Конфигурирование WPA2-Enterprise с Freeradius

Я пытаюсь настроить аутентифицированную сеть Wi-Fi с Freeradius. Мне удалось заставить вещи работать, используя самоподписанные сертификаты и т. Д.

Проблема заключается в том, что клиентам Windows необходимо снять флажок « Автоматически использовать имя и пароль для входа в Windows [и т. Д.]» В настройках MSCHAPv2. Когда я подключаюсь к Eduroam в свой местный университет, он автоматически запрашивает имя пользователя и пароль вместо отправки учетных данных Windows. Как сисадминам это удалось? Это какой-то RADIUS-атрибут, который отправляется обратно?

— Винсент О.
источник

Вы пробовали по электронной почте администраторы Eduroam вашего университета?

— Майкл

Я написал своему национальному администратору eduroam по электронной почте, пока ответа нет.

— Винсент О.

Может случиться так, что когда отправляются начальные учетные данные, RADIUS откатывает Access-Reject, поэтому Windows решает предложить пользователю вместо повторной отправки других учетных данных. Вы используете SecureW2 или что-то еще?

— Майкл

-edit- Теперь это снова сломано. Я использую родной соискатель Win7. Как мне отправить обратно Access-Reject? Могу ли я использовать для этого запись DEFAULT в файле конфигурации пользователя, и если да, то как?

— Винсент О.

Каждое руководство, которое я видел для Eduroam, требует, чтобы вы вносили такие же изменения в профиль конфигурации для Eduroam.

— Занчей

Это скорее ответ на комментарии, чем на вопрос, но я поставил его здесь, чтобы я мог отформатировать его:

Вы можете использовать запись DEFAULT в файле пользователей вместе с группой поиска, чтобы сопоставлять пользователей на основе предоставленного имени пользователя.

Первым шагом было бы запустить radiusd в режиме отладки radiusd -Xи зафиксировать формат, в котором вводится имя пользователя, как при аутентификации вошедшего в систему пользователя, iirc это что-то вроде / hostname $ / account.

Затем вы можете указать группу поиска, $raddbdir/huntgroupsиспользуя регулярное выражение:

badusers User-Name =~ ^aregex.*$

Затем добавьте группу поиска к правилу с типом возврата «отказ в доступе» в usersфайле.

DEFAULT Huntgroup-Name == badusers, Auth-Type := Reject

Будет ли это заставлять Windows запрашивать имя пользователя и пароль, зависит от вашего NAS и соискателя Windows WPA.

— Джеймс Йель
источник