Implementação Implementação da Rede Wireless utilizando EAP-TLS 1 – Configuração no Access Point (Setor de Redes): Forma genérica: Configure seu AP para que tenha um IP estático isso deverá ajudá-lo em sua administração (Guarde o IP do AP, pois você precisará dele para configurar o arquivo clients.conf do freeradius); Coloque uma senha de administração no seu AP; Dê um nome para o seu SSID, mas de tal forma que não seja óbvio (errad (errado: o: SSID=agr SSID=agrimi imisa, sa, certo: certo: SSID=2 SSID=2954_ 954_agri agrimis misa) a) e não faça faça o broadcast do SSID; O canal de rádio deve ser configurado de acordo com a infraestrutura da sua rede local (1 ou mais m ais AP no mesmo canal ?); Configure o IP da sua Servidora RADIUS (ex.: 192.168.1.1) e a porta de conexão para 1812 e digite a senha secreta que foi criada na servidora RADIUS (encontra-se no aquivo clients.conf ); Configure a reautenticação no servidor RADIUS para que seja de 15 a 20 segundos; Conf Config igur ure e para para que que ele ele trab trabal alh he no modo modo 802. 802.1x 1x e chav chave e com com tamanho de 128 bits; Configure para que seja usado WPA com servidor radius; Digite o MAC das placas de rede que serão clientes do AP (Para saber qual é o endereço Mac das placas de rede no Linux digite o comando: ifconfig e já no windows digite o comnado: ipconfig /all; /all; Verifique sempre se existe atualização de firmware; •
• •
•
•
•
•
• •
•
2 – Configuração do FreeRADIUS + DHCP na Servidora Windows NT: 2.1 2.1 •
•
•
– Ins Insta tala laçã ção o e Con Configur iguraç açã ão do do Fre FreeR eRAD ADIU IUS S Baixe e instale o freeradius.net-1.0.2-r0.0.8.exe do sítio: www.freeraduis.net ; Modi Modifi fica cand ndo o o dire diretó tóri rio o dos dos cert certif ific icad ados os.. Cliq Clique ue em Inic Inicia iarr > Program Programas as > FreeRA FreeRADIU DIUS.n S.net et > Edit radiusd radiusd.co .conf, nf, neste neste arquivo arquivo,, mude a variável certsdir conforme conforme a linha abaixo: prefix = .. exec_prefix = ${prefix} sysconfdir = ${prefix}/etc localstatedir = ${prefix}/var sbindir = ${exec_prefix}/bin logdir = ${localstatedir}/log/radius raddbdir = ${sysconfdir}/raddb certsdir = ${sysconfdir}/raddb/certs/ radacctdir = ${logdir}/radacct Importe os certificados gerados pela CA para a Servidora Windows NT (key.pe (key.pem, m, cert.pe cert.pem m e cacert cacert.pe .pem). m). Para Para import importar ar os certif certifica icados dos,, teremos que descompactar o arquivo fornecido pelos administradores da CA. Após descompactado, renomeie os certificados para: key.p12, cert.crt cert.crt e cacert.crt. cacert.crt. Para instalar instalar os certificado certificadoss basta copiá-los copiá-los para
•
•
o diretório: “c:/ . Somente o certificado da servidora lhe pedirá a senha, e que você já sabe, pois a mesma foi lhe entregue junto com os certificados; Após instalado, clique em Iniciar > Programas > FreeRADIUS.net > Edit Clients.conf, neste arquivo, mude o IP do client colocando o do seu AP e altere a senha secret: client 192.168.1.100 { secret = testing123 shortname = private-netwok } Depois de gerado e instalado o certificado na Servidora RADIUS, clique em Iniciar > Programas > FreeRADIUS.net > Edit eap.conf, neste arquivo, mude a senha de private_key_password colocando a senha que foi gerada junto com o certificado da servidora (será fornecida pelos administradores da CA) e altere as linhas private_key_file, certificate_file, CA_file, dh_file e random_file para que fiquem identicas as escritas abaixo: tls { private_key_password = 1234 private_key_file = ${certsdir}/key.p12 # If Private key & Certificate are located in # the same file, then private_key_file & # certificate_file must contain the same file # name. certificate_file = ${certsdir}/cert.crt # Trusted Root CA list CA_file = ${certsdir}/cacert.crt
