25/03/2009 ERADMANAGER. Manual do Administrador Versão 2.1

Transcrição

1 25/03/2009 ERADMANAGER Manual do Administrador Versão 2.1

2 INDICE eradmanager Configuração Básica...3 Login Inicial...3 Ecrã Inicial...3 Gestão Básica...4 Utilizadores...4 Alteração da palavra-chave do administrador...7 Sobre - Informação acerca da versão do Sistema...9 Alteração da palavra-chave do utilizador...9 eradmanager - Configurações Avançadas...11 Menu Gestão...11 Utilizadores...11 Perfis...11 NAS...13 Realms / Proxys...15 Certificados...18 Menu Configuração...19 Manutenção...19 Active Directory...20 FAQ

3 ERADMANAGER CONFIGURAÇÃO BÁSICA O eradmanager é uma Interface gráfica de utilizador, do inglês GUI - Graphical User Interface, que permite configurar determinados parâmetros do Servidor de Autenticação Radius. Pode aceder à interface gráfica através do endereço web " substituindo o IP_edgeBOX pelo IP à qual está ligado. No caso da interface da LAN, o IP por omissão será: Nesta página inicial surgem dois links diferentes: Alterar Password do Utilizador: explicado na página 9 eradmanager: gestão do servidor Radius Deverá seleccionar este ultimo link para aceder à aplicação de gestão do servidor de autenticação radius. NOTA: A interface gráfica está optimizada para os browsers Firefox 2 e 3 e Internet Explorer 7 LOGIN INICIAL Na primeira vez que aceder ao GUI do eradmanager será apresentado o ecrã para introduzir as credenciais de administrador. Por omissão o utilizador é administrador e a password radius. ECRÃ INICIAL No ecrã inicial surgem dois atalhos que permitem aceder mais rapidamente aos painéis onde poderá adicionar utilizadores. O primeiro atalho "Adicionar um utilizador" permite adicionar utilizadores um a um, o segundo atalho "Adicionar utilizadores em bloco" permite adicionar utilizadores em bloco. 3

4 GESTÃO BÁSICA UTILIZADORES LISTAR UTILIZADORES Se seleccionar esta opção será mostrada uma listagem de todos os utilizadores existentes, separados por páginas com 25 entradas cada. As acções que pode efectuar são: Seleccionar Todos - todos os utilizadores da corrente página serão seleccionados; Seleccionar Nenhum - todos os utilizadores, se seleccionados, deixarão de estar seleccionados; Apagar - todos os utilizadores seleccionados serão removidos; Pode editar um determinado utilizador da lista carregando com o rato sobre o nome do utilizador. Pode ainda ordenar as entradas da lista por ordem crescente ou decrescente de valores de uma das colunas. Figura 1 - Listar Utilizadores Na Figura 1 - Listar Utilizadores podemos ver que é possível exportar as palavras-chave iniciais dos utilizadores para futura distribuição das mesmas. 4

5 NOVO UTILIZADOR Para adicionar um utilizador deve preencher os campos "Nome do Utilizador", "Senha" e opcionalmente o "Perfil". Para os campos "Nome do Utilizador" e "Senha" pode indicar valores ou então escolher valores aleatórios seleccionando para isso o botão "Aleatório" à frente de cada um dos campos. Os Perfis previamente configurados deverão ser atribuídos aos utilizadores que se encontram nos seguintes cenários: Administrativos: Os utilizadores que irão fazem parte da rede Administrativa Alunos: Os alunos das escolas. Bloqueados: O utilizadores que se pretendem bloqueados. Guest: Os utilizadores convidados/temporários. Professores: Os professores da escola. Existe um conjunto de caracteres que são inteiramente suportados quer como "nomes" quer como passwords (ver abaixo Caracteres Válidos), no entanto será permitido adicionar nomes e passwords com caracteres não suportados tendo o utilizador que ter em conta que estes poderão não funcionar como esperado. Caracteres Válidos: Nomes de Utilizadores: [a-za-z0-9-_.] Nomes de Perfis: [a-za-z0-9-_.] Senhas: [a-za-z0-9!"#%&'()*+,-./:;<=>?@[]_`{ }] ADICIONAR UTILIZADORES EM BLOCO Esta opção permite adicionar um número configurável de utilizadores com as mesmas características Deverá neste caso fornecer os seguintes parâmetros: Prefixo de nome de Utilizador - deve introduzir um prefixo do tipo "al", "prof", "gt", etc.. Número de Instâncias a criar - número de utilizadores que quer criar Comprimento do texto da senha - número de caracteres, aleatórios, que deve ter a senha de cada utilizador. Perfil - perfil ao qual serão adicionados os utilizadores a criar. Por exemplo, se quer criar 100 alunos (perfil Alunos) com passwords com 8 caracteres, e já tem utilizadores até ao "al2500", pode usar esta função com os seguintes parâmetros: 5

