Armadilloフォーラム

yoshizuです
お世話になっています。

少し進んだ内容の報告と、その次のステップの質問があります。

無線LANに詳しい方々からのご協力により、WPA2エンタープライズの一種である
PEAPについて動作確認できました。
その内容は以下の３つありました

①armadillo-840添付のドライバーwpa_supplicant v0.5.10をGW900Dが
　指定するドライバーwpa_supplicant v2.0-devel_rtw_r9301.20131011に変更する。
②wpa_supplicant.confでphase1="peaplabel=1"の行をコメントアウトする。
③Armadillo が立ち上がった後　armadillo側linuxで時刻を設定すること。

ようやく、ここまでいったのですが、
実はwpa2エンタープライズの種類で、TLSを成功させる必要がありますが
これは、まだ出来ていません。

その内容は以下のようなものです。
証明書や鍵であるca.pem、user.pem、user.prvはopensslを利用して作成する。　

wpa_supplicant.confは以下を参考にして記述しました。

network={
ssid="example"
proto=RSN
key_mgmt=WPA-EAP
pairwise=CCMP TKIP
group=CCMP TKIP
eap=TLS
identity="user@example.com"
ca_cert="/etc/cert/ca.pem"
client_cert="/etc/cert/user.pem"
private_key="/etc/cert/user.prv"
private_key_passwd="password"
priority=1
}

armadillo-840側からの
wpa_supplicant -i wlan1 -c /etc/config/wpa_supplicant.conf -B -dd
コマンド投入後に数秒経過すると、
radiusサーバーでは以下の拒絶LOGが発生します。

　「サーバーで拡張認証プロトコル(EAP) の種類を処理できないため、クライアントを認証できませんでした。」

radiusサーバー側wiresharkによるネットワークトレース、
およびアクセスポイントとarmadillo-840間の空間キャプチャ
を採取したところ以下のようになっていました。

armadillo 　　　　　　　 アクセスポイント
563 |<------------------| EAP Request (request identity)
566 |------------------>| EAP Response (Identity response)
568 |<------------------| EAP Request (PEAP start)
570 |------------------>| EAP Response (Nack/TLS request)
572 |<------------------| EAP Request (TLS start)
574 |------------------>| EAP Response (Nack)　×
576 |<------------------| EAP Failure

このシーケンスを要約すると、radiusサーバーからアクセスポイントを経由してarmadilloへ
送信されたEAP Request (TLS start)に対して、armadilloがEAP Response (Nack)　
を返信しているという状況です。

