Attachment #9317 for bug #34574

View | Details | Raw Unified | Return to bug 34574
Collapse All | Expand All





	</section>

  </section>

	<section id="ip-config:radius">
		<title>RADIUS</title>
		<para>
			Die RADIUS App erhöht die Sicherheit für mit UCS verwaltete IT-Infrastrukturen
			durch Zugangskontrollen zu WiFi-Netzen für Benutzer, Gruppen und Endgeräte
			über das <ulink
			url="https://de.wikipedia.org/wiki/Remote_Authentication_Dial-In_User_Service">RADIUS
			Protokoll</ulink>. Die Konfiguration erfolgt über Blacklisten und Whitelisten
			direkt am Benutzer-, Gruppen- oder Endgeräte-Objekt im UCS-Managementsystem.
			Registrierte Benutzer authentisieren sich mit ihrem üblichen Domänenpasswort,
			so dass unter anderem "Bring Your Own Device"-Konzepte ermöglicht
			werden.
		</para>
		<section id="ip-config:radius:installation">
			<title>Installation</title>
			<para>
				RADIUS steht über das App Center (siehe <xref linkend="software:appcenter"/>)
				zur Verfügung und kann über das entsprechende &ucsUMC;-Modul <guimenu>App Center</guimenu>
				installiert werden. Die App kann auf mehreren Systemen installiert werden. Nach
				der Installation startet die App einen <ulink
				url="http://freeradius.org/">FreeRADIUS</ulink>-Server. Clients (z.B. Access
				Points) können den Server via RADIUS kontaktieren und Netzwerkzugangsanfragen
				prüfen.
			</para>
			<para>
				Die RADIUS-App kann auch auf &ucsUAS;-Systemen installiert werden. In diesem
				Fall kann der Netzwerkzugang unabhängig von Internetregeln oder
				Computerraum-Einstellungen für Benutzer und Gruppen geregelt werden.
			</para>
		</section>
		<section id="ip-config:radius:configuration">
			<title>Konfiguration</title>
			<section id="ip-config:radius:configuration:allowed-users">
				<title>Erlaubte Benutzer</title>
				<para>
					Standardmäßig wird keinem Benutzer der Zugang zum Netzwerk gewährt. Indem die Checkbox für
					<guimenu>Netzwerkzugriff erlaubt</guimenu> im Reiter <guimenu>RADIUS</guimenu>
					aktiviert wird, erhält der Benutzer Zugriff auf das Netzwerk. Die Checkbox kann
					auch für Gruppen gesetzt werden, so dass alle Benutzer in der Gruppe Zugang
					erlangen.
				</para>
				<para>
					<figure id="ip-config:radius:group">
						<title>Beispiel für eine Gruppe, die ihren Benutzern Zugang gewährt</title>
						<graphic fileref="illustrations42/radius-group-allow-network_DE.png" scalefit="1" width="100%"/>
					</figure>

					den Befehl <command>makepasswd</command>.) Der <literal>shortname</literal>
					kann frei gewählt werden. Beispiel für einen Eintrag für einen Access Point:
<programlisting>
client 192.168.100.101 {
	secret = a9RPAeVG
	shortname = AP01
}
</programlisting>
					Die Access Points müssen so konfiguriert sein, dass sie 802.1x ("WPA
					Enterprise") Authentisierung verwenden. Und die "RADIUS Server"-Adresse sollte
					auf die Adresse des Servers gesetzt sein, auf dem die RADIUS-App installiert
					ist. Das Passwort muss auf den Wert für <literal>secret</literal> aus dem
					Eintrag in der <filename>clients.conf</filename> gesetzt sein.
				</para>
			</section>
			<section id="ip-config:radius:configuration:clients">
				<title>Clients</title>
				<para>
					WiFi-Clients müssen so konfiguriert sein, dass sie <emphasis>WPA</emphasis> mit
					<emphasis>PEAP</emphasis> und <emphasis>MSCHAPv2</emphasis> für die
					Authentisierung verwenden.
				</para>
			</section>
		</section>
		<section id="ip-config:radius:debugging">
			<title>Fehlersuche</title>
			<para>
				Das Werkzeug <package>univention-radius-check-access</package> kann zur
				Untersuchung der aktuellen Zugangsregeln für einen bestimmten Benutzer und/oder
				eine MAC-Adresse verwendet werden. Es kann als Benutzer root auf dem Server
				ausgeführt werden, wo das Paket <package>univention-radius</package>
				installiert ist.
<programlisting language="sh">
root@master211:~# univention-radius-check-access --username=stefan
DENY 'uid=stefan,cn=users,dc=ucs,dc=local'
'uid=stefan,cn=users,dc=ucs,dc=local'
-> DENY 'cn=Domain Users,cn=groups,dc=ucs,dc=local'
-> 'cn=Domain Users,cn=groups,dc=ucs,dc=local'
-> -> DENY 'cn=Users,cn=Builtin,dc=ucs,dc=local'




		protocol</ulink>. The configuration is done via black and white lists and
		directly at user, group and endpoint device objects in the UCS management
		system. Registered users are authenticated with their usual domain credentials,
		which, among others, also allows bring your own device concepts.
	</para>
	  <section id="ip-config:radius:installation">
		  <title>Installation</title>
		  <para>
			RADIUS is available through the App Center (see <xref linkend="software:appcenter"/>)
			and can be installed using the corresponding &ucsUMC; module <guimenu>App Center</guimenu>. It can be
			installed on multiple machines. After the installation it runs a <ulink
			url="http://freeradius.org/">FreeRADIUS</ulink> server. Clients (e.g.  access
			points) can contact via RADIUS to check network access requests.
		  </para>
		  <para>
			The RADIUS app can also be installed on &ucsUAS; systems. In
			this case, the network access can be given to users or groups regardless of the
			Internet rule or computer room settings.
		  </para>
	  </section>
	  <section id="ip-config:radius:configuration">
		  <title>Configuration</title>
		  <section id="ip-config:radius:configuration:allowed-users">
			  <title>Allowed users</title>
			  <para>

Return to bug 34574