eduroam via Wireless Leiden

Het doel van dit project is het ontwikkelen en testen van een prototype accesspoint (en achterliggende infrastructuur) dat het mogelijk maakt: studenten (onderzoekers, docenten en overige medewerkers van een educatieve-instelling) "veilig" toegang tot het internet te bieden door naadloze integratie van ​eduroam op het "open" netwerk van Wireless Leiden. De betekenis van de eduroam roaming-infrastructuur laat zich in het hieronder volgende voorbeeld ophelderen!

Wat is eduroam?

Onderwijsinstelling 'X' wil al zijn studenten eenvoudig op hun "beveiligde en gesloten" draadloze netwerk aansluiten om hen toegang tot internet en printen te verschaffen. Dit draadloze netwerk dat met vele toegangspunten (AP=AccessPoints / Hotpots) door het hele complex dekkend is, word wel met een enkele generieke naam "X-netwerk" aangelegd, maar niet met een enkel generiek wachtwoord! De onderwijsinstelling heeft al zijn leden al geregistreerd in een personendatabase en heeft voor ieder herleidbaar persoon namelijk al een unieke accountnaam en wachtwoord aangemaakt. Door de authenticatie en autorisatie tot het "gesloten en beveiligde" draadloze netwerk via de inloggegevens uit de personendatabase te laten verlopen, weet ieder lid direct zijn eigen wachtwoord om direct toegang tot het draadloze netwerk te krijgen. Daarnaast weet de instelling een mogelijk wachtwoord lek te herleiden tot een uniek persoon.

In de gebruikelijke situatie wanneer een student van onderwijsinstelling X vanuit de kantine het eigen beveiligde en gesloten draadloze netwerk "X-netwerk" op wil, dan configureert deze eenmalig zijn laptop (tablet en of telefoon) en gebruikt hiervoor de voor hem of haar al bekende unieke inloggegevens. Iedere volgende keer wanneer deze student binnen het eigen complex wil werken (of loopt) is zijn apparaat automatisch verbonden met hetzelfde draadloze "X-netwerk" (al dan niet via een andere toegangspunt vanuit collegezaal of bibliotheek). Dit verschijnsel waarbij het apparaat van de gebruiker, zonder dat hij of zij het opmerkt automatisch van toegangspunt naar toegangspunt verspringt, bereikbaar en bruikbaar blijft word "roaming" genoemd.

Maar nu, onderwijsinstelling 'Y' heeft exact dezelfde infrastructuur als onderwijsinstelling X, maar Y merkt dat wanneer gastdocenten van X met hun laptop op bezoek komen zij niet (automatisch) bij Y het internet op kunnen. Tevens is het voor de onderwijsinstelling en de gebruikers omslachtig om iedereen opnieuw te registreren, een tijdelijk wachtwoord te geven en of hun apparaten te herconfigureren voor (tijdelijke) gebruik van het beveiligde en gesloten netwerk.

Als oplossing draagt onderwijsinstelling Y ​eduroam aan. Hiervoor gaan beide onderwijsinstelling X en Y de naam van hun draadloze netwerk gelijkmaken aan de generieke naam "eduroam". Wanneer (gast)gebruikers van X bij onderwijs instelling Y op bezoek zijn, gaan hun laptops, tablets of telefoons automatisch het gelijknamige netwerk van onderwijsinstelling Y op. Dit werkt helaas nog bijna, om de volgende rede. Onderwijsinstelling Y heeft natuurlijk niet de personendatabase met inloggegevens van onderwijsinstelling X om gebruikers van X tegen te authenticeren, dus gebruikers van X op het netwerk bij Y krijgen alsnog de melding dat hun inloggegevens niet worden herkend omdat ze als X in de personendatabase van Y ontbreken, logisch toch! Wanneer onderwijsinstelling Y nu alleen de authenticatie "aanvragen" doorgestuurd via een "centrale server" op internet die op zijn beurt weer doorgekoppeld is aan de personendatabase van de eigen onderwijsinstelling (X in dit geval) en de autorisatie "goedkeuringen" via diezelfde route weer terug afleverd bij de instelling waar de gebruiker zich bevind, dan blijven de persoonsgegevens binnen de eigen onderwijsinstelling waar ze horen en kan de gebruiker na autorisatie bij de andere instelling direct het netwerk/internet gebruiken. Dit allemaal zonder dat gebruiker ook maar iets aan zijn of haar eigen apparaat en of instellingen hoeft te veranderen! Vergelijkbaar met mobiele telefoons die tijdens het telefoongesprek in een auto rit van stad A naar B diverse mobiele toegangspunten (Telefoon Cells) passeren, zonder dat de gebruiker merkt dat zijn verbinding overschakelt.

