Quais são as vantagens e desvantagens de usar a autenticação EAP-TLS com certificados para conexões de clientes WiFi? Como isso é melhor do que apenas usar a autenticação de senha padrão WPA2?
Como configuro a autenticação EAP-TLS para um roteador MikroTik ?
Usando certificados EAP-TLS para autenticar clientes WiFi:
Vantagens:
Desvantagens:
COMO COMPATIBILIDADE:
Versões do RouterOS : Os procedimentos foram documentados e desenvolvidos usando ***RouterOS v6.45.1 a v 6.46 ***. Testado e conhecido por funcionar corretamente a partir de 20191214.
Procedimentos de criação de certificados : Testado e conhecido por funcionar com clientes IOS 11-13.3 e OSX Mojave e Catalina. YMMV se conectar Windows ou outros clientes usando EAP-TLS.
AVISO:
Os comandos da CLI do RouterOS oferecidos neste tutorial são excelentes modelos. Mas você DEVE revisar e alterar meus espaços reservados e valores padrão, incluindo a senha de exportação do certificado, antes de executar os comandos neste tutorial.
VISÃO GERAL DO PROCESSO DE CONFIGURAÇÃO: MikroTik ROUTER
A) CRIAR CERTIFICADOS : (3) tipos de certificados devem ser criados:
Servidor : Crie um certificado para o lado MikroTik da conexão EAP-TLS. Isso será usado pela interface sem fio usando a autenticação EAP-TLS.
Cliente(s) : Crie um certificado para CADA cliente conectando-se ao SSID usando a interface sem fio que configuramos para EAP-TLS.
Autoridade de Certificação : Este certificado usado para criar uma Cadeia de Confiança para certificados assinando certificados de Cliente e Servidor.
B) CONFIGURAR Perfis de Segurança Sem Fio : Especifique os certificados em Perfis de Segurança Sem Fio . Criaremos um wireless
Security Profilepara a interface wireless usando autenticação EAP-TLS e para cada cliente conectado.C) CONFIGURAR Interface Sem Fio : Finalmente, vamos criar uma interface sem fio especificando o sem fio
Security Profilepara a interface.SEÇÃO 1: CRIAR CERTIFICADOS
Criar certificado de CA (autoridade de certificação):
Exportar um certificado de formato PEM :
O comando
/certificate export-certificatecria (2) novos certificados em arquivos:Exporte um certificado de formato PKCS12 :
Anexar
type=pkcs12ao/certificate export-certificatecomando produzirá o seguinte em Arquivos":Criar certificado do SERVIDOR :
Este é o certificado usado pela interface sem fio do MikroTik que oferece autenticação EAP-TLS.
NOTA : Você observará em
key-usageEu também especificoipsec-tunnel,ipsec-end-system. Eu uso os mesmos certificados para acesso WiFi e VPN, facilitando a revogação centralizada de um certificado para ambos os serviços se um servidor estiver comprometido ou para revogar o acesso de um usuário.Exportar um certificado de formato PEM :
Exportar um certificado de formato PKCS12 : os clientes da Apple exigem certificados pkcs12, portanto, exportaremos todos os certificados de cliente adicionalmente no formato pkcs12
Repita o processo acima para criar um certificado exclusivo para CADA cliente conectado.
Criar certificados de CLIENTE :
Um exemplo para um MacBook é mostrado abaixo, no entanto, o processo é o mesmo para qualquer dispositivo que suporte autenticação EAP-TLS.
Exportar um certificado de formato PEM :
Exporte um certificado de formato PKCS12 :
SEÇÃO 2: CONFIGURAR PERFIS DE SEGURANÇA SEM FIO
Depois de criar certificados para cada cliente sem fio conectado usando autenticação EAP-TLS, você pode usar esses certificados para criar perfis de segurança sem fio .
Ao contrário da criptografia de senha padrão WPA2 que define uma única senha para todos os clientes conectados, uma vez que cada cliente wireless terá um certificado único, devemos criar um Perfil de Segurança para cada dispositivo e para a própria interface wireless.
SERVIDOR
Security ProfileCLIENTE
Security ProfileRepita o comando acima para cada dispositivo autenticado com EAP-TLS, lembrando de alterar o nome do certificado.
SEÇÃO 3: CONFIGURAR AP VIRTUAL COM EAP AUTH
Por fim, configure uma interface sem fio para usar o perfil de segurança EAP-TLS do servidor:
BACKUP DE CONFIGURAÇÃO E CERTIFICADOS:
Agora que você fez todo esse esforço, certifique-se de fazer backup da configuração. Eu uso a convenção de nomenclatura para meus backups RBmodelNumber-YearMonthDay-Time_ROSversionNumber.rsc :
OBSERVE *: Embora você possa restaurar a configuração para um novo MikroTik, esses backups não capturarão seus certificados. Abra um navegador da Web e conecte-se ao MikroTik por meio de um WebGUI. Vá para o menu " Arquivos " e você pode baixar cada um deles para o seu laptop e depois colocá-los em algum lugar seguro e sensato para armazenamento de longo prazo.
CONFIGURAÇÃO DO CLIENTE
Para saber como configurar os clientes IOS e OSX para usar a autenticação EAP-TLS, acesse AQUI