MikroTik

Preparar certificados

Para estabelecer uma conexão RadSec válida, os Pontos de Acesso MikroTik devem confiar no Certificado de Servidor RADIUS e seu servidor RADIUS deve confiar no Certificado de Cliente RadSec. Para alcançar isso, siga os passos abaixo:

Opção 1: Usando o PKI do SCEPman

1. Faça o download do certificado raiz da AC que emitiu seu ativo Certificado de Servidor RADIUS conforme descrito aqui. Como você está usando o SCEPman, esse pode ser o certificado da SCEPman Root CA.

2. Faça login no seu dispositivo MikroTik, então carregue o certificado do passo 1 acima para o dispositivo MikroTik usando o Arquivos menu à esquerda.

3. Uma vez carregado, mude para a sua Terminal aba no canto superior direito e execute o seguinte comando para importar este certificado para o armazenamento de certificados do MikroTik:

/certificate import file-name="scepman-root.cer"

1. Gere um Certificado de Cliente RadSec usando SCEPman Certificate Master navegando até o menu de Certificado de Cliente :

   

Assegure-se de monitorar a expiração do seu Certificado de Cliente RadSec e renová-lo em tempo hábil para prevenir interrupções do serviço.

1. Uma vez que o Certificado de Cliente RadSec for baixado, extraia a chave privada, por exemplo usando OpenSSL, pois esta terá de ser importada separadamente para o ponto de acesso:

openssl pkey -in yourfile.pem -out private.key

1. Carregue ambos os arquivos, o certificado e a chave privada via o Arquivos menu. Então importe primeiro o certificado e depois a chave privada. Durante o processo de importação a chave privada irá se fundir com o certificado indicado por uma letra 'K' como mostrado abaixo.

Opção 2: Usando outros PKIs

Use esta seção se desejar criar uma AC raiz no seu AP MikroTik e gerar um Certificado de Cliente RadSec a partir desta raiz. Por favor note que todos esses passos podem ser completados tanto na GUI quanto no terminal.

1. Faça o download do certificado raiz da AC que emitiu seu ativo Certificado de Servidor RADIUS conforme descrito aqui.

2. Faça login no seu dispositivo MikroTik, então carregue o certificado do passo 1 acima para o dispositivo MikroTik usando o Arquivos menu à esquerda.

3. Uma vez carregado, mude para a sua Terminal aba no canto superior direito e execute o seguinte comando para importar este certificado para o armazenamento de certificados do MikroTik:

/certificate import file-name="RADIUS Customer CA - Contoso.cer"

1. Se você ainda não gerou Certificado de Cliente RadSec para o AP MikroTik, gere um conforme o exemplo abaixo. Para mais informações sobre criação de certificados, clique aqui.

Assegure-se de monitorar a expiração do seu Certificado de Cliente RadSec e renová-lo em tempo hábil para prevenir interrupções do serviço.

Exemplo:

/certificate add name=myCa common-name=myCa key-usage=key-cert-sign,crl-sign
/certificate add name=mikrotik-client common-name=mikrotik-client
/certificate sign mikrotik-client ca=myCa name=mikrotik-client

No exemplo acima, a primeira linha cria uma AC raiz chamada myCa. A segunda linha gera um certificado de cliente para o dispositivo MikroTik, e a terceira linha usa myCa (AC) para assinar o mikrotik-client certificado gerado no passo 2. Se tudo correu bem, você terá três certificados como mostrado abaixo. Por favor assegure que seu dispositivo MikroTik confia nos certificados relevantes (T bandeira na seção verde). Se esse ainda não for o caso, defina a bandeira usando o comando abaixo:

/certificate
set myCa trusted=yes
set "RADIUS Customer CA - Contoso.cer" trusted=yes

1. Exporte o certificado da AC raiz (myCa) que emitiu seu Certificado de Cliente RadSec acima:

/certificate export-certificate myCa

1. Faça o download dele a partir do Arquivos menu e então carregue o arquivo na sua instância RADIUSaaS conforme descrito aqui e selecione RadSec em Usar para. Uma vez concluído, continue configurando seu AP MikroTik conforme abaixo e use Opção 1 para certificados.

Configuração MikroTik

Por favor note que a configuração abaixo foi testada com RouterOS 6.47.4 e 6.49.11

1. Volte para seu WebFig, adicione um novo perfil RADIUS e insira as seguintes informações:

Parâmetro	Valor
Endereço	Use o endereço IP da sua Configurações do Servidor página.
Protocolo	radsec
Segredo	"radsec"
Porta de Autenticação	2083
Porta de Contabilização	2083
Tempo limite	4000 ms
Certificado	Opção 1: Certificado de Cliente (RadSec) emitido pelo SCEPman (gerado no passo 4). Opção 2: Certificado de Cliente RadSec emitido pela AC interna do MikroTik (gerado no passo 4).

Configurando o perfil RADIUS / RadSec

1. Vá para Wireless, adicione um novo Perfil de Segurança e insira as seguintes informações:

Parâmetro	Valor
Nome	Nome do perfil de segurança RADIUS
Modo	chaves dinâmicas
Métodos EAP	passsthrough
Modo TLS	verificar certificado
Certificado TLS	Opção 1: certificado SCEPman Root CA. Opção 2: certificado Customer-CA do RADIUSaaS.

1. Mude para suas Interfaces Wi-Fi e atribua seu Perfil de Segurança à interface.