Difference between revisions of "Eduroam Admin"

From NMS
Jump to: navigation, search
(Konfigurace OpenWRT Kamikaze 7.09)
(ASUS wl500g)
Line 173: Line 173:
 
==ASUS wl500g==
 
==ASUS wl500g==
  
Neumí pracovat s VLAN, takže do něj bude dotažená jen netagovaná VLAN 11 (tj. i lokální uživatelě, kteří z něj používají switch, se nebudou muset registrovat a budou dostávat IP adresy z rozsahu 147.32.11.0/24)
+
Lze konfigurovat VLANy zvlášť pro LAN (eth0) a WAN (eth1), ale neumí vytvářet různé VLANy pro jednotlivé porty na interním switch tj. na LAN1-LAN4.
 
+
'''Update:''' podle Z.K. umí VLANy
+
  
 
===Upgrade===
 
===Upgrade===

Revision as of 03:03, 15 November 2007

Stránka pro administrátory a správce sítě na FJFI. Základní informace lze nalézt na FJFI stránkách Eduroamu.

Konfigurace RADIUS serverů

Základní informace lze nalézt na oficiálních stránkách českéhé Eduroamu. Konfigurace je prakticky totožná s uvedenou až na drobné úpravy na základě informací z eduroam-admin konference. Konfigurace by měla být v souladu s Českou eduroam politikou.

Uživatelské účty jsou/budou ve Windows AD, která obsahuje účty všech studentů/zaměstnanců/spolupracovníků FJFI (včetně klientů Terezy). Pro účely Eduroamu bylo rozšířeno schema AD o několik atributů:

Atributy Eduroam Schematu
atribut typ účel
fnspeEduroamPassword Octet String heslo pro přístup do Eduroam
fnspeEduroamDisabled Boolean Eduroam účet zablokován/povolen
fnspeEduroamLocal Boolean přístup jen v rámci fjfi.cvut.cz realm
fnspeEduroamExpire Interval datum expirace Eduroam účtu

Při úspěšné autentizaci uživatele je pomocí samostatného skriptu uložena do databáze síťových zařízení registrovaných na FJFI informace o uživatelském jméně a MAC adrese autentizovaného zařízení.


Rozmístění AP

Na následujících plánech je rozmístění AP pro plné pokrytí FJFI WiFi signálem. Součástí jsou i informace o použitých kanálech (pouze 2.4GHz pásmo) a antenách.

Břehovka

http://kmlinux.fjfi.cvut.cz/~vokac/activities/2007/wifi-plan/brehovka-final/

Trojanka

http://kmlinux.fjfi.cvut.cz/~vokac/activities/2007/wifi-plan/trojanka-final/

Konfigurace AP/sítě

V Trojance eduroam (po)běží na odděleném segmentu 147.32.11.0/24 na samostatné VLAN 11. Z technických důvodů je totiž potřeba oddělit autentizovaný přístup od běžného anonymního přístupu. Vzhledem k tomu, že po přihlášení uživatele do Eduroamu je automaticky uložena jeho identita, není potřeba dále požadovat po uživateli povinnou registraci síťového zařízení.


ASUS wl500g Deluxe

Instalace OpenWRT Whiterussian 0.9

Měl by umožňovat práci s VLAN (minimálně 1-16), ale je ptřebo to ještě otestovat. Pro OpenWRT whiterussian 0.9 se jedná o následující nastavení nvram

ifup_interfaces=lan wifi
lan_dns=147.32.9.4 147.32.1.20
lan_gateway=172.16.1.1
lan_ifname=vlan0
lan_ifnames=vlan0
lan_ipaddr=172.16.1.150
lan_netmask=255.255.255.0
lan_proto=static
vlan0hwname=et0
vlan0ports=0 1 2 3 4 5*
vlan11hwname=et0
vlan11ports=0t 5
wifi_ifname=br0
wifi_ifnames=vlan11 eth1
wifi_ipaddr=147.32.11.5
wifi_netmask=255.255.255.0
wifi_proto=static

