WLAN-Radio etc. - WPA Enterprise?

[Stephan Manske]

Hallo,


ich stelle ja gerade mein WLAN von WPA2-PSK auf WPA2 (Enterprise) um,
also mit einem Radius-Server im Hintergrund.


Meine Notebooks werden Zertifikate bekommen, aber eine Frage geht mir
gerade durch den Kopf:

Wenn mal WLAN-Radios oder was fürs TV oder so hinzukommen sollten:
Ich nehme mal an, daß die mit Zertifikaten wenig anfangen können,
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort? Oder brauchen die einen PSK?



Ciao, Stephan

[Beate Goebel]

Post by Stephan Manske
Ich nehme mal an, daß die mit Zertifikaten wenig anfangen können,
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort?

Da gibst Du nur die Passwörter ein. Das genügt.

Beate

[Stephan Manske]

Post by Beate Goebel

Post by Stephan Manske
Ich nehme mal an, daß die mit Zertifikaten wenig anfangen können,
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort?

Da gibst Du nur die Passwörter ein. Das genügt.

Sprich also WPA-PreSharedKey.

Und genau das stelle ich ja gerade bei mir ab. :-(


Ciao, Stephan

[Beate Goebel]

Post by Stephan Manske

Post by Beate Goebel

Post by Stephan Manske
Ich nehme mal an, daß die mit Zertifikaten wenig anfangen können,
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort?

Da gibst Du nur die Passwörter ein. Das genügt.

Sprich also WPA-PreSharedKey.
Und genau das stelle ich ja gerade bei mir ab. :-(

Naja, meine IPdio, dnt, funktionieren jedenfalls so. Netzname/User/PW,
irgendeine Verschlüsselungsart kann ich da nicht einstellen.

Aber da werkelt ein Linux drin und es gibt jede Menge Seiten, in denen sich
User austauschen, die die Firmware selbst aufgebohrt haben. Bastler können
da sicher was machen. Kommt also auf das Gerät an.

Beate

[Marc Haber]

Post by Beate Goebel

Post by Stephan Manske

Post by Beate Goebel

Post by Stephan Manske
Ich nehme mal an, daß die mit Zertifikaten wenig anfangen können,
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort?

Da gibst Du nur die Passwörter ein. Das genügt.

Sprich also WPA-PreSharedKey.
Und genau das stelle ich ja gerade bei mir ab. :-(

Naja, meine IPdio, dnt, funktionieren jedenfalls so. Netzname/User/PW,
irgendeine Verschlüsselungsart kann ich da nicht einstellen.

Würdest Du bitte in Zukunft nur zu Dingen posten, von denen Du auch
was verstehst? Von WPA Enterprise verstehst Du offensichtlich nichts.

Grüße
Marc

[Beate Goebel]

Post by Marc Haber
Würdest Du bitte in Zukunft nur zu Dingen posten, von denen Du auch
was verstehst? Von WPA Enterprise verstehst Du offensichtlich nichts.

Mehr hast Du zu dem Thema nicht zu sagen? Lerne lieber wählen.
Und sonst: Du mich auch.

Beate

[Stephan Manske]

Post by Beate Goebel

Post by Stephan Manske
Sprich also WPA-PreSharedKey.
Und genau das stelle ich ja gerade bei mir ab. :-(

Naja, meine IPdio, dnt, funktionieren jedenfalls so. Netzname/User/PW,
irgendeine Verschlüsselungsart kann ich da nicht einstellen.

ich habe mir gerade die Doku online angeguckt:

Kann man da wirklich nur einen 16-Stellen langen WPA-Key eingeben!?

Post by Beate Goebel
Naja, meine IPdio, dnt, funktionieren jedenfalls so. Netzname/User/PW,
irgendeine Verschlüsselungsart kann ich da nicht einstellen.

Was kannst Du nicht einstellen?

"irgendeine Verschlüsselungsart" oder "Netzname/User/PW"?




Ciao, Stephan

[Armin Ehrbar]

Post by Stephan Manske

Post by Beate Goebel
Naja, meine IPdio, dnt, funktionieren jedenfalls so.
Netzname/User/PW, irgendeine Verschlüsselungsart kann ich da
nicht einstellen.

Was kannst Du nicht einstellen?
"irgendeine Verschlüsselungsart" oder "Netzname/User/PW"?

Tja, da hat Beate den Doppelpunkt verschluckt - Sie meint
wahrscheinlich:
"meine IPdio, dnt, funktionieren jedenfalls so" Doppelpunkt
"Netzname/User/PW" Komma
"irgendeine Verschlüsselungsart kann ich da nicht einstellen."

