Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Ubuntu 22.04 LTS + Freeradius 3.2.x
Este procedimento, tem como objetivo, auxiliar o usuário na execução do script de instalação de seu novo servidor IDP Eduroam .
Realize o download do SO no site oficial
https://releases.ubuntu.com/22.04.3/ubuntu-22.04.3-live-server-amd64.iso
Utilize usuário root
1.1 Baixe o script de instalação do eduroam a partir git da RNP
1.2 Entre no diretório /root/rnp
IMPORTANTE:
Copiar o arquivo contendo o certificado que enviamos ao seu e-mail para dentro de seu novo servidor eduroam, localizado no diretório "/root/rnp".
Para copiar o arquivo você pode utilizar por exemplo a ferramenta WinSCP (https://winscp.net/eng/download.php).
1.3 Descompacte o arquivo recebido do certificado (ex. eduroam.ufforigato.gov.br.tar.gz)
1.4 Mude a permissão do arquivo para modo executável:
1.5 Execute o script:
Após executar o comando acima será mostrado uma janela com todas informações necessárias para dar inicio na configuração do Freeradius. Selecione "Yes" para seguir .
Na próxima tela selecione a opção 1 - Atualizar_SO_Freeradius, ela atualizará o seu sistema operacional com o ultimo update e instalará o Freeradius em sua ultima versão .
Executando a etapa 2 - Instalar_EAPOL_Test, aqui faremos a instalação do software utilizado para realizar testes de autenticação EAP.
Agora daremos inicio na etapa 3 - Instalar_Certificados_RNP, ele é responsável pela comunicação entre o seu servidor Eduroam e a federação. Selecione o item 3, em seguida clique em "OK".
Após selecionar a etapa 3 - Instalação_certificado_RNP será feito um backup dos arquivos de configuração, assim que pronto, tecle S (sim) para confirmar que os arquivos FQDN são correspondentes ao seu servidor Eduroam, observe a imagem abaixo .
A etapa 4 - Instalar_certificado_ICPEDU é apenas para as instituições que emitiram o certificado para o DNS do servidor através do ICPEDU Corporativo.
Por tanto, podemos pular esta etapa caso seja utilizado o certificado auto assinado enviado por e-mail.
Caso a instituição utilize LDAP, selecionar a etapa 5 - Configurar_LDAP. Conforme imagem abaixo, informe o IP ou FQDN do seu servidor LDAP.
Informe a porta de seu servidor LDAP, em seguida clique em "OK".
Informe o basedn, em seguida clique em "OK".
Informe o usuário com permissão de leitura em sua base LDAP, em seguida clique em "OK".
Informe a senha do usuário, em seguida clique em "OK".
Confirme a senha do usuário e em seguida clique em "OK".
Por fim, confirme as informações e clique em "OK".
Caso sua instituição utilize o AD, selecione a etapa 6 - Configurar_AD. Conforme a imagem abaixo, informe o domínio de seu AD, em seguida clique em "OK".
Em seguida, insira o IP do AD e selecione "OK".
Agora informe o WorkGroup do seu domínio e selecione "OK" para prosseguir.
Será solicitado o login e depois a senha de um usuário do seu AD que está com privilégios de administrador para inserir seu servidor ao domínio e selecione "OK".
Um aviso será apresentado, se os dados estiverem corretos, selecione "YES".
Nas telas a seguir serão realizadas algumas configurações, basta aguardar os processos e pressionar enter sempre que for solicitado para continuar à próxima parte.
Verificação dos pacotes:
Configuração do SAMBA:
Configuração do WINBIND:
Validação do usuário com o comando kinit:
No passo seguinte, vamos executar o item 7 - Eapol_test_bob, nesta opção existe um usuário local "BOB", que será utilizado para testar a configuração do Freeradius .
Ocorrendo tudo certo, ele retornará a mensagem abaixo.
Agora execute o item "8 - Eapol_teste_rnp" esta opção executa um teste com o usuário teste.eduroam@rnp.br.
Caso ocorra falha na autenticação do usuário (externo) acima, uma causa comum seria o bloqueio no Firewall.
Se o Firewall fizer inspeção de pacotes SSL, as requisições não chegam ao servidor da Federação para efetuar o proxy ao seu domínio de destino.
Por tanto, verifique se as regras de Firewall estão configuradas corretamente.