Ke konfiguarci RADIUSu lze využí web rozhraní nebo se da přímo zapsat do nvram

wl0_radius_ipaddr=147.32.9.3
#wl0_radius_ipaddr=147.32.5.45
wl0_radius_key=secret_z_konfigurace_freeradiusu
wl0_radius_port=1812
  • jaké IP pro LAN x WIFI rozhraní pro komunikaci s RADIUS serverem?
  • při startu se v této verzi OpenWRT automaticky doplní další (nevhodné) konfigurace
  • při problémech s flashováním firmware je dobré vyzkoušet flashování následujících firmware
    • wl500g-clear-nvram.trx
    • wl500g-recover.trx
    • openwrt-brcm-2.4-jffs2-4MB.trx
    • v případě, že problémy přetrvají je možné ještě vyzkoušet oficiální firmware - WL500gx_1.9.6.0_EN.trx
    • pro vyčístění nvram se dá použít mtd -r nvram erase
    • pro upgrade by mělo fungovat mtd -r write /tmp/image.trx linux


Instalace OpenWRT Kamikaze 7.09

Z neznámého důvodu mi na OpenWRT Kamikaze nechodí WPA2, takže zatím používám v konfiguracích jen WPA. Narozdíl od Whiterussian (poslední verze 0.9) tato nová verze OpenWRT netrpí problémy s multicastem (když se v síti objevil multicast přesno, tak Whiterussian přestával být dostupný přes IP, což mělo za následek výpadky komunikace s RADIUS servery).

ssh open.wrt.device.ip
cd /tmp
wget http://downloads.openwrt.org/kamikaze/7.09/brcm-2.4/openwrt-brcm-2.4-squashfs.trx
mtd -r write /tmp/openwrt-brcm-2.4-squashfs.trx linux
# reboot
telnet 192.168.1.1
passwd
ipkg remove dnsmasq
#/etc/init.d/dnsmasq disable     # if you don't want to remove dnsmasq package
#/etc/init.d/firewall disable    # required(?) for VLAN/bridges for wl500g
cd /etc/config
vim network # change IP address and add "gateway" and "dns"
# reboot
ssh open.wrt.device.ip
ipkg update
ipkg install wlc wl snmpd matrixtunnel nas ntpclient zlib
ipkg install http://downloads.x-wrt.org/xwrt/kamikaze/7.09/brcm-2.4/webif_latest.ipk
ipkg install libopenssl openssl-util # tohle je při instalaci webif v konfliktu

Konfigurace

  • /etc/config/network
#### VLAN configuration 
config switch eth0
       option vlan0    "0 1 2 3 4 5*"
       option vlan11   "0t 5"
       option vlan12   "0t 5"

#### Loopback configuration
config interface loopback
       option ifname   "lo"
       option proto    static
       option ipaddr   127.0.0.1
       option netmask  255.0.0.0

#### LAN configuration
config interface lan
       option type     bridge
       option ifname   "eth0.0"
       option proto    static
       option ipaddr   147.32.7.x
       option netmask  255.255.254.0
       option gateway  147.32.6.1
       option dns "147.32.9.4 147.32.1.20"

#### Eduroam VLAN configuration
config interface lan11
       option type     bridge
       option ifname   "eth0.11"
       option proto    none

#### WiFiFJFI VLAN configuration
config interface lan12
       option type     bridge
       option ifname   "eth0.12"
       option proto    none
  • /etc/config/wireless
#### global AP configuration
config wifi-device  wl0
       option type     broadcom
       option channel  4

#### SSID Eduroam configuration (only first SSID is broadcasted)
#config wifi-iface
#      option device   wl0
#      option network  lan11
#      option mode     ap
#      option ssid     eduroam
#      option encryption wpa
#      option key "secret_z_konfigurace_freeradiusu"
#      option server 147.32.9.3
#      option port 1812

#### SSID WiFiFJFI configuration (only first SSID is broadcasted)
config wifi-iface
        option device   wl0
        option network  lan12
        option mode     ap
        option ssid     wififjfi
        option encryption none

ASUS wl500g

Lze konfigurovat VLANy zvlášť pro LAN (eth0) a WAN (eth1), ale neumí vytvářet různé VLANy pro jednotlivé porty na interním switch tj. na LAN1-LAN4.

Upgrade

V restrore módu si načte IP z nvram narozdíl od wl500gx, takže nemusí mít nutně adresu 192.168.1.1. K resetu na "defaultní" hodnoty by měl asi sloužit firmware wl500g-clear-nvram.trx:

# tftp 192.168.1.1
tftp> binary
tftp> trace
tftp> get ASUSSPACELINKx01\x01\xa8\xc0 /dev/null

# tftp 192.168.1.1
tftp> binary
tftp> trace
tftp> put openwrt.trx ASUSSPACELINK

nebo také (tohle mi posledně nějak nezafungovalo):

mtd -r write /tmp/image.trx linux

POZOR: při současné konfiguraci nelze provádět upgrade remote. Uplink je totiž ve WAN portu, který bude po upgrade v defaultní konfiguraci nedostupný.

Instalace OpenWRT Kamikaze 7.09

Instalace se neliší od Asus wl500g Deluxe, jen je potřeba vypnout firewall (možná?).

/etc/init.d/firewall disable

Konfigurace OpenWRT Kamikaze 7.09

Vzhledem k neexistující podpoře VLAN na interním switch se musí konfigurovat odlišným způsobem než Deluxe verze. Nejprve je dobré udělat bridge přes všechny porty, aby WAN i LAN byly na default VLAN ve své funkci ekvivalentní. Pak je potřeba vytvořit VLAN pro wifi síť a přibrigovat k ní wl0.

  • /etc/config/wireless
config wifi-device  wl0
       option type     broadcom
       option channel  4
       # REMOVE THIS LINE TO ENABLE WIFI:
       #option disabled 1

config wifi-iface
       option device   wl0
       option network  wifi
       option mode     ap
       option ssid     wififjfi
       option encryption none
  • /etc/config/network
#### VLAN configuration
config switch eth0
       option vlan0    "0 1 2 3 4 5*"
#      option vlan11   "0t 5"
#      option vlan12   "0t 5"

#### Loopback configuration
config interface loopback
       option ifname   "lo"
       option proto    static
       option ipaddr   127.0.0.1
       option netmask  255.0.0.0

#### LAN configuration
config interface lan
       option type     bridge
       option ifname   "eth0 eth1"
       option proto    static
       option ipaddr   147.32.6.82
       option netmask  255.255.254.0
       option gateway  147.32.6.1
       option dns      "147.32.9.4 147.32.1.20"

#### wififjfi configuration
config interface wifi
       option type     bridge
       option ifname   "br-lan.12"

#### VLAN wififjfi configuration
config interface lan12
       option ifname   "br-lan.12"

Planet WAP-4000

Chová se nějak divně (nestabilně, klienty sice ověří - v log souborech je OK - ale některé nepustí dál) - nutné odzkoušet a asi půjde pryč... Nemá vůbec potuchy o VLAN, takže se k němu musí dotáhnout netagovaná VLAN 11

Planet WDAP-2000PE

Při nastaveném WPA zabezpečení mají někteří klienti problém s komunikací (nepomohl ani upgrade na nejnovější firmware). Open a WEP zabezpečení fuguje i s ověřováním přes RADIUS bezproblémů, ale je nepoužitelné vzhledem k požadavku odlišné konfigurace klienta.

MikroTik Routerboard

Bezprobémové nastavení VLAN, více SSID, různé zabezpečení, více radius serverů, ...

Bohužel na notebooku s wireless kartou BCM4306 nechodí proti tomuto AP TKIP zabezpečení, ale jen CCMP (vyzkoušeny dvě "různé" mini-PCI karty na AP - R52, CM10). Zatím bylo AP překonfigurovano tak, aby vůbec neinzerovalo podporu TKIP.

CISCO Aironet 1242

Bezproblémové nastavení

  • nelze definovat více SSID pro jednu VLAN (každé musí být ve vlastní VLAN)
  • IP adresu získávají od DHCP (zatím)
ssh admin@ap-tjn-xxx.fjfi.cvut.cz
copy scp://user@server.fjfi.cvut.cz//home/user/config.txt startup-config
reload