6 Prefixo de nome de Utilizador - al Número de Instâncias a criar Comprimento do texto da senha - 8 Perfil - Alunos Irá obter no final entradas que vão desde o al2501, al al2600. EDITAR UTILIZADOR Pode editar um utilizador colocando o seu nome na caixa de texto abaixo de "Editar Utilizador" e seleccionando "Editar Utilizador". No painel que é mostrado no centro da página pode alterar a senha do utilizador e / ou o perfil do mesmo. Se seleccionar "Aplicar" as alterações terão efeito imediato. PESQUISAR UTILIZADOR Pode pesquisar um utilizador colocando o seu nome na caixa de texto abaixo de "Pesquisar Utilizador" e seleccionando "Pesquisar Utilizador". No painel que é mostrado no centro da página pode alterar a senha do utilizador e / ou o perfil do mesmo. Se seleccionar "Aplicar" as alterações terão efeito imediato. REMOVER UTILIZADOR Pode remover um utilizador seleccionando esta opção. Deve introduzir o nome do utilizador a ser removido no campo "Nome do Utilizador" e seleccionando "Aplicar". Pode também remover um grupo de utilizadores utilizando meta caracteres. Por exemplo, para remover todos os utilizadores com um nome semelhante a "al001xx" pode usar a seguinte expressão: "al001%'. Para remover todos os utilizadores "Guest", utilizadores com nomes que começam por "gt", pode usar a expressão "gt%". Para remover todos os utilizadores pode simplesmente usar "%" (sem as aspas) no campo do nome de utilizador. IMPORTAR UTILIZADORES Pode importar utilizadores usando um ficheiro CSV que deve seguir o seguinte modelo: "Utilizador,Senha,Perfil" (com separação por virgulas). O nome dos utilizadores, senhas e perfis deve seguir o estabelecido em "1.2. Novo Utilizador". O documento CSV não deve ter cabeçalho, i.e, deve conter apenas linhas com entradas a adicionar. Linhas com nomes duplicados serão ignoradas. Linhas inválidas terminarão o processo de importação, no entanto as entradas de utilizadores que antecedem a linha inválida são adicionados ao sistema. 6

7 ALTERAÇÃO DA PALAVRA-CHAVE DO ADMINISTRADOR A aplicação que permite gerir o servidor de autenticação faz o controlo de acesso através do nome de utilizador e palavra-chave. Esta aplicação está configurada por defeito com um administrador e a respectiva palavra-chave. Estas credenciais devem ser usadas apenas no momento da instalação do sistema. Por motivos de segurança deve alterar a palavra-chave que está configurada por defeito assim que terminar a instalação. Para alterar a palavra-chave proceda da seguinte maneira: 1. Faça login na interface gráfica web; Figura 2: Login 2. Seleccione o separador Configuração 3. Seleccione depois o sub separador Operadores 4. Escolha, no menu do lado esquerdo, a opção Listar Operadores 5. Clique no nome de utilizador administrador 7 Figura 3: Listar Operadores

8 6. Na caixa de texto Palavra-chave escreva a nova palavra-chave do administrador 7. Na caixa de texto Verificação da Palavra-chave escreva novamente a palavra-chave que introduziu na caixa de texto de anterior. 8. Clique em Aplicar Figure 4: Configuração da conta do administrador 8

