+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер?

IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер?, RouterOS

minfrin

Guest

02.03.2018 13:41:00

Всем привет! Я успешно настроил RouterOS, чтобы VPN-клиенты могли подключаться через IKEv2, с использованием radius и аутентификацией по EAP-TLS (без паролей). Конфигурация ниже. Что я выяснил — эта настройка работает только если я беру закрытый ключ и сертификат нашего radius-сервера и устанавливаю этот сертификат на RouterBOARD (certificate=certificate-of-the-radius-server.pem). Очевидно, это не очень удобно — я бы предпочёл, чтобы сертификат был только на radius-сервере, а не дублировался на роутерах, которые, к тому же, не всегда физически защищены так же хорошо, как radius. Может кто-то объяснить, почему так происходит? Какие требования предъявляются к сертификату на RouterBOARD, почему сертификат, который установлен на radius, недостаточен?

# feb/25/2018 13:00:00 by RouterOS 6.41.2
# software id = 95CM-PS1P
#
# model = 1100AHx2
# serial number = 5732041E2225

/ip ipsec mode-config
add address-pool=default-dhcp name=roadwarrior split-include=192.168.x.x/24

/ip ipsec policy group
add name=roadwarrior

/ip ipsec proposal
set [ find default=yes ] enc-algorithms=blowfish pfs-group=modp4096
add auth-algorithms=sha256,sha1 enc-algorithms=aes-256-cbc lifetime=8h name=roadwarrior pfs-group=none

/ip ipsec peer
add address=0.0.0.0/0 auth-method=eap-radius certificate=certificate-of-the-radius-server.pem dh-group=ecp256,modp2048,modp1536,modp1024 enc-algorithm=aes-256 exchange-mode=ike2 generate-policy=port-strict hash-algorithm=sha256 mode-config=roadwarrior passive=yes policy-template-group=roadwarrior send-initial-contact=no

/ip ipsec policy
add dst-address=192.168.x.x/24 group=roadwarrior proposal=roadwarrior src-address=0.0.0.0/0 template=yes
add dst-address=192.168.y.y/24 group=roadwarrior proposal=roadwarrior src-address=0.0.0.0/0 template=yes

С уважением,
Graham

isa982 Guest	#2 0 23.07.2018 06:40:00 Привет, Грэм, что такое 192.168.x.x и 192.168.y.y? С уважением, Иса

tippenring

Guest

23.07.2018 16:24:00

Основываясь на моём скромном опыте с сертификатами и удостоверяющими центрами, предполагаю, что MT нужен сертификат и ключ для зашифрованного обмена данными с сервером RADIUS. Возможно, нужно создать сертификат для MT и получить подпись от CA, чтобы он был доверенным.

sindy

Guest

23.07.2018 16:51:00

Подожди. В зависимости от того, как сгенерирован сертификат RADIUS (самоподписанный или подписанный удостоверяющим центром), сервер RADIUS должен предоставить полный цепочку сертификатов, а Mikrotik должен иметь либо сам этот сертификат (если он самоподписанный), либо сертификат удостоверяющего центра (если подписан CA) в своём хранилище доверенных сертификатов. В любом случае, на стороне Mikrotik не нужен приватный ключ сервера RADIUS. В сертификате обычно хранится публичный ключ, который используется для шифрования данных, а расшифровка происходит с помощью приватного ключа, который никуда не отправляется. И никакие ключи отдельно тебе не нужны, всё уже внутри сертификата. Можешь показать вывод команды /certificate print? Поменяй пару байтов в шестнадцатеричных строках сертификатов и IP-адресах — это не важно.

minfrin

Guest

11.10.2018 12:45:00

Возвращаясь к этому. В моём случае сертификат подписан УЦ. Флаги: K – закрытый ключ, D – dsa, L – crl, C – ключ со смарт-карты, A – удостоверяющий центр, I – выдан, R – отозван, E – истёк, T – доверенный

NAME COMMON-NAME SUBJECT-ALT-NAME FINGERPRINT
2 K L T x… x DNS:x x…
3 L T x… DigiCert SHA2 Extended … x…
4 T x… DigiCert High Assurance… x…

С сертификатом, полной цепочкой и ключом radius работает.
С сертификатом и полной цепочкой, но без ключа — radius не работает (контакт с radius не устанавливается).
Только с сертификатом УЦ radius не работает (контакт с radius не устанавливается).

sindy

Guest

11.10.2018 17:45:00

Изучая RFC 3579, я пришёл к выводу, что всё правильно — Mikrotik, выступающий в роли NAS по терминологии RFC 3579, аутентифицирует собственное взаимодействие с клиентами, используя свой сертификат, подписанный доверенным клиентами центром сертификации, что подразумевает наличие закрытого ключа (как и указано в инструкции). Связь между Mikrotik и RADIUS-сервером только аутентифицируется и частично шифруется посредством общего секрета, то есть RADIUS-сервер не использует сертификаты для аутентификации ни перед NAS, ни перед клиентами. Заявленная личность клиента определяется NAS (Mikrotik) на основе сертификата клиента, подписанного CA, которому доверяет NAS, и передаётся RADIUS; затем RADIUS отправляет клиенту вызов через защищённый канал, установленный между NAS и клиентом, и ожидает корректного ответа на вызов.

Священное руководство Mikrotik сбивает с толку тех, кто не глубоко погружён в тему, утверждая, что параметр сертификата peer «применим, если используется метод аутентификации с RSA-подписью (auth-method=rsa-signature)», в то время как для значения auth-method eap-radius говорится, что «в этом случае требуется сертификат сервера». Единственная реальная проблема здесь в том, что в объяснении параметра сертификата упоминается только один метод аутентификации (rsa-signature), тогда как на самом деле это относится также к методам rsa-signature-hybrid и eap-radius.

celebrant Guest	#7 0 29.06.2023 14:37:00 Извиняюсь, что воскресил старую тему, но у меня точно такая же проблема, как и у автора несколько лет назад. Разница в том, что я использую RouterOS 7.10 и у меня уже установлен CA+Cert+Key сервера RADIUS, но всё равно не работает. При использовании IPSec RSA с radius нет никакого контакта. Зато при IPSec MSCHAPv2 всё работает отлично. Сертификат, используемый в RADIUS, сгенерирован Mikrotik и подписан CA, который тоже сделал Mikrotik. Соответственно, есть CA + Cert + Key как для сертификата в RADIUS, так и для сертификата в /ipsec identity. Minfrin, ты ещё здесь? Ты уже переносил эту настройку на ROS7?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры