|
| 1 | +--- |
| 2 | +title: RADIUS Server FreeRADIUS |
| 3 | +author: Neel Chauhan |
| 4 | +contributors: Steven Spencer |
| 5 | +tested_with: 9.4 |
| 6 | +tags: |
| 7 | + - security |
| 8 | +--- |
| 9 | + |
| 10 | +# FreeRADIUS 802.1X Server |
| 11 | + |
| 12 | +## Introduzione |
| 13 | + |
| 14 | +RADIUS è un protocollo AAA (autenticazione, autorizzazione e registrazione) per la gestione dell'accesso alla rete. [FreeRADIUS](https://www.freeradius.org/) è il server RADIUS di fatto per Linux e altri sistemi Unix-like. |
| 15 | + |
| 16 | +## Prerequisiti |
| 17 | + |
| 18 | +I requisiti minimi per questa procedura sono i seguenti: |
| 19 | + |
| 20 | +- La possibilità di eseguire comandi come utente root o di utilizzare `sudo` per elevare i privilegi |
| 21 | +- Un client RADIUS, ad esempio un router, uno switch o un punto di accesso Wi-Fi |
| 22 | + |
| 23 | +## Installazione di FreeRADIUS |
| 24 | + |
| 25 | +È possibile installare FreeRADIUS dai repository `dnf`: |
| 26 | + |
| 27 | +```bash |
| 28 | +dnf install -y freeradius |
| 29 | +``` |
| 30 | + |
| 31 | +## Configurazione di FreeRADIUS |
| 32 | + |
| 33 | +Una volta installati i pacchetti, è necessario generare i certificati di crittografia TLS per FreeRADIUS: |
| 34 | + |
| 35 | +```bash |
| 36 | +cd /etc/raddb/certs |
| 37 | +./bootstrap |
| 38 | +``` |
| 39 | + |
| 40 | +Successivamente, sarà necessario aggiungere gli utenti da autenticare. Aprire il file `users`: |
| 41 | + |
| 42 | +```bash |
| 43 | +cd .. |
| 44 | +vi users |
| 45 | +``` |
| 46 | + |
| 47 | +Nel file, inserire quanto segue: |
| 48 | + |
| 49 | +```bash |
| 50 | +user Cleartext-Password := "password" |
| 51 | +``` |
| 52 | + |
| 53 | +Sostituire `user` e `password` con il nome utente e la password desiderati. |
| 54 | + |
| 55 | +Sappiate che la password non è sottoposta a hash, quindi se un malintenzionato entra in possesso del file `users` potrebbe ottenere un accesso non autorizzato alla vostra rete protetta. |
| 56 | + |
| 57 | +È anche possibile utilizzare una password con hash `MD5` o `Crypt`. Per generare una password con hash MD5, eseguire: |
| 58 | + |
| 59 | +```bash |
| 60 | +echo -n password | md5sum | awk '{print $1}' |
| 61 | +``` |
| 62 | + |
| 63 | +Sostituire `password` con la password desiderata. |
| 64 | + |
| 65 | +Si otterrà un hash di `5f4dcc3b5aa765d61d8327deb882cf99`. Nel file `users`, inserire invece quanto segue: |
| 66 | + |
| 67 | +```bash |
| 68 | +user MD5-Password := "5f4dcc3b5aa765d61d8327deb882cf99" |
| 69 | +``` |
| 70 | + |
| 71 | +È inoltre necessario definire i client. Questo per evitare accessi non autorizzati al nostro server RADIUS. Modificare il file `clients.conf`: |
| 72 | + |
| 73 | +```bash |
| 74 | +vi clients.conf |
| 75 | +``` |
| 76 | + |
| 77 | +Inserire quanto segue: |
| 78 | + |
| 79 | +```bash |
| 80 | +client 172.20.0.254 { |
| 81 | + secret = secret123 |
| 82 | +} |
| 83 | +``` |
| 84 | + |
| 85 | +Sostituire `172.20.0.254` e `secret123` con l'indirizzo IP e il valore segreto che utilizzeranno i client. Ripetere l'operazione per altri client. |
| 86 | + |
| 87 | +## Abilitazione di FreeRADIUS |
| 88 | + |
| 89 | +Dopo la configurazione iniziale, è possibile avviare `radiusd`: |
| 90 | + |
| 91 | +```bash |
| 92 | +systemctl enable --now radiusd |
| 93 | +``` |
| 94 | + |
| 95 | +## Configurazione di RADIUS su uno switch |
| 96 | + |
| 97 | +Dopo aver configurato il server FreeRADIUS, si configura un client RADIUS sullo switch MikroTik dell'autore come client 802.1X cablato: |
| 98 | + |
| 99 | +```bash |
| 100 | +/radius |
| 101 | +add address=172.20.0.12 secret=secret123 service=dot1x |
| 102 | +/interface dot1x server |
| 103 | +add interface=combo3 |
| 104 | +``` |
| 105 | + |
| 106 | +Replace `172.20.0.12` with the FreeRADIUS server's IP address and `secret123` with the secret you set earlier. |
0 commit comments