9 SOBRE - INFORMAÇÃO ACERCA DA VERSÃO DO SISTEMA Figura 5: Sobre Esta opção exibe um conjunto de dados que poderão ser muito importantes para o apoio aos clientes. A informação disponível inclui a versão do eradmanager, a versão do edgebox e o Identificador da Licença. ALTERAÇÃO DA PALAVRA-CHAVE DO UTILIZADOR De modo a poderem efectuar a mudança da palavra-chave, para cenários não integrados com Acitve Directory, os utilizadores devem dirigir-se ao administrador do eradmanager. Cada conta de utilizador é composta por um nome de utilizador e uma palavra-chave, estes elementos são as credenciais de autenticação para aceder à rede. Sempre que é criada uma conta, a palavra-chave pode ser gerada automaticamente. Por motivos de segurança e/ou porque a palavra-chave resultou num conjunto de caracteres difícil de memorizar, o utilizador tem a possibilidade de a alterar procedendo do seguinte modo: 1. O utilizador deve contactar o administrador para que este lhe dê acesso ao GUI onde pode efectuar a alteração da palavra-chave. A página onde se pode efectuar a mudança da password está disponível em edgebox>/ sobre o menu Alterar Password do Utilizador. 2. Preencha a caixa de texto do Utilizador com o nome do utilizador que pretende alterar a chave; 9

10 3. Preencha a caixa de texto Palavra Chave com a palavra-chave actual; 4. Preencha a caixa de texto Nova Palavra Chave com a palavra-chave que pretende usar no futuro; 5. Preencha a caixa de texto Novamente a nova Palavra Chave repetindo a nova palavra-chave; 6. Clique em Entrar para executar a alteração. Figura 6: Página de alteração da palavra-chave do utilizador 10

11 ERADMANAGER - CONFIGURAÇÕES AVANÇADAS Neste capítulo apresentam-se algumas das opções mais avançadas do eradmanager, tipicamente úteis para cenários mais restritos de utilização. MENU GESTÃO Todos os subcapítulos que se seguem recaem sobre o menu Gestão do eradmanager. UTILIZADORES No painel de Gestão de Utilizadores pode adicionar endereços de acesso ao meio, MAC - do inglês Media Control Access, em vez de utilizadores. Uma estação de trabalho pode ser autenticada fornecendo o endereço MAC em vez de se autenticar com um nome de utilizador e uma senha. Para adicionar endereços MAC deve primeiro seleccionar a opção "Autenticação por Endereço MAC" e em seguida deve preencher o campo "Endereço MAC" com o endereço de placa de rede da estação de trabalho na forma "0019DB45CC1B", removendo os separadores ":" ou "-". Deve ter em atenção que na configuração do cliente que irá ser intermediário no processo de autenticação, Comutador de Rede, em inglês Network Switch, ou Ponto de Acesso Wireless, em inglês Wireless Access Point, deve configurar a estação de trabalho da mesma forma. Para isso deve consultar o manual do equipamento. Da mesma forma que para os utilizadores podem também indicar o Perfil ao qual deve ser associada a estação de trabalho identificada pelo "Endereço MAC". PERFIS LISTAR PERFIS Se seleccionar esta opção será mostrada uma listagem de todos os Perfis existentes, separados por páginas com 25 entradas cada. As acções que pode efectuar são: Seleccionar Todos - todos os Perfis da corrente página serão seleccionados; Seleccionar Nenhum - todos os Perfis, se seleccionados, deixarão de estar seleccionados; Apagar - todos os Perfis seleccionados serão removidos; Pode editar um determinado Perfil da lista carregando com o rato sobre o nome do Perfil. Pode ainda ordenar as entradas da lista por ordem alfabética, crescente ou decrescente, do "Nome do Perfil". 11

