Sou estudante de uma universidade que possui eduroam, uma rede sem fio WPA2-Enterprise. Na minha conta, isso é configurado usando o NetworkManager. Esta é a visão geral de nm-connection-editor:
Marquei que esta é uma conexão do sistema dizendo “Todos os usuários podem se conectar a esta rede”. Na prática isso não funciona:
Quando eu entro na minha sessão do Awesome WM automaticamente, meu chaveiro (GNOME?) Não é desbloqueado. Ele pede minha senha antes de tentar se conectar. Isso é irritante, meu disco está criptografado de qualquer maneira. Então, eu gostaria de armazenar a senha como
root, por assim dizer.Quando entro em outra conta do KDE, a conexão não funciona lá.
Então, acho que há dois problemas potenciais aqui:
O arquivo do certificado está no meu diretório inicial. Outras contas de usuário não conseguem ler meu diretório pessoal. Se eu movesse esse certificado para um local central (como
/usr/share/eu acho?), outras contas poderiam usar isso, pois o certificado não estaria mais faltando.A senha é armazenada em meu chaveiro local em meu diretório pessoal. A senha teria que ser armazenada em todo o sistema.
De qualquer forma, não vejo nenhum arquivo de configuração. De queEu leio, o NetworkManager armazena seus dados em algum serviço com o qual se comunica via D-Bus. Portanto, os dados são armazenadosem algum lugar.
Como posso fazer disso uma configuração de todo o sistema que funcione automaticamente para todos os usuários do sistema?
Se for preocupante, a distribuição é o Fedora 24.
Responder1
Para conectar-se aEDUROAM, (uma confederação acadêmica mundial de redes Wifi com roaming de usuários entre instituições/federações) no Linux, você precisará configurar o wpa_supplicant.
As instruções e arquivos muitas vezes podem ser um pouco específicos para o corpo docente e/ou para o nível superior da EDUROAM no país. Então vou linkar para uma página em alemão com a configuração do EDUROAM para802.1Xna federação DE.
Você /etc/wpa_supplicant.confdeve ser algo semelhante a isto:
rede={
ssid="eduroam"
key_mgmt=WPA-EAP
eap=
identidade TTLS="[e-mail protegido]" # seu login
domain_suffix_match="radius.lrz.de" # seu servidor RADIUS local
subject_match="radius.lrz.de" # seu servidor RADIUS local
anônimo_identity="[e-mail protegido]" # seu login ou uma
senha de login genérica anônima="XXXX" # sua senha ca_cert="/etc/ssl/certs/Deutsche_Telekom_Root_CA_2.pem"
phase2="auth=PAP"
}
domain_suffix_matche subject_matchexistem por motivos de segurança - por exemplo, para garantir que você se conecte ao servidor RADIUS real, e não a um servidor falsificado. Se você não sabe o nome do seu servidor RADIUS local, tente colocar wpa_supplicantpara funcionar sem essas duas diretivas.
Você também pode ter um instalador automatizado noGATO(eduroam Configuration Assistant Tool) configuração do seu corpo docente, que pode ou não ser útil para você. (desde que o corpo docente tenha criado uma página CAT)
Consulte o especialista residente RADIUS/EDUROAM local de sua faculdade para obter mais detalhes.
Isenção de responsabilidade: sou o mantenedor do RADIUS/EDUROAM de uma faculdade, e oRaio Livreconselheiro para oFederação PT.
Responder2
Em relação a "todos os usuários podem se conectar a esta rede"
Isso define a opção "connection.permissions" no arquivo man nm-settings. Ele controla que apenas o usuário do sistema pode modificar, ver e usar a conexão. Isso também significa que a conexão só se conecta automaticamente se o usuário estiver conectado. Em um sistema normal de um usuário, a configuração não importa muito (a menos que você queira que a conexão se conecte automaticamente antes de efetuar login).
Em relação às senhas
Para cada propriedade de senha (por exemplo, WPA PSK, segredos de VPN, etc.), o NetworkManager suporta um atributo “flags” que permite armazenar a senha em todo o sistema (em texto simples, em um arquivo acessível apenas pelo root), recuperá-la da sessão do usuário, sempre perguntar , ou não é necessário. Consulte secretsa seção em man nm-setttings. Em qualquer caso, sempre que o NM necessitar de uma senha que não possui, deverá solicitar a outro programa para obtê-la. Esse programa é o chamado "agente secreto" que é capaz de solicitar a senha do usuário ou recuperá-la do chaveiro, ou qualquer outra coisa. Tal programa é, por exemplo nm-applet, nmcli, gnome-shell, plama-nm. Então, normalmente quando você executa uma sessão gráfica como KDE ou Gnome, esse agente está de fato em execução. Isso também significa que, se você quiser se conectar automaticamente antes de fazer login, você terá que armazenar a senha em todo o sistema (em texto simples) ou terá que configurar de alguma forma um agente secreto que recupere o segredo de algum lugar (o último exigiria que você para hackear algo sozinho, mas de qualquer forma, não está claro de onde você conseguiu a senha, pois ninguém está logado).
Quanto a como configurar os sinalizadores de senha e, portanto, a localização da senha, você pode fazer isso com vários clientes NM. Se você usar nm-connection-editorcomo na captura de tela acima, verá um pequeno ícone no campo de entrada de senha. Clique nele e selecione o que quiser.
Observe que, por exemplo, no Gnome3, se você configurar seu chaveiro com a mesma senha que sua senha de usuário, o chaveiro poderá ser automaticamente ignorado quando o usuário fizer login. ao iniciar sua sessão do gnome. Os detalhes podem variar e provavelmente algo semelhante também funciona com o KDE.
Atenciosamente aos arquivos de certificado
Todos os certificados no NetworkManager podem ser armazenados em linha ou como um caminho. Inline não é ótimo e, na verdade, o nm-connection-editor permite apenas que você especifique um caminho. Usar caminhos também é problemático, porque o NetworkManager (e o suplicante wpa e os plug-ins VPN) são executados como um usuário diferente, portanto, você mesmo deve certificar-se de que os arquivos estão acessíveis ao NetworkManager. Na prática, isso significa, por exemplo, garantir que eles tenham a rotulagem SELinux correta, o que por sua vez significa copiar os certificados para ~/.cert. Um dia isso será melhorado com um gerenciador de certificados (fora do NetworkManager) e em vez de passar arquivos (caminho), usando URLs pkcs11 para referenciar certificados no armazenamento.
Quanto a onde suas conexões estão armazenadas
Isso depende do plugin de configurações configuradas (veja pluginsem man NetworkManager.conf). No Fedora, isso significa ifcfg-rh,keyfilepor padrão. Portanto, preferencialmente as conexões estão no ifcfg-rhformato (veja man nm-settings-ifcfg-rh, /etc/sysconfig/networking-scripts/ifcfg-rh*) e em segundo lugar no formato de arquivo chave (veja man nm-settings-keyfile, /etc/NetworkManager/system-connections).
Não está claro por que o KDE se comportaria de maneira diferente do Gnome. Provavelmente algo com o agente secreto ( gnome-shellvs. plasma-nm) e a configuração do chaveiro.