Freesco, NND, CDN, EOS

W związku z dyskusjami na forum dotyczącymi bezpieczeństwa sieci WLAN i zastosowania radiusa, troche zacząłem się zajmowac tematem. Pierwszy post o radiusie pojawił się już wiele miesięcy temu, jednak jakieś próby wykorzystania - dopiero niedawno. Z moich obserwacji wynika, że w zasadzie zastosowanie radiusa jest mizerne.
Ponieważ jednak miałem trochę sygnałów, że jakiś sposób uwierzytelniania użytkowników radiowych w nnd by sie przydał, zacząłem szukać. Nie miałem zaufania do zastosowania pppoe i tworzenia wielu interfejsów dla każdego zalogowanego użytkownika. Znalazłem za to coś, co po dopracowaniu może spełnić wymagania. Program chillispot połączony z freeradiusem.
Na razie mam tylko informację, że udało mi się to uruchomić w najprostszej konfiguracji, ale możliwości chyba są.
Wykonałem dwie bardzo eksperymentalne paczki. Testowałem to w zasadzie tylko przez parę godzin podczas weekendu. Liczę, że znajdą się chętni. Jednak nie polecam testów nikomu, kto ma komercyjne sieci, a raczej tym którzy wifi używają w domu lub mają to dla paru zaledwie userów.
Paczki są tutaj - chillispot wymaga apacza z SSL, opcjonalnie mysql (jeśli będziemy korzystać z baz, a w takim przypadku również php). W samym pakiecie nie ma wpisanych żadnych zależności. Freeradius został skompilowany na openssl 0.9.7 (to może mieć znaczenie) - nie mam pojęcia, czy może mieć potrzebne do pracy zależności (został zainstalowany na prawie czystym nnd).
Tutaj znalazłem opis, który może się przydać. Warto też odwiedzić stronę chilli oraz freeradiusa.
Poniżej umieszczam PKGBUILDy dla tych, którzy by chcieli samodzielnie kompilować.


Osoby, które zechcą wziąć udział w testach, muszą się wyakazać pewną znajomością angielskiego, bo dokumentacja po polsku jest prawie zerowa.
Sam nie będę mógł kontynuować testów aż do następnego weekendu, ale proszę o kontak na priv, jeśli ktos zechce mi pomóc.

_________________
Belfer.one.PL
Audio Cafe

Parę uwag na przyszłość co do PKGBUILDów żeby były bardziej ustandaryzowane i przejrzyste:
1. A co jeśli ktoś nie ma apache? chillispot wrzuci się byle gdzie.
2. Pakiety budują sie dla i686 a powinny dla i586 należy dodać --host=i586-pc-linux-gnu do configure
3. Należy używać install zamiast cp i chmod
4. Dlaczego cgi ma właściciela i grupę nobody?
5. Radius instaluje pliki /var/ w /usr/var a powinien wiadomo gdzie
6. Aby pokazać gdzie ma być /etc i gdzie ma być /var podajemu parametry do configure zamiast mv'ować pliki/katalogi
7. Config chillspota ma 755 ? config raczej powinien mieć 644

PS. Ładne schodki

PS2. poprawię PKGBUILDa i podam tu

EDIT:
oto PKGBUILDy:




Oczywiście Maciek wymyśli jakieś ładne wypełnienie zmiennej pkgdesc= dla obu pakietów, oczywiście po polsku.
Zmienne depends i makedepends też muszą być wypełnione... Na jakiej licencji jest freeradius?

EDIT2:
dodałem do CVS żeby kontrolować rozwój PKGBUILDów

_________________
Ten post Ci pomógł? Zaznacz go jako pomocny .

wg freeradius.org projekt jest na licencji GPL

_________________
| ArchLinux X64 2.6.29-6 (Custom) @ IBM eServer 235
| Intel Xeon 2,4GHz (x2) : 2GB RAM : 2x36GB SCSI (RAID1)
| httpd2.6 mysql exim dhcpd named proftpd stats niceshaper06
| WAN: 35|35 mb/s (GTS) @ 500+ hosts

ad 1. Chillispot wymaga apache, i zgodnie z tym, gdzie apache trzyma pliki, tam dodałem plik cgi. W twoim pakiecie będzie problem z szukaniem...
ad2. Napisałem, że to na gorąco i nie mam czasu się bawić...
ad 3. Może i owszem...
ad 4. A co sugerujesz? roota? Apache nie pozwoli na wykonanie tego skryptu o ile dobrze pamiętam...
ad 5. Z freeradiusem jest duży problem.. ale o tym innym razem..
ad 6. Hehe.. też tak myślałem i budowałem paczkę wiele razy...
Na pewno według twojego pkgbuilda się paczka nie zbuduje.
ad 7. ma 644.

