OPNsense 25.1.10-amd64(FreeBSD 14.2-RELEASE-p3) ve Yönetilebilir Switch ile 802.1X RADIUS Kurulum Kılavuzu

Amaç: Bu kılavuz, OPNsense güvenlik duvarını bir RADIUS sunucusu olarak yapılandırarak, ağa bağlanacak cihazların kimliklerini merkezi olarak doğrulamak için yönetilebilir bir switch (örnek olarak D-Link DGS-1210-52ME kullanılmıştır) ile nasıl entegre edileceğini adım adım açıklar.

Senaryo:

RADIUS Sunucusu (OPNsense): 10.0.0.1
Yönetilebilir Switch (D-Link): 10.0.0.3
İç Ağ (LAN): 10.0.0.0/24
Kimlik Doğrulama Kullanıcısı: salvador
Paylaşılan Gizli Anahtar (Shared Secret): 1q2w3eR4

Bölüm 1: OPNsense üzerinde FreeRADIUS Kurulumu ve Yapılandırması

Bu bölümde, OPNsense'i kimlik doğrulama isteklerini kabul edecek ve cevaplayacak bir sunucu haline getireceğiz.

Adım 1.1: FreeRADIUS Eklentisini Kurma

OPNsense arayüzünde System > Firmware > Plugins menüsüne gidin.
Arama kutusuna os-freeradius yazın ve eklentiyi Install (Kur) butonu ile kurun.

Adım 1.2: FreeRADIUS Servisini Etkinleştirme

Services > FreeRADIUS > General menüsüne gidin.
Enable FreeRADIUS kutucuğunu işaretleyin
Log to File or Syslog seçeneğini files olarak ayarlayın. Bu, sorun giderme için hayati önem taşır.
Save (Kaydet) butonuna basın.

Adım 1.3: RADIUS İstemcisini (Switch) Tanımlama

Bu adımda, switch'in OPNsense'e bağlanmasına izin vereceğiz.

Services > FreeRADIUS > Clients menüsüne gidin.
Yeni bir istemci eklemek için + (Add) butonuna basın.
Açılan formu doldurun:

Client Name: dgp-1210-52me gibi açıklayıcı bir isim.
IP Address or Network: Switch'in IP adresi (10.0.0.3)
Shared secret: Switch ile OPNsense arasında kullanılacak parola (1q2w3eR4) Bu parolanın switch tarafında da birebir aynı olması gerekir.

Save butonuna basın.
Ana "Clients" ekranına döndüğünüzde, alttaki turuncu Apply (Uygula) butonuna basarak değişikliği aktif edin.

Adım 1.4: Kullanıcıları Oluşturma

Ağa bağlanmasına izin verilecek kullanıcıları burada tanımlarız.

Services > FreeRADIUS > Users menüsüne gidin.
+ (Add) butonu ile yeni kullanıcı ekleyin.
Formu doldurun:

Username: salvador
Password: Kullanıcının ağa bağlanırken gireceği parola (1q2w3eR4)

Save edin ve ana "Users" ekranındaki turuncu Apply butonuna basın.

Adım 1.5: DHCP Sunucusunu Yapılandırma

Kimliği doğrulanan cihazlara otomatik IP adresi vermek için gereklidir.

Services > ISC DHCPv4 > [LAN/radius] menüsüne gidin.
Arayüz için DHCP sunucusunu aktif edin.
Bir IP aralığı (Range) tanımlayın (örneğin 10.0.0.100 - 10.0.0.200).
Gateway ve DNS Servers olarak 10.0.0.1 (OPNsense'in kendisi) girin.
Kaydedin. Başarılı bir bağlantı sonrası istemcinin aldığı IP,
Services > ISC DHCPv4 > Leases altında görülebilir

Bölüm 2: D-Link Switch Yapılandırması

Bu bölümde, D-Link switch'e kimlik doğrulama için OPNsense'i kullanmasını öğreteceğiz.

Adım 2.1: Temel IP Ayarları

Switch'in web arayüzüne bağlanın.
System > IP Interface gibi bir menüden, switch'e statik bir IP adresi atayın

IP Address: 10.0.0.3
Subnet Mask: 255.255.255.0
Default Gateway: 10.0.0.1

Ayarları kaydedin.

Adım 2.2: RADIUS Sunucusunu Tanımlama

Security > AAA > RADIUS Server menüsüne gidin
Yeni bir sunucu ekleyin:

IP Address: 10.0.0.1 (OPNsense'in IP'si)
Key (Shared Secret): OPNsense'de belirlediğiniz parolanın aynısı (1q2w3eR4)^{15151515151515151515151515151515}.

Apply butonu ile kaydedin.

Adım 2.3: 802.1X Ayarları

Security > 802.1X > 802.1X Global Settings menüsüne gidin

Authentication State: Enabled olarak ayarlayın
Authentication Protocol: RADIUS olarak seçin
Apply ile kaydedin.

Security > 802.1X > 802.1X Port Settings menüsüne gidin

Kimlik doğrulaması yapmak istediğiniz portları (örneğin Port 1 ve 2) seçin
Seçtiğiniz portlar için
Port Control modunu Force Unauthorized yerine Auto olarak değiştirin
Apply ile kaydedin.

Not: Bazı switch'lerde, 802.1X için yerel bir kullanıcı veritabanı da bulunur. Bu genellikle RADIUS devrede olmadığında bir yedek olarak kullanılır (Security > 802.1X > 802.1X User). Bizim senaryomuzda tüm kullanıcılar merkezi olarak OPNsense'de yönetildiği için bu bölümün yapılandırılmasına gerek yoktur

Bölüm 3: Windows İstemci Yapılandırması

Ağ Bağlantıları (ncpa.cpl) penceresini açın.
Kullanılacak ağ adaptörüne sağ tıklayıp Özellikler'i seçin.
Kimlik Doğrulaması sekmesine gidin.
IEEE 802.1X kimlik doğrulamasını etkinleştir kutucuğunu işaretleyin.
Yöntem olarak Microsoft: Korumalı EAP (PEAP) seçin.
Ayarlar'a tıklayın, Sunucu kimliğini doğrula seçeneğinin işaretini (test ortamı için) kaldırın.
Kimlik doğrulama yöntemi olarak Güvenli Parola (EAP-MSCHAPv2) seçili olduğundan emin olun.
Yapılandır... butonuna basın ve Windows oturum açma... seçeneğinin işaretini kaldırın. Bu, Windows'un size özel olarak kullanıcı adı/parola sormasını sağlar.
Tüm pencereleri Tamam diyerek kapatın.

Bu adımlar tamamlandıktan sonra, istemci bilgisayar 802.1X için yapılandırılmış bir porta takıldığında, kimlik bilgileri sorulacak ve doğru girildiğinde OPNsense tarafından doğrulanarak ağa tam erişim sağlanacaktır.