---
# System prepended metadata

title: Lab5

---

# Lab5

## Tematy na wejściówkę

* **Podstawowa składnia i przeznaczenie plików konfiguracyjnych serwera FreeRADIUS.**
    * **Składnia**
    * **Pliki konfiguracyjne**
        * **clients.conf**
          Zawiera adresy wszystkich klientów (punktów dostępowych lub innych serwerów RADIUS) z którymi nasz serwer będzie wymieniał informacje. 
          Sekcje w pliku:
          ```
          client <hostname|ip-address|ip-network> {
              secret        = <wartość>
              shortname     = <wartość>
              <opcja>       = <wartość>
          }
          ```
          gdzie `secret` to hasło do zabezpieczenia komunikacji pomiędzy klientem i serwerem RADIUS.
          `shortname` to dowolna umowna nazwa klienta
          **WAŻNE** - to **nie** ma związku z klientami, które chcą się łączyć z daną siecią.
        * **users**
          Jedna z baz użytkowników, którymi może wpółpracować serwer FreeRADIUS. Wpisy składaja się z nazwy użytkownika, listy parametrów pozwalających na jego uwierzytelnienie lub polecenie jego bezwarunkowego dopuszczenia/odrzycenia. W dalszych liniach (po tabie) występują opcje.
          Przykład:
          ```
          user1        Auth-Type := Accept
          "user 2"     Cleartext-Password := "password"
                       Framed-Protocol = PPP,
                       Frames-Compression = Van-JacobsenTCP-IP
          ```
          Serwer porównuje nazwę użytkownika w pliku do tej, przesłanej przez klienta. Potem leci dalej, jeśli są jeszcze jakieś linie.
        * **radiusd.conf**
          **Nieważne.** Daje dosyć duże możliwości konfiguracji sposobu pracy serwera.
        * **eap.conf** odpowiada za ustawienia protokołu EAP (_you don't say_). Umożliwia użycie jednego z wielu mechanizmów uwierzytelniających oraz przesłanie kluczy szyfrujących. Zawiera sekcję główną `eap`. W tej sekcji można konfigurować działanie protokołu.
          Przykład:
          ```
          eap{
              tls{...} //tunel TLS
              peap{...} //dodanie prot. uw. PEAP
              mschapv2{...} //konieczne by obsługa tej metody działała
          }
          ```
        * **proxy.conf**
          Plik pozwalający na przekierowanie zgłoszeń odebranych przez serwer do innych serwerór RADIUS. 
          
* **Możliwości oferowane przez zastosowanie serwera RADIUS w sieci bezprzwodowej.**
  * Bezpieczeństwo - przy zastosowaniu odpowiedniego protokołu można zapobiec atakom MitM.
  * Bezpieczne uwierzytelnienie na różne sposoby
  * Skojarzenie użytkowników wraz z ich automatycznym przyjęciem/odrzuceniem lub definiowaniem preferowanej metody uwieżytelnienia, kompresowania, użwyania odpowiednich długości ramek
* **Protokół EAP/PEAP: możliwości, sposób działania, bezpieczeństwo.**
  Protokół pozwalający obu stronom procesu uwierzytelnienia na wymianę informacji. Dzięki temu obie strony są w stanie wybrać najlepszy, znany im sposób uwierzytelnienia.
  **Sposób działania**: EAP przenoszony jest przy pomocy protokołu 802.1x, który działa w 2 warstwie (ISO/OSI). **EAP** w wersji podstawowej używa metody uwierzytelnienia MD5. Polega na szyfrowaniu nazwy użytkownika i hasło za pomocą funkcji skrótu MD5. **PEAP** (Protected EAP) polega na zastawieniu tunelu TSL (pomiędzy suplikantem a NAS) oraz uruchamianiu kolejnej warstwy protokołu EAP wewnątrz tunelu, przez który komunikują się metody uwierzytelniania. 
  **Bezpieczeństwo**
    * **EAP (EAP/MD5)**
      Jest tym słabszym sposobem na uwierzytelnienie, dlatego zaleca się stosowanie go jedynie w środowiskach przewodowych, gdyż MD5 jest bardzo podatny.
    * **PEAP**
      PEAP, w odróżnieniu od EAP pozwala suplikantowi na weryfikację tożsamości serwera uwierzytelniającego (czyli sprawdzenie, czy dane rzeczywiście dotrą do właściwego serwera). Zapobiega to atakom MitM.
* **Obsługa kontrolera sieci bezprzewodowej Fortinet MC3200-V - procedury konfiguracji określonych mechanizmów (WEP/WPA/WPA2, filtry MAC, współpraca z serwerami RADIUS).**
    * Procedury konfiguracji mechanizmów bezpieczeństwa...
        * WEP
          Klasyczyny mechanizm WEP (klucze 64 lub 128 bitów). Należy wypełnić pole _WEP key (Alphanumeric/Hexadecimal)_, czyli klucz WEP w postaci hexów lub ciągu znaków ASCII. Pole _Shared Key Authentication_ (on/off) pozwala uruchomić uwierzytelnienie WEP Shared Key (on) albo WEP Open System (off).
        * WPA
          ? _To samo co w WPA2?_
        * WPA2
          Wymaga wypełnienia pola _Pre-shared Key (Alphanumeric/Hexadecimal)_  podając ciąg _znaków ASCII/bajtów hexadecymalnych_ o długości 8-63.
        * filtry MAC
          ACL Environment State - konfiguruję sposób działania funkcji filtracji:
            * Disabled - przepuszcza wszystkie stacje
            * Permit List Enabled - dopuszczane są tylko adresy z listy
            * Deny List Enabled - odrzucane są wszystkie stacje, które są na liście
        * współpraca z serwerami RADIUS
          Wymaga podania nazwy profilu RADIUS, adresu ip serwera RADIUS oraz hasła (secret) wykorzystywanego do ochrony komunikacji między serwerem RADIUS a kontrolerem. Istotne znaczenie mają również pola _MAC Address Delimieter_, które określa znak rozdzielający bajty adresu MAC w zapytaniu przesyłanym przez kontrollera oraz pole _Password Type_, określające zawartość pola Password.

