WLAN, VPN, Netzwerk

easyroam versteht sich als eine Weiterentwicklung des eduroam Dienstes und richtet sich hauptsächlich an kleine Einrichtungen im DFN, kann aber auch von großen Einrichtungen im DFN genutzt werden.

Die Idee eduroam und die DFN-AAI zusammenzuführen ist nichts Neues und war lange Zeit leider nicht möglich, da es die DFN-AAI in der Fläche noch nicht gab. Das hat sich seit einiger Zeit geändert, so dass nun die Möglichkeit gegeben ist, den Dienst eduroam mit der Zusammenführung von eduroam und der DFN-AAI sicherer und einfacher zu gestalten. Herzstück von easyroam ist das easyroam Portal: https://www.easyroam.de, welches als DFN-AAI Service Provider in der DFN-AAI-Basic, eduroam Profile für die gängigen Betriebssystem wie: W10, MacOSX/iOS, ANDROID und LINUX Derivate bereitstellt. Das easyroam Portal kann in den Konfigurationsassistenten auf https://cat.eduroam.org über den Eintrag des eduroam - IdP's (Identity Providers) der Einrichtungen eigetragen werden.

In eduroam gibt es neben anderen Verfahren zur Anmeldung die Authentifizierungsmethode EAP-TLS. Bei dieser Methode kommen ausschließlich Client/Nutzer Zertifikate für die Anmeldung zum Einsatz. Diese Zertifikate für eduroam können die eduroam Nutzenden auf www.easyroam.de nur generieren, wenn sie im Besitz einer gültigen DFN-AAI IdP Kennung mit Opt-In sind. Die eduroam Client/Server Zertifikate sind Teil einer „Self-Signed PKI“ und können nur in eduroam eingesetzt werden. Der easyroam Server speichert ausschließlich nur die Pairwise - ID (Pseudonym) des DFN-AAI IdP Accounts und die Seriennummer des Client/Nutzer Zertifikats. Letzteres ist auch Teil der Roaming Indentität. Eine Besonderheit gegenüber aktuellen EAP-TLS Angeboten ist, dass die eduroam Nutzenden nicht mehr mit Namen im Zertifikat erkennbar sind. Somit ist es unmöglich Bewegungsprofile der eduroam Nutzenden zu erstellen. Jedoch ist es möglich, eine Zuordnung zwischen Pairwise - ID und Zertifikats-Seriennummer herzustellen und den eduroam Nutzenden eindeutig mit einer Person in Verbindung zu bringen. Somit ist man nicht generell anonym in eduroam unterwegs, wie das auch bisher der Fall ist.

Die Server Software ist eine .NET Entwicklung in C-Sharp geschrieben. Es wurde bewusst auf PHP verzichtet, da PHP nicht die Server Sicherheit bot, die an die Server Software gelegt wurde. Der Server unterstützt aktuell drei Sprachen: Deutsch, Englisch und Chinesisch (wird zur Zeit überarbeitet).

Die Anleitungen auf einem Blick finden die easyroam Nutzenden hier.

Sicherstellen, dass eine Internetverbindung besteht, LAN oder WLAN (nicht eduroam).

1. Wenn vorher die GETEDUROAM App installiert war, diese bitte löschen.

2. Die easyroam App herunterladen: https://www.easyroam.de/winapp/easyroam.msix und installieren.

2. easyroam App starten. In der Regl wird ein Browser automatisch geöffnet.

3. Im anschließenden WAYF (Where Are You From) findet man unsere Einrichtung Ostbayerische Technische Hochschule Amberg-Weiden und meldet sich über seinen OTH-AW Account an.

4. Nach erfolgreicher DFN-AAI Anmeldung, wird das Hauptmenü „Home“ aufgerufen. Mit einem Klick auf die Schaltfläche „Neues Profil installieren“ wird ein neues easyroam Profil installiert.

5. Das neu installierte easyroam Profil wird als „Gültig“ markiert im Haupmenü angezeigt.

Die easyroam app auf ANDROID befindet sich im Google Play Store und steht dort zum Download bereit: Easyroam

1. Aktuell bestehendes eduroam Profil und wenn vorhanden auch die geteduroam App vorher löschen. Die easyroam App aus dem Google Play Store (aktuell noch nicht vorhanden) herunterladen und installieren.

