Notwendige Pakete installieren

# Notwendige Tools
apt install pwgen sshpass samba krb5-config winbind smbclient -y
# Während Installationsprozess folgende Angaben
# - Ihren Gegebenheiten angepasst - tätigen:
# Per DHCP angebotene WINS-Einstellungen: Nein
# Kerberos Realm: schulnetz.intra
# Kerberos Server: samba.schulnetz.intra
# Kerberos Administrations-Server: samba.schulnetz.intra

Originale Samba-Konfiguration sichern

mv /etc/samba/smb.conf /etc/samba/smb.conf.org

Samba Domänen-Setup ausführen

samba-tool domain provision --use-rfc2307 --interactive
# Alle während des Installationsprozesse abgefragen Einstellungen
# können bei den vorgeschlagenen Default-Werten belassen werden,
# außer natürlich das neu zu vergebende Samba-Administrator-Passwort.

Domänen-Setup abschließen

# Kerberos-Konfiguration an die richtige Stelle kopieren:
cp /var/lib/samba/private/krb5.conf /etc/

# Domänen-Controller-Dienste für den 
# automatischen Systemstart konfigurieren:
systemctl stop smbd nmbd winbind
systemctl disable smbd nmbd winbind
systemctl unmask samba-ad-dc
systemctl start samba-ad-dc
systemctl enable samba-ad-dc

reboot

Falls gewünscht: Passwortkomplexität verringern

# Folgende Befehle deaktivieren die Passwortkomplexität 
# bis auf eine minimale Passwortlänge von 7 Zeichen:
samba-tool domain passwordsettings set --complexity=off
samba-tool domain passwordsettings set --history-length=0
samba-tool domain passwordsettings set --min-pwd-age=0
samba-tool domain passwordsettings set --max-pwd-age=0

Nützliche Befehle zur Überprüfung des Domänen-Controllers

# Samba Status anzeigen:
smbclient -L localhost -U%

# Domain-Level anzeigen:
samba-tool domain level show

# Passwortrichtlinien anzeigen:
samba-tool domain passwordsettings show

# Auf Samba-Server-Konsole:

# Erzeugung von privatem (id_rsa) und öffentlichem (id_rsa.pub) Schlüssel
# im Ordner /root/.ssh
ssh-keygen

# Fall 1: die Datei /root/.ssh/authorized_keys existiert noch nicht
# -> Die Datei /root/.ssh/id_rsa.pub wird umbenannt in authorized_keys:
mv /root/.ssh/id_rsa.pub /root/.ssh/authorized_keys

# Fall 2: die Datei /root/.ssh/authorized_keys existiert bereits
# -> Der Inhalt der Datei /root/.ssh/id_rsa.pub wird kopiert
# und in die Datei /root/.ssh/authorized_keys eingefügt

# Berechtigung setzen:
chmod 0600 /root/.ssh/*

# Auf OPNsense-Konsole:

mkdir /root/.ssh
# Den auf Samba-Server erzeugten privaten Schlüssel (id_rsa) 
# per sftp in den Ordner /root/.ssh kopieren

# Die Datei id_rsa umbennennen in id_rsa_samba
mv /root/.ssh/id_rsa /root/.ssh/id_rsa_samba

# Berechtigung setzen:
chmod 0600 /root/.ssh/*

# Einmal von OPNsense-Konsole bei Samba-Server anmelden,
# damit der Samba-Server der Liste der vertrauten Computer hinzugefügt wird:
ssh -i /root/.ssh/id_rsa_samba root@10.1.100.7

Samba-Konfiguration anpassen

vim /etc/samba/smb.conf

Datei /etc/samba/smb.conf

# Im Bereich [global] einfügen:

ntlm auth = mschapv2-and-ntlmv2-only
tls enabled  = yes
	tls keyfile  = /etc/samba/tls/ldap.ihre-schule.de.key
	tls certfile = /etc/samba/tls/fullchain.cer
	tls cafile   = /etc/samba/tls/ca.cer

