Far convivere più directory per autenticare e autorizzare "tutti"

Transcript

1 Far convivere più directory per autenticare e autorizzare "tutti" Freeradius per autenticare ed autorizzare gli utenti di un server Ldap e di uno Active Directory Daniele Albrizio CSIA Università of Trieste albrizio@units.it

2 Units.it in numeri ~21000 studenti iscritti nel 2005 ~1000 docenti ~800 unita' personale T.A. un numero imprecisato di collaboratori 12 Facoltà 41 Dipartimenti 3 centri di eccellenza 23 sedi o punti di presenza su un raggio di 95 Km 2

3 Background storici 1 repository per ogni macchina (utenti locali) Novell Directory Services (file server amministraz. centrale) Domini NT separati (server di posta di Facoltà per gli studenti) Ldap + Sendmail (Docenti, Ricercatori, studenti non coperti da Exchange) NT e AD inglobano gli studenti rimasti scoperti Active directory si popola con i dati dei db di Ateneo 3

4 Perchè uno sviluppo così disorganico Sviluppo delle directory: mailbox driven (escl. NDS) Prima fase di decentramento, seconda fase di centralizzazione (dovuta ad aumento spam virus, a carenze di pesonale in termini di tempo uomo, competenze e continuità di prestazione) Scelta del tipo di directory è stata dettata dalla disponibilità e dalle competenze specifiche dei sistemisti oltre che da scelte dirigenziali 4

5 La situazione attuale OpenLDAP con 2200 utenze attive: docenti, ricercatori Oracle con dati studenti e personale: async provisions to Active Directory Microsoft ActiveDirectory: Studenti (9800 utenze attive), Workstations, parte dei docenti e ricercatori (solo Dipartimenti e Facoltà coperte dal servizio) Novell Netware + NDS (in via di dismissione in favore di MS file sharing + AD) NO PKI (solo CA per comunicazioni sicure tra server) 5

6 La situazione attuale Repositories singoli Richieste di elenchi di gruppi specifici di utenti da parte dei dipartimenti e dei singoli cosi di laurea per sistemi di e learning, ecc..) Laboratori gestiti da ricercatori Laboratori gestiti da studenti Repositories esterni ECDL Un C@ppuccino per un PC... 6

7 Tendenze per il futuro Eliminare NDS e Netware Eliminare OpenLdap Integrare i repository autonomi Rendere sincrono e automatico il provisioning da Oracle Più facile a dirsi che a farsi 7

8 Prima di inoltrarci Dovete sapere che: Premessa: Lavoro sulle reti Purtroppo: La mia visione di AAI è network centrica 8

9 Esigenze a cui rispondere ADESSO > richieste di servizio portali servizi agli studenti > pressione legale dovuta anche al > numero di incidents Testo Unico Privacy DLT n.196 Decreto antiterrorismo DM > mobilità (o richieste di) wireless vpn (anche per accesso a risorse bibliotecarie) gprs/umts 9

10 Elementi a sfavore < Budget < Flessibilità degli utenti dovuta alla > penetrazione d'uso degli strumenti tecnologici in utenza non tecnologicamente alfabetizzata 10

11 Convivenza forzata di oldap e AD Autenticazione ed autorizzazione unificata almeno nei nuovi servizi utilizzando Radius per i servizi di rete però... Non univocità del namespace Realms units.it e ds.units.it Diversità nei protocolli per il passaggio delle credenziali e nel colloquio con i client (freeradius ldap usa solo plaintext o md5) 11

12 Wireless Client AuthN OS support Windows (XP sp2) [solo AD] peap/mschapv2 eap/tls Radius => NTLM + Kerberos ( LDAP) Windows (XP sp2) + SecureW2 [AD o OpenLDAP ] peap/mschapv2 eap/tls eap/ttls + pap/md5 Radius => NTLM + Kerberos o LDAP + tls 12

13 Wireless Client OS support Linux (wpasupplicant) [AD o OpenLDAP] * (support all methods) Mac [AD o OpenLDAP] * (support all methods) 13

