Re: Anleitung für Installation/Konfiguration RADIUS-Server gesucht

["Matthias Hierweck, StR." <hierweck@msb-solingen.de>]

Hallo Wolfgang,

ich habe es jetzt endlich geschafft weiter an der freeradius-Einrichtung 
mittels deiner Anleitung für Debian Edu Wheezy zu arbeiten. (Vielen Dank 
dafür!)

Es hat auch fast alles gut funktioniert, nur die Authentifizierung 
mittels MSChap funktioniert irgendwie nicht (eigenes Password folgend 
durch XXX ersetzt):

---
root@tjener:/# ntlm_auth --request-nt-key --domain=SKOLELINUX 
--username=HIER
Password:
NT_STATUS_OK: Success (0x0)

root@tjener:/# radtest HIER XXX localhost 10 testing123
Sending Access-Request of id 19 to 127.0.0.1 port 1812
        User-Name = "HIER"
        User-Password = "XXX"
        NAS-IP-Address = 10.0.2.2
        NAS-Port = 10
        Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=19, 
length=20

root@tjener:/# radtest -t mschap HIER XXX localhost 10 testing123
Sending Access-Request of id 219 to 127.0.0.1 port 1812
        User-Name = "HIER"
        NAS-IP-Address = 10.0.2.2
        NAS-Port = 10
        Message-Authenticator = 0x00000000000000000000000000000000
        MS-CHAP-Challenge = 0xf62789efa07f2c92
        MS-CHAP-Response = 
0x0001000000000000000000000000000000000000000000000000ef2187f8bdf7a25142f630770bd6aae16d84756f37c07b16
rad_recv: Access-Reject packet from host 127.0.0.1 port 1812, id=219, 
length=38
        MS-CHAP-Error = "\000E=691 R=1"

root@tjener:/#
---

Hat jemand eine Idee woran das liegen könnte?

Vielen Dank für die Unterstützung!

Viele Grüße

Matthias


Am 22.01.2016 um 17:23 schrieb Wolfgang Schweer:
> On Fri, Jan 22, 2016 at 03:35:48PM +0100, Matthias Hierweck, StR. wrote:
> > Nach ktadd -k /etc/krb5.keytab.radius radius/tjener@INTERN
> >
> > bekomme ich folge Fehlermeldung:
> >
> > Datei oder Verzeichnis nicht gefunden while adding key to keymap
>
> Seltsam.
>
> > Danke für den Hinweis mit den Zertifikaten.
>
> Da sich Android-Clients auch bei fehlendem Zertifikat verbinden (ohne
> Hinweis), würde ich inzwischen von EAP-TTLS/PAP abraten und eher
> EAP-PEAP/MSChapV2 verwenden. Da wäre der Aufwand für einen evtl.
> Angreifer mit eigenem AP und eigenem Radius-Server höher.
>
> Hier hatte ich für Debian-Edu Wheezy beschrieben, wie beide EAP-Methoden
> gleichzeitig verwendet werden können:
> https://lists.debian.org/debian-edu/2014/04/msg00028.html
>
> (Alle anderen EAP-Methoden bis auf PEAP aus eap.conf entfernen.)
>
> Viele Grüße
> Wolfgang

--
Matthias Hierweck, StR
Mildred-Scheel-Berufskolleg, Solingen

Phone:    +49-(0)2304-3095581
Email:    hierweck@msb-solingen.de

---
Diese E-Mail wurde von Avast Antivirus-Software auf Viren geprüft.
https://www.avast.com/antivirus