三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/

Size: px

Start display at page:

Download "三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/"

浈吕
5 years ago
Views:

1 FortiGate 结合 Openssl + freeradius 实现多级 CA 环境下的无线用户 EAP-TLS 认证一 EAP-TLS 简介简而言之, 使用数字证书来保护 radius 认证, 与 802.1x 结合, 可以用数字证书认证无线上网用户, 是最安全的无线认证方法之一参考 : 二实验环境如上图所示, 使用两台 ubuntu linux 服务器,Ubuntu-1 作为 rootca 和 radius 服务器 ;Ubuntu-2 作为 subca FortiOS:v

2 三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/) 下创建 openssl 工作数据存放文件夹, 例如 /home/jeff/certs/ 2. 将附件的设置文件 myopenssl.cnf 存放在 /home/jeff/certs/ 目录下注意修改一下配置文件中的 dir 路径 myopenssl.cnf 3. 注意事项 :Radius 服务器端证书的 extendedkeyusage 属性必须包含服务器身份认证 ( ); 移动设备证书的 extendedkeyusage 属性必须包含客户端身份验证 ( ) myopenssl.cnf 中已经包括相关设置五在 Ubuntu-1 上建立根 CA( 密码 :1234) 4. 生成根 CA 私钥 ( 需要指定 Common Name) cd /home/jeff/certs openssl req -newkey rsa:1024 -sha1 -config./myopenssl.cnf -keyout rootkey.pem -out rootreq.pem -days 生成证书, 并用私钥签名 openssl x509 -req -in rootreq.pem -sha1 -extfile./myopenssl.cnf -extensions v3_ca -signkey rootkey.pem -out rootcert.pem -days 组合证书与私钥, 形成 CA 根证书 cat rootcert.pem rootkey.pem > root.pem 7. 显示根证书 openssl x509 -text -noout -in root.pem 2

3 六在 Ubuntu-2 上建立二级 CA( 密码 :5678) 8. 在 Ubuntu-2 上创建二级 CA 私钥 ( 需要指定 Common Name) cd /home/jeff/certs openssl req -newkey rsa:1024 -sha1 -config./myopenssl.cnf -keyout subcakey.pem -out subcareq.pem -days 将 subcakey.pem 复制到 Ubuntu-1 上, 生成二级 CA 证书, 并用根 CA 证书签名 openssl x509 -req -in subcareq.pem -sha1 -extfile./myopenssl.cnf -extensions v3_ca -CA root.pem -CAkey root.pem -CAcreateserial -out subcacert.pem -days 将 subcacert.pem 和 rootcert.pem 复制回 Ubuntu-2 上, 组合二级 CA 证书与二级 CA 私钥, 形成二级 CA 证书 cat subcacert.pem subcakey.pem rootcert.pem > subca.pem 11. 显示二级 CA 证书 openssl x509 -text -noout -in subca.pem 七在 Ubuntu-1 上, 使用根 CA 为 openradius 颁发服务器证书 ( 密码 :abcd) 12. 创建服务器证书私钥 ( 需要指定 Common Name) openssl req -newkey rsa:1024 -sha1 -config./myopenssl.cnf -keyout serverkey.pem -out serverreq.pem -days 创建服务器证书, 并签名 openssl x509 -req -in serverreq.pem -sha1 -extfile./myopenssl.cnf -extensions server_cert -CA root.pem -CAkey root.pem -CAcreateserial -out servercert.pem -days 组合私钥与证书, 形成服务器证书 cat servercert.pem serverkey.pem rootcert.pem > server.pem 15. 显示服务器证书 openssl x509 -text -noout -in server.pem 3

