Supplikanten spielen auf

Das Paket »wpa_supplicant« richtet der Benutzer analog ein und testet es mit:

wpa_supplicant -i eth0 -D wired -c /etc/wpa_supplicant/wired.conf  

Die Konfigurationsdatei »wired.conf« richtet er dazu neu ein, wie im Listing 7 angegeben. Da die 802.1X-Authentifizierung kabelgebunden stattfindet, kann er die »eapol_version« mit Version 2 verwenden und deaktiviert das Scannen nach Accesspoints.

01 eapol_version=2
02 ap_scan=0
03 fast_reauth=1
04 network={
05     key_mgmt=IEEE8021X
06     eap=TLS
07     identity="uebelacker"
08     ca_cert="/path/to/ca.pem"
09     client_cert="/path/to/s@uebelhacker.de.pem"
10     private_key="/path/to/s@uebelhacker.de.pem"
11     private_key_passwd="Usercert-Passwort"
12     eapol_flags=0
13 }

Die Authentifizierung war erfolgreich, wenn der Supplikant »CTRL-EVENT-EAP-SUCCESS« meldet. Damit er permanent im Hintergrund läuft und bei 802.1X-Ports automatisch den Client authentifiziert, passt der Benutzer unter Debian »/etc/network/interfaces« wie in Listing 8 an, wenn er DHCP verwendet. Ansonsten ändert er »dhcp« in »static« und setzt eine feste IP-Adresse. »/etc/init.d/networking restart« aktiviert die Einstellungen. Falls der Client an einen Port ohne IEEE 802.1X im Modus »authorized« gerät, läuft der Anmeldeversuch zwar ins Leere, der Client arbeitet aber wie gewohnt.

Zum Abschluss überführt der Admin den Radius-Server in den Produktivbetrieb: Er aktiviert das Init-Skript mit »service freeradius start« und merkt mit »chkconfig freeradius on« den Start für den nächsten Bootvorgang vor.

Ausbau möglich

Die Komponenten für eine gerätebasierte Authentifizierung von Endgeräten an Switches sind vielerorts vorhanden. Es liegt am Administrator, sie miteinander zu kombinieren. Unter Network Access Control verstehen einige noch zusätzliche Aspekte, etwa technisch überprüfte Versionsstände oder aktuelle Virensignaturen, die einer Security Policy genügen. Insofern bietet NAC noch viele Optionen zum Ausbau: Neben der Anbindung an LDAP oder eine SQL-Datenbank lohnt sich in komplexeren Umgebungen eine PKI, etwa mit Tiny CA [14]. Smartcards wie das E-Token von Aladdin schützen private Benutzerzertifikate [15].

IPv6 stellt Free Radius ab Version 2 vor keine Probleme, jedoch manchen 802.1X-fähigen Switch. Wer mit IKEv2 experimentiert, dem sei die »experimental.conf« des Projekts ans Herz gelegt, aber auch ein gleichnamiges Sourceforge-Projekt forscht daran [16]. Außerdem dürfen sich dank Hostapd-Projekt [17] Admins bald auf EAP2 genannte Neu-Implementierungen von EAP in Free Radius freuen.