Em seguida execute a opção "9 - Eapol_test_usuario_instituicao" e insira o seu usuário e senha para realizar teste de autenticação, conforme demonstra a imagem abaixo.
Repita o processo no item 10 para confirmar a autenticação, ao final, pressione "Enter" para continuar .
Ao ser efetuado o teste de autenticação no usuário da instituição, temos alguns pontos:
No teste com AD, esperamos o resultado OK para o protocolo Mschapv2. Este protocolo é nativo do AD e autentica todos os sistemas operacionais.
No teste com LDAP, esperamos o resultado OK para o protocolo PAP. Este protocolo é nativo do LDAP e autentica quase todos os sistemas, exceto o Windows.
No caso do LDAP, se a base da instituição possuir o schema do sambaNTPassword habilitado e populado, basta ir no arquivo abaixo e descomentar a seguinte linha:
Diretório:
/etc/freeradius/mods-enabled/ldap
Descomentar a linha:
control:NT-Password := 'sambaNTPassword'
Reinicie o serviço do Freeradius para que ele possa fazer a releitura do arquivo.
Execute a opção 11 - Testa Conexao Federacao, esta opção irá testar a conexão dos servidores da Federação RPS01 e RPS02.
O sistema vai informar que a conexão do teste foi bem sucedida na porta 2083 dos servidores RPS01 e RPS02 , selecione "OK" para prosseguir.
Por fim, execute o item 18 para sair do script.
Após ter saído do Script, Inclua o IP de sua controladora/AP e sua chave secreta dentro do arquivo /etc/freeradius/clients.conf
Segue exemplo de configuração:
Após as alterações reiniciar o Freeradius :
Configurar a controladora para se conectar no servidor eduroam.
Atenção: Para que o roaming aconteça de forma automática e transparente, o SSID eduroam, criado na controladora ou ponto de acesso, deve estar obrigatoriamente escrito no formato minúsculo.
E por fim, executar testes em seu smartphone usando o SSID eduroam.
O procedimento abaixo descreve como realizar a marcação de pontos de acesso no mapa eduroam.
O procedimento abaixo deve ser seguido pelo administrador do eduroam na instituição.
Caso ainda não tenha acesso, solicite a nossa equipe de atendimento através dos canais: Telefone/WhatsApp: 0800 722 0216 ou e-mail: atendimento@rnp.br
Acesse a ferramenta de marcação de pontos Marker eduroam com as credenciais fornecidas pelo Service Desk; Obs.: No primeiro acesso será solicitado a alteração de senha.
2. Em seguida, acesse a opção "marcadores".
3. Em "Novo Marcador", preencha os dados do ponto de acesso que deseja inserir e clique no botão "criar".
Orientações de preenchimento
Campos obrigatórios:
Nome (Br): Incluir aqui o nome da instituição ou unidade;
Nome (En): Incluir aqui o nome da instituição ou unidade em inglês;
Latitude e Longitude: Será preenchido automaticamente após clique duplo no mapa;
Endereço/ UF / Cidade: Incluir endereço da instituição ou unidade;
Estágio: Informar o status do serviço de rede sem fio;
Tipo: Incluir conforme abrangência da rede;
Quantidade de pontos de acesso: Incluir número de pontos de acesso (equipamento com sinal do eduroam) no local;
Opções avançadas (Não obrigatório):
Preencher conforme característica específica da instituição.
Após criado, a RNP avaliará o cadastro em até 48h. Caso algum dado esteja incorreto ou não compreendido, você receberá uma notificação da recusa do cadastro com as orientações de correção.
O mapa eduroam reconhece a alteração em até 24h após a alteração, acompanhe através dos seguintes endereços:
Os marcadores após cadastrados, poderão ser visualizados na aba "Lista de Marcadores", no qual poderão ser alterados ou removidos em caso de necessidade.
Acesso a ferramenta: .
Site:
Aplicativo:
A instituição, além da necessidade de já possuir uma infraestrutura de rede sem fio, precisa reservar uma máquina para instalação do servidor radius eduroam.
