Aufsetzen eines OpenLDAP- und FreeRADIUS-Servers

Transkript

1 Aufsetzen eines OpenLDAP- und FreeRADIUS-Servers Abschlusspräsentation des Projektes im Rahmen der Ausbildung zum Fachinformatiker Systemintegration Sebastian Deußer taylorix institut für berufliche Bildung e.v. 8. Juli 2015

2 Übersicht 1 Projektbeschreibung 2 Planung 3 Realisierung Realisierung des Ersatzservers 4 Qualitätssicherung Qualitätssicherung Probleme und Lösungen 5 Projektabschluss Projektkosten Fazit Ausblick Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 1 / 14

3 Projektumfeld: Firmenbeschreibung fgn GmbH fgn GmbH gegründet 2000 als TU Spin-Off Kerngeschäft Netzwerkschulungen und -consulting circa ein Dutzend Mitarbeiter eigene Server und Schulungslabore im DFKI Neubau Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 2 / 14

4 Ausgangssituation CommuniGate-Server für und Identity Management Identity Management genutzt für die meisten Logins -Server verwaltet drei -Domains Internetanbindung über TU Kaiserslautern Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 3 / 14

5 Anforderungen Ersatzserver LDAP-Server RADIUS-Server Anwenderkonten übernehmen Absichern per Firewall Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 4 / 14

6 Konzept Ersatzserver ESXi-VM mit Linux (Debian 8.0) OpenLDAP-Server FreeRADIUS-Server FreeRADIUS-Server an OpenLDAP-Server anbinden Anwenderkonten per Skript importieren Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 5 / 14

7 Realisierung des Ersatzservers (1) LDAP-over-SSL als einzige externe Zugriffsmöglichkeit endgültige Verzeichnisstruktur: LDAP dc=de dc=fg-networking dc=schabler dc=worden ou=people ou=people ou=people Directory Information Tree Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 6 / 14

8 Realisierung des Ersatzservers (2) Shared Secret für TU -Server konfiguriert Anbindung an LDAP über mitgeliefertes Modul Anbindung der Webservices und OpenVPN Import von Anwenderkonten per generierter LDIF-Datei Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 7 / 14

9 Qualitätssicherung 1 Funktionstests: Login bei Webservices und OpenVPN nach Umstellung getestet FreeRADIUS Test mit radtest 2 Sicherheitstests: Anmelden mit falschen Anmeldeinformationen Überprüfung OpenSSH-Server Konfiguration Port-Scan mit nmap (aus fgn-netz und extern) Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 8 / 14

10 Probleme und Lösungen 1 Design der LDAP-Baumstruktur ursprüngliche Idee eine Datenbank pro Domain LDAP dc=fg-networking,dc=de dc=schabler,dc=de dc=worden,dc=de ou=people ou=people ou=people DIT 1 DIT 2 DIT 3 Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 9 / 14

11 Probleme und Lösungen (2) 2 Egroupware fehlendes Passwort für Installer Zuständiger in Urlaub 3 RADIUS Praxistests nicht möglich FreeRADIUS mit radtest getestet bei -Server Anbindung nachholen Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 10 / 14

12 Projektkosten (mit Vergleich zu Alternative) OpenLDAP & CommuniGate- Kosten-Kategorie FreeRADIUS Upgrade Hardware 0,00e 0,00e Softwarelizenzen 0,00e 1.849,00e Arbeitsaufwand 2.485,00e 2.485,00e Gesamt 2.485,00e 4.334,00e Bisher monatlich ca. 195e Arbeitskosten wegen SSL => Amortisation nach knapp 13 Monaten (15 Monate bei Berücksichtigung von Wartungskosten) Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 11 / 14

13 Fazit alle Systeme außer Egroupware, -Server umgestellt Umstellung dieser Systeme Anfang Juli ohne größere Probleme Zeitplanung nicht optimal: zu wenig Zeit für Design der Verzeichnisstruktur veranschlagt für Vorbereitungen mehr Zeit eingeplant als benötigt Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 12 / 14

14 Ausblick Erweiterungsmöglichkeiten: Ersatz lokaler Accounts Anbindung Managed Switches an FreeRADIUS Samba-Domäne für Windows Rechner Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 13 / 14

15 Fin Vielen Dank für Ihre Aufmerksamkeit Für Fragen stehen ich ihnen gerne im Fachgespräch zur Verfügung Diese Präsentation wurde mit L A TEX-Beamer erstellt Grafiken erstellt mit GraphViz Sebastian Deußer OpenLDAP- und FreeRADIUS-Server 14 / 14