_________________
Belfer.one.PL
Audio Cafe

Popatrzyłem trochę na radiusa i wychodzi, że zamiast:


wystarczy dać:



Pozostałe uwagi MaćkaS odnośnie podawania ścieżek do configure się zgadzają, z tym, że należy zmienić ścieżkę w zmiennej run_dir (żeby zapisywał pid tam gdzie wszystkie inne) w pliku radiusd.conf.in oraz dokładnie sprawdzić ścieżki we wszystkich scriptach - wygląda że chyba nie są modyfikowane.
MaciekS - NIE USUWAMY PLIKÓW *.la już o tym rozmawialiśmy. Wszyscy wiemy że potrafisz używać find i już nie musisz się chwalić
Nie ma konieczności dodawania - na podstawie flag uruchamiany jest odpowiedni kompilatr, a flagi mamy ustawione na i586. Oczywiście nie szkodzi jeśli się to doda do configure. To na razie tyle...

P.S. jest 2.15 i jeśli się gdzieś pomyliłem to wybaczcie.

EDIT:
I oczywiście brakuje scriptu startowego...

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

1. powstaje pakiet freeradius-devel który ma tylko pliki *.la w sobie i kompletnie bezużyteczny
2. jak nie dodałem --host=i586-pc-linux-gnu to configure pokazywał :
więc nie wiem w sumie jak to jest z tymi flagami w makepkg.conf

_________________
Ten post Ci pomógł? Zaznacz go jako pomocny .

nie wiemy tego na 100%. Być może jakiś program dostosowany do współpracy z freeradiusem będzie potrzebował danych zawartych w tych plikach podczas kompilacji. Bezpieczniej jest je zostawić, tym bardziej że wszystkie razem zajmują tylko 38 KB. A pakiet *-devel w wiekszości przypadków nie musi być instalowany.



ano dobrze jest. configure sprawdza tylko jaka jest architektura, natomiast flagi są istotne na etapie kompilacji:

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Wiecie co, ta cała dyskusja o robieniu paczek, to ma się tu jak pięść do nosa.
Od samego początku powiedziałem, że zrobiłem to testowo, w domyśle, że jeśli będzie działało to zrobi się to porządnie i paczka znajdzie się w repozytorium. Bo jeśli tego nie przetestujemy i nie będzie przydatne, to całą paczkę o kant d... potłuc. Na razie udało mi się to odpalić w najprostszej konfiguracji.. tzn wszystkie dane dotyczące usera w pliku tekstowym (users), ale wpisywanie tam wszystkiego dla np. dwustu userów to makabra, zmiany i edycja też. Potem spróbowałem z mysql. Problem w tym, że jak już ktoś pisał, bibliotekę rlm_sql_mysql.so trzeba sobie zorganizować. Jest ona w paczkach dla mandrivy i innych systemów, ale w czystych źródłach freeradiusa tego nie ma. Piszą, że jest wsparcie dla mysql, ale chyba trzeba by jakichś patchów szukać. Poza tym, że udało mi się wprowadzić do bazy usera i hasło, to niczego więcej radius nie czyta z tej bazy. Jest niby ten dodatek dialup_admin, ale to jest jeszcze bardziej zagmatwane niż wprowadzanie danych w konsoli.
W każdym razie panowie nad paczką to się będziemy zastanawiać, jak się ona do czegoś przyda, bo na razie, zastosowanie jest mizerne.

_________________
Belfer.one.PL
Audio Cafe

nie do końca się zgadzam - brak scriptu startowego - nawet nie wiadomo co uruchomić... bo po spaczkowaniu nie ma dokumentacji... a ty tego nie napisałeś (albo ja przeoczyłem). nadal uważasz, że takie robienie na chybcika ma sens? Nie lepiej dokładnie dowiedzieć się jak to działa i dopiero wtedy dopasowywać do systemu w którym ma działać? Piszesz "bibliotekę trzeba sobie zorganizować", a nie powinno być tak, że jesli jest potrzebna to albo jest dostarczana z pakietem, albo przygotowuje się drugi pakiet i odpowiednio ustawia zalezności? IMVHO robiebnie tego inaczej to rzeźbienie w g^W^W^W miękkim materiale...

