Ik probeer hier op te zetten dat de netwerk apparatuur (Bestaande uit cisco 2950/2960s) kan authenticeren tegen een FreeRADIUS server. Nu heb ik het authenticatie gedeelte al wel aan de gang. Ik kan inloggen met de users die bij RADIUS bekend zijn. Volgende stap is dus de authorizatie, hier loop ik echter bij vast. Ik heb in de users file van FreeRADIUS de cisco av-pairs ingesteld en dat functioneerd voor zover ik kan zien ook goed:
Bij de output van radtest krijg ik de juiste attributen te zien:
Ook als ik met een user van de helpdeskgroep inlog krijg ik netjes priv-lvl=1 in plaats van 15.
Daarnaast krijg ik de volgende debug output op de cisco switch:
Zoals op de een-na laatste regel te zien is krijgt de switch dus ook de correcte attributen door van de RADIUS server.
De switch heeft de volgende configuratie:
Dan volgt nu het probleem. Wanneer ik inlog met een gebruiker uit de helpdesk groep, welke dus priv-lvl=1 mee krijgt vanuit radius, kan ik alsnog gewoon privileged en global config mode activeren en aanpassingen maken. De meegegeven AV-Pairs worden dus niet nageleefd. Maak ik hier een denkfout, een configuratiefout? Ik hoop dat iemand hier het misschien ziet.
code:
1
2
3
4
5
6
7
8
9
| DEFAULT Ldap-Group == network
Service-Type = NAS-Prompt-User,
Cisco-AVPair = "shell:priv-lvl=15",
Fall-Through = Yes
DEFAULT Ldap-Group == helpdesk
Service-Type = NAS-Prompt-User,
Cisco-AVPair = "shell:priv-lvl=1",
Fall-Through = Yes |
Bij de output van radtest krijg ik de juiste attributen te zien:
Bash:
1
2
3
4
5
6
7
8
9
| # radtest ralph passwd 127.0.0.1 0 testing123 Sending Access-Request of id 51 to 127.0.0.1 port 1812 User-Name = "ralph" User-Password = "passwd" NAS-IP-Address = 255.255.255.255 NAS-Port = 0 rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=51, length=62 Service-Type = NAS-Prompt-User Cisco-AVPair = "shell:priv-lvl=15" |
Ook als ik met een user van de helpdeskgroep inlog krijg ik netjes priv-lvl=1 in plaats van 15.
Daarnaast krijg ik de volgende debug output op de cisco switch:
Bash:
1
2
3
4
5
6
| 00:45:23: RADIUS: Received from id 1645/9 10.1.0.26:1812, Access-Accept, len 62 00:45:23: RADIUS: authenticator E5 8C 91 F8 28 81 46 E4 - 57 3D 51 7C 23 AF 64 A8 00:45:23: RADIUS: Service-Type [6] 6 NAS Prompt [7] 00:45:23: RADIUS: Vendor, Cisco [26] 24 00:45:23: RADIUS: Cisco AVpair [1] 18 "shell:priv-lvl=15" 00:45:23: RADIUS: saved authorization data for user 1CCC544 at 1CCD084 |
Zoals op de een-na laatste regel te zien is krijgt de switch dus ook de correcte attributen door van de RADIUS server.
De switch heeft de volgende configuratie:
code:
1
2
3
4
5
6
7
| aaa new-model aaa authentication login default group radius aaa authorization exec default group radius aaa accounting delay-start aaa accounting exec default start-stop group radius radius-server host 10.1.0.26 auth-port 1812 acct-port 1813 key KeYkEy |
Dan volgt nu het probleem. Wanneer ik inlog met een gebruiker uit de helpdesk groep, welke dus priv-lvl=1 mee krijgt vanuit radius, kan ik alsnog gewoon privileged en global config mode activeren en aanpassingen maken. De meegegeven AV-Pairs worden dus niet nageleefd. Maak ik hier een denkfout, een configuratiefout? Ik hoop dat iemand hier het misschien ziet.
/u/13471/karnemelk.png?f=community)
