11
WLAN mit RADIUS global absichern
Moinmoin ...
... ich spiele mit dem Gedanken unsere WLANs zentral via RADIUS zu verwalten ...
Wir haben einen Root-Server Win2k3 R2 mit ADS ...
Dieser bedient unseren Groupware-Server und einen Terminal-Server als Anmelde-Server.
Auf diesem haben wir bereits RADIUS eingerichtet.
Nun war unsere Idee, wenn ich unseren lokalen AP (DD-WRT) mit RADIUS konfiguriere, dass man sich am WLAN mit den AD-Credentials des Root-Servers anmelden muss ...
Lt. Ereignisanzeige kommen die Anfragen auch dort an, werden aber verworfen, da User und oder Passwort fehlerhaft sind ...
Sieht also nach Authentifizierungsproblem aus ...
Hier as Ereignis, dass protokolliert wird:
Benutzer "ruth" wurde Zugriff verweigert.
Vollqualifizierter Benutzername = vhs.lan/intranet/Server, Ruth
NAS-IP-Adresse = 192.168.1.30
NAS-Kennung = aa1d7eed0da9
Kennung der Anrufstation = aa1d7eed0da9
Kennung der Empfängerstation = aa26c7e983a6
Clientanzeigename = Verwaltung
Client-IP-Adresse = 213.81.212.251
NAS-Porttyp = Wireless - IEEE 802.11
NAS-Port = 12
Proxyrichtlinienname = Windows-Authentifizierung für alle Benutzer verwenden
Authentifizierungsanbieter = Windows
Authentifizierungsserver = <unbestimmt>
Richtlinien-Name = Wireless Access
Authentifizierungstyp = PEAP
EAP-Typ = <unbestimmt>
Code = 16
Ursache = Die Authentifizierung war nicht erfolgreich, da ein unbekannter Benutzername oder ein ungültiges Kennwort verwendet wurde.
Hat schon jemand ähnliches versucht oder gar erfolgreich im Einsatz?
Feedback wäre klasse ...
Der Rico
... ich spiele mit dem Gedanken unsere WLANs zentral via RADIUS zu verwalten ...
Wir haben einen Root-Server Win2k3 R2 mit ADS ...
Dieser bedient unseren Groupware-Server und einen Terminal-Server als Anmelde-Server.
Auf diesem haben wir bereits RADIUS eingerichtet.
Nun war unsere Idee, wenn ich unseren lokalen AP (DD-WRT) mit RADIUS konfiguriere, dass man sich am WLAN mit den AD-Credentials des Root-Servers anmelden muss ...
Lt. Ereignisanzeige kommen die Anfragen auch dort an, werden aber verworfen, da User und oder Passwort fehlerhaft sind ...
Sieht also nach Authentifizierungsproblem aus ...
Hier as Ereignis, dass protokolliert wird:
Benutzer "ruth" wurde Zugriff verweigert.
Vollqualifizierter Benutzername = vhs.lan/intranet/Server, Ruth
NAS-IP-Adresse = 192.168.1.30
NAS-Kennung = aa1d7eed0da9
Kennung der Anrufstation = aa1d7eed0da9
Kennung der Empfängerstation = aa26c7e983a6
Clientanzeigename = Verwaltung
Client-IP-Adresse = 213.81.212.251
NAS-Porttyp = Wireless - IEEE 802.11
NAS-Port = 12
Proxyrichtlinienname = Windows-Authentifizierung für alle Benutzer verwenden
Authentifizierungsanbieter = Windows
Authentifizierungsserver = <unbestimmt>
Richtlinien-Name = Wireless Access
Authentifizierungstyp = PEAP
EAP-Typ = <unbestimmt>
Code = 16
Ursache = Die Authentifizierung war nicht erfolgreich, da ein unbekannter Benutzername oder ein ungültiges Kennwort verwendet wurde.
Hat schon jemand ähnliches versucht oder gar erfolgreich im Einsatz?
Feedback wäre klasse ...
