FreeRadius - WPA-EAP - meerdere SSID's

[WRT54G]

Ik heb de volgende setup:
pfSense waar FreeRadius (FR) 3 op draait.
2x TP-Link Archer C7 met Lede Reboot 17.01.2 beide hebben ze 3 SSID's (normaal, guest en admin SSID).
De Archers zijn ingericht als "domme" wireless AP's.
Normaal verbindt met VLAN10, guest op VLAN11 en admin op VLAN12.

Nu wil ik WPA2 Enterprise (EAP) gaan gebruiken ipv PSK.
Een aantal gebruikers aangemaakt in FR. Archers gekoppeld met FR. Voor zover werkt het prima.
Maar nu wil ik onderscheid gaan maken welke gebruikers er op welke SSID's mogen connecten.
Immers gebruikers die guest zijn mogen alleen verbinden met het guest netwerk en non-admin users mogen niet verbinden met het admin netwerk.

Ik heb een packet capture gedaan en ik zie diverse Radius attributes tijdens het connecten.
Waaronder Called-Station-Id. Dit leek mij een prima attribute om een user mee te geven zodat ie niet kan/mag verbinden op andere SSID's.

Gebruiker John is een guest user en deze heb ik dan ook het volgende CHECK ITEM attribute meegegeven:

code:

Called-Station-Id = "xx-xx-xx-xx-xx-xx:guest"

Waar xx-xx het mac adres is van het SSID (BSSID).
Dit werkt, echter alleen voor 1 wireless AP. Zodra ik een tweede Called-Station-Id toevoeg dan werkt het niet meer. Maar ik heb 2 wireless access points en John moet op beide kunnen inloggen (hebben hetzelfde guest SSID).

Zodra ik een tweede Called-Station-Id toevoeg als attribute dan moet hij beide matchen. Dat werkt natuurlijk niet. Hoe kan ik meerdere attributes invoegen en een statement dat hij een van de 2 moet matchen en niet allebei.

Of een andere manier waarop ik dit werkend kan krijgen is natuurlijk ook welkom!
Dynamic vlanning werkt helaas (nog) niet op Lede (OpenWRT) op 5GHz dus dat gaat niet lukken.

[Groentjuh]

Volgens mij wil jij deze config gaan draaien: https://wiki.openwrt.org/doc/howto/wireless.security.8021x

dan ben je gelijk van al die extra ssids af.

[ Voor 19% gewijzigd door Groentjuh op 23-08-2017 09:05 ]

[WRT54G]

@Groentjuh
Thanks voor je reply.
Ik had die link ook al voorbij zien komen.
Dat is idd wat ik idealistisch zou willen echter werkt dit niet op de 5GHz band bij Lede (opvolger OpenWRT).
Komt door de ath10k driver voor de Archer C7.
Dat zou dus betekenen dat ik alleen gebruik kan maken van de 2.4GHz band. Dat is helaas iets wat ik niet wil.

https://bugs.lede-project...hp?do=details&task_id=488

[ Voor 15% gewijzigd door WRT54G op 23-08-2017 09:18 ]

[Groentjuh]

CHECK ITEM met behulp van een regular expression laten matchen bij beiden varianten van de Called-Station-Id attribute lijkt mij dan de logische optie.

code:

Called-Station-Id =~ ".*:guest$"

[ Voor 13% gewijzigd door Groentjuh op 23-08-2017 17:00 ]

[WRT54G]

Om eerlijk te zijn ben ik een redelijk Groentjuh ( ) wat betreft FreeRadius.
Hoe zet ik een regular expression op?

[ Voor 3% gewijzigd door WRT54G op 24-08-2017 07:35 ]

[WRT54G]

@Groentjuh
Helaas had ik dat ook al gevonden en toegepast. Nu nogmaals gedaan maar het werkt niet.
Ik heb dit als CHECK ITEM toegevoegd.

Hieronder de USER config

code:

/usr/local/etc/raddb/users

"testuser" Cleartext-Password := "Test1234", Called-Station-Id =~ ".*:guest$"

Als ik met mijn MacBook wil verbinden naar het guest netwerk en ik gebruik de testuser credentials dan blijft ie terug komen met de vraag om credentials. iPhone (7) idem.

De log entry bij pfSense is de volgende:

code:

Login incorrect (mschap: FAILED: No NT/LM-Password. Cannot perform authentication): [testuser] 
Login incorrect (eap_peap: The users session was previously rejected: returning reject (again.)): [testuser]

[ Voor 22% gewijzigd door WRT54G op 24-08-2017 07:35 ]

[WRT54G]

Iemand nog een idee waarom het fout gaat?

[WRT54G]

Het probleem is inmiddels opgelost!

Ik moest de default EAP type veranderen in PEAP en de volgende optie aanzetten:
Copy Request to Tunnel

The tunneled authentication request does not usually contain useful attributes like 'Calling-Station-Id', etc. These attributes are outside of the tunnel, and normally unavailable to the tunneled authentication request. By setting this configuration entry to 'Yes', any attribute which is not available in the tunneled authentication request, but which is available outside of the tunnel, is copied to the tunneled request. (Default: No)

Hierna was het wel mogelijk om Called-Station-Id =~ ".*:guest$" te gebruiken als CHECK ITEM attribute bij de gebruikers.