MacでWPA2エンタープライズ接続 (2)

Macでやってみようシリーズなんですが、たぶんMacの話までなかなかたどり着かないです・・・。

書き始めてから分かりました。ごめんなさい。


構成は、こんな感じ。





WPA2エンタープライズはIEEE 802.1Xという認証規格を使うんですが、この認証モデルは、「認証サーバ・オーセンティケータ・サプリカント」という3要素から成り立ってます。

認証サーバはここでは、RADIUSサーバ。CentOSで構築し、RADIUSアプリケーションはFreeRADIUSを使います。

サプリカントは認証を受ける端末のこと。要はワイヤレスクライアントのことなんですが、802.1X上ではクライアントとは言いません。もちろんここでは、MacBook。

オーセンティケータというのは、この2者の間で認証の仲立ちをする装置のこと。

「認証サーバさん、すいませーん。このヒト認証を申し込んでるんでお願いしまーす」

・・・みたいな、受付窓口って言うか、そんなイメージです。ここではワイヤレスアクセスポイントやワイヤレスルータになります。

（802.1X上で「クライアント」と言う場合、オーセンティケータを意味します）


では、CentOS上にFreeRADIUSをインストールして・・・

するんですが・・・。

こちらをご覧ください。
FreeRADIUSによる無線LANセキュリティ強化

CentOSのインストールからFreeRADIUSの設定まで、とても分かりやすく書かれています。

ただ一つ、こちらの記事ではEAP-TLSしか使わないた意図なので他のEAPメソッドはすべて無効にするよう書かれています。今回はMD5もTTLSもPEAP-MSCHAPv2もいろいろ試してみたいんで、eap.confというファイルはデフォルトのままにしておいて下さい。

デフォルトのままだと、ほとんどすべてのEAPメソッドが有効です。それだとセキュリティ的にアレなんで、「使わないEAPメソッドは無効にする」というのがセオリーのようです。

でもま、検証なんで（笑）


ユーザのデータベースとなるuser.confというファイルに、ユーザー名（ここでは"tutti"）と接続用のパスワードを任意に設定します（書き込む場所はどこでも構いません）。

tutti Cleartext-Password := "PassXXXX"



最後にCentOS上で、FreeRADIUSをデバッグモードで起動してみます。

CentOSのGNOME端末を開き、



root権限から以下を実行。

[root@localhost ~]# radiusd -X

すると、ずらずらずらずらと文字が流れ、



最後に、

Listening on authentication address * port 1812
Listening on accounting address * port 1813
Listening on command file /usr/local/var/run/radiusd/radiusd.sock
Listening on authentication address 127.0.0.1 port 18120 as server inner-tunnel
Listening on proxy address * port 1814
Ready to process requests.


起動実験成功！！！



・・・いや、FreeRADIUSの設定をえっちらおっちらやった後で、最後の「Ready to process request」を見ると、ちょっと感動しますよ。

「ばっち来～い！」てLinux君に言われたみたいで！


あ、「Linuxって難しい」なんて言わないでください。

僕も半年前までは、Linuxなんて名前しか知りませんでした（笑）



ようやく、次回でMacのお話しになりそうです・・・。



　

MacでWPA2エンタープライズ接続 (1)

今回も、「Macでやってみよう」シリーズです。

今日のお題は、
AirMacからWPA2エンタープライズ接続してみよう。


その前に、WPA2エンタープライズの簡単な説明から。


無線LANの接続方式として、一番おなじみなのはWPA2パーソナルの方じゃないかと思います。

WPA2パーソナルは、ワイヤレスアクセスポイント上のSSIDに事前共有キー（Pre Shared KeyまたはPSK）を設定し、ノートPCなどのワイヤレスクライアントからSSIDと事前共有キーを一致させて認証を通す、というやり方。


