Sektörde popüler olan birçok Radius Server vardır. Bunlara örnek Cisco’ nın  Secure Access Control Server (ACS), Microsoft ‘un Internet Authentication Service (IAS), Açık kod tabanlı FreeRADIUS ve Juniper ‘ın  Steel-Belted Radius verilebilir. RADIUS (Remote Authentication Dial-in User Service) kısaca bahsetmek gerekirse. Kimlik doğrulama (authentication), raporlama (accounting) ve yetkilendirme (authorization) için kullanırız.  Steel-Belted Radius güçlü ve ödül almış bir RADIUS/AAA server dır. Önceleri Funk Software e bağlı olan Steel-Belted Radius sonradan Juniper Networks tarafından (Funk Software in satın alması ile) 2005 yılında  satın alınmıştır.

 

Bu makalemde sizlere Steel-Belted Radius ve Odyssey Access Client kullanarak active directory üzerinde kimlik doğrulama işlemlerini anlatmaya çalışacağım.

Steel-Belted Radius MS Server/Linux üzerine kuralabilir veya donanım olarak temin edilebilir. Ben yazılımsal olan versiyonunu kullanıyorum.

Makaleyi yazarken kullandığım yazılım ve donanımlar :

SBR Enterprise Edition

http://www.juniper.net/products_and_services/aaa_and_802_1x/steel_belted_radius/sbr_enterprise_edition/

Odyssey Access Client

http://www.juniper.net/products_and_services/aaa_and_802_1x/odyssey/odyssey_access_client/

MS Server 2003 Standard (AD Rolünde)

Juniper SSG5-ISDN-WLAN

Evaluation Certificate Tool (Sertifika Yaratmak için) (Installation / Uninstall altnda ID: OD115)

http://www.juniper.net/customers/support/products/aaa_802/odyssey_kb.html

 

 

 

 

Benim kullandığım Juniper SSG5-ISDN-WLAN. Wireless interface sahip.  Burada Juniper, Access Point rolünde olacak. Komut kullanarak konfigurasyonu başlayalım.

 

İlk olarak, Server a isim verip, ortak bir şifre belirleyeceğim :

set auth-server "SBR" server-name "192.194.196.90"

set auth-server "SBR" account-type 802.1X

set auth-server "SBR" radius secret şifre

Wireless için SSID tanımları yapalım :

set ssid name TestJN

set ssid TestJN client-isolation

set ssid TestJN authentication wpa-auto encryption auto auth-server SBR

SSID TestJN olarak belirledim. Son komutta wpa-auto (v1 ve v2 desteklemesi için) yazdım ve encryprion yani kimlik doğrulama nerede yapılacağını belirledik.

 

Alttaki komutta yeni bir zone atadım böylece Trust ile wzone arasındaki trafiği böldüm.

set zone name "wzone"

set interface "wireless0/0" zone "wzone

ip atıyoruz

set interface wireless0/0 ip 10.0.0.1/24

DHCP parametrelerini belirliyoruz:

set interface wireless0/0 dhcp server service

set interface wireless0/0 dhcp server auto

set interface wireless0/0 dhcp server option gateway 10.0.0.1

set interface wireless0/0 dhcp server option netmask 255.255.255.0

set interface wireless0/0 dhcp server ip 10.0.0.10 to 10.0.0.20

 

Kullanıcıların internete çıkabilmesi için policy yazıyorum. Burada benim cihazımda IPv4 ibaresi, IPv6 yı aktifleştirdiğim için gözüküyor normalde IPv6 aktif değilse “any” olarak geçer.

set policy from "wzone" to "Untrust"  "Any-IPv4" "Any-IPv4" "ANY" nat src permit

Wireless interface i üzerinde yaptığım konfigler aktif olsun diye interface i resetliyoruz (tekrar aktif hale getiriyoruz.)

exec wlan reactive

 

Juniper tarafında olan konfigurasyon bu kadar. Sırada Steel-Belted Radius kurulumu ve yapılandırması var.

 Steel-Belted Radius ‘un kurulumu basittir. Makalenin başında verdiğim linkten bir hesap oluşturduktan sonra 30 gün deneme süresi için indirebilirsiniz. Kurulum yaparken ben Global Enterprise Edition ve  Stand alone mode da kurdum. Kuruluma başlamadan önce Server üzerinde farklı bir Radius server olmadığından emin olun var ise çakışma yaşanabilir ve sağlıklı çalışmaz.

 

 

Kurulumu tamamladıktan sonra, SBR server ip:1812 nolu porttan ulaşabilirsiniz. Burada SBR Admin panelini “Launch” a tıklatıp açıyoruz .

 

Yönetim panelimiz açıldı. Burada SBR server hakkında bilgileri görüyoruz. İlk olarak Radius client ı  SBR  tanıtacağız.