Sistema Operacional Ubuntu 22.04 LTS;
Arquitetura de 64 bits;
8GB de memória RAM;
4 CPUs;
1 Disco rígido de 200 GB;
1 Adaptador de rede pré-configurado para usar ip fixo (nat ou válido);
Saber o nome físico da placa de rede da vm, exemplo: ens160;
Ter certificado válido para o Freeradius;
Rodar apt update e apt upgrade na vm
Definir o DNS da maquina dentro da instituição, tem que ser o DNS direto e reverso. Exemplo DNS direto: eduroam.suainstituicao.edu.br apontando para o IP x.x.x.x Exemplo de DNS reverso. x.x.x.x apontando para eduroam.suainstituicao.edu.br
LDAP e/ou AD:
LDAP: Necessário que a pessoa que estiver instalando o IDP Eduroam dentro da instituição tenha em mãos: Todos os dados do LDAP caso a instituição utilize o LDAP para autenticar os usuários, inclusive dentro do schema do LDAP deve ter o campo sambaNTPassword.
AD: IP do servidor de AD. O servidor do Eduroam deve ser inserido no grupo de computadores do AD, para isso é necessário que você tenha um usuário com poder de inserir novas maquinas no domínio de seu AD.
A recomendação de 200 GB para o armazenamento, é devido a grande quantidade de logs que pode ser obtida ao longo do serviço. Desta forma, a manutenção de realocação dos logs não é feita com tanta frequência.
O servidor deve estar configurado com IP e com acesso a internet ;
Certifique que DNS foi configurado corretamente em sua nova máquina (normalmente fica em /etc/resolv.conf).
Para que a comunicação entre os servidores funcionem, necessário liberar a entrada e saída da porta TCP 2083 para os IPs 200.130.35.98 e 200.143.193.92;
Liberar também o PING (ICMP).
IP's: rps01.eduroam.org.br (200.130.35.98) rps02.eduroam.org.br (200.143.193.92)
Porta: TCP 2083
As instituições que utilizam o OpenLDAP como diretório de autenticação de seus usuários e precisam autenticar usuários que utilizam o sistema operacional Microsoft Windows devem observar as seguintes informações:
O OpenLDAP não suporta nativamente a autenticação de clientes Microsoft Windows que utilizam o protocolo MS-CHAP (Microsoft Challenge-Handshake Authentication Protocol). Para suportar a autenticação de usuários que utilizam o sistema operacional Microsoft Windows, é necessário no OpenLDAP adicionar o atributo SambaNTPassword disponível no schema samba.
Resposta esperada: PING rps01.eduroam.org.br (200.130.35.98) 56(84) bytes of data. 64 bytes from 200.130.35.98: icmp_req=1 ttl=64 time=0.059 ms 64 bytes from 200.130.35.98: icmp_req=2 ttl=64 time=0.029 ms 64 bytes from 200.130.35.98: icmp_req=3 ttl=64 time=0.035 ms --- 200.130.35.98 ping statistics --- 3 packets transmitted, 3 received, 0% packet loss, time 1998ms rtt min/avg/max/mdev = 0.029/0.041/0.059/0.013 ms
Os testes utilizam os nossos servidores rps01 e rps02, com isso utilize os comandos abaixo a partir de seu novo servidor eduroam que você está instalando agora.
Resposta esperada: PING 200.130.35.98 (200.130.35.98) 56(84) bytes of data. 64 bytes from 200.130.35.98: icmp_req=1 ttl=64 time=0.059 ms 64 bytes from 200.130.35.98: icmp_req=2 ttl=64 time=0.029 ms 64 bytes from 200.130.35.98: icmp_req=3 ttl=64 time=0.035 ms --- 200.130.35.98 ping statistics --- 3 packets transmitted, 3 received, 0% packet loss, time 1998ms rtt min/avg/max/mdev = 0.029/0.041/0.059/0.013 ms
Resposta esperada: PING 200.143.193.92 (200.143.193.92) 56(84) bytes of data. 64 bytes from 200.143.193.92: icmp_req=1 ttl=57 time=20.3 ms 64 bytes from 200.143.193.92: icmp_req=2 ttl=57 time=20.4 ms 64 bytes from 200.143.193.92: icmp_req=3 ttl=57 time=19.9 ms --- 200.143.193.92 ping statistics --- 3 packets transmitted, 3 received, 0% packet loss, time 2001ms rtt min/avg/max/mdev = 19.938/20.229/20.421/0.266 ms
Atenção: Para que os usuários do serviço tenham melhor usabilidade e transparência na autenticação ao visitar outros pontos de acesso do serviço, o SSID deve seguir o padrão de escrita com letras minúsculas (eduroam).