AirMacやiPhoneのインターフェイスでは、事前共有キーはもっと平たく「パスワード」と言われていますね。

事前共有キーは通信全体を暗号化するためのキーなので、いわゆるログインパスワードとは違うはずなんですが、使い勝手の上では似たようなものなので、こう言いたくなる気持ちも分かります。

WPA2パーソナルはあくまでもワイヤレスアクセスポイントとワイヤレスクライアントとの、ローカルな1対1の認証です。家庭内の小さいネットワーク構成ならこれで十分ですが、アクセスポイントを何台も使う大規模な無線LAN環境（学校や大企業）だと、ちょっとおぼつかなくなってきます。


どうおぼつかなるかと言いますと、

1. アクセスポイントが何台もになると、それぞれにSSIDと事前共有キーをいちいち設定しなくてはならず、増設やメンテナンスが面倒。


2. 一度事前共有キーが破られてしまうと、そのアクセスポイントがまるごと乗っ取られる危険性がある。

そこで、WPA2エンタープライズの出番になります。


WPA2エンタープライズは接続の認証自体を別の認証サーバにまかせます。RADIUSサーバってやつです。

接続ユーザごとの情報がこのRADIUSサーバのデータベースの中に保持されるため、こんなメリットがあります。

1. アクセスポイントが何台になっても、接続に必要な情報はRADIUSサーバ上で一元管理できる。


2. パスワードがSSIDで共通ではなくユーザ固有になり、共有キーは認証成功後にRADIUSサーバが自動生成してクライアントに配布するため、手動で事前共有キーを設定するよりセキュリティが堅くなる。


3. さらに、EAP-TLSという方式を使うと、証明書のインストールされたPCからしか繋げなくなる。今回は使わないけど（おい）

ここまで書いただけでちょっと長くなってきてしまいました。

RADIUSを使った認証規格はIEEE 802.1Xと言われています。ここではあくまで「使い勝手目線」の説明しかしてませんので、こちらのようなちゃんとした技術解説をぜひ読んで下さい。


次回はRADIUSサーバについて、です。


　

続・Macでコンソール接続。

前回はMacのUSBポートからUSB-シリアル変換ケーブルを使用して、ネットワーク機器のシリアルポートにコンソール接続してみようというお話でした。

この方法はもちろん、Cisco CatalystなどのRJ-45コンソールポートにも使えます。

（変換ケーブルに普通のシリアルケーブルではなく、ロールオーバーケーブルを繋ぎ足すだけの話です）

ところが最近のCatalystには、前面にUSBのコンソールポートが付いてたりします。



そうなると、次のお題は。

MacからUSBポートにコンソール接続してみよう。

必要になるのは、ただのUSBケーブル。

（片側のコネクタがAタイプ、もう片側がミニBタイプのやつ）


で、ドライバを入れて・・・と思いきや。

ドライバ要りません。

繋いだらおもむろにターミナルを立ち上げて、前回みたいな感じで。

MacBook-Pro:~ user$ cd /dev
MacBook-Pro:dev user$

で、USB入出力プロファイルを検索します。

MacBook-Pro:dev user$ ls -ltr tty.USB*

すると、下のような結果がヒットします。

crw-rw-rw- 1 root wheel 9, 66 Apr 1 16:46 tty.usbmodem1a21

（この1a21の部分は違ってる場合があります）

MacBook-Pro:dev user$screen /dev/tty.usbmodem1a21 9600

この9600はボーレートですが、無指定でも9600で試行してくれますので、入れなくてもOK。

Press return to get started!

この見慣れたメッセージが出てくるはずです。

screenを終了したいときは、やはり同様に、[ctrl]+[A]→[CTRL]+[¥]を続けて押してください。
以下のダイアログが画面下部に現れます。

Really quit and kill all your windows [y/n]

これがWindowsだと、Ciscoダウンロードセンターからドライバ落とさないといけないんですよ・・・。


これが今の仕事で使うにあたって、Macに決めた要因のひとつです。

あれ？何か僕、技術者みたい・・・。