Serveur virtuels FreeRadius avec LDAP - Historique des versions

Pierre : /* Exemple avec pfsense */

2016-01-15T10:28:11Z

‎Exemple avec pfsense

Pierre le 15 janvier 2016 à 10:17

2016-01-15T10:17:18Z

Pierre le 14 janvier 2016 à 15:50

2016-01-14T15:50:47Z

Pierre : /* Config de la base LDAP */

2016-01-14T15:50:27Z

‎Config de la base LDAP

Pierre : /* Config Freeradius */

2016-01-14T15:49:48Z

‎Config Freeradius

Pierre : /* Config Freeradius */

2016-01-14T15:48:29Z

‎Config Freeradius

Pierre : /* Config Freeradius */

2016-01-14T15:47:28Z

‎Config Freeradius

Pierre : /* Config Freeradius */

2016-01-14T15:46:22Z

‎Config Freeradius

Pierre : /* Exemple avec pfsense */

2016-01-14T15:45:25Z

‎Exemple avec pfsense

Pierre : /* Exemple avec pfsense */

2016-01-14T15:44:52Z

‎Exemple avec pfsense

@@ Ligne 119 : / Ligne 119 : @@
 === Exemple avec pfsense ===
-On a deux portails captifs, chacuns sur une interface, destinés à deux publics différents, l'un est surveillé par un squid, l'autre non. Les deux sont en wifi, donc atteignable par tout le monde. Un L'intêret ici de séparer les bases est évident.
+On a deux portails captifs, chacuns sur une interface, destinés à deux publics différents, l'un est surveillé par un squid (sur l'interface OPT1), l'autre non. Les deux sont en wifi, donc atteignable par tout le monde. Un L'intêret ici de séparer les bases est évident.
 Il suffit alors d'indiquer l'adresse du serveur radius, avec le port qui correspond, suivant la base que l'on souhaite interroger.
@@ Ligne 131 : / Ligne 131 : @@
 <br/>
-On modifie le port dans la configuration de chacun des portails :
+On modifie le port dans la configuration de chacun des portails. Le pfsense étant au coeur du réseau, il peut communiquer avec les réseaux des deux interfaces. Un poste dans le réseau 1 peut donc  :
 [[Fichier:radiusldap2.png]]

@@ Ligne 10 : / Ligne 10 : @@
 Dans ce même fichier modifier les attributs olcSuffix et olcRootDN :
-  olcSuffix: dc=systea,dc=local
+  olcSuffix: dc=domain,dc=com
   ...
-  olcRootDN: cn=Admin,dc=systea,dc=local
+  olcRootDN: cn=Admin,dc=domain,dc=com
 Modifier également le fichier  olcDatabase\=\{1\}monitor.ldif pour que le rootDN corresponde :
-  olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Admin,dc=systea,dc=local" read by * none
+  olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Admin,dc=domain,dc=com" read by * none
 Même chose dans olcDatabase\=\{2\}bdb.ldif sur les lignes :
   olcAccess: {0}to attrs=userPassword by self write by dn.base="cn=Manager,dc=acme,dc=com" write by anonymous auth by * none
-  olcAccess: {1}to * by dn.base="cn=Manager,dc=acme,dc=com" write by self write by * read
+  olcAccess: {1}to * by dn.base="cn=Admin,dc=domain,dc=com" write by self write by * read
 Démarrer openldap avec le système :
@@ Ligne 29 : / Ligne 29 : @@
 == Config Freeradius ==
-Pour la suite, on été crées deux OU dans l'annuaire LDAP. Chacune correspondra à un serveur radius, dans le but de fournir deux sources d'identification isolées.
+Pour la suite, ont été crées deux OU dans l'annuaire LDAP. Chacune correspondra à un serveur radius, dans le but de fournir deux sources d'identification isolées.
 Créer un fichier /etc/raddb/modules/ldap
   ldap ANNUAIRE1 {
   server = "192.168.2.250"
-          identity = "cn=Admin,dc=systea,dc=local"
+          identity = "cn=Admin,dc=domain,dc=com"
           password = cela2LDAP!
-          basedn = "ou=Annuaire1,dc=systea,dc=local"
+          basedn = "ou=Annuaire1,dc=domain,dc=com"
           filter = "(uid=%{Stripped-User-Name:-%{User-Name}})"
           #base_filter = "(objectclass=radiusprofile)"
@@ Ligne 43 : / Ligne 43 : @@
   ldap ANNUAIRE2 {
   server = "192.168.2.250"
-          identity = "cn=Admin,dc=systea,dc=local"
+          identity = "cn=Admin,dc=domain,dc=com"
           password = cela2LDAP!
-          basedn = "ou=Annuaire2,dc=systea,dc=local"
+          basedn = "ou=Annuaire2,dc=domain,dc=com"
           filter = "(uid=%{Stripped-User-Name:-%{User-Name}})"
           #base_filter = "(objectclass=radiusprofile)"
@@ Ligne 85 : / Ligne 85 : @@
+  }
-/etc/raddb/sites-enabled/nonrestricted
+/etc/raddb/sites-enabled/annuaire2
   listen {
   ipaddr = 192.168.2.250