4 八在 Ubuntu-2 上, 使用二级 CA 为 Wifi 客户端颁发证书 ( 密码 :efgh) 16. 创建客户端证书私钥 ( 需要指定 Common Name) openssl req -newkey rsa:1024 -sha1 -config./myopenssl.cnf -out clientreq.pem -days 365 -keyout clientkey.pem 17. 创建客户端证书, 并签名 openssl x509 -req -in clientreq.pem -sha1 -extfile./myopenssl.cnf -extensions client_cert -CA subca.pem -CAkey subca.pem -CAcreateserial -out clientcert.pem -days 组合私钥与证书, 形成客户端证书 cat clientcert.pem clientkey.pem subcacert.pem rootcert.pem > client.pem 19. 显示客户端证书 openssl x509 -text -noout -in client.pem 20. *.pem 的证书是 BASE64 形式的, 要转成 PKCS12 才能装到 Windows 上转换命令如下 ( 需要设置导出密码, 为 xyz): openssl pkcs12 -export -in clientcert.pem -inkey clientkey.pem -out client.pfx 21. 将 client.pfx 复制到 Windows PC 上, 导入 IE 浏览器的个人证书区注意导入密码是 xyz 九配置 freeradius(ubuntu-1) 22. 配置 radiusd.conf cd /etc/freeradius sudo gedit radiusd.conf 1) 确认 eap 没有被注释掉 $INCLUDE eap.conf 2) 修改 log 段, 启用认证日志 auth = yes 23. 将服务器证书 server.pem( 带私钥 ) 和根 CA 证书 rootcert.pem( 不带私钥 ) 复制到 freeradius 的证书目录下 sudo cp /home/jeff/certs/server.pem /etc/freeradius/certs/ 4

5 sudo cp /home/jeff/certs/rootcert.pem /etc/freeradius/certs/ 需要修改 /etc/freeradius/certs/ 的权限, 否则 freeradius 不能读取证书 sudo cd /etc/freeradius/certs sudo chmod -R ug+rwx. 24. 配置 eap.conf, 启用 eap-tls cd /etc/freeradius sudo gedit eap.conf 关键语句如下 : eap { default_eap_type = tls # 认证类型 :tls tls { certdir = ${confdir}/certs cadir = ${confdir}/certs private_key_password = abcd private_key_file = ${certdir}/server.pem certificate_file = ${certdir}/server.pem CA_file = ${cadir}/rootcert.pem # 服务器证书目录 #CA 证书目录 # 服务器私钥密码 # 服务器私钥文件 # 服务器证书文件 #CA 证书文件 } } 25. 配置 clients.conf cd /etc/freeradius sudo gedit clients.conf client { #FortiGate 地址 secret = # 预共享密钥 shortname =fortigate # 别名 } 26. 重启 freeradius 服务 sudo service freeradius restart 5

6 十配置 FortiGate 27. 配置 Radius 服务器 28. 配置 SSID, 设置为 WPA/WPA2-Enterprise 安全模式 6

7 十一 Windows wifi 设置 29. 手动添加无线网络 7

8 8

9 30. 使用 WPA2- 企业安全类型, 选择身份验证方法为智能卡或其他证书 31. 点击设置, 选择信任 rootca 9

10 32. 连接 eap-test, 选择正确的证书 33. 成功连接 34. 查看 freeradius 日志 sudo more /var/log/freeradius/radius.log 如果认证或服务启动失败, 也可以通过查询日志帮助排错 10

4 5 6 7 市教育工会 : 女教师素质提升工程市卫计委工会 ( 原医管中心工会 ): 打造医患双向体验双向宣传工程市国资委国联集团工会 : 全员阅读书香国联市人社局工会 : 促

4 5 6 7 市教育工会 : 女教师素质提升工程市卫计委工会 ( 原医管中心工会 ): 打造医患双向体验双向宣传工程市国资委国联集团工会 : 全员阅读书香国联市人社局工会 : 促 2016 年及今后一个时期工会项目化管理复制推广重点项目简介序号立项单位及项目名称项目简介 1 2 3 江阴市总工会 : 建立职工技术创新三智工作平台锡山区总工会 : 小微企业经营者双提升计划新吴区 ( 原新区总工会 ): 企业班组

三 安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/

三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/