2. Die easyroam App starten.

3. Es gibt zwei Möglichkeiten zur Anmeldung in easyroam „Login through Website“ oder „Login using QR-Code“. Beim „Login through Website“ ist die Anmeldung über den WAYF (Where Are You From) und seinem DFN-AAI IdP Account erforderlich siehe Punkt 4. . Hat man seinen Laptop oder ein Desktop Gerät in der Nähe, so kann man sich mit diesen Geräten über das Portal www.easyroam.de im Browser in easyroam anmelden und einen QR-Code (5 Minuten gültig) generieren, den man dann in der easyroam app auf dem ANDROID Gerät (mit Kamera) einlesen kann. In diesem Fall überspringt man Punkt 4. und installiert das Profil wie in Punkt 5. angegeben.

4. Im Suchfenster nach dem passenden DFN-AAI IdP Ostbayerische Technische Hochschule Amberg-Weiden suchen und sich mit seinem OTH-AW Account anmelden.

5. Mit einem Klick auf „Install new profile“ startet der Installationsprozess des Profils.

6. Mit einem Klick auf „Confirm“ geht es weiter.

7. Es erscheint eine Sytemcheck Box, die mit „Zulassen“ quittiert wird.

8. Die Laufzeit des Pseudozertifikats wird in grüner Schrift angezeigt.

Sobald ein Endgerät, welches mit der easyroam App in easyroam konfiguriert wurde, in die Nähe eines eduroam Hotspots gelangt, baut das Endgerät in der Regel automatisch eine Verbindung zur eduroam Infrastruktur auf und meldet sich in eduroam an. Manchmal kommt es vor, dass nach der Installation des easyroam Profils eine automatische Verbindung einfach nicht zu stande kommen will. In diesem Fall hilft das WLAN kurz aus und wieder einschalten. Im System Menü auf dem Endgerät ist nach dem Verbindungsaufbau zu eduroam sehr schön zu sehen, dass die easyroam App das Profile sicher im Griff hat.

Solange ein gültiges Pseudozertifikat auf dem Endgerät existiert, meldet sich das Endgerät unabhängig von den Betriebssystemem ANDROID oder IOS immer mit dem gültigen Pseudozertifikat in easyroam an. Eine Anmeldung über den DFN-AAI IdP Account ist dann nicht mehr erforderlich. Im Hauptmenü Home ist über die Schaltfläche „Manage“ möglich, das aktuell instalierte Profil zu erneueren, neu zu installieren oder zu widerrufen.

Einstellungen/Settings

In den Einstellungen/Settings, ist es möglich den Zugang zur App auf das biometrischen Verfahren, z.B. Fingerabdruck umzustellen, das macht Sinn, um den nichtautorisierten Zugang zu den easyroam Profilen einzuschränken. Die App lässt sich auch so konfigurieren, dass die Nutzenden benachrichtigt werden, wenn ein auf dem Gerät installiertes, gültiges easyroam Zertifikat kurz vor dem Verfallsdatum steht. Mit der Option „Reset this App“ wird ein vorab auf dem Endgerät installiertes easyroam Zertifikat widerrufen und anschließend gelöscht. Die Nutzend müssen sich dann erneut über ihren DFN-AAI IdP anmelden, um ein neues easyroam Zertifikat zu erhalten. Die restlichen Optionen in den Einstellungen/Settings sind selbsterklärend.

Im Menü My account erscheint das Logo der Einrichtung, wenn die Einrichtung ein Logo in easyroam hinterlassen hat. Die easyroam Nutzenden können ihr DFN-AAI Pseudonym für easyroam einsehen, wieviel Profile sie generiert haben und wieviele Profile sie noch genrieren dürfen. Der Status zeigt an, ob der Zugang zu easyroam für die Nutzenden noch gültig ist. Im vorliegendem Beispiel, s. Grafik, ist es den Nutzenden nicht mehr gestattet neue Profile zu generieren, obwohl alle bisher ausgestellten Profile noch gültig sein können. Nur die easyroam Admins in den Einrichtungen können die Beschränkung wieder aufheben.

