42356


VPNの認証サーバーを構築しようとしています。  
以下についてご教示頂けないでしょうか。

FreeRADIUSとopenLDAPはyumでインストールしました。

構成：

PC(Windows7) → CiscoASAルータ → Freeradius(3.0.13) → OpenLDAP(2.4.44)

できること：

OpenLDAPで登録したユーザーとパスワードを使用して、PC(Windows7)からのVPN認証はOK

困っていること：

OpenLDAPの ppolicy でパスワードの有効期限(maxPwdage)を設定しているが、  
パスワードの有効期限が切れた状態でもVPN認証ができてしまう。

知りたいこと：

FreeradiusからOpenLDAPへの接続では OpenLDAPの ppolicy は効かない(無視される)？

→ldapsearchコマンドなどでは "password expire" となり、ppolicy が効いていることは確認済み。

ppolicy 以外で、パスワード有効期限切れの際にVPN認証できないようにする方法はありますか？

FreeRADIUSの各設定ファイルの変更点を記載いたします。

[code]

    ・/etc/raddb/radiusd.conf
        auth = yes 
        auth_badpass = yes
        auth_goodpass = yes
    
    ・/etc/raddb/users
        #DEFAULT        Framed-Protocol == PPP
        #       Framed-Protocol = PPP,
        #       Framed-Compression = Van-Jacobson-TCP-IP
    
        #DEFAULT        Hint == "CSLIP"
        #       Framed-Protocol = SLIP,
        #       Framed-Compression = Van-Jacobson-TCP-IP
    
        #DEFAULT        Hint == "SLIP"
        #       Framed-Protocol = SLIP
    
        DEFAULT         Auth-Type = LDAP
                        Fall-Through = Yes
    
    ・/etc/raddb/dictionary
        VALUE         Auth-Type               LDAP    5
    
    ・/etc/raddb/sites-enabled/default
                ldap
    
                Auth-Type LDAP {
                        ldap
                }
    
                ldap
    
    ・/etc/raddb/mods-enabled/ldap
                server = 'server01.radius.local'
    
                port = 389
    
                identity = 'cn=admin,dc=radius,dc=local'
                password = password
    
                base_dn = 'dc=radius,dc=local'
    
[/code]

追加で必要な情報がありましたら取得しますので、言ってください。


CC BY-SA 3.0
2018-03-12T02:21:13.610
42331
2018-04-17T06:55:02.390
2018-03-16T23:57:27.367
27427
27427
question
openldap vpn
FreeRADIUS-OpenLDAPでのパスワード有効期限の設定について


バージョンは freeradius-3.0.13, openldap-2.4.44 でしょうか。  
radiusd と slapd はどのように連携していますでしょうか？

(A) freeradius の ldap モジュールで slapd に LDAP bind で認証  
(B) LDAPユーザーを sssd や nslcd などで OS ユーザーに見せて、radiusd から PAM 認証  
(C) slapd から userPassword 属性値を引いて、radiusd で認証

(A) の場合、ldapsearch と同様に ppolicy が効くはずです。  
どこかでキャッシュが効いているのかもしれません。  
認証の際、radiusd と slapd のログを確認すると毎回アクセスがあるかどうかわかると思います。

(B) の場合も ppolicy が効くはずですが、sssd, nslcd 側でキャッシュしているかもしれません。

(C) の場合、ppolicy は効きません。


CC BY-SA 3.0
2018-03-12T14:43:39.057
42356
2018-03-12T14:43:39.057
4603
42331
answer