Ergo, ersteres geht, zweiteres nicht. Also wahrscheinlich auch keine
Zertifikate. Aber was will eine Firma, die Radius einsetzt, denn auch
mit fertigen WLAN-Radios, die keine vollwertigen Computer sind? Und
wenn man es normalerweise dort nicht einsetzt, wieso soll dann der
asiatische Programmierer bei den *Consumergeräten* dies mit
berücksichtigen?

Bau Dir doch aus Embedded-Mainbords selber ein WLAN-Radio zusammen,
dort kannst Du dann alles nach Deinen Wünschen einstellen und einbauen.

Oder spanne einfach ein Consumer-Geräte Netzwerk in Deiner Firma auf,
für Dich ist sowas ja ein klax! Bei Nichtgebrauch desselben (innerhalb
der Arbeitszeit und nach Feierabend) einfach abschalten :-)) Das die
Jungspunde immer so kopliziert denken müssen ...


MfG,

ae

[Beate Goebel]

Post by Armin Ehrbar

Post by Stephan Manske

Post by Beate Goebel
Naja, meine IPdio, dnt, funktionieren jedenfalls so.
Netzname/User/PW, irgendeine Verschlüsselungsart kann ich da
nicht einstellen.

Was kannst Du nicht einstellen?
"irgendeine Verschlüsselungsart" oder "Netzname/User/PW"?

Tja, da hat Beate den Doppelpunkt verschluckt - Sie meint
"meine IPdio, dnt, funktionieren jedenfalls so" Doppelpunkt
"Netzname/User/PW" Komma
"irgendeine Verschlüsselungsart kann ich da nicht einstellen."
Ergo, ersteres geht, zweiteres nicht. Also wahrscheinlich auch keine
Zertifikate.

ACK

Beate

[Stephan Manske]

Post by Armin Ehrbar
Tja, da hat Beate den Doppelpunkt verschluckt - Sie meint
"meine IPdio, dnt, funktionieren jedenfalls so" Doppelpunkt
"Netzname/User/PW" Komma
"irgendeine Verschlüsselungsart kann ich da nicht einstellen."
Ergo, ersteres geht, zweiteres nicht. Also wahrscheinlich auch keine
Zertifikate.

ACK

Ist das dann neu? Weil wie gesagt, in der Doku fand ich auf die
Schnelle nix.


Unabhängig davon: Mich würden ja weit gestreutere Erfahrungen
interessieren, damit ich abschätzen kann, ob ich für den Fall von
WLAN-Radios, TV-Medienplayer ... noch irgendwie PSK vorhalten muß.


Ciao, Stephan

[Thomas Einzel]

Post by Stephan Manske

Post by Armin Ehrbar
Tja, da hat Beate den Doppelpunkt verschluckt - Sie meint
"meine IPdio, dnt, funktionieren jedenfalls so" Doppelpunkt
"Netzname/User/PW" Komma
"irgendeine Verschlüsselungsart kann ich da nicht einstellen."
Ergo, ersteres geht, zweiteres nicht. Also wahrscheinlich auch keine
Zertifikate.

ACK

Ist das dann neu? Weil wie gesagt, in der Doku fand ich auf die
Schnelle nix.

Mein iPdio Mini Pro ist via WPA2-PSK verbunden. Ich weiß nicht ob Beate

Post by Stephan Manske
Unabhängig davon: Mich würden ja weit gestreutere Erfahrungen
interessieren, damit ich abschätzen kann, ob ich für den Fall von
WLAN-Radios, TV-Medienplayer ... noch irgendwie PSK vorhalten muß.

Schrieb ich schon: AFAIK ja.

Thomas

[Beate Goebel]

[Netzname + Username + PW]

Post by Thomas Einzel

Post by Stephan Manske
Ist das dann neu? Weil wie gesagt, in der Doku fand ich auf die
Schnelle nix.

Mein iPdio Mini Pro ist via WPA2-PSK verbunden. Ich weiß nicht ob

Nein, eine schlichte Fritz, WPA2 (CCMP) eingestellt. Das iPdio mini und die
ipedio Clock haben damit keine Probleme nach Eingabe der obigen Angaben.
Mehr kann ich in die IPdio aber nicht eingeben.

Beate

[Thomas Einzel]

Beate Goebel schrieb am 18.03.2010 19:17:
...