Samba-Dienst neu starten

service samba-ad-dc restart

dpkg -i /root/<Dateiname der heruntergeladenen Datei>.deb

# Ggf. fehlende Abhängigkeiten nachinstallieren:
apt -f install -y

Installation notwendiger Pakete

apt install freeradius freeradius-utils -y

Autostart des FreeRADIUS-Servers aktivieren

update-rc.d freeradius enable

Datei mschap anpassen

vim /etc/freeradius/3.0/mods-available/mschap

Datei /etc/freeradius/3.0/mods-available/mschap

# Passus ntlm_auth abändern:
# - als Domain SCHULNETZ eintragen 
# - als erforderliche Gruppe SCHULNETZ\wifi festlegen

mschap {

# ...

ntlm_auth = "/usr/bin/ntlm_auth --allow-mschapv2 --request-nt-key --username=%{mschap:User-Name} --domain=SCHULNETZ.INTRA --challenge=%{%{mschap:Challenge}:-00} --nt-response=%{%{mschap:NT-Response}:-00} --require-membership-of=SCHULNETZ\wifi"

# ...

}

Dem Benuzer freerad notwendige Berechtigungen einräumen

# Für das Authentifizierungsverfahren mschap muss der Benutzer freerad
# der Gruppe winbindd_priv hinzugefügt werden:
adduser freerad winbindd_priv

Neustart und Test des FreeRADIUS-Servers

service freeradius restart

# radtest mit bestehenden Benutzern der Gruppe wifi durchführen
# (Ergebnis muss “Access-Accepted" sein)
radtest -t mschap username password localhost 0 testing123

# Debug bei Fehlern:
## FreeRADIUS-Service stoppen:
service freeradius stop
## FreeRADIUS-Server mit Konsolenausgabe starten
/usr/sbin/freeradius -X
## Authentifizierungsversuch unternehmen und Fehlermeldungen auswerten

Zugriffsberechtigte Clients (Access-Points) definieren

vim /etc/freeradius/3.0/clients.conf

Datei /etc/freeradius/3.0/clients.conf

# Beispiel für alle Clients (= Access-Points) aus dem Teilnetz 10.1.254.0/24

client 10.1.254.0/24 {
	secret = <Radius-Passwort des Access-Points>
	shortname = 10.1.254-netw
	nas_type = other
}

service freeradius restart

Installation erforderlicher Pakete

apt install freeradius-ldap -y

Konfiguration des FreeRADIUS-ldap-Moduls

vim /etc/freeradius/3.0/mods-available/ldap

Datei /etc/freeradius/3.0/mods-available/ldap

#innerhalb von ldap {} server = 'localhost' auskommentieren

#innerhalb von ldap {} mit angepassten Zugangsdaten zum Samba-Server ergänzen:
    server = 'ldaps://ldap.rsarnstorf.de'
    port = 636
    identity = 'CN=svc_radius,OU=services,OU=Users,OU=School,DC=schulnetz,DC=intra'
    password = 'Passwort_des_Benutzers_svc_radius'
    base_dn = 'OU=School,DC=schulnetz,DC=intra'
    user {
        base_dn = "OU=School,DC=schulnetz,DC=intra"
        filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
    }
    group {
        filter = '(objectClass=group)'
        base_dn = "OU=School,DC=schulnetz,DC=intra"
        membership_attribute = 'memberof'
    }

#innerhalb von tls{} ergänzen:
    ca_file = /etc/samba/tls/ca.cer
    ca_path = /etc/samba/tls

ldap-Modul aktivieren

ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/ldap

VLAN-Zuweisung für Gruppe lehrer konfigurieren

vim /etc/freeradius/3.0/sites-enabled/default

Datei /etc/freeradius/3.0/sites-enabled/default

#innerhalb von authorize {} ergänzen:
    if (LDAP-Group == "wifi-lehrer") {
	    update reply {
		    &Tunnel-Type = VLAN
		    &Tunnel-Medium-Type = IEEE-802
		    #VLAN von LAN-LEHRER
		    &Tunnel-Private-Group-Id = 13
	    }
    } else if (LDAP-Group == "wifi-schueler") {
	    update reply {
		    &Tunnel-Type = VLAN
		    &Tunnel-Medium-Type = IEEE-802
		    #VLAN von LAN-SCHUELER
		    &Tunnel-Private-Group-Id = 12
	    }
    } else {
        reject
    }

