Authentifizierung mit WLAN über Radius-Server

[SuperGirl007]

Hallo,

ich bin gerade verzweifelt dabei ein Projekt um zu setzen, nur leider fehlen mir teilweise nötiges Hintergrundwissen, wäre toll wenn mir jemand helfen könnte :-)

Also Kunden sollen sich über das WLAN bei uns einloggen können, dass ganze soll über einen Radius Server laufen mit WPA2 Enterprise.

Das FreeRadius läuft auf einem Debian Server. Mit der Konfiguration hatte ich weit weniger Probleme als mit dem Router^^...aber ich konnte den Radius Server auch noch nicht testen weil ich mich bis jetzt noch nicht mit dem WLAN verbinden konnte.

Der Router ist ein WRT54GL.

Eingestellt ist bis jetzt:

> lokale und statische IP des Routers

> WLAN hat auch eine statische IP bekommen

> Radius Server ist eingetragen.

Kann es sein das ich vielleicht noch etwas auf dem Client einstellen muss damit der sich per WLAN verbinden kann?

Auf dem Client läuft Ubuntu.

LG

SuperGirl007

[SuperGirl007]

Ok...ich versuche es mal anders.

Ich habe auf meinem Router ein Firmware Update gemacht. Leider war das die falsche Version^^ Jetzt hab ich im Internet nach der ursprünglichen Firmware gesucht und diese über die Weboberfläche wieder hoch geladen. Das dumme ist das es die Vollversion der Firmware mit den Zusatztools wie dem Chillispot nicht zu m downloaden gibt, jedenfalls habe ich nichts finden können.

Meine Frage ist jetzt, kann ich den Chillispot auf dem Router irgendwie nachinstallieren oder benötige ich den Chillispot zwingend und wenn nein gibt es vielleicht einen Tipp für alternative Einstellungen auf dem Server/Router ???

[flashpixx]

Linksys WRT54G

ChilliSpot - Open Source Wireless LAN Access Point Controller. Spice up your HotSpot with Chilli

[Crash2001]

Ich wollte schon grad sagen - das ist doch open Source oder so...

Ansonsten wende dich am besten an denjenigen, der dir den Router verkauft hat, falls du Probleme beim Aufspielen haben solltest.

[SuperGirl007]

Vielen Dank, aber die Seiten hatte ich selber schon und bin jetzt auch nicht schlauer. Der Router wurde über Ebay ersteigert und die Firmware war speziell vorgeflasht.

Ich habe jetzt so viele verschiedene Seiten gefunden und gelesen das ich selber ganz verwirrt bin was ich jetzt wirklich brauche und was nicht.

Ich befürchte nur ohne den Chillispot bekomme ich nicht wirklich das Ergebnis das ich am Ende erreichen möchte. Denn wenn ich das jetzt richtig verstanden habe trennt der Chillispot das das WLAN vom LAN-Netzwerk, sodass die Kunden nur über Benutzernamen und Passwort ins Internet gelangen, und lässt das WLAN so über das Radius laufen ohne das das LAN davon betroffen ist richtig?

[flashpixx]

Denn wenn ich das jetzt richtig verstanden habe trennt der Chillispot das das WLAN vom LAN-Netzwerk, sodass die Kunden nur über Benutzernamen und Passwort ins Internet gelangen, und lässt das WLAN so über das Radius laufen ohne das das LAN davon betroffen ist richtig?

ChilliSpot - Wikipedia, the free encyclopedia

ChilliSpot is an open source captive portal or wireless LAN access point controller. It is used for authenticating users of a wireless LAN. It supports web based login, which is today's standard for public HotSpots, WISP "smart-client" authentication, and it supports Wi-Fi Protected Access (WPA and WPA2). Authentication, authorization and accounting (AAA protocol) is handled via RADIUS (on board or remote).

Captive portal - Wikipedia, the free encyclopedia

The captive portal technique forces an HTTP client on a network to see a special web page (usually for authentication purposes) before using the Internet normally. A captive portal turns a Web browser into an authentication device.

Installiere nicht irgendwelche Software, wenn Du nicht verstehst wie sie funktioniert und welche Komponenten wie zusammenarbeiten.

[Crash2001]

ChilliSport wird übrigens nicht mehr weiterentwickelt / supported.

Vielleicht solltest du dich also wenn eher mit dem Nachfolger CoovaChilli / CoovaAP beschäftigen. Dafür sollte man auch problemlos die entsprechenden Dateien bekommen.

