freeradius+PEAP+mschapv2+winXP - majdnem

[KORN Andras]

Joreggelt,

van nekem egy freeradiusom, egy OpenWrt-t futtato Asus AP-m es egy WinXP
SP2-es notebookom.

Csinaltam egy CA-t az openvpn easy-rsa scriptjeivel; a CA certje 15 evig
ervenyes. Csinaltam egy certet a radiusnak, amit ez a CA irt ala es 10 evig
ervenyes.

Beimportaltam a root CA-t a windowsban a trusted root CAs-ba. Ha megnyitom a
windows-zal a radius .crt-jet, azt mondja, a cert OK.

A radiusnak beadagoltam a tanusitvanyokat es a titkos kulcsot:

tls {
private_key_file = ${raddbdir}/certs/ize.key
certificate_file = ${raddbdir}/certs/ize.crt
CA_file = ${raddbdir}/certs/ca.crt

Ezek utan a windows csak akkor hajlando kapcsolodni a halozathoz, ha
kikapcsolom a 'validate server certificate' opciot; ellenkezo esetben ezt
latom a freeradius -x-ben:

(other): SSL negotiation finished successfully
Sending Access-Challenge of id 0 to 1.6.2.2 port 1025
EAP-Message = 0x0105003119001403010001011603010020960dae4d1faf808344a25789565180ecb4664a0ccdb6ab5fcd2ea219a94cebd4
Message-Authenticator = 0x00000000000000000000000000000000
State = 0x47f1fe948dba326eb8338f16c90b62af
rad_recv: Access-Request packet from host 1.6.2.2:1025, id=0, length=165
User-Name = "valaki"
NAS-IP-Address = 152.66.244.224
Called-Station-Id = "0015f23d704d"
Calling-Station-Id = "000e35fe1dc2"
NAS-Identifier = "0015f23d704d"
NAS-Port = 33
Framed-MTU = 1400
State = 0x47f1fe948dba326eb8338f16c90b62af
NAS-Port-Type = Wireless-802.11
EAP-Message = 0x02050021198000000017150301001238d13ef4bbe10657ddd1eaf652c04f4184ca
Message-Authenticator = 0x60e57e913f165fc53a53502c5c85eef1
rlm_eap_tls: Length Included
TLS Alert read:fatal:access denied
rlm_eap_peap: No data inside of the tunnel.
Login incorrect: [valaki] (from client tmit.E port 33 cli 000e35fe1dc2)

Mi lehet a baj?

PEAP-on belul EAP-MSCHAP-v2 hitelesitest akarnek hasznalni. Mindezt mar
lattam mukodni, latszolag azonos konfiguracioval, ugyhogy nem nagyon ertem,
mit rontok el.

Guy

[PÁSZTOR György]

Hi!

Post by KORN Andras
Beimportaltam a root CA-t a windowsban a trusted root CAs-ba. Ha megnyitom a
windows-zal a radius .crt-jet, azt mondja, a cert OK.

A beimportálás menetéről tudnál részleteket írni?
A http://www.freeradius.org/doc/EAPTLS.pdf címen van egy doksi, az leírja,
hogy az mmc-n keresztül hogyan kell felvenni a root ca-hoz tartozó cuccot a
windozerbe, képernyőképekkel illusztrálva. Ez alapján csináltad?
A leírás alapján a certet se mindegy hogyan hozod létre. Bár a leírás cert
alapú loginről ír, de attól még lehet, hogy ebben az esetben is megköveteli
a windóze, hogy a server certjében benne legyen az 1.3.6.1.5.5.7.3.1-es
oid-ű enhanced key usage-re utaló bejegyzés.
Más: annál a fülnél ahol ki lehet kapcsolni a szerver certjének
érvényesítését, látható egy csomó ca felsorolva, hogyha csak bizonyosaktól
szeretnéd elfogadni a certet. Ott megjelenik a tied felsorolva?

Bocs, ha túl egyértelműnek tűnnek a kérdések, csak... Valahol el kell
kezdeni nyomozni :-)

Üdv:Gyur!
-- -------[ Free Software ISOs - http://www.fsn.hu/?f=download ]------- --
PÁSZTOR György e-mail: ***@fsn.hu
Free Software Network (FSN.HU) cell.: [phone]

[KORN Andras]

Post by PÁSZTOR György

Post by KORN Andras
Beimportaltam a root CA-t a windowsban a trusted root CAs-ba. Ha megnyitom a
windows-zal a radius .crt-jet, azt mondja, a cert OK.