12 NOVO PERFIL Para adicionar um Perfil deve preencher o nome do Perfil e, opcionalmente, o identificador de VLAN, VLAN ID, com um número inteiro positivo. O VLAN ID é usado apenas por clientes NAS com suporte de atribuição dinâmica de VLANs. Caso não preencha o VLAN ID com um valor válido, os utilizadores que pertençam a esse perfil, quando se autenticarem, não serão colocados dinamicamente em nenhuma VLAN. Caso este valor esteja preenchido com um valor válido, os utilizadores quando se autenticarem no cliente NAS, serão dinamicamente colocados na VLAN com um identificador igual ao identificador configurado para o perfil. Para configurar o cliente NAS com suporte à atribuição dinâmica de VLANs deve consultar o manual de utilização do cliente NAS. Neste painel pode ainda seleccionar a opção "Mostrar Atributos do perfil" o qual mostrará um painel avançado. Para esconder de novo o painel avançado deve seleccionar "Esconder Atributos do perfil". ATENÇÃO: Estas opções avançadas podem ter efeitos contrários aos esperados se mal configurados. Não altere nada neste painel se não souber exactamente o que está a fazer. Neste painel avançado poderá configurar diversos atributos Radius, entre os quais atributos proprietários, que serão reconhecidos apenas por equipamentos de uma determinada marca, ou atributos standard, que serão reconhecidos pelos equipamentos compatíveis Os atributos que poderá configurar para um determinado perfil inserem-se em duas categorias: Atributos Check - Quando o Servidor Radius recebe um pedido de autenticação do cliente NAS, verifica a existência destes atributos e em caso afirmativo, aplica as configurações do atributo. Por exemplo se configuramos um atributo "Auth-Type" com a Op. ":=" e o valor "Reject", então todos os utilizadores que pertençam a este perfil irão ver rejeitados todos os pedidos de autenticação, mesmo que introduzam as credenciais correctas. Este é o funcionamento do grupo "Bloqueados". Atributos Reply - Os Atributos configurados como reply serão incluídos no pacote Radius de resposta ao pedido de autenticação. Por exemplo a atribuição dinâmica de VLAN ID é efectuado recorrendo a um destes atributos: Atributo - "Tunnel-Private-Group-Id"; Op - ":="; Valor - "3"; Pode ver o tipo de dados esperado para cada um dos atributos carregando com o rato no botão "Tipo do Atributo" para cada atributo seleccionado na caixa de selecção de atributos. Para aplicar as configurações deve seleccionar a opção "Aplicar". As alterações terão efeito imediato para todos os novos pedidos de autenticação. 12

13 EDITAR PERFIL Pode editar um Perfil colocando o seu nome na caixa de texto abaixo de "Editar Perfil" e seleccionando "Editar Perfil". No painel que é mostrado no centro da página pode alterar os valores dos atributos Reply, dos atributos Check ou ainda adicionar novos atributos. NOTA: Se remover todos os atributos de um perfil, o perfil será automaticamente removido. REMOVER PERFIL Pode remover um Perfil seleccionando esta opção. Deve introduzir o nome do Perfil a ser removido no campo "Nome do Perfil" e seleccionando "Aplicar". Deve ter em atenção que todos os utilizadores que pertenciam a este perfil ficarão sem perfil atribuído com todas as implicações que daí advêm. Após seleccionar "Aplicar" as alterações serão aplicadas de imediato para todos os novos pedidos de autenticação. NAS NAS é o termo usado para definir um cliente, Ponto de Acesso Wireless ou Comutador de Rede, que será intermediário no envio de pedidos de autenticação ao Servidor Radius, com base em pedidos de clientes conectados a esse NAS. Para estes pedidos serem considerados o NAS e o Servidor Radius devem partilhar uma senha comum e o NAS deve ser adicionado à lista de clientes NAS do Servidor Radius, caso contrário todos os pedidos de autenticação recebidos com origem no NAS serão ignorados. LISTAR NAS Se seleccionar esta opção será mostrada uma listagem de todos os clientes NAS existentes, separados por páginas com 25 entradas cada. As acções que pode efectuar são: Seleccionar Todos - todos os clientes NAS da corrente página serão seleccionados; Seleccionar Nenhum - todos os clientes NAS, se seleccionados, deixarão de estar seleccionados; Apagar - todos os clientes NAS seleccionados serão removidos; Pode editar um determinado cliente NAS da lista carregando com o rato sobre o atalho "Editar" na coluna "Acções". Pode remover um determinado cliente NAS da lista carregando com o rato sobre o atalho "Eliminar" na coluna "Acções". Pode ainda ordenar as entradas da lista por ordem crescente ou decrescente de valores de uma das colunas. 13

14 NOVO NAS Para adicionar um cliente NAS deve preencher os seguintes campos: Tipo de NAS - deve escolher um valor da caixa de escolha adequado ao tipo de cliente NAS. Por exemplo se o cliente é um equipamento Cisco, deve escolher o valor "cisco". Caso o seu equipamento não seja mencionado na caixa de escolha, deve escolher o tipo "other". Nome do NAS - deve ser preenchido com um nome que descreve sucintamente o cliente NAS. Este campo é apenas descritivo. NAS IP/Host - deve conter o endereço IP do cliente NAS. São permitidas entradas quer de endereços de rede simples, por exemplo , quer de entradas do tipo /24; Código Secreto do NAS - deve conter o código que será partilhado entre o NAS e o Servidor Radius; Para aplicar as configurações deve seleccionar a opção "Aplicar". O Servidor Radius será reiniciado para que as alterações tenham efeito, o que pode demorar até 10 / 15 segundos. EDITAR NAS Pode editar um cliente NAS colocando o seu nome na caixa de texto abaixo de "Editar NAS" e seleccionando "Editar NAS". No painel que é mostrado no centro da página pode alterar qualquer dos valores do cliente NAS pelo valor pretendido. Se seleccionar "Aplicar" as alterações serão aplicadas e o Servidor Radius será reiniciado para que as alterações tenham efeito imediato. REMOVER NAS Pode remover um cliente NAS seleccionando esta opção. Deve introduzir o nome do cliente NAS a ser removido no campo "NAS IP/Host" e seleccionando "Aplicar". Após seleccionar "Aplicar" as alterações serão aplicadas e o Servidor Radius será reiniciado para que as alterações tenham efeito imediato. 14

