	*''client_cert.p12'' on PKCS#12 versioon kliendi sertifikaadist		*''client_cert.p12'' on PKCS#12 versioon kliendi sertifikaadist
	===Juursertifikaadi loomine (CA)===		===Juursertifikaadi loomine (CA)===
	Algatuseks teeme ~~selfsigned~~ juursertifikaadi. Selleks käivitame eelnevalt alla laetud skripti järgmise parameetriga :		Algatuseks teeme iseallkirjastatud (inglise keeles ''self-signed'') juursertifikaadi. Selleks käivitame eelnevalt alla laetud skripti järgmise parameetriga :

	$ ./cert.sh ca		$ ./cert.sh ca
Line 196:		Line 196:
	*''eap.conf'' – siin on FreeRADIUSe EAP autoriseerimise konfiguratsioon		*''eap.conf'' – siin on FreeRADIUSe EAP autoriseerimise konfiguratsioon

	*''users'' -siin on kasutajanimede ~~mimekiri~~ ja neile rakendatavad autoriseerimismeetodid		*''users'' -siin on kasutajanimede nimekiri ja neile rakendatavad autoriseerimismeetodid


Line 282:		Line 282:


	Kopeerige ~~mälupuga~~ või mõne muu meediumi abil eelmainitud failid windowsi klientmasinasse.		Kopeerige mälupulga või mõne muu meediumi abil eelmainitud failid windowsi klientmasinasse.

	===Juursertifikaadi lisamine===		===Juursertifikaadi lisamine===
Line 524:		Line 524:
	$ c_rehash /home/serdid/		$ c_rehash /home/serdid/

	Käsu tulem peaks olema sarnane järgnevale ~~ekraanitõnmmisele~~:		Käsu tulem peaks olema sarnane järgnevale ekraanitõmmisele:

	[[File:rehash.png]]		[[File:rehash.png]]
Line 532:		Line 532:
	1.FreeRADIUS server loeb juursertifikaadi ja sertifikaatide tühistusnimekirja ainult käivitamisel, seega tuleb peale sertifikaatide tühistamisnimekirja muutmist FreeRADIUS alati taaskävitada!		1.FreeRADIUS server loeb juursertifikaadi ja sertifikaatide tühistusnimekirja ainult käivitamisel, seega tuleb peale sertifikaatide tühistamisnimekirja muutmist FreeRADIUS alati taaskävitada!

	2. Peale uute sertifikaatide tühistamisnimekirja tegemist peab ~~juursetrifikaadi~~/sertifikaatide tühistamisnimekirja kataloogile käivitama käskluse ''c_rehash''		2. Peale uute sertifikaatide tühistamisnimekirja tegemist peab juursertifikaadi/sertifikaatide tühistamisnimekirja kataloogile käivitama käskluse ''c_rehash''

	==Tühistatud sertifikaatide nimekirja testimine==		==Tühistatud sertifikaatide nimekirja testimine==