正常であればarmadilloはClient HelloというEAPパケットを出すそうです。

つまりarmadilloがアクセスポイントからのTLS startに正常に応答できて
いないというところにあります。

証明書のやりとり以前につまづいています。

調査のための次のステップを、ご教授願います。

以上よろしくお願い致します。

> yoshizuです
> しばらく本件、後回しにしておりましたが、再開しました。
>
> 少しでも、手がかりがあればと
> wpa_supplicant の起動でddを付けて、実行しました。
>
> peap_supplicant.conf
> の
> # ca_cert="/etc/cert/ca.pem"
> でコメント化しているのは、ca.pemの作り方が判らないのと
> 必須ではないという、情報から　です
>
> 何か、ヒントになる指摘事項があれば
> お願いします。
>
>
> [root@armadillo840-0 (pts/0) /etc/config]# cat peap_supplicant.conf
> network={
> ssid="shwlan-2.4"
> key_mgmt=WPA-EAP
> eap=PEAP
> identity="user01@wlanswg.com"
> password="abcdefg123"
> # ca_cert="/etc/cert/ca.pem"
> phase1="peaplabel=1"
> phase2="auth=MSCHAPV2"
> priority=10
> }
>
> [root@armadillo840-0 (pts/0) /etc/config]# wpa_supplicant -i wlan1 -c /etc/config/peap_supplicant.conf -Dwext -B -dd
> Initializing interface 'wlan1' conf '/etc/config/peap_supplicant.conf' driver 'wext' ctrl_interface 'N/A' bridge 'N/A'
> Configuration file '/etc/config/peap_supplicant.conf' -> '/etc/config/peap_supplicant.conf'
> Reading configuration file '/etc/config/peap_supplicant.conf'
> Line: 1 - start of a new network block
> ssid - hexdump_ascii(len=10):
> 73 68 77 6c 61 6e 2d 32 2e 34 shwlan-2.4
> key_mgmt: 0x1
> eap methods - hexdump(len=16): 00 00 00 00 19 00 00 00 00 00 00 00 00 00 00 00
> identity - hexdump_ascii(len=18):
> 75 73 65 72 30 32 40 77 6c 61 6e 73 77 67 2e 63 user02@wlanswg.c
> 6f 6d om
> password - hexdump_ascii(len=10): [REMOVED]
> phase1 - hexdump_ascii(len=11):
> 70 65 61 70 6c 61 62 65 6c 3d 31 peaplabel=1
> phase2 - hexdump_ascii(len=13):
> 61 75 74 68 3d 4d 53 43 48 41 50 56 32 auth=MSCHAPV2
> priority=10 (0xa)
> Priority group 10
> id=0 ssid='shwlan-2.4'
> Initializing interface (2) 'wlan1'
> EAPOL: SUPP_PAE entering state DISCONNECTED
> EAPOL: KEY_RX entering state NO_KEY_RECEIVE
> EAPOL: SUPP_BE entering state INITIALIZE
> EAP: EAP entering state DISABLED
> EAPOL: External notification - portEnabled=0
> EAPOL: External notification - portValid=0
> SIOCGIWRANGE: WE(compiled)=22 WE(source)=16 enc_capa=0xf
> capabilities: key_mgmt 0xf enc 0xf
> WEXT: Operstate: linkmode=1, operstate=5
> Own MAC address: 02:22:cf:ef:aa:dd
> wpa_driver_wext_set_wpa
> wpa_driver_wext_set_key: alg=0 key_idx=0 set_tx=0 seq_len=0 key_len=0
> wpa_driver_wext_set_key: alg=0 key_idx=1 set_tx=0 seq_len=0 key_len=0
> wpa_driver_wext_set_key: alg=0 key_idx=2 set_tx=0 seq_len=0 key_len=0
> wpa_driver_wext_set_key: alg=0 key_idx=3 set_tx=0 seq_len=0 key_len=0
> wpa_driver_wext_set_countermeasures
> wpa_driver_wext_set_drop_unencrypted
> Setting scan request: 0 sec 100000 usec
> Added interface wlan1
> Daemonize..
> [root@armadillo840-0 (pts/0) /etc/config]#
>
>
> 以上よろしくお願い致します
>
>
>
>
>
> > 大塚と申します。
> >
> > yoshizu 様のこの話題は興味があって拝見しておりました。
> >
> > > 話は少しずれてしまうかもしれませんが、wpa2エンタープライズでのwpa_supplicant.conf
> > > の記述方法が判る方はおられないでしょうか？
> >
> > wpa_supplicant の本家サイトの example の
> > https://w1.fi/cgit/hostap/plain/wpa_supplicant/examples/wpa2-eap-ccmp.c…
> > とか、Ubuntu の wpa_supplicant.conf の manual の example
> > http://manpages.ubuntu.com/manpages/vivid/man5/wpa_supplicant.conf.5.ht…
> > などでは情報として足りないでしょうか？
> >
> > >
> > > 実際に接続できたという方がいましたら、wpa_supplicant.confを内容を
> > > 教えていただければ幸いです。
> >
> > 大分以前に hostapd と FreeRADIUS でアクセスポイント を仕立ててみて
> > 上記の wpa2-eap-ccmp.conf そのままの設定内容で接続できました。
> > （そのときはアクセスポイントもクライアントも RT2870 の USB Wifi を使いました。）
> >
> > ただ、ベンダー製のアクセスポイントだと認証の実装によって接続できるできないがあるようで
> > wpa_supplicant の本家サイトにある相互運用性テストの表
> > https://w1.fi/cgit/hostap/plain/wpa_supplicant/eap_testing.txt
> > で tested successfully になっていないものは接続できないかもしれません。
> > （このテスト表も少し古いので現在は状況がもう少し改善しているかもしれません。）
> >
> > すでにご存知のようなことばかりでお役に立たなかったらすみません。
> >
> >