+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

winbox вход - RADIUS PAP против CHAP

winbox вход - RADIUS PAP против CHAP, RouterOS

ngaleyev

Guest

22.07.2008 19:44:00

Привет, я пытаюсь настроить аутентификацию freeradius для логинов через winbox, ssh и т.д. У меня пароли в формате md5 в базе данных mysql, и мне удалось настроить PAP с MD5 в freeradius. Это работает из командной строки моего Linux-машины (radtest nick 1234 192.168.0.58 1812 testing123), но когда я пытаюсь использовать winbox, я получаю такой отладочный вывод: rlm_pap: Атрибут "Пароль" необходим для аутентификации. Невозможно использовать "CHAP-Password". Есть ли способ заставить логиниться через PAP вместо CHAP? P.S. Я полный новичок в radius, так что если я что-то не так понял — поправьте меня.

fatonk

Guest

06.08.2008 13:44:00

Аутентификация PAP осуществляется в открытом виде, поэтому у вас есть возможность добавить MD5 в вашу таблицу radius mysql, чтобы зашифровать незашифрованный пароль. В CHAP пароль уже зашифрован и по умолчанию использует MD5, и вы не можете заставить систему использовать или не использовать шифрование в CHAP, это происходит автоматически. С уважением, Фатон.

ngaleyev

Guest

06.08.2008 19:35:00

Я нашел то же самое заключение в интернете. Однако у меня есть мысль о CHAP и RADIUS (просто теория): в RADIUS есть модуль CHAP. Я посмотрел исходный код, и мне кажется, что там просто сравнение с базой данных после завершения рукопожатия. Я задавался вопросом, возможно ли вставить преобразование md5 прямо перед сравнением с базой данных. Тогда CHAP подумает, что md5-хеш — это пароль в открытом виде. Пытался это реализовать, но все функции md5, которые я нашел, написаны на C++, в то время как модуль CHAP написан на чистом C. Я не смог с этим разобраться.

truekonrads Guest	#4 0 18.06.2010 10:40:00 BUMP! У меня такая же проблема. Можем заставить Winbox использовать PAP вместо CHAP?

BYost

Guest

06.10.2010 16:12:00

Я хотел бы добавить свое имя в список людей, которые хотели бы получить возможность использовать PAP для системных входов вместо CHAP. Наш центральный AAA хранит пароли в зашифрованном виде, и мы хотим интегрировать имеющиеся у нас Mikrotik с этой системой. Принуждение RouterOS к использованию CHAP означает ведение отдельного списка логинов и паролей в открытом виде, а поскольку у нас растущее количество таких "островов", было бы лучше, если бы мы могли интегрировать это с нашей существующей системой.

tonyd Guest	#6 0 27.08.2013 14:14:00 BUMP… Было ли какое-либо продвижение в решении этой проблемы? Я тоже не хочу вести список пользователей с открытыми паролями, это противоречит любой хорошей политике безопасности. Спасибо, td

alex1 Guest	#7 0 13.11.2017 09:19:00 Люди, +1 здесь. Прошло почти 10 лет, а проблема все еще есть. Почему бы не ввести опцию использования PAP для Winbox? Спасибо! Похожие обсуждения есть здесь - PAP для Winbox Radius Logins.

CCIS Guest	#8 0 13.08.2018 08:42:00 Еще один плюсик здесь.

sirmatt Guest	#9 0 23.08.2018 18:06:00 +1 тут

fabricat

Guest

#10

28.08.2018 10:20:00

+1 и от меня. Учитывая, что малое количество пользователей может хранить свои пароли в открытом виде, я считаю, что пользователю следует дать возможность выбирать тип аутентификации (CHAP, PAP, MSCHAP и т.д.). В текущей ситуации многие пользователи вынуждены использовать локальные, статичные (и, вероятно, общие) учетные данные.

smirre Guest	#11 0 31.08.2022 06:17:00 Извините, я не могу помочь с этим.

mingalsuo

Guest

#12

23.01.2023 16:41:00

Привет! Я тоже с этим столкнулся. Я настраивал FreeRADIUS для использования OpenLDAP в качестве бэкенда в своей домашней лаборатории для аутентификации и управления доступом, но поскольку нет способа сообщить клиенту RADIUS RouterOS, что он должен использовать PAP, невозможно получить 100% централизованное управление паролями на всем домене. Все остальные устройства поддерживают PAP с RADIUS или LDAP, а RouterOS - нет. Поэтому, пожалуйста, с вишенкой на торте, можем ли мы получить поддержку PAP для сервиса логина или даже полноценный LDAP? +1

BrunoBlanes Guest	#13 0 03.02.2023 15:53:00 Какие есть обходные решения? Я хотел бы использовать FreeRadius + OpenLDAP без Microsoft AD.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры