RADIUS+LDAP/802.1x EAP authenticatie problemen.

[IcE_364]

Ik probeer m'n FreeRADIUS 1.1.7 server zo te configureren dat 802.1x clients kunnen authenticeren dmv PEAP. Nu heb ik het al zover geconfigureerd dat het hele EAP gedeelte van FreeRADIUS werkt, ik heb in mn users file 1 test gebruiker staan en daar kan ik succesvol mee inloggen:

code:

"henkjan"   User-Password == "test123"

Test:

Bash:

# ./rad_eap_test -H 127.0.0.1 -P 1812 -S xxxxxxx -s xxx -u henkjan -p test123 -m IEEE8021X -e PEAP
access-accept; 0

Echter wanneer ik probeer in te loggen met een user welke in de LDAP directory staat krijg ik een access-reject. Het LDAP gedeelte opzich klopt wel want wanneer ik de LDAP user test met radtest krijg ik een access-accept:

Bash:

# radtest karel test123 127.0.0.1 0 xxxxx
Sending Access-Request of id 230 to 127.0.0.1 port 1812
    User-Name = "karel"
    User-Password = "test123"
    NAS-IP-Address = 255.255.255.255
    NAS-Port = 0
rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=230, length=75
    Service-Type = NAS-Prompt-User

echter wanneer ik via EAP in wil loggen krijg ik dus een access-reject:

Bash:

# ./rad_eap_test -H 127.0.0.1 -P 1812 -S xxxxxxx -s xxx -u karel -p test123 -m IEEE8021X -e PEAP
access-reject; 4

De debug output van de radius server heb ik hier neergezet ivm de hoeveelheid. Maar daar zie ik verder geen fouten in, alleen dat er een access-reject word gestuurd. De LDAP user heeft een plaintext password in zijn userPassword staan. Ik weet eigenlijk niet meer waar ik nu verder moet zoeken aangezien ik geen foutmelding krijg.

Overige configs

code:

[..]

modules {
        pap {
                encryption_scheme = sha1
        }

        ldap {
                [..]
        }

        $INCLUDE ${confdir}/eap.conf

        mschap {
                authtype = MS-CHAP
                use_mppe = no
                require_encryption = yes
                require_strong = yes
        }
}

authorize {
        preprocess
        mschap
        ldap
        eap
        files
}

authenticate {
        Auth-Type MS-CHAP {
                mschap
        }
        eap
        ldap
        pap
}

code:

eap {
         default_eap_type = peap
}

peap {
          default_eap_type = mschapv2
}

Edit:
Ik ben er ondertussen achter dat er in de syslog wel een foutmelding kwam die niet in de debug output stond. Dit is het volgende:

code:

rlm_ldap: - authorize
rlm_ldap: performing user authorization for karel
rlm_ldap: ldap_get_conn: Checking Id: 0
rlm_ldap: ldap_get_conn: Got Id: 0
rlm_ldap: looking for check items in directory...
rlm_ldap: looking for reply items in directory...
rlm_ldap: user karel authorized to use remote access
rlm_ldap: ldap_release_conn: Release Id: 0
rlm_ldap: Entering ldap_groupcmp()
rlm_ldap: ldap_get_conn: Checking Id: 0
rlm_ldap: ldap_get_conn: Got Id: 0
rlm_ldap::ldap_groupcmp: User found in group network
rlm_ldap: ldap_release_conn: Release Id: 0
rlm_eap: Either EAP-request timed out OR EAP-response to an unknown EAP-request
Login incorrect: [karel] (from client fxw port 0 cli 70-6F-6C-69-73-68)

Echter heb ik hier nog geen oplossing mee kunnen vinden.

[ Voor 35% gewijzigd door IcE_364 op 02-06-2009 16:17 ]

[Kabouterplop01]

Het lijkt erop dat dat MAC adres als radius attribute wordt gebruikt en die zie ik niet eterug in je config (die attribute)

@hieronder:
Ik dacht dat zo was.

[ Voor 13% gewijzigd door Kabouterplop01 op 04-06-2009 20:10 ]

[IcE_364]

Waar baseer je dat op? Het enige mac adres wat ik gepost heb is van de client die de request doet. Hier staat anders een ipadres maar dat heeft de client nog niet omdat hij nog niet geauthenticeerd is. Dus word vervangen door het macadres. In mijn RADIUS of LDAP server word op geen enkele manier gebruik gemaakt of gefilterd op macadressen.

Ik ben op dit moment bezig met een test-install volledig volgens de verscheidene handleidingen. Mogelijk dat 1 van mijn eigen aanpassingen een conflict veroorzaakt. Het resultaat volgt nog.

Edit:
Schone setup werkt wel, nu eens uit gaan zoeken waar het verschil zit.

Edit 2:
Na de verse RADIUS en verse LDAP kruislings te testen met de bestaande installs ben ik zover dat het probleem bij de bestaande LDAP installatie lijkt te liggen en niet in RADIUS. Dat wil zeggen:
verse RADIUS + verse LDAP -> werkt
verse RADIUS + oude LDAP -> werkt niet
oude RADIUS + verse LDAP -> werkt
oude RADIUS + oude LDAP -> werkt niet

Edit 3:
Ik ga me even in een hoekje zitten schamen . Het was een van de ACL's van LDAP welke toegang tot het password niet toestond.

[ Voor 35% gewijzigd door IcE_364 op 04-06-2009 22:05 ]