Post by Beate Goebel

Post by Thomas Einzel
Mein iPdio Mini Pro ist via WPA2-PSK verbunden. Ich weiß nicht ob

Nein, eine schlichte Fritz, WPA2 (CCMP) eingestellt. Das iPdio mini und die
ipedio Clock haben damit keine Probleme nach Eingabe der obigen Angaben.
Mehr kann ich in die IPdio aber nicht eingeben.

Hm, auch der beste WLAN Client der Welt kann nicht etwas verwenden was
der WLAN AP nicht anbietet.

Deine iPdios zeigen etwas anderes als ab S.8 ff.?
http://www.dnt.de/neu/data/download/files/137/ipdio-DEFoF.pdf

SSID, Schlüssel - von etwas anderen ist auch in der Anleitung beim WLAN
keine Rede und ich kann mich auch bei der Einrichtung an nichts anders
erinnern, kein weiterer Parameter. Mein iPdio Mini Pro ist aber nur mit
einem AP verbunden, der ausschließlich auf "WPA2 Personal" mit AES
konfiguriert ist - deswegen die Frage, ob du einen Radius Server hast.

Vielleicht kannst du ja noch herausfinden, was du mit "Netzname/User/PW"
gemeint hast und was der 3. Parameter ist.

Thomas

[Beate Goebel]

Post by Thomas Einzel

Post by Beate Goebel
Nein, eine schlichte Fritz, WPA2 (CCMP) eingestellt. Das iPdio mini
und die ipedio Clock haben damit keine Probleme nach Eingabe der
obigen Angaben. Mehr kann ich in die IPdio aber nicht eingeben.

Hm, auch der beste WLAN Client der Welt kann nicht etwas verwenden was
der WLAN AP nicht anbietet.
Deine iPdios zeigen etwas anderes als ab S.8 ff.?
http://www.dnt.de/neu/data/download/files/137/ipdio-DEFoF.pdf

Seite 8 trifft es genau. Sorry, hatte es aus dem Gedächtnis. Username dann
nicht nötig.

Post by Thomas Einzel
deswegen die Frage, ob du einen Radius Server
hast.

Ich habe definitiv keinen Radiusserver. Bei mir werkelt nur die Fritz. Alle
Geräte sind direkt mit ihr verbunden, meist WLAN.

Post by Thomas Einzel
Vielleicht kannst du ja noch herausfinden, was du mit
"Netzname/User/PW" gemeint hast und was der 3. Parameter ist.

Siehe oben. kein 3. Parameter.

Aber ich schließe nicht aus, dass man die Linux-Firmware des IPdio
entsprechend modifizieren kann - an dnt vorbei. Es gibt da spezielle Foren
im Web.

Beate

[Armin Ehrbar]

Post by Thomas Einzel
Deine iPdios zeigen etwas anderes als ab S.8 ff.?
http://www.dnt.de/neu/data/download/files/137/ipdio-DEFoF.pdf

Da steht folgendes drin:

| Ist das Netzwerk mit einem Schlüssel versehen, erscheint WPA
| Code eingeben oder WEP Code eingeben.
| Geben Sie nun Stelle für Stelle den Code ein. Der WPA Code
| hat 16 Stellen, der WEP hat 13 Stellen."

Also mein WPA oder WPA2 Schlüssel hatte früher mal größer 40 Stellen,
jetzt nur noch 26 Stellen. Wie soll ich den da eingeben? Was ist das
für ein Murks?


Mit freundlichen Grüßen,

ae

[Thomas Einzel]

Post by Armin Ehrbar

Post by Thomas Einzel
Deine iPdios zeigen etwas anderes als ab S.8 ff.?
http://www.dnt.de/neu/data/download/files/137/ipdio-DEFoF.pdf

| Ist das Netzwerk mit einem Schlüssel versehen, erscheint WPA
| Code eingeben oder WEP Code eingeben.
| Geben Sie nun Stelle für Stelle den Code ein. Der WPA Code
| hat 16 Stellen, der WEP hat 13 Stellen."
Also mein WPA oder WPA2 Schlüssel hatte früher mal größer 40 Stellen,
jetzt nur noch 26 Stellen. Wie soll ich den da eingeben? Was ist das
für ein Murks?

Event. meinte man "mindestens"? Frage dnt...

Mein iPdio mini pro arbeitet jedenfalls mit längeren pass phrasen als 16
Stellen (WPA2).

Thomas

[Stephan Manske]

Post by Armin Ehrbar
Tja, da hat Beate den Doppelpunkt verschluckt - Sie meint
"meine IPdio, dnt, funktionieren jedenfalls so" Doppelpunkt
"Netzname/User/PW" Komma
"irgendeine Verschlüsselungsart kann ich da nicht einstellen."
Ergo, ersteres geht, zweiteres nicht. Also wahrscheinlich auch keine
Zertifikate.

