Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

FreeRADIUS Active Directory PEAP-MSCHAPv2 mit LDAP Gruppenfilter

Frage Netzwerke LAN, WAN, Wireless

Mitglied: paddix

paddix (Level 1) - Jetzt verbinden

19.09.2011, aktualisiert 18.10.2012, 6562 Aufrufe, 14 Kommentare, 2 Danke

Hallo,

ich habe FreeRADIUS erfolgreich für die Authentifizierung mit Active Directory über ntlm_auth eingerichtet.

Nun möchte ich, dass nur eine bestimmte Gruppe aus dem AD Zugriff auf das WLAN hat.

Das sollte ja mittels LDAP-Modul möglich sein.

Leider weiss ich nicht wie ich das umsetzen kann und auch Google war mir bisher leider keine Hilfe.

Kann mir da jemand von Euch einen Tip geben?

Gruß paddix
Mitglied: paddix
19.09.2011 um 13:09 Uhr
Hi aqui,

ja, Deinen Beitrag habe ich gelesen. Es läuft ja auch schon alles supi, nur will ich den Zugriff auf eine Gruppe aus dem Active Directory beschränken.


Ich bin im Moment vom LDAP-Modul weg und teste mit ntlm_auth. Hier insbesondere den Parameter --require-membership-of=DOMÄNE/WLAN-ZUGRIFF ...

Kann das Funktionieren?

Über den ntlm_auth Befehl direkt, klappt das auch. Winbind listet auch alle Gruppen aus dem AD korrekt auf.

ntlm_auth --request-nt-key --username=NICHT_WLAN_NUTZER --require-membership-of=DOMÄN EWLAN-Zugriff
password:
NT_STATUS_LOGON_FAILURE: Logon failure (0xc000006d)

ntlm_auth --request-nt-key --username=WLAN_NUTZER --require-membership-of=DOMÄNE
WLAN-Zugriff
password:
NT_STATUS_OK: Success (0x0)

Nur über Radius kann der NICHT_WLAN_NUTZER, sich trotzdem authentifizieren...


Auszug aus den ntlm_auth:

exec ntlm_auth {
wait = yes
program = "/usr/bin/ntlm_auth --request-nt-key --domain=DOMÄNE --require-membership-of='DOMÄNE/WLAN-Zugriff' --username=%{mschap:User-Name} --password=%{U$rd=%{User-Password}"
}


Fällt dir dazu was ein?
Bitte warten ..
Mitglied: dog
19.09.2011 um 14:01 Uhr
Mal eine ganz dumme Frage:

Warum benutzt du FreeRADIUS, wenn AD einen RADIUS-Server onboard hat der das alles mit 5 Klicks kann???
Bitte warten ..
Mitglied: paddix
19.09.2011 um 14:58 Uhr
Es handelt sich dabei um eine Projektarbeit. FreeRADIUS hat keine Einschränkungen im Vergleich zum Windows-RADIUS (50 clients), ist auf dem neusten Stand, er läuft hier läuft unter VMware ESXi nebst vielen anderen Linux-Systemen und benötigt kaum Recourcen.


@topic

Problem gelöst, geht alles supi! Die Lösung lag in der Anpassung der mschap Datei!

CLOSED.
Bitte warten ..
Mitglied: Ch3p4cK
12.11.2015 um 16:19 Uhr
Hallo Paddix,

wärst du bitte so nett und sagst uns noch, was genau geändert werden muss?


Gruß
Ch3p
Bitte warten ..
Mitglied: aqui
16.11.2015 um 17:23 Uhr
Die Änderung in der CHAP Konfig Datei wäre wirklich mal spannend, denn das erzeugt hier immer und immer wieder Verwirrung !
Wäre also wirklich klasse wenn du das hier nochmal posten könntest !!
Bitte warten ..
Mitglied: Ch3p4cK
16.11.2015 um 19:04 Uhr
Habe es durch probieren herausgefunden. Werde es morgen auf der Arbeit posten wenn ich nochmal Zugriff auf den Server habe.

Gruß
Ch3p
Bitte warten ..
Mitglied: Ch3p4cK
17.11.2015 um 09:19 Uhr
Da der Thread ja schon etwas älter ist mal Vorweg: ich habe die Installation unter der aktuellsten LTS von Ubuntu (14.04) gemacht. Ich bin nach dieser Anleitung hier im Forum vorgegangen.

