Temat: Radius i profil od TTLS
Od dwóch dni molestuje radiusa z pakietu freeradius2 (póki co wszystko na routerze) i generalnie rzecz biorąc udało mi się stworzyć działający setup dla trzech głównych profili , czyli PEAP, TLS i TTLS, wliczając w to własne certyfikaty.
Sama konfiguracja dla TLS działa prawidłowo i na wpasupplicant trzeba dodać poniższą zwrotkę by można było się podłączyć do sieci:
network={
id_str="home_wifi_static"
priority=10
ssid="Winter Is Coming"
bssid=E8:94:F6:68:79:EF
proto=RSN
key_mgmt=WPA-EAP
eap=TLS
pairwise=CCMP
group=CCMP
auth_alg=OPEN
phase1="peaplabel=1"
phase2="auth=MSCHAPV2"
# anonymous_identity="anonymous"
identity="linux_laptop"
ca_cert="/etc/wifi_cert/cacert.pem"
private_key="/etc/wifi_cert/linux_laptop.p12"
private_key_passwd="hasło_do_certa"
scan_ssid=0
disabled=0
}Ten drugi profil -- TTLS, ma niby za zadanie uproszczenie konfiguracji przez wyeliminowanie potrzeby certyfikatu klienta i to jest niby główna różnica, czyli config wpasupplicant nie powinien się zbytnio zmienić w stosunku do tego wklejonego powyżej -- usunąć private_key_passwd i private_key oraz zmienić eap na TTLS. Ale to za bardzo nie działa. W configu radiusa mam niby sprecyzowane:
...
ttls {
default_eap_type = mschapv2
...Ale przy podawaniu tego w wpasupplicant:
phase2="auth=MSCHAPV2"nie idzie się podłączyć. Połączenie można nawiązać jedynie gdy się ustawi:
phase2="auth=PAP"Poniżej jest konfiguracja w pliku eap.conf :
root@red_viper:~# egrep -v "#" /etc/freeradius2/eap.conf
eap {
default_eap_type = peap
timer_expire = 60
ignore_unknown_eap_types = no
cisco_accounting_username_bug = no
max_sessions = ${max_requests}
tls {
certdir = ${confdir}/certs
cadir = ${confdir}/certs
private_key_password = hasło_do_certa
private_key_file = ${certdir}/server_key.pem
certificate_file = ${certdir}/server_cert.pem
CA_file = ${cadir}/cacert.pem
dh_file = ${certdir}/dh
fragment_size = 1024
include_length = yes
CA_path = ${cadir}
cipher_list = "DEFAULT"
ecdh_curve = "prime256v1"
verify {
}
ocsp {
enable = no
override_cert_url = yes
url = "http://127.0.0.1/ocsp/"
}
}
ttls {
default_eap_type = mschapv2
copy_request_to_tunnel = yes
use_tunneled_reply = yes
}
peap {
default_eap_type = mschapv2
copy_request_to_tunnel = yes
use_tunneled_reply = yes
proxy_tunneled_request_as_eap = no
EAP-TLS-Require-Client-Cert = no
}
mschapv2 {
}
}Zarówno PEAP jak i TLS działają bez problemu z
phase2="auth=MSCHAPV2"Czy ten PAP to jest jedyna opcja jaką można ustawić przy TTLS, czy coś jest nie tak skonfigurowane w radiusie?
No i musiałem sobie wygenerować własne certy. Działać, działa ale nie jest to jeszcze setup jaki ja chcę. 
A text muszę napisać w ramach podsumowania.