Dit eduroam systeem maakt het als onderwijsinstelling mogelijk om in een strikter wordend klimaat van beveiliging, geslotenheid en aansprakelijkheid toch verantwoordelijk een dienst dat open en toegankelijk is van karakter te bieden.

Kortom het begrip eduroam betekent voor "gebruikers" zoals studenten en medewerkers dat ze zonder poespas gebruik kunnen maken van het internet via het netwerk van hun eigen of gelieerde instelling. Het is voor hen niet meer dan de draadloze netwerknaam van de hotspot die ze aantreffen op hun laptop en of smartphone wanneer ze hiermee succesvol verbinden.

Betrokkenheid van Wireless Leiden?

De betekenis en werkwijze van eduroam voor dit Wireless Leiden project is vanuit een "aanbieders" perspectief. Daarbij zal voornamelijk de onderliggende technische werking van de infrastructuur om eduroam accesspoints (voor gebruikers) te realiseren ter sprake komen. Wireless Leiden neemt momenteel niet als "identity provider" deel aan eduroam, maar faciliteerd louter het doorgeven van de vereiste authenticatie "aanvragen" en autorisatie "goedkeuringen" via een grotendeels intern ontwikkeld prototype infrastructuur. Als partieel serviceprovider koppelt Wireless Leiden eduroam gebruikers automatisch en beveiligd door aan de daarvoor aangewezen (onderwijs)netwerken. Een onderwijsinstelling vervult vaak meerdere rollen binnen het eduroam project inclusief internet-gateway, maar Wireless Leiden beperkt zich puur tot de ondersteunende koppeling en integratie van deze diensten.

Het unieke aan dit project is niet het scheiden van de identity/service provider eigenschap, maar de integratie van de verdeelde diensten over het onafhankelijk en "open" netwerk van Wireless Leiden dat zich buiten deur huisvest. Dit maakt het exploiteren van eduroam draadloze dekking via het Wireless Leiden netwerk in publieke ruimte niet alleen eenvoudig, flexibel en betaalbaar maar kan dat zelfs op stadsniveau! De huidige implementatie is een win-win situatie voor betrokken partijen, door de huidige multi SSID techniek neemt zowel de dekking van het eduroam netwerk van een (sponserende) onderwijsinstelling als het netwerk van Wireless Leiden toe. Dit in tegenstelling tot de vaak beperkt inpandige exploitatie door onderwijsinstellingen van hun eigen geisoleerde fysieke en gesloten infrastructuur, die zich gemakkelijk door het graven/leggen van dure kabelverbindingen laat uitstellen of zelfs afstellen.

*Ontwikkelaars van Wireless Leiden zelf kunnen de roaming eigenschap van deze infrastuctuur alleen gebruiken, testen en ontwikkelen wanneer ze beschikken over een geldig accountsnaam en wachtwoord dat geleverd is door een aan eduroam/surf foundation gelieerde identity provider. Als voorbeeld Universiteit Leiden of Hogeschool Leiden. Wel zou er voor hen via een interne identity provider van Wireless Leiden zelf een account gemaakt kunnen worden, maar omdat deze niet centraal gekoppeld is werkt dit niet wanneer ontwikkelaars van het Wireless Leiden eduroam netwerk naar het Universiteits eduroam overgaan. Het Universiteits eduroam netwerk kan namelijk via de centrale server niet bij de onbekende Wireless Leiden interne identity provider komen en zal deze mensen niet op zijn netwerk toelaten. Hiermee word direct duidelijk dat een wederzijdse samenwerking nodig is om het onbegrensde karakter eduroam(ing) te laten werken en beschermen! Een andere mogelijkheid zou het aanvragen van een test-account bij de surf foundation zijn.

