Probleme mit Radius

[Wesker129]

HalliHallo

Ich habe Folgendes Problem:

Ich probiere ein WLan abzusichern mit WPA2 und 802.1x.
In diesem WLan sind 2 l-54 Dual unterwegs sowie 5 Airlancer als Clients.

Der eine L-54 Dual hat folgende Einstellungen im Lanconfig

RadiusServer-->RadiusClients
dort sind die beiden L-54 Dual eingetragen
RadiusServer-->Benutzerkonten
dort sind halt Benutzer eingetragen

der hacken bei WlanStation nutzen wurde gestz der Rest wurde standart gelassen.

Unter Kommunikation wurde radius aktiviert und mit der ip auf sich selbst verwiesen

und Wlan--> 802.1x --> radius gab es wieder einen Verweis auf sich selbst
und in der wlan--> station gabs wieder einen Verweis auf sich selbst.

Ja nun zu meinen Problemen
Müssen in die Stationtabelle jetzt die Clients rein, die anfragen an den RadiusServer weiterleiten oder die die sich Authentifizieren wollen um in das Netz zu kommen ?

So ein weiteres Probelm habe ich mit den Zertifikaten und mit den Authentifizierungsmethoden.

Im Airlancerkonfigurationsprogramm kann man nur EAP_TTLS auswählen. Steht das für TTLS-MS CHAP und TTLS-Chap usw ?

z.B. bei PEAP MSCHAP v2 authentifiziert sich der Server gegenüber dem CLient mit einem Zertifikat. Ist dieses schon im L-54 Dual integiert?

Wenn nicht ? Wo bekommt man sowas her ? Und vor allem wie integriert man dieses in den L-54 Dual ?

Ich hoffe auf schnelle Hilfe und bedanke mich im Voraus

Mit freundlichen Grüßen

Wesker129

[alf29]

Moin,

Du mußt Dich erstmal entscheiden, ob Du jetzt 802.1x machen oder MAC-Adressen über
RADIUS prüfen willst.

Der hacken bei WlanStation nutzen wurde gestz d

Das hat nur etwas mit der MAC-Adreßprüfung über RADIUS zu tun.

Unter Kommunikation wurde radius aktiviert und mit der ip auf sich selbst verwiesen

An dieser Stelle wird nur der RADIUS-Server eingetragen, der für Dial-In-Verbindungen übers
WLAN genutzt wird. Die Radius-Server für 802.1x werden unter Setup->IEEE802.1x in der
entsprechenden Tabelle konfiguriert, den Namen, der Du dem entsprechenden Eintrag gegeben
hast, trägst Du dann in den WLAN-Verschlüsselungseinstellungen als Schlüssel ein.

Müssen in die Stationtabelle jetzt die Clients rein, die anfragen an den RadiusServer weiterleiten oder die die sich Authentifizieren wollen um in das Netz zu kommen ?

Diese Frage verstehe ich nicht ganz. Clients leiten nichts weiter. Und MAC-Prüfung im WLAN
sowie 802.1x sind zwei völlig getrennte Dinge...

Um 802.1x zu konfigurieren, macht man auf dem AP grob folgendes:

(1) Unter Setup->IEEE802.1x->RADIUS-Server die Daten des RADIUS-Servers hinterlegen
(2) Unter Setup->Schnittstellen->WLAN->Verschlüsselung eine Methode mit 802.1x auswählen
(heutzutage üblicherweise WPA/802.11i mit 802.1x) und als Schlüssel den Namen des
RADIUS-Server-Eintrags von (1)

Auf dem Gerät, das als RADIUS-Server agiert:

(1) Unter Setup->RADIUS->Server den Server aktivieren, indem man als Authentifizierungs-Port
den (UDP-)Port einstellt, den man auch auf den APs gewählt hat (üblicherweise 1812)
(2) Unter Setup->RADIUS->Server->Clients die IP-Adressen der APs hinterlegen, damit der
Server Anfragen von diesen akzeptiert
(3) Unter Setup->RADIUS->Server->Benutzer die Benutzerkennungen und -paßwörter der Clients
hinterlegen

Die Pfade beziehen sich auf die CLI bzw. WEBconfig-Expertenkonfiguration, die LANconfig-Pfade
kenne ich nicht auswendig...

Im Airlancerkonfigurationsprogramm kann man nur EAP_TTLS auswählen. Steht das für TTLS-MS CHAP und TTLS-Chap usw ?

Das steht m.W. für TTLS mit MSCHAPv2

z.B. bei PEAP MSCHAP v2 authentifiziert sich der Server gegenüber dem CLient mit einem Zertifikat. Ist dieses schon im L-54 Dual integiert?

Nein, die CA mußt Du selber aufziehen. Wobei sich das ganze bei MSCHAP bzw. TTLS auf
das Root-CA-Zertifikat und ein Gerätezertifikat für den RADIUS-Server beschränkt.

