Поскольку стандарт аутентификации и авторизации 802.1х основан на протоколе TLS, то для взаимодействия с абонентами проводной/беспроводной сети необходимо использовать сертификат RADIUS-сервера WNAM.

Сертификат RADIUS-сервера WNAM не является SSL-сертификатом, который возможно использовать для веб-интерфейса системы WNAM, и наоборот. В обычном сертификате веб-сервера недостаточно важных полей и свойств для полноценной работы корпоративной авторизации. 

Любая экосистема сертификатов (PKI) строится на основе:

  • само-подписанного корневого сертификата (сертификат должен быть в хранилище доверенных корневых сертификатов подключающегося сетевого устройства, он попадает в хранилище из операционной системы или её обновлений, устанавливается вручную через MDM-систему или через групповую политику домена);
  • выпущенного экосистемой PKI сертификата сервера (сертификат используется RADIUS-сервером WNAM для установления TLS-соединения с клиентом);
  • выпущенного экосистемой PKI (прямо или косвенно) клиентского сертификата (используется только для EAP-TLS авторизации).

Система WNAM позволяет подготовить и выпустить собственные корневой сертификат, сертификаты серверов, клиентские сертификаты, а также импортировать корневые и серверные сертификаты, выпущенные вашим центром сертификатов PKI. При этом поддерживается одновременная работа и с теми, и с другими сертификатами, нона практике используется либо встроенный в WNAM центр PKI, либо ваш центр сертификатов предприятия .

При первом запуске системы WNAM хранилище сертификатов пусто, и корпоративная авторизация не будет работать, пока в системе не появится хотя бы один корневой сертификат и хотя бы один сертификат сервера. Сертификаты системы настраиваются в административном интерфейсе системы WNAM в разделе "Конфигурация" → "Удостоверяющий центр". Если сертификаты в указанном разделе отсутствуют, вы можете:

  • инициализировать новый (встроенный) Удостоверяющий Центр
  • импортировать сертификаты вашего имеющегося УЦ, и сформировать запрос на серверный сертификат

Процедура инициализации описана ниже.

Для создания удостоверяющего Центра необходимо заполнить предложенную форму. При этом будет создано три сертификата: корневой, сертификат RADIUS-сервера и промежуточный сертификат, который будет использоваться для подписи выдаваемых сертификатов клиентам. Все три сертификата создаются вместе с закрытыми ключами и хранятся в БД WNAM в коллекции wnam_db/certificateAuthority в зашифрованном виде.

Их создание займет порядка 10 секунд, а в логе wnam.log появятся записи вида:

14:07:29.954 DEBUG [c.n.w.manager.CACertificateManager:277] - Certificate authority creation time: 7 sec.
14:07:29.965 DEBUG [c.n.w.manager.CACertificateManager:178] - CACertificateManager accepted client cert issuer: CN=WNAM Lab Root CA, O=Netams. LLC, OU=Development, L=Moscow, EMAILADDRESS=support@netams.com 
14:07:29.966 DEBUG [c.n.w.manager.CACertificateManager:178] - CACertificateManager accepted client cert issuer: CN=Registry Server, O=Netams. LLC, OU=Development, L=Moscow, EMAILADDRESS=support@netams.com 
14:07:29.966 DEBUG [c.n.w.manager.CACertificateManager:180] - CACertificateManager TLS server: CN=Auth Server, O=Netams. LLC, OU=Development, L=Moscow, EMAILADDRESS=support@netams.com

Созданные сертификаты будут отображены в таблице.

Зеленый цвет означает, что с сертификат валиден (не истек), наличие "ключа" (значок напротив сертификата) указывает на наличие закрытого ключа. Сертификат можно скачать и посмотреть его свойства. Звёздочкой отмечен предпочтительный (по умолчанию) сертификат типа SERVER или REGCENTER, что позволяет выбирать один из них, если их несколько.

Запрос на экспорт сертификата с закрытым ключом (в формате PFX) отобразит ещё одно окно, в котором необходимо задать пароль на экспортируемый контейнер типа PKCS#12 (по умолчанию "123456").

Для распространения сертификата клиентам понадобится, как минимум, сертификат удостоверяющего центра (без ключа).

Встроенный центр сертификатов системы WNAM является минимально достаточным для работы авторизации. Встроенный центр сертификатов не является полноценной системой PKI, в ней нет механизмов OCSP и SCEP, а также многого другого.

В целях безопасности удалить созданные сертификаты центра сертификации из интерфейса администратора WNAM нельзя: их удаление возможно только напрямую из базы данных.

Авто-создание собственного Центра можно пропустить, закрыв соответствующее окно. В таком случае необходимо импортировать в систему WNAM, как минимум, два сертификата:

  • корневой сертификат вашего предприятия (без ключа);
  • сертификат RADIUS-сервера WNAM, выписанный внешними средствами, включая его закрытый ключ.

Если требуется создание сертификата через запрос внешнему удостоверяющему центру, то следует действовать согласно инструкции в разделе "Запрос подписи сертификата" (здесь). Импортировать готовый сертификат можно, нажав кнопку "Импортировать сертификат" в разделе "Конфигурация" → "Удостоверяющий центр".

В открывшемся окне необходимо ввести требуемые параметры:

  • для импорта корневого сертификата - выбрать файл сертификата в бинарном (DER) или текстовом BASE64 (PEM) формате;
  • для импорта сертификата сервера необходимо выполнить одно из двух действий:
    • выбрать файл сертификата в бинарном (DER) или текстовом BASE64 (PEM) формате, а также файл закрытого ключа сертификата (в текстовом BASE64 формате в контейнере PKCS#8 или PKCS#1), при этом ключ должен быть без пароля;
    • выбрать файл контейнера сертификата в бинарном PKCS#12 (PXF или P12) формате, и задать пароль на контейнер.

Нажать кнопку импорта "Загрузить сертификат", после чего сертификат будет загружен и отображен в списке сертификатов.

Операция импорта сертификатов вызывает переинициализацию EAP-модуля внутри RADIUS-сервера системы WNAM, при этом в лог-файле wnam.log будут отображены все валидные серверные и СА-сертификаты.


  • No labels