MSCHAPv2-Authentifizierung funktioniert nicht

Question 1

Sie müssen weder die ntlm_authZeile in aktivieren /etc/raddb/mods-available/mschapnoch ntlm auth = yesin Ihrem festlegen smb.conf.Da MSCHAPv2 NTLMv2 nicht zu unterstützen scheint, DuTunmüssen Sie Folgendes in Ihrem festlegen smb.conf:

ntlm auth = mschapv2-and-ntlmv2-only

Zitierendie smb.conf-Manpage:

„Erlauben Sie NTLMv1 nur, wenn der Client verspricht, dass er eine MSCHAPv2-Authentifizierung bereitstellt (z. B. das ntlm_authTool).“

Bei modernen Sambas und aktuellen Versionen von Freeradius ist die Aktivierung jedoch nicht mehr ntlm_authexplizit erforderlich, daFreeradius 3.0.8 und neuere Versionen können direkt mit Winbind kommunizieren. Denken Sie daran, ihm Leseberechtigungen für die Pipe von Winbind zu erteilen! Unter Debian könnte man beispielsweise ausführen setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/.

Alles in allem sind alle Änderungen an der Mschap-Modulkonfiguration, die ich vorgenommen habe, um Access-Accept von radtest -t mschap testaccount mypass 127.0.0.1 0 testing123einer Debian-Buster-Box zu erhalten, auf der Samba als AD DC und Freeradius laufen, im folgenden Diff:

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

(Bitte beachten Sie, dass dies winbind_retry_with_normalised_usernamein diesem Testkontext wahrscheinlich irrelevant ist.)

MYDOMAINist der Domänenname in der klassischen NT4-Form, nicht in der Kerberos-ähnlichen DOMAIN.TLDForm. Selbst wenn Sie Freeradius nicht direkt auf dem DC ausführen, sollte die tatsächliche Mschap-Modulkonfiguration von Freeradius immer noch dieselbe sein, solange der Server der Domäne ordnungsgemäß beigetreten ist. Wenn der DC Windows ist, gibt es offensichtlich keine smb.conf, aber die Möglichkeit, NTLMv1 zu verwenden, hängt von derDomänenfunktionsebeneUndob der Benutzer zu einer geschützten Benutzergruppe gehört.

Beachten Sie, dass, wenn MSCHAPv2 für die Wi-Fi-Authentifizierung verwendet wird,Es sollte nur innerhalb von Tunneln mit gegenseitiger Authentifizierung verwendet werdenzum Schutz vor gefälschten Zugriffspunkten. Informationen zu den EAP-Typen finden Sie unterWikipediaEine Zusammenfassung der Clientbeschränkungen finden Sie in der zweiten Antwort inWarum würden Sie EAP-TTLS anstelle von PEAP verwenden?

Answer

Sie müssen weder die ntlm_authZeile in aktivieren /etc/raddb/mods-available/mschapnoch ntlm auth = yesin Ihrem festlegen smb.conf.Da MSCHAPv2 NTLMv2 nicht zu unterstützen scheint, DuTunmüssen Sie Folgendes in Ihrem festlegen smb.conf:

ntlm auth = mschapv2-and-ntlmv2-only

Zitierendie smb.conf-Manpage:

„Erlauben Sie NTLMv1 nur, wenn der Client verspricht, dass er eine MSCHAPv2-Authentifizierung bereitstellt (z. B. das ntlm_authTool).“

Bei modernen Sambas und aktuellen Versionen von Freeradius ist die Aktivierung jedoch nicht mehr ntlm_authexplizit erforderlich, daFreeradius 3.0.8 und neuere Versionen können direkt mit Winbind kommunizieren. Denken Sie daran, ihm Leseberechtigungen für die Pipe von Winbind zu erteilen! Unter Debian könnte man beispielsweise ausführen setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/.

Alles in allem sind alle Änderungen an der Mschap-Modulkonfiguration, die ich vorgenommen habe, um Access-Accept von radtest -t mschap testaccount mypass 127.0.0.1 0 testing123einer Debian-Buster-Box zu erhalten, auf der Samba als AD DC und Freeradius laufen, im folgenden Diff:

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

(Bitte beachten Sie, dass dies winbind_retry_with_normalised_usernamein diesem Testkontext wahrscheinlich irrelevant ist.)

MYDOMAINist der Domänenname in der klassischen NT4-Form, nicht in der Kerberos-ähnlichen DOMAIN.TLDForm. Selbst wenn Sie Freeradius nicht direkt auf dem DC ausführen, sollte die tatsächliche Mschap-Modulkonfiguration von Freeradius immer noch dieselbe sein, solange der Server der Domäne ordnungsgemäß beigetreten ist. Wenn der DC Windows ist, gibt es offensichtlich keine smb.conf, aber die Möglichkeit, NTLMv1 zu verwenden, hängt von derDomänenfunktionsebeneUndob der Benutzer zu einer geschützten Benutzergruppe gehört.

Beachten Sie, dass, wenn MSCHAPv2 für die Wi-Fi-Authentifizierung verwendet wird,Es sollte nur innerhalb von Tunneln mit gegenseitiger Authentifizierung verwendet werdenzum Schutz vor gefälschten Zugriffspunkten. Informationen zu den EAP-Typen finden Sie unterWikipediaEine Zusammenfassung der Clientbeschränkungen finden Sie in der zweiten Antwort inWarum würden Sie EAP-TTLS anstelle von PEAP verwenden?

Question 2

Die Einstellung ntlm auth = yesim globalen Abschnitt von smb.conf hat das Problem „behoben“. Ich würde gerne wieder dazu zurückkehren, ntlmv1 zu verbieten. Wenn also jemand eine Möglichkeit hat, dies ohne ntlmv1 zum Laufen zu bringen, posten Sie bitte Ihre eigene Antwort.

Answer

Die Einstellung ntlm auth = yesim globalen Abschnitt von smb.conf hat das Problem „behoben“. Ich würde gerne wieder dazu zurückkehren, ntlmv1 zu verbieten. Wenn also jemand eine Möglichkeit hat, dies ohne ntlmv1 zum Laufen zu bringen, posten Sie bitte Ihre eigene Antwort.

MSCHAPv2-Authentifizierung funktioniert nicht

Antwort1

Antwort2

verwandte Informationen