Devido a grande quantidade de fornecedores de equipamentos de rede, a RNP não fornece suporte nesse item, o procedimento abaixo serve apenas como motivador, devendo ser seguido o manual específico do fabricante.
O CAT eduroam (Configuration Assistant Tool) permite que as instituições criem instaladores personalizados que auxilia o usuário na autenticação, trazendo maior usabilidade e possibilitando maior segurança no processo de autenticação.
O administrador do CAT pode gerar um instalador do serviço e disponibilizar para os seus usuários, com o CAT o usuário tem a certeza de que ele está acessando uma rede genuína, sem a necessidade de incluir login e senha ao se conectar.
Se a sua instituição não está listada, entre em contato com o administrador do eduroam local.
Solicite ao atendimento da RNP o acesso CAT eduroam, em seguida você receberá um e-mail/ convite, conforme abaixo:
O convite é valido por 24h, é importante que aceite o convite assim que identificar o recebimento do e-mail.
Na tela a seguir selecione a sua instituição.
A busca pode não funcionar corretamente se a página não carregar toda a listagem. Uma alternativa, é descer ao final da página com a tecla "End" e utilizar o localizador do navegador ctrl + F, e efetuar a busca pela instituição.
Finalize o login inserindo os seus dados de acesso federado (CAFe).
Após finalizar o login, selecione a sua instituição.
Na tela a seguir selecione "Adicionar uma nova opção"
Em seguida, preencha o formulário com as informações disponíveis para a sua instituição.
Insira a localização da sua instituição
Caso a sua instituição possua propriedades de mídia, você pode inseri-las no próximo passo.
Adicione as informações de suporte da sua instituição.
O sistema vai checar as informações inseridas, caso esteja tudo certo, basta "continuar para as definições do perfil RADIUS/EAP".
Nas propriedades gerais do perfil, insira as informações de acordo com a sua instituição.
Selecione os tipos EAP suportados, clicando e arrastando-os para o quadrado verde.
Insira os arquivos dos certificados CA da sua instituição e as informações de CN e URL.
Obs: A URL do Certificado CA não é obrigatória.
Se tiver mais de um certificado CA, insira todos, como na figura abaixo.
O certificado CA a ser inserido é o rnp-ca.crt, caso a instituição esteja utilizando o certificado auto-assinado disponibilizado durante a adesão. Caso a instituição utilize um certificado de outra certificadora, como ICPEdu, GlobalSing, CertSing ou Let's Encrypt, por exemplo, será necessário a adição do certificado raiz destas emissoras e seus intermediários caso possuam
Obs²: Não recomendamos a utilização de um certificado wildcard, pois algumas versões do IOS, Windows 8 e 8.1 podem não reconhecer o certificado como confiável.
Clique em “Guardar informação” na página de verificação, se estiver tudo “OK”, clique em “Avançar para Dashboard”.
A página principal deve estar como nas duas imagens abaixo, após todas as configurações.
Para verificar como instalar o CAT nos dispositivos, verifique a página abaixo.
Atenção: Para que os usuários do serviço tenham melhor usabilidade e transparência na autenticação ao visitar outros pontos de acesso do serviço, o SSID deve seguir o padrão de escrita com letras minúsculas (eduroam).
Acesse a Wiki disponibilizada pela Geant: https://wiki.geant.org/pages/viewpage.action?pageId=121346259#Howtodeployeduroamonsiteoroncampus(ADVANCED)-ObligationsofeduroamSPs
Atenção: Para que os usuários do serviço tenham melhor usabilidade e transparência na autenticação ao visitar outros pontos de acesso do serviço, o SSID deve seguir o padrão de escrita com letras minúsculas (eduroam).
Introdução
Este procedimento tem por objetivo exemplificar como realizar configuração nas controladoras Zone Director da Ruckus.
Pré-requisitos
Acesso administrativo a console web da controladora Zone Director;
Acesso as chaves configuradas no servidor Radius habilitando acesso a controladora. Cada controladora possui sua própria chave de acesso.
