Radius Server werkt niet meer

[Robert Koopman]

Ik stop en start de radius server een keer per week denk ik.
Krijgen we in huis gewoon geen wifi verbinding meer, na de herstart meteen wel weer.
Geen vreemde dingen in de log waarom het even niet werkt.

[cyrus1977]

Zie jij ook deze melding niet in je radius log ?


[ms-chap] invalid LM password


daar lijkt het bij op mis te gaan.

[Robert Koopman]

Die melding zie ik bij elke inlogpoging......
Loop ik van de begane grond naar de zolder, kom ik langs 3 routers/AP, zie ik die melding 3 keer.
Ik vroeg er laatst al eens om, schijnt een Microsoft gevalletje te zijn.
Vreemd want ik gebruik alleen Apple draadloze apparatuur, zit nergens Microsoft in de schakel.
Maar alle draadloze loggen wel gewoon in, waar dit LM password vandaan komt, geen idee?

[Briolet]

Nooit gezien. Ik zie slechts 2 regels per inlog, ongeacht het device. Mij mij zijn het een i-Mac en diverse android toestellen die op het netwerk inloggen.

Misschien dat hij eerst een ander protocol probeert voor authenticatie? 

[Robert Koopman]

Ook bij een android client zie ik deze melding.
Kan niet achterhalen waarom dit gebeurd.

[Briolet]

Ik zie ook niets in de settings. Ik heb voor de aardigheid de config file bekeken. Daar kun je nog iets meer instellen dan via dsm:

Code: [Selecteer]

GedeeldeData> cat radiusclient.conf
# General settings

# specify which authentication comes first respectively which
# authentication is used. possible values are: "radius" and "local".
# if you specify "radius,local" then the RADIUS server is asked
# first then the local one. if only one keyword is specified only
# this server is asked.
auth_order radius

# maximum login tries a user has (default 4)
login_tries 4

# timeout for all login tries (default 60)
# if this time is exceeded the user is kicked out
login_timeout 60

# name of the nologin file which when it exists disables logins.
# it may be extended by the ttyname which will result in
# a terminal specific lock (e.g. /etc/nologin.ttyS2 will disable
# logins on /dev/ttyS2)   (default /etc/nologin)
nologin /etc/nologin

# name of the issue file. it's only display when no username is passed
# on the radlogin command line  (default /etc/radiusclient/issue)
issue /etc/radiusclient/issue

# RADIUS settings

# RADIUS server to use for authentication requests. this config
# item can appear more then one time. if multiple servers are
# defined they are tried in a round robin fashion if one
# server is not answering.
# optionally you can specify a the port number on which is remote
# RADIUS listens separated by a colon from the hostname. if
# no port is specified /etc/services is consulted of the radius
# service. if this fails also a compiled in default is used.
authserver localhost:31067

# RADIUS server to use for accouting requests. All that I
# said for authserver applies, too.
#
acctserver localhost:31068

# file holding shared secrets used for the communication
# between the RADIUS client and server
servers /etc/radiusclient/servers

# dictionary of allowed attributes and values
# just like in the normal RADIUS distributions
dictionary /etc/radiusclient/dictionary

# program to call for a RADIUS authenticated login
# (default /usr/sbin/login.radius)
login_radius /usr/sbin/login.radius

# file which holds sequence number for communication with the
# RADIUS server
seqfile /var/run/radius.seq

# file which specifies mapping between ttyname and NAS-Port attribute
mapfile /etc/radiusclient/port-id-map

# default authentication realm to append to all usernames if no
# realm was explicitly specified by the user
# the radiusd directly form Livingston doesnt use any realms, so leave
# it blank then
default_realm

# time to wait for a reply from the RADIUS server
radius_timeout 10

# resend request this many times before trying the next server
radius_retries 3

# NAS-Identifier
#
# If supplied, this option will cause the client to send the given string
# as the contents of the NAS-Identifier attribute in RADIUS requests.  No
# NAS-IP-Address attribute will be sent in this case.
#
# The default behavior is to send a NAS-IP-Address option and not send
# a NAS-Identifier.  The value of the NAS-IP-Address option is chosen
# by resolving the system hostname.

# nas_identifier MyUniqueNASName

# LOCAL settings

# program to execute for local login
# it must support the -f flag for preauthenticated login
login_local /bin/login


[cyrus1977]

Die melding zie ik bij elke inlogpoging......
Loop ik van de begane grond naar de zolder, kom ik langs 3 routers/AP, zie ik die melding 3 keer.
Ik vroeg er laatst al eens om, schijnt een Microsoft gevalletje te zijn.
Vreemd want ik gebruik alleen Apple draadloze apparatuur, zit nergens Microsoft in de schakel.
Maar alle draadloze loggen wel gewoon in, waar dit LM password vandaan komt, geen idee?

