Opzetten OPNsense tbv o.a. RADIUS en OpenVPN

[CH4OS]

Sindskort heb ik de wens om een OpenVPN bakje thuis op te zetten.
Hier kan ik heel simpel een VM voor maken en dat heb ik dan ook gedaan, op basis van OpenVPN.

Het doel is uiteindelijk simpel; een OpenVPN server, dat RADIUS gebruikt als authenticatie. De RADIUS authenticatie wil ik dan ook gelijk gebruiken als authenticatie op de wifi hier thuis.

Ik ben nu echter al een paar dagen aan het stoeien, maar krijg het voorlopig nog niet echt voor elkaar.
Toen ik hetzelfde probeerde met pfSense kwam ik iets verder, maar kreeg uiteindelijk RADIUS daarop ook niet goed werkend; lokale inlogpogingen gingen daarin goed, maar via de router (Asus AC68U) komt er geen enkele request binnen.

Dat is op zich vreemd, ik heb namelijk in zowel pfSense als nu met OPNsense rules aangemaakt in de firewall voor RADIUS en RADIUS (accounting), oftewel poort 1812 en poort 1813.

Dit heb ik gedaan voor zowel het netwerk, als de localhost. Ook is de router als client toegevoegd in de RADIUS settings.

Met pfSense kon ik (via localhost) met radtest wel succesvol testen, maar nu met OPNsense helaas niet.
;

Sent Access-Request Id 0 from 0.0.0.0:45713 to 127.0.0.1:1812 length 78
        User-Name = "USERNAME"
        User-Password = "PASSWORD"
        NAS-IP-Address = 192.168.0.127
        NAS-Port = 1812
        Message-Authenticator = 0x00
        Cleartext-Password = "PASSWORD"

Met als uiteindelijke reply

(0) No reply from server for ID 0 socket 3

Maar ook met als IP-adres 192.168.0.127 gaat het fout, gebeurd overigens exact hetzelfde; bovenstaande inlogpoging komt dan 3x voorbij en daarna dus de melding no reply.

Kijk ik vervolgens met nmap, dan zie ik bij gebruik van UDP dat de poort open|filtered is en op TCP uiteraard enkel filtered. Vreemd, want heb wel in de firewall de rule gedefineerd staan, immers.

Ik zit nu dus een beetje vast; how to's gezocht op het web en die geprobeerd te volgen, maar lijken ook niet helemaal geschikt voor mijn situatie of zijn op basis van bijvoorbeeld FreeRADIUS 2.

Ik zal ongetwijfeld ook wat info vergeten zijn om door te geven, vraag het gerust. Uiteraard zijn ook tips welkom van dingen die ik nog kan proberen.

Bonusronde:
Als ik dit allemaal werkend heb, kan ik daarna ook aan de gang met captive portal, om een mooie login te hebben, maar dat is - voor nu althans - voor latere zorg.

Ik kreeg het overigens wel werkend (de RADIUS dan) bij gebruik van 2 VM's. Een VM die het RADIUS-deel deed en een andere VM voor de OpenVPN. Echter gebruik ik dat liever in een gecombineerde VM en de manieren die ik vond om (wat ik bij de twee VM's gebruikte) te combineren vond ik ook wat zonde, daarbij gebruikte de een geloof ik Apache als webserver en de ander Nginx die elk hun vhosts via een andere poort liepen lopen. Nu is dat niet zo héél erg, maar het verbruikte wel wat meer resources op de host, wat ik gewoon zonde vond, vandaar dat ik zit te zoeken naar een oplossing die in elk geval RADIUS en OpenVPN / wifi authenticatie combineert.

[ Voor 28% gewijzigd door CH4OS op 20-12-2017 21:27 ]

[mkroes]

Ik heb momenteel pfsense draaien met freeradius als authenticatie voor openvpn en wifi. Ik ben net gestart met het optuigen van opnsense dus hier durf ik nog niet over te zeggen.

Maar ik kan me niet herinneren dat het heel spannend was om het geheel in pfsense werkend te krijgen.. Misschien eens wat configs vergelijken?