Mit Zertifikaten habe ich auch nicht gerechnet, das setzt ja ssl usw
auf den Geräten voraus.

Aber User/Paßwort würde zumindestens nach Radius klingen ...

... nur leider habe da nichts beim schnellen Überfliegen der Doku
gefunden?


Unabhängig davon: Mich würden ja weit gestreutere Erfahrungen
interessieren, damit ich abschätzen kann, ob ich für den Fall von
WLAN-Radios, TV-Medienplayer ... noch irgendwie PSK vorhalten muß.

Post by Armin Ehrbar
Aber was will eine Firma, die Radius einsetzt, denn auch

Äh, Firma? Ich mache das privat.

Post by Armin Ehrbar
mit fertigen WLAN-Radios, die keine vollwertigen Computer sind? Und
wenn man es normalerweise dort nicht einsetzt, wieso soll dann der
asiatische Programmierer bei den *Consumergeräten* dies mit
berücksichtigen?

Zertifikate "verlange" ich ja garnicht, aber sollten WPA-Endgeräte
nicht beides können (also PSK und Radius _ohne_ Zertifikate)?




Ciao, Stephan

[Armin Ehrbar]

Post by Stephan Manske

Post by Armin Ehrbar
Aber was will eine Firma, die Radius einsetzt, denn auch

Äh, Firma? Ich mache das privat.

Ach so.

Post by Stephan Manske

Post by Armin Ehrbar
mit fertigen WLAN-Radios, die keine vollwertigen Computer sind?
Und wenn man es normalerweise dort nicht einsetzt, wieso soll
dann der asiatische Programmierer bei den *Consumergeräten* dies
mit berücksichtigen?

Zertifikate "verlange" ich ja garnicht, aber sollten WPA-Endgeräte
nicht beides können (also PSK und Radius _ohne_ Zertifikate)?

Huch - ich ging immer davon aus, daß Radius Zertifikate voraussetzt ...
Das ist also tatsächlich nicht der Fall?


Mit freundlichen Grüßen,

ae

[Martin Bodenstedt]

Post by Armin Ehrbar
Huch - ich ging immer davon aus, daß Radius Zertifikate voraussetzt ...
Das ist also tatsächlich nicht der Fall?

Nein, wieso auch?

Zunächst einmal dient ein Radius - Server nur dazu, von zentraler Stelle
aus zu einem Zugriffswunsch auf eine Ressource "hey" oder "nay" ("ja"
oder "nein") zu sagen aufgrund von Kriterien, auf die sich der Fragende
(der "Radius Client") und der Gefragte (der "Radius Server") vorher
geeinigt haben.

Im Falle von WLAN ist der AP der Radius Client. Dieser muss vom Radius
Server autorisiert sein, fragen zu dürfen.

Das Zugangskriterium können Attribute eines Zertifikates sein, eine
Username/Passwort Kombination, die MAC Adresse etc.

Je nach Antwort des Radius Servers kann dann auf dem Radius Client eine
Menge passieren. Zum Beispiel kann der Radius Client das Endgerät je
nach Antwort in unterschiedliche VLANs stecken, den Zugriff ganz
ablehnen oder sogar auf einzelne Protokolle bsschränken, je nach
Konfiguration von Radius Client und -server.

[Stephan Manske]

Post by Armin Ehrbar

Post by Stephan Manske
Zertifikate "verlange" ich ja garnicht, aber sollten WPA-Endgeräte
nicht beides können (also PSK und Radius _ohne_ Zertifikate)?

Huch - ich ging immer davon aus, daß Radius Zertifikate voraussetzt ...
Das ist also tatsächlich nicht der Fall?

Ich denke mal, es gibt im praktischen WLAN-Einsatz drei verschiedene
Methoden:


a) RADIUS und Supplicant (also zB das Notebook) tauschen Zertifikate
aus.

b) Supplicant meldet sich mit User/Paßwort per PEAP mit MSCHAPv2 oder
so an. Dabei dürfte AFAIK das Paßwort nicht plain über den Äther
gehen, so daß da niemand fremdes was mit anfangen kann


c) wie b, nur daß sich vorher wenigstens der RADIUS via Zertifikat
(der Supplicant sollte dafür das Zert der übergeordneten CA haben)
ausweist, der Supplicant ist sich also sicher, dem richtigen RADIUS
seine Daten zu geben.




