Yerleşke Ağlarında Açık Kaynak Kodlu Yazılımlar ile 802.1X Uygulamaları

Transkript

1 Yerleşke Ağlarında Açık Kaynak Kodlu Yazılımlar ile 802.1X Uygulamaları Orta Doğu Teknik Üniversitesi Kuzey Kıbrıs Kampusu Emre Sezginer Seniha S. Öztemiz Ulakbim Gökova Çalıştayı Nisan K u z e y K ı b r ı s K a m p u s u 1

2 Kimlik Doğrulama/Yetkilendirme ve Dahası Ağ kaynaklarının kimin tarafından kullanıldığını bilmek istiyoruz; ETGG Kaynaklara Erişim IEEE802.1x (cihaz/arabirim)!etgg Kaynak Kullanımı Statik ARP (IP) ETGG= Elle Tutulup Gözle Görülen! 2 K u z e y K ı b r ı s K a m p u s u 2

3 IEEE 802.1X Kullanıcı ağa erişmeden önce, kullanıcı bilgilerine dayalı denetleme yaparak ağ oturumu başlatan sistemdir. PC/ Laptop EAPOL Anahtarlama Cihazı / Kablosuz Erişim Noktası EAP over RADIUS Kimlik Kanıtlama Sunucusu Ör: LDAP Kullanıcı Veri Tabanı İstemci Kimlik Kanıtlayıcı Ağ 3 K u z e y K ı b r ı s K a m p u s u 3

4 ODTÜ Kıbrıs.1X Uygulamaları İstemci Erişim Noktası Ethernet Anahtar İstemci Ağa erişim isteği Yerleşke Omurgası İstemci doğrulama talebi LDAP sorgusu LDAP yanıtı Öğrenci yurt odaları ağ erişimi (Kablolu) İstemci doğrulama yanıtı Kablosuz ağ erişimi Free- Radius Open- LDAP 4 K u z e y K ı b r ı s K a m p u s u 4

5 .1X/EAP Kimlik Doğrulama Türleri MD5 Radius a hash gönderir. Doğrulamak için sunucuda parola açık metin olmalıdır. Kablosuz için güvenli değildir. TLS Sunucu ve istemci sertifikaları kullanır. Her istemciye özgün sertifika üretilerek dağıtılmalıdır. TTLS Sadece sunucu sertifikası kullanılır. Güvenli tünel ile kullanıcı kodu / parola doğrulaması yapar. PEAP/LEAP TTLS e benzer. MS kullanıcı kodları için uygundur. 5 K u z e y K ı b r ı s K a m p u s u 5

6 ODTÜ Kıbrıs.1X Seçim Kriterleri Güvenlik Açık kaynak kod istemci/sunucu yazılımı İstemci sertifikasız LDAP merkezi kullanıcı veri tabanı desteği 6 K u z e y K ı b r ı s K a m p u s u 6

7 .1X/EAP Kimlik DoğrulamaTürleri MD5 TLS TTLS PEAP LEAP Standart Açık Açık Açık Açık Firma İstemci Sertifikası Sunucu Sertifikası Güvenlik Yok Güçlü Güçlü Güçlü Zayıf Kullanıcı Veritabanı Dinamik Anahtar Değişimi Açık Metin Parola Active Directory Token Systems, SQL, LDAP Active Directory, NT Etki Alanı Active Directory, NT Etki Alanı Karşılıklı Doğrulama 7 K u z e y K ı b r ı s K a m p u s u 7

8 İstemci.1X İstemci-İşletim Sistemi 98/ ME XP/ 2K Uyumluluğu OS X Linux Pckt PC TLS PEAP TTLS Lisans Win Yerleşik CHAP v2 Yerleşik OSX Yerleşik Yerleşik SecureW2 GPL Odyssey $$ AEGIS $$ wpa_supp GPL Xsupplicant GPL 8 K u z e y K ı b r ı s K a m p u s u 8

9 TTLS Yazılım/Donanım Gereksinimleri Sunucu donanımı ve güncel işletim sistemi kurulumu 802.1X destekli ağ cihazı donanımı ve yapılandırılması OpenSSL kurulumu ve Sunucu Sertifikasının Üretilmesi FreeRADIUS Kurulumu ve Yapılandırılması OpenLDAP kurulumu ve LDAP sunucusunun FreeRADIUS a sorgu hakkı vermek üzere yapılandırılması İstemci yazılımı kurulması ve yapılandırılması (SecureW2/WPA_suplicant) 9 K u z e y K ı b r ı s K a m p u s u 9

10 TTLS in Zorlukları İlave istemci yazılım gereksinimi Daha iyi belgeleme/destek gereksinimi Sunucu kurulumu güçlükleri 10 K u z e y K ı b r ı s K a m p u s u 10

