free radius 201106

Università degli Studi di Trieste
Mercoledì 8 giugno 2011
copyleft 2011 – Daniele Albrizio
albrizio@units.it
FreeRADIUS
il protocollo e il daemon
per autenticare sulla rete
Daniele Albrizio - albrizio@units.it

albrizio@units.it
Parleremo di RADIUS
● Cosa è.
● Perché RADIUS.
● Come funziona.
● Sulla rete cosa succede
● Gli Attributi
● Estensioni recenti e CoA

albrizio@units.it
Parleremo di FreeRADIUS
● Caratteristiche del server
● Esempi di configurazione avanzata
● Tool di debug

albrizio@units.it
Cos'è RADIUS?
● Remote Authentication Dial In User Service
(RADIUS)
● standard de-facto per l’autenticazione remota
● è un protocollo ampiamente utilizzato negli
ambienti distribuiti.
● è comunemente usato per dispositivi di rete
integrati come router, server modem, switch
ecc.

albrizio@units.it
Dove si colloca

albrizio@units.it
Perché RADIUS?
● I sistemi integrati sono generalmente limitati
nel numero di utenti autenticabili
(memoria/cpu)
● ISP hanno 10k...10M utenti, aggiunti e
cancellati di continuo, le informazioni di
autenticazione cambiano costantemente.
L’amministrazione centralizzata degli utenti è
un requisito operativo.

albrizio@units.it
Perché RADIUS?
● RADIUS fornisce alcuni livelli di protezione
contro attacchi attivi e di sniffing. Altri
protocolli meno.
● Il supporto RADIUS è quasi onnipresente sui
dispositivi di accesso e non solo.

albrizio@units.it
Architettura e nomenclatura
Author Kgrr - Creative Commons Attribution-Share Alike 3.0 Unported
CLIENT SERVERPROXY
supplicant policy
enforcement point
policy
decision point

albrizio@units.it
AAA
● Radius viene spesso appellato “AAA server”
– Authorization
– Authentication
– Accounting
● Fa parte dell'AAI (authorization and
authentication infrastructure)

albrizio@units.it
RADIUS sulla rete
● Pacchetti UDP autenticati tramite shared
secret (port 1812 autz+auth, 1813
accounting)
● Richieste numerate
● Password hashed (rivelabile da un rogue
client modificato)
● EAP: estensione a plug-in che permette il
tunnelling criptato dell'autenticazione,
l'autenticazione a doppia chiave, one-time-
password (OTP), SIM, PEAP, LEAP, ecc.

albrizio@units.it
Autenticazione RADIUS
● Pacchetti di autenticazione
– 1 = Access-Request
– 2 = Access-Accept
– 3 = Access-Reject
– 11 = Access-Challenge
● Access-Accept porta anche attributi di
configurazione
● Access-Reject può portare anche un
messaggio di testo, ma nessun altro attributo
● Access-Challenge è usato principalmente
da CHAP e EAP

albrizio@units.it
Access-Request
● Sun Jun 5 16:59:26 2011
– Packet-Type = Access-Request
– User-Name = "ginopi@ds.units.it"
– User-Password = "lamiapassword"
– Service-Type = Login-User
– NAS-IP-Address = 111.103.38.15
– Huntgroup-Name = "VPN"
– Realm = "DEFAULT"

albrizio@units.it
Access-Request EAP (no password)
● Sun Jun 5 16:59:26 2011
– Packet-Type = Access-Request
– User-Name = "s00000@ds.units.it"
– Framed-MTU = 1400
– Called-Station-Id = "0014.23e5.2c23"
– Calling-Station-Id = "40a6.3fff4.3ef5"
– Cisco-AVPair = "ssid=eduroam"
– Service-Type = Login-User
– Message-Authenticator =
0x418ce9da259c587451ad707c7949c89f
– EAP-Message =
0x02010017017330303030304064732e756e6974732e6974
– NAS-Port-Type = Wireless-802.11
– NAS-Port = 450406
– NAS-Port-Id = "450406"
– NAS-IP-Address = 172.140.32.20

albrizio@units.it
Access-Challenge
● Una sessione EAP è composta da
– Un pacchetto Access-Request da client a server
– Seguito da un sacco di (ad es. 10-30) pacchetti
Access-Challange alternati da e verso il server
– Seguito da un pacchetto Access-Accept o
Access-Reject da server a client

albrizio@units.it
Access-Reject
● Sat Jun 4 16:51:51 2011
– Reply from radius proxy for user
s4322342342342@dsunits.it on NAS
172.11.55.14:15095 3Com 00-22-57-F4-5C-
11:eduroam-erdisu cli 00-26-5E-1F-72-61
– Packet-Type = Access-Reject
– Proxy-State = 0x313332
– Reply-Message = "Realm non valido! Appartiene
ad Eduroam?"

