LDAP + FreeRADIUS + LAM-Testumgebung

—

• Debian 12 (Bookworm) Minimalinstallation pro VM
• Netzwerkverbindung zur Kommunikation zwischen den VMs

sudo apt update && sudo apt upgrade -y

sudo apt install netplan.io

• Debian verwendet standardmäßig „Predictable Network Interface Names“. Um die Netzwerkkarten sinnvoll umzubenennen:
• Datei /etc/systemd/network/99-custom-names.link erstellen:

sudo nano /etc/systemd/network/99-custom-names.link

• Beispielinhalt:

[Match]
MACAddress=AA:BB:CC:DD:EE:01

[Link]
Name=wan0
[Match]
MACAddress=AA:BB:CC:DD:EE:02

[Link]
Name=lan0

• (MAC-Adressen der jeweiligen Netzwerkkarten anpassen!)
• Danach:

sudo update-initramfs -u
sudo reboot

• Datei anlegen/bearbeiten:

sudo nano /etc/netplan/01-netcfg.yaml

• Beispiel für VM1 (Router):

network:
  version: 2
  renderer: networkd
  ethernets:
    wan0:
      dhcp4: true
    lan0:
      addresses:
        - 192.168.100.1/24

• Anwenden:

sudo netplan apply

sudo apt install isc-dhcp-server iptables-persistent freeradius freeradius-ldap net-tools netplan.io curl sudo less vim

• NAT mit iptables (MASQUERADE)
• Freeradius + LDAP-Modul
• DHCP für das Subnetz 192.168.100.0/24
• Zusätzliche Tools: net-tools, vim, less, sudo, curl
• Beispiel DHCP-Konfiguration (/etc/dhcp/dhcpd.conf):

default-lease-time 600;
max-lease-time 7200;
subnet 192.168.100.0 netmask 255.255.255.0 {
  range 192.168.100.100 192.168.100.200;
  option routers 192.168.100.1;
  option domain-name-servers 192.168.100.10;
}

• DHCP-Interface definieren in /etc/default/isc-dhcp-server:

INTERFACESv4="lan0"

sudo apt install slapd ldap-utils ldap-account-manager net-tools netplan.io curl sudo less vim

• Während der slapd-Installation:
  • Domäne: zkm.local
  • Admin-Password setzen (z. B. zkmadminpass)
  • Standardmäßig wird nur ldap:/ / aktiviert (kein TLS)
• Zusätzliche Pakete wie curl, vim, less und sudo empfohlen zur Systempflege.

dn: dc=zkm,dc=local
objectClass: top
objectClass: dcObject
objectClass: organization
o: ZKM
dc: zkm

dn: cn=admin,dc=zkm,dc=local
objectClass: organizationalRole
cn: admin

dn: ou=people,dc=zkm,dc=local
objectClass: organizationalUnit
ou: people

dn: ou=groups,dc=zkm,dc=local
objectClass: organizationalUnit
ou: groups

• Import per:

sudo ldapadd -x -D "cn=admin,dc=zkm,dc=local" -W -f basisstruktur.ldif

• Beispielbenutzer anlegen mit Passwort-Hash:

dn: uid=demo,ou=people,dc=zkm,dc=local
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: Demo Benutzer
sn: Benutzer
uid: demo
uidNumber: 10001
gidNumber: 10001
homeDirectory: /home/demo
loginShell: /bin/bash
userPassword: {SSHA}<gehashtes_Passwort>

• Passwort generieren mit:

slappasswd

• Freeradius LDAP-Modul aktivieren:

sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/

• Konfiguration anpassen:

server = '192.168.100.10'
identity = 'cn=radius,dc=zkm,dc=local'
password = 'radiuspass'
base_dn = 'dc=zkm,dc=local'
user {
  base_dn = "${..base_dn}"
  filter = "(uid=%{%{Stripped-User-Name}:-%{User-Name}})"
  scope = 'sub'
}
update {
  control:Password-With-Header += 'userPassword'
}

• Zusätzlich in /etc/freeradius/3.0/sites-enabled/default:

if ((ok || updated) && User-Password && !control:Auth-Type) {
  update {
    control:Auth-Type := ldap
  }
}

• Freeradius Debugmodus zum Testen:

sudo freeradius -X

• NAT aktivieren:

sudo iptables -t nat -A POSTROUTING -o wan0 -j MASQUERADE
sudo iptables -P FORWARD ACCEPT

• IP-Forwarding aktivieren:

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

• iptables-Regeln dauerhaft speichern:

sudo netfilter-persistent save

• LAM installieren:

sudo apt install ldap-account-manager

• Zugriff via Browser:
  • http://192.168.100.10/lam
• Login-Einstellungen:
  • Login-Methode: Direkter DN
  • Benutzername: cn=admin,dc=zkm,dc=local
• Aktivierte Module:
  • inetOrgPerson
  • posixAccount
  • shadowAccount
  • posixGroup
• Standard-Base-DNs:
  • Benutzer: ou=people,dc=zkm,dc=local
  • Gruppen: ou=groups,dc=zkm,dc=local

• Immer sichere {SSHA} Passwörter verwenden
• UID/GID sorgfältig verwalten und dokumentieren
• Strukturierte OUs anlegen (people, groups)
• Freeradius im Debugmodus testen (freeradius -X)
• Keine Klartext-Passwörter verwenden

✅ Authentifizierung von LDAP-Usern über FreeRADIUS
✅ NAT und Routing aktiv auf VM1
✅ Benutzerverwaltung über LAM funktionsfähig

• (Stand: April 2025)

Lars Weiß 2025/05/01 17:31