Аутентификация MSCHAPv2 не работает

Question 1

Вам не нужно ни включать ntlm_authстроку, /etc/raddb/mods-available/mschapни устанавливать ее ntlm auth = yesв вашем smb.conf.Поскольку MSCHAPv2, похоже, не поддерживает NTLMv2, тыделатьнеобходимо установить следующее в вашем smb.conf:

ntlm auth = mschapv2-and-ntlmv2-only

Цитироватьстраница руководства smb.conf:

«Разрешать NTLMv1 только в том случае, если клиент обещает, что он предоставляет аутентификацию MSCHAPv2 (например, инструмент ntlm_auth)».

Однако в современных Sambas и последних версиях Freeradius вам не нужно включать его ntlm_authявно, потому чтоFreeradius 3.0.8 и более новые версии могут напрямую взаимодействовать с Winbind. Только не забудьте дать ему права на чтение для канала Winbind! Например, на Debian можно запустить setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/.

В целом, все изменения в конфигурации модуля mschap, которые я внес для получения Access-Accept radtest -t mschap testaccount mypass 127.0.0.1 0 testing123на компьютере Debian Buster, на котором в качестве контроллера домена AD запущена Samba, и Freeradius, приведены в следующем diff:

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

(Обратите внимание, что это, winbind_retry_with_normalised_usernameвероятно, не имеет значения в данном контексте тестирования.)

MYDOMAIN— это доменное имя в классической форме NT4, а не в форме Kerberos DOMAIN.TLD. Даже если вы не запускаете Freeradius прямо на DC, фактическая конфигурация модуля mschap Freeradius должна быть такой же, если сервер правильно присоединился к домену. Если DC — Windows, то, очевидно, smb.conf отсутствует, но возможность использовать NTLMv1 зависит отфункциональный уровень доменаипринадлежит ли пользователь к защищенной группе пользователей.

Обратите внимание, что если MSCHAPv2 будет использоваться для аутентификации Wi-Fi,его следует использовать только внутри взаимно аутентифицированных туннелей.для защиты от поддельных точек доступа. Для типов EAP см.Википедияа для краткого обзора клиентских ограничений см. второй ответ вПочему следует использовать EAP-TTLS вместо PEAP?

Answer