Der Rico
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 206570
Url: https://administrator.de/contentid/206570
Ausgedruckt am: 24.11.2024 um 05:11 Uhr
11 Kommentare
Neuester Kommentar
Hallo Rico,
das Forum hat auch eine Suchfunktion und einige Mitglieder hier haben auch Anleitungen geschrieben!!!
Sichere WLAN-Benutzer Authentifizierung über Radius
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch
Die beiden hier finde ich zumindest passen recht gut zu dem was Du vorhast!
Gruß
Dobby
das Forum hat auch eine Suchfunktion und einige Mitglieder hier haben auch Anleitungen geschrieben!!!
Sichere WLAN-Benutzer Authentifizierung über Radius
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch
Die beiden hier finde ich zumindest passen recht gut zu dem was Du vorhast!
Gruß
Dobby
1
Die Anleitungen habe ich auch gefunden ... befassen sich aber beide mit FreeRADIUS unter Linux, welches ich gar nicht einsetzen wollte ...
Ich versuche das gerade über den bordeigenen IAS von Windows 2003 ...
Und dazu habe ich nichts finden können ...
Ich versuche das gerade über den bordeigenen IAS von Windows 2003 ...
Und dazu habe ich nichts finden können ...
2
Dann hast du das Tutorial nicht wirklich gelesen, dess es beinhaltet auch einen Link (ct Artikel) der die vollständige Lösung mit einem SBS Server beschreibt.
Letztlich ist den NPS Dienst oder IAS wie er früher hies (Radius) menügeführt zur .1x Installation der man MS üblich nur folgen muss.
Letztlich ist den NPS Dienst oder IAS wie er früher hies (Radius) menügeführt zur .1x Installation der man MS üblich nur folgen muss.
1wenn ich unseren lokalen AP (DD-WRT) mit RADIUS konfiguriere,
Da habe ich mich wohl etwas verlesen!
Gruß
Dobby
...meint er vermutlich nur als Radius Client in sofern hast du doch richtig gelesen (vermutlich)
Auch den habe ich gelesen ...
Aber ich fand da nur Infos über FreeRADIUS ...
Den Part über einen SBS habe ich wohl übersehen ...
Allerdings bin ich etwas weiter ...
Es fehlt wohl der Import des RADIUS-Cert auf dem Client ;)
Aber ich fand da nur Infos über FreeRADIUS ...
Den Part über einen SBS habe ich wohl übersehen ...
Allerdings bin ich etwas weiter ...
Es fehlt wohl der Import des RADIUS-Cert auf dem Client ;)
Wer lesen kann und will....
http://www.heise.de/ct/inhalt/2010/12/180/
Wie man das Zertifikat im Client importiert steht im Tutorial. Wie immer nicht gelesen...
http://www.heise.de/ct/inhalt/2010/12/180/
Wie man das Zertifikat im Client importiert steht im Tutorial. Wie immer nicht gelesen...
@ aqui
Ich habe den Artikel über den WHS gelesen ...
Aber die Assistenten erzeugen beim 2003 R2 die Zertifikate nun einmal anders.
Jedefalls haben die Namen keine Ähnlichkeit und auch die Speicherorte nicht.
Deswegen habe ich da wohl anfangs nix gefunden.
Der WHS entspricht ja nun einmal auch eher einem 2008'er Server ...
Wie gesagt, mir war nicht klar, dass das Cert auf den Client muss, damit RADIUS funktioniert.
Nun wäre dies ja geklärt und ich teste nach Pfingsten weiter ...
c ya
Rico
Ich habe den Artikel über den WHS gelesen ...
Aber die Assistenten erzeugen beim 2003 R2 die Zertifikate nun einmal anders.
Jedefalls haben die Namen keine Ähnlichkeit und auch die Speicherorte nicht.
Deswegen habe ich da wohl anfangs nix gefunden.
Der WHS entspricht ja nun einmal auch eher einem 2008'er Server ...
Wie gesagt, mir war nicht klar, dass das Cert auf den Client muss, damit RADIUS funktioniert.