Ciao, Stephan

[Thomas Einzel]

Stephan Manske schrieb am 16.03.2010 00:40:
...

Post by Stephan Manske
ich stelle ja gerade mein WLAN von WPA2-PSK auf WPA2 (Enterprise) um,
also mit einem Radius-Server im Hintergrund.

Eine größere Lösung oder etwas kleineres, was man ohne extra Rechner
aufsetzen kann?

Post by Stephan Manske
Meine Notebooks werden Zertifikate bekommen, aber eine Frage geht mir
Ich nehme mal an, daß die mit Zertifikaten wenig anfangen können,
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort? Oder brauchen die einen PSK?

AFAIK PSK siehe z.B.
http://www.thiecom.de/ftp/sangean/wfr20/sangean-wfr20-bedienungsanleitung.pdf
oder
http://www.dnt.de/neu/data/download/files/137/ipdio-DEFoF.pdf

Falls du zufällig DD-WRT auf deine WLAn APs flashen kannst: du müssten
WPA2-PSK und WPA2-Enterprise parallel können (einstellen kann man es,
ich habe aber keinen Radius Server um es testen zu können).

Thomas

[Thomas Einzel]

Post by Thomas Einzel
...

Post by Stephan Manske
ich stelle ja gerade mein WLAN von WPA2-PSK auf WPA2 (Enterprise) um,
also mit einem Radius-Server im Hintergrund.

Eine größere Lösung oder etwas kleineres, was man ohne extra Rechner
aufsetzen kann?

Gerade nachgeschaut, auf meinem NAS könnte ich das per ipkg installieren...

[~] # ipkg list | grep radius
freeradius - 2.0.5-2 - An open source RADIUS server.
freeradius-doc - 2.0.5-2 - An open source RADIUS server.
radiusclient-ng - 0.5.6-1 - easy-to-use and standard compliant library
suitable for developing free and commercial software that need support
for a RADIUS
[~] #

Hm...

Thomas

[Stephan Manske]

Post by Thomas Einzel

Post by Stephan Manske
ich stelle ja gerade mein WLAN von WPA2-PSK auf WPA2 (Enterprise) um,
also mit einem Radius-Server im Hintergrund.

Eine größere Lösung oder etwas kleineres, was man ohne extra Rechner
aufsetzen kann?

Ich nutze hier einen eisfair-Server und habe gerade ein
freeradius-Paket dafür zusammengestellt.

Post by Thomas Einzel

Post by Stephan Manske
aber können diese Geräte regelmäßig wenigstens WPA(2) mit
User/Paßwort? Oder brauchen die einen PSK?

AFAIK PSK siehe z.B.
http://www.thiecom.de/ftp/sangean/wfr20/sangean-wfr20-bedienungsanleitung.pdf
oder
http://www.dnt.de/neu/data/download/files/137/ipdio-DEFoF.pdf

:-(

Post by Thomas Einzel
Falls du zufällig DD-WRT auf deine WLAn APs flashen kannst: du müssten
WPA2-PSK und WPA2-Enterprise parallel können (einstellen kann man es,
ich habe aber keinen Radius Server um es testen zu können).

Ich weiß - ich müßte mir dann aber für den Keller einen weiteren WRT
besorgen. :-(



Ciao, Stephan

[Thomas Richter]

Falls du zuf llig DD-WRT auf deine WLAn APs flashen kannst: du m ssten
WPA2-PSK und WPA2-Enterprise parallel k nnen (einstellen kann man es,
ich habe aber keinen Radius Server um es testen zu k nnen).

freeRadius habe ich auch schon als openWRT Paket für die Mips
Plattform gesehen. Könnte man auf einem WRT mit entsprechenden
Resourcen laufen lassen.

mfG Thomas Richter

[Ca|in Rus]

Post by Thomas Richter
freeRadius habe ich auch schon als openWRT Paket für die Mips
Plattform gesehen. Könnte man auf einem WRT mit entsprechenden
Resourcen laufen lassen.

Hast Du das schon mal umgesetzt? Mit Zertifikaten?
Das ist ein Projekt, das ich die ganze Zeit vor mir herschiebe.
freeradius habe ich auf dem Linksys mit OpenWrt schon installiert, mir
ist nur nicht klar, wie das mit der Zertifikaterzeugung, -export und
-import (auf dem Client) funktioniert.

Gruß,
Calin

[Thomas Richter]

Post by Ca|in Rus
Hast Du das schon mal umgesetzt? Mit Zertifikaten?