15 REALMS / PROXYS REALMS Um Realm é um identificador de Domínio de Autenticação de um determinado Servidor Radius. Na forma mais simples, os Realms são a parte do nome do utilizador a seguir (arroba). Por exemplo se um determinado nome de utilizador é "joãosilva@escola23.pt" então "escola23.pt" é o Realm. O encaminhamento dos pedidos de autenticação pode ser efectuado baseado nos Realms. Por exemplo se um utilizador de uma escola "aluno1@escolax.pt" quiser autenticar-se na escolay.pt, então a escolay.pt tem de ter configurado um Realm "escolax.pt" que contém a informação relativa ao servidor de autenticação: Nome do Realm - "escolax.pt" Tipo - "radius" (se não souber o tipo pode usar radius) Servidor de Autenticação - radius.escolax.pt (podem ser usados quer endereços IP quer nomes de máquinas FQDN) Servidor de Acct. - radius.escolax.pt (podem ser usados quer endereços IP quer nomes de máquinas FQDN) Código Secreto do Realm - segredo (senha que será usada na comunicação com o Servidor Radius que serve o Realm - deverá ser igual nos dois) No Servidor Radius responsável pelo Realm "escolax.pt", deve ser adicionado um cliente NAS com as credenciais de cada um dos Servidores Radius que poderão redireccionar os pedidos de autenticação para ele. As senhas "Código Secreto do Realm" e "Senha" do cliente NAS têm de ser iguais, caso contrário os pedidos serão descartados. LISTAR REALMS Se seleccionar esta opção será mostrada uma listagem de todos os Realms existentes, separados por páginas com 25 entradas cada. As acções que pode efectuar são: Seleccionar Todos - todos os Realms da corrente página serão seleccionados; Seleccionar Nenhum - todos os Realms, se seleccionados, deixarão de estar seleccionados; Apagar - todos os Realms seleccionados serão removidos; Pode editar um determinado Realm da lista carregando com o rato sobre o nome do Realm. Pode ainda ordenar as entradas da lista por ordem alfabética, crescente ou decrescente, do "Nome do Realm". 15

16 NOVO REALM Para adicionar um Realm deve preencher os seguintes campos: Nome do Realm - "escolax.pt" Tipo - "radius" (se não souber o tipo pode usar radius) Servidor de Autenticação - radius.escolax.pt (podem ser usados quer endereços IP quer nomes de máquinas FQDN) Servidor de Acct. - radius.escolax.pt (podem ser usados quer endereços IP quer nomes de máquinas FQDN) Código Secreto do Realm - segredo (senha que será usada na comunicação com o Servidor Radius que serve o Realm - deverá ser igual nos dois) Para aplicar as configurações deve seleccionar a opção "Aplicar". O Servidor Radius será reiniciado para que as alterações tenham efeito, o que pode demorar até 10 / 15 segundos. EDITAR REALM Pode editar um Realm seleccionando o seu nome na caixa de escolha abaixo de "Editar Realm" e seleccionando "Editar Realm". No painel que é mostrado no centro da página pode alterar todos os campos com a excepção do nome do Realm. Se seleccionar "Aplicar" o Servidor Radius será reiniciado de modo a aplicar as alterações de imediato. REMOVER REALM Pode remover um Realm seleccionando esta opção. Deve introduzir o nome do Realm a ser removido no campo "Nome do Realm" e seleccionando "Aplicar". Após seleccionar "Aplicar" as alterações serão aplicadas e o Servidor Radius será reiniciado para que as alterações tenham efeito imediato. PROXYS Um Proxy é um Servidor Radius para onde devem ser reencaminhados todos os pedidos de Autenticação e / ou Accounting. Quando um Servidor Radius tem configurado um Proxy de Autenticação, então encaminhará todos os pedidos de autenticação para esse Proxy. 16

