Commessa: HotSpot Wi-Fi

1. Commessa:HotSpot Wi-Fi Carotenuto Raffaele Distante Federico Picaro Luigi

2. Indice • Overview • Scelte effettuate • Risorse Hardware • Software • Strumenti di supporto • Radius server • I CaptivePortal • Configurazione • Accesso alla rete

3. Overview (1) • Dettagli Commessa:

4. Overview (2) • Topologia della rete adottata per l’implementazione del servizio di HotSpot

5. Risorse Hardware • Un terminale server che faccia da gateway tra le due sottoreti • Un AccessPoint 3Com OfficeConnect Wireless 11a/b/g • Un terminale dotato di scheda wireless che si comporti da client dell’HotSpot

6. Scelte software (1) • Apache 1.3.27 • mod_perl: modulo necessario per utilizzare uno script perl in apache • mod_ssl: modulo necessario per fornire la crittografia forte per il server apache • DBMS: MySql 5.0.22 • Archiviazione dei dati relativi all’accounting e all’authoring dei client • Ottima integrazione con Freeradius

7. Scelte software (2) • FreeRadius 1.1.2 • RADIUS (Remote Access Dial-In User Service) è un protocollo AAA (authentication, authorization, accounting) utilizzato in applicazioni di accesso alle reti o di mobilità IP. RADIUS è attualmente lo standard de-facto per l’autenticazione remota. I Protocolli supportati per l’autenticazione EAP(EAP-TLS, EAP-TTLS, EAP-PEAP), MS-CHAP, MS-CHAPv2

8. Scelte software (3) • I numeri riportati in figura illustrano il processo di accesso alla rete, che verrà descritto in dettaglio nella procedura riportata di seguito: • 1.Il client senza fili deve, in un determinato punto, definire le credenziali con un'autorità centrale prima di stabilire l'accesso di rete senza fili. Questa operazione può essere eseguita mediante alcuni strumenti fuori banda, ad esempio un disco floppy oppure una rete cablata o altra rete protetta. • 2.Quando il client richiede un accesso di rete, questo passa le credenziali (o, più precisamente, mostra di possedere le credenziali) al punto di accesso senza fili, il quale le passerà a sua volta al servizio RADIUS per richiedere l'autorizzazione. • 3.Il servizio RADIUS controlla le credenziali, consulta i relativi criteri di accesso e garantisce o nega l'autorizzazione al client. • 4.Se il client ha ottenuto l'autorizzazione, gli sarà consentito di accedere alla rete e quindi di scambiare in modo protetto le chiavi di crittografia con il punto di accesso senza fili. Queste chiavi vengono attualmente generate dal servizio RADIUS e trasmesse al punto di accesso senza fili su un canale protetto. Se il client, invece, non ha ottenuto l'autorizzazione da parte del servizio RADIUS, l'accesso gli verrà negato e quindi non potrà stabilire ulteriori comunicazioni. • 5.Utilizzando le chiavi di crittografia, il client e il punto di accesso senza fili stabiliscono una connessione protetta sul collegamento senza fili e quindi viene stabilita una connettività tra il client e la rete interna. • 6.Il client inizia a comunicare con le periferiche sulla rete interna.

9. Scelte software (4) • Captive Portal: • Interfaccia tra i client e il server radius che permette la registrazione di un nuovo account e l’authenticazione per l’accesso alla wireless • Accesso tramite browser in modo da rendere trasparente la modalità di autenticazione • Modalità “catch & release”: quando un utente non autorizzato tenta di accedere alla rete, la sua richiesta viene indirizzata all’authentication server che reindirizza l’utente ad una pagina web di autenticazione

10. Scelte software (5) • Captive Portal: • Interfaccia tra i client e il server radius che permette la registrazione di un nuovo account e l’authenticazione per l’accesso alla wireless • Accesso tramite browser in modo da rendere trasparente la modalità di autenticazione • Modalità “catch & release”: quando un utente non autorizzato tenta di accedere alla rete, la sua richiesta viene indirizzata all’authentication server che reindirizza l’utente ad una pagina web di autenticazione

11. Scelte software (6) • NoCat: • Architettura costituita da due applicazioni: gateway e authserv • Gateway: si occupa della gestione delle connessioni degli utenti aggiungendo in modo dinamico regole di routing su iptables per l’assegnamento di un nuovo IP in DHCP • Authserv: si occupa dell’autenticazione dei singoli utenti interrogando il radius server • Chillispot: • Si occupa sia della funzione gateway che della funzione di authserv in maniera integrata

12. Configurazione (1) • Configurazione FreeRadius: • I files utilizzati per la nostra configurazione sono stati radiusd.conf,clients.conf, sql.conf. • Radiusd.conf contiene le direttive di configurazione del server radius e ha questa struttura: modules{} authorize{} authenticate{} accountig{} • Nella sezione modules vengono definiti i singoli moduli utilizzati nelle sezioni di autorizzazione, di autenticazione e di accounting

13. Configurazione (2) • Il file clients.conf contiene le informazioni inerenti i client. Lo schema di configurazione utilizzato è stato il seguente: client 192.168.0.0/24 { secret = testing123 shortname = SR2WL nastype = other } • I client che tentando di accedere devono avere le credenziali richieste nella sezione

14. Configurazione (3) • Configurazione Chillispot: • Il file chillispot.conf: net 192.168.2.0/24 Dns1 ns1.nic.org domain nic.org radiusserver1 127.0.0.1 radiusserver2 127.0.0.1 radiussecret radiussecret radiuslocationid isocc=it,cc=39,ac=41,network=SR2WL radiuslocationname Nic Team dhcpif1 eth1 uamserver https://servizi.salernoflies.org/cgi-bin/hotspotlogin.cgi uamsecret uamsecret uamlisten 192.168.2.1

15. Accesso alla rete • La seguente guida di riferimento è per gli utenti esterni ospiti della sezione che utilizzino un sistema operativo o un applicativo di gestione WiFi che non supporta o supporta soltanto in parte il protocollo di autenticazione 802.1X. L’utente che vuole connettersi, deve: • Configurare il proprio sistema in modo che utilizzi un tipo di Network Authentication Open e a non utilizzare nessun tipo di encryption dei dati. Specificare successivamente SR2WL come SSID nelle proprietà della connessione wireless. • Aprire un browser web in maniera tale che venga redirezionato su una pagina di default. • Cliccare su login se l’utente risulta essere già iscritto oppure andare alla pagina di registrazione. In maniera alternativa, se in possesso di un certificato idoneo, può accedere alla rete senza inserire login e password. • Effettuata l'autenticazione si ha accesso alla rete. • Nella pagina che notifica l’avvenuta autenticazione, l’utente può scaricare un certificato personalizzato per accedere alle pagine web che intende visitare in maniera sicura. • Per chiudere la sessione cliccare sul tasto di logout. • In maniera alternativa è possibile utilizzare un tipo di Network Authentication Restricted e obbligare gli utenti a fornire le proprie credenziali utilizzando il protocollo EAP.