Steht noch auf meiner "muß ich mal machen wenn ich Zeit habe" Liste.
Ich glaube auch nicht das die Mips Version von freeRadius Zertifikate
unterstützt.
Eher nur Flatfile mit gehashten Passwörtern.

Post by Ca|in Rus
Das ist ein Projekt, das ich die ganze Zeit vor mir herschiebe.
freeradius habe ich auf dem Linksys mit OpenWrt schon installiert, mir
ist nur nicht klar, wie das mit der Zertifikaterzeugung, -export und
-import (auf dem Client) funktioniert.

dafür brauchst Du auf jeden Fall noch ein OpenSSL.
Deshalb mache ich das auf einer Debian Box. Frontend und Datenbank
will man ja auch noch haben.

mfG Thomas Richter

[Ca|in Rus]

Post by Thomas Richter
Steht noch auf meiner "muß ich mal machen wenn ich Zeit habe" Liste.

:-)
Dito hier.

Post by Thomas Richter
Ich glaube auch nicht das die Mips Version von freeRadius Zertifikate
unterstützt.

Ich war schon mal so weit, dass ich so ein Dummy-Zertifikat schon mal
generiert habe. Das war definitiv auf einem WRT (Linksys) zu Zeiten von
White Russian. Ich wusste nur nicht, wie es weitergeht. Das HowTo das
ich hatte war damals schon ziemlich veraltet und passte nicht zur
aktuellen Software. Mittlerweile gibt es die Backfire als Beta, wie ich
gerade sehe.

Post by Thomas Richter
Eher nur Flatfile mit gehashten Passwörtern.

Das sollte einfacher sein als mit Zertifikaten. Trotzdem, in einer
geschäftlichen Umgebung ist das deutlich besser als PSKs.

Post by Thomas Richter
dafür brauchst Du auf jeden Fall noch ein OpenSSL.
Deshalb mache ich das auf einer Debian Box.

Wieso, ist das Paket zu groß für den Standard-Linksys?

Post by Thomas Richter
Frontend und Datenbank will man ja auch noch haben.

In dem Fall gilt für mich: Muss nicht hypsch sein, muss nur
funktionieren. :-)

Gruß,
Calin

[Charlie]

Post by Ca|in Rus

Post by Thomas Richter
Ich glaube auch nicht das die Mips Version von freeRadius Zertifikate
unterstützt.

Warum sollte sie das nicht unterstützen?

Post by Ca|in Rus

Post by Thomas Richter
Eher nur Flatfile mit gehashten Passwörtern.

Das sollte einfacher sein als mit Zertifikaten. Trotzdem, in einer
geschäftlichen Umgebung ist das deutlich besser als PSKs.

Ja.

Post by Ca|in Rus

Post by Thomas Richter
dafür brauchst Du auf jeden Fall noch ein OpenSSL.
Deshalb mache ich das auf einer Debian Box.

Wieso, ist das Paket zu groß für den Standard-Linksys?

Nein, Ich habe z.B. auf einer ganzen Reihe WRT54GL openVPN am start, und
das läuft bekanntlich nicht ohne openSSL. Klar ist das package schon etwas
größer, läßt sich aber selbst in den 4MB Flash des WRT54GL noch ganz gut
unterbringen. Naja, FreeRadius hab ich auf den Büchsen allerdings nicht
laufen, dafür aber jede Menge anderen Spielkram. Wenn man andere
Prioritäten setzt und diverse andere Sachen wegläßt (screen, nmap z.B.),
könnte es aber bestimmt auch mit FreeRadius und openSSL klappen.

Gruß,
Bert

[Stephan Manske]

Post by Ca|in Rus
Hast Du das schon mal umgesetzt? Mit Zertifikaten?

Zertifikate lassen sich ja auch extern erstellen und verwalten, mir
ist da u.a. TinyCA untergekommen.

Post by Ca|in Rus
Das ist ein Projekt, das ich die ganze Zeit vor mir herschiebe.
freeradius habe ich auf dem Linksys mit OpenWrt schon installiert, mir
ist nur nicht klar, wie das mit der Zertifikaterzeugung, -export und
-import (auf dem Client) funktioniert.

Der Radius-Server braucht dann ja nur seinen Server-Key + Zertifikat
und das CA-Zertifikat. Die Clients dann CA-Zert und ihren eigenen
Key+Zert.


