Accesso wireless (e wired): autenticazione Layer 3 e soluzione mista

Transcript

1 Accesso wireless (e wired): autenticazione Layer 3 e soluzione mista Mirko Corosu per il gruppo TRIP

2 Obiettivo Creare una infrastruttura di accesso wireless layer 3 con caratteristiche:! autorizzazione/autenticazione! flessibilita (diversi meccanismi di autenticazione)! fruibilita (indipendenza da OS/HW)! differenziazione accessi! minimo management a regime! sicurezza

3 Componenti software! NOCAT: implementazione di captive portal per reti wireless e wired! Freeradius: implementazione server di autenticazione ed autorizzazione con protocollo radius! Apache + mod-ssl SSL: : web server con trattamento certificati X.509

4 NIS/K5/AFS/MySQL AFS/CA auth Autenticazione della sessione AFS (WAN) WAN DHCP apertura redirezione certificato filtri alla o pagina di autenticazione iptables autenticazione user/password per la NOCAT confermata redirezione sessione pacchetto iniziale MySQL (NOCAT) NIS/K5/AFS RADIUS certificato (Mod-SSL) radius vs PAM db locale richiesta associazione associazione concessa richiesta indirizzo IP indirizzo IP concesso accesso a porta 80 TCP radius (NOCAT)

5 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP AFS/CA auth WAN RADIUS

6 Autenticazione della sessione richiesta associazione NIS/K5/AFS/MySQL DHCP AFS/CA auth WAN RADIUS

7 Autenticazione della sessione associazione concessa NIS/K5/AFS/MySQL DHCP AFS/CA auth WAN RADIUS

8 Autenticazione della sessione richiesta indirizzo IP NIS/K5/AFS/MySQL DHCP AFS/CA auth WAN RADIUS

9 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP indirizzo IP concesso AFS/CA auth WAN RADIUS

10 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP accesso a porta 80 TCP AFS/CA auth WAN RADIUS

11 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP accesso a porta 80 TCP redirezione alla pagina di autenticazione NOCAT AFS/CA auth WAN RADIUS

12 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP certificato o user/password AFS/CA auth WAN RADIUS

13 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP MySQL (NOCAT) certificato o user/password AFS/CA auth WAN RADIUS

14 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP certificato o user/password AFS/CA auth WAN certificato (Mod-SSL) RADIUS

15 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP certificato o user/password AFS/CA auth WAN RADIUS radius (NOCAT) radius vs db locale

16 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP AFS/CA auth NIS/K5/AFS certificato o user/password AFS (WAN) WAN RADIUS radius (NOCAT) radius vs PAM

17 Autenticazione della sessione NIS/K5/AFS/MySQL AFS/CA auth WAN DHCP autenticazione confermata RADIUS certificato o user/password

18 Autenticazione della sessione NIS/K5/AFS/MySQL AFS/CA auth WAN DHCP accesso a porta 80 TCP apertura filtri iptables per la redirezione sessione pacchetto iniziale RADIUS

19 Autenticazione della sessione NIS/K5/AFS/MySQL DHCP AFS/CA auth WAN RADIUS

20 Gestione della sessione apertura firewall con timeout T2>T1 rinnovo verifica conferma notifica di autenticazione autenticazione logout e restart di T2 authentication service disconnessione senza logout apertura certificato ticket chiusura richiesta logout refresh con o user/password (pop-up restart firewall di di refresh window) T1 inutilizzabile alla con scadenza fino a scadenza timeout di T2 T1 T2 di refresh

21 Gestione della sessione certificato o user/password authentication service verifica autenticazione

22 Gestione della sessione apertura firewall con timeout T2>T1 authentication service conferma autenticazione ticket (pop-up window) con timeout T1 di refresh

23 Gestione della sessione apertura firewall con timeout T2>T1 richiesta di refresh authentication service

24 Gestione della sessione apertura firewall con timeout T2>T1 authentication service rinnovo autenticazione e restart di T2 refresh con restart di T1

25 Gestione della sessione apertura firewall con timeout T2>T1 notifica di logout authentication service logout

26 Gestione della sessione authentication service

27 Gestione della sessione apertura firewall con timeout T2>T1 authentication service

28 Gestione della sessione disconnessione senza logout apertura firewall con timeout T2>T1 apertura inutilizzabile fino a scadenza T2 authentication service