NEW HOWTO

technische mogelijkheden

ubiquiti nano/bullet/etc AP's as wpa2 enterpise radius clients with stock AIROS or Openwrt(multi ssid & openvpntunneling)

Het aanbieden van een "eduroam" compatible infrastructuur dat overeenkomt met een wpa2 enterprise wireless netwerk met radius setup over een open/onafhankelijk netwerk. Dit veelal gautomatiseerd zodat het configureren van vele AP's en een "Radius-Proxy/Server en Gatway" via enkele scripts in dag delen voltooid kan worden.

technische en organisatorische benodigdheden

Voor het aanbieden van de eduroam infrastructuur op het Wireless Leiden netwerk is gekozen voor twee verschillende type installaties met idem verschillende functionaliteit namelijk:

1. "AccesPoints" meerdere (verschillende) types die als "eduroam" hotspot zullen fungeren met als basis OpenWRT.
2. "Radius-Server/Proxy & gateway" een enkele centraal gepositioneerde server met als basis FREEBSD.

De verbinding tussen deze twee typen installaties word via OpenVPN tunnels beveiligd en geencrypt opgezet waardoor het mogelijk onveilige karakter van het open WirelessLeiden netwerk vervalt. Naast deze hardware matige en software matige eisen zijn er nog vier andere organisatorische eisen nodig waaronder:

1. toegang/inlog-gegevens tot de centrale eduroam/surfnet/surf-foundation identityprovider koppel server.
2. ip whitelisting voor toegang tot die server.
3. inlog/account/"USER"-gegevens voor gebruikers van een aan eduroam gelieerde onderwijsinstelling.
4. certnode die het creeeren van certificaten en config bestanden voor "openvpn" faciliteert.
5. build/test/flash-machines voor config en firmware (ssh scp sshpass telnet etc)
6. internet?

Met deze middelen en een complete voor zover mogelijk lineaire stap voor stap handleiding (die nu gaat volgen) is een plug en play exploitatie van eduroam toegangspunten waar dan ook binnen het Wireless Leiden netwerk snel en eenvoudig te realiseren. Door het gebruik van het opensource software RouterOS ​OpenWRT, [http:/www.freebsd.org FREEBSD] en gerelateerde software projecten, is deze setup niet gelimiteerd aan een enkel merk en of type hardware. Een kleine aanpassing aan de configuratie bestanden zou een vereiste kunnen zijn voordat het op ander hardware platvorm werkt. Deze handleiding zal overigens alleen gespitst zijn op Ubiquity AP's zoals Bullet m2HP/Nano station/loco m2 en via-epia-m/alixboard als radiusproxy/server & gateway. Als uitgangssituatie om deze handleiding te uit te voeren word ubuntu 12.04LTS AMD64 gebruikt!

1 setup eduroam AccessPoints

1.1 hardware & software

Met deze flexibele fundering is het doel om accesspoints die maar in sumiere opzichten van elkaar te verschillen zo gemakkelijk en snel mogelijk in grote hoeveelheden geautomatiseerd te kunnen configureren. Het verschil tussen de accesspoints komt deels uit hoek van beveiliging, deels uit de hoek van locatie en natuurlijk de toepassing. Als een enkel accesspoint gehackt is kan deze los van de andere accesspoint toegang tot de radius proxy ontzegt worden (door zijn openvpn sleutel in te trekken) daardoor zijn de andere accesspoints nog operationeel. Als toepassing is het handig dat het eduroam accesspoint op de burcht in Leiden als multi SSID "ap.burcht.wleiden.net" heet en de eduroam accesspoint bij de HortusBotanicus als multi SSID "ap.hortusbotanicus.wleiden.net". Als toepassing kan het wenselijk zijn kleine / goedkopere AP's te monteren op plaatsen waar grote AP's met losse sector antennes niet mogelijk zijn en natuurlijk niet te vergeten de beschikbare wifi kanalen 1,6,11. Deze voorbeelden duiden erop dat er toch kleine specifieke wijzigingen tussen de AccessPoints configuratie bestanden wenselijk zijn.

