Supplikanten spielen auf
Das Paket »wpa_supplicant«
richtet der Benutzer analog ein und testet es mit:
wpa_supplicant -i eth0 -D wired -c /etc/wpa_supplicant/wired.conf
Die Konfigurationsdatei »wired.conf«
richtet er dazu neu ein, wie im Listing 7 angegeben. Da die 802.1X-Authentifizierung kabelgebunden stattfindet, kann er die »eapol_version«
mit Version 2 verwenden und das Scannen nach Accesspoints deaktivieren.
Listing 7
wired.conf
Die Authentifizierung war erfolgreich, wenn der Supplikant »CTRL-EVENT-EAP-SUCCESS«
meldet. Damit er permanent im Hintergrund läuft und bei 802.1X-Ports automatisch den Client authentifiziert, passt der Benutzer unter Debian »/etc/network/interfaces«
wie in Listing 8 an, wenn er DHCP verwendet. Ansonsten ändert er »dhcp«
in »static«
und setzt eine feste IP-Adresse. »/etc/init.d/networking restart«
aktiviert die Einstellungen. Falls der Client an einen Port ohne IEEE 802.1X im Modus »authorized«
gerät, läuft der Anmeldeversuch zwar ins Leere, der Client arbeitet aber wie gewohnt.
Listing 8
interfaces aktiviert auch DHCP
Zum Abschluss überführt der Admin den Radius-Server in den Produktivbetrieb: Er startet den Service mit »service freeradius start«
und markiert ihn mit »chkconfig freeradius on«
zum Autostart.
Ausbau möglich
Die Komponenten für eine gerätebasierte Authentifizierung von Endgeräten an Switches sind vielerorts vorhanden. Es liegt am Administrator, sie miteinander zu kombinieren. Manche verstehen unter Network Access Control noch zusätzliche Aspekte, etwa technisch überprüfte Versionsstände oder aktuelle Virensignaturen, die einer Security Policy genügen. Insofern bietet NAC noch viele Optionen zum Ausbau: Neben der Anbindung an LDAP oder eine SQL-Datenbank lohnt sich in komplexeren Umgebungen eine PKI, etwa mit Tiny CA [14]. Smartcards wie das E-Token von Aladdin schützen private Benutzerzertifikate [15].
IPv6 stellt Free Radius ab Version 2 vor keine Probleme, jedoch manchen 802.1X-fähigen Switch. Wer mit IKEv2 experimentiert, dem sei die »experimental.conf«
des Projekts ans Herz gelegt, aber auch ein gleichnamiges Sourceforge-Projekt forscht daran [16]. Außerdem dürfen sich dank Hostapd-Projekt [17] Administratiren bald auf EAP2 genannte Neu-Implementierungen von EAP in Free Radius freuen.
Infos
- IEEE 802.1x-2004: http://www.ieee802.org/1/pages/802.1x-2004.html
- Thorsten Dahm, "Layer-2 Security-Features": GUUG Hamburg: http://www.guug.de/lokal/hamburg/talks/IEEE%20802.1x,%20DAI+DHCP-Snooping.pdf
- RFC 5216, "EAP-TLS Authentication Protocol": http://tools.ietf.org/rfc/rfc5216.txt
- Netgear FSM726: http://netgear.de/Produkte/Switches/Managed/FSM726/
- 3Com 2924-SFP: http://3com.com/prod/de_CE_EMEA/detail.jsp?sku=3CBLSG24
- Level One GSW-2494: http://download.level1.info/datasheet/GSW-2494.pdf
- Cisco 802.1x-Guide: http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/31sg/configuration/guide/dot1x.html
- Free-Radius-Wiki zu Cisco-IOS-Befehlen: http://wiki.freeradius.org/Cisco
- M. Schwartzkopff, "Free Radius: Schutz in der Tiefe": Linux-Magazin 01/05, S. 66
- Free Radius in Github: http://github.com/alandekok/freeradius-server/tree/master
- Open1X-Projekt: http://open1x.sf.net
- OpenSEA: http://openseaalliance.org
- WPA-Supplikant:http://hostap.epitest.fi/wpa_supplicant/
- Tiny CA: http://tinyca.sm-zone.net
- Aladdin-E-Token-Devices:http://www.aladdin.de/eToken/devices/
- EAP-IKEv2-Projekt bei Sourceforge: http://eap-ikev2.sf.net
- Von Free Radius unterstützte EAP-Modi: http://freeradius.org/features/eap.html
Ähnliche Artikel
Portbasierter Zugriffsschutz mit NAP und 802.1X
Konfigurationsmanagement
Themen