A beimportálás menetéről tudnál részleteket írni?
A http://www.freeradius.org/doc/EAPTLS.pdf címen van egy doksi, az leírja,
hogy az mmc-n keresztül hogyan kell felvenni a root ca-hoz tartozó cuccot a
windozerbe, képernyőképekkel illusztrálva. Ez alapján csináltad?

Nem ez alapjan, de igy.

Post by PÁSZTOR György
A leírás alapján a certet se mindegy hogyan hozod létre. Bár a leírás cert
alapú loginről ír, de attól még lehet, hogy ebben az esetben is megköveteli
a windóze, hogy a server certjében benne legyen az 1.3.6.1.5.5.7.3.1-es
oid-ű enhanced key usage-re utaló bejegyzés.

Kozben ezt megtalaltam en is, itt: http://www.linuxjournal.com/article/8095.
Az eredeti tanusitvanyomban nem volt ilyen OID; delutan csinaltam ujat,
amiben igen. Hetfon kiprobalom.

A furcsa az, hogy egy korabbi tesztrendszerben easy-rsa-s, speci OID nelkuli
tanusitvanyokkal ugyanez mukodott...

A http://support.microsoft.com/kb/814394 szerint meg egy csomo kriteriumnak
meg kell hogy feleljen a tanusitvany ahhoz, hogy az XP elfogadja, pl. "For
wireless clients, the Subject Alternative Name (SubjectAltName) extension
contains the server's fully qualified domain name (FQDN)." - ilyen extension
biztos nem volt abban a tanusitvanyban, amivel ment.

Ezt a kovetelmenyt amugy mar csak azert sem ertem, mert a kapcsolodaskor meg
nincs DNS, amiben ellenorizhetne, hogy a megadott FQDN-hez a szerver IP-je
tartozik-e, ne adj' istan az IP reverse DNS-e megegyezik-e a megadott
FQDN-nel...

Post by PÁSZTOR György
Más: annál a fülnél ahol ki lehet kapcsolni a szerver certjének
érvényesítését, látható egy csomó ca felsorolva, hogyha csak bizonyosaktól
szeretnéd elfogadni a certet. Ott megjelenik a tied felsorolva?

Meg, es be is jeloltem, hogy azt akarom elfogadni.

Guy

[PÁSZTOR György]

Hi!

Post by KORN Andras
A furcsa az, hogy egy korabbi tesztrendszerben easy-rsa-s, speci OID nelkuli
tanusitvanyokkal ugyanez mukodott...

Akkor valamilyen különbségnek csak kellett lennie. Eltérő patchek a windows
kliensen, vagy mégis máshogy készült a cert, stb.
Reprodukálható a történet, vagy pont a reprodukálással van baj?

Post by KORN Andras
A http://support.microsoft.com/kb/814394 szerint meg egy csomo kriteriumnak
meg kell hogy feleljen a tanusitvany ahhoz, hogy az XP elfogadja, pl. "For
wireless clients, the Subject Alternative Name (SubjectAltName) extension
contains the server's fully qualified domain name (FQDN)." - ilyen extension
biztos nem volt abban a tanusitvanyban, amivel ment.
Ezt a kovetelmenyt amugy mar csak azert sem ertem, mert a kapcsolodaskor meg
nincs DNS, amiben ellenorizhetne, hogy a megadott FQDN-hez a szerver IP-je
tartozik-e, ne adj' istan az IP reverse DNS-e megegyezik-e a megadott
FQDN-nel...

Ez a követelmény számomra azért is hülyeségnek tűnik, mert a wireless
kliensek, (és a hálózatunk gépeinek >99%-a) az életben nem is fog tudni a
radius szerverekkel közvetlen (értsd: nem egy eap miatt az authenticatoron
keresztüli) IP kapcsolatot létrehozni, mivel a radius szerver és a hálózati
eszközök management címei egy 10.1.0.0/16-os privát vlan-ban vannak...
De sajnos meg kell jegyezzem az M$ knowledge-base-ben nem ez az első
kegyetlen nagy butaság, amivel wireless témában találkoztam :-(
Azért érdekelne a magyarázat, hogy ha nem alaptalanul sorolták fel ezt a
követelményt, akkor valójában mi is az igazi követelmény...