11 Anahtarlama Cihazının Yapılandırılması configure terminal AAA yı (Authentication, authorization, and accounting) etkinleştir: aaa new-model Radius sunucuları listesi kullanılarak, 802.1X Kimlik Kanıtlama Yöntemi listesi oluşturulur. aaa authentication dot1x default group radius dot1x system-auth-control Radius sunucu parametrelerini anahtarlama cihazına işlenir. radius-server host auth-port 1812 acc-port 1813 timeout 3 radius-server retransmit 3 radius-server key Guven-liSifre end İstemcinin bağlanacağı arabirim (örnekte fastethernet0/1) aşağıdaki gibi yapılandırılmalıdır: interface fastethernet0/1 dot1x port-control auto end 11 K u z e y K ı b r ı s K a m p u s u 11

12 FreeRadius Yapılandırılması radiusd.conf: #LDAP modülü, kullanıcıların kimlik kontrolünün, LDAP sunucusu üzerinde kayıtlı kullanıcı adı/parola verisine göre yapılmasına olanak verir. ldap ldap_1x { # LDAP sunucusunun adı server = server.metu.edu.tr" base_filter = "(objectclass=radiusprofile)" filter = "(uid=%u)" basedn="ou=yourou,dc=yourdc,dc=yourdc,dc=yourdc" start_tls = yes #LDAP sunucusu ile-radius Sunucusu arasında kurulacak iletişim için gerekli Sertifika Otoritesinin yolu tls_cacertfile = /etc/ldap/metuca.crt tls_require_cert = "demand" authtype = ldap... } 12 K u z e y K ı b r ı s K a m p u s u 12

13 FreeRadius Yapılandırılması radiusd.conf-devam: # Yetkilendirme modülü (Devam) authorize { # Bu modül EAP-MD5, EAP-TLS, ve EAP-LEAP yöntemlerinin gerçekleştirilebilmesini sağlar. Ayrıca kimlik kanıtlama için hangi eap modülünün kullanılacağını belirler. eap #Users dosyasını oku. Giriş hakkı engellenenlere, ağa bağlanma izni verme! files } 13 K u z e y K ı b r ı s K a m p u s u 13

14 FreeRadius Yapılandırılması radiusd.conf-devam: (Devam) #Bu modülde, kullanılabilecek yetkilendirme yöntemleri listelenir. authenticate { Auth-Type PAP { pap } Auth-Type LDAP { ldap_1x } eap } 14 K u z e y K ı b r ı s K a m p u s u 14

15 FreeRadius Yapılandırılması (Devam) eap.conf: eap { default_eap_type = ttls... tls { private_key_password = sertifikanın passphrase i private_key_file = ${raddbdir}/certs/server_keycert.pem certificate_file = ${raddbdir}/certs/server_keycert.pem CA_file = ${raddbdir}/certs/cacert.pem dh_file = ${raddbdir}/certs/dh random_file = ${raddbdir}/certs/random... } ttls {... }... } 15 K u z e y K ı b r ı s K a m p u s u 15

16 FreeRadius Yapılandırılması (Devam) clients.conf: #Format client [ip-address hostname] şeklindedir. client { # Kimlik kanıtlayıcı ile kimlik kanıtlama sunucusu arasında paylaşılan anahtar bilgidir. secret = GizliSifre #shortname: kayıtlama için kullanılır. shortname = yucelen1 } client { secret = GizliSifre2 #nastype: zorunlu bir alan değildir. nastype= cisco shortname = yucelen2 } 16 K u z e y K ı b r ı s K a m p u s u 16

17 FreeRadius Yapılandırılması (Devam) users: # Ağa erişimi yasaklanan kullanıcılar ile ilgili tanımı dahil eder. $INCLUDE /etc/std-net/radius.inc #Örnek radius.inc dosyasının içeriği şöyle olabilir: #Format : Kullanıcı adı Auth-Type :=Reject std43400" Auth-Type := Reject std48649" Auth-Type := Reject... DEFAULT Auth-Type=LDAP K u z e y K ı b r ı s K a m p u s u 17

18 Ağ Yönetim Arayüzü Ana Sayfa Kayıt Değiştirme Kayıt Ekleme Kayıt Silme/İptal YURT ODASI KAYITLARI IP Adresi Donanım Adresi İsim Soyad Ogrenci No Oda No Durum :16:d4:34:51:f1 Suat Unlu std KAPALI :06:1b:c1:b8:ee Ali Erman std KAPALI :16:d4:3e:cb:de Hasan Cutuk std KAPALI :02:3f:25:0c:d6 Firat Dagdeviren std KAPALI :15:c5:18:47:12 Ayse Burat std ONAYLI :17:f2:f0:f1:64 Fuat MEHERREMLI std ONAYLI :0f:b0:9c:88:1d Funda ARIK std ONAYLI :a0:d1:5f:03:b9 Veli CALISIR std ONAYLI 18 K u z e y K ı b r ı s K a m p u s u 18

19 Ağ Yönetim Arayüzü VT ARP DHCP DNS Forward DNS Reverse Guncelleme YURT ODASI KAYITLARI YÖNETİMİ IP Adresi Donanım Adresi İsim Soyad Ogrenci No Oda No Durum :16:d4:34:51:f1 Suat Unlu std KAPALI :06:1b:c1:b8:ee Ali Erman std KAPALI :16:d4:3e:cb:de Hasan Cutuk std KAPALI :02:3f:25:0c:d6 Firat Dagdeviren std KAPALI :15:c5:18:47:12 Ayse Burat std ONAYLI :17:f2:f0:f1:64 Fuat MEHERREMLI std ONAYLI :0f:b0:9c:88:1d Funda ARIK std ONAYLI :a0:d1:5f:03:b9 Veli CALISIR std ONAYLI 19 K u z e y K ı b r ı s K a m p u s u 19