17 LISTAR PROXIES Se seleccionar esta opção será mostrada uma listagem de todos os Proxys existentes, separados por páginas com 25 entradas cada. As acções que pode efectuar são: Seleccionar Todos - todos os Proxys da corrente página serão seleccionados; Seleccionar Nenhum - todos os Proxys, se seleccionados, deixarão de estar seleccionados; Apagar - todos os Proxys seleccionados serão removidos; Pode editar um determinado Proxy da lista carregando com o rato sobre o nome do Proxy. Pode ainda ordenar as entradas da lista por ordem alfabética, crescente ou decrescente, do "Nome do Proxy". NOVO PROXY Para adicionar um Realm deve preencher os seguintes campos: Nome do Proxy - nome descritivo do Servidor Radius para onde serão encaminhados os pedidos de autenticação; Tempo entre Tentativas - tempo a esperar após um pedido de autenticação não respondido para voltar a enviar um novo pedido (em segundos); Número de Tentativas - número de tentativas a efectuar em caso de pedidos não respondidos (em segundos); Inactivo Após - o servidor será marcado como inactivo após este tempo (em segundos) Resolver Localmente - os valores possíveis são "yes" ou "no". Se for "yes" então o servidor irá tentar resolver o pedido localmente, caso contrário não. Para aplicar as configurações deve seleccionar a opção "Aplicar". O Servidor Radius será reiniciado para que as alterações tenham efeito, o que pode demorar até 10 / 15 segundos. 17

18 EDITAR PROXY Pode editar um Proxy seleccionando o seu nome na caixa de escolha abaixo de "Editar Proxy" e seleccionando "Editar Proxy". No painel que é mostrado no centro da página pode alterar todos os campos com a excepção do nome do Proxy. Se seleccionar "Aplicar" o Servidor Radius será reiniciado de modo a aplicar as alterações de imediato. REMOVER PROXY Pode remover um Proxy seleccionando esta opção. Deve introduzir o nome do Proxy a ser removido no campo "Nome do Proxy" e seleccionando "Aplicar". Após seleccionar "Aplicar" as alterações serão aplicadas e o Servidor Radius será reiniciado para que as alterações tenham efeito imediato. CERTIFICADOS GERAR NOVO CERTIFICADO Se escolher esta opção será gerado um novo certificado que será usado internamente pelo Sistema de Autenticação. Este certificado será disponibilizado para download de forma a viabilizar a Validação do Certificado do Servidor de Autenticação pelos clientes. EXPORTAR Se houver um certificado disponível para download, no painel no centro da página será disponibilizado o link de onde pode ser feito o download de um arquivo zip contendo os certificados. O arquivo zip contém um certificado no formato DER que deverá ser usado em sistemas Windows, e um certificado no formato PEM que poderá ser usado em outros sistemas como Linux ou Mac OS. 18

19 MENU CONFIGURAÇÃO Nos subcapítulos que se seguem serão apresentadas as funcionalidades avançadas que existem no menu Configuração do eradmanager. MANUTENÇÃO TESTAR CONECTIVIDADE DO UTILIZADOR Este painel permite testar se determinadas credenciais de um utilizador ou de um Servidor Radius estão correctas. Deve preencher os seguintes campos: Nome do Utilizador - nome do utilizador a usar no pedido de autenticação; Senha - senha do utilizador a usar no pedido de autenticação; Servidor Radius - endereço IP ou nome de host (FQDN) do Servidor Radius que deverá responder ao pedido de autenticação; Porto Radius - por defeito este valor deverá ser "1812"; Porto do NAS - este campo poderá ser preenchido com o valor "0"; Código Secreto do NAS - senha secreta que é partilhada entre esta máquina (Servidor Radius local) e o Servidor Radius remoto. No Servidor Radius remoto deve estar configurado um cliente NAS com o endereço IP do Servidor Radius local com a senha secreta; DESLIGAR UTILIZADOR Este painel permite enviar pedidos PoD, do inglês Packets of Disconnect, para clientes NAS com suporte a este tipo de pedidos. Esta opção consiste num método de terminar um sessão já estabelecida. Um PoD é um pacote radius, Access-Request, que deve ser usado nas situações em que o administrador pretende terminar a sessão de um determinado utilizador, por exemplo por ter detectado uso fraudulento. De salientar que o cliente NAS ao qual o utilizador está ligado tem de suportar este tipo de pacotes. 19