Üdv:Gyur!
-- -------[ Free Software ISOs - http://www.fsn.hu/?f=download ]------- --
PÁSZTOR György e-mail: ***@fsn.hu
Free Software Network (FSN.HU) cell.: [phone]

[KORN Andras]

Post by PÁSZTOR György

Post by KORN Andras
A furcsa az, hogy egy korabbi tesztrendszerben easy-rsa-s, speci OID nelkuli
tanusitvanyokkal ugyanez mukodott...

Akkor valamilyen különbségnek csak kellett lennie. Eltérő patchek a windows
kliensen, vagy mégis máshogy készült a cert, stb.

A kliens ugyanaz.

Post by PÁSZTOR György
Reprodukálható a történet, vagy pont a reprodukálással van baj?

Igen, pont a reprodukalas nem megy. Ha lesz idom, kiprobalom ujra a regi,
mukodo tanusitvanyokkal.

Guy

[KORN Andras]

Post by KORN Andras

Post by PÁSZTOR György
A leírás alapján a certet se mindegy hogyan hozod létre. Bár a leírás cert
alapú loginről ír, de attól még lehet, hogy ebben az esetben is megköveteli
a windóze, hogy a server certjében benne legyen az 1.3.6.1.5.5.7.3.1-es
oid-ű enhanced key usage-re utaló bejegyzés.

Kozben ezt megtalaltam en is, itt: http://www.linuxjournal.com/article/8095.
Az eredeti tanusitvanyomban nem volt ilyen OID; delutan csinaltam ujat,
amiben igen. Hetfon kiprobalom.

Na most ez igy benne van, viszont a Windows azt mondja a szerver
tanusitvanyara, ha betoltom a tanusitvanynezegetobe, hogy "This
certification authority does not appear to be allowed to issue certificates
or cannot be used as an end-entity certificate".

Ugy tunik, az lehet a baj, hogy a szerver tanusitvanyaban nincs Basic
Constraints, Subject Type = End-Entity, vagy az, hogy a CA tanusitvanyaban
viszont van.

Elegge nem ertem a dolgot, es sajnos dokumentaciot se nagyon talalok hozza.
A new-pki projekt segitsegevel is megprobaltam, de ott meg azt nem latom,
hol tudom az enhanced key usage-et beallitani.

Guy

[KORN Andras]

Post by KORN Andras

Post by KORN Andras
Kozben ezt megtalaltam en is, itt: http://www.linuxjournal.com/article/8095.
Az eredeti tanusitvanyomban nem volt ilyen OID; delutan csinaltam ujat,
amiben igen. Hetfon kiprobalom.

Na most ez igy benne van, viszont a Windows azt mondja a szerver
tanusitvanyara, ha betoltom a tanusitvanynezegetobe, hogy "This
certification authority does not appear to be allowed to issue certificates
or cannot be used as an end-entity certificate".

Ha pedig megprobalok kapcsolodni, akkor vegre logol valami az event logba:

Source: Schannel
Event ID: 36876

The certificate received from the remote server has not validated correctly.
The error code is 0x80090327. The SSL connection request has failed. [...]

Ugyanakkor az openssl verify -purpose sslserver szerint a tanusitvany OK.

Hogy tudok az openssl-lel olyan tanusitvanyt generalni, amit az XP el fog
fogadni?

Guy

[KORN Andras]

Post by KORN Andras
Hogy tudok az openssl-lel olyan tanusitvanyt generalni, amit az XP el fog
fogadni?

Na most sikerult, de sajnos nem teljesen ertem, mit csinaltam.

Az easy-rsa-ban a build-key scripthez hozzaadtam azt, hogy "-extensions
xpserver_ext -extfile /path/to/xpextensions" (a ca parancssorban), az
xpextensions file tartalma pedig a kovetkezo:

[ xpclient_ext]
extendedKeyUsage = 1.3.6.1.5.5.7.3.2
[ xpserver_ext ]
extendedKeyUsage = 1.3.6.1.5.5.7.3.1

Az lehetett a baj, hogy a http://www.linuxjournal.com/article/8095 szerint a
CA.sh-val letrehozott CA basicConstraints mezojeben nem volt beallitva, hogy
o egy CA, hanem End-Entitynek latszott.

Guy