•
•
dh_file = ${certsdir}/dh random_file = ${certsdir}/random Para iniciar o FreeRADIUS, clique em Iniciar > Programas > FreeRADIUS.net > Start FreeRADIUS.net. Se por acaso ocorrer algum erro na inicialização do serviço, verifique novamente os arquivos que foram alterados; Para que o aplicativo FreeRADIUS seja inicializado no boot. Faça uma cópia do arquivo start_radiusd.bat que se encontra no diretório: “C:\Program Files\FreeRADIUS.net-1.0.2-r0.0.8\”. Edite o arquivo e remova a opção: && pause. O aquivo deverá estar escrito desta forma: @echo off && cmd /C cd C:\Program Files\FreeRADIUS.net-1.0.2r0.0.8 && cd bin && radiusd.exe -d ../etc/raddb && echo ######## You MUST end this process from Windows Task Manager ########
•
Agendando a inicialização do FreeRadius. Dê um clique duplo no ícone Meu Computador > Tarefas Agendadas > Adicionar Tarefa Agendada > Próximo > Procurar > C:\Program Files\FreeRADIUS.net1.0.2-r0.0.8\start_radiusd.bat > Abrir > Selecione - Ao iniciar o computador > Próximo > Digite a senha do administrador e faça a
sua confirmação > Próximo > Concluir. No próximo boot, o aplicativo FreeRADIUS será inicializado automaticamente. 2.2 - Instalação e Configuração do DHCP •
•
•
•
•
•
Instale o serviço de DHCP no Windows NT. Clique com o botão direito em cima do ícone Ambiente de Rede > selecione a aba serviços > adicione o serviço: Servidor de DHCP da Microsoft; Configure o serviço. Clique em Meu Computador > Painel de Controle > Serviços > clique no Servidor de DHCP da Microsoft > clique no botão de inicialização e marque a opção Automático > clique em OK > para inicializar o serviço do servidor DHCP clique no botão iniciar; Customizando o serviço do servidor DHCP. Clique em Iniciar > Programas > Ferramentas Administrativas > Gerenciamento de DHCP; Configurando Escopo. Clique em Escopo > Criar > Digite o endereço inicial da faixa de ip's, digite o endereço final da faixa de ip's, digite a máscara de rede utilizada e marque a opção ilimitada em tempo de duração. Digite a faixa de ip's que estarão associadas ao endereço MAC da placa de rede; Associar o ip ao endereço MAC da placa de rede. Ainda em Gerenciamento de DHCP, clique em Escopo > Adicionar Reservas > Digite o endereço ip no campo respectivo, e no campo identificação única (MAC) digite o endereço MAC da placa de rede sem qualquer tipo de ponto (errado: 00-E0-20-4C-FF-AB certo: 00E0204CFFAB). Coloque o nome do usário no campo Nome Cliente e acrescente comentário no campo Comentário Cliente (opcional). Repita este tópico toda vez que precisar de associar um enderço ip a um endereço MAC. Para confirmar se a associação está correta, dê um clique no “+” do item Máquina Local em Servidor DHCP e em seguida dê um clique duplo sobre a lâmpada amarela (endereço da sua rede local); Envio automático do ip do roteador (gateway), ip do servidor de DNS e o nome do Domíno utilizado para os clintes que estão utilizando o serviço de DHCP. Ainda em Gerenciamento de DHCP, clique em opções do DHCP > Global > Adicione Roteador (gateway) e inclua o ip do mesmo, adicione Servidor de DNS e inclua o(s) ip(s) do(s) mesmo(s) e adicione o Nome do Domínio e inclua o domínio utilizado;
3 – Instalação e configuração de EAP-TLS no Libertas, Windows 98SE, XP e 2000 3.1 - Instalação e configuração de EAP-TLS no Windows 98SE, XP e 2000 •
•
•