albrizio@units.it
Access-Accept
● Sat Jun 4 16:51:51 2011
– Packet-Type = Access-Accept
– Exec-Program = "/nac/trigger.sh"
– Idle-Timeout = 1800
– Session-Timeout = 7200
– Reply-Message = "Durata massima sessione 2
ore. Logout per inattività dopo 30 minuti"

albrizio@units.it
Attributi
● Possono essere di 3 tipi:
– Request attributes
– Reply attributes
– Internal attributes (freeRADIUS only)
● Sono definiti nei dizionari tramite tipo e
numero identificativo
● In FreeRADIUS ne viene fatto un largo uso e
quindi vanno filtrati in uscita (reply) con
l'apposito modulo attr-filter

albrizio@units.it
Attributi e file users
# program Exec
# Network admission control (better said
repression)
DEFAULT HuntgroupName == "Captive"
ExecProgram =
"/etc/adminscripts/nac/trigger.sh",
FallThrough = Yes

albrizio@units.it
Users file
gianni Huntgroup-Name =~ "VPN", Cleartext-
Password = "fwerfwe"
Framed-IP-Address := 172.30.225.65,
Framed-IP-Netmask := 255.255.255.255,
Service-Type := Framed-User,
Framed-Protocol := PPP,
Fall-Through = No

albrizio@units.it
CoA
● Change of Authorization (rfc5716)
● Permette la rinegoziazione push (dal radius
server verso il client) dei parametri di
connessione utente.
● Di solito è prevista anche la disconnessione
dell'utente
● Pochi apparati lo supportano, ma
rappresenta un elemento di scelta nell'IT

albrizio@units.it
FreeRADIUS: caratteristiche
● Il più usato (in termini di autenticazioni)
● Modulare (anche troppo)
– PAP, CHAP, MS-CHAP, MS-CHAPv2, SIP Digest
– EAP: AKA, FAST, GPSK, IKEv2 (experimental),
Cisco LEAP, PAX, PSK, SAKE, GTC, SIM, TLS,
MD5-Challenge, MSCHAPv2, TNC
– EAP-PEAPv0 e 1: MSCHAPv2, GPSK, GTC,
MD5-Challenge, PAX, PSK, SAKE
– EAP-PEAPv0-TLS
– EAP-TTLS: PAP, CHAP, MS-CHAP, MS-CHAPv2,
GPSK, GTC, MD5-Challenge, PAX, PSK, SAKE,
TLS

albrizio@units.it
● Policy di autorizzazione in fase pre-
autenticazione e post-autenticazione.
● Policy in file di testo, db, perl java python
scripts
● Filtri degli attributi, riscrittura degli stessi,
attributi interni e personalizzabili.
● Esempi funzionanti per molti backend e una
collezione completa di dizionari per i client.
● Backend su db, testo, ldap
● Accounting su db e testo

albrizio@units.it
● Failover e load balancing configurabili per le
funzionalità di:
– Proxying
– Backend di autenticazione, autorizzazione e
accounting
– Configurazione
● Configurazione annidabile tramite l'uso di
server freeRADIUS virtuali
● Unlang conditional language nell
configurazione, genera configurazioni
dinamiche

albrizio@units.it
Esempio di failover proxying
home_server garreduroam1 {
    type = auth+acct
    ipaddr = 194.44.1.1
    port = 1812
    secret = 4523vjhtu67
    nostrip
}
home_server garreduroam2 {
    type = auth+acct
    ipaddr = 133.36.12.12
    port = 1812
    secret = fw34480125
    nostrip
}
# Failover Pool Eduroam
home_server_pool garreduroam {
    type = failover
    home_server = garreduroam1
    home_server = garreduroam2
}
realm DEFAULT {
    pool = garreduroam
    nostrip
}

albrizio@units.it
Instanziare dinamicamente i moduli
con Unlang
# EAP certificate selection depending on SSID
# CiscoAVPair = "ssid=eduroamunits"
  if ("%{request:CiscoAVPair}" == "ssid=eduroam") {
    eap_TCS {
      ok = return
    }
  }
# 3Com CalledStationId = "ec44768187f0:eduroamunits"
  elsif ("%{request:CalledStationId}" =~ "/eduroam$/" {
    eap_TCS {
      ok = return
    }
  }
  else {
    eap_rapidssl {
      ok = return
    }
  }

albrizio@units.it
Gestire account a tempo
# Set the CurrentTime value for further comparison
# It is important that this is set before the module
that does the effective comparison
authorize {
  update request {
     MyRequestDate = "%D"
  }
}
# MyRequestDate in a dictionary file.
# Request date attribute filled with %D value (YYYYMMDD)
# Used to do date based authorization
ATTRIBUTE      MyRequestDate        3002    integer

albrizio@units.it
Tool di debug e pianificazione
● eapol_test
● wpasupplicant lato client
● radmin
● radclient
– radclient -x -f radiuspacjetfile SERVER:1812 auth
secret
● radsniff
– radsniff -d /usr/local/share/freeradius -i eth0 -x
● wireshark
● tcpdump
● mindmap

albrizio@units.it
Links e Riferimenti
● Wikipedia in inglese su Radius e EAP
● FreeRADIUS http://www.freeradius.org/

albrizio@units.it
Licenza d'uso
di questo documento
Quest'opera è stata rilasciata sotto la licenza Creative Commons
Attribuzione-Condividi allo stesso modo 2.5.
Per leggere una copia della licenza visita il sito web
http://creativecommons.org/licenses/publicdomain/ o spedisci una
lettera a Creative Commons, 559 Nathan Abbott Way, Stanford,
California 94305, USA.

free radius 201106

Recommended

Recommended

More Related Content

Similar to free radius 201106

Similar to free radius 201106 (20)

More from Daniele Albrizio

More from Daniele Albrizio (10)

free radius 201106