Sziasztok,
Adott egy Mikrotik alapú hálózat Unifi access pointokkal. Erre kellene nekem radius alapú hitelesítést varázsolnom. Alapvetően menne is, viszont az a kívánság, hogy lehetőleg google suite fiókok legyenek használhatóak hitelesítéshez.
Találtam pár 3rd megoldást, mint pl a jumpcloud, de a kérdésem az, hogy ezt freeradiusba nem lehet közvetlenül, külső felek bevonása nélkül belevinni?
A telephelyen fix ip-s internet, local server adott.
- 362 megtekintés
Hozzászólások
Ennek egyetlen egy olyan módja van, ami nem ordas nagy security hole: építesz egy weboldalt, ahova Google OAuth-tal azonosulva lehet regisztrálni, és ahol a user megadhatja külön, hogy mi legyen az AP authentikációs jelszava, abből NTLM hasht csinálsz és tárolod (mondjuk egy LDAP vagy SQL adatbázisban). A freeradius meg kiolvassa ezt, és az alapján azonosít. Az is működhet, hogy tanúsítványt generálsz a usernek, és azt kell letöltenie a kliensre, azzal azonosítja magát a kliens, bár ez kicsit macerásabb.
Minden olyan megoldás, hogy a Google user + pass legyen az, amivel authentikálja magát, az security szempontból annyira gáz, hogy az a Google nem akarja, ergó ha meg is tudnád valahogy csinálni, előbb-utóbb bezárják a kiskaput.
- A hozzászóláshoz be kell jelentkezni
Köszi, tehát direktben nem járható, ahogy sejtettem.
B tervünk az, hogy van egy céges webes felület (cégen belüli fejlesztésű), ami visz mindent, akkor annak a jelszóhashei lesznek leszinkronizálva triggerelten a local serverre.
- A hozzászóláshoz be kell jelentkezni
Ill az enterprise csilllioert ad radiust.
- A hozzászóláshoz be kell jelentkezni
Ha igaz, akkor a Cloud Identity Premium, ami kell a secure ldaphoz, az 6 dodó per user per hó: https://support.google.com/cloudidentity/answer/1247362?hl=en
Az, hogy ez sok vagy nem, majd eldöntik :)
- A hozzászóláshoz be kell jelentkezni
ennel bonyolultabb, ntlm hash fog kelleni over mschap2 - eap tunnelben. ha google oldalon MFA van elorva mar a hajadra is kenheted. (mert az EAP-PEAP -on ntlm hasht kuld csak a wingyogy )
- A hozzászóláshoz be kell jelentkezni
Sziasztok,
na úgy néz ki, hogy részben el lett dobva ez a vonal, legalábbis átcsavarva.
Van egy php alapú rendszerünk, sima php-s jelszó hashelővel tárolt jelszavakkal és nevekkel.
Az lett az elgondolás, hogy nem külső php-s hitelesítést erőszakolunk rá a radius szerverre közvetlenül, hanem sql-lel összepárosítjük. Ezt úgy tartanánk szinkronban, hogy ha jön egy olyan próbálkozás, ami nem létezik sql-ben, akkor php-vel kikérdezünk a backend felé, és ha tudjuk validálni az usert és a passt, akkor a freeradius alatti sql-t frissítjük vele.
SQL megy szépen, viszont a php-vel elakadok.
update control {
Auth-Type := `/usr/bin/php -q /var/www/html/radius_log.php %{User-Name} %{User-Password}`
}
A fenti kóddal próbálkozok egyelőre csak annyira, hogy ha sql-en nem sikerül a hitelesítés, akkor ez a php fájl simán logolja nekem a jelszót, de az User-Password változó valamiért mindig üres marad.
Erre van valakinek ötlete, hogy miért lehet, illetve egyátalán cleartextben ki tudok-e gyepálni attemptet freeradius3.0-ból?
- A hozzászóláshoz be kell jelentkezni
igen, eapol test- el csinalod nem sima radtesttel. fekete kakast keszits... nagy esellyel csak ntlm hasht fogsz kapni - VAGY explicit pap-ot allitasz be amire pruszkolni fog a windows.
- A hozzászóláshoz be kell jelentkezni
Gondolom default beállításokkal használod a klienst.
A Windows (meg szerintem az Android dettó) default beállításaival nem hajlandó clear text jelszót küldeni a Radius szerver számára, mert az kurvára nem biztonságos (szerintem se az).
Emiatt a User-Password mező nem lesz kitöltve. NT-Password van, abban van az NTLM hash.
- A hozzászóláshoz be kell jelentkezni
az meg eap tunnelen at megy. ergo generalj egy ntlm hasht-t es allitsd be hogy melyik attributumban van aztan majd komparalja maganak
- A hozzászóláshoz be kell jelentkezni
a masik fele hogy az user megszemelyesiteseert kokemenyen seggbedughatnak, gyakorlatilag jelszo lopas es MITM.
Olyat tudsz esetleg, h walled-garden es SAML-al autholod az usert, ha meg megvan a saml assertion akkor megbizol benne es beengeded az usert.. - https://securityboulevard.com/2020/12/g-suite-freeradius-for-wifi-authe… pl
- A hozzászóláshoz be kell jelentkezni
[dupla]
- A hozzászóláshoz be kell jelentkezni