@@ Ligne 1 : / Ligne 1 : @@
 Installer les paquets FreeRadius et le serveur openldap
-  yum install freeradius freeradius-mysql freeradius-utils openldap openldap-clients openldap-servers -y
+ yum install freeradius freeradius-mysql freeradius-utils openldap openldap-clients openldap-servers -y
 == Config de la base LDAP ==

@@ Ligne 4 : / Ligne 4 : @@
 == Config de la base LDAP ==
 Définir le compte et le mot de passe admin
-  slappasswd
+ slappasswd
 Copier le SHA qui est renvoyé dans le fichier /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}bdb.ldif
@@ Ligne 10 : / Ligne 10 : @@
 Dans ce même fichier modifier les attributs olcSuffix et olcRootDN :
-  olcSuffix: dc=systea,dc=local
+ olcSuffix: dc=systea,dc=local
-  ...
+ ...
-  olcRootDN: cn=Admin,dc=systea,dc=local
+ olcRootDN: cn=Admin,dc=systea,dc=local
 Modifier également le fichier  olcDatabase\=\{1\}monitor.ldif pour que le rootDN corresponde :
-  olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Admin,dc=systea,dc=local" read by * none
+ olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Admin,dc=systea,dc=local" read by * none
 Même chose dans olcDatabase\=\{2\}bdb.ldif sur les lignes :
-  olcAccess: {0}to attrs=userPassword by self write by dn.base="cn=Manager,dc=acme,dc=com" write by anonymous auth by * none
+ olcAccess: {0}to attrs=userPassword by self write by dn.base="cn=Manager,dc=acme,dc=com" write by anonymous auth by * none
-−
-  olcAccess: {1}to * by dn.base="cn=Manager,dc=acme,dc=com" write by self write by * read
+ olcAccess: {1}to * by dn.base="cn=Manager,dc=acme,dc=com" write by self write by * read
 Démarrer openldap avec le système :
-  chkconfig slapd on
+ chkconfig slapd on
 On utilisera Webmin ou tout autre interface graphique pour gérer les utilisateurs.

← Version précédente		Version du 14 janvier 2016 à 15:49
Ligne 32 :		Ligne 32 :

	Créer un fichier /etc/raddb/modules/ldap		Créer un fichier /etc/raddb/modules/ldap
−	ldap ANNUAIRE1 {	+	ldap ANNUAIRE1 {
−	server = "192.168.2.250"	+	server = "192.168.2.250"
−	identity = "cn=Admin,dc=systea,dc=local"	+	identity = "cn=Admin,dc=systea,dc=local"
−	password = cela2LDAP!	+	password = cela2LDAP!
−	basedn = "ou=Annuaire1,dc=systea,dc=local"	+	basedn = "ou=Annuaire1,dc=systea,dc=local"
−	filter = "(uid=%{Stripped-User-Name:-%{User-Name}})"	+	filter = "(uid=%{Stripped-User-Name:-%{User-Name}})"
−	#base_filter = "(objectclass=radiusprofile)"	+	#base_filter = "(objectclass=radiusprofile)"
−	}	+	}
−		+
−	ldap ANNUAIRE2 {	+	ldap ANNUAIRE2 {
−	server = "192.168.2.250"	+	server = "192.168.2.250"
−	identity = "cn=Admin,dc=systea,dc=local"	+	identity = "cn=Admin,dc=systea,dc=local"
−	password = cela2LDAP!	+	password = cela2LDAP!
−	basedn = "ou=Annuaire2,dc=systea,dc=local"	+	basedn = "ou=Annuaire2,dc=systea,dc=local"
−	filter = "(uid=%{Stripped-User-Name:-%{User-Name}})"	+	filter = "(uid=%{Stripped-User-Name:-%{User-Name}})"
−	#base_filter = "(objectclass=radiusprofile)"	+	#base_filter = "(objectclass=radiusprofile)"
−	}	+	}

