MSCHAPv2 인증이 작동하지 않습니다.

Question 1

ntlm_auth에서 행 을 활성화 /etc/raddb/mods-available/mschap하거나 설정할 ntlm auth = yes필요 가 없습니다 smb.conf.MSCHAPv2는 NTLMv2를 지원하지 않는 것 같습니다., 너하다에서 다음을 설정해야 합니다 smb.conf.

ntlm auth = mschapv2-and-ntlmv2-only

인용하려면smb.conf 맨페이지:

ntlm_auth"클라이언트가 MSCHAPv2 인증(예: 도구) 을 제공한다고 약속하는 경우에만 NTLMv1을 허용하세요 ."

ntlm_auth그러나 최신 Sambas 및 최신 버전의 Freeradius에서는 명시적 으로 활성화할 필요가 없습니다 .Freeradius 3.0.8 이상에서는 Winbind와 직접 대화할 수 있습니다.. Winbind의 파이프에 대한 읽기 권한을 부여하는 것을 잊지 마세요! 예. 데비안에서는 setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/.

전체적으로 radtest -t mschap testaccount mypass 127.0.0.1 0 testing123Samba를 AD DC 및 Freeradius로 실행하는 Debian Buster 상자에서 Access-Accept를 수신하기 위해 mschap 모듈 구성에 대한 모든 변경 사항은 다음과 같습니다.

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

( winbind_retry_with_normalised_username이 테스트 상황에서는 아마도 관련이 없을 수 있습니다.)

MYDOMAINKerberos와 같은 형식이 아닌 기존 NT4 형식의 도메인 이름입니다 DOMAIN.TLD. Freeradius를 DC에서 직접 실행하지 않더라도 서버가 도메인에 올바르게 가입되어 있는 한 Freeradius의 실제 mschap 모듈 구성은 여전히 동일해야 합니다. DC가 Windows인 경우에는 분명히 smb.conf가 없지만 NTLMv1을 사용하는 기능은도메인 기능 수준그리고사용자가 보호된 사용자 그룹에 속해 있는지 여부.

Wi-Fi 인증에 MSCHAPv2를 사용하려는 경우상호 인증된 터널 내에서만 사용해야 합니다.가짜 액세스 포인트로부터 보호합니다. EAP 유형은 다음을 참조하세요.위키피디아클라이언트 제한 사항에 대한 요약은 다음의 두 번째 답변을 참조하세요.PEAP 대신 EAP-TTLS를 사용하는 이유는 무엇입니까?

Answer