Configuración de WPA2-Enterprise con Freeradius

Estoy tratando de configurar una red wifi autenticada con Freeradius. Me las arreglé para hacer que las cosas funcionen usando certificados autofirmados, etc.

El problema es que los clientes de Windows deben desmarcar la opción " Usar automáticamente mi nombre de usuario y contraseña de Windows [etc.]" en la configuración de MSCHAPv2. Cuando me conecto a mi universidad local con Eduroam, automáticamente solicita un nombre de usuario y una contraseña en lugar de enviar las credenciales de inicio de sesión de Windows. ¿Cómo lograron esto los administradores de sistemas? ¿Es algún tipo de atributo RADIUS que se devuelve?

— Vincent O.
fuente

¿Has intentado enviar correos electrónicos a los administradores de Eduroam de tu universidad?

— Michael

He enviado un correo electrónico a mi administrador nacional de eduroam, no hay respuesta hasta ahora.

— Vincent O.

Puede ser solo que, cuando se envían las credenciales iniciales, RADIUS devuelve el rechazo de acceso para que Windows decida solicitar al usuario en lugar de enviar las otras credenciales nuevamente. ¿Estás utilizando SecureW2 o algo más?

— Michael

-editar- Ahora está roto de nuevo. Estoy usando el suplicante nativo Win7. ¿Cómo devuelvo el rechazo de acceso? ¿Puedo usar la entrada DEFAULT en el archivo de configuración de los usuarios para eso? De ser así, ¿cómo?

— Vincent O.

Todas las guías que he visto para Eduroam requieren que realice los mismos cambios en el perfil de configuración de Eduroam.

— Zanchey

Esta es más una respuesta a los comentarios que la pregunta, pero ponerla aquí para que pueda formatearla:

Puede usar la entrada PREDETERMINADA en su archivo de usuarios junto con un grupo de búsqueda para que coincida con los usuarios en función del nombre de usuario proporcionado.

El primer paso sería ejecutar radiusd en modo de depuración radiusd -Xy capturar el formato en el que aparece el nombre de usuario cuando se autentica como usuario conectado, iirc es algo así como / hostname $ / account.

Luego puede especificar el grupo de búsqueda $raddbdir/huntgroupsutilizando una expresión regular:

badusers User-Name =~ ^aregex.*$

Luego agregue el grupo de búsqueda a una regla con un tipo de retorno de rechazo de acceso en el usersarchivo.

DEFAULT Huntgroup-Name == badusers, Auth-Type := Reject

Si esto hará que Windows solicite un nombre de usuario y una contraseña depende de su NAS y del solicitante WPA de Windows.

— James Yale
fuente