Procedimento
1. Acessar a interface administrativa da controladora ruckus;
2. Acesse o menu Configure e selecione a aba "AAA Servers";
3. Adicione um novo servidor RADIUS com um clique no botão "Create New";
4. Preencha os campos conforme figura abaixo. É necessário ter em mãos a chave de acesso do cliente que está sendo configurado;
5. Dê um clique com o botão "OK" para salvar as configurações.
8. Expanda a opção "Advanced Options";
9. Em "Accounting Server" selecione "eduroam-accounting";
10. Deixe a opção "Send Interim-Update every" com o padrão de 10 minutos;
11. Confirme a alteração com um clique no botão "OK";
Este procedimento tem por objetivo criar instrução de como configurar o FreeRadius para aceitar requisições de autenticação dos Access Points (AP). Não será abordado a configuração do AP em si, uma vez que existe uma gama muito grande de produtos com diversas formas de configuração.
O arquivo de configuração que contém as definições de clientes do FreeRadius é o "/etc/freeradius/clients.conf".
Cada cliente possui uma entrada neste arquivo com informações estruturadas em um bloco de configuração básica como este abaixo:
Exemplo:
Também é possível adicionar uma rede neste arquivo, conforme exemplo abaixo:
Acessar o servidor via ssh com credenciais que tenham permissão de root.
Editar o arquivo /etc/freeradius/clients.conf com seu editor de preferência e adicionar os clientes conforme exemplo dado no tópico de introdução.
Reiniciar o serviço do FreeRadius.
6. Acesse a aba "WLANs" no menu esquerdo;
7. Edite a WLAN "eduroam" com um clique no link "Edit";
Para configurar o servidor do eduroam na instituição para responder com um certificado válido é simples e não requer muitos passos de configuração.
É necessário ter um certificado válido Gerado pelo serviço ICPEdu ou caso a instituição tenha convênio com outra certificadora.
Siga o manual do certificado corporativo clicando aqui.
Crie a pasta onde os arquivos da ICPEdu GlobalSign ficarão armazenados
Entre na pasta
Salvar todos os arquivos gerados (e.g. *.crt, *.pem, *.key etc) na pasta padrão de certificados do Freeradius: /etc/freeradius/certs/icpedu
Configurando arquivos necessários no Freeradius
O único arquivo que deve ser alterado para conter o caminho do certificado válido é o eap
Localização do arquivo
Editando o arquivo
Alterando conteúdo para indicar o novo certificado (válido)
Altere os campos indicados abaixo para suportar a validação do certificado
Os parâmetros acima normalmente não existem no arquivo final do EAP, porém, caso existam, favor comentar conforme a imagem.
Reinicie o serviço
Esqueça a rede Eduroam nos dispositivos dos clientes e teste a autenticação nos dispositivos.
As orientações abaixo informam como criar um SSID do eduroam em uma antena Aruba.
Atenção: Para que os usuários do serviço tenham melhor usabilidade e transparência na autenticação ao visitar outros pontos de acesso do serviço, o SSID deve seguir o padrão de escrita com letras minúsculas (eduroam).
Devido a grande quantidade de fornecedores de equipamentos de rede, a RNP não fornece suporte nesse item, o procedimento abaixo serve apenas como motivador, devendo ser seguido o manual específico do fabricante.
1.Ligue a fonte de alimentação na antena
2. Conecte o cabo de rede na porta Ethernet
Não será preciso atribuir endereço IP na interface Ethernet, porém só haverá broadcast do SSID "instant" se a porta Ethernet estiver com link.
3. Conecte no SSID "instant"
4. Abra o Prompt de comando (CMD) e digite o comando:
5. Localize o Gateway Padrão, por exemplo:
6. Acesse a interface web com o endereço IP no navagedor;
7. Selecione o Country Code e clique em "Ok":
8. Atribua um nome para a antena e endereço IP. Clique no Acess point em seguida em "edit". Lembrando que a configurão de endereço IP varia de acordo com o padrão de cada PoP.
9. Clique em "System", informe o endereço do servidor NTP:
10. Para criar o SSID, clique em "New", em "Name (SSID):, preenche com o nome "eduroam", em seguida "Next" ;
11. As configurações serão mantidas, clique em "Next";
12. Modifique o Secure Mode para "Enterprise", Key Management "WPA-2 Enterprise", em seguida em Authentication server1, clique em "New";
13. Insira as informações, clique em "OK":
14. Após preencher os campos para o Servidor Radius, clique em "Next";
15. Mantenha as configurações, clique em "Next";
Configuração concluída.