Wenn nicht ? Wo bekommt man sowas her ? Und vor allem wie integriert man dieses in den L-54 Dual ?

Also ich habe sie damals zu Fuß mit den entsprechenden OpenSSL-Befehlen auf einem Linux erzeugt,
es soll aber auch passende 'Klickibunti'-Programme für Windows geben, ich erinnere mich da dunkel
an XCA. Der Upload der Dateien in den RADIUS-Server geht über die WEBconfig, 'Datei oder
Zertifikat hochladen'.

Gruß Alfred

[Wesker129]

(2) Unter Setup->Schnittstellen->WLAN->Verschlüsselung eine Methode mit 802.1x auswählen
(heutzutage üblicherweise WPA/802.11i mit 802.1x) und als Schlüssel den Namen des
RADIUS-Server-Eintrags von (1)

Muss man als Schlüssel den Namen des RadiusServers angeben ?
Oder kann man sogesehen diese frei Wählen ?

1) Unter Setup->IEEE802.1x->RADIUS-Server die Daten des RADIUS-Servers hinterlegen

Hier legt man doch den Namen fest oder? Weil was anderes habe ich nicht gefunden .

Unter Setup/WLAN/RadiusZugriffsprüfung
und Setup/wlan/Zugangsliste

Dort wäre dann der Teil einzuzstellen wenn man es Per MAc Prüft?

Also bei 802.1x kann dann auch auf ein Macprüfung verzichtet werden?


Wenn ich dann die beiden Zertifikate erstellt habe brauch ich die nur hochladen und fertig ist es oder gibts dabei auch noch etwas zu beachten?

Muss dieses Zertifikat dann noch irgendwie auf dem CLient hinterlegt werden ? Ich hatte irgendwie gelesen das man es machen muss aber eigentlich ist das Zertifkat ja nur Serverseitig (bei PEAP MS CHAP oder TTLS)


Ich bedanke mich nochmal für die sehr hilfreiche Antwort und bedanke mich im Voraus für eine Weitere

Mit freundlichen Grüßen

Wesker

[alf29]

Moin,

Muss man als Schlüssel den Namen des RadiusServers angeben ?
Oder kann man sogesehen diese frei Wählen ?

Du mußt den Namen nehmen, den Du in der Tabelle der RADIUS-Server frei wählen darfst

Unter Setup/WLAN/RadiusZugriffsprüfung
und Setup/wlan/Zugangsliste

Dort wäre dann der Teil einzuzstellen wenn man es Per MAc Prüft?

Ja.

Also bei 802.1x kann dann auch auf ein Macprüfung verzichtet werden?

Prüfung der MAC-Adressen ist bei jeglicher Verschlüsselungsmethode optional.

Muss dieses Zertifikat dann noch irgendwie auf dem CLient hinterlegt werden ? Ich hatte irgendwie gelesen das man es machen muss aber eigentlich ist das Zertifkat ja nur Serverseitig (bei PEAP MS CHAP oder TTLS)

Man installiert sinnvollerweise das Root-Zertifikat auch auf den Clients, so können sie die
Identität des RADIUS-Servers prüfen und sich nicht fälschlicherweise mit Rogue APs verbinden.

Wenn ich dann die beiden Zertifikate erstellt habe brauch ich die nur hochladen und fertig ist es oder gibts dabei auch noch etwas zu beachten?

Zu dem Gerätezertifikat des RADIUS-Servers gehört auch noch ein privater Schlüssel, der muß auch
hochgeladen werden, entweder als separate Datei oder zusammen mit dem Zertifikat als PKCS12-
Container.

Gruß Alfred

[Wesker129]

Danke

Das XCA kann nur SSLZertifikate erzeugen.

Aber man braucht ja ein TLS-RootZertifikat. Oder geht auch das SSL ?

Muss das GeräteZertifikat auch erstellt nwerden oder gibts da schon eins vom Hersteller ?

Mit freundlichen Grüßen

Wesker

[alf29]

Moin,

SSL und TLS sind nur zwei Versionen des gleichen Protokolls (SSLv3 ist Version 3.0, TLSv1 ist
Version 3.1), und sie benutzen beide die gleiche Art von Zertifikaten (X.509).

Muss das GeräteZertifikat auch erstellt nwerden oder gibts da schon eins vom Hersteller ?

Das mußt Du selber erstellen, denn Zertifikate müssen von der CA signiert werden, damit sie gültig
werden. Und der Hersteller kann nicht wissen, wie der Kunde sein LANCOM nennen wird...

Gruß Alfred

[Wesker129]

ich wollte mich nochmal bedanken für die gute Unterstützung

Macht weiter so !!!!!

Mit freundlichen Grüßen

Wesker