 |
|
|
|||
|
|||
|---|---|---|---|
| Falls jemand den kostenlosen DNS-Dienst von Hurricane Electric dazu verwenden will, um eine Reverse-Zone für ein /56 Netz anzulegen: Das funktioniert soweit problemlos. Allerdings unterstützt deren GUI offenbar nur /48 und /64 vollständig. Bei einem /56 Subnetz könnte man nur PTR-Records für die letzten 64 Bit anlegen.
Angenommen man hat das Netz 2001:db8:1:ff00::/56 zugewiesen. Über die GUI könnte man jetzt problemlos einen rDNS-Eintrag für 2001:db8:1:ff00::dead:affe hinterlegen. Will man allerdings die ersten 8 Bit des Subnetzes ebenfalls angeben, muss man tricksen! 2001:db8:1:ffaa::1 ist auf dem Standardweg nicht möglich. Man beachte den unterstrichenen Teil. Glücklicherweise hilft ein Klick auf den Advanced-Tab... |
|||
|
|||
| Kommentare: 0 | |||
|
|
|||
|
|||
|---|---|---|---|
ACHTUNG: Dieser Beitrag wurde für FreeRADIUS v2.x geschrieben!
Für v3.x braucht es einige Anpassungen, die noch nicht enthalten sind. Ob und wann dieser Beitrag überarbeitet wird, steht noch nicht fest…  Im dritten und letzten Teil der kleinen Blogserie rund um das Thema IEEE 802.1X geht es endlich um drahtlose Netzwerke, besser bekannt als WLAN. Im ersten und zweiten Beitrag drehte sich alles um das kabelgebundene Netzwerk. Dieser Teil baut zumindestens auf dem FreeRADIUS Themenbereich aus dem ersten Blogpost auf, der unbedingt zuerst gelesen werden sollte! Etwas weiter unten sind dynamische VLANs auch hier ein Thema, der zweite Blogpost könnte auch dafür eine interessante Grundlektüre sein. Alle Beispiele wurden unter OpenWrt 15.05.1 auf einem WNDR3800 von Netgear getestet. Zu diesem Themenbereich gibt es zwar deutlich mehr brauchbare Anleitungen, trotzdem gehört es zu den vorherigen Themen dazu und vervollständigt den Einsatzbereich. Ich gehe davon aus, dass FreeRADIUS bereits einwandfrei läuft und jeder Leser mit EAP-TLS vertraut ist. Ich gehe zwar nochmals kurz auf den Verbindungsaufbau unter Linux und Windows ein, werde aber nicht mehr alles doppelt und dreifach erklären, was bereits früher ein Thema war. Alle gezeigten Konfigurationen sollten über SSH geändert werden. An einigen Stellen wird es auch für LuCI erklärt, alles ist damit aber noch nicht möglich. Die Screenshots von LuCI wurden mit luci-theme-openwrt erstellt, standardmäßig wird allerdings luci-theme-bootstrap installiert, das geringfügig anders aussieht. Wie bereits im ersten Beitrag erwähnt: FreeRADIUS kann in der aktuell stabilen Version von OpenWrt wegen einem Kernelbug nicht verwendet werden! In den Snapshots oder der Vorgängerversion 15.05 klappt es angeblich einwandfrei. Das nur als kurze Randnotiz. Ich entschied mich deswegen für die Installation unter einem normalen Debian System. An der WLAN-Konfiguration ändert das nichts, die ist bis auf die IP-Adresse des RADIUS-Servers identisch. Und wie auch schon zuvor: Ein Backup der OpenWrt Konfiguration ist Pflicht! Außerdem sollte man wissen, ob und wie der Failsafe-Modus beim eigenen Router funktioniert. Gerade bei den VLAN-Spielereien kann man sich sehr leicht aussperren. Und alle Änderungen sollten unbedingt über ein Netzwerkkabel durchgeführt werden! Es macht wenig Sinn über WLAN verbunden zu sein, wenn man genau diese Einstellungen ändert. |
|||
|
|||
| Kommentare: 0 | |||
|
|
|||
|
|||
|---|---|---|---|
ACHTUNG: Dieser Beitrag wurde für FreeRADIUS v2.x geschrieben!
Für v3.x braucht es einige Anpassungen, die noch nicht enthalten sind. Ob und wann dieser Beitrag überarbeitet wird, steht noch nicht fest… Im zweiten Teil der kleinen Blogserie rund um das Thema IEEE 802.1X geht es um die Möglichkeit VLANs über RADIUS dynamisch den einzelnen authentifizierten Switchports zuzuweisen. Die Grundkenntnisse wurden im ersten Beitrag vermittelt, dieser hier baut vollständig darauf auf. Man sollte den anderen somit unbedingt gelesen haben! Auch hier kommt wieder der GS108Tv2 von Netgear und ein FreeRADIUS-Server zum Einsatz. Ich gehe davon aus, dass EAP-TLS bereits erfolgreich läuft und nun um ein zusätzliches Feature erweitert werden soll. Das Grundwissen über VLAN werde ich an dieser Stelle nicht vermitteln, das würde den Rahmen sprengen. Folgende Punkte sollten keine großen Fragezeichen auslösen:
Wer diese Punkte nicht klar beantworten kann, sollte sich zuerst in die Thematik einlesen und dann entscheiden, ob ein VLAN wirklich notwendig ist... |
|||
|
|||
| Kommentare: 0 | |||
|
|
|||
|
|||
|---|---|---|---|
ACHTUNG: Dieser Beitrag wurde für FreeRADIUS v2.x geschrieben!
