Freeradius erklärt - Versionsgeschichte

Linkai.zhang am 15. August 2023 um 06:31 Uhr

2023-08-15T06:31:38Z

Niklas.guenauer am 5. Dezember 2018 um 11:20 Uhr

2018-12-05T11:20:49Z

Niklas.guenauer: Die Seite wurde neu angelegt: „Nach eigener Aussage ist FreeRADIUS der am häufigsten genutzte "'''R'''emote '''A'''uthentication '''D'''ial-'''I'''n '''U'''ser '''S'''ervice"-Server. Es gil…“

2018-12-05T09:18:23Z

Die Seite wurde neu angelegt: „Nach eigener Aussage ist FreeRADIUS der am häufigsten genutzte "'''R'''emote '''A'''uthentication '''D'''ial-'''I'''n '''U'''ser '''S'''ervice"-Server. Es gil…“

Neue Seite

Nach eigener Aussage ist FreeRADIUS der am häufigsten genutzte "'''R'''emote '''A'''uthentication '''D'''ial-'''I'''n '''U'''ser '''S'''ervice"-Server. Es gilt das AAA- Prinzip:
*'''A'''uthentisierung - Ist der Client berechtigt auf das Netzwerk zuzugreifen?
*'''A'''utorisierung - In welchem Umfang darf der Client zugreifen?
*'''A'''ccounting - Welche Ressourcen hat der Client während des Netzwerkzugriffs in Anspruch genommen?

=Begriffserklärung=
'''Supplicant''' - ist der Client, welcher sich mithilfe eines User Accounts verifizieren will.

'''Authenticator''' - Gerät, dass den Zugang zum Netzwerk ermöglicht z.B. Switch, WLAN-AP. Wird daher auch als '''N'''etwork '''A'''ccess '''S'''erver bezeichnet.

'''Authentication Server''' - Server auf dem der RADIUS-Server läuft. Überprüft Benutzername und Kennwort local und in einer weiterer Instanz wie Beispielsweise LDAP.

'''802.1X''' - Protokoll zwischen Supplicant und Authenticator. Setzt direkt auf Ethernet (802.3) bzw WLAN (802.11) auf, noch bevor eine TCP/IP-Verbindung aufgebaut wird.

'''RADIUS''' - Protokoll zwischen Authenticator und Authentication-Server. Protokoll setzt auf TCP-IP (UDP/1812 UDP/1813). Sie Teilen sich ein gemeinsames secret, mit dem die Kommunikation verschlüsselt und signiert wird.

'''EAP''' - Protokoll zwischen Supplicant und Authentication-Server. Setzt auf 802.1X und RADIUS auf. Wird verwendet,

← Nächstältere Version		Version vom 5. Dezember 2018, 11:20 Uhr
Zeile 15:		Zeile 15:
	'''RADIUS''' - Protokoll zwischen Authenticator und Authentication-Server. Protokoll setzt auf TCP-IP (UDP/1812 UDP/1813). Sie Teilen sich ein gemeinsames secret, mit dem die Kommunikation verschlüsselt und signiert wird.		'''RADIUS''' - Protokoll zwischen Authenticator und Authentication-Server. Protokoll setzt auf TCP-IP (UDP/1812 UDP/1813). Sie Teilen sich ein gemeinsames secret, mit dem die Kommunikation verschlüsselt und signiert wird.

−	'''EAP''' - Protokoll zwischen Supplicant und Authentication-Server. Setzt auf 802.1X und RADIUS auf. ~~Wird~~ verwendet,	+	'''EAP''' - Protokoll zwischen Supplicant und Authentication-Server. Setzt auf 802.1X und RADIUS auf. Der Authenticator übersetzt das 802.1X in das RADIUS Protokoll.
		+
		+
		+	=Verfahren=
		+	Das IEEE 802.1X-Protokoll beschreibt ein Verfahren, bei dem ein Endgerät (Laptop, PC, etc.) authentisiert werden kann, bevor es in das Netzwerk gelassen wird.
		+
		+	Das Endgerät kommuniziert über den Authenticator (mithilfe von IEEE 802.1X) mit dem RADIUS-Server, da es zu diesem Zeitpunkt noch keine IP besitzt. Die Sicherheit basiert daher auf abgesicherte Verbindung von Authenticator und Authentication-Server.
		+
		+	Nach dem Handshake zwischen den beteiligten kommt das "'''E'''xtensible '''A'''uthentication '''P'''rotocol". Die Kommunikation ist in 2 Phasen aufgeteilt. Jede Phase hat verschiedene Verfahren.
		+
		+	Phase1 (Outer Tunnel):
		+	*EAP-TLS: Der Client wird über Zertifikate durch einen gesicherten TLS-Tunnel authentisiert
		+	*EAP-TTLS: Passwort-Abfrage durch einen gesicherten TLS-Tunnel
		+	*EAP-PEAP: Passwort-Abfrage (Challenge-Response) durch einen gesicherten TLS-Tunnel (hauptsächlich für Windows-Umgebungen)
		+	*EAP-MD5: Unverschlüsselte Verbindung. Das Passwort wird zwar nicht im Klartext übertragen, sondern über ein Challenge-Response-Verfahren abgeglichen, das eine MD5-Hashfunktion verwendet. Das Verfahren gilt allerdings als überholt und nicht mehr sicher.
		+	* ...
		+
		+	Danach wird ein innerer Tunnel in den äußeren "gelegt". Dies ist Phase 2:
		+	*PAP: Das Passwort wird im Klartext übertragen.
		+	*MD5: Challenge-Response-Verfahren mit einer MD5-Hashfunktion (überholt und nicht mehr sicher)
		+	*MSCHAPv2: Challenge-Response-Verfahren (hauptsächlich für Windows-Umgebungen)
		+	*...
		+
		+	Im Anschluss ist die Authentifizierung des Clients abgeschlossen und der RADIUS-Server

@@ Zeile 1: / Zeile 1: @@
 Nach eigener Aussage ist FreeRADIUS der am häufigsten genutzte "'''R'''emote '''A'''uthentication '''D'''ial-'''I'''n '''U'''ser '''S'''ervice"-Server. Es gilt das AAA- Prinzip:
 *'''A'''uthentisierung - Ist der Client berechtigt auf das Netzwerk zuzugreifen?
-*'''A'''utorisierung - In welchem Umfang darf der Client zugreifen?
+*'''A'''uthorisierung - In welchem Umfang darf der Client zugreifen?
 *'''A'''ccounting - Welche Ressourcen hat der Client während des Netzwerkzugriffs in Anspruch genommen?