Pode-se configurar EAP-TLS no aplicativo que vem com o driver da placa de rede wireless ou no próprio driver nativo do sistema operacional; Instale o driver (caso necessário, pois alguns sistemas operacionais já possuem vários driver's de placas de rede wireless nativos) e o aplicativo que veio junto com a placa de rede wireless; Importe o certificado gerado pela CA para o Windows (máquina.p12 ou email.p12). Para importar o certificado basta dar um duplo clique no certificado. Somente o certificado do usuário ou da máquina lhe
•
•
pedirá a senha, e que você já sabe, pois a mesma foi lhe entregue junto com os certificados; Opções gerais para configuração do EAP-TLS. Procure pela opção segurança > Autenticação – marque a opção WPA > habilita criptografia > modo de criptografia – marque a opção AES > habilite/marque a opção 802.1x. Procure pela opção Configuração da Autenticação > selecione o tipo de EAP – marque a opção EAP-TLS > seleção do certificado – marque o certificado que estiver disponibilizado > digite o nome do usuário que você logou > marque a opção validar certificado de servidor; Procedimento de instalação do wpa na inicialização do Windows NT/2000 utilizando os aplicativos que vieram com a placa wireless: 1 - Copiar os arquivos srvany.exe e srvinstw.exe do cd resource kit do windows 2000 para o diretório c:\winnt\system32; 2 - Copiar o arquivo do C:\Arquivos de programas\D-Link\AirPlus XtremeG\AirPlusCFG.exe para o diretório C:\WINNT\system32; 3 - Instalação do aplicativo airpluscfg.exe como serviço: Execute o aplicativo srvinstw.exe (este aplicativo instala e remove serviços) > Install a service > Avançar > Local Machine > Digite WPA_AIRPLUSCFG em Service Name > Avançar > Digite ou por c:\winnt\system32\srvany.exe > Avançar > Selecione a opção: Service is its own process > Avançar > Selecione a opção: System Account > Avançar > Selecione a opção: Automatic > Avançar > Concluir; 4 - Execute o aplicativo regedit.exe > Clique em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W PA_AIRPLUSCFG > Do lado direito da tela, clique com o botão direito do mouse > Novo > Chave > Altere o nome da chave para Parameters > Clique em cima da opção Parameters > Do lado direito da tela, clique com o botão direito do mouse > Novo > Valor da Sequência > Altere o nome do valor para Application > Dê um duplo clique no valor Application > Digite em Dados de valor: c:\winnt\system32\airpluscfg.exe > clique em OK; 5 - Evitando conflitos: Ainda no aplicativo regedit.exe > Clique em HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current Version\Run > Renomeie as extensões dos "Dados de valor" de: ANIWZCS2Service e D-Link AirPlus XtremeG (Ex:. C:\Arquivos de programas\ANI\ANIWZCS2 Service\WZCSLDR2.drc e C:\Arquivos de programas\D-Link\AirPlus XtremeG\AirPlusCFG.drc) > Feche o Editor de Registro; 7 - Parando os serviços AirPlusCFg.exe e WZCSLDR2.exe: Clique com o botão direito do mouse sobre a Barra de Tarefas e selecione a opção Gerenciador de tarefas... > Clique na aba Processos > Selecione o processo AirPlusCFg.exe e clique em Finalizar processo, faça o mesmo para o processo WZCSLDR2.exe; 6 - NÃO INICIALIZE A MÁQUINA ANTES DE TESTAR O SERVIÇO: Testando o serviço > Clique com o botão direito no ícone Meu computador e selecione a opção Gerenciar > Serviços e aplicativos > Serviços > Selecione o serviço criado WPA_AIRPLUSCFG > Clique com o botão direito do mouse em cima do serviço selecionado e pressione Iniciar - não deverá ocorrer erros. Para
