Hallo Felix,
vielleicht bist Du auch nach dieser Doku gegangen? Also den Radius Server auf der OPNsense.
https://docs.linuxmuster.net/de/latest/systemadministration/network/radius/index.html?highlight=radius#ldap-einrichten
Dann könntest Du über denselben Fehler(?) in der Doku bzw. dem OPNsense Setup stolpern wie ich.
In der Doku wird folgender Benutzerfilter empfohlen, welcher bei mir nicht funktioniert:
(&(objectClass=person)(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})(memberOf=CN=wifi*))
Zum Test den Benutzer aus der Gruppe „wifi“ entfernen:
root@server:~# sophomorix-managementgroup --nowifi ipadwlan
...
USER: ipadwlan is in school default-school
group is wifi
ipadwlan --> wifi (remove)
#### Removing member from wifi: ####
* User ipadwlan exists (1 results)
* Removing user ipadwlan from group wifi
...
Radius Test - Der Benutzer wird trotzdem akzeptiert (Accepted: 1) Das ist auch das, was Du festgestellt hast.
root@server:~# echo "User-Name=ipadwlan,User-Password=2\$JtXSZf" | radclient -x -P udp -s 10.0.0.254:1812 auth "$(cat /etc/linuxmuster/.secret/radiussecret)"
Sent Access-Request Id 172 from 0.0.0.0:32973 to 10.0.0.254:1812 length 48
User-Name = "ipadwlan"
User-Password = "2$JtXSZf"
Cleartext-Password = "2$JtXSZf"
Received Access-Accept Id 172 from 10.0.0.254:1812 to 0.0.0.0:0 length 20
Packet summary:
Accepted : 1
Rejected : 0
Lost : 0
Passed filter : 1
Failed filter : 0
Jetzt den Benutzerfilter so setzen (Bitte an Deine Domain anpassen):
(&(objectClass=person)(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})(memberOf=CN=wifi,OU=Management,OU=default-school,OU=SCHOOLS,DC=fzi,DC=lan))
Radius Test - Jetzt wird der Benutzer nicht mehr akzeptiert (Rejected: 1)
root@server:~# echo "User-Name=ipadwlan,User-Password=2\$JtXSZf" | radclient -x -P udp -s 10.0.0.254:1812 auth "$(cat /etc/linuxmuster/.secret/radiussecret)"
Sent Access-Request Id 32 from 0.0.0.0:59610 to 10.0.0.254:1812 length 48
User-Name = "ipadwlan"
User-Password = "2$JtXSZf"
Cleartext-Password = "2$JtXSZf"
Received Access-Reject Id 32 from 10.0.0.254:1812 to 0.0.0.0:0 length 20
(0) -: Expected Access-Accept got Access-Reject
Packet summary:
Accepted : 0
Rejected : 1
Lost : 0
Passed filter : 0
Failed filter : 1
Gegentest. Benutzer wieder in die Gruppe wifi:
root@server:~# sophomorix-managementgroup --wifi ipadwlan
...
USER: ipadwlan is in school default-school
group is wifi
ipadwlan --> wifi (add)
#### Adding member to wifi: ####
* Group wifi exists (1 results)
* User ipadwlan exists (1 results)
* Adding user ipadwlan to group wifi
...
Radiustest:
root@server:~# echo "User-Name=ipadwlan,User-Password=2\$JtXSZf" | radclient -x -P udp -s 10.0.0.254:1812 auth "$(cat /etc/linuxmuster/.secret/radiussecret)"
Sent Access-Request Id 172 from 0.0.0.0:43297 to 10.0.0.254:1812 length 48
User-Name = "ipadwlan"
User-Password = "2$JtXSZf"
Cleartext-Password = "2$JtXSZf"
Received Access-Accept Id 172 from 10.0.0.254:1812 to 0.0.0.0:0 length 20
Packet summary:
Accepted : 1
Rejected : 0
Lost : 0
Passed filter : 1
Failed filter : 0
Viele Grüße
Klaus