In tegenstelling tot de oude handleiding(onderaan deze pagina) word momenteel gebruik gemaakt van een fixed OpenWRT releases waaronder Backfire 10.03.1 of zelfs Atitude Adjustment 12.0.9 final. Dit niet alleen omdat het bouwen van een custombuild onnodig is geworden omdat "openvpn" inmiddels als pakket direct gebruiksklaar en beschikbaar is voor de 10.03.1 / 12.09 releases. Maar vooral omdat compileren van een openwrt build omgeving en image erg veel tijd, moeite en veel variabelen introduceert in een al experimentele infrastructuur. Met fixed releases kan in minder dan 5 minuten direct een werkend accesspoint prototype gerealiseerd worden en dat zelf voor verschillende type accesspoints(mits daar openwrt images voor zijn)! Wel zou via custom gecompileerde releases het geheugen gebruik en processor belasting geoptimaliseerd kunnen worden door het weglaten van ongebruikte pakketten. Update, inmiddels is het ook al mogelijk om direct via de default AirOS software dat op de Ubiquiti AP's al aanwezig is een dergelijke opstelling te maken(enkel openvpn ontbreekt)!

1.2a fixed release OpenWRT based

Via de volgende shell commands zal de software "Backfire" en de configuratie in de AP's geplaatst worden, eerst lokaal alles laden en vervolgens flashen en installeren en configureren:

### prepare a workfolder to setup all software and config files
mkdir ap-bullet
cd ap-bullet

## download openwrt bullet firmware image
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/openwrt-ar71xx-ubnt-bullet-m-squashfs-factory.bin

### openwrt bullet packages
mkdir packages
cd packages

## download wpad since included wpad-mini does not support EAP!
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/wpad_20111103-2_ar71xx.ipk

## download openvpn packages
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/openvpn_2.1.4-3_ar71xx.ipk
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/kmod-tun_2.6.32.27-1_ar71xx.ipk
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/libopenssl_0.9.8r-1_ar71xx.ipk
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/zlib_1.2.3-5_ar71xx.ipk
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/liblzo_2.04-1_ar71xx.ipk

# download optional packages
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/nano_2.2.6-1_ar71xx.ipk
wget http://downloads.openwrt.org/backfire/10.03.1/ar71xx/packages/libncurses_5.7-2_ar71xx.ipk

### flash firmware
# put Ubiquiti device in tftp recover mode
# unplug/poweroff the device
# power on "while keeping the reset button pressed" for atleast 8/15 sec!
# when blinking red/green the reset button can be released
# the device is now in tftp mode
# todo get in tftp without reset button... but via triggering mtd?

## use / install tftpclient utility to flash the openwrt image
tftp 192.168.1.20
	binary
        trace
        put ../openwrt-ar71xx-ubnt-bullet-m-squashfs-factory.bin
        quit

## use telnet to setup a password for the ssh session 
telnet 192.168.1.1
        passwd #type a new password
        exit

## use scp to upload all packages for install
scp -r packages root@192.168.1.20:/tmp/

## use ssh to uninstall wpad and install other packages
ssh root@192.168.1.20 "opkg remove wpad-mini;install /tmp/packages/*.ipk;exit"

## use scp to backup current config files to local pc
scp -r root@192.168.1.20:/etc .#inclode the dot '.' at the end!

Settings that differ among AccesPoints like multiSSID,ipadress,wifichannel,hostname,etc are coloured!

## only a couple of files needs editing/configuring this will be done locally
#/etc/config/dhcp
#/etc/config/firewall
#/etc/config/network
#/etc/config/system
#/etc/config/wireless

