Rede WIFI ESMF-RADIUS Preliminar: Rede minedu.

Transcrição

1 Rede WIFI ESMF-RADIUS Preliminar: Rede minedu. Manual de configuração para rede RADIUS 802.1x Escola Dr. Manuel Fernandes -1-

2 Índice de conteúdos Nota informativa...3 Certificado raiz...5 Como obter e instalar o Certificado RAIZ...5 Conexão à Rede RADIUS...10 Conexão Windows XP...10 Credenciais de autenticação...11 Windows VISTA...13 Resolução de problemas encontrados...14 Sem certificado...14 Windows Vista Windows 7, XP, 2000, Vista; Linux; OsX Erro de encriptação ou A configuração não corresponde :...22 Windows7. Erro de configuração, limpeza de configuração...24 Windows XP: Não aceita nem pede autenticação

3 Nota informativa. O propósito da rede RADIUS é permitir a utilização de uma forma segura, por parte dos utilizadores, uma ligação aos recursos Internet a partir da rede sem fios da escola. O processo de autenticação é semelhante ao WPA com a excepção em que a chave de autenticação não é partilhada. Actualmente existem 2 redes acessíveis a Professores e Alunos. A rede ESMF.PT, a partir das mesmas AP, disponibiliza os serviços mínimos de acesso web (estando disponível entre as 9:00 e as 21:00 devido a restrições comerciais do ISP). Uma nota a ter em conta relativamente às redes abertas: Devido ao facto de estas redes estarem em modo aberto o mesmo permite que a utilização seja capturada por terceiros. Por isso a sua privacidade está em causa, as palavras-chave utilizadas em serviços http (entre outros não SSL) são expostas e como consequência a sua identidade poderá estar em risco. Uma das soluções actualmente a funcionar na rede é a utilização de codificação forte baseada no OpenVPN (rede privada virtual). Este sistema permite criar um túnel de conectividade segura, permitindo que todo o tráfego dirigido para a rede Internet seja extremamente codificado. Tecnicamente o sistema autentica com algoritmo TLS, estabelecem-se as chaves sob sistema DH e a codificação de canal está em AES-CBC 256 bit. O principal inconveniente desta solução é tem de se criar certificados para cada utilizador a pedido e para funcionar é necessário a instalação do programa de controlo, e do controlador (driver) TUN/TAP conexo. A rede RADIUS é uma solução compromisso codificação/simplicidade. Esta solução utiliza um nível necessariamente inferior de codificação, mas ainda robusto, recorrendo ao sistema WPA-AES. Necessariamente que a autenticação aos dispositivos de rede tem que ser efectuada de um modo pessoal visto que de um modo prático os sistemas baseados em chave partilhada (comum a muitos) passa em pouco tempo por ficar fora de controlo dos gestores da rede. Segue abaixo um manual de conexão à rede para os vários sistemas operativos, que possam ser utilizados com maior probabilidade. A versão actual instalada do sistema RADIUS necessita de um certificado global, público, que serve para cripta da autenticação esta fase é necessária para que o cliente possa autenticar-se com a AP. Ou seja, a informação é codificada em sistema de cripta assimétrica (cifra de chaves públicas), onde somente o receptor (o servidor radius) poderá recuperar a informação enviada pelo emissor (o computador do utilizador). Para o efeito o ficheiro certificado deverá ser descarregado a partir do servidor da escola no endereço Nesta localização estão contidos ficheiros com instruções, constantes deste manual, e um ficheiro designado ca-esmf.der. Este deverá ser descarregado para posterior instalação. Deverá haver o cuidado de guardar o ficheiro como e não abrir directamente da localização, como se explica neste manual na parte para o efeito. -3-

4 IMPORTANTE: Estamos a migrar o sistema para utilização na nova rede minedu - à qual as mesmas credenciais serão utilizadas. A tempo irá ser actualizada informação relativamente a esta norma. Informação preliminar: As credenciais serão agrupadas da seguinte norma para acesso a rede minedu : fxxx (rede esmf-radius ) passarão a ser fxxx@esmf.pt para os acessos indicados. Para os alunos o acesso será axxxx@esmf.pt onde o xxxx é o número de processo. Para fxxx as chaves são as mesmas atribuídas; Para axxxx as chaves são as mesmas do código GIAE ONLINE; NO ENTANTO EM QUALQUER DOS CASOS SE NÃO TEM CREDENCIAIS DE ACESSO (iguais aos acessos dos terminais) NÃO TENTE ACEDER O sistema operativo poderá guardar credenciais erradas devido a este facto. -4-