Radius Clients Sekmesine gelerek, ADD diyoruz. Buraya açılan pencereye Cihaz ın ip sini ve ortak anahtarımızı yazıyoruz.  Benim kullandığım Radius Client Juniper olduğu için “Make or model” kısmına Netscreen Technologies olarak seçtim.

Hangi user group veya user ların SBR üzerinde kimlik doğrulaması yapılacağını belirliyoruz.

Order Of Methods – Kimlik doğrulama yöntemini ve sırasını belirlediğiz yer. Burada sadece kullanacağınız metodları belirlemenizde yarar var eğer birçok metod belirlerseniz EAP metodunda uyumsuzluk yaşayabilirsiniz.

En üstte PEAP altında ise MS-CHAP-V2 belirleyim. PEAP ın setup ına girip PEAP active metod ve “Use EAP authentication only” sekmesinini seçili olduğunu kontrol ediyoruz.

MS-CHAP-V2 ayarlarını yapıyoruz.

EAP (Extensible Authentication Protocol) metodlarını enable veya disable ettiğimiz yerdir.

EAP metodları hakkında bilgi için http://en.wikipedia.org/wiki/Extensible_Authentication_Protocol

 

SBR ile Client ın kimlik doğralama yapabilmesi için sertifika atanması gerekir. Burada Microsoft Server işletim sistemi ile birlikte gelen Certificate Authority (CA) rolü kullanılabilir. Ben test amaçlı bir çalışma yaptığım için sertifikayı Evaluation Certificate Tool ile yarattım. Client a yükleyeceğim ve sonra MMC konsol ile sertifikayı private key i ile beraber export edeceğim. Bunun için yukarıda linkini verdiğim yerden indirip evalCerts.exe dosyasını çalıştırıyorum. Daha sonra size bir sertifika yaratacak. O sertifikayı çalıştırarak client a yüklüyorum. Yükledikten sonra export edip SBR a tanıtacağız.

 

 

MMC konsoldan gelip Certificates i seçiyoruz.

Yüklediğimiz sertifikayı bulduktan sonra export edeceğiz.

 

Private key ile birlikte export ediyoruz.

.pfx file olarak export edeceğiz. Next diyoruz.

Şifre belirleyip. Next diyoruz.

Nereye export edileceğini belirledikten sonra. Sihirbazdan çıkıyoruz.

Sertifikayı dışarı aktardım. Şimdi sıra SBR üzerinde bu sertifikayı içeri aktarmamıza geldi.

Authentication Policies – Certificates e gelerek dışarı aktardığımız sertifkayı SBR a atıyoruz.

 

İçeri katardıktan sonra Current Certicate ten bilgilerini görüyorsunuz.

 

SBR tarafında ayarlar bu kadar. Sıra Client tarafında Odyssey Access Client ın yapılandırması geldi. Kurulumu basittir. Trial versiyonu nu indirdikten sonra 30 gün test süresi verir.

Kurulum bittikten sonra Odyssey in ara yüzünü görüyorsunuz. Client üzerinde ki ayarlara geçelim.

 

İlk önce bir profil yaratacağız. Login user name i yazıyorum ve login olmak için username ve password sormasını belirtiyorum.

Authentication tabında EAP-PEAP Metodunu yukarı çekiyorum.

PEAP tarafında ise EAP-MS-CHAP-V2 yukarıya çekiyorum. Profil tarafı bu kadar. Kaydedip çıktıktan sonra Wifi arayüzünden SSID yi scan ettiriyorum.

SSID i seçip ok diyorum.

SSID yi tanıttıktan sonra oluşturduğumuz profile den kimlik doğrulamasını yapmasını sağlıyoruz.

Yaptığımız tüm ayaralar doğru ise Bize AD kullanıcı adımızı ve şifremizi sorar bunları da girdikten sonra bağlantı başarılı bir şekilde gerçekleşir.

 

 

Son olarak SBR üzerinde paketlerin takibini Statistics – Radius Clients kısmında yapabilirsiniz. Eğer konfigürasyon tarafında bir yanlışlık veya eksiklik var ise, client kimlik doğrulamadan geçemez ve loglarda Rejects bölümünde paketlerin arttığını görürsünüz.

 

 

Bu makalemde SBR ile Odyssey Acces Client tanımlarının nasıl yapılacağını ve Active Directory ile entegre olmasını anlatmaya çalıştır. Bir sonraki makalemde görüşmek üzere.

 

Kaynaklar:

ScreenOS Cookbook

http://www.juniper.net/customers/support/products/aaa_802/odyssey_kb.html

http://www.juniper.net/customers/support/products/aaa_802/sbr_kb.html,

 

Murat GÜÇLÜ