#/etc/init.d/openvpn
#/etc/init.d/sysntpd

#/etc/firewall.user
#/etc/inittab
#/etc/rc.local

#/sbin/wifi-update
#/usr/sbin/iopenvpn

##TODO
ssh root@192.168.1.1
vi /etc/config/network #correct settings
vi /etc/config/system  #correct timezone
vi /etc/init.d/sysntpd #MAINSER/peers/gateway start stop enable?
reboot;exit

ssh root192.168.1.1
# check date
date

# upload openvpn config and keys (keys.tar)
# run this script from local pc shell
sh upload 

# fix permission on file
/etc/openvpn/up.sh #heeft geen chmod +x flag ;-)

# check / correct following in /etc /sbin /usr/sbin
reboot;exit

# if it won't work try
ssh root@bullet
wifi
wifi-update
reboot;exit
# the end :-D

==== 1.2b quick&dirty Ubiquiti AirOS based ====
De huidige 5.5.4 Ubiquiti AirOS software maakt het mogelijk het AP direct als radius "client" te laten fungeren. Dit is handig voor snel testen of uitrollen van inpandige afgeschermde infrastructuur waarbij het encrypten van het radius en internet verkeer via openvpn niet nodig is! Het is zo eenvoudig dat je enkel na het resetten van het apparaat, hem als normaal AP configureert(vergeet AirMax niet uit te zetten!) dan geef je bij Wireless security geen WPA2-"PSK" maar "EAP" op. Direct verschijnt er een optie om een Authenticating radius server/proxy op te geven met IP:PORT:secret wanneer deze ingevuld worden is er direct al een werkend wpa2 enterprise AP oftwel eduroam! Verdere setup met NAT/Bridging/VLAN is wel aan te beleven maar moet nog uitgezocht worden.

=== 2 setup RadiusServer/Proxy  & gateway ===
Moet nog uitgezocht / getest worden, zie oud voorbeeld!!! Wel kan ik specifieke veranderingen van config bestanden en opties/parameters toevoegen aan de huidige setup! zoals openvpn server settings etc opstart bestanden en parameters. 

==== 2.1 Install FreeBSD 8.3 and services ====
TODO voltooid, oude handleiding geupdate maar zeer gebrekkig en functioneerd nog niet waarschijn firewall rules...

==== 2.2 Install debian 6 wheezy and services ====
TODO Inmiddels is er een op debian 6 wheezy gebasseerde release nagebouwd, deze werkte tijdelijk en moet nog uitgeschreven worden.

=== certnode sunfire uitzoeken ===
ping sunny.wleiden.net / 172.16.4.46
Heeft huub destijds uitgevoerd! Waar en hoe dat plaatsvind is nog onduidelijk

= Old HOWTO =
== A. Achtergrond informatie ==

De afgelopen jaren is een technische oplossing ontwikkeld, in samenwerking met de Hogeschool Leiden, om Eduroam mogelijk te maken over een open netwerk zoals dat van Wireless Leiden.

 - het afstudeerverslag van Richard (technisch is er een andere oplossing ontwikkeld, maar de algemene aanpak wordt hierin beschreven): http://svn.wirelessleiden.nl/svn/projects/802.1x/afstudeerproject_2008/afstudeerverslag.pdf
 - na het afstudeerverslag van Richard zijn enkele studenten bezig geweest een technische oplossing te ontwikkelen, onder andere met steun van Stichting NLnet: http://www.cugar.org, http://nlnet.nl/project/cugar/ en externe begeleiders
 - parallel is een wat andere oplossing ontwikkeld door Richard, als vrijwilliger van Wireless Leiden op basis van [http://www.ubiquity.com Ubiquity] hardware (bullet2HP).

We willen nu een test doen met een prototype. Hiervoor is een openvpn-server geinstalleerd in het kantoor van Prof. Katzy, verbonden aan NodePlantsoen2, met een verbinding naar een authenticatieserver van Surfnet. De resultaten van dit project worden hier gerapporteerd.

== B. Configureren van Bullet2HP als Eduroam accesspoint ==

De procedure is als volgt:
 - bouw een keer de OpenWRT-image
 - upload de image naar de Bullet2HP
 - upload individuele vpn info naar de bullet (dus niet openwrt opnieuw bouwen)

=== B.1 Opzetten van een host machine voor OpenWRT-images ===

De hostmachine is een PC met Ubuntu 11.10 waarbij de packages subversion, build-essential, flex, gettext, libz-dev, gawk, ncurses, libncurses5-dev en ncurses-term en tftp.