[CH4OS]

Ik vind het prima, zo verschillend kan de config niet zijn voor FreeRADIUS bijvoorbeeld.

Aangezien ik het vermoeden heb dat eea niet werkt door de firewall, hier de rules zoals ik ze heb ingesteld:

Floating rule op de firewall (heb ik voor de zekerheid ingesteld)


Rules op interface "WAN" (let op: is enkel de naam!):


General settings FreeRADIUS:


EAP settings FreeRADIUS:

[ Voor 81% gewijzigd door CH4OS op 20-12-2017 21:55 ]

[mkroes]

Ik zal je morgen het een en ander toe sturen om te vergelijken.

[CH4OS]

Intussen heb ik trouwens een internal CA aangemaakt, de client en server certificaten en een Certificte Revoke List.

De nieuwe EAP settings:

[ Voor 24% gewijzigd door CH4OS op 20-12-2017 22:08 ]

[mkroes]

De schermen zien er totaal anders uit in OPNsense dan in pfSense. ik kan hier niet echt iets iets halen.
Zoals gezegd ben ik ook net bezig met OPNsense.. ik probeer hier eens even wat vaart achter te zetten

Wat me wel opvalt is dat deze instelling in pfSense standaard op "No" staat:

code:

require_message_authenticator = no

Zou je eens een stukje van je clients.conf kunnen posten?

Dit is wat FreeRadius in pfSense er van maakt:

code:

client "CLIENT_NAME" {
    ipaddr = CLIENT_IP
    proto = udp
    secret = 'CLIENT_PASSWORD'
    require_message_authenticator = no
    nas_type = other
    ### login = !root ###
    ### password = someadminpass ###
    limit {
        max_connections = 16
        lifetime = 0
        idle_timeout = 30
    }

[CH4OS]

Het gaat natuurlijk niet zozeer om hoe het eruit ziet, maar om de waardes. Kan mij niet voorstellen dat de waardes bij FreeRADIUS voor pfSense anders is dan de waardes voor OPNsense of als je het los installeert.

Ik kan echter vanavond pas weer bij de betreffende VM, dus ik zal vanavond de informatie in een nieuwe reply zetten.

[ Voor 22% gewijzigd door CH4OS op 21-12-2017 09:36 ]

[mkroes]

CH4OS schreef op donderdag 21 december 2017 @ 09:35:
Het gaat natuurlijk niet zozeer om hoe het eruit ziet, maar om de waardes. Kan mij niet voorstellen dat de waardes bij FreeRADIUS voor pfSense anders is dan de waardes voor OPNsense of als je het los installeert.

Klopt helemaal natuurlijk... Ik zal het even anders formuleren: ik kan hier niets afwijkends in ontdekken

Ik zal vanavond ook even kijken of ik FreeRadius onder OPNsense werkend kan krijgen..

[CH4OS]

Ik zit even verder te kijken en te zoeken, kom ik https://forum.pfsense.org/index.php?topic=108493.0 tegen. Lijkt me een mooie how to om als leidraad te gebruiken. OPNsense is namelijk een fork van pfSense.

EDIT:
En mijn probleem is opgelost. Ik kan in elk geval met mijn telefoon op de wifi verbinden.
In OPNsense moet je schijnbaar het IP-adres + (ik meen dat het voor subnetting is) opgeven.
Dus 127.0.0.1/8 en 192.168.0.127/24 in mijn geval.
Voor elke client miste het vetgedrukte deel. Die had ik toegevoegd en nu werkt het.

Nu nog het captive portal verhaal en OpenVPN er aan hangen.

[ Voor 50% gewijzigd door CH4OS op 21-12-2017 18:32 ]

[mkroes]

Je bent me net even voor: wanneer je een client aanmaakt staat dit bij de 'help' aangegeven:

Set the IP address of the remote client or the complete network like 10.10.10.0/24

_{Deze had ik ook zo over het hoofd gezien}

[ Voor 13% gewijzigd door mkroes op 21-12-2017 19:31 ]