View source for RADIUS


=Generic Radius=


*http://www.ietf.org/rfc/rfc2865.txt
*http://www.untruth.org/~josh/security/radius/radius-auth.html
*http://www.freeradius.org/rfc/attributes.html

=Diverse=
*[http://hostap.epitest.fi/wpa_supplicant/ wpa_supplicant] - WPA supplicant til linux
*[http://www.freeradius.org/pam_radius_auth/ pam_radius_auth] - RADIUS plugin til PAM
*[http://www.freeradius.org/mod_auth_radius/ mod_auth_radius] - radius authenication plugin til [http://httpd.apache.org apache]
*[http://dk.php.net/manual/en/ref.radius.php PHP radius]

=FreeRADIUS=

*[http://www.freeradius.org/ homepage] 
*[http://wiki.freeradius.org/index.php/Main_Page wiki]

[http://www.freeradius.org/rfc/attributes.html Radius attribute list]

==Freeradius artikler==
*[http://www.tldp.org/HOWTO/8021X-HOWTO/index.html 802.1X Port-Based Authentication HOWTO]
*[http://www.missl.cs.umd.edu/wireless/eaptls/ HOWTO on EAP/TLS authentication between FreeRADIUS and XSupplicant]
*[http://www.frontios.com/freeradius.html FreeRadius and MySQL]
*[http://www.enterprisenetworkingplanet.com/netsecur/article.php/3555556 FreeRADIUS and Linux Secure Your WLAN]
*[http://www.freeradius.org/doc/EAPTLS.pdf Freeradius, EAP-TLS & Windows XP]
*[http://www.linuxjournal.com/article/8017 Paranoid Penguin - Securing WLANs with WPA and FreeRADIUS, Part 1] [http://www.linuxjournal.com/article/8095 2] [http://www.linuxjournal.com/article/8151 3]
*[http://vuksan.com/linux/dot1x/802-1x-LDAP.html FreeRADIUS + 802.1x/WPA + OpenLDAP HOWTO]
*[http://gentoo-wiki.com/HOWTO_Chillispot_with_FreeRadius_and_MySQL HOWTO Chillispot with FreeRadius and MySQL]

=Howto=
#Opbyg noget Basic knowledge
##Læs et par artikler om WPA-enterprise og sikre dig at du har styr på de forskellige EAP metoder - 
##Det vil være en fordel hvis du læser RFC'erne bag RADIUS protokollen
###RFC 2865 specificerer RADIUS protokollen.
###Radius accounting står i RFC 2866
###RFC 2869 Beskriver nogle udvidelser til radius
#Installér FreeRADIUS, note: std. debian pakker indeholder ikke EAP/TLS, EAP/TTLS, EAP/PEAP. En alm. recompile fra debian source kan også give [http://lists.cistron.nl/pipermail/freeradius-users/2004-December/038781.html problemer]. Brug evt. mine [http://t-hoerup.dk/debs/freeradius sarge pakker]
#Konfigurér freeradius f.eks. som i denne [http://www.tldp.org/HOWTO/8021X-HOWTO/ HOWTO] (howto'en bygger på EAP/PEAP: ms-chapv2)
##husk at tilføje en statisk bruger i <code>/etc/freeradius/users</code> (bør fjernes når at test-fasen er overstået)
#start freeradius fra en shell med <code>freeradius -x</code> på den måde bliver al debug info skrevet til std-out og man kan følge med i authentikation processen. (Brug evt -X istedet, hvis du vil have ekstra debug info)
#afprøv konfig'en med f.eks. <code>radtest</code>. <code>radclient</code> eller <code>radeapclient</code> kan også bruges.
##<code>Usage: radtest user passwd radius-server nas-port-number clientsecret</code>
#konfigurér dit access point til at koble op i mod radius-serveren
#konfigurér en trådløs klient til wpa/radius med den korrekte godkendelsesprotokol(EAP) og med samme krypteringsalgoritme som du satte på accesspointet (TKIP vs AES)
#afprøv klient-opsætningen med den statiske bruger
#Nu er vi klar til at konfigurere sql backenden - følg [http://www.frontios.com/freeradius.html freeradius & mysql howto'en] fra sektionen "Setting up the RADIUS database in MySQL" og frem.
##Du bør også læse sektionen om [http://wiki.freeradius.org/index.php/Rlm_sql rlm_sql] i freeradius' wiki
#Sørg for at brugeren bliver tilknyttet "Auth-Type" ":=" "EAP" (enten i <code>radcheck</code> eller <code>radgroupcheck</code> tabellen)
==Noter==

#hvis at du vil bruge freeradius-dialupadmin som webinterface bør du også oprette tabellerne, der er defineret i <code>/usr/share/freeradius-dialupadmin/sql/*.sql</code>
#Sådan sættes [http://www.mail-archive.com/freeradius-users@lists.freeradius.org/msg26652.html user expiration] [http://www.mail-archive.com/freeradius-users@lists.freeradius.org/msg23031.html 2]
#[http://www.mail-archive.com/freeradius-users@lists.freeradius.org/msg21257.html Password-Retry]
#En account kan disables ved at sætte "Auth-Type" ":=" "Reject" (du kan evt. sætte en "Reply-Message" - men det er ikke sikkert at din NAS kan relay'e beskeden videre til brugeren - men man kan bruge den til at registrere hvorfor at accounten var disabled)
#Time limited accounts [http://www.mail-archive.com/freeradius-users%40lists.freeradius.org/msg18865.html 1] [http://www.mail-archive.com/freeradius-users@lists.freeradius.org/msg18868.html 2]. Læs mere om Login-Time attributten i [http://www.freeradius.org/radiusd/doc/README doc/README], sektion 3g
#Hvis du mangler hjælp, prøv på freeradius' [http://www.freeradius.org/list/users.html mailing list] eller søg i listens arkiv

==Accounting==
RADIUS bruges kan også bruges til at registrerer hvor lang tid at brugeren har været logget på eller hvor meget data der er overført, men for at få dette til at virke kræver det at din NAS kan afsende RADIUS-accounting pakker - f.eks. kan mit Linksys WAP54G ikke afsende accounting pakker, men bruger udelukkende radius serveren til brugergodkendelse.

==Expiration eksempel==
<code>
 SELECT * FROM radcheck WHERE UserName = 'guestuser35'
 +----+-------------+-----------------------+----+----------------------+
 | id | UserName    | Attribute             | op | Value                |
 +----+-------------+-----------------------+----+----------------------+
 | 35 | guestuser35 | Password              | := | test                 |
 | 36 | guestuser35 | Expiration            | := | 24 May 2006 23:00:00 |
 +----+-------------+-----------------------+----+----------------------+
</code>