Updated RADIUS (markdown)

+ Remote Authentication Dial-In User Service (RADIUS)

+### Configuration d'un serveur RADIUS pour authentification **PEAPv0/EAP-MSCHAPv2**

+C'est le serveur configuré sur Beowulf, Rescuerad et Wifiradix.

+La documentation disponible sur internet pour la version 2.x pour réaliser ce type de serveur

+est assez succinte, dans la version 3.x elle est inexistante à l'heure actuelle. Je vais essayer

+de détailler ce que j'ai réussi à comprendre ici, mais des erreurs peuvent se glisser dans les

+explications.

+#### Configuration de base

+Rien de particulier dans ces fichiers, simplement configurer un client `localhost` dans `clients.conf`

+permettra de tester la configuration (voir sections suivantes).

+

+#### Serveurs virtuels

+

+Deux serveurs virtuels sont nécessaires : `default` et `inner-tunnel`.

+On a donc, dans le répertoire `sites-enabled`, deux fichiers nommmés `default` et `inner-tunnel`

+

+La configuration complète de ce serveur virtuel est disponible [ici](Services/RADIUS/config/PEAPv0/sites-enabled/default)

+

+Points-clefs, dans l'ordre:

+

+```

+listen{

+ type = auth

+ ipaddr = *

+ port = 1812

+}

+```

+On configure un serveur virtuel qui va répondre aux requêtes en provenance de toutes les ip.

+(en réalité on définit les clients dans le fichier correspondant, voir plus haut)

+

+```

+authorize {

+ if (User-Name !~ /resel(.*)$/) {

+ if (User-Name =~ /^(.*)@(.*)/) {

+ update control {

+ Proxy-To-Realm := 'FEDEREZ'

+ }

+ }

+ }

+

+ ......

+}

+```

+Authentification pour les utilisateurs externes au ResEl mais faisant partit d'un réseau partenaire Federez (je ne sais pas si ça fonctionne toujours)

+

+```

+authorize{

+...

+

+eap {

+ ok = return

+}

+

+...

+}

+```

+Permet l'exécution de requêtes de type EAP

+

+```

+authorize{

+...

+

+files

+

+...

+}

+```

+Permet l'authentification avec le modules files (fichier `users` dans les versions de freeradius antérieures à la 3.x).

+Nagios et ???? se connectent au Radius via ce module.

+

+

+

+```

+authenticate{

+...

+

+eap

+

+...

+}

+```

+Liste le module eap parmi les modules utilisables pour l'authentification.

+

+La configuration complète de ce serveur virtuel est disponible [ici](Services/RADIUS/config/PEAPv0/sites-enabled/inner-tunnel)

+

+Points-clefs, dans l'ordre:

+

+```

+listen {

+ ipaddr = 127.0.0.1

+ port = 18120

+ type = auth

+}

+```

+Le serveur virtuel n'écoute que les requêtes locales, en provenance de la machine elle-même.

+

+```

+authorize {

+

+ mschap

+

+ ...

+}

+```

+Utilise le module mschap pour l'authentification.

+

+

+```

+authorize {

+

+ ...

+

+ ldap

+ pap

+}

+```

+Utilise le LDAP pour trouver le mot de passe. Je ne sais pas pourquoi `pap` est listé aussi, quoi qu'il en soit si je ne le met pas après `ldap` une erreur bizarre apparait.

+

+```

+authenticate {

+

+ Auth-Type MS-CHAP {

+ mschap

+ }

+}

+```

+Autorise le module mschap

+

+De nombreux modules sont actvés, beaucoup sont activés par défault et leur config n'a

+pas été modifié. Elles ne seront pas détaillées ici.

+

+```

+18:53 root@beowulf ~ # ls ~freerad/3.0/mods-enabled

+always@ digest@ expr@ mschap@ realm@ utf8@

+attr_filter@ dynamic_clients@ files ntlm_auth@ replicate@

+cache_eap@ eap ldap@ pap@ soh@

+chap@ echo@ passwd@ sradutmp@

+detail@ exec@ linelog@ preprocess@ unix@

+detail.log@ expiration@ logintime@ radutmp@ unpack@

+

+```

+

+##### eap

+

+```

+eap {

+ default_eap_type = peap

+ timer_expire = 60

+ ignore_unknown_eap_types = no

+ cisco_accounting_username_bug = no

+ max_sessions = 4096

+

+ tls-config tls-common {

+ certdir = ${confdir}/certs

+ cadir = ${confdir}/certs

+

+

+ private_key_file = ${certdir}/wifi/2017/resel-fr.key

+ certificate_file = ${certdir}/wifi/2017/resel-chained.pem

+ dh_file = ${certdir}/dh

+ random_file = /dev/urandom

+ fragment_size = 1024

+ include_length = yes

+ ca_path = ${cadir}/empty

+

+ }

+

+

+

+ ttls {

+ tls = tls-common

+

+ default_eap_type = mschapv2

+ copy_request_to_tunnel = yes

+ use_tunneled_reply =yes

+ virtual_server = "inner-tunnel"

+ include_length = yes

+ }

+ peap {

+ tls = tls-common

+

+ default_eap_type = mschapv2

+ copy_request_to_tunnel = yes

+ use_tunneled_reply = yes

+ virtual_server = "inner-tunnel"

+ }

+ mschapv2 {

+ send_error = yes

+ }

+}

+

+```

+

+##### ldap

+

+la configuration complète du module est disponible [ici](Services/RADIUS/config/PEAPv0/mods-enabled/ldap)