Как я могу заставить FreeIPA и FreeRadius работать с аутентификацией PEAP? - PullRequest
Новая
       50

Как я могу заставить FreeIPA и FreeRadius работать с аутентификацией PEAP?

0 голосов
/ 18 апреля 2020

Я хочу, чтобы пользователи нашего офиса вводили свои учетные данные LDAP при подключении к WiFi в нашем офисе. Поэтому я установил FreeRadius в соответствии с инструкциями: Используя FreeIPA и FreeRadius .

Используя radtest, я могу успешно пройти аутентификацию на нашем сервере FreeIPA с использованием PAP. Двигаясь дальше, я настроил соединение WiFi на своем ноутбуке Windows 10, чтобы использовать EAP-TTLS в качестве метода аутентификации и выбрать PAP в качестве метода не-EAP. Я снова могу успешно пройти аутентификацию на нашем сервере FreeIPA при подключении к точке доступа WiFi. Но я понимаю, что это небезопасно, поскольку пароли отправляются в виде открытого текста.

Итак, я настроил соединение WiFi на моем ноутбуке Windows 10 для использования PEAP в качестве метода аутентификации с методом EAP EAP-MSCHAP v2. Но теперь аутентификация не проходит. Выдержка из журнала отладки FreeRadius показывает: 

(8) mschap: WARNING: No Cleartext-Password configured.  Cannot create NT-Password 
(8) mschap: WARNING: No Cleartext-Password configured.  Cannot create LM-Password 
(8) mschap: Creating challenge hash with username: test55 
(8) mschap: Client is using MS-CHAPv2 
(8) mschap: ERROR: FAILED: No NT/LM-Password.  Cannot perform authentication 
(8) mschap: ERROR: MS-CHAP2-Response is incorrect

Я изо всех сил пытаюсь найти решение. Я нашел в Интернете различные конфигурации файлов eap, mschap & ldap, но до сих пор не решил свою проблему.

Я не уверен, что задаю правильный вопрос, но пароль ha sh отправлено Windows клиентом, несовместимым с паролем, который sh используется FreeIPA?

1 Ответ

0 голосов
/ 21 апреля 2020

Оказывается, mschapv2 - это протокол ответа на вызов, который не работает с привязкой LDAP в базовой конфигурации c FreeRadius.

Однако я нашел решение, в котором FreeRadius ищет пользователя по его DN LDAP, а затем читает (не связывает) NTHa sh пользователя. Оттуда FreeRADIUS может обрабатывать ответ на вызов.

Первые разрешения должны быть предоставлены учетным записям служб: https://fy.blackhats.net.au/blog/html/2015/07/06/FreeIPA: _ Giving_permissions_to_service_accounts .. html

После выполнения этих действий пользователям потребуется изменить свой пароль, чтобы создать ipaNTHa sh.

. Затем настройте FreeRadius для использования mschapv2 с FreeIPA: https://fy.blackhats.net.au/blog/html/2016/01/13/FreeRADIUS: _ Using_mschapv2_with_freeipa. html

После выполнения всех шагов, описанных в обеих ссылках, эта команда radtest cli должна вернуть ответ Access-Accept. 

radtest -t mschap <ldap-user-uid> <ldap-user-password> 127.0.0.1:1812 0 <FreeRadius-secret>
...