20 ESTADO DO SERVIDOR Esta opção permite ver se o Servidor de Autenticação está activo ou inactivo e permite ainda alterar o estado actual do mesmo. REGISTO DO SERVIDOR Esta opção permite visualizar os registos (logs) do Servidor de Autenticação permitindo uma rápida avaliação de algum problema que possa ter ocorrido desde as zero horas do dia actual. Neste registo pode também verificar os pedidos de autenticação efectuados, quer com sucesso quer falhados. REGISTO DA APLICAÇÃO Esta opção permite ver o registo das operações efectuadas na Aplicação de Gestão desde as zeros horas do dia actual. Serão registados os acessos às várias páginas que compõem a aplicação. ACTIVE DIRECTORY É possível integrar o eradmanager com um servidor Windows 2000/2003 que esteja a funcionar como Active Directory para gestão de utilizadores. Assim, o eradmanager delega a autenticação de utilizadores (a validação do username e password) na Active Directory configurada. A integração do eradmanager com a Active directory permite também delegar a gestão de Perfis de utilizadores para a Active Directory. Opcionalmente essa gestão de Perfis poderá ser realizada no eradmanager, mas a autenticação de utilizadores continua a ser feita na AD. CONFIGURAÇÃO BÁSICA Na configuração básica necessitamos dos parâmetros essenciais para uma ligação ao Active Directory. São eles: Domínio AD: O domínio em questão, exemplo, TEST.LOCAL Endereço IP: O Endereço IP do Active Directory para se estabelecer conexão, exemplo, Tipo de AD: Windows 2000 ou Windows 2003 Utilizador/Administrador: o utilizador com privilégios de Administração do AD Password: a palavra-chave de administrador 20

21 A gestão de perfis de utilizador pode ser realizada de duas formas: Gerir Perfis de Utilizador no AD: Os grupos são criados no Active Directory e utilizadores são atribuídos a esses grupos. Assim a equivalência do mesmo grupo no eradmanager faz com que a uma autenticação de um utilizador na AD seja atribuída uma VLAN configurada no eradmanager. O único requisito deste esquema é os grupos existentes no Active Directory tenham a mesma correspondência num Perfil no eradmanager. Por exemplo, o grupo AD "Alunos" se existir na AD, tem também de existir no eradmanager para atribuir a VLAN definida no perfil Alunos do eradmanager. Se não for encontrado grupo no AD que faça correspondência com o Perfil no eradmanager a autenticação é negada. Gerir Perfis de Utilizador no eradmanager: Os perfis de utilizador são geridos no eradmanager mas a autenticação é feita no Active Directory. Para a gestão de Perfis ser feita no eradmanager é necessário que o mesmo utilizador que existe no AD, também exista no eradmanager e pertença a um determinado Perfil. No entanto a gestão de palavras-chave é feita no AD. Se o utilizador existir no eradmanager e não existir no AD a autenticação é negada (e vice-versa). CONFIGURAÇÃO AVANÇADA A configuração avançada é Opcional. Na configuração avançada é possível especificar o Distinguish Name para localização de Grupos e de Utilizadores no AD caso estes não estejam numa localização standard, isto é, os utilizadores ou grupos estejam, por exemplo, numa Organizational Unit. Os parâmetros configuráveis são eles: Administrator DN: O DN do utilizador/administrador responsável pelo acesso à AD, exemplo: cn=administrator,cn=users,dc=test,dc=local Users search Base DN: O DN onde os utilizadores estão localizados, exemplo: cn=users,dc=test,dc=local Groups search Base DN: O DN onde os grupos estão localizados, exemplo: cn=users,dc=test,dc=local Caso não sejam especificados valores em algum dos campos mencionados, serão inferidos valores standard em substituição. NOTAS A TER EM CONSIDERAÇÃO Existem alguns requisitos a ter em consideração, bem como algumas particularidades quando a autenticação é delegada para um Active Directory: Os relógios do edgebox e do Active Directory necessitam estar sincronizados com um desfasamento máximo de 5 minutos. 21

