Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:eduroam:anleitungen:radsecproxy:deprecated [2026/09/14 11:44] – Hinweis zum Work-in-progress Jan-Frederik Rieckersde:eduroam:anleitungen:radsecproxy:deprecated [2026/10/22 09:01] (aktuell) – typo Jan-Frederik Rieckers
Zeile 24: Zeile 24:
   CertificateNameCheck Off   CertificateNameCheck Off
   MatchCertificateAttribute CN:/^tld1\.eduroam\.de$/   MatchCertificateAttribute CN:/^tld1\.eduroam\.de$/
 +  // Oder auch
 +  MatchCertificateAttribute SubjectAltName:DNS:/^tld1\.eduroam\.de$/
   [...]   [...]
 } }
-</code> +client tld1.eduroam.de { 
- +  [...] 
-Alternativ auch: +  CertificateNameCheck off 
- +  MatchCertificateAttribute [...]
-<code> +
-server tld1.eduroam.de { +
-  Host <ip-addr> +
-  Type tls +
-  CertificateNameCheck Off +
-  MatchCertificateAttribute SubjectAltName:DNS:/^tld1\.eduroam\.de$/+
   [...]   [...]
 } }
Zeile 51: Zeile 47:
   Type tls   Type tls
   ServerName tld1.eduroam.de   ServerName tld1.eduroam.de
 +  StatusServer On
   [...]   [...]
 +}
 +client tld1.eduroam.de {
 +  Host <ip-addr>
 +  Type tls
 +  ServerName tld1.eduroam.de
 } }
 </code> </code>
  
-Alternativ:+Alternativ, falls der Hostname per DNS auf die IP-Adresse aufgelöst werden soll:
  
 <code> <code>
Zeile 61: Zeile 63:
   Type tls   Type tls
   StatusServer On   StatusServer On
 +  [...]
 } }
 client tld1.eduroam.de { client tld1.eduroam.de {
   Type tls   Type tls
 +  [...]
 } }
 </code> </code>
Zeile 80: Zeile 84:
  
 <WRAP center round tip 60%> <WRAP center round tip 60%>
-Wenn die ''Host'' Konfiguration nicht vorhanden ist, sondern der Servern schon als ''tld1.eduroam.de'' (bzw. ''tld2...''/''tld3...'') benannt ist, kann die ''ServerName'' Konfiguration auch komplett weggelassen werden, da radsecproxy hier direkt den richtigen Namen zur Überprüfung nutzt.+Wenn die ''Host'' Konfiguration nicht vorhanden ist, sondern der Server schon als ''tld1.eduroam.de'' (bzw. ''tld2...''/''tld3...'') benannt ist, kann die ''ServerName'' Konfiguration auch komplett weggelassen werden, da radsecproxy hier direkt den richtigen Namen zur Überprüfung nutzt.
 </WRAP> </WRAP>
  
Zeile 133: Zeile 137:
 </code> </code>
  
-Alternativ, falls radsecproxy < 1.10 eingesetzt wird+Alternativ, falls radsecproxy 1.9 oder früher eingesetzt wird
  
 <code> <code>
Zeile 163: Zeile 167:
 Perspektivisch sollen die Server aber wieder individuelle Zertifikate erhalten, d.h. es ist wichtig, dass der Namens-Check auf den Namen des Servers prüft. Perspektivisch sollen die Server aber wieder individuelle Zertifikate erhalten, d.h. es ist wichtig, dass der Namens-Check auf den Namen des Servers prüft.
  
-Bei radsecproxy-Versionen bis 1.9 ist die Option ''ServerName'' noch nicht vorhanden, d.h. hier muss über ''MatchCertificateAttribute'' gearbeitet werden.+Bei radsecproxy-Versionen bis 1.9 ist die Option ''ServerName'' noch nicht vorhanden, d.h. hier muss über ''MatchCertificateAttribute'' gearbeitet werden. Der Check läuft über einen Regex. Achtung: Die Punkte müssen mit dem Backslash escaped werden, der Punkt ist bei Regex sonst ein Platzhalter für ein beliebiges Zeichen.
  
  
Zeile 199: Zeile 203:
 === Hingergrund === === Hingergrund ===
  
-Im Zuge einer Umstellung hat sich die IP-Adresse von tld3 geändert.+Im Zuge einer Umstellung hat sich die IP-Adresse von tld3 geändert. Prüfen Sie auch die Firewall-Einstellungen, ob hier ggf. noch nur die alte IP-Adresse von tld3 freigeschaltet ist.
  
  
Zeile 217: Zeile 221:
   [...]   [...]
 } }
 +
 client tld1.eduroam.de { client tld1.eduroam.de {
   [...]   [...]
Zeile 223: Zeile 228:
   [...]   [...]
 } }
 +
 realm * { realm * {
   server tld1.eduroam.de   server tld1.eduroam.de
Zeile 245: Zeile 251:
   [...]   [...]
 } }
 +
 client tld1.eduroam.de { client tld1.eduroam.de {
   [...]   [...]
Zeile 254: Zeile 261:
   [...]   [...]
 } }
 +
 realm * { realm * {
   server tld1.eduroam.de   server tld1.eduroam.de
Zeile 266: Zeile 274:
 === Hingergrund === === Hingergrund ===
  
-Der dritte Föderations-Server ''tld3.eduroam.de'' wurde 2021 hinzugefügt. Ältere Konfigurationen haben den Server ggf. nicht eingetragen.+Der dritte Föderations-Server ''tld3.eduroam.de'' wurde 2021 hinzugefügt. Ältere Konfigurationen haben den Server ggf. nicht eingetragen. Die Eintragung ist notwendig, damit die bestmögliche Redundanz vorhanden ist. Da die Proxies die Requests untereinander nicht austauschen, kann es sein, dass Anfragen für die eigene Realm nicht ankommen, wenn der Client-Eintrag für tld3 fehlt und die besuchte Einrichtung die Anfragen an tld3 schickt. In dem Fall kann tld3 den Request nicht zur Heimateinrichtung weiterleiten.
  • Zuletzt geändert: vor 7 Wochen