EduRoam en 802.1X workshop & SURFnet Relatiedagen 8 December 2004 Nieuwegein

2 Inhoud Aanleiding 802.1X EduRoam Practicum uitleg –De RADIUS-server –Het Access Point –De laptop

3 WLAN is onveilig tcpdump -n -i eth1 19:52: > : icmp: echo request 19:52: > : icmp: echo reply 19:52: > : icmp: echo request 19:52: > : icmp: echo reply 19:52: > : icmp: echo request 19:52: > : icmp: echo reply ^C

4 Gebruikers zijn mobiel Access Provider Kabel Instelling A WLAN Instelling B WLAN Access Provider ADSL Internationale connectiviteit Access Provider WLAN Access Provider GPRS/ UMTS SURFnet backbone

5 Eisen Identificeer gebruikers uniek aan de rand van het netwerk –Geen session hijacking Maak gastgebruik mogelijk Schaalbaar –Lokale gebruikersadministratie en -authenticatie –Gebruik bestaande RADIUS-infrastructuur Eenvoudig te installeren en gebruiken Open –Ondersteuning voor alle gebruikelijke OSsen –Leveranciers onafhankelijk Veilig

6 Mogelijke oplossingen Open access: Schaalbaar, Onveilig MAC-address: Onschaalbaar, Onveilig WEP: Onschaalbaar, Onveilig Europese NRENs: Web-gateway: Schaalbaar Onveilig VPN-gateway: Onschaalbaar, Veilig 802.1X: Schaalbaar, Veilig, maar nieuw

7 IEEE 802.1X Poortgebaseerde toegangsbeveiliging (laag 2) tussen client en AP/switch Verschillende authenticatie-mechanismes (EAP-MD5, MS-CHAPv2, EAP-SIM, EAP-TLS, EAP-TTLS, PEAP) Gestandaardiseerd Encryptie van alle data, met dynamische sleutels RADIUS back end: –Schaalbaar –Gebruik bestaande vertrouwensstructuur (RADIUS) Eenvoudige integratie met dynamische VLAN-toewijzing Client software nodig (in OS of 3d party) Voor draadloos én vast

8 Hoe werkt 802.1X (in combinatie met 802.1Q)? data signalering EAPOL EAP over RADIUS bijv. LDAP RADIUS server Instelling A Internet Authenticator (AP of switch) User DB Studenten VLAN Gasten VLAN Medewerkers VLAN Supplicant

9 EduRoam (RADIUS-proxy) RADIUS server Instelling B RADIUS server Instellinng A SURFnet Centrale RADIUS Proxy server Authenticator (AP of switch) User DB Supplicant Gast Studenten VLAN Gasten VLAN Medewerkers VLAN data signalerling Trust fabric gebaseerd op RADIUS 802.1X en EAP (802.1Q VLAN toewijzing)

10 Practicum opgave Authentication Server (RADIUS server) Internet Authenticator (AP of switch) User DB Supplicant Configureren RADIUS-server Configureren AP Configureren Laptop

De RADIUS-server

12 Koppeling tussen RADIUS-server en AP Secret supergeheim Identifier ACCESSPOINT1

13 Configureren handler voor de realm groepx.rd.surfnet.nl Filename filename EAPType TTLS, PEAP, MSCHAP-V2 EAPTLS_CAFile %D/root.pem EAPTLS_CertificateFile %D/server.pem EAPTLS_CertificateType PEM EAPTLS_PrivateKeyFile %D/server.pem EAPTLS_PrivateKeyPassword serverkey EAPTLS_MaxFragmentSize 1024 AutoMPPEKeys EAPAnonymous

14 Maak een user database Password=geheim Password=noggeheimer

Het Access Point

16 Configureren 802.1X op AP

17 Juiste RADIUS-poorten op AP

De laptop

19 Selecteer de WLAN adapter

20 Configureer een nieuw WLAN

21 Selecteer het SSID van jullie groep

22 Selecteer 802.1X authenticatie met SecureW2

23 Configureer SecureW2

24 Vul de gebruikersgegevens in

En nu jullie!