0

VPNの認証サーバーを構築しようとしています。
以下についてご教示頂けないでしょうか。

FreeRADIUSとopenLDAPはyumでインストールしました。

構成:

 PC(Windows7) → CiscoASAルータ → Freeradius(3.0.13) → OpenLDAP(2.4.44)

できること:

 OpenLDAPで登録したユーザーとパスワードを使用して、PC(Windows7)からのVPN認証はOK  

困っていること:

 OpenLDAPの ppolicy でパスワードの有効期限(maxPwdage)を設定しているが、
 パスワードの有効期限が切れた状態でもVPN認証ができてしまう。

知りたいこと:

 FreeradiusからOpenLDAPへの接続では OpenLDAPの ppolicy は効かない(無視される)?

   →ldapsearchコマンドなどでは "password expire" となり、ppolicy が効いていることは確認済み。

 ppolicy 以外で、パスワード有効期限切れの際にVPN認証できないようにする方法はありますか?

FreeRADIUSの各設定ファイルの変更点を記載いたします。

・/etc/raddb/radiusd.conf
    auth = yes 
    auth_badpass = yes
    auth_goodpass = yes

・/etc/raddb/users
    #DEFAULT        Framed-Protocol == PPP
    #       Framed-Protocol = PPP,
    #       Framed-Compression = Van-Jacobson-TCP-IP

    #DEFAULT        Hint == "CSLIP"
    #       Framed-Protocol = SLIP,
    #       Framed-Compression = Van-Jacobson-TCP-IP

    #DEFAULT        Hint == "SLIP"
    #       Framed-Protocol = SLIP

    DEFAULT         Auth-Type = LDAP
                    Fall-Through = Yes

・/etc/raddb/dictionary
    VALUE         Auth-Type               LDAP    5

・/etc/raddb/sites-enabled/default
            ldap

            Auth-Type LDAP {
                    ldap
            }

            ldap

・/etc/raddb/mods-enabled/ldap
            server = 'server01.radius.local'

            port = 389

            identity = 'cn=admin,dc=radius,dc=local'
            password = password

            base_dn = 'dc=radius,dc=local'

追加で必要な情報がありましたら取得しますので、言ってください。

1 件の回答 1

0

バージョンは freeradius-3.0.13, openldap-2.4.44 でしょうか。
radiusd と slapd はどのように連携していますでしょうか?

(A) freeradius の ldap モジュールで slapd に LDAP bind で認証
(B) LDAPユーザーを sssd や nslcd などで OS ユーザーに見せて、radiusd から PAM 認証
(C) slapd から userPassword 属性値を引いて、radiusd で認証

(A) の場合、ldapsearch と同様に ppolicy が効くはずです。
どこかでキャッシュが効いているのかもしれません。
認証の際、radiusd と slapd のログを確認すると毎回アクセスがあるかどうかわかると思います。

(B) の場合も ppolicy が効くはずですが、sssd, nslcd 側でキャッシュしているかもしれません。

(C) の場合、ppolicy は効きません。

14
  • sssdやnslcdを使用していないので、(A)か(C)なのですが、どちらに該当しているのかの確認方法を教えていただくことはできますでしょうか。 2018年3月14日 6:00
  • 質問文を編集し、設定内容を記載ください。 2018年3月15日 14:01
  • slapdのログを見ると「 conn=1031 op=1 SRCH attr=userPassword radiusControlAttribute radiusRequestAttribute radiusReplyAttribute」と出ているため、やはりuserPassword属性値を引いてしまっているのでしょうか。(A)を実現するために必要な設定を教えて頂けないでしょうか。 2018年3月17日 4:21
  • 連携方法は (A) ですね。 slapd のログで、SRCH の後に、ユーザーの dn で BIND しているログがあると思います。 まず、パスワードの有効期限が切れた状態で、radtest で認証に失敗することを確認ください。 radtest で認証に成功するのであれば、Fall-Through で LDAP 以外のユーザー情報を見ているか、キャッシュが有効になっている可能性が考えられます。 認証の際の radiusd と slapd のログを確認ください。 radtest で認証に失敗、VPN で認証に成功するのであれば、VPN 側でキャッシュしている可能性が考えられます。 2018年3月17日 8:55
  • radtestで何も指定しないかpapを指定した場合認証失敗します。mschapを指定すると成功します。新規で作ったユーザーでパスワード有効期限切れにしてからログインしても同じ状況です。 2018年3月18日 2:23

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。