L-322agn Dual - RADIUS einrichten mit externem LDAP

[lkrull13]

Hallo zusammen,

haben zwei APs L-322agn Dual gekauft und wollen die im Unternehmen einsetzen.

Die Authentifizierung der Nutzer soll nach Möglichkeit über Benutzername und Password erfolgen, dass bereits im Netzwerk benutzt wird.

Wir haben einen gehosteten Domino-Server, der unser LDAP hat.

Habe jetzt schon ewig gesucht, aber leider keine Anleitung im Netz gefunden. Wie gehe ich vor? Wie verbinde ich den lokalen RADIUS mit unserem LDAP?

Vielen Dank im Voraus.

Lars

[alf29]

Moin,

leider gar nicht, das LCOS enthält keinen LDAP-Client.

Gruß Alfred

[lkrull13]

Hallo Alfred,

vielen Dank für Deine schnelle Antwort - auch wenn das genau das ist, was ich nicht hören wollte. Habe die LanCom ja extra für diesen Zweck angeboten bekommen...

Hast Du evtl. eine andere Lösung auf Lager, die ein WLAN mit Anbindung an ein bestehendes LDAP ermöglicht?

Gruß
Lars

[lkrull13]

Habe noch eine Frage dazu:

Ist es möglich, die L-322agn APs über einen externen RADIUS-Server zu betreiben? Dann würde ich die APs behalten und auf unserem Router ein FreeRADIUS installieren.

Für die mögliche Konfiguration gibt es nicht zufällig ein HowTo?

Danke im Voraus.

Gruß
Lars

[alf29]

Moin,

vielen Dank für Deine schnelle Antwort - auch wenn das genau das ist, was ich nicht hören wollte. Habe die LanCom ja extra für diesen Zweck angeboten bekommen...

Äh...willst Du damit sagen, jemand hat Dir gegenüber
behauptet, die LANCOMs hätten einen LDAP-Client?

sicher geht das, in die Tabelle mit den RADIUS-Servern trägst
Du einfach Adresse, Port und Secret des FREEradius anstelle
der 127.0.0.1 ein. HowTos für FREEradius und 802.1x gibt's
sicher, aber die müßte ich jetzt auch erstmal raussuchen.

Gruß Alfred

[lkrull13]

Hi Alfred,

leider ja - wie ich jetzt aber feststellen musste, hat der Typ nicht viel Ahnung gehabt...
Also eher verkaufsorientiert...

Danke für die Info, dann gebe ich die Geräte vermutlich doch nicht zurück und werde auf unserem Router nen FreeRADIUS-Server installieren.

In diesem Sinne, besten Dank für deine Hilfe.

Lars

[lkrull13]

Hallo zusammen,

ich muss nochmal eine Frage stellen:

Habe jetzt beim L-322agn Dual den internen RADIUS-Server aktiviert.

Zudem habe ich mehrere Benutzerkonten eingerichtet und die Authentifizierung des "WPA- / EinzelWEP-Einstell." auf die Methode "802.11i(WPA)-802.1x" ohne Passphrase umgestellt.

Wenn ich mich versuche, mit dem Notebook anzumelden, werde ich auch schon zur Eingabe von Benutzername und PW aufgefordert. Wenn ich dann die Accountdaten vom lokalen RADIUS-Server eingebe, gibts aber leider die Fehlermeldung: "Konnte keien VErbindung herstellen"...

Ich habe leider keine Anleitung gefunden. Nur die Einrichtung mit Zertifikaten - das brauchen wir aber nicht...

Danke für eure (schnelle) Hilfe.

Lars

[alf29]

Moin,

Ich gehe davon aus, Du probierst PEAP/MSCHAPv2 mit
dem internen RADIUS-Server aus? Hast Du auf das
LANCOM ein passendes Zertifikat für EAP/TLS mitsamt
zugehörigem privaten Schlüssel hochgeladen? Denn auch
bei PEAP authentisiert der RADIUS-Server sich gegenüber
den Clients mit einem Zertifikat...

Gruß Alfred

[lkrull13]

Hi,

vielen Dank, hab ich nicht. Voreingestellt ist TLS.

Wie erzeuge ich ein entsprechendes Zertifikat? Geht das mit der XCA-Software aus Dokument 1108.1713.4236.RHOO?

Dokument 1108.0916.4823.RHOO - V1.60 hab ich zum Laufen bekommen. Da hab ich zwar nen Zertifikat, aber keine Authentifizierung mit Benutzername und Passwort und das Ganze mit TLS...

Sorry, dass ich immer wieder neue Fragen stelle, aber wenn es eine komplette Anleitung gäbe, täte mir das sehr weiterhelfen.

Danke im Voraus.

Lars

[alf29]

Moin,

vielen Dank, hab ich nicht. Voreingestellt ist TLS.

Die Auswahl 'Client-EAP-Methode mit dem Default 'TLS') hat nur dann eine Funktion, wenn das
LANCOM selber als Client agiert, im AP-Betrieb hat der Punkt keine Funktion. Die Auswahl der
EAP-Methode macht man beim Client.

Wie erzeuge ich ein entsprechendes Zertifikat? Geht das mit der XCA-Software aus Dokument 1108.1713.4236.RHOO?

XCA ist durchaus eine gute Wahl, ich habe es bei mir selber auch benutzt (wenn auch unter Linux
und nicht nach dieser Anleitung).

Dokument 1108.0916.4823.RHOO - V1.60 hab ich zum Laufen bekommen. Da hab ich zwar nen Zertifikat,

Ob das Zertifikat korrekt auf dem LANCOM installiert ist, kann man sich auf der Kommandozeile
des LANCOM mit einem 'show eaptls' ausgeben lassen. Dann sollte eine Ausgabe des CA-
und des Gerätezertifikats kommen.

aber keine Authentifizierung mit Benutzername und Passwort und das Ganze mit TLS...

Wie gesagt, die Auswahl der EAP-Methode (Windows ohne Zusatzsoftware unterstützt von
sich aus nur EAP/TLs und PEAP) macht man auf dem Client. Was das ganze vielleicht ein
bißchen verwirrend macht, ist daß PEAP protokolltechnisch auf EAP/TLS aufsetzt, d.h. auch
wenn die Clients PEAP machen sollen (also Benutzername+Paßwort), installiert man auf dem
LANCOM trotzdem das EAP/TLS-Zertifikat.

'keine Authentifizierung' ist keine besonders hilfreiche Fehlerbeschreibung, bei so einer recht
komplizierten Sache wie 802.1x kann alles mögliche schiefgehen. Leider muß man aber auch
sagen, daß Windows selber schon keine wirklich brauchbaren Fehlermeldungen liefert. Ein
Ansatz wäre, auf dem LANCOM einen Trace zu starten:

trace + wlan-data @ eapol

und das zu posten, dann kann ich mir das mal ansehen.

Gruß Alfred

[lkrull13]

Danke nochmals für die Hilfe.

Funktioniert jetzt seit drei Wochen einwandfrei.