Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

Strony: 1

 

#1  2015-03-23 13:58:39

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/urandom
Zarejestrowany: 2008-01-07

Freeradius - jak wylączyć/zablokować autoryzację PAP.

Cześć

Jak w temacie, chciałbym w radiusie wyłączyć całkowicie autoryzację typu pap (najlepiej na pojedynczym Virtualhoście, ewentualnie na wszystkich Vhostach), zostawiając tylko chap, mschap i eap.

Chodzi o to, żeby hasła cleartext nie fruwały po sieci.

Gdzie i jak to ustawić, w jakim pliku konfiguracyjnym?

Ostatnio edytowany przez Jacekalex (2015-03-23 14:34:19)

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

#2  2015-03-23 17:40:24

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Freeradius - jak wylączyć/zablokować autoryzację PAP.

PAP jest używany głównie w drugiej fazie połączenia, gdzie masz już zestawiony tunel tls, zatem po co chcesz to wyłączać? Hasła i tak nie polecą otwartym textem, bo szyfrowane są wewnątrz kanału.

Offline

 

#3  2015-03-23 17:50:39

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/urandom
Zarejestrowany: 2008-01-07

Re: Freeradius - jak wylączyć/zablokować autoryzację PAP.

Potrzebuję wyłączyć PAP dla połączeń bez tlsa,

Na razie znalazłem sposób, jak pozwolić tylko na eap, ale chcę zostawić mschapv2 i chap.

Zablokowanie innych form logowania niż EAP sprowadza się do takiego kawałka w policy.conf:

Kod:

    permit_only_eap {
        if (!EAP-Message) {
            #  We MAY be inside of a TTLS tunnel.
            #  PEAP and EAP-FAST require EAP inside of
            #  the tunnel, so this check is OK.
            #  If so, then there MUST be an outer EAP message.
            if (!"%{outer.request:EAP-Message}") {
                reject
            }
        }
    }

i dodania w Vhosie opcji:
   

authorize {
        preprocess
        [b]permit_only_eap[/b]
        chap
        mschap
        digest
        sql
...[/quote]
Tylko potrzebuję to jakoś przerobić, żeby pozwalało na chap, mscaphv2 i eap.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2015-03-23 17:50:58)

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

#4  2015-03-23 18:04:19

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Freeradius - jak wylączyć/zablokować autoryzację PAP.

A tam w pliku freeradius/sites-available/default nie możesz sobie ustawić odpowiednich opcji? Poza tym, freeradius bez peap,tls albo ttls to jest raczej katastrofa. Przecie te wszystkie pozostałe protokoły zostały połamane już dawno i nadają się jedynie do stosowania wewnątrz tunelu tls bo niczym się nie różnią od przesyłania zwykłego textu przez sieć. xD

Offline

 

#5  2015-03-23 18:16:24

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/urandom
Zarejestrowany: 2008-01-07

Re: Freeradius - jak wylączyć/zablokować autoryzację PAP.

Właśnie nic sensownego nie udało się osiągnąć, próbowałem tego:

Kod:

authenticate {
...
        Auth-Type PAP {
                reject
        }
...
}

I albo nie działa, albo się wywala z powodu składni konfigu,
pochodzi z tego sznurka:
http://lists.freeradius.org/pipermail/freeradius-users/2013-May/066764.html

Wyczaiłem tylko, że w tej i nowszych  wersjach radiusa:

Kod:

net-dialup/freeradius-2.2.5 mysql odbc pam pcap readline ssl

takie rzeczy się robi przez policy.conf, tylko nie wiem, jakie zmienne określają próbę autoryzacji PAP, CHAP i MSCHAP..

Ostatnio edytowany przez Jacekalex (2015-03-23 18:20:22)

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

 

Strony: 1

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
To nie jest tylko forum, to nasza mała ojczyzna ;-)

[ Generated in 0.007 seconds, 9 queries executed ]

Informacje debugowania

Time (s) Query
0.00011 SET CHARSET latin2
0.00005 SET NAMES latin2
0.00090 SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.145.57.5' WHERE u.id=1
0.00065 UPDATE punbb_online SET logged=1732790366 WHERE ident='3.145.57.5'
0.00039 SELECT * FROM punbb_online WHERE logged<1732790066
0.00058 SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27207 AND t.moved_to IS NULL
0.00005 SELECT search_for, replace_with FROM punbb_censoring
0.00130 SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27207 ORDER BY p.id LIMIT 0,25
0.00130 UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27207
Total query time: 0.00533 s