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

jeseli wymagane sa jakies biblioteki do wpisujemy do zaleznosci jezeli ich nie mamy (w repo NND) to rowniez musimy je zbudowac.
Tak bylo jest i bedzie
A skrypt startowy msui byc!!
Tak tez bylo jest i bedzie

_________________

Problem w tym, że ja szukałem chętnych do potestowania i tym samym kontaktu na priv, gdzie mógłbym ewentualnie pomóc. Co komu z super poprawnie zbudowanej paczki, która nie działa? Nie chciałem wcale, żeby dodawać to do repozytorium, bo za wcześnie, pkgbuildy, które zrobił MAC!EK są ze wszech miar poprawne, wręcz modelowe, tylko niech spróbuje z nich coś zbudować.
Co do rlm_sgl_mysql.so, to proszę bardzo, niech się znajdzie ktoś mądry, który to zbuduje. Tylko ciekawe z czego, bo w źródełkach nic nie ma. Developerzy dystrybucji nakładają jakieś patche, ale jakie i skąd je biorą, dlaczego developerzy freeradiusa piszą, że jest wsparcie dla mysql - a tak naprawdę go nie ma, to kolejna zagadka. Na razie próbowałem po prostu to odpalić i będę w weekend dalej próbował. Problem jest w tym, że w kompilacji musiałem wyciąc rlm_pam i po przejrzeniu wszystkiego co mam na swoim nnd do kompilacji widzę, że bez tego nie będzie obsługi szyfrowanych haseł, a z tym z kolei się nie kompiluje. Czegoś w nnd brakuje, ale za cholerę nie wiem czego.
Proponuje dać sobie spokój z pkgbuildami, bo umieszczenie phgbuilda z którego się nic nie zbuduje to marny pomysł. Jeśli uda mi się rozwiązać problemy, wtedy będziemy myśleć o poprawieniu pkgbuildow zeby ladnie i profesjonalnie wygladały.
PS. Skryptów startowych też celowo nie robiłem, bo za cholerę nie wiedziałem, co i z jakimi parametrami trzeba będzie uruchamiać.

_________________
Belfer.one.PL
Audio Cafe

a miałeś zainstalowane mysql-devel ? może było potrzebne?
na builderze powstawły takie pliczki mające w nazwie sql:
etc/raddb/mssql.conf
etc/raddb/oraclesql.conf
etc/raddb/postgresql.conf
etc/raddb/sql.conf
usr/bin/radsqlrelay
usr/lib/rlm_sql-1.1.0.so
usr/lib/rlm_sqlcounter-1.1.0.so
usr/lib/rlm_sqlcounter.so
usr/lib/rlm_sql_log-1.1.0.so
usr/lib/rlm_sql_log.so
usr/lib/rlm_sql.so

jest też coś takiego jak gnuradius... może będzie lepszejszy?

_________________
Ten post Ci pomógł? Zaznacz go jako pomocny .

Z twojego postu to akurat nie wynikało. Napisałes mniej więcej: "macie paczkę, ja nie mam czasu do następnego weekendu"...



jak na razie trafiło do cvs tylko. Po to że jesli okaże się że jakieś wprowadzone zmiany okażą się zbędne będzie można łatwo wrócić do ostatniej "poprawnej" wersji



Otóż wszystko się ładnie buduje... Mac!ek próbował, ja też...



Nie zgłębiałem dokumentacji, ale wierzę, ze coś na ten temat będzie można znaleźć. Jak nie w dokumentacji freeradiusa to w dokumentacji lub specu tej biblioteki z Mandrivy...



Pozwól, że spróbuję wyjaśnić dlaczego prawidłowy PKGBUILD jest istotny już na etapie testów. Poszczególne elementy każdego programu porozumiewają się za pomocą zmiennych. Niektóre z tych zmiennych są definiowane na etapie wykonywania scriptu configure. Z różnych względów przyjęto, że wykonanie ./configure && make && make install skompiluje i zainstaluje program w katalogu /usr/local i podkatalogach. Podając do configure parametr prefix=/usr zmieniasz to zachowanie - program będzie się instalował w /usr i jego podkatalogach. Jeśli zrobisz configure --help w katalogu ze źródłami to zobaczysz że katalog z plikami konfiguracyjnymi jest oznaczony ${PREFIX}/etc czyli po kompilacji radius szuka plików konfiguracyjnych w /usr/etc/raddb... a taki katalog nie istnieje bo go ręcznie przeniosłeś do /etc. Tylko program tego nie wie bo na etapie configure nie podano mu zmiennej sysconfdir. Więc albo bierze jakieś wartości domyślne, albo się wywala... Podobnie z innymi katalogami. Testowanie takiego programu to jak gra w kręgle z zawiązanymi oczami.
Prawidłowo przygotowany PKGBUILD gwarantuje, że przynajmniej problemów z położeniem plików nie ma i można się skupić na konfiguracji.



a jednak napisałeś że ci się udało uruchomić w jakiejś ograniczonej konfiguracji. Szkoda tylko, że nie podałeś jakim poleceniem uruchamiałeś.