20 Ağ Yönetim Arayüzü VT ARP DHCP DNS Forward DNS Reverse Guncelleme INSERT INTO tablo1 VALUES (' ',' c3-71- b8','ali','orhan',' ','3308-1','onayli',' '); INSERT INTO tablo1 VALUES (' ','00-0f-b0-5a-8cc7','Ceylan','Yok',' ','3120/3','ONAYLI',' '); INSERT INTO tablo1 VALUES (' ','00-c0-9f-d0-fad0','Kamil','Akyol',' ','3215/3','ONAYLI',' '); INSERT INTO tablo1 VALUES (' ',' d-7f-16- c5','mete','tosunlu',' ','3109/3','onayli',' '); INSERT INTO tablo1 VALUES (' ','00-c0-9f-e8-ec- 06','Recep','Arsoy',' ','3318/1','ONAYLI',' '); INSERT INTO tablo1 VALUES (' ','00-0f-b0-e1-4a- 7c','Ismail','Oklar',' ','3214/1','ONAYLI',' '); INSERT INTO tablo1 VALUES (' ','00-c0-9f-a ','Hakki','ilhan',' ','3303/3','ONAYLI',' '); INSERT INTO tablo1 VALUES (' ','00-18-f c6','atalay','turk','e154326','3217-2','onayli',' '); INSERT INTO tablo1 VALUES (' ','00-c0-9f-c4-9d- 90','Ahmet','Ezer',' ','3115-3','ONAYLI',' '); 20 K u z e y K ı b r ı s K a m p u s u 20

21 Ağ Yönetim Arayüzü VT ARP DHCP DNS Forward DNS Reverse Guncelleme arp cc4.2a3e arpa arp a.a43a.beb9 arpa arp c3.71b8 arpa arp f.b25a.8cc7 arpa arp c0.96d0.fad0 arpa arp a7f.16c5 arpa arp c0.cfe8.ec06 arpa arp f.b6e1.4a7c arpa arp c0.99a arpa arp f3a7.48c6 arpa arp c0.9f94.9d90 arpa arp d arpa arp c arpa 21 K u z e y K ı b r ı s K a m p u s u 21

22 Ağ Yönetim Arayüzü VT ARP DHCP DNS Forward DNS Reverse Guncelleme host std {hardware ethernet 00:0f:b0:e1:4a:7c; fixed-address ;} # AyseOklar /1 host std {hardware ethernet 00:c0:9f:a7:24:94; fixed-address ;} # Ali Can ilhan /3 host std64326 {hardware ethernet 00:18:f3:27:48:c6; fixed-address ;} # Mehmet GOCMEN host std {hardware ethernet 00:c0:9f:c4:9d:90; fixed-address ;} # Evrim Ezer host std {hardware ethernet 00:08:0d:a4:00:50; fixed-address ;} # Aysen Berksoy /3 host std {hardware ethernet 00:0c:76:f8:97:25; fixed-address ;} # Bedriye Kunt /2 host std {hardware ethernet 00:03:0d:20:23:7f; fixed-address ;} # Hasan Karasay /1 22 K u z e y K ı b r ı s K a m p u s u 22

23 Ağ Yönetim Arayüzü VT ARP DHCP DNS Forward DNS Reverse Guncelleme std62830 IN A ; Mehmet KARHANI std63925 IN A ; Sakir Ozcan std68614 IN A ; Ayca Ture std IN A ; Turan Goker std IN A ; Tijen Tosun std68676 IN A ; Berayet SOLMAZ std64568 IN A ; Tarkan Dalaman - 33std6-1 std IN A ; Atilla Pilevneli std62661 IN A ; Serpil Ilerici std64105 IN A ; Gulcin Doganci std IN A ; Sinem Alav K u z e y K ı b r ı s K a m p u s u 23

24 Ağ Yönetim Arayüzü VT ARP DHCP DNS Forward DNS Reverse Guncelleme 71 IN A std6983 ; Mehmet KARHANI IN A std6129 ; Sakir Ozcan IN A std67312 ; Ayca Ture IN A std67534 ; Turan Goker IN A std67623 ; Tijen Tosun IN A std67767 ; Berayet SOLMAZ IN A std67843 ; Tarkan Dalaman - 33std IN A std67976 ; Atilla Pilevneli IN A std68098 ; Serpil Ilerici IN A std68243 ; Gulcin Doganci IN A std68332 ; Sinem Alav K u z e y K ı b r ı s K a m p u s u 24

25 Yararlı Kaynaklar K u z e y K ı b r ı s K a m p u s u 25

26 Teşekkürler İdeal Çözüm! Sorular... ODTÜ Kuzey Kıbrıs Kampusu Bilişim Teknolojileri Müdürlüğü Tel: (0392) K u z e y K ı b r ı s K a m p u s u 26