Nun wäre dies ja geklärt und ich teste nach Pfingsten weiter ...
c ya
Rico
Na ja das kann eigentlich jeder Dummie. Über den Zertifikatsassistenten exportierst du das zertifikat und importierst es in die Clients wie es im Tutorial beschrieben ist.
Bei MS mit all seinen Klicki Bunti GUIs ist das eine Sache von 3 Minuten...wenn man denn weiss was man tut ?!
Das Zertifikat MUSS auch nicht unbedingt auf den Client !!
Du kannst auch die Zertifikatsprüfung im 802.1x Client abschalten (Steht übrigens auch genau im Tutorial beschrieben in den Client Settings !!)
Dann prüft er eben nicht das Radius Zertifikat, hat dann aber den Nachteil das dir jeder x-beliebige einen Radius Server ins Netz hängen kann den die Clients dann immer akzeptieren solange er Radius spricht, da sie die ursprüngliche Identität des Servers nicht überprüfen.
Ob du das dann willst ist deine Entscheidung ?!
Dann wäre eine Radius Authentisierung allerdings Schwachsinn wie du dir sicher selber denken kannst, denn was hätte man dann gewonnen wenn die Radius Server Authentizität völlig egal ist ?!
Dann könnte man auch mit simplen Pre Shared Keys arbeiten und gut iss...
Bei MS mit all seinen Klicki Bunti GUIs ist das eine Sache von 3 Minuten...wenn man denn weiss was man tut ?!
Das Zertifikat MUSS auch nicht unbedingt auf den Client !!
Du kannst auch die Zertifikatsprüfung im 802.1x Client abschalten (Steht übrigens auch genau im Tutorial beschrieben in den Client Settings !!)
Dann prüft er eben nicht das Radius Zertifikat, hat dann aber den Nachteil das dir jeder x-beliebige einen Radius Server ins Netz hängen kann den die Clients dann immer akzeptieren solange er Radius spricht, da sie die ursprüngliche Identität des Servers nicht überprüfen.
Ob du das dann willst ist deine Entscheidung ?!
Dann wäre eine Radius Authentisierung allerdings Schwachsinn wie du dir sicher selber denken kannst, denn was hätte man dann gewonnen wenn die Radius Server Authentizität völlig egal ist ?!
Dann könnte man auch mit simplen Pre Shared Keys arbeiten und gut iss...
Es lag tatsächlich nur an dem fehlenden Zertifikat auf dem Client.
@ aqui ...
Ich habe nur mal just 4 fun die Zertifikatsprüfung wie beschrieben deaktiviert.
Aber selbst nach Neustart der Dienste und ReBoot des Servers ging es weiterhin nicht ohne das Zertifikat auf dem Client.
Aber wie Du schon gesagt hast ... ohne Cert macht der ganze RADIUS-Kram ja auch keinen Sinn ...
Danke an alle für die Hilfe
Der Rico
@ aqui ...
Ich habe nur mal just 4 fun die Zertifikatsprüfung wie beschrieben deaktiviert.
Aber selbst nach Neustart der Dienste und ReBoot des Servers ging es weiterhin nicht ohne das Zertifikat auf dem Client.
Aber wie Du schon gesagt hast ... ohne Cert macht der ganze RADIUS-Kram ja auch keinen Sinn ...
Danke an alle für die Hilfe
Der Rico
Mmmhhh, eigentlich komisch. Das wäre dann ein Bug im Client, denn wenn die Zertifikatsprüfung deaktiviert ist sollte es ohne gehen. Beim XP, Win7 und Apple OS-X Client ist es jedenfalls so.
Aber egal wenns nun klappt ist ja alles gut !
Bitte dann auch
Wie kann ich einen Beitrag als gelöst markieren?
nicht vergessen !!
Aber egal wenns nun klappt ist ja alles gut !
Bitte dann auch
Wie kann ich einen Beitrag als gelöst markieren?
nicht vergessen !!