## Planowane zadania

* Wstępna konfiguracja sieci w trybie infrastructure.
* Filtracja adresów MAC z użyciem serwera RADIUS.
* Uwierzytelnianie użytkowników z użyciem serwera RADIUS i protokołu EAP-MD5.
* Uwierzytelnianie użytkowników z użyciem serwera RADIUS i protokołu PEAP z automatycznym przydzielaniem kluczy szyfrujących ruch sieciowy.

## Copy-Paste z paczki

```
Mo�liwo�� przekierowania zg�osze� do innych serwer�w RADIUS:
PYTANIE WIELOKOROTNEGO WYBORU
	Jest konfigurowane z u�yciem pliku realms.conf
*	Pozwala na kierowanie zg�osze� do r�nych serwer�w na podstawie element�w podanej przez loguj�cego si� nazwy u�ytkownika.
*	Pozwala na zapewnienie wi�kszej bezawaryjno�ci.
*	Pozwala na roz�o�enie obci��enia na wiele serwer�w.


Protok� PEAP jest odmian� protoko�u EAP, w kt�rej:
	Dane przesy�ane s� szyfrowanym tunelem TLS.
	Dane przesy�ane s� szyfrowanym tunelem SSL.
*	Dane przesy�ane s� szyfrowanym tunelem TLS, a klient jest w stanie potwierdzi� to�samo�� serwera.
	Dane przesy�ane s� bez �adnego zabezpieczenia.


Plik clients.conf serwera FreeRADIUS mo�e s�u�y� do okre�lenia:
	Jakie stacje ko�cowe (komputery u�ytkownik�w) mog� pod��cza� si� do sieci bezprzewodowej.
*	Jakie punkty dost�powe mog� wymienia� dane z serwerem RADIUS.
	Jakie stacje ko�cowe (komputery u�ytkownik�w) mog� wymienia� dane z serwerem RADIUS.
	Jakie urz�dzenia sieciowe serwer RADIUS ma odpytywa� w celu wyszukania i uwierzytelnienia nowo pod��czonych klient�w.


Zastosowanie, w sieci zabezpieczonej WEP, serwera RADIUS z uwierzytelnianiem PEAP pozwala na:
PYTANIE WIELOKOROTNEGO WYBORU
*	Jednoczesne u�ywanie przez r�nych klient�w sieci r�nych kluczy szyfruj�cych.
*	Automatyczne uzyskiwanie przez klient�w sieci kluczy szyfruj�cych.
	Zastosowanie szyfrowania metod� AES.
	Wyd�u�enie klucza szyfruj�cego do ponad 128 bit�w, w celu poprawy bezpiecze�stwa sieci.
```