22 Deve ser colocado em primeiro lugar da lista, o servidor de DNS responsável por gerir a AD (tipicamente o próprio servidor de AD), na lista de Forwarders de DNS da edgebox. Isto apenas pode ser feito no painel de Administração da edgebox, disponível na porta No cenário em que é utilizada autenticação no AD, mas a gestão de grupos é feita no eradmanager, é requisito que o utilizador que existe na AD também exista no eradmanager. Isto é essencial para o eradmanager saber qual perfil atribuir ao utilizador em questão. É ainda criado um grupo DEFAULT no eradmanager que é o grupo que é atribuído aos utilizadores que autenticam no AD, mas não existem no eradmanager. A política por omissão é de rejeitar o acesso a esses utilizadores. Para outra politica basta editar o perfil DEFAULT e definir os atributos a serem respondidos pelo perfil. Sempre que é configurado um novo AD no eradmanager, o perfil DEFAULT é adicionado automaticamente caso ainda não exista. O perfil DEFAULT é responsável por controlar o acesso dos utilizadores que se autenticam com sucesso no AD mas não pertencem a nenhum perfil. Por omissão a politica do grupo DEFAULT é rejeitar a autenticação, mas podem ser configurados os atributos do perfil na gestão de Perfis do eradmanager. O controlo de acesso da autenticação de máquina executada pelos clientes Windows (aquando do arranque/desligar da máquina ou no evento de ligar/desligar a ligação de rede) é feito no perfil DEFAULT, que é criado aquando da configuração de um novo AD no eradmanager. Se a máquina estiver registada no Domínio AD deverá autenticar com sucesso, sendo o VLAN ID atribuído aquele que está configurado no perfil DEFAULT. Como o comportamento por omissão deste perfil é o de rejeitar a autenticação, deverá apagar o mesmo no eradmanager e voltar a criar o perfil DEFAULT com o VLAN ID 5. É obrigatório que o nome do perfil DEFAULT seja em maiúsculas, sob pena de este ser considerado um perfil normal em caso contrário. No cenário em que é feita a gestão de perfis no servidor de Active Directory, o perfil Guest não pode ser utilizado. O Active Directory não permite criar o grupo Guest pelo que o perfil do eradmanager Guest deverá ser renomeado para Convidados. Basta para tal apagar o grupo Guest no eradmanager e adicionar um novo grupo Convidados para o mesmo efeito. No projecto PTEDU o grupo Guest/Convidados tem o VLAN ID 5. 22

23 FAQ Este capítulo será dedicado a algumas perguntas frequentes que crescerá em futuras versões deste manual. Pergunta 1: Como apago todos os utilizadores do eradmanager? No menu Utilizadores / Apagar Utilizador coloque a palavra reservada % e seleccione aplicar. Todos os utilizadores serão removidos. Pergunta 2: Não consigo ver a palavra-chave de um utilizador. Por razões de segurança foi desabilitada a visualização das palavras-chave dos utilizadores. É sempre possível alterar a palavra-chave dos utilizadores em caso de esquecimento ou extravio da mesma em Utilizadores / Editar Utilizador. Pergunta 3: Não consigo encontrar o link para Exportar contas iniciais. Onde foi parar? Após o Upgrade se o link de Exportar contas iniciais não estiver presente é necessário apagar os utilizadores todos (Pergunta 1) e reinicializar a base de dados do eradmanager em introduzindo novamente o nome da escola e o código GEPE. Pergunta 4: Não consigo autenticar utilizadores: No menu de estado da ligação do eradmanager com o Active Directory aparece a mensagem Estado da ligação ao Active Directory: Não é possível autenticar utilizadores mas os serviços Samba, Radius e Winbind encontram-se activos. Verifique a conectividade do servidor de Active Directory com a edgebox e se o relógio se encontra sincronizado. Se ainda assim se verificar a problema por favor tente configurar novamente no eradmanager a ligação ao Active Directory. Pergunta 5: Como faço para que a autenticação de máquina dos clientes Windows seja válida e tenha uma VLAN atribuída? Se máquina Windows pertencer ao domínio AD, a autenticação de computador deverá ocorrer com sucesso. Para atribuir uma VLAN para os computadores, deverá configurar o perfil DEFAULT no eradmanager. Por omissão o perfil DEFAULT rejeita as autenticações, como tal deverá apagar o mesmo e criar um novo perfil DEFAULT agora com o VLAN ID 5. É obrigatório que o nome do perfil DEFAULT seja em maiúsculas, sob pena de este ser considerado um perfil normal em caso contrário. 23