Für mein eisfair-Paket habe ich da einige URLs zusammengestellt,
vielleicht helfen die Dir weiter:


802.1X mit Windows XP (ab SP2) und WLAN / 802.1X mit Windows Vista und WLAN ³
(Zugang mit User/Kennwort) ³
http://www.zedat.fu-berlin.de/Eduroam-Windows ³
³
Zugang zum HU-WLAN mit persönlichem Zertifikat unter Windows XP ³
ab Punkt "Wurzelzertifikat installieren" ³
http://www.cms.hu-berlin.de/dl/netze/wlan/config/eduroam/xp-zert ³
³
Zugang zum HU-WLAN mit persönlichem Zertifikat unter Windows Vista ³
ab Punkt "Persönliches WLAN-Zertifikat importieren" - Allerdings wird hier nicht ³
beschrieben, wie das CA/Wurzelzertifikat importiert wird. ³
http://www.cms.hu-berlin.de/dl/netze/wlan/config/eduroam/vista-zert ³
³
Zugang zum WLAN eduroam unter Linux mittels wpa_supplicant sowie weitere Linux- ³
Distributionen ³
http://www.cms.hu-berlin.de/dl/netze/wlan/config/eduroam/linux ³
³
Zugang zum WLAN eduroam unter MacOS (nur User/Kennwort) ³
http://www.cms.hu-berlin.de/dl/netze/wlan/config/eduroam/macos_10.6 ³
³
Windows XP/SP2 mit WPA/WPA2 | EAP-PEAP | MSCHAPv2 ³
http://www.uni-jena.de/Windows_XP_SP2_mit_MSCHAPv2.html ³
³
Konfiguration Windows Vista (WPA/WPA2 | EAP-PEAP | MSCHAPv2) ³
http://www.uni-jena.de/Windows_Vista_mit_MSCHAPv2.html ³
³
Konfiguration Windows 7 (WPA/WPA2 | EAP-PEAP | MSCHAPv2) ³
http://www.uni-jena.de/Windows_7_mit_MSCHAPv2.html ³



und meine Hilfe für XP-User:

(wenn da jemand einen Korrektur/Verbesserungvorschlag hat ...)


WLAN mit Zertifikaten (IEEE 802.11i EAP-TLS) 
±
Ich beschreibe die Einstellungen anhand eines Windows XP SP3 Systems: ±
±
±
1) Zertifikat der CA importieren ±
±
Der Nutzer muß das vom Paket erstellte Zertifikat vom Netzadministrator erhalten ±
haben. Z.B. per Mail oder auf einem USB-Stick. ±
±
Dann einfach auf die Datei ca.der doppelklicken, "Zertifikat installieren" und ±
dem Assistenten folgen. Dabei stets die automatischen Einstellungen wählen. ±
±
2) Zertifikat des Nutzers importieren ±
±
Der Nutzer muß das vom Paket für ihn persönlich erstellte Zertifikat vom ±
Netzadministrator erhalten haben. Z.B. per Mail oder auf einem USB-Stick. Zusätzlich ±
benötigt er einmalig das in der Nutzer-Konfiguration eingegebene Schlüssel-Kennwort. ±
±
Dann einfach auf die Datei <username>.p12 doppelklicken, "Zertifikat installieren" und ±
dem Assistenten folgen und an passender Stelle das Kennwort eingeben. Dabei stets ±
die automatischen Einstellungen wählen. ±
±
3) WLAN-Einstellungen ±
±
Netzwerkverbindungen öffnen ±
Eigenschaften aus dem Kontext-Menü für die WLAN-Adapter auswählen ±
±
Reiter: Drahtlosnetzwerke ±
±
ggf. über "Drahtlosnetzwerke anzeigen" das eigene WLAN-Netz auswählen oder ±
bei "Bevorzugte Netzwerke" Hinzufügen auswählen und SSID per Hand eingeben. ±
±
Bereich Drahtlosnetzwerkschlüssel: ±
Netzwerkauthentifizierung: WPA2 oder WPA (wenn die eigene Hardware kein WPA2 ±
beherrscht). Sofern hier bisher ein "klassischer" Zugang (s.o.) benutzt wurde, ±
steht hier WPA(2)-PSK. ±
±
Datenverschlüsselung: AES oder ggf. TKIP ±
±
Reiter: Authentifizierung ±
±
[X] IEEE 802.1X ... aktivieren (sollte ausgegraut und aktiviert sein) ±
EAP-Typ: [ Smartcard oder anderes Zertifikat ] ±
[] Als Computer authentifizieren, wenn Computerinformationen ±
verfügbar sind ±
[] Als Gast authentifizieren, wenn Benutzer oder ±
Computerinformationen nicht verfügbar sind ±
±
-> Eigenschaften ±
±
Beim Herstellen der Verbindung: ±
±
() Eigene Smartcard verwenden ±
(X) Zertifikat auf diesem Computer verwenden ±
[X] Einfach Zertifikationsauswahl verwenden ±
±
[X] Serverzertifikat überprüfen ±
[X] Verbindung mit diesen Server herstellen: [ ] ±
±
Vertrauenswürdige Stammzertifizierungsstellen: ±
[] keine ausgewählt - geschieht ggf. automatisch ±
±
[] Andere Benutzernamen für die Verbindung verwenden ±
±
±
3) Beim ersten Verbindungsversuch sollte nun ein Popup erscheinen: ±
±
"Klicken Sie hier, um die Anmeldeinformationen für das folgende Netzwerk zu ±
verarbeiten: Dein-WLAN-SSID" ±
±
Danach erscheint ein Fenster "Serverzertifikat überprüfen", es sollte ±
FREERADIUS_CERT_CA_NAME als Stammzertifikatsstelle nennen. ±
±
Über "Serverzertifikat anzeigen" kann man jetzt nachprüfen, daß die Identität ±
des Servers von unserer eigenen CA bestätigt wird. ±
("Ausgestellt von: FREERADIUS_CERT_CA_NAME") ±
("Ausgestellt von: FREERADIUS_CERT_CA_NAME") ±
±
Wenn alles stimmt "OK" drücken. ±
±
Fertig, kein Benutzername, kein Paßwort, einfach fertig! :-) Û