Bij mij is het ook mac online er is geen windows client te vinden in huis. Ik ben wel bezig met dit verder uit te zoeken. Kom het ook wel tegen bij de freeradius fora. Dus we zijn niet de enige en lijkt meer dan syno gerelateerd.

[Briolet]

Kan het ook liggen aan de account instellingen van de cliënt? Of kun je daar op de iPhone niets instellen. Mijn iBook is zelf configurerend dus moet ik maar accepteren wat hij kiest. Ik kan alleen achteraf zien dat hij met ms-chapv2 authentseert.
Op Android moet je wel zelf alles configureren. Daarvan zijn er drie wekelijks op mijn netwerk, maar zie ik niets vreemds.

Per verbinding krijg ik twee regels in het log. Beide beginnen met de accountnaam van de inlogger.

Android heeft twee vakjes voor de identiteit. De eerste heet "identiteit" en dat is de inlognaam. Er is ook nog een vak "anonieme identiteit" (Wat is dat eigenlijk). Met de radius server van een jaar geleden kwam die naam terug als de inlognaam van de tweede log-regel. Ik vond het handig om daar de apparaat-naam in te vullen. Dan kon ik snel zien welk apparaat inlogde, i.p.v. naar het mac-adres te kijken. Tegenwoordig genereert het een error als dat "anonieme identiteit" veld niet leeg is.

[cyrus1977]

Ik krijg net een update en mijn issues zijn gone :-)

[Robert Koopman]

Hier niet....
Per inlogactiviteit een invalid password.

[cyrus1977]

Same here toch helaas. Ik dacht er vanaf te zijn maar ook ik zie ze nu weer in de logs opduiken..

[Briolet]

Ik heb gisteren mijn zus met haar kinderen op bezoek gehad. Één van hen genereerde ook deze error in het log:

Code: [Selecteer]

Thu Dec 25 16:28:48 2014 : Error: [mschap] Invalid LM-Password
Thu Dec 25 16:28:48 2014 : Auth: Login OK: [A.....] (from client Kantoor port 0 via TLS tunnel)
Thu Dec 25 16:28:48 2014 : Auth: Login OK: [A.....] (from client Kantoor port 0 cli BC-44-86-BA-CC-29)

Zij heeft zeker geen Apple product, maar een goedkoop Android toestel.

Overigens vind je het log in de nas op:
/volume1/@appstore/RadiusServer/var/log/radius/radius.log

Lekker verstopt dus, maar identiek aan het log in dsm. Alles wat in Volume1 staat kun je echter met een hardlink in een share zichtbaar maken, wat het weer lekker snel toegankelijk maakt (totdat er een logrotatie plaats heeft)
Mijn oude radiuslog is gisteren gewist met de update van het radius package. Bij een hardlink naar een share, blijft daar wel het oude log staan. 

[Briolet]

[ms-chap] invalid LM password

Gevaarlijk om dit soort info openbaar te maken. 

Ik denk dat ik de oorzaak nu gevonden heb: Als je wachtwoord een uppercase teken bevat, dan krijg je die foutcode. Bij een volledig lowercase wachtwoord, blijft die foutmelding weg.

Ik heb het nu bij 3 accounts geprobeerd waar ik het wachtwoord van ken. (Niet direct een onderzoek van grote getallen, maar anderen kunnen dit hopelijk bevestigen of juist ontkrachten)

Als ik op mijn laptop inlog met het ene account, is die melding er niet en met het andere account wel.

[Robert Koopman]

Gevaarlijke informatie maar geen hoofdletters in mijn wachtwoord.
Dus bij mij gaat deze theorie niet op.

[Briolet]

Dan maar verder op zoek naar een andere reden. 

Als je op die error googled vind je vaak iets als:

Code: [Selecteer]

[mschap] No Cleartext-Password configured.  Cannot create LM-Password.
[mschap] No Cleartext-Password configured.  Cannot create NT-Password.
[mschap] Told to do MS-CHAPv2 for john with NT-Password
[mschap] FAILED: No NT/LM-Password.  Cannot perform authentication.
[mschap] FAILED: MS-CHAP2-Response is incorrect

Dus naast een "LM-Password" is er blijkbaar ook nog een "NT-Password". Pas als beide falen, faalt de connectie-opbouw. Ik heb echter nog niet kunnen vinden wat die beide wachtwoorden nu precies inhouden.