5 Certificado raiz. O certificado raiz é necessário para que a autenticação seja efectuada entre o servidor e o cliente. Durante o processo de negociação de autenticação, a informação de utilizador e palavra-chave é submetida a um processo de cripta. O servidor por outro lado só poderá obter a informação, processo reverso da cripta, tendo o mesmo certificado como parte comum do cálculo. Este processo permite que a autenticação seja fechada. Finalmente quando o processo de autenticação for satisfeito será permitida a utilização da rede, onde o tráfego continuará a ser codificado utilizando uma chave criada, somente válida na actual sessão, sendo renegociada outra para a próxima vez que se ligue. O sistema permite roaming entre os diversos AP instalados nas instalações da Escola. Como obter e instalar o Certificado RAIZ. 1. Se estiver na escola com acesso de rede sem fios deverá conectar-se à rede aberta ESMF.PT. Poderá aceder ao mesmo local a partir da Internet segundo o passo 2 a seguir. 2. Com um navegador de Internet ir à página interna da escola em ou pela Internet em 3. Deslocar na página até à tabela de ficheiros para download. - Deverá haver uma referencia ao ficheiro ca-esmf.der. 4. Descarregar (com a função Guardar Como ) o certificado raiz (ca-esmf.net), para um local do disco local. Escolha um qualquer, desde que tenha depois acesso ao mesmo. Não importa onde, porque após a inserção deste no sistema (passo seguinte), este mesmo ficheiro poderá ser eliminado sem problemas. 5. Instalar o certificado. Este passo tem que ser efectuado com atenção. 1. Sobre o ficheiro descarregado, faça-se double-click. Alguns sistemas poderão pedir confirmação: -5-

6 2. Observar com atenção as características do certificado, e premir o botão instalar. -6-

7 3. Após a actuação no botão Seguinte, irá aparecer um diálogo de opções de Arquivo de Certificados. A opção por defeito não deverá ser tomada. Ao invés, deverá ser seleccionada a opção Colocar o certificado no seguinte arquivo, seguidamente deve-se premir o botão Procurar. No quadro seguinte é espectável a seguinte apresentação: Deverá ser colocado o visto em Mostrar arquivos físicos e rodar para cima a lista, até aparecer novamente Autoridades de certificação de raiz fidedigna. Atenção Raiz Fidedigna. Se não for tomado este cuidado o certificado será instalado noutras zonas de certificação e não poderá ser utilizável para o fim pretendido. Uma vez estando nesse local, clica-se no [+] antes do arquivo, e depois selecciona-se REGISTO, como se mostra de seguida. -7-

8 Após a selecção do campo correcto, actua-se no botão OK. O diálogo fecha-se e será afectado o campo abaixo ilustrado. Deverá actuar-se no botão Seguinte, e concluir o assistente. Ao concluir o processo, o sistema volta a pedir confirmação não carregar a tecla ENTER, uma vez que por defeito a ordem é para cancelar. Em vez disso deverá premir no botão Sim, como se mostra de seguida. -8-

9 Por fim, deverá aparecer o diálogo de confirmação da instalação: -9-

10 Conexão à Rede RADIUS. Não esquecer de instalar primeiro o certificado, caso não o tenha efectuado, tal como se descreve anteriormente. Para a conexão à rede sem fios RADIUS necessitará da autenticação utilizador / palavra-chave. Na rede escola, os funcionários e professores poderão utilizar a mesma autenticação utilizada na rede LDAP (os mesmos acessos criados para os computadores). Aos alunos a autenticação é efectuada pelo sistema de palavra-chave criada no GIAE On Line que foi distribuída juntamente com os cartões de aluno. Conexão Windows XP 1. (Desligar-se da rede ESMF.PT caso tenha utilizado para descarregar o certificado raiz). 2. Procurar as redes e conectar-se à rede RADIUS:

11 Este diálogo deverá aparecer, eventualmente, se estava o computador estava ligado à rede ESMF.PT. Escolhe-se a rede SIGMA-RADIUS e actua-se no botão Ligar. O sistema vai identificar o tipo de conexão e irá mostrar, passado algum tempo, algumas questões relativas a este acesso. Credenciais de autenticação. É espectável uma mensagem desta natureza no systray:

