Wireless Remote Access Policy (аналог функционала windows 2003 в RADIUS)

[niklep]

Приветствую. Есть вопрос: каким образом реализовать в FreeRADIUS аналог Remote Access Policies из Internet Authentication Service (RADIUS из Windows Server 2003).
Опишу для чего это надо. В каталоге LDAP есть 2 группы. Названия групп и их состав указаны:

Код: Выделить всё

group: vlan1
users: user1, user2

Код: Выделить всё

group: vlan2
users: user2

Пользователи user1 и user2 также хранятся в LDAP.
Когда пользователь пытается подключиться к одному из 2х SSID (у каждого SSID свой VLAN), вводит логин/пароль, необходимо (очевидно на радиусе) проверять, принадлежит ли он группе, которой позволено находиться в запрашиваемом vlan'е.
Пример: user1 подключается к SSID, который отвечает за vlan2. Но он не состоит в группе vlan2, поэтому получает Reject.

В какую сторону копать? Вроде и в гугле не забанен, но ничего дельного найти не могу.

[BIgAndy]

(RADIUS из Windows Server 2003)

Free RADIUS для линукса чем не подходит?

[sash-kan]

В какую сторону копать?

http://wiki.freeradius.org/Rlm_ldap#Group_Support

[niklep]

(RADIUS из Windows Server 2003)

Free RADIUS для линукса чем не подходит?

Читай внимательно. Я на FreeRADUS и собрался это реализовывать.

[niklep]

Ну, в целом понятно что делать.
В modules/ldap писать:

Код: Выделить всё

groupname_attribute = cn
groupmembership_filter = (&(objectClass=posixGroup)(memberUid=%{Stripped-User-Name:-%{User-Name}}))

А в users:

Код: Выделить всё

DEFAULT NAS-Identifier == Wireless-Controller, Ldap-Group != "VL40", Auth-Type := Reject
        Fall-Through = Yes
DEFAULT NAS-Identifier == Wireless-Controller, Ldap-Group != "VL60", Auth-Type := Reject
        Fall-Through = Yes
DEFAULT NAS-Identifier == Wireless-Controller, Ldap-Group == "VL40", Auth-Type := EAP
DEFAULT NAS-Identifier == Wireless-Controller, Ldap-Group == "VL60", Auth-Type := EAP

Соответственно, если группа всего одна, то достаточно прописать:

Код: Выделить всё

DEFAULT NAS-Identifier == Wireless-Controller, Ldap-Group != "VL40", Auth-Type := Reject

[sash-kan]

niklep
спасибо, что поделились найденным решением. все б так поступали…