Demon-z Posted June 23, 2016 Posted June 23, 2016 ногами не пинать) подскажите популярным образом: для настройки авторизации по WPA-Entreprise нужен SSL сертификат. на сколько я понял основная масса народу пользует самоподписное.. вопрос такой: какой тип сертификата подойдет из тех что продают СА-доверенные центры.??? есть задача для корпоративной сетки, но самоподписной вариант не подойдет... в продаже разновидностей много оных сертификатов... вот к примеру из тех что здесь: https://www.startssl.com/ или https://www.ssls.com/ спасибо за вдумчивый ответ и любую другую помощь.
BlackVS Posted June 23, 2016 Posted June 23, 2016 вот еще бесплатный вариант: https://letsencrypt.org/ Они выдаются на короткий срок (сейчас вроде на 3 месяца) и нужно думать, как автоматизировать их перевыпуск. Для https/Linux это давно уже придумано, для Mikrotik - вопрос интересный...
Rudi Posted June 23, 2016 Posted June 23, 2016 вот еще бесплатный вариант: https://letsencrypt.org/ Они выдаются на короткий срок (сейчас вроде на 3 месяца) и нужно думать, как автоматизировать их перевыпуск. Для https/Linux это давно уже придумано, для Mikrotik - вопрос интересный... можно и под линуксом автоматом обновлять, а потом уже сгружать туда, где будет использоваться
Demon-z Posted June 23, 2016 Author Posted June 23, 2016 господа, задача не стоит в бесплатном или платном... вопрос какой тип сертификата подойдет? или любой подойдет? главное чтобы девайсы юзеров не квакали об "опасности" самоподписного сертификата....
John_Doe Posted June 23, 2016 Posted June 23, 2016 wosign -2года startssl-1 год letsencrypt-90 дней,авто renew от всех этих контор бесплатные сертификаты хаваются всеми мобильными девайсами и не встречал софта который не хавал эти сертификаты а то что они бесплатные достаточно важно, потому что ценник в среднем по рынку на сертификаты сильно не гуманный А что бы ответить на свой вопрос,возьмите такой сертификат настройте и проверьте И нам еще расскажите про то с какими столкнулись заморочками
Alver Posted June 23, 2016 Posted June 23, 2016 Главный момент- какой тип аутентификации используется. Если EAP-PEAP MSChapv2 или EAP-TTLS -то на стороне клиента ( смартфоны, планшеты) не нужно сертификата (корневой там всегда есть и он подойдет). На стороне cервера Radius - обычно все сертификаты основных выпускающих центров там есть. Поэтому при аутентификации EAP Enterprise ( EAP-PEAP MSCHAP.v2 или EAP-TTLS) думать о сертификатах не надо. Однако эти типы аутентификации должны поддерживать точки доступа ( если речь идет о вайфай). Микротик это не поддерживает, у него есть только EAP-TLS, который требует уникального сертификата на стороне клиента.
Sоrk Posted June 24, 2016 Posted June 24, 2016 (edited) для WPA-Enterprise сертификат должен быть с ролями: Ensures the identity of a remote computer - Client Authentication (1.3.6.1.5.5.7.3.2) Proves your identity to a remote computer - Server Authentication (1.3.6.1.5.5.7.3.1) данные роли входят в обычный шаблон SSL-сертификата. ДНС-имя радиус-сервера должно совпадать с именем, прописанным в настройках точки доступа, полезно прописать дополнительным именем DNS-имя сервера, которое будет в PTR-записи (если оно отличается от прямого). Важно - сертификат должен быть установлен и настроен на радиус-сервере! Edited June 24, 2016 by Sоrk
Demon-z Posted June 24, 2016 Author Posted June 24, 2016 wosign 3 года есличо. For Free SSL Certificate, it support 5 domain names for 2 years period; if you need more domains support, then each domain will be charged US$1.99 per year.The difference between the Free SSL Certificate and charged DV SSL Certificate is the issuer, the Free SSL issuer is “WoSign CA Free SSL Certificate G2”, but the charged SSL issuer is “WoSign Class 1 DV Server CA G2”.
Demon-z Posted June 24, 2016 Author Posted June 24, 2016 для WPA-Enterprise сертификат должен быть с ролями: Ensures the identity of a remote computer - Client Authentication (1.3.6.1.5.5.7.3.2) Proves your identity to a remote computer - Server Authentication (1.3.6.1.5.5.7.3.1) данные роли входят в обычный шаблон SSL-сертификата. ДНС-имя радиус-сервера должно совпадать с именем, прописанным в настройках точки доступа, полезно прописать дополнительным именем DNS-имя сервера, которое будет в PTR-записи (если оно отличается от прямого). Важно - сертификат должен быть установлен и настроен на радиус-сервере! Спасибо!!!
maxx Posted June 24, 2016 Posted June 24, 2016 wosign 3 года есличо. For Free SSL Certificate, it support 5 domain names for 2 years period; if you need more domains support, then each domain will be charged US$1.99 per year.The difference between the Free SSL Certificate and charged DV SSL Certificate is the issuer, the Free SSL issuer is “WoSign CA Free SSL Certificate G2”, but the charged SSL issuer is “WoSign Class 1 DV Server CA G2”. Ой да что вы говорите http://clip2net.com/s/3zyq9Xc
John_Doe Posted June 24, 2016 Posted June 24, 2016 и в догонку http://clip2net.com/s/3zyqyXG Это не принципиально, они иногда меняют сроки, то было 2 года, потом 1,потом снова 2.Теперь вот можно и на 3 На вопрос применимости сертификата к поставленой задаче это не влияет вообще
bianca Posted June 28, 2016 Posted June 28, 2016 (edited) there is a task for the corporate nets, but a self-signed option will not work ... Yes, instead of using a self-signed certificate, people should use a trusted CA (Certification) SSL certificate for their website. Read more on this http://social.technet.microsoft.com/wiki/contents/articles/15189.difference-between-self-signed-ssl-certificate-authority.aspx Edited June 28, 2016 by bianca
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now