Autenticação MSCHAPv2 não funciona

Question 1

Você não precisa ativar a ntlm_authlinha /etc/raddb/mods-available/mschapnem defini-la ntlm auth = yesno seu arquivo smb.conf.Como MSCHAPv2 parece não suportar NTLMv2, vocêfazerprecisa definir o seguinte em seu smb.conf:

ntlm auth = mschapv2-and-ntlmv2-only

Citara página de manual do smb.conf:

”Permitir NTLMv1 apenas quando o cliente prometer que está fornecendo autenticação MSCHAPv2 (como a ntlm_authferramenta).”

Entretanto, com Sambas modernos e versões recentes do Freeradius você não precisa habilitar ntlm_authexplicitamente, porqueFreeradius 3.0.8 e versões mais recentes podem se comunicar diretamente com o Winbind. Apenas lembre-se de conceder permissões de leitura para o pipe do Winbind! Por exemplo. no Debian pode-se rodar setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/.

Resumindo, todas as alterações na configuração do módulo mschap que fiz para receber o Access-Accept em radtest -t mschap testaccount mypass 127.0.0.1 0 testing123uma caixa Debian Buster executando o Samba como um AD DC e Freeradius estão nas seguintes diferenças:

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

(Observe que isso winbind_retry_with_normalised_usernameprovavelmente é irrelevante neste contexto de teste.)

MYDOMAINé o nome de domínio no formato NT4 clássico, não no formato Kerberos DOMAIN.TLD. Mesmo se você não estiver executando o Freeradius diretamente no DC, a configuração real do módulo mschap do Freeradius ainda deve ser a mesma, desde que o servidor tenha ingressado no domínio corretamente. Se o DC for Windows, obviamente não há smb.conf, mas a capacidade de usar NTLMv1 depende donível funcional do domínioese o usuário pertence a um grupo de usuários protegido.

Observe que se o MSCHAPv2 for usado para autenticação Wi-Fi,só deve ser usado dentro de túneis mutuamente autenticadospara se proteger contra pontos de acesso falsos. Para os tipos de EAP, consulteWikipédiae para um resumo das restrições do cliente, consulte a segunda resposta emPor que você usaria EAP-TTLS em vez de PEAP?

Answer