Témakörök

MikroTik Shorts - Bejelentkezés RADIUS segítségével

0 0
2023.08.24. 17:58

Robog tovább MikroTik Shorts fantázianevet viselő sorozatunk mely igyekszik MikroTik-el kapcsolatos praktikákat megosztani a közönséggel az alapoktól egészen a komplex megoldásokig. A RADIUS szerverről magáról, illetve a MikroTik saját RADIUS megoldásáról a User Managerről már részletesen beszámoltunk nektek egy-egy korábbi epizódban. Most térjünk át a gyakorlatra és nézzük meg, hogy egy MikroTik router adminisztratív felhasználóinak belépését miként lehet kezelni.

 

Kezdjük az alapoktól. Első lépésként magát a routert fel kell vennünk, mint NAS-t a User Manager Routers fülén belül. Itt a név, secret, address és COA port megadása után nincs más teendő, mint az OK-ra kattintani.

Következő lépésként egy új RADIUS kliens felvitele szükséges. Itt a RADIUS menüben a +-ra kattintva válasszuk ki a login szolgáltatást majd adjuk meg a szükséges address, és secret mezőket (ugyanazt, mint a router beállításkor). A timeout értéknél lehetünk engedékenyebbek (1000ms) mivel az ellenőrzési, authentikációs és authorizációs műveletek is beleszámítanak ebbe és így akár előfordulhat, hogy emiatt hiúsul meg a bejelentkezés.

Fontos, hogy a System users menüpontjában található AAA fülre kattintva szükséges bepipálni a Use RADIUS checkboxot. Kisebb licenszű környezetben az itt található accounting-ot esetlegesen érdemes lehet kikapcsolni mivel ahogy arról korábban szót ejtettünk egyedül a LVL6-os esetén korlátlan a session szám. Az Interim update időintervallumának meghatározását mindenki saját belátása szerinti időértékre állítsa be. A default group illetve a ROS7 óta elérhető Exclude groups funkció egy landing csoporthoz adja hozzá a felhasználót míg az exclude bizonyos csoportokat kizár ebből.

A csoportokban foglalhatunk össze olyan paraméterhalmazokat, amelyek jellemzően több felhasználónál egyformák.

User Manager oldalon az alábbi beállításokra van szükség ahhoz, hogy egy felhasználót engedélyezhessünk:

 A felhasználónév és jelszó után az OTP secret segítségével egyfajta időalapú egyszeri jelszó lehetőséghez juthatunk. Úgy, hogy egy közös titkot a RouterOS-be Base32-ben kódolva kell feltüntetni. Majd ezt a jelszót kell megadni a kliens eszközön használt authentikátorba. A csoportnál meghatározzuk a kívánt halmazt. Itt még lehetőség van kiterjeszteni a groupban meghatározott attribútumokat.

Hozzászólás írása

Hozzászólások

Ez a blogbejegyzés csak belépve kommentelhető!

Még nincs egy hozzászólás sem.