EAP-TLS

loopie

Hezký den,

pro naší ZŠ chystám lepší zabezpečení školní bezdrátové sítě. Pro žáky a kantory používám na internet PEAP, pro připojení školního HW do vnitřní sítě chci použít EAP-TLS. Říkal jsem si, že by bylo hezké přihlašovat lidi jménem a heslem a počítače pomocí certifikátů. Narazil jsem ale na to, že klientský certifikát obsahuje username, takže stejně musím pro takový počítač vytvářet kromě certifikátu ještě uživatele. Tomu jsem se ale původně chtěl vyhnout. Jak se toto obvykle řeší? Napadlo mě, že bych mohl pro generování všech certifikátů použít stejné username, ale nevím jestli je to dobrý nápad. Uvítám jakékoliv připomínky. Radius je freeRadius 2.1.12, uživatelé jsou v MySQL s použitím defaultního schema.

Díky, Jarda

fblaha

Dobrý den,

freeRadius jako takový neznám, ale používám něco obdobného - upravený freeRadius jakožto rozšiřující balíček v Synology NAS. Tam mi Radius server nabízí pouze jeden jediný ceritifikát, kterýžto používám v rámci mé domácí sítě u všech uživatelů. A k tomu pochopitelně přihlašovací jméno a heslo z databáze NASu (lze použít buď místní uživatele, nebo LDAP, nebo dokonce i doménové, podle typu konfigurace).

Z toho usuzuji, že není nutné za každou cenu generovat pro každého uživatele zvlášť certifikát, ale lze použít pouze jeden serverový, ale určitě ne klientský certifikát.

Wifi jedu na WPA2-Enterprise, tedy s využité RADIUSu a vše funguje k mé naprosté spokojenosti.