Die Nutzung von easyroam ist selbstverständlich auch auf Linux Derivaten möglich. Leider gibt es keine allgemein gültige Anleitung. Im folgenden wird beschrieben wie die einzelnen Komponenten, die bei einer manuellen Konfiguration von easyroam auf Linux Geräten benötigt werden, aus dem easyroam Portal gewonnen werden können:

1. Sicherstellen, dass eine Internetverbindung besteht, LAN oder WLAN.

2. Anmeldung am easyroam Portal wählen Sie als IdP Ostbayerische Technische Hochschule Amberg-Weiden und melden sie sich mit Ihrem OTH-AW Account an : https:www.easyroam.de.

3. Direkt nach der erfolgreichen Anmeldung am Portal auf „Manuelle Optionen“ klicken und PKCS12 mit Klick auf die Auswahlbox auswählen.

4. Den Profil Namen angeben und auf Zugang generieren klicken.

5. Um die einzelnen Komponenten wie das Client Zertifikat, der Private Key und das RootCA Zertifikat zu extrahieren wird der CLI von openssl verwendet:

• Client Zertifikat:

  openssl pkcs12 -in my_easyroam_cert.p12 -legacy -nokeys > easyroam_client_cert.pem

  Bitte beachten, die Option -legacy muss hier und im folgenden eventuel weggelassen werden. Leider ist die Verwendung der Option OpenSSL versionsabhängig.
• Private Key:

  Bitte beachten, da die diversen Network Manager und der wpa_supplicant in der Regel nur passwortgeschützte Private Keys akzeptieren, muss bei der Extrahierung ein Passwort gesetzt werden. Bei folgendem Komando erscheint zunächst Enter Import Password, also mit <Return> quittieren, dann erscheint Enter PEM pass phrase: Hier gibt man ein neues Password ein und merkt es sich!

  openssl pkcs12 -legacy -in my_easyroam_cert.p12 -nodes -nocerts | openssl rsa -aes256 -out easyroam_client_key.pem

• RootCA Zertifikat:

  openssl pkcs12 -in my_easyroam_cert.p12 -cacerts > easyroam_root_ca.pem

• Die .p12 auf einem Blick:

  openssl pkcs12 -info -in my_easyroam_cert.p12 -legacy -nodes

  Mit Copy/Paste können die Zertifikats-Dateien auch zusammengebaut werden. Zu beachten ist, dass noch der Private Key mit einem Passwort versehen werden muss.

6. Es finden sich in der Tat Anleitungen im Netz, um EAP-TLS auf diversen Network Managern aus den angegebenen Komponenten zu konfigurieren. Exemplarisch wird anhand des CLI netctl auf Archlinux gezeigt wie EAP-TLS und damit easyroam/eduroam auf einem Linux Gerät konfiguriert werden kann. Folgendes wird vorausgesetzt:

• netctl
• wpa_spplicant
• easyroam .p12 Pseudozertifikat

Die in Schritt 5. generierten Dateien (easyroam_client_cert.pem, easyroam_client_key.pem, easyroam_root_ca.pem) unter /etc/netctl/cert ablegen und anschließend ein File mit dem Namen easyroam erzeugen, dort wird folgendes hineingeschrieben und gespeichert:

description='easyroam connection'
Interface=wlan0
Connection=wireless
Security='wpa-configsection'
IP='dhcp'
WPAConfigSection=(
    'ssid="eduroam"'
    'key_mgmt=WPA-EAP'
    'eap=TLS'
    'proto=WPA RSN'
    'identity="76673789883214453797@easyroam.realm_der_einrichtung.tld"'   # Hier muss der CN (Common Name) aus dem easyroam Pseudozertifikat stehen!
    'client_cert="/etc/netctl/cert/easyroam_client_cert.pem"'
    'private_key="/etc/netctl/cert/easyroam_client_key.pem"'
    'private_key_passwd="FORYOUREYSEONLY"'
    'ca_cert="/etc/netctl/cert/easyroam_root_ca.pem"'
    'ca_cert2="/etc/netctl/cert/easyroam_root_ca.pem"'
) 

Mit Root Rechten wird folgendes Kommando aufgerufen:

netctl start easyroam 

Soll permanent easyroam instaliert werden, so wird folgendes Komando aufgerufen:

netctl enable easyroam

Sicherstellen, dass eine Internetverbindung besteht, z.B. WLAN (nicht eduroam).