FreeRADIUS-Server neu starten

service freeradius restart

Ordner für Let's-Encrypt-Zertifikatsdateien anlegen

# Nennen Sie den Ordner so, wie die Domain zum Zertifikat heißen soll:
mkdir /etc/freeradius/certs/radius.ihre-schule.de/

Konfiguration des Radius-Server

vim /etc/freeradius/3.0/mods-enabled/eap

Datei /etc/freeradius/3.0/mods-enabled/eap

# Ändern Sie die Angaben für private_key_file und certificate_file
# im Abschnitt tls-config tls-common
...
tls-config tls-common {
    private_key_file = ${certdir}/radius.ihre-schule.de/radius.ihre-schule.de.key
    certificate_file = ${certdir}/radius.ihre-schule.de/fullchain.cer
    ca_file = ${certdir}/radius.ihre-schule.de/ca.cer
}
...

FreeRADIUS-Server neu starten

service freeradius restart

Installation des heruntergeladenen .deb-Pakets

dpkg -i /root/self-service-password_<heruntergeladene version>_all.deb

# Ggf. sind zusätzliche Pakete erforderlich.
# Diese können Sie mit folgendem Befehl nachinstallieren:
# apache2 php php-ldap php-mcrypt php-mbstring

Kopieren und Editieren der zugehörigen Apache-Konfigurationsdatei

cp /etc/apache2/sites-available/self-service-password.conf /etc/apache2/conf-available/
vim /etc/apache2/conf-available/self-service-password.conf

Datei /etc/apache2/conf-available/self-service-password.conf

Alias /selfservice /usr/share/self-service-password

    <Directory /usr/share/self-service-password>
        AllowOverride None
        <IfVersion >= 2.3>
            Require all granted
        </IfVersion>
        <IfVersion < 2.3>
            Order Deny,Allow
            Allow from all
        </IfVersion>
    </Directory>

    <Directory /usr/share/self-service-password/scripts>
        AllowOverride None
        <IfVersion >= 2.3>
            Require all denied
        </IfVersion>
        <IfVersion < 2.3>
            Order Deny,Allow
            Deny from all
        </IfVersion>
    </Directory>

Aktivieren der Apache-Konfiguration und Neustart des Apache-Servers

a2enconf self-service-password
service apache2 restart

Editieren der Self-Service-Password-Konfiguration

vim /usr/share/self-service-password/conf/config.inc.php

Datei /usr/share/self-service-password/conf/config.inc.php

# Nachfolgend sind nur jene Zeilen der Konfigurationsdatei dargestellt,
# in denen sich Änderungen ergeben. Passen Sie diese entsprechend an
# und ersetzen sie die Zeilen in der Konfigurationsdatei.

$ldap_url = "ldaps://ldap.ihre-schule.de:636";
$ldap_binddn = "CN=svc_selfservicepassword,OU=services,OU=Users,OU=School,DC=schulnetz,DC=intra";
$ldap_bindpw = "<LDAP-Passwort>";
$ldap_base = "OU=School,DC=schulnetz,DC=intra";
$ldap_login_attribute = "sAMAccountName";
$ad_mode = true;
$samba_mode = true;
$pwd_min_length = 8;
$use_questions = false;
$mail_from = "<E-Mail-Adresse zum Versenden neuer Passwörter>";
$mail_smtp_host = '<SMTP-Server>';
$mail_smtp_auth = true;
$mail_smtp_user = '<SMTP-Benutzer>';
$mail_smtp_pass = '<SMTP-Passwort>';
$mail_smtp_port = 587;
$use_sms = false;
$keyphrase = "<langes Passwort für Verschlüsselung>";
$lang = "de";