Um die Gruppenzugehörigkeit zu prüfen habe ich dann der Datei /etc/freeradius/modules/ntlm_auth bearbeitet folgende Abfrage hinzugefügt:
01.
--require-membership-of=DOMÄNE\\Gruppenname


DOMÄNE und Gruppenname sind naturlich durch die Eigene Domain und Gruppe zu ersetzen. Wichtig ist hier das doppelte Backslash. Ohne das hat es nicht funktioniert.


Gruß
Ch3p
Bitte warten ..
Mitglied: aqui
17.11.2015 um 09:37 Uhr
Das ist dann aber keine Änderung in der CHAP Konfig Datei, richtig ?!
Aber egal... Danke für das Feedback auf alle Fälle !
Bitte warten ..
Mitglied: Ch3p4cK
17.11.2015 um 10:43 Uhr
Richtig. Es wird die ntml_auth Konfig angepasst. Die Änderung hat in der mschap Konfig nicht gegriffen. Bzw. hatte es zur Folge, dass für jeden User ein Reject kam. Jedenfalls funktioniert es für mein Vorhaben Wireless Clients zu Authentifizieren.
Bitte warten ..
Mitglied: aqui
17.11.2015 um 13:06 Uhr
Es wird die ntml_auth Konfig angepasst
Was ist denn da geändert worden ?
Oder entspricht das dem was oben bzw. in der verwendeten Anleitung steht ??
Bitte warten ..
Mitglied: Ch3p4cK
17.11.2015 um 16:36 Uhr
Es entspricht der verwendet Anleitung, die ich im letzten Post verlinkt habe (Punkt 3.6.). Lediglich wird der Datei ntml_auth der von mir genannte Zusatz im Befehl angefügt.

Die Configfiles von freeradius scheinen sich verändert zu haben. Man findet überall im Internet andere Pfadangeben zu den Files. Deswegen war mein Hinweis, dass ich die Anleitung anhand LTS 14.04 verwendet habe.
Bitte warten ..
Mitglied: aqui
18.11.2015 um 08:30 Uhr
Man findet überall im Internet andere Pfadangeben zu den Files
Das hat aber nichts mit Freeradius als solchem zu tun sondern ist lediglich von der verwendeten Linux Distribution abhängig.
Unterschiedliche Distributionen nutzen unterschiedliche Pfade wo sie die Konfig Dateien vorhalten. Das ist aber ein simples und eher kosmetische Problem mit dem jeder normale Unixer natürlich klarkommt....
Bitte warten ..
Mitglied: Ch3p4cK
22.11.2015 um 17:20 Uhr
Stimme ich dir zu. Aber bei Debian basierenden Systemen mit der Installation via apt-get, sind die Pfade eigentlich gleich. Ich meinte damit eigentlich, dass dich die Configs an sich geändert haben bzw freeradius eine andere bzw. neue Struktur unter /etc/freeradius hat. In anderen Anleitungen habe ich nämlich nichts von einem Modules-Ordner gesehen.
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(8)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Windows Server
gelöst Active Directory CA öffentlich vertrauenswürdig machen, geht das? (2)

Frage von DeathangelCH zum Thema Windows Server ...

Windows Server
gelöst Active Directory File Extension - Associated Program (11)

Frage von adm2015 zum Thema Windows Server ...

Windows 8
gelöst Active Directory Default User.v2 Profile - Windows 8.1 Apps Error (4)

Frage von adm2015 zum Thema Windows 8 ...

Windows Server
Active Directory sinnvoll für kleine Firma (15)

Frage von WolfPeano zum Thema Windows Server ...

Heiß diskutierte Inhalte
Microsoft
Ordner mit LW-Buchstaben versehen und benennen (20)

Frage von Xaero1982 zum Thema Microsoft ...

Outlook & Mail
gelöst Outlook 2010 findet ost datei nicht (19)

Frage von Floh21 zum Thema Outlook & Mail ...

Netzwerkmanagement
gelöst Anregungen, kleiner Betrieb, IT-Umgebung (18)

Frage von Unwichtig zum Thema Netzwerkmanagement ...

Festplatten, SSD, Raid
M.2 SSD wird nicht erkannt (14)

Frage von uridium69 zum Thema Festplatten, SSD, Raid ...