1. Aktuell bestehendes eduroam Profil und wenn vorhanden auch die geteduroam App vorher löschen. Die easyroam App aus dem Apple App Store herunterladen und installieren.

2. Die easyroam App starten (Beispiel iPAD Pro).

3. Es gibt zwei Möglichkeiten zur Anmeldung in easyroam „Login through Website“ oder „Login using QR-Code“. Beim „Login through Website“ ist die Anmeldung über den WAYF (Where Are You From) Ostbayerische Technische Hochschule Amberg-Weiden und seinem OTH-AW Account erforderlich siehe Punkt 4. . Hat man seinen Laptop oder ein Desktop Gerät in der Nähe, so kann man sich mit diesen Geräten über das Portal www.easyroam.de im Browser in easyroam anmelden und einen QR-Code (5 Minuten gültig) generieren, den man dann in der easyroam app auf dem iOS Gerät einlesen kann. In diesem Fall überspringt man Punkt 4. und installiert das Profil wie in Punkt 5. angegeben.

4. Im Suchfenster nach dem passenden DFN-AAI IdP suchen und sich mit seinem DFN-AAI IdP Account anmelden.

5. Mit einem Klick auf „Install new profile“ oder „Request new Profile“ startet der Installationsprozess des Profils.

6. Mit einem Klick auf „Confirm“ geht es weiter.

7. Es erscheint eine Sytemcheck Box, „Easyroam möchte sich mit dem WLAN eduroam verbinden.“ Mit der Auswahl „Verbinden“ wird die Verbindung zu eduroam aufgebaut.

Im Bereich „Other Profiles“ lassen sich Profile auf anderen Endgeräten widerrufen, falls erforderlich. Die Profile auf anderen Endgeräten lassen sich jedoch nicht erneuern.

Sicherstellen, dass eine Internetverbindung besteht, LAN oder WLAN (nicht eduroam). Wenn alte eduroam Profile, die nicht mit easyroam installiert wurden, noch auf dem System sind, bitte vor der Nutzung von easyroam unbedingt löschen. s. „System Prefences/System Einstellungen“ und Profile. Alte Profile, die mit easyroan installiert wurden, müssen nicht vorher gelöscht werden.

1. Browser (in der Regel Safari) aufrufen und https://www.easyroam.de eingeben. Und die Ostbayerische Technische Hochschule Amberg-Weiden auswählen.

3. Mit dem „Klick“ auf „Zugang generieren“ erscheint im Vordergrund des Browser-Fensters die Download Box.

4. Mit „Klick“ auf „OK“ geht es weiter. Anschließend „System Prefences/System Einstellungen“ aufrufen und unten rechts Profiles auswählen.

5. Es erscheint ein Menü mit den Nutzerprofilen und mit dem heruntegeladenen Profil, Dreieck Icon mit gelb hinterlegtem Ausrufezeichen.

Das heruntegeladene Profil anklicken und dann ein „Klick“ auf Install/Installieren, es erscheint das nächste Menü.

6. Nun besteht nochmals Möglichkeit in die Details des Profils zu schauen oder die Installation abzuschließen. Bei Abschluss der Installation fragt das System nach dem Passwort des Users, damit wird die Erlaubnis erteilt das Profil auf dem System zu installieren. Nach der Installation versucht der MacOSX-Rechner eine Verbindung zum eduroam Netz aufzubauen. Sollte kein eduroam Netz in der Nähe sein, so kann es zu einer Fehlermeldung kommen. Das Profil ist jedoch installiert und sobald ein eduroam Netz gefunden wird, wird eine automatische Anmeldung im eduroam Netz durchgeführt.