Neste tópico será mostrado a instalação do Freeradius 3.x numa máquina com o sistema operacional Ubuntu Server 20.04 LTS amd64
Caso você queira instalar o novo servidor IdP Eduroam manualmente, você pode seguir o passo a passo deste manual.
Link para baixar a distribuição do Ubuntu Server 20.04 LTS amd64: https://mirror.uepg.br/ubuntu-releases/20.04.4/ubuntu-20.04.4-live-server-amd64.iso http://mirror.pop-sc.rnp.br/ubuntu-releases/focal/ubuntu-20.04.4-live-server-amd64.iso https://ubuntu.com/download/server
Detalhes técnicos da máquina virtual a ser criada: 8 GB RAM 2 vCPUs 200 GB de espaço em disco 1 placa de rede
Utilize o comando abaixo para obter privilégios de super usuário (root)
sudo su -
Após a instalação da máquina virtual acima vamos configurar o IP fixo. Edite o arquivo /etc/netplan/00-installer-config.yaml Segue abaixo exemplo do conteúdo do arquivo:
vim /etc/netplan/00-installer-config.yaml
This is the network config written by 'subiquity'
network:
version: 2
renderer: networkd
ethernets:
ens160:
addresses: [
200.133.240.72/24
]
gateway4:
200.133.240.1
nameservers:
addresses:
- 200.133.241.164
Se for usar AD para autenticar seus usuários então utilize o IP do seu servidor AD
- 200.133.241.165
Se for usar AD para autenticar seus usuários então utilize o IP do seu servidor AD
search: [
RNP.LOCAL
] Se for usar AD, utilize o nome do dominio interno do seu AD
Se for utilizar o AD para autenticar seus usuários, então você deve informar no campo nameservers address o IP de seus ADs que estão na mesma rede ou mais próximos. Estamos levando em consideração que o servidor de DNS de seus ADs estão rodando na mesma máquina que roda o AD, por isso que estamos utilizando o mesmo IP. Existem instituições que rodam o DNS do AD em outros servidodres, o que você precisa fazer é informar os IPs dos servidores de DNS dos ADs. Eu não utilizo AD apenas LDAP, qual IP de DNS devo utilizar? Neste caso você pode utilizar o seu servidor de DNS público, basta apenas informar os IPs.
Após gravar as modificações no arquivo acima precisamos executar o comando abaixo para que surta efeito no sistema operacional:
netplan apply
Verificando se IP configurado anteriormente subiu corretamente, digite o comando abaixo:
ip a
Será exibido a configuração da placa de rede:
Podemos ver que a placa de rede ens160 está configurada com o IP 200.130.35.91 e mascara de rede 255.255.255.0 que equivale a 200.130.35.91/24 como mostrado no resultado do comando acima. Lembrando que para configurar a placa de rede basta editar o arquivo /etc/netplan/00-installer-config.yaml e após a alteração executar o comando netplan apply e para ver se as alterações foram aplicadas vamos executar novamente o comando ip a como mostrado no exemplo acima.
Verificando os IPs do DNS Servers e DNS Domain com o comando:
systemd-resolve --status
A linha 1 exibe Link 2 (ens160) significa que as linhas a seguir referem-se as configurações da placa de rede ens160
As linhas 9 e 10 referem-se ao DNS que está sendo utilizado. DNS Servers: 200.133.241.164 200.133.241.165 Lembrando mais uma vez que se você estiver utilizando o AD para autenticar os usuários no IdP Eduroam, estes IPs devem ser de seu AD e não do seu servidor de DNS público. Se estiver utilizando somente o servidor LDAP de sua instituição então você pode utilizar os IPs de seu DNS público.
A linha 11: DNS Domain: RNP.LOCAL refere-se a qual domínio estamos utilizando em nosso DNS. Esta linha exibe a configuração do domínio que você está utilizando. Para dominios internos utilizando o AD normalmente é instituição.local, mas tem instituições fora do padrão pois criaram no AD o dominio externo. O padrão recomendado no material da Microsoft é sempre criar para dominios de autenticação de usuários internos o nome da empresa-instituição.LOCAL. Exemplos de nomes de dominios internos do AD utilizados em instituições usuárias do IdP Eduroam: RNP.LOCAL INSTITUICAO-A.LOCAL INSTITUICAO-B.EDU.BR INSTITUICAO-C.GOV.BR INSTITUICAO-D.BR
Vamos utilizar o comando ip route conforme exemplo abaixo:
ip route
default via
200.133.240.1
dev ens160 proto static 200.133.240.0/24 dev ens160 proto kernel scope link src 200.133.240.72
Podemos ver acima que o nosso default gateway está apontando para o IP 200.133.240.1 conforme configurado dentro do arquivo /etc/netplan/00-installer-config.yaml
Precisamos testar a conexão com o default gateway, com o seguinte comando, exemplo:
ping IP-DO-SEU-GATEWAY-EXIBIDO-ACIMA exemplo: ping 200.133.240.1
Caso ocorra algum problema será necessário verificar se o endereço IP/Mascara/Gateway definidos em sua máquina estão corretos.