P.S. sorry za nieco mentorski ton :-p

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

ad MAC!EK
radius, który wcześniej robiłem i który jest w testing, to chyba jest właśnie ten gnu.
ad Mis'
To fakt,że wszystkiego nie napisałem dokładnie, ale szkoda niewielka, nikt się nie odezwał, a niedawno jeszcze bombardowano mnie zapytaniami o radiusa i logowanie userów przed rozpoczęciem korzystania z netu.

Posiedziałem nad tym wczoraj i udało mi się sposobem nieeleganckim ale skutecznym zrobić paczkę, w której jest rlm_sql_mysql.so.

Jak widać po wykonaniu komendy make, trzeba wejść do katalogu ze źródełkami tego rlm_sql_mysql i tam osobną kompilację zrobić, powróćić do głównych źródeł i dopiero wykonać make install.

_________________
Belfer.one.PL
Audio Cafe

To chyba 2 różne projekty:
http://www.gnu.org/software/radius/
http://www.freeradius.org/

_________________
Ten post Ci pomógł? Zaznacz go jako pomocny .

Tak. Ten piwerwszy jest w testing i chillispot z nim za cholerę nie chciał ruszyć, na stronie rekomendują freeradiusa i stąd moja kompilacja.

_________________
Belfer.one.PL
Audio Cafe

Powiedz czy ci to działa, bo o ile zrozumiałem to co piszą w źródłach, to sugerują aby wszystkie moduły były linkowane statycznie (i tak chyba jest domyślnie, jeśli nie to chyba trzeba dodać --with_static_modules="lista modułów" do configure). W takiej sytuacji ta biblioteka jest niepotrzebna bo jest zawarta w rlm_sql.

Co do problemów jakie miałeś z kompilacją z obsługą pam, to po prostu brakowało ci pakietu pam-devel. Wszystko się ładnie kompiluje...

Script startowy jest (/usr/sbin/rc.radiusd) wystarczy go tylko dostosowac do NND.

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Mam pam-devel i chyba wszystkie możliwe devele, jakie są w repozytorium.
Z tym, że jak wspominałem, do testowania mam wersję nnd z openssl 0.9.7 i taką samą do kompilacji. Wy to robicie na nowszej wersji, więc być może coś jest zmienionego w pakietach.
BTW nowsza wersja freeradiusa 1.1.1 wywalała mi tyle błędów, że szlag mnie trafił.

Niestety bez tego rlm_sql_mysql nie chciało działać. Wczorajszy pakiet nietestowany, bo dopiero w piątek wrócę do domu.

_________________
Belfer.one.PL
Audio Cafe

raczej w programie...



chwilę się pobawiłem. Wychodzi mi, że gdzieś mają błąd w Makefile (albo czymś podobnym) i podczas instalacji nie jest tworzony katalog /usr/lib a to co miało wejść do /usr/lib ląduje bezpośrednio w /usr. Po ręcznym zrobieniu katalogu skompilowało się bez problemów.

Co do rml_mysql to podczas kompilacji (albo raczej linkowania) cały czas wywala błąd "nie znalazłem mysqlclient_r". Faktycznie nie ma takiego czegoś w mysql. Nie znam się na bazach danych więc nie wiem nic więcej na ten temat.

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Może trochę na wyrost wyciągnięte wnioski:

freeradius z obsługą mysql pod NND nie ma raczej szans ruszyć. Zbyt duże niezgodności. W NND mamy openssl 0.9.8, mysql 4.0.25. O ile dobrze rozumiem to przy tej wersji opessl wymagana jest nowsza wersja mysql. Freeradius poszukuje plików, których w naszej wersji mysql nie ma, są natomiast w wersji 5.x. Z drugiej strony downgrade do openssl 0.9.7 (Maćkowi pod tą wersją openssl udało się skompilowac biblioteki do obsługi mysql) nie wchodzi w rachubę z wielu powodów.

Co prawda pozostaje pam, shadow i inne bazy danych. freeradius z obsługą pam i shadow kompiluje się, innych baz niż mysql nie próbowałem. Tak więc częściowe działanie freeradiusa pewnie dałoby się uzyskać.

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)