paddix
Goto Top

FreeRADIUS Active Directory PEAP-MSCHAPv2 mit LDAP Gruppenfilter

Hallo,

ich habe FreeRADIUS erfolgreich für die Authentifizierung mit Active Directory über ntlm_auth eingerichtet.

Nun möchte ich, dass nur eine bestimmte Gruppe aus dem AD Zugriff auf das WLAN hat.

Das sollte ja mittels LDAP-Modul möglich sein.

Leider weiss ich nicht wie ich das umsetzen kann und auch Google war mir bisher leider keine Hilfe.

Kann mir da jemand von Euch einen Tip geben?

Gruß paddix

Content-Key: 173303

Url: https://administrator.de/contentid/173303

Ausgedruckt am: 28.03.2024 um 11:03 Uhr

Mitglied: aqui
aqui 19.09.2011, aktualisiert am 18.10.2012 um 18:48:24 Uhr
Goto Top
Mitglied: paddix
paddix 19.09.2011 um 13:09:44 Uhr
Goto Top
Hi aqui,

ja, Deinen Beitrag habe ich gelesen. Es läuft ja auch schon alles supi, nur will ich den Zugriff auf eine Gruppe aus dem Active Directory beschränken.


Ich bin im Moment vom LDAP-Modul weg und teste mit ntlm_auth. Hier insbesondere den Parameter --require-membership-of=DOMÄNE/WLAN-ZUGRIFF ...

Kann das Funktionieren?

Über den ntlm_auth Befehl direkt, klappt das auch. Winbind listet auch alle Gruppen aus dem AD korrekt auf.

ntlm_auth --request-nt-key --username=NICHT_WLAN_NUTZER --require-membership-of=DOMÄNEWLAN-Zugriff
password:
NT_STATUS_LOGON_FAILURE: Logon failure (0xc000006d)

ntlm_auth --request-nt-key --username=WLAN_NUTZER --require-membership-of=DOMÄNE
WLAN-Zugriff
password:
NT_STATUS_OK: Success (0x0)

Nur über Radius kann der NICHT_WLAN_NUTZER, sich trotzdem authentifizieren...


Auszug aus den ntlm_auth:

exec ntlm_auth {
wait = yes
program = "/usr/bin/ntlm_auth --request-nt-key --domain=DOMÄNE --require-membership-of='DOMÄNE/WLAN-Zugriff' --username=%{mschap:User-Name} --password=%{U$rd=%{User-Password}"
}


Fällt dir dazu was ein?
Mitglied: dog
dog 19.09.2011 um 14:01:55 Uhr
Goto Top
Mal eine ganz dumme Frage:

Warum benutzt du FreeRADIUS, wenn AD einen RADIUS-Server onboard hat der das alles mit 5 Klicks kann???
Mitglied: paddix
paddix 19.09.2011 um 14:58:09 Uhr
Goto Top
Es handelt sich dabei um eine Projektarbeit. FreeRADIUS hat keine Einschränkungen im Vergleich zum Windows-RADIUS (50 clients), ist auf dem neusten Stand, er läuft hier läuft unter VMware ESXi nebst vielen anderen Linux-Systemen und benötigt kaum Recourcen.


@topic

Problem gelöst, geht alles supi! Die Lösung lag in der Anpassung der mschap Datei!

CLOSED.
Mitglied: Ch3p4cK
Ch3p4cK 12.11.2015 um 16:19:43 Uhr
Goto Top
Hallo Paddix,

wärst du bitte so nett und sagst uns noch, was genau geändert werden muss?


Gruß
Ch3p
Mitglied: aqui
aqui 16.11.2015 um 17:23:38 Uhr
Goto Top
Die Änderung in der CHAP Konfig Datei wäre wirklich mal spannend, denn das erzeugt hier immer und immer wieder Verwirrung !
Wäre also wirklich klasse wenn du das hier nochmal posten könntest !!
Mitglied: Ch3p4cK
Ch3p4cK 16.11.2015 um 19:04:46 Uhr
Goto Top
Habe es durch probieren herausgefunden. Werde es morgen auf der Arbeit posten wenn ich nochmal Zugriff auf den Server habe.

Gruß
Ch3p
Mitglied: Ch3p4cK
Ch3p4cK 17.11.2015 um 09:19:08 Uhr
Goto Top
Da der Thread ja schon etwas älter ist mal Vorweg: ich habe die Installation unter der aktuellsten LTS von Ubuntu (14.04) gemacht. Ich bin nach dieser Anleitung hier im Forum vorgegangen.

Um die Gruppenzugehörigkeit zu prüfen habe ich dann der Datei /etc/freeradius/modules/ntlm_auth bearbeitet folgende Abfrage hinzugefügt:
--require-membership-of=DOMÄNE\\Gruppenname


DOMÄNE und Gruppenname sind naturlich durch die Eigene Domain und Gruppe zu ersetzen. Wichtig ist hier das doppelte Backslash. Ohne das hat es nicht funktioniert.


Gruß
Ch3p
Mitglied: aqui
aqui 17.11.2015 um 09:37:46 Uhr
Goto Top
Das ist dann aber keine Änderung in der CHAP Konfig Datei, richtig ?!
Aber egal... Danke für das Feedback auf alle Fälle !
Mitglied: Ch3p4cK
Ch3p4cK 17.11.2015 um 10:43:54 Uhr
Goto Top
Richtig. Es wird die ntml_auth Konfig angepasst. Die Änderung hat in der mschap Konfig nicht gegriffen. Bzw. hatte es zur Folge, dass für jeden User ein Reject kam. Jedenfalls funktioniert es für mein Vorhaben Wireless Clients zu Authentifizieren.
Mitglied: aqui
aqui 17.11.2015 um 13:06:32 Uhr
Goto Top
Es wird die ntml_auth Konfig angepasst
Was ist denn da geändert worden ?
Oder entspricht das dem was oben bzw. in der verwendeten Anleitung steht ??
Mitglied: Ch3p4cK
Ch3p4cK 17.11.2015 um 16:36:36 Uhr
Goto Top
Es entspricht der verwendet Anleitung, die ich im letzten Post verlinkt habe (Punkt 3.6.). Lediglich wird der Datei ntml_auth der von mir genannte Zusatz im Befehl angefügt.

Die Configfiles von freeradius scheinen sich verändert zu haben. Man findet überall im Internet andere Pfadangeben zu den Files. Deswegen war mein Hinweis, dass ich die Anleitung anhand LTS 14.04 verwendet habe.
Mitglied: aqui
aqui 18.11.2015 um 08:30:20 Uhr
Goto Top
Man findet überall im Internet andere Pfadangeben zu den Files
Das hat aber nichts mit Freeradius als solchem zu tun sondern ist lediglich von der verwendeten Linux Distribution abhängig.
Unterschiedliche Distributionen nutzen unterschiedliche Pfade wo sie die Konfig Dateien vorhalten. Das ist aber ein simples und eher kosmetische Problem mit dem jeder normale Unixer natürlich klarkommt....
Mitglied: Ch3p4cK
Ch3p4cK 22.11.2015 um 17:20:54 Uhr
Goto Top
Stimme ich dir zu. Aber bei Debian basierenden Systemen mit der Installation via apt-get, sind die Pfade eigentlich gleich. Ich meinte damit eigentlich, dass dich die Configs an sich geändert haben bzw freeradius eine andere bzw. neue Struktur unter /etc/freeradius hat. In anderen Anleitungen habe ich nämlich nichts von einem Modules-Ordner gesehen.