# Anleitung/Tipp: Radius Peap-Mschapv2 mit ntlm\_auth für WPA2-Enterprise **URL:** \ **Category:** v7-Betatest\ **Created:** [10. August 2019 um 11:49 UTC](https://ask.linuxmuster.net/t/anleitung-tipp-radius-peap-mschapv2-mit-ntlm-auth-fuer-wpa2-enterprise/3956 "2019-08-10T11:49:14Z")\ **Posts on this page:** 1\ **Showing post:** 1
**Author:** ![foer](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/f/ac8455/32.png) [@foer](https://ask.linuxmuster.net/u/foer)\ **Post date:** [10. August 2019 um 11:49 UTC](https://ask.linuxmuster.net/t/anleitung-tipp-radius-peap-mschapv2-mit-ntlm-auth-fuer-wpa2-enterprise/3956/1 "2019-08-10T11:49:14Z")
Hallo, den Radius auf der Opnsense habe ich nach einer Woche testen in die Ecke geschmissen, weil er einfach nicht mit meinen UnifiAP’s und der AD zusammenarbeiten will. Ich habe daher kurzerhand einen Radius auf dem lmn7-server installiert und eingerichtet. Genauso gut kann man den Radius auf eine eigene Maschine (z.B. den Unificontroller) auslagern. Die folgende Anleitung muss dann nur noch darum ergänzt werden, dass diese Maschine zuerst in die Domäne aufgenommen werden muss. Ich habe für mein Setup keine Sicherheitsbedenken, den Radius direkt auf dem Server zu betreiben, da die Anfragen nur aus einem einzelnen internen Subnetz kommen und ich nur von dort Radiusanfragen zulasse. **1. Freeradius installieren und aktivieren:** ``` #apt install freeradius #systemctl enable freeradius.service ``` **2. ntlm\_auth in samba erlauben:** Einfügen von: `ntlm auth = yes` in die _/etc/samba/smb.conf_. Danach samba-ad-dc neu starten: ``` #systemctl restart samba-ad-dc.service ``` **3. Radius konfigurieren:** - Freeradius Zugriff auf winbind geben: - Einfügen von `ntlm_auth` ganz am Anfang unter authenticate unter _/etc/freeradius/3.0/sites-enabled_ in die Dateien **default** und **inner-tunnel** : - Ändern der Datei unter _/etc/freeradius/3.0/mods-enabled/mschap_ wie folgt: - Ändern der Datei unter _/etc/freeradius/3.0/mods-enabled/ntlm\_auth_; zuerst das Kommentarzeichen # entfernen, dann die Zeile folgendermaßen anpassen: - Einfügen der folgenden Zeile in die /etc/freeradius/3.0/users ganz oben: - Freeradius neustarten: **WICHTIGE Bemerkung:** Das Defaultverhalten der lmn7 ist, dass ein neu angelegter User immer in der Gruppe wifi ist, d.h. auch alle Schüler dürfen erstmal ins Wlan! Die Steuerung der Gruppenzugehörigkeit geht auf der Konsole über: ``` #sophomorix-managementgroup --nowifi/--wifi user1,user2,... ``` Es wäre also extrem umständlich, alle Schüler einzeln aus der Gruppe zu schmeißen. Man kann das aber recht schnell erledigen. Alle User des Systems auflisten und in eine Datei schreiben: ``` #samba-tool user list > user ``` Jetzt entfernt man alle User aus der Liste, die immer ins Wlan dürfen sollen. Danach baut man die Liste zu einer Kommazeile um mit: ``` #less user | tr '\n' ',' > usermitkomma ``` Jetzt kann man das an den o.g. sophomorixbefehl übergeben: ``` #sophomorix-managementgroup --nowifi $(less usermitkomma) ``` Das kann man natürlich auch alles in ein Script packen. **4. Firewallregeln anpassen:** - Auf dem Server unter _/etc/linuxmuster/allowed\_ports_ den Radiusport _1812_ eintragen: - Auf der Opnsense: ![Bildschirmfoto-20190810134545-3068x76](https://ask.linuxmuster.net/uploads/default/original/2X/5/5f29168312775ef99204af87d84c1a4564c619f1.png) Jetzt sollte die Authetifizierung per WPA2-Enterprise funktionieren, sofern der Testuser in der Gruppe wifi ist. Ein Zertifikat ist nicht nötig. Sollte das nicht funktionieren hält man den Freeradiusdienst an und startet ihn im Debugmodus. ``` # service freeradius stop # service freeradius debug ``` Jetzt sieht man alle Vorgänge während man sich versucht mit einem Device zu verbinden. VG Dominik --- _[View the full topic](https://ask.linuxmuster.net/t/anleitung-tipp-radius-peap-mschapv2-mit-ntlm-auth-fuer-wpa2-enterprise/3956)._