802.1x Probleme

[Krathorias]

Guten Abend ihr Lieben,

ich wende mich mal mit einem Problem an euch in der Hoffnung dass Ihr mir weiterhelfen könnt.

Ich versuche aktuell als kleines Projekt bei mir zuhause die 802.1x Netzwerkauthentifizierung ans laufen zu bekommen.

Leider scheitert es aktuell aber meiner Meinung nach an falsch übersendeten Credentials, zumindest vermute ich dass anhand der Fehlermeldung die am Server ankommt.

Ich habe dazu im Ubiquiti-Forum auch schon einen Beitrag erstellt den ich hier verlinken würde weil ich dort alle relevanten Informationen schon aufgelistet und Screenshots anbei gefügt habe.

https://ubiquiti-networks-forum.de/board/thread/4459-opnsense-freeradius-802-1x/?postID=51530#post51530

Solltet Ihr noch weitere Infos benötigen immer raus damit und ich würde mich riesig freuen wenn ich mit euren Input das ganze ans laufen bekomme

Ich wünsche allen noch einen schönen Sonntagabend

[inkasso]

Hi Krathorias,

ich hatte es mit einem Ubiquity AP und FreeRADIUS auf opnSense am Laufen. Dann hatte ich Hardware-Probleme und nachdem ich die Hardware zurück hatte, hatte sich so viel an meinem Netzwerk verändert, dass ich gleich von Null angefangen habe alles wieder aufzubauen. Das WLAN-VLAN über Radius hab ich aber noch nicht wieder am Start, deswegen kann ich nur aus der "Erinnerung" helfen.

Erst mal: Als ich damals in der Ubiquity Verwaltungsoberfläche damit "rumgebastelt" habe, hatte ich das Problem, dass manche wichtige Einstellungen nur im "Legacy-Modus" angezeigt wurden. Ggf. solltest du also für die Konfiguration dahin wechseln.

Über Profiles wird dort ein neues RADIUS Profil angelegt und ob es für LAN, WLAN oder beides genutzt werden soll. Ferner solltest du hier die IPs des freeRADIUS in ALLEN VLANs angeben, damit der immer erreicht werden kann - egal in welchem VLAN sich der Client gerade befindet. In meiner Übersicht gibts da aktuell Auth Server und Accounting Server - ich hab damals keine 2 Blöcke eingerichtet, das ist wahrscheinlich mit einem Update automatisch gekommen - jedenfalls stehen bei mir die Einträge sowohl bei Auth als auch bei Accounting.

Bei den Wireless Networks habe ich dann WPA Enterprise gewählt und das RADIUS Profil, was ich im Schritt zuvor angelegt hatte. Den Rest kannste auf Standard lassen.

Auf der Sense den FreeRadius -> General aufmachen. Haken bei Enable, Enable VLAN assignment, und die Haken für die Authentication Logs (wir wollen ja sehen können, was abgeht).

ich hab mir dann 2 User angelegt mit unterschiedlichem Benutzernamen und Passwort und ihnen jeweils das VLAN eingetragen, dass ihnen zugewiesen werden soll. DHCP mache ich nicht über den Radius sondern über den allgemeinen DHCP der Sense.

Bei Client dann für jedes VLAN Netzwerk einen Eintrag mit dem SharedSecret dass auch dem Ubiquity bekannt ist.

Bei EAP musste ich die Root CA der opnSense und ein ServerZertifikat hinterlegen (da hab ich für den Radius ein eigenes erstellt). Die Clients müssen nicht zwingend das Zertifikat haben - es ist aber sicherer, eine Zertifikatsprüfung zu machen (musst du selber wissen).

Über LogFile kannst du dann sehen, was für Anfragen an den RADIUS gestellt wurden, und was passiert ist (und hoffentlich auch warum).

Nicht vergessen: FireWall Regeln, die den Zugriff aus dem/den Netzen auf den RADIUS Port auf der Firewall erlauben.

Damit müsste es eigentlich gehen.