Vamos utilizar o comando ping conforme exemplo abaixo:
ping 8.8.8.8
ping 200.133.241.164
ping 200.133.241.165
Caso ocorram problemas no comando acima, será necessário verificar no firewall da instituição se a saída da máquina está liberada para a internet
Agora precisamos verificar se sua máquina está resolvendo nomes internos e externos.
Se você utiliza AD o primeiro passo é verificar se está resolvendo o nome do dominio interno, exemplo:
ping rnp.local
ping seu-dominio.interno
Verificando a resolução de nomes para dominios externos:
ping www.google.com
ping archive.ubuntu.com
ping rps01.eduroam.org.br
ping rps02.eduroam.org.br
Verificando o nome de sua maquina, para isso podemos utilizar os seguintes comandos:
hostname
cat /etc/hostname
hostnamectl
Lembrando que se você utiliza AD é necessário que sua máquina esteja dentro do dominio interno de seu AD, exemplos:
prometheus.rnp.local
Se não utilizar AD então sua maquina pode utilizar dominio externo, exemplo:
prometheus.rnp.br
Como alterar o nome do servidor permanentemente:
voce pode editar o arquivo:
vim /etc/hostname
ou alterar o nome utilizando o comando:
hostnamectl set-hostname
prometheus.rnp.br
E para ver se o nome foi alterado com sucesso, vamos utilizar novamente um dos comandos abaixo:
hostnamectl
hostname
cat /etc/hostname
Os pacotes podem variar de acordo com o tipo de autenticação, se for autenticação via LDAP é um pacote, se a autenticação for via AD são outros pacotes, algumas instituições realizam a autenticação via LDAP e via AD, neste caso instalamos todos os pacotes.
Vamos acrescentar o repositório do Freeradius ao repositório do Ubuntu utilizando os comandos abaixo:
echo "deb [arch=amd64] http://packages.networkradius.com/releases/ubuntu-`lsb_release -s -c` `lsb_release -s -c` main" | tee /etc/apt/sources.list.d/networkradius.list > /dev/null
curl -s 'https://packages.networkradius.com/pgp/packages%40networkradius.com' | tee /etc/apt/trusted.gpg.d/packages.networkradius.com.asc > /dev/null
apt-key adv --keyserver hkp://keys.gnupg.net:80 --recv-key 0x41382202
apt-key adv --keyserver hkp://209.244.105.201:80 --recv-key 0x41382202
apt-key adv --keyserver hkp://192.146.137.140:80 --recv-key 0x41382202
apt-key adv --keyserver hkp://192.146.137.141:80 --recv-key 0x41382202
Execute o comando:
apt update
Ressaltando que a instalaçao do Freeradius neste manual é realizado com o Ubuntu 20.04 LTS.
apt -y update && apt list --upgradable && apt -y upgrade && apt install -y ssl-cert freeradius freeradius-utils freeradius-config freeradius-common freeradius-ldap freeradius-mysql freeradius-postgresql freeradius-krb5 snmp glibc-doc libclone-perl libmldbm-perl libnet-daemon-perl libsql-statement-perl make-doc libfreeradius3 libpython2.7 libpython2.7-minimal libpython2.7-stdlib libtalloc2 libwbclient0 libclone-perl libmldbm-perl libnet-daemon-perl libsql-statement-perl make make-doc libmysqlclient21 libpq5 mysql-common nmap dialog cryptsetup ldap-utils ntpdate ntpstat systemd-timesyncd net-tools traceroute lynx whois dialog
Você deve instalar os pacotes mencionados acima e os pacotes adicionais abaixo para utilizar o AD para autenticar seus usuários em sua instituição. Segue abaixo o comando utilizado:
apt -y update && apt list --upgradable && apt -y upgrade && apt install -y krb5-user libpam-krb5 krb5-config libkrb5-3 libkadm5clnt-mit11 winbind systemd-timesyncd ntpdate samba samba-common samba-common-bin samba-dsdb-modules samba-libs samba-vfs-modules cifs-utils smbclient
Podemos utilizar um dos comandos abaixo:
systemctl status freeradius
ou
/etc/init.d/freeradius status
ou
service freeradius status
resultado esperado:
Caso ocorra algum problema com o Freeradius será necessário verificar a seção de Troubleshooting.