12 Ao clicar-se sobre a mensagem irá aparecer um diálogo a pedir a selecção de certificado ou, outro a pedir as credenciais (utilizador / palavra chave). Deverá preencher com cuidado, tendo em conta que a autenticação é sensível a maiúsculas e minúsculas. Não deverá conter espaços nem caracteres especiais. Deixar o campo Domínio de início de sessão sem ser preenchido. Aguarde-se alguns instantes até o sistema indicar efectiva autenticação com sucesso

13 Windows VISTA. Parte-se do principio que o certificado está instalado. 1. Activar o adaptador de rede sem fios e pedir a ligação a uma rede ao centro de rede e partilha : 2. Seleccionar a rede ESMF-RADIUS da lista. 3. Esperar que o sistema se conecte. 4. Deverá aparecer um quadro a confirmar as credenciais : Primeiro a confirmar o certificado a utilizar (deverá ser o ESMFPT) e depois de confirmado, aparecerá um segundo quadro a pedir as credenciais utilizador/chave. Na parte de domínio nada será colocado

14 Resolução de problemas encontrados. Sem certificado. O sistema devolve uma mensagem que não encontra o certificado de sessão. Solução: Verifique se efectuou todos os passos criteriosamente na parte de instalação de certificado raiz. (Certificado Raiz) Solução 2: Normalmente acontece no WINDOWS uma situação provocada pela tentativa anterior de conexão a este tipo de redes sem o certificado previamente instalado. O sistema operativo regista essa situação, anómala, e não é capaz por si de reverter o problema. Segue-se alguns passos para sanar a situação. 1. Clica-se no ícone da rede notificada Selecciona-se Ver redes sem fios, de seguida irá aparecer um diálogo com as redes sem fios e algumas opções do lado esquerdo. Deverá seleccionar em Tarefas relacionadas -> Mudar a ordem das redes preferidas. (zona esquerda do diálogo)

15 Com a rede ESMF-RADIUS seleccionada, carregue no botão Propriedades: De seguida, selecciona-se a opção Autenticação do quadro seguinte:

16 E como se pode observar o sistema operativo seleccionou, por defeito, um sistema de autenticação por Cartão electrónico ou Certificado. Embora o sistema necessite do Certificado para cripta, não é este modo de autenticação utilizado. Deverá ser seleccionado o modo EAP Protegido : (o radius utiliza o modo de autenticação PEAP CHAP-V2). Agora define-se os parâmetros correctos de autenticação, para o efeito prime-se no botão Propriedades. No quadro seguinte selecciona-se o Certificado de raiz fidedigna ESMFPT

17 E verifica-se se estamos efectivamente a utilizar o modo de autenticação Protegido por palavra-passe (EAP-MSCHAP v2). Aqui neste quadro ainda tem que se premir o botão Configurar para desactivar a autenticação automática do Windows: Tira-se o visto, que se encontra por defeito activo. E prime-se OK em todos os quadros até estarem todos fechados. Passados alguns segundos o sistema deverá apresentar a seguinte mensagem:

18 Neste ponto prossiga para a parte de configuração dada em credenciais de autenticação em Conexão XP (ou outro sistema que esteja de momento a trabalhar). Que na prática deverá ser a colocação dos dados de autenticação (utilizador e chave). Windows Vista. O sistema devolve uma mensagem, extremamente informativa e com detalhes que explicam a causa: Provavelmente deve-se ao facto que anteriormente já tería sido efectuada uma ligação a esta rede e esta ficou registada. Para o efeito remove-se a rede da lista das ligações de redes sem fios e tenta-se de novo: Agora, caso se encontre na lista, remove-se a conexão ESMF-RADIUS. Se a conexão não existir prossiga para a solução 2. Solução 2: Forçar o modo de conexão caso o Windows não consiga detectar a topologia. Parte-se do principio que a placa de rede está instalada correctamente (drivers) e está ligada. Parte-se também do principio que o certificado global está previamente instalado. No Centro de Rede e Partilha clica-se em Ligar a uma rede

