El objetivo de este artículo es que al final hayamos configurado un acceso seguro a la red WiFi a través de algo tan sencillo como un usuario y una contraseña. Eston son los elementos que tomarán parte:

• WPA: Es el método de acceso que se ha de configurar en el AP (Punto de Acceso).
• TLS: Será nuestro método de cifrado de la información que circule a través de la WiFi.
• MSCHAP: Utilizaremos la implementación de Microsoft del protocolo CHAP para la autenticación por ser el mas extendido.
• RADIUS: Instalaremos un servidor RADIUS que soporte TLS, CHAP y utilice como base de datos MySQL para autenticar a nuestros usuarios.
• MySQL: Será utilizado principalmente para almacenar usuarios y contraseñas.

Se toma como punto de partida que tenemos un Sistema Operativo instalado junto a un servidor MySQL. Este manual está principalmente orientado a Gentoo, aunque puede utilizarse como punto de referencia para otras distribuciones GNU/Linux.

Instalando FreeRADIUS

Como servidor RADIUS utilizaremos FreeRADIUS por ser de los mas completos que existen en el mundo OpenSource. Para instalarlo en Gentoo tendremos en cuenta los ‘uses’ necesarios, bien añadiendolos a nuestro /etc/portage/package.use o bien especificándolos antes del emerge:

# USE=”ssl mysql” emerge freeradius

El soporte SSL es necesario para el cifrado de la señal mientras que el soporte MySQL será empleado para conectar a la base de datos.

Creando los certificados

Antes de proceder a la configuración de FreeRADIUS es necesario que tengamos bien claro donde van a estar los certificados, y nada mejor para ello que crearlos primero. Yo empleo esta pequeña colección de scripts para la creación de los certificados que deben de estar en /etc/raddb/certs. Empecemos con el certificado raíz (root) o ‘entidad emisora’:

# CA.root

A continuación nos pedirá una serie de datos que realmente no son necesarios (yo solamente relleno los 3 primeros). Si todo ha salido bien, nos habrá creado los archivos root.der, root.p12 y root.pem. El siguiente certificado a crear es el del servidor con el CA.server que toma como parámetro un nombre. Aqui normalmente se pone el nombre del servidor:

# CA.server karman.cc

En este caso es importante que rellenemos el campo Common name con el nombre del servidor, karman.cc en este caso. Cuando nos pregunte [y/n], respondemos y ambas veces. Si todo ha ido bien, nos habrá creado los archivos karman.cc.p12, karman.cc.der y karman.cc.pem.

Como curiosidad, se puede autenticcar clientes a través de certificados en lugar de usuario y contraseña (chap) creandolos primero con el script CA.client e instalandolos en los clientes sin necesidad de tocar nada de la configuración que se explica a continuación.

Creando la base de datos en MySQL

Esta parte es bien sencilla. Primero creamos la base de datos y le damos permisos:

mysql> CREATE DATABASE ‘freeradius’;
mysql> GRANT all ON freeradius.* TO ’someuser’@'localhost’ IDENTIFIED BY ’somepass’;

Ahora utilizaremos el archivo /etc/raddb/sql/mysql/schema.sql para crear la estructura interna de la base de datos:

# mysql -u root -p freeradius < /etc/raddb/sql/mysql/schema.sql

Configurando FreeRADIUS

El directorio de trabajo de freeradius (por lo menos en la version en la que trabajo, 2.0.5) es /etc/raddb. Entramos y empezamos por el archivo de configuración padre, radius.conf.