[SuperGirl007]

Ich möchte ja nicht irgendwelche Software installieren, sondern nur die ursprüngliche, vollständige DD-WRT Router Software wieder drauf haben. Aber ich habe das jetzt so konfiguriert bekommen das ich den Chillispot nicht mehr benötige.

Radius schickt jetzt auch schon einen Request an den Router aber jetzt habe ich folgende Fehlermeldung:

Ignoring request to authentication address * port 1812 from unknown client 80.xxx.xxx.xxx port 2049

Hat jemand eine Idee woran das liegen könnte?

[SuperGirl007]

Ich habe für die Benutzer, die sich über den WLAN-Client einloggen sollen, eine SQL-Tabelle auf dem Radius Server verwendet, dann müsste ihm in der Datenbank selber oder in der sql.conf ja noch etwas fehlen damit der Benutzer sich authentifizieren kann.

In der clients.conf habe ich nastype=other

Dann habe ich noch etwas gefunden über nas-tables... ich kann nur leider nichts finden und ich habe absolut keine Ahnung wie ich die aufrufe^^

[Crash2001]

unknown client = kennt den Client nicht

[...]Dann habe ich noch etwas gefunden über nas-tables... ich kann nur leider nichts finden und ich habe absolut keine Ahnung wie ich die aufrufe^^

Der Satz macht ja mal richtig Sinn...

Wenn dir hier irgendwer auch nur ansatzweise helfen soll, dann solltest du versuchen, dein Problem genauer zu beschreiben und nciht "Ich habe da-und-da irgendetwas drüber gelesen, aber es funktioniert nicht. Weiß jemand wieso?"

Mit solchen Informationen von dir, kann dir vermutlich KEINER vernünftig helfen, da einfach niemand weiß, was denn überhaupt dein Problem ist.

[flashpixx]

Ich habe für die Benutzer, die sich über den WLAN-Client einloggen sollen, eine SQL-Tabelle auf dem Radius Server verwendet, dann müsste ihm in der Datenbank selber oder in der sql.conf ja noch etwas fehlen damit der Benutzer sich authentifizieren kann.

Mir scheint, Du weisst überhaupt nicht, was ein Radius-Dienst macht !?

Denn wie die Daten der User für den Radius gespeichert sind, ob mySQL Tabelle oder Plaintext-File ist für die Authentifizierung völlig irrelevant.

Noch einmal und ergänzend zu @Crash's Posting: Lerne, was die Systeme machen und vor allem wie sie zusammen agieren.

Im Moment bastelst Du ohne Sinn und Verstand an dem Problem irgendwie rum, ich gehe davon aus, dass sich das Problem innerhalb von einem halben Tag lösen lässt, wenn man das notwendige Know-How mitbringt bzw. strukturiert eine Problemlösung entwickelt.

[SuperGirl007]

Ich fürchte da kannst du recht mit haben. Das Problem ist das ich so viele verschiedene Informationen über Radius gefunden habe das ich am Ende gar nicht mehr wusste welche Informationen für mich überhaupt relevant sind.

Ich habe eigentlich auch alles richtig gemacht. Die IP vom Radius Server war nur nicht ganz richtig und ihm hat das Klartextpasswort für die mschap Authentifizierung gefehlt jetzt kann ich mich mit User und Passwort anmelden.

[flashpixx]

IP vom Radius Server war nur nicht ganz richtig und ihm hat das Klartextpasswort für die mschap Authentifizierung gefehlt jetzt kann ich mich mit User und Passwort anmelden.

Klartextpasswärter am besten noch über eine unverschlüsselte Verbindung ist ein absolutes No-Go. Das ist ein Sicherheitsleck so groß wie ein Scheunentor. Jeder heutige Dienst ermöglicht eigentlich eine verschlüsselte Verbindung und auch keine Plaintext-Authentifizierung, denn bei jeder Anfrage, die nun an Deinen Dienst gestellt wird, geht das unverschlüsselte Passwort über das Netz. Wenn ich nun einfach den Netzwerkverkehr mit lesen, dann habe ich das Passwort und kann Deinen Radius einfach nach meinem Belieben umkonfigurieren.

Bei LDAP z.B. werden die Authentifizierungsdaten des Users verwendet, der sich gerade versucht am System anzumelden und diese gehen bei mir SSL geschützt (Zertifikate) übers Netz

[SuperGirl007]

Wer hat denn gesagt das meine Verbindung unverschlüsselt ist, natürlich nicht... und mein Chef selber hat das Klartextpasswort hinzugefügt.