14 Istanze multiple di backend ldap di Freeradius modules { ldap openldap { server = "ldap.units.it ldap2.units.it" identity = "cn=radiusman,dc=csia,dc=units,dc=it password = mypass basedn = "dc=csia,dc=units,dc=it" filter = "(uid=%{stripped User Name: %{User Name}})" start_tls = yes [...tls conf and certs stuff...] groupname_attribute = cn groupmembership_filter = "( (&(objectclass=groupofnames)(member=%{ldap UserDn}))(&(objectClass=GroupOfUniqueNames)(uniquemember=%{Ldap UserDn})))" } 14

15 Istanze multiple di backend ldap di Freeradius... modules { ldap adldap { ldap_debug = 0x0028 server = "dc1ts.ds.units.it dc2ts.ds.units.it [... tls goodies...] identity = "CN=viewer,OU=services,OU=utsAdmin,DC=ds,DC=units,DC=it" password = "mypasswd" basedn = "DC=ds,DC=units,DC=it" filter = "(samaccountname=%{stripped User Name: %{User Name}})" groupname_attribute = cn groupmembership_filter = (&(objectclass=group)(member=%{ldap UserDn})) } 15

16 Istanze multiple di backend ldap di Freeradius...modules { mschap { authtype = MS CHAP use_mppe = yes require_encryption = yes require_strong = yes ntlm_auth = "/usr/bin/ntlm_auth request nt key \ username=%{stripped User Name: %{User Name: None}} \ challenge=%{mschap:challenge: 00} nt response=%{mschap:nt \ Response: 00}" } 16

17 Istanze multiple di backend ldap di Freeradius authorize { Autz Type OPENLDAP { openldap } Autz Type ADLDAP { adldap } mschap [...] } authenticate { Auth Type OPENLDAP { openldap } Auth Type ADLDAP { adldap } Auth Type MS CHAP { mschap } [...] } 17

18 EAP configuration (info salienti) } eap { default_eap_type = peap tls { [Certificate stuff...] } peap { default_eap_type = mschapv2 } mschapv2 { } 18

19 Realm switch: Radius AuthN AuthZ Matrix Nel file users : DEFAULT Realm == "units.it", Autz Type := OPENLDAP,\ Auth Type := OPENLDAP Fall Through = Yes DEFAULT Realm == "ds.units.it", Autz Type := ADLDAP Fall Through = Yes 19

20 Realm switch: Radius AuthN AuthZ Matrix Ricordare che: l'autorizzazione viene eseguita PRIMA dell'autenticazione (da specifiche di Radius) se volessimo usare securew2 con PAP dentro TTLS autenticando su OpenLDAP,dovremmo creare una regola apposita 20

21 Group AuthZ DEFAULT Realm == "ds.units.it", adldap Ldap Group == itcsia Port Message == "Sei del Gruppo Giusto", Fall Through = Yes DEFAULT Realm == "ds.units.it", Huntgroup Name == \ ReteWireless, adldap Ldap Group == wardriver cattivi, \ Auth Type := Reject Port Message == "Sei del Gruppo SBAGLIATO", Fall Through = No 21

22 Eduroam Proxying Nel file proxy.conf realm DEFAULT { } type = radius authhost = :1812 accthost = :1813 secret = quellaconcordataconcecchini nostrip 22

23 Eduroam Proxying Upstream Server realm units.it { type = radius authhost = x:1812 accthost = x:1813 secret = quellaconcordataconcecchini nostrip } realm ds.units.it { } type = radius authhost = x:1812 accthost = x:1813 secret = quellaconcordataconcecchini nostrip 23

24 Eduroam e l'antiterrorismo Ci sono ancora ambiguità sull'applicazione parziale delle norme Pisanu alle Università. La dott.ssa Lotti, Funz. Ruoli Tenici della Polizia delle Telecomunicazioni ha dato un valido contributo durante l'ultimo Garr WS6, ma per alcune cose serve entrare in contatto con il legislatore. Come Università di Trieste abbiamo ricevuto un parere scritto del Garr sul tema e lo stiamo vagliando. 24

