Category Archives: FreeRadius

以前にEAP-TLSを使ったWPA2-Enterprise環境を構築したのですが、セキュリティは高いもののデジタル証明書をインストールする煩雑さがあります。 今回はユーザー/パスワード認証によるWPA2-Enterprise接続を構築してみます。EAP-PEAP/MSCHAPv2は多くのプラットフォームで広く使われている方式でセキュリティも比較的高く安心です。ユーザー管理にはブラウザから設定できるdaloRADIUSを使います。daloRADIUSはRADIUSサーバの管理用アプリケーションです。 新しいサーバを用意しても良いのですが、今回は普段ファイルサーバーとして使っているNAS（ReadyNAS 102）にインストールしてみます。このNASにはApache2サーバがすでにインストールしてあるので既存のWebサーバを使ってdaloRADIUSが使えるように設定します。 システム図 Users –(WI-FI)– AP(Chaos Calmer 15.05.1) –(LAN)– NAS(daloRADIUS, FreeRADIUS, MySQL) 手順 １．NASにMySQLサーバーとFreeRADIUSをインストール ２．Webサーバーの設定 ３．NASにdaloRADIUSをインストール ４．ルーターのAPの設定 ５．DaloRADIUSに接続 ６．ユーザからのWI-FI接続環境 １．NASにMySQLサーバーとFreeRADIUSをインストール MySQLサーバーはReadNASのコントロールパネルのAppsからインストールできますが、FreeRADIUSはないのでターミナルからsshログインしてaptを使ってインストールします。また各サーバーのモジュールもaptを使ってインストールします。（インストール詳細はdaloRADIUSパッケージのINSTALLファイルに書かれています） apt-get install php5-common php5-gd php-pear php-db libapache2-mod-php5 php-mail php-mail-mime apt-get install php5-mysql apt-get install freeradius freeradius-mysql freeradius-utils … Continue reading →

（旧）WPA PersonalとWPA Enterpriseの違い → 移動しました WPA PersonalはルーターなどのAPとClientのデバイスとのWi-Fi通信で事前共有鍵（PSK）を使った最も普及している暗号化方式です。WPAにはWPAとWPA2の2種類があり、PSK方式の暗号化アルゴリズムにはTKIPとAESの2種類があり、そのいずれの組み合わせでも使用が可能です。またWPA-PSKとWPA2-PSKの混在モードでも設定可能です。 WPA EnterpriseはRadius（IEEE 802.1X）を使ったユーザー認証です。暗号化アルゴリズムは、WPA Personalと同じくTKIPとAESの2種類あり混在モードも可能ですが、セキュリティ的にはAESのほうが優れているためAESのみの設定がおすすめです。認証方法にはEPA-TLS、EPA-LEAP、EPA-TTLSなどいくつか方式がありますが、EPA-TLSがもっとも安全なので、ここではEPA-TLSの設定で進めていきます。 WPA Enterpriseのメリット WPA Enterpriseを採用するメリットは、事前共有鍵を使ったWPA Personalの認証に比べセキュリティが高いことです。もしWPA Personalだと事前共有鍵が盗まれたら、すべての接続しているデバイスの共有鍵も作りなおさなければなりません。WPA Enterpriseでは各ユーザーごとに認証を行うため、仮にそのユーザの鍵が盗まれたとしても、そのユーザーに対して証明書破棄をすればほかのユーザーは影響を受けません。 もうひとつのメリットは、複数のAPを運用してい場合、APからAPに移動した時にWPA Personalは認証、ローカルネットワークでのIP割当て順で再接続します。WPA Enterpriseの再接続はRadius側で認証しているので、ローカルネットワークでのIP割当てのみになります。その違いからAP間の移動でのWi-Fi通信の切り替えがスムーズに行なえます。 WPA Enterpriseのセットアップは次の３つのステップです。 Radiusサーバーのセットアップ WPA Enterprise用のAPのセットアップ クライアントのセットアップ RadiusサーバーはFreeRadiusを使うことにしました。APのセットアップではOpenWrtの入ったルーターを使用し、各クライアントごとの設定方法を解説します。 1. FreeRadiusのセットアップ Note:FreeRadius 3では設定ファイルのディレクトリが異なります。設定内容は同じですが、このセットアップではFreeRadius 2を使っています。 /etc/freeradius/eap.conf: eap {                default_eap_type = tls                timer_expire … Continue reading →