 1. Checkout the files we need
{{{
  svn co svn://svn.openwrt.org/openwrt/branches/backfire eduroam
  svn co http://svn.wirelessleiden.nl/svn/code/eduroam-bullet/trunk/openwrt-package/post/ eduroam/package/post/
}}}
 2. cd into the build directory
{{{
  cd eduroam
}}}
 3. update Feeds
{{{
 ./scripts/feeds update
 ./scripts/feeds install -a
}}}
 4. Copy build config
{{{
  cp package/post/config .config
}}}
 5. BUILD
{{{
  make
}}}

Volgende stappen nog niet getest
 6. A. If you have a fresh new Air OS install you can upload the following image to
       your bullet. You will get a message that this is not a ubnt image, you 
       can ignore this message. Just in case be ready to use method B 
       (recovery mode) with a ubnt image.
       bin/ar71xx/openwrt-ar71xx-ubnt-bullet-m-squashfs-factory.bin
    B. You need a tftp client for this, tested on Ubuntu 10.10
       1. First of all, power off the device 
       2. Set your laptop in the 192.168.1.0/24 range, not being 192.168.1.20
       3. Connect the Bullet to your computer via a utp cable
       4. Begin by pressing the reset button. Keep holding it, then power the 
          unit on. Wait 8 seconds then release the button. Signal LEDs will be 
          lit indicating that the device is ready for recovery.
       5. On your computer go to the location of the OpenWRT build for your platform
{{{
cd bin/ar71xx/
}}}
       6. 
{{{
tftp 192.168.1.20
}}}
       7. 
{{{
bin
trace
put openwrt-ar71xx-ubnt-bullet-m-squashfs-factory.bin
quit
}}}
       8. Wait for a couple of minutes, your bullet will be reachable on 192.168.1.1 as openwrt

 7. Default password: Edur0@m

 8. Creating unique vpn info:

       1. Make up a fancy name, in this manual it will be 'name' or <name>
       2. Login into a certnode (For wl:sunfire)
       3. Execute from your own user: sudo eduroam-cert <name>  
       4. Output will look like:
{{{
sunfire% sudo eduroam-cert name
NOTE: If you run ./clean-all, I will be doing a rm -rf on /usr/local/share/doc/openvpn/easy-rsa/2.0/keys
Generating a 1024 bit RSA private key
.....++++++
.....................++++++
writing new private key to 'name.key'
-----
Using configuration from /usr/local/share/doc/openvpn/easy-rsa/2.0/openssl-0.9.8.cnf
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
countryName           :PRINTABLE:'NL'
stateOrProvinceName   :PRINTABLE:'ZH'
localityName          :PRINTABLE:'Leiden'
organizationName      :PRINTABLE:'WL'
organizationalUnitName:PRINTABLE:'Techniek'
commonName            :PRINTABLE:'name'
name                  :PRINTABLE:'WL'
emailAddress          :IA5STRING:'noreply@wirelessleiden.nl'
Certificate is to be certified until Feb 27 13:32:30 2022 GMT (3650 days)

Write out database with 1 new entries
Data Base Updated
}}}
      5. in you home directory "on cert node sunfire itself" there will be a file called <name>.tar, copy this file 
         to a network reachable the bullet locally
      6. untar it: 
{{{
tar -xf <name>.tar
}}}
      7. In the current directory there will now be a folder called keys, cd in to it
      8. execeute: 
{{{
sh upload <local ip of bullet>
}}}
      9. Enter the root password twice, after which your bullet will reboot
     10. You bullet can be connected to the network an will build a vpn connection according to the data in the tar file. Mind de default password and security flaws.


To add:
If something goes wrong I need the output of the following commands:

{{{
ls -l /usr/sbin/
cat /var/log/openvpn.log
ifconfig -a
iwconfig
}}}

Terug flashen van de oorspronkelijke ubiquity firmware op dezelfde wijze als boven omschreven, m.b.v. tftp. Dit moet in 'recovery modus': tijdens het opstarten de reset knop ingedrukt houden; het ip-adres van de bullet2 is dan weer 192.168.1.20.