29 Gestione della sessione chiusura firewall alla scadenza di T2 authentication service

30 Layout compatto NIS/K5/AFS/MySQL auth DHCP AFS/CA auth WAN RADIUS

31 Layout compatto NIS/K5/AFS/MySQL auth DHCP RADIUS AFS/CA auth WAN

32 Note! NOCAT: tratta solo autenticazione via MySQL o via radius (con patch non inserita nell ultima release). Richiede personalizzazione della pagina di autenticazione! Apache + mod-ssl: per trattare certificati X.509 richiede mod-ssl V2.7.x, compatibile solo con apache V1.3 (non( con V2.x)! Non si puo differenziare gli accessi sulla base delle caratteristiche della autenticazione

33 Flessibilita e soluzione mista autorizzazione/autenticazione! Caratteristiche specifiche Cisco Aironet 1120: supporto per SSID multipli e VLAN,, con criteri di autorizzazione ed autenticazione indipendenti possibilita di collocare dinamicamente il client su una VLAN in base alla autorizzazione radius! Caratteristiche di freeradius: puo fornire all Aironet le informazioni di VLAN puo autorizzare MAC address leggendo il database del dhcpd

34 Autorizzazione mista MAC/Layer3 AP chiede richiesta autorizzazione valida MAC non per LAN1 address a radius trovato; richiesta valida per LAN2 richiesta associazione LAN1 utenza locale accesso completo alla rete locale NOCAT + httpd iptables (NAT/FW) radiusd dhcpd radius legge dhcpd database LAN2 NOCAT accesso quasi completo alla rete locale (no MS-NET)

35 Autorizzazione mista MAC/Layer3 AP chiede autorizzazione MAC address a radius richiesta associazione LAN1 utenza locale accesso completo alla rete locale NOCAT + httpd iptables (NAT/FW) radiusd dhcpd radius legge dhcpd database LAN2 NOCAT accesso quasi completo alla rete locale (no MS-NET)

36 Autorizzazione mista MAC/Layer3 richiesta associazione richiesta valida per LAN1 LAN1 utenza locale accesso completo alla rete locale NOCAT + httpd iptables (NAT/FW) radiusd dhcpd LAN2 NOCAT accesso quasi completo alla rete locale (no MS-NET)

37 Autorizzazione mista MAC/Layer3 LAN1 utenza locale accesso completo alla rete locale NOCAT + httpd iptables (NAT/FW) radiusd dhcpd LAN2 NOCAT accesso quasi completo alla rete locale (no MS-NET)

38 Autorizzazione mista MAC/Layer3 richiesta associazione MAC non trovato; richiesta valida per LAN2 LAN1 utenza locale accesso completo alla rete locale NOCAT + httpd iptables (NAT/FW) radiusd dhcpd LAN2 NOCAT accesso quasi completo alla rete locale (no MS-NET)

39 Autorizzazione mista MAC/Layer3 LAN1 utenza locale accesso completo alla rete locale NOCAT + httpd iptables (NAT/FW) radiusd dhcpd LAN2 NOCAT accesso quasi completo alla rete locale (no MS-NET)

40 Risultati Volevamo una infrastruttura di accesso wireless layer 3 con caratteristiche:! autorizzazione/autenticazione! flessibilita (diversi meccanismi di autenticazione)! fruibilita (indipendenza da OS/HW)! differenziazione accessi! minimo management a regime! sicurezza

41 Problemi! Sicurezza 1: tutti i client non registrati vengono associati e messi nella LAN filtrata da NOCAT! Sicurezza 2: : la comunicazione tra access point e client non e e criptata

42 Sviluppi! Produzione della documentazione sullo stato di sviluppo del progetto su web! Produzione di kickstart per l installazione del software comprensivo di patches (rpm( + doc)! Analisi sulla possiblilita di differenziare gli accessi gestiti da NOCAT! Integrazione con associazione via 802.1x! Interazione NOCAT-Kerberos5

43 Documentazione! Progetto ancora in fase di sviluppo! La documentazione si trova sul sito del progetto ( in fase di allestimento! Informazioni sui progressi in questa fase verranno rese pubbliche tramite CCR