Für v3.x braucht es einige Anpassungen, die noch nicht enthalten sind. Ob und wann dieser Beitrag überarbeitet wird, steht noch nicht fest… IEEE 802.1X, vielleicht auch besser bekannt in Zusammenhang mit EAP (Extensible Authentication Protocol), ist eine Möglichkeit, um für kabelgebundene Netzwerke (Ethernet) eine Authentifizierung zu verlangen. Für WLAN gibt es diese Möglichkeit ebenfalls, dort ist es meistens unter dem vielversprechenden Namen WPA2-Enterprise bekannt. Um letzteres geht es in diesem Beitrag noch nicht, dafür folgt im Laufe des Wochenendes ein zweiter und dritter Blogpost. Normalerweise sind die typischen Heimnetzwerke, aber auch viele kleinere Firmennetzwerke, immer so aufgebaut, dass sich an der Netzwerkdose jeder anstecken kann. Ein normales Patchkabel reicht aus und schon ist man im Netzwerk und kann viel Unfug treiben. Das ist besonders gefährlich, wenn man nicht jeden Netzwerkanschluss im Blick hat, wodurch auch ein Spionagegerät schnell angestöpselt werden kann. In Zeiten von immer kleiner werdenden Mikrocomputern mit viel Rechenleistung und Speicherplatz eine echte Gefahr. Solche Ängste wären bei meinem Heimnetzwerk natürlich übertrieben. Aber auch hier gibt es reale Einsatzzwecke, die das Thema in den Fokus meiner Begierde rückten:
Die Authentifizierung soll mittels EAP-TLS (X.509 Zertifikate) erfolgen. Zum Einsatz kommt ein GS108Tv2 von Netgear. Es handelt sich dabei um einen leistbaren Smart-Managed Switch aus der ProSAFE Reihe, der kaum Wünsche offen lässt. Er bietet 8 Ports und lässt sich auf Wunsch sogar mittels PoE in das Netzwerk integrieren. Mein erster dieser Switches ist bereits seit 2011 in Betrieb. In den damals typischen älteren Firmware Versionen (u.a. 5.0.x) wurde laut diversen Forenbeiträgen nur EAP-MD5 unterstützt, was mittlerweile als unsicher gilt und von aktuellen Windows Versionen auch nicht mehr unterstützt wird. Die aktuellste Firmware (5.4.x) unterstützt aber auch mein präferiertes EAP-TLS einwandfrei, wodurch einem Test im Jahr 2016 nichts mehr im Weg stand... |
|||
|
|||
| Kommentare: 1 | |||
|
|
|||
|
|||
|---|---|---|---|
ACHTUNG: Dieser Beitrag wurde für FreeRADIUS v2.x geschrieben!
Für v3.x braucht es einige Anpassungen, die noch nicht enthalten sind. Ob und wann dieser Beitrag überarbeitet wird, steht noch nicht fest… Das kommende Wochenende steht ganz im Zeichen von IEEE 802.1X! Es handelt sich dabei um einen Standard zur Authentifizierung im Netzwerk. Ich werde in drei Beiträgen erklären, wie man das eigene Netzwerk absichert. Egal ob es sich dabei um ein privates Heimnetzwerk oder um ein kleines Firmennetzwerk handelt, die Tipps sollten für fast jeden brauchbar sein. EAP-TLS wird eine zentrale Rolle spielen, dabei werden normale X.509-Zertifikate verwendet. Als Software kommt FreeRADIUS zum Einsatz. Hardwareseitig wird ein GS108Tv2 von Netgear als Switch benutzt. Für den WLAN-Teil kann (fast) jeder OpenWrt-Router genutzt werden. Am Ende werden alle physikalischen Netzwerkports gegen unbefugtes Eindringen abgesichert sein und bekommen auf Wunsch sogar dynamisch ihre VLANs zugewiesen. Mit nur einem drahtlosen Netzwerk werden unterschiedliche Zugangsdaten dafür sorgen, dass auch hierbei eine dynamische Zuweisung der VLANs erfolgt. Clientseitig werden Linux, Windows und Android behandelt. Serverseitig liegt der Schwerpunkt verständlicherweise bei Linux. Wer nicht alles davon braucht und manches überspringen möchte: Kein Problem, aber trotzdem sollte man alles lesen! Jeder Beitrag baut auf dem bereits vermittelten Wissen von vorher auf. Wenn man weiß, wie man SSH nutzt und mit den grundlegenden Linux Befehlen (cd, chmod, chown, mv, cp, nano/vi, …) vertraut ist, sollte das als Grundwissen ausreichend sein. Nachfolgend eine kurze Übersicht, welche Beiträge wann veröffentlicht werden: (ca. 65 kB Text und 4 MB Bilder sowie Screenshots)
|
|||
|
|||
| Kommentare: 0 | |||
|
||||
  |
 |
|||