Forum Debian Users Gang

Potrzebuję wyłączyć PAP dla połączeń bez tlsa,

Na razie znalazłem sposób, jak pozwolić tylko na eap, ale chcę zostawić mschapv2 i chap.

Zablokowanie innych form logowania niż EAP sprowadza się do takiego kawałka w policy.conf:

    permit_only_eap {
        if (!EAP-Message) {
            #  We MAY be inside of a TTLS tunnel.
            #  PEAP and EAP-FAST require EAP inside of
            #  the tunnel, so this check is OK.
            #  If so, then there MUST be an outer EAP message.
            if (!"%{outer.request:EAP-Message}") {
                reject
            }
        }
    }

i dodania w Vhosie opcji:
   

authorize {
        preprocess
        permit_only_eap
        chap
        mschap
        digest
        sql
...

Tylko potrzebuję to jakoś przerobić, żeby pozwalało na chap, mscaphv2 i eap.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2015-03-23 17:50:58)

Właśnie nic sensownego nie udało się osiągnąć, próbowałem tego:

authenticate {
...
        Auth-Type PAP {
                reject
        }
...
}

I albo nie działa, albo się wywala z powodu składni konfigu,
pochodzi z tego sznurka:
http://lists.freeradius.org/pipermail/freeradius-us … y/066764.html

Wyczaiłem tylko, że w tej i nowszych  wersjach radiusa:

net-dialup/freeradius-2.2.5 mysql odbc pam pcap readline ssl

takie rzeczy się robi przez policy.conf, tylko nie wiem, jakie zmienne określają próbę autoryzacji PAP, CHAP i MSCHAP..

Ostatnio edytowany przez Jacekalex (2015-03-23 18:20:22)