Crie uma pasta com o nome rnp dentro do diretório root, segue o comando a ser utilizado:
mkdir /root/rnp
cd /root/rnp
Copie os arquivos que você recebeu via email da RNP para dentro da pasta /root/rnp
Para realizar esta cópia você pode utilizar por exemplo o software WinSCP encontrado no site https://sourceforge.net/projects/winscp/
Descompacte o arquivo recebido dentro da pasta /root/rnp
tar xzvf eduroam01.sua-instituicao.edu.br.tar.gz
Liste os arquivos que foram descompactados com o comando abaixo:
ls -lart
Veja exemplo do resultado esperado:
-rw-r--r-- 1 root root 455 Mar 28 2020 atualiza_configura_idp_eduroam.bash
-rw-r--r-- 1 root root 1330 Mar 9 08:22 rnp-ca.crt
-rw-r--r-- 1 root root 4691 Mar 9 08:22 radsec
-rw-r--r-- 1 root root 2532 Mar 9 08:22 proxy.conf
-rw-r--r-- 1 root root 1103 Mar 9 08:22 inner-tunnel
-rw-r--r-- 1 root root 1704 Mar 9 08:22 eduroam01.sua-instituicao.edu.br.key
-rw-r--r-- 1 root root 4208 Mar 9 08:22 eduroam01.sua-instituicao.edu.br.crt
-rw-r--r-- 1 root root 31393 Mar 9 08:22 eap
-rw-r--r-- 1 root root 1306 Mar 9 08:22 default
-rw-r--r-- 1 root root 1453 Mar 9 08:22 clients.conf
Onde está eduroam01.sua-instituicao.edu.br
será substituido pelo nome do seu servidor e sua instituição.
Abaixo os comados para criar o diretorio para armazenar o backup dos arquivos originais do freeradius, e em seguida realizamos a cópia destes arquivos para dentro do diretorio /root/rnp/backup
mkdir /root/rnp/backup
cp /etc/freeradius/{clients.conf,radiusd.conf,proxy.conf,mods-config/files/authorize,mods-enabled/{eap,mschap,ntlm_auth},mods-available/ldap,sites-available/{default,inner-tunnel}} /etc/ssl/openssl.cnf /etc/hosts /etc/resolv.conf /root/rnp/backup/
Agora vamos substituir os arquivos originais do Freeradius pelos arquivos recebidos da RNP.
Estes arquivos possuem as configurações necessárias para que o seu servidor conecte com as máquinas da nossa federação.
Criar o diretorio /etc/freeradius/certs/radsec, neste diretório vamos copiar os arquivos de certificados gerados pela RNP para realizar a conexão com os servidores da federação.
total 24
drwxr-s--x 3 freerad freerad 4096 Mar 9 12:51 ..
-rw-r--r-- 1 root freerad 1330 Mar 9 12:51 rnp-ca.crt
-rw-r--r-- 1 root freerad 1704 Mar 9 12:51 eduroam01.sua-instituicao.edu.br.key
-rw-r--r-- 1 root freerad 4208 Mar 9 12:51 eduroam01.sua-instituicao.edu.br.crt
drwxr-sr-x 2 root freerad 4096 Mar 9 12:51 .
Copiar os demais arquivos de configuração do Freeradius
Após a realização de todo procedimento acima devemos executar o comando freeradius -CX para verificar se há algum problema.
freeradius -CX
Se tudo ocorreu bem até o momento, a ultima linha do resultado deste comando deve ser:
Configuration appears to be OK
Neste item vamos analisar os arquivos de configurações que foram gerados pela RNP.
Estes arquivos gerados foram copiados para dentro de vários diretórios do Freeradius como executamos no item anterior.