== C. Opzetten van een Radius proxy ==

De Authenticatieserver is een Radiusserver. De gebruikersaccounts van een Eduroam-instelling zijn niet beschikbaar bij andere instellingen (dus ook niet bij Wireless Leiden). Om 802.1x/Eduroam op het Wireless Leiden netwerk te laten werken zijn geen gebruikersaccounts nodig, de authenticatieverzoeken kunnen doorgezet worden naar de Surfnet-Radiusserver (proxy). De Surfnet-Radiusserver stuurt het verzoek op zijn beurt door naar de Radiusserver van de deelnemende instelling waaraan de gebruiker verbonden is. De Radiusserver van deze deelnemende instelling bevat de gebruikersaccounts. De Accept of de Reject op het authenticatieverzoek wordt via het zelfde pad teruggestuurd, waarna de node toegang verschaft (of niet).

Op basis van het afstudeerwerk van Richard is [http://http://freeradius.org/ Freeradius] voor de Radiusserver. Deze open-sourcesoftware voldoet aan de eisen en Freeradius is ook wat betreft beschikbare opties de meest aantrekkelijke open-source Radiusserver.

Uitgangspunt: (embedded) pc met Freebsd 8.3(i386), minimal install

A. Installeer de volgende software, niet alleen "portsnap" maar ook "make" heeft een werkende internetverbinding nodig!!! (log in als root)
 
fetch ports
{{{
 $ portsnap fetch extract
}}}

installeer subversion
{{{
 $ make -C /usr/ports/devel/subversion install clean BATCH=yes
}}}

installeer openvpn
{{{
 $ make -C /usr/ports/security/openvpn-devel install clean BATCH=yes
}}}

installeer freeradius
{{{
 $ make -C /usr/ports/net/freeradius2 install clean BATCH=yes
}}}

installeer isc-dhcp42-server
{{{
 $ make -C /usr/ports/*/isc-dhcp42-server install clean BATCH=yes
}}}

Installed programms/binaries need to be defined as global? svn command not found
/usr/local/bin/svn #does exist!!!

checkout openvpn-wl
{{{
mkdir /usr/local/etc/openvpn #folder niet aanwezig
/usr/local/bin/svn co http://svn.wirelessleiden.nl/svn/code/eduroam-bullet/trunk/openvpn-wl/ 
/usr/local/etc/openvpn
}}}

vervang /usr/local/etc/raddb
{{{
rm -R /usr/local/etc/raddb
svn co http://svn.wirelessleiden.nl/svn/code/eduroam-bullet/trunk/radius-wl/ /usr/local/etc/raddb
chown -R freeradius:freeradius /usr/local/etc/raddb 
}}}

###edit only three files under /usr/local/etc/freeradius: users, eap.conf, and clients.conf

{{{
svn checkout http://svn.wirelessleiden.nl/svn/code/eduroam-bullet/trunk/files/ /usr/local/etc/ --depth empty
cd /usr/local/etc/
rm dhcpd.conf
svn up dhcpd.conf
}}}

B. Toevoegingen aan het configuratiebestand /etc/rc.conf

{{{
# enable: Freeradius
radiusd_enable="YES"

# enable: openvpn en tap
openvpn_enable="YES"
openvpn_if="tap"
ifconfig_tap0="192.168.4.1/24 up"

# We want to route the traffic
gateway_enable="YES"

# not described but exist in svn config

# Nodig voor bridges
cloned_interfaces="bridge0"

#gateway related
pf_enable="YES" #??? Firewall rules
dhcpd_enable="YES" #??? DHCP server 
ntpd_enable="YES" #??? Network Time for certificate validity
}}}

TODO:

TODO
TFTP without 15sec pen reset 
	default AIROS reboot into tftp mode parameter 5.5.4 mtd cat /proc/mtd

In dhcp mode achter een nat router werkt sysntpd niet meer, 
#/etc/config/network dhcp + peerdns 
/etc/config/dhcp disable rebinding de bovenste
/etc/rc.local sleep 5 ntpd -q -p pool.ntp.wleiden.net 

Proxy
openvpn multi clients with same key
duplicate-cn #in de server aanzetten werkt!
uitzoeken radiusd paramter
client to client ping???

nanostation 5ghz openwrt dif image
/etc/config/wireless
11na
channel 32-140
systemname
dhcp

wlan channels voor 5ghz ?