19 Clicar na ligação em baixo Configurar uma ligação ou rede. Ligar manualmente a uma rede sem fios. Escrever nos campos tendo atenção que o nome da rede deverá ser digitado em maiusculas ESMF-RADIUS, O tipo de segurança é o WPA-Enterprise e o tipo de encriptação pode ser escolhido entre o AES ou TKIP (o sistema permite funcionar com

20 um dos modos livremente). Manter o visto Iniciar automaticamente esta ligação e prosseguir em Seguinte. No quadro seguinte seleccione a opção Alterar as definições de ligação : Irá aparecer um dialogo com algumas opções, entre as quais seleccione a parte de segurança. Deixe estar as definições. Caso o problema persista poderá tirar o visto de Informações de utilizador na cache para ligações futuras à rede (visto ter sido, talvez, colocado credenciais falsas ou mal digitadas), no entanto o sistema irá sempre pedir utilizador/chave cada vez que se religar. Clique agora em Definições e no quadro seguinte verifique se na lista de servidores está a entidade ESMFPT (se não aparecer é porque não importou correctamente o certificado). Seleccione esse certificado e clique no botão Configurar :

21 Tirar o visto do quadro acima (Não utilizar automaticamente as credenciais locais do windows, visto a autenticação ao radius ser diferente). Premir em OK em todos os quadros (a ultima é Fechar ). Tente-se agora ligar novamente à rede. Se o problema persistir terá que utilizar um outro gestor de redes sem fios, ou o programa que vem com o sistema

22 Windows 7, XP, 2000, Vista; Linux; OsX Erro de encriptação ou A configuração não corresponde : Este erro deve-se a um problema existente, já resolvido, em que havia uma das AP configurada incorrectamente em modo WPA2, em vez do WPA que estamos a utilizar. Desta forma o sistema operativo (ou aplicação de gestão WIFI) guardou o modo WPA2 como sendo a utilizar na autenticação. Para o efeito deverá haver uma modificação aos parâmetros, os quais a sua localização dependem dos gestores utilizados. Segue abaixo um exemplo para o Windows7 / Windows Vista, o sistema operativo devolve a seguinte mensagem: Para o efeito, deve-se abrir o Centro de Rede e Partilha para verificar as definições guardadas, o exemplo abaixo, na gestão de redes sem fios: Seguidamente aparecerá um dialogo onde deverá, entre outras possivelmente, aparecer a rede ESMF-RADIUS listada e associada com sistema WPA2, o que está errado:

23 Caso haja confirmação deste erro há que o corrigir, faça-se duplo clique sobre o item a qual deverá aparecer um novo dialogo onde deverá ser corrigido o modo, em Segurança no topo: Trocar a selecção de WPA2-Enterprise para WPA-Enterprise e fechar o dialogo accionando no botão OK. Passados alguns segundos irá aparecer uma notificação a pedir novamente as credenciais de entrada na rede (utilizador e palavra chave)

24 Windows7. Erro de configuração, limpeza de configuração. Existem casos extremos em que a configuração fica presa no registo de tal ponto que terá de definir novamente os certificados, dentro das propriedades avançadas caso não apareça o certificado ESMFPT na lista é porque a importação não foi efectuada correctamente e terá que ser repetida: Procurar na lista e verificar a correcta selecção: (não esquecer de retirar o visto ligar a estes servidores caso esteja activa). E verificar se os métodos de autenticação estão a utilizar as credenciais a pedido (em configurar), tirando o visto da utilização automática do utilizador Windows, tal como revisto noutras versões do Windows

25 Windows XP: Não aceita nem pede autenticação. Verifique se a janela de autenticação não está escondida em plano posterior à das listas de redes sem fios este é um problema comum, onde o XP cria uma janela de diálogo mas esta fica sobreposta pela anterior. Caso o sistema teime em não apresentar o pedido de credenciais, poderá haver necessidade de limpar a cache deste (onde estão guardadas chaves anteriores, de eventuais tentativas). Para o efeito descarregue o ficheiro clean somente para o XP.reg na página da escola (parte wifi) para o disco local do computador e execute-o. Irá aparecer um aviso do registo do sistema, onde deverá confirmar a acção. Este ficheiro serve apenas para eliminar no registo do windows as chaves relacionadas com ligações anteriores em redes radius e seguras, pelo que poderá limpar credenciais de outras redes, onde terá que repor as chaves