verificar se o serviço inicializou corretamente, clique com o botão direito do mouse sobre a Barra de Tarefas e selecione a opção Gerenciador de tarefas... > Clique na aba Processos e verifique se existe processo AirPlusCFG.exe - se não estiver aparecendo, verifique os passos anteriores; 7 - Crie o arquivo wpa.bat no diretório C:\Arquivos de programas\ANI\ANIWZCS2 Service\ com a seguinte linha: @echo off && cmd /C “C:\Arquivos de programas\ANI\ANIWZCS2 Service\WZCSLDR2.exe” 8 - Agendando a inicialização do WZCSLDR2.exe: Dê um clique duplo no ícone Meu computador > Painel de controle > Tarefas agendadas > Adicionar tarefa agendada > Avançar > Procurar > C:\Arquivos de programas\ANI\ANIWZCS2 Service\wpa.bat > Digite o nome da tarefa: WPA_WZCSLDR2 e selecione a opção Ao iniciar o computador > Avançar > Digite a senha do administrador e faça uma confirmação > Avançar > Concluir; 9 - Inicialize a máquina > após o boot sua máquina deverá estar conectada e autenticada, caso isso não ocorra, verifique os passos anteriores; 10 – Como administrador, desative o aplicativo AirPlusCFG.exe para os usuários, pois eles podem acessarem e modificarem o aplicativo, que seria um grande transtorno para o setor de suporte. 3.2 •
- Instalação e configuração de EAP-TLS no Libertas 3.1 e 4.0 Instale os pacotes através do comando: apt-get install [nome_do_arquivo] wireless-tools-27-2.1.0.fc1.i386.rpm (necessário) kernel-wlan-ng-0.2.1-pre14.i386.rpm (necessário) kernel-wlan-ng-modules-%{linvers}-0.2.1-pre14.i386.rpm (necessário) kernel-wlan-ng-pci-0.2.1-pre14.i386.rpm (necessário para placas de rede pci) kernel-wlan-ng-pcmcia-0.2.1-pre14.i386.rpm (necessário para placas de rede pcmcia) kernel-wlan-ng-usb-0.2.1-pre14.i386.rpm (necessário para placas de rede usb) wpa_supplicant-0.3.9-8.rhfc1.at.i386.rpm (necessário) o pacote libpcsclite0-1.2.0-5.rhfc1.at.i386.rpm será instalado automaticamente com o wpa-supplicant (dependência) Configuração: Em andamento • • •
•
•
•
•
•
•
4 – Instalação e configuração do FreeRADIUS + DHCP no Libertas: 4.1 •
– Instalação e configuração do FreeRADIUS Instale o pacote freeradius-1.0.1-0.FC1.5.legacy.i386.rpm ou superior com o comando: apt-get install freeradius-1.0.1-
•
•
•
•
0.FC1.5.legacy.i386.rpm; Importe os certificados gerados pela CA para a Servidora Linux (key.pem, cert.pem e cacert.pem). Copie o arquivo compactado com os certificados para o diretório: /etc/raddb/certs. Para importar os certificados, descompacte o arquivo fornecido pelos administradores da CA. Após descompactado, somente o certificado da servidora lhe pedirá a senha, e que você já sabe, pois a mesma foi lhe entregue junto com os certificados; Mude as permissões dos certificados importados com o comando: chmod 644 *.pem; Após instalado, edite o arquivo clients.conf que se encontra no diretório /etc/raddb, mude o IP do client colocando o do seu AP e altere a senha secret: client 192.168.1.100 { secret = testing123 shortname = private-netwok } Depois de gerado e instalado o certificado na Servidora RADIUS, Edite eap.conf, neste arquivo, mude a senha de private_key_password colocando a senha que foi gerada junto com o certificado da servidora (será fornecida pelos administradores da CA) e altere as linhas private_key_file, certificate_file, CA_file, dh_file e random_file para que fiquem identicas as escritas abaixo: tls { private_key_password = 1234 private_key_file = ${raddbdir}/certs/key.pem # If Private key & Certificate are located in # the same file, then private_key_file & # certificate_file must contain the same file # name. certificate_file = ${raddbdir}/certs/cert.pem # Trusted Root CA list CA_file = ${raddbdir}/certs/cacert.pem
•
•
•
