Mit WPA Enterprise, Freeradius und Docker WLAN-Zertifikate erstellen?

[Alpentoni]

Hallo, ich bin gerade etwas verzweifelt. Ich mache gerade als Werksstudent bei einer Softwarefirma ein Praktikum, studiere aber UXD, also mehr Mediendesign als Programmierung oder irgendwas mit Netzwerken. Ich will mich aber nicht total blamieren.
Ich wurde mit einer Aufgabe etwas "überrumpelt" und weiß leider garnicht so richtig wie ich vorgehen soll. Man hat mir einen WLAN-Router gegeben und ich soll nun mittels WPA-Enterprise das WLAN so einrichten, dass jeder Nutzer im WLAN sein eigenes Zertifikat hat, also dass praktisch keiner mehr von außen auf das WLAN zugreifen kann.

Der Chef hat mir dann irgendwas von Netzwerkschichten erklärt, was wir zwar oberflächlich im Studium mal behandelt haben, aber man dann eher als IT-Systemelektroniker etc. lernt.
Außerdem hat er gesagt, ich brauche zwei Computer dafür, warum genau weiß ich nicht.

Jedenfalls habe ich nun erstmal den Router resetet und mit meinem Laptop verbunden (Asus 3100 Dual Band). Dort bin ich nun auf der Einstellungsseite des Routers und kann dort auf WPA-Enterprise umstellen. Das war es auch schon. Ich finde keine vernünftige Anleitung im Internet, zumindest keine die ich verstehe.

Kann sich bitte jemand erbarmen und mir wenigstens ungefähr sagen was ich tun soll, damit ich dann mal fragen kann wie ich weiter vorgehe? Er hat gesagt ich kann noch einen zweiten PC benutzen, aber wozu weiß ich gerade nicht. Soll ich den Freeradius Server auf meinem PC (der mit dem Router verbunden ist installieren) oder auf dem Zweit-PC?

 

[Zero_Official]

Also irgendwie klingt das komisch... nach saftladen, aber ist egal.
du kannst Router mit Wpa2 Enterprise einrichten 1812 port, IP von dem PC wo Freeradius installiert ist
angeben und passphrase damit der router und Freeradius sich authentifizieren.
Das heisst das der Router erbittet beim Freeradius authentifizierung für Clients.
Beim Lets Encrypt kannst du Gültige -zertifikate erstellen UMSONST. (linux kann auch selbstsignierte einfach erstellen)
Nun kommt es auf dein Wissen an wie du Freeradius konfigurierst, ob nun Benutzername+passwort oder Zerifikate oder beides.

 

[DonConto]

Müssen es wirklich Zertifikate sein? Wenn es nur darum geht, dass jeder seinen eigenen individuellen Zugang hat, dann reicht es i.d.R. schon, dass sich jeder mit seiner eigenen Benutzerkennung anmeldet - sprich Benutzername + Passwort (Stichwort: 802.1x).

Unabhängig davon ist der Aufbau in beiden Fällen: Client meldet sich am Accesspoint, Accesspoint bittet Client um Authentifizierung. Die Anmeldedaten werden vom Accesspoint an den Radius weitergereicht. Der Radius meldet daraufhin an den Accesspoint ein Ok oder Nicht Ok zurück. Wenn Ok, darf der Client sich mit dem Accesspoint verbinden.

Am Accesspoint reicht es also nicht, dass du nur auf WPA Enterprise umstellst, du musst dem Accesspoint auch sagen, wo die Anmeldedaten liegen. Das kann ein externer Radiusserver oder eben ein lokal auf dem Accesspoint laufender Radiusserver sein.

Eine Anlaufstelle zur Konfiguration wäre Youtube. Dort mit den Schlagwörtern (802.1x, Freeradius, Certificate (oder Username/Password) etc.) suchen.

 

[Alpentoni]

Ok ich denke das mit den Zertifikaten muss ich doch nicht machen, aber mir fehlt die Erfahrung das Ganze durchzuführen. Bin leider noch nicht fündig geworden und habe nun gefühlt alle Anleitungen dazu angeschaut. Ich glaube das hier ist einfach nichts für mich. Ist sowieso nicht zwingend notwendig und sollte nur als Praktikum dienen, aber so blöd habe ich mich selten gefühlt, auch wenn ich ein gutes technisches Verständnis habe.

Ich habe auch versucht dem Access Point mitzuteilen wo die Anmeldedaten liegen, aber ich glaube das stimmt nicht was ich dort gemacht habe. Ich vermute ich müsste die IP-Adresse vom Radius-Server dort eingeben, falls sowas existiert.

 

[DonConto]

Schau mal, das ist ein etwas älterer Asus Router mit WIFI:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Da wird das in den ersten Minuten erklärt. Die nutzen als Radius Server aber ein QNAP NAS und nicht FreeRadius. Der Vorgang ist aber natürlich trivial.

Ergänzend: https://www.heise.de/ct/artikel/WLAN-sichern-mit-Radius-1075339.html

Wenn man mit sowas noch nie zu tun hatte, ist das natürlich alles etwas viel auf einmal.