	Deux serveurs virtuels sont créés, chacun pointant vers une OU de l'annuaire LDAP. La seule limitation que cela impose, c'est qu'on ne peut avoir deux fois le même nom (uid), puisqu'il ne s'agit d'OUs appartenant à un seul et même domaine.		Deux serveurs virtuels sont créés, chacun pointant vers une OU de l'annuaire LDAP. La seule limitation que cela impose, c'est qu'on ne peut avoir deux fois le même nom (uid), puisqu'il ne s'agit d'OUs appartenant à un seul et même domaine.
Ligne 57 :		Ligne 57 :
	/etc/raddb/sites-enabled/annuaire1 :		/etc/raddb/sites-enabled/annuaire1 :

−	listen {	+	listen {
−	ipaddr = 192.168.2.250	+	ipaddr = 192.168.2.250
−	port = 1812	+	port = 1812
−	type = auth	+	type = auth
−	virtual_server = one	+	virtual_server = one
−	}	+	}
−	server one {	+	server one {
−	authorize {	+	authorize {
−	ANNUAIRE1	+	ANNUAIRE1
−	}	+	}
−	authenticate {	+	authenticate {
−	Auth-Type LDAP {	+	Auth-Type LDAP {
−	ANNUAIRE1	+	ANNUAIRE1
−	}	+	}
−	}	+	}
−	preacct {	+	preacct {
−	}	+	}
−	accounting {	+	accounting {
−	}	+	}
−	session {	+	session {
−	}	+	}
−	post-auth {	+	post-auth {
−	}	+	}
−	pre-proxy {	+	pre-proxy {
−	}	+	}
−	post-proxy {	+	post-proxy {
−	}	+	}

	/etc/raddb/sites-enabled/nonrestricted		/etc/raddb/sites-enabled/nonrestricted
−	listen {	+	listen {
−	ipaddr = 192.168.2.250	+	ipaddr = 192.168.2.250
−	port = 1813	+	port = 1813
−	type = auth	+	type = auth
−	virtual_server = two	+	virtual_server = two
−	}	+	}
−	server two {	+	server two {
−	authorize {	+	authorize {
−	ANNUAIRE2	+	ANNUAIRE2
−	}	+	}
−	authenticate {	+	authenticate {
−	Auth-Type LDAP {	+	Auth-Type LDAP {
−	ANNUAIRE2	+	ANNUAIRE2
−	}	+	}
−	}	+	}
−	preacct {	+	preacct {
−	}	+	}
−	accounting {	+	accounting {
−	}	+	}
−	session {	+	session {
−	}	+	}
−	post-auth {	+	post-auth {
−	}	+	}
−	pre-proxy {	+	pre-proxy {
−	}	+	}
−	post-proxy {	+	post-proxy {
−	}	+	}
−	}	+	}
−	~~-------------------------------------------------------------~~

	Les deux serveurs sont bindés sur la même IP, mais sur deux port différents. <br/>		Les deux serveurs sont bindés sur la même IP, mais sur deux port différents. <br/>

@@ Ligne 68 : / Ligne 68 : @@
    server one {
    authorize {
-           PUBLIC
+           ANNUAIRE1
+   }
    authenticate {
            Auth-Type LDAP {
-                   PUBLIC
+                   ANNUAIRE1
+           }
+   }
@@ Ligne 98 : / Ligne 98 : @@
    server two {
    authorize {
-           NONRESTRICTED
+           ANNUAIRE2
+   }
    authenticate {
            Auth-Type LDAP {
-                   NONRESTRICTED
+                   ANNUAIRE2
+           }
+   }

@@ Ligne 62 : / Ligne 62 : @@
    listen {
    ipaddr = 192.168.2.250
-  	  port = 1812
+          port = 1812
-     	  type = auth
+          type = auth
            virtual_server = one
+   }
@@ Ligne 92 : / Ligne 92 : @@
    listen {
    ipaddr = 192.168.2.250
-	  port = 1813
+          port = 1813
- 	  type = auth
+          type = auth
            virtual_server = two
+   }

← Version précédente		Version du 14 janvier 2016 à 15:44
Ligne 127 :		Ligne 127 :

	Il suffit alors d'indiquer l'adresse du serveur radius, avec le port qui correspond, suivant la base que l'on souhaite interroger.		Il suffit alors d'indiquer l'adresse du serveur radius, avec le port qui correspond, suivant la base que l'on souhaite interroger.
		+
		+	Deux portails captifs, bindés sur leur interface respective :
		+
		+	[[Fichier:radiusldap1.png]]
		+
		+	On modifie le port dans la configuration de chacun des portails :
		+
		+	[[Fichier:radiusldap2.png]]