Ciao, Stephan

[Ca|in Rus]

Post by Stephan Manske
Zertifikate lassen sich ja auch extern erstellen und verwalten, mir
ist da u.a. TinyCA untergekommen.

Schön wäre es, wenn es direkt auf dem WRT ginge. Sozusagen die minimale
Komplettlösung.

Post by Stephan Manske
Der Radius-Server braucht dann ja nur seinen Server-Key + Zertifikat
und das CA-Zertifikat. Die Clients dann CA-Zert und ihren eigenen
Key+Zert.

Ja. Und das sollte auch alles direkt auf einem WRT generier- und
verwaltbar sein.

Post by Stephan Manske
Für mein eisfair-Paket habe ich da einige URLs zusammengestellt,

Vielen herzlichen Dank für Deine Infos. Werde es demnächst nochmal
angehen und probieren. Bei Interesse kann ich ja mal berichten.

Gruß,
Calin

[Ca|in Rus]

Post by Stephan Manske
Der Radius-Server braucht dann ja nur seinen Server-Key + Zertifikat
und das CA-Zertifikat. Die Clients dann CA-Zert und ihren eigenen
Key+Zert.

Wie kriege ich das auf einem Router mit OpenWrt generiert?

[sinnvolle Links snip]

Die Konfiguration setzt voraus, dass die Zertifikate bereits existieren.
Daran scheitere ich aber im Moment noch.
[HowTo snip]

Was ich vorhabe ist wie gesagt ein OpenWrt-Router mit Freeradius,
Zertifikatserzeugung und -verwaltung drauf. Das wäre die Lösung für
SOHOs ohne einen Rechner, der ständig läuft. Was ich bisher habe ist der
OpenWrt-Router mit Freeradius drauf. Nur wie geht es jetzt weiter? Wie
kriege ich die Zertifikate erzeugt und verwaltet?

Gruß,
Calin

[Martin Bodenstedt]

Post by Ca|in Rus

Post by Stephan Manske
Der Radius-Server braucht dann ja nur seinen Server-Key + Zertifikat
und das CA-Zertifikat. Die Clients dann CA-Zert und ihren eigenen
Key+Zert.

Wie kriege ich das auf einem Router mit OpenWrt generiert?

Das sollte mit OpenSSL gehen. Hier ist mal ein Link, der Dir vielleicht
weiterhilft...

http://www.flatmtn.com/article/setting-openssl-create-certificates

[Stephan Manske]

Post by Ca|in Rus

Post by Stephan Manske
Der Radius-Server braucht dann ja nur seinen Server-Key + Zertifikat
und das CA-Zertifikat. Die Clients dann CA-Zert und ihren eigenen
Key+Zert.

Wie kriege ich das auf einem Router mit OpenWrt generiert?

Im übrigen eine funktionierende openssl-Installation vorausgesetzt:

freeradius komplett installiert, bringt in /etc/raddb/certs fertige
makefiles, um Zertifikate zu erzeugen: Einstellungen in
ca/server/client.cnf



Ciao, Stephan