Casi nada de este archivo necesita tocarse pues funciona bien por defecto, salvo las siguiente directivas (en listen poner la dirección IP en donde queremos escuchar peticiones):

user = radiusd
group = radiusd
listen {

type = auth
ipaddr = 192.168.0.1
port = 0

}
listen {

type = acct
ipaddr = 192.168.0.1
port = 0

}
authorize {

mschap
eap
sql

}

A continuación, eap.conf (tener en cuenta el path y nombre de los certificados):

eap {

default_eap_type = peap
timer_expire = 60
ignore_unknown_eap_types = no
cisco_accounting_username_bug = no
tls {

certdir = ${confdir}/certs
cadir = ${confdir}/certs
private_key_password = whatever
private_key_file = ${certdir}/karman.cc.pem
certificate_file = ${certdir}/karman.cc.pem
CA_file = ${cadir}/root.pem
dh_file = ${certdir}/dh
random_file = ${certdir}/random
fragment_size = 1024
include_length = yes
cipher_list = “DEFAULT”

}
peap {

default_eap_type = mschapv2

}
mschapv2 {
}

}

Ahora sql.conf (tener en cuenta el usuario, contraseña y nombre de la base de datos creada anteriormente):

sql {

database = “mysql”
driver = “rlm_sql_${database}”
server = “localhost”
login = “someuser”
password = “somepass”
radius_db = “freeradius”
acct_table1 = “radacct”
acct_table2 = “radacct”
postauth_table = “radpostauth”
authcheck_table = “radcheck”
authreply_table = “radreply”
groupcheck_table = “radgroupcheck”
groupreply_table = “radgroupreply”
usergroup_table = “radusergroup”
deletestalesessions = yes
sqltrace = no
sqltracefile = ${logdir}/sqltrace.sql
num_sql_socks = 2
connect_failure_retry_delay = 60
nas_table = “nas”
$INCLUDE sql/${database}/dialup.conf

}

clients.conf (archivo de dispositivo de red autenticador en donde definimos la ip del dispositivo autenticador o punto de acceso):

client 192.168.0.2 {

secret = somesecret
shortname = SomeName
nastype = other

}

y para terminar, /etc/raddb/modules/mschap.conf:

mschap {

authtype = MS-CHAP
use_mppe = yes
require_encryption = yes
require_strong = yes

}

Y listo, ya tenemos nuestro servidor FreeRADIUS totalmente configurado.

Creando usuarios en MySQL

Basta con añadirlos en la tabla radcheck de la base de datos freeradius:

mysql> INSERT INTO ‘freeradius’.'radcheck’ (‘username’, ‘attribute’, ‘op’, ‘value’) VALUES (“WiFiUser”,”Cleartext-Password”,”:=”,”WiFiPassWord”);

Configurando el Punto de Acceso

Ya que cada punto de acceso es diferente paso a explicar mas o menos lo que debería de pedir para configurarlo con el servidor RADIUS:

• Dirección IP del servidor RADIUS. (192.168.0.1)
• Puerto. (1812)
• Secreto o contraseña de asociación, configurado en clients.conf. (somesecret)
• En algunos casos puede que pida el tiempo de renovacion de la clave en segundos.

Este es un ejemplo de configuración en DD-WRT:

DDWRT Radius Configuration

Probando el funcionamiento

Para probar que la configuración carga correctamente y para ver cierta salida de debug del FreeRADIUS lo ejecutaremos del siguiente modo:

# radiusd -X

Ahora podemos probar a conectarnos a la WiFi, que nos pedirá un usuario y contraseña (WiFiUser y WiFiPassWord usados en los ejemplos). Podemos comprobar como funciona tambien mirando el log en /var/log/radius/radius.log:

[FECHA] : Auth: Login OK: [WiFiUser/] (from client WIFISSID port 0 cli CLIENT:MAC:ADDRESS)

Si todo ha funcionado correctamente, podemos interrumpir la ejecución de FreeRADIUS para añadirlo como sistema al inicio:

# rc-update add radiusd default
# /etc/init.d/radiusd start

Enhorabuena! Ya tenemos un servidor radius que soporta mschap sobre mysql para la autenticacion de usuarios wifi. Este artículo es una actualización del que escribí hace dos años para autenticarse con certificados y del cual es aprox. su aniversario.

Esta entrada fue publicada el Miércoles, 15th Abril, 2009 a las 9:07 am y esta archivado bajo Linux, Seguridad. Puedes seguir cualquier respuesta a esta entrada a traves de de la alimentacion RSS 2.0. Comentarios y pingueos estan actualmente cerrados.