dh_file = ${raddbdir}/certs/dh random_file = ${raddbdir}/certs/random Digite o comando para que FreeRADIUS configure as chaves das sessões TLS: openssl dhparam -check -text -5 512 -out dh Testar o funcionamento do FreeRadius. Para que o aplicativo FreeRADIUS seja inicializado, digite o comando: service radiusd start, se por acaso ocorrer algum erro na inicialização do serviço, verifique novamente os arquivos que foram alterados; Para iniciar o FreeRADIUS na inicialização do Libertas, digite o comando ntsysv (para navegar nas opções, utilize as teclas “Para Cima”, “Para Baixo” e “Tab”) e marque com a “barra de espaço” a opção radiusd (Veja a tela abaixo). Na próxima inicialização do Libertas o serviço será inicializado automaticamente; +--------------------| Serviços |--------------------+ | |
|Quais serviços devem ser iniciados | |automaticamente? | | | | [ ] nfs | | [*] nfslock | | [ ] ntpd | | [*] portmap | | [*] postfix | | [*] radiusd | | [*] random | | [*] rawdevices | | | | +-----+ +--------------+ | | | Ok | | Cancelar | | | +-----+ +--------------+ | | | | | +---------------------------------------------------------+ 4.2 - Instalação e configuração do DHCP •
•
•
Instale o pacote dhcp-3.0pl2-6.16.i386.rpm ou superior com o comando: apt-get install dhcp-3.0pl2-6.16.i386.rpm; Faça download do arquivo dhcp.conf do repositório ftp://libertas.pbh.gov.br/pub e copie o mesmo para o diretório /etc; Configurando o arquivo dhcp.conf: # CRIADO PARA A REDE WIRELESS DA PBH # DANILO RODRIGUES CÉSAR / UOI-PB # ANALISTA DE INFORMÁTICA ddns-update-style interim; ignore client-updates; # REDE A QUAL SE APLICA subnet 192.168.1.0 netmask 255.255.255.0 { # DEFAULT GATEWAY option routers 192.168.1.1; option subnet-mask 255.255.255.0; # DOMÍNIO E SERVIDORES DNS #option domain-name "localhost"; option domain-name "pbh"; #option domain-name-servers 200.165.132.147,200.149.55.140; option domain-name-servers 10.0.24.151; # HORÁRIO (BR) option time-offset
-10800;
# RANGE DE IP (192.168.0.10 ao 192.168.0.90) #range dynamic-bootp 192.168.1.10 192.168.1.90; default-lease-time 21600; max-lease-time 43200;
}
•
•
•
# ASSOCIAÇÃO DO ENDEREÇO IP COM O ENDEREÇO MAC host lab_libertas { hardware ethernet 00:00:00:00:00:00; fixed-address 192.168.1.89; } Configurando o arquivo dhcp para que ele forneça o serviço através de outra interface. No exemplo abaixo foi utilizada a interface eth1. O arquivo se encontra no diretório /etc/sysconfig/. Altere a linha DHCPDARGS do arquivo dhcp de acordo com a interface que será utilizada para fornecer o serviço de dhcp: # Command line options here DHCPDARGS=eth1 Testar o funcionamento do DHCP. Para que o aplicativo DHCP seja inicializado, digite o comando: service dhcpd start, se por acaso ocorrer algum erro na inicialização do serviço, verifique novamente os arquivos que foram alterados. Se não ocorreu nenhum erro na inicialização do serviço, verifique se o serviço está rodando com o comando: service dhcpd status; Para iniciar o DHCP na inicialização do Libertas, digite o comando ntsys (para navegar nas opções, utilize as teclas “Para Cima”, “Para Baixo” e “Tab”) e marque com a “barra de espaço” a opção dhcpd (Veja a tela abaixo). Na próxima inicialização do Libertas o serviço será inicializado automaticamente; +--------------------| Serviços |--------------------+ | | |Quais serviços devem ser iniciados | |automaticamente? | | | | [*] cups | | [ ] cups-lpd | | [ ] daytime | | [ ] daytime-upd | | [*] dhcpd | | [ ] dhcrelay | | [ ] echo | | [ ] echo-upd | | | | +-----+ +--------------+ | | | Ok | | Cancelar | | | +-----+ +--------------+ | | | | | +---------------------------------------------------------+
•
Danilo Rodrigues César – Analista de Informática Prodabel / UOI-PB
