[EAP]将hostapd作为radius服务器搭建EAP认证环境

Posted 2020-08-09 Claruarius

文章主要由以下几部分组成：

0、概念理解： WPA/WPA2，EAP，IEEE， 802.11i， WiFi联盟， 802.1x

1、编译hostapd

2、配置hostapd的conf文件

3、外接路由器设置

4、配置hostapd的user文件

5、运行命令

0、概念理解

（1）802.11i 是一个标准，这种安全标准为增强WLAN的数据加密和认证性能，定义了RSN（Robust Security Network）的概念，标准范畴分为媒介层(MAC)与物理层(PHY)。该标准为整个802.11协议族共用。

（2）EAP一种可扩展的认证框架，各种认证方法可以得到很好的支持。

认证者（A），申请认证者（S），后端认证服务器（B， 本文是Radius服务器）

有以上三种角色组成的模式叫做BAS模式，

还有一种AAA模式：Authentication、Authorization and Accounting，认证、授权和计费。

（3）802.1X是802.1规范家族中的一员。简单来说，802.1X详细讨论了EAP在Wired LAN上的实现，即EAPOL。

（4）IEEE 是一个组织，负责制定（1）（2）（3）中所说的802.11i。

（5）WiFi联盟也是一个团体，组织。他们拥有 Wi-Fi 这个名词的商标，并且会检验要使用Wi-Fi这个名词的设备以核发证书。什么样的无线传输可以称之为WiFi，由他们认证。

（6） WPA 实现了 IEEE 802.11i 标准的大部分，是在 802.11i 完备之前替代 WEP 的过渡方案。WPA由WiFi联盟建立，并提供该项接入方式的认证。2003年开始强制性实施。

英文缩写: WPA (Wi-Fi Protected Access)

中文译名: Wi-Fi网络安全接入

认识了WPA， WPA2也就是WPA的第二代，是经由 Wi-Fi 联盟验证过的 IEEE 802.11i标准的认证形式。

 

WPA/WPA2有两种认证模式，一种是个人版（预先秘钥共享机制，即PSK）和企业版（使用802.1x框架）

 

最后，总结成如下图，各个实体之间的关系。

 

1、编译hostapd

（1） 配置.conf文件

该文档使用的是hostapd-2.5源码。

在执行make之前需要安装openssl等开发包。这里编译环境使用的是Ubuntu，因为开发环境比较容易配置。

到hostapd文件夹下，

一般有类似于“defconfig”的文件，将其重命名为“.config”。

首先，因为我们是将hostapd当做radius服务器，所以这一项的配置很重要。

然后后面根据需要配置各种EAP方法

（2） 执行make命令

make //生成hostapd运行文件

make hlr_auc_gw //编译生成hlr_auc_gw 运行文件

2、配置hostapd.conf文件

dirver=none

ieee8021x=1

eap_server=1

eap_user_file=hostapd.eap_user

# TLS parameters (shared by EAP-PEAP, EAP-TTLS, EAP-FAST)

ca_cert=cas.pem

# Server certificate and private key from separate files

server_cert=server.pem

private_key=server.key

radius_server_clients=hostapd.radius_clients

radius_server_auth_port=1812 【randius服务器的端口】

 

注: server.pem, server.key, cas.pem可以复用hostapd文件夹下的同名文件，即拷贝过去配置好相对路径就好。

其他参照里面的说明配置，EAP-FAST的项需要比较多的配置。（现在很少设备支持EAP-FAST这种认证方式）

 

 

3、配置路由器

使用路由器作为AP，所以需要让AP知道如何把信息转发给Radius服务器

配置一个SSID

配置路由器认证方式

关于上图中的radiuis服务器IP地址，Radiuis端口和Radius密码，参照以下步骤执行。

【如何获取本机的radius IP地址】

先修改hostapd.conf配置文件：

 RADIUS authentication server

auth_server_addr=192.168.1.102

auth_server_port=1812

auth_server_shared_secret=secret

然后在终端中运行 ./hostapd -ddK hostapd.conf 命令

可以看到local address就是本机的Radius服务器的IP地址是192.168.1.100，这个就是【radius服务器的IP地址】

这种投机取巧的办法就是利用外部radius服务器打印本机的radius服务器地址。现在依旧将上面刚刚添加的几行注释掉，使用#

#RADIUS authentication server

#auth_server_addr=192.168.1.102

#auth_server_port=1812

#auth_server_shared_secret=secret

修改下面一行的密码为12345678，这个就是radius【服务器的密码】。

参考将路由器的组秘钥更新周期改为0.

 

 

4、配置user文件，用于用户登陆

刚刚在hostapd.conf文件中配置的

eap_user_file=hostapd.eap_user

注：就是用户的登录名和密码，配置用户名和密码时候，每一种EAP method的用户名不能相同，不然会出现找不到该method的情况。

 

其他的用户配置就请阅读上面的说明。添加新的EAP-Method 用户可以参照PEAP的方法配置，但是用户名不能相同。

 

 

5、运行命令，在hostapd文件夹下

 

./hlr_auc_gw -g hostapd.sim_db -m hlr_auc_gw.milenage_db

 

./hostapd -ddK hostapd.conf

 （版权所有，转载请告知）