25 Eduroam e l'antiterrorismo Con molta speranza continuiamo i test di uno strumento di roaming validissimo e, tutto sommato, di veloce setup. 25

26 Eduroam Exclusion # Solo domini Italiani, per ora DEFAULT Realm!= NULL, Realm!~ "\.it$", Auth Type := Reject Port Message = "Eduroam from outside Italy is disabled due \ to legal issues", Fall Through = No L'esempio, può essere utile per l'estromissione temporanea di domini specifici in caso di incidenti. Attenzione alle nuove policy di Eduroam in fase di discussione. 26

27 Per far funzionare il tutto sotto linux occorre Modificare alcune linee nei seguenti files (debian ubuntu): /etc/ldap/ldap.conf (SASL_SECPROPS) /etc/samba/smb.conf (netbios name, realm, password server) /etc/krb5.conf ([libdefaults] e [realms]) Riavviare winbindd Inizializzare Kerberos (kinit) Fare il join del dominio AD (net ads join) 27

28 Chi usa Radius (radius clients) Routers di dorsale e sedi periferiche VPN server Accesspoint (WPA) Hupnet Captive Portal (apache's mod_radius no Accounting) Dialup Access Server (incoming ISDN/POTS) Upstream Garr Eduroam radius proxy Server (tutti i server radius eduroam) 28

29 Diagramma 29

30 Le WLAN e le VLAN Radius Essid units eduroam, non crittata Hupnet Captive Portal Essid units eduroam sec, WPA... 2? 30

31 Pgina del cative portal 31

32 Due parole sugli strumenti Freeradius (1.1.0) Molto usato Poco documentato (contribuite su Molto flessibile Hupnet (1.0a) Helsinki University Public NETwork simply iptables, bash and perl, si integra con Shibboleth usa i moduli di autenticazione di apache Siamo in attesa di valutare chillispot 32

33 Problema sedi remote Link atm, seriali o ethernet (untagged) Non possibile veicolare vlan se non con MPLS Prolifereranno captive portal 33

34 Cose carine / Sogni Log su sql Ricerche più semplici, anche in caso di intervento polpost Non auspicabile come unica modalità di logging View esportabili e usabili come informazione di presenza (presence nei sistemi di IM/VoIP) con modalità a sottoscrizione Servizio di localizzazione amici per gli studenti. 34

35 Cose carine / Sogni Bello, ma... Non c'è software pronto che lo faccia decentemente magari integrandolo con qualche sistema di IM Bisogna scrivere quindi parecchio codice...e come al solito non abbiamo al momento risorse per farlo. Qualcuno si offre? 35

36 Domande? 36

37 Trieste castello di Miramare 37

38 Packets needed before freeradius compilation libssl dev SSL development libraries, header files for EAP TLS feature libldap2 dev for rlm_ldap libpam0g dev Development files for PAM per rlm_pam libkrb5 dev Headers and development libraries for MIT Kerberos per rlm_krb5 libgdbmg1 dev (libgdbm dev) GNU dbm database routines for rlm_counter pike7.2 crypto for des and rlm_x99_token snmp NET SNMP (Simple Network Management Protocol) Agents. for the Simultaneous Use feature and checkrad.pl 38

39 Packets needed before freeradius compilation openssl to create certificates for use in EAP TLS and PEAP libperl dev to use rlm_perl to escape parenthesys from Viola's AD libltdl3 dev to compile snapshots >1.0.1 (using disable ltdlinstall) winbind for ntlm_auth feature: authenticate AD using ntlm mschap libc6 dev gcc, automake1.9, make krb5 config, krb5 user 39

40 Sites hupnet.sf.net Ambito di applicazione delle norme sulla sicurezza informatica L. Lotti 40

41 Legal Eduroam and his logo are trademarks of Terena Other logos and trademarks are property of the respective owner This presentation is released under Creative Commons Attribution NonCommercial ShareAlike License nc sa/2.5/deed.it 41