MikroTik

Preparar certificados

Para estabelecer uma ligação RadSec válida, os Pontos de Acesso MikroTik têm de confiar no Certificado do Servidor RADIUS e o seu servidor RADIUS tem de confiar no Certificado de Cliente RadSec. Para o conseguir, siga os passos abaixo:

Opção 1: Utilizar a PKI SCEPman

1. Descarregue o certificado de raiz da CA que emitiu o seu ativo Certificado do Servidor RADIUS conforme descrito aqui. Uma vez que está a utilizar SCEPman, esse poderá ser o seu certificado SCEPman Root CA.
2. Inicie sessão no seu dispositivo MikroTik e, em seguida, carregue o certificado do passo 1 acima para o dispositivo MikroTik utilizando o menu Ficheiros à esquerda.
3. Depois de carregado, mude para o seu separador Terminal no canto superior direito e execute o seguinte comando para importar este certificado para o repositório de certificados do MikroTik:

/certificate import file-name="scepman-root.cer"

1. Gerar um Certificado de Cliente RadSec utilizando SCEPman Certificate Master navegando até ao menu Certificado de Cliente :

   

Certifique-se de monitorizar a expiração do seu Certificado de Cliente RadSec e renová-lo atempadamente para evitar interrupções de serviço.

1. Assim que o Certificado de Cliente RadSec for descarregado, extraia a chave privada, por exemplo utilizando o OpenSSL, uma vez que esta terá de ser importada separadamente para o ponto de acesso:

openssl pkey -in yourfile.pem -out private.key

1. Carregue ambos os ficheiros, o certificado e a chave privada, através do menu Ficheiros . Em seguida, importe primeiro o certificado e depois a chave privada. Durante o processo de importação, a chave privada será associada ao certificado indicado pela letra 'K' como mostrado abaixo.

Opção 2: Utilizar outras PKIs

Utilize esta secção se pretender criar uma CA de raiz no seu AP Mikrotik e gerar um Certificado de Cliente RadSec a partir desta raiz. Tenha em atenção que todos estes passos podem ser concluídos tanto na GUI como no terminal.

1. Descarregue o certificado de raiz da CA que emitiu o seu ativo Certificado do Servidor RADIUS conforme descrito aqui.
2. Inicie sessão no seu dispositivo MikroTik e, em seguida, carregue o certificado do passo 1 acima para o dispositivo MikroTik utilizando o menu Ficheiros à esquerda.
3. Depois de carregado, mude para o seu separador Terminal no canto superior direito e execute o seguinte comando para importar este certificado para o repositório de certificados do MikroTik:

/certificate import file-name="RADIUS Customer CA - Contoso.cer"

1. Se ainda não gerou Certificado de Cliente RadSec para o AP MikroTik, gere um conforme o exemplo abaixo. Para mais informações sobre a criação de certificados, clique aqui.

Certifique-se de monitorizar a expiração do seu Certificado de Cliente RadSec e renová-lo atempadamente para evitar interrupções de serviço.

Exemplo:

/certificate add name=myCa common-name=myCa key-usage=key-cert-sign,crl-sign
/certificate add name=mikrotik-client common-name=mikrotik-client
/certificate sign mikrotik-client ca=myCa name=mikrotik-client

No exemplo acima, a primeira linha cria uma CA de raiz chamada myCa. A segunda linha gera um certificado de cliente para o dispositivo MikroTik, e a terceira linha utiliza myCa (CA) para assinar o certificado mikrotik-client gerado no passo 2. Se tudo correr bem, acabará com três certificados, como mostrado abaixo. Certifique-se de que o seu dispositivo MikroTik confia nos certificados relevantes (sinalizador 'T ' na secção verde). Se ainda não for esse o caso, defina o sinalizador utilizando o comando abaixo:

/certificate
set myCa trusted=yes
set "RADIUS Customer CA - Contoso.cer" trusted=yes

1. Exporte o certificado da CA de raiz (myCa) que emitiu o seu Certificado de Cliente RadSec acima:

/certificate export-certificate myCa

1. Descarregue-o a partir do menu Ficheiros e, em seguida, carregue o ficheiro para a sua instância RADIUSaaS conforme descrito aqui e selecione RadSec em Usar para. Depois de concluído, continue a configurar o seu AP MikroTik conforme abaixo e utilize Opção 1 para os certificados.

Configuração do MikroTik

Tenha em atenção que a configuração abaixo foi testada com o RouterOS 6.47.4 e 6.49.11

1. Volte ao seu WebFig, adicione um novo perfil RADIUS e introduza as seguintes informações:

Parâmetro	Valor
Endereço	Utilize o endereço IP da sua página Definições do Servidor .
Protocolo	radsec
Segredo	"radsec"
Porta de Autenticação	2083
Porta de Contabilização	2083
Tempo limite	4000 ms
Certificado	Opção 1: Certificado de Cliente SCEPman Issued (RadSec) (gerado no passo 4). Opção 2: Certificado de Cliente RadSec emitido pela CA incorporada do MikroTik (gerado no passo 4).

Configurar perfil RADIUS / RadSec

1. Vá a Wireless, adicione um novo Perfil de Segurança e introduza as seguintes informações:

Parâmetro	Valor
Nome	Nome do perfil de segurança RADIUS
Modo	chaves dinâmicas
Métodos EAP	pass-through
Modo TLS	verificar certificado
Certificado TLS	Opção 1: certificado SCEPman Root CA. Opção 2: certificado RADIUSaaS Customer-CA.

1. Mude para Interfaces Wi‑Fi e atribua o seu Perfil de Segurança à interface.