Eduroam unter Linux: Unterschied zwischen den Versionen

Anleitung
Anleitung
Linux
Informationen
Betriebssystem	Linux
Service	WLAN
Interessant für	Gäste, Angestellte und Studierende
Linux Portalseite

Aktuelle Version vom 30. Oktober 2024, 14:57 Uhr

WLAN

Please find the English version of this article on the page eduroam on Linux!

Diese Anleitung zur Einrichtung des WLANs eduroam an der Universität Paderborn gilt für Geräte mit Linux über die Benutzeroberfläche (GUI). Als Beispiel wird eduroam hier unter Ubuntu 14.04 LTS mit Gnome Desktop eingerichtet. Je nach Linuxversion können die Einstellungen leicht variieren. Bitte beachten Sie, dass das Notebook-Café keinen unmittelbaren Linux-Support anbietet.

Was ist zu tun?[Bearbeiten | Quelltext bearbeiten]

Erstellen Sie Ihr persönliches Netzwerkzertifikat der Universität
- <optional> Laden Sie das Root-Zertifikat herunter. Dabei handelt es sich um ein Standard-Wurzelzertifikat, es sollte daher schon vorhanden sein.
Richten Sie das Netzwerk eduroam ein.
Löschen Sie das evtl. vorhandene webauth-Profil, damit sich das Gerät automatisch mit eduroam verbindet.
Sonderfall: Je nach Linux-Version muss unter Domain/domäne uni-paderborn.de eingetragen werden.

Schritt-für-Schritt-Anleitung[Bearbeiten | Quelltext bearbeiten]

Zertifikate bereitstellen[Bearbeiten | Quelltext bearbeiten]

Rufen Sie mit einem Browser wie z. B. Firefox oder dem Internet Explorer das Serviceportal auf, loggen Sie sich mit Ihrem Benutzernamen und Ihrem Passwort ein und beantragen Sie unter "WLAN" ein neues Zertifikat. Geben Sie als Bezeichung das Gerät an, auf dem das Zertifikat installiert werden soll.
Für das Zertifikat wird dann ein automatisch ein Passwort generiert und auf der folgenden Seite angezeigt. Am besten ist es, wenn das Passwort für die weitere Intstallation kopiert wird.

Klicken Sie auf "Neues Zertifikat erstellen".

Geben Sie dem Zertifikat einen eindeutigen Namen (Bsp: Laptop xy)
Wählen Sie als Dateiformat Version 2 aus.
Klicken Sie anschließend auf "Neues Zertifikat zusenden".

Version 1 oder 2 - Was ist der Unterschied?

Die Zertifikate werden in unterschiedlichen Containerformaten zum Download angeboten. Die gewählte Version ist eine Empfehlung, die unserer Erfahrung nach gut für dieses Betriebssystem funktioniert.

Version 1 ist ein TripleDES-SHA1 Container
Version 2 ist ein AES-256 Container

Die AES-256 Verschlüsselung ist aus Sicherheitsgründen zu bevorzugen. Leider wird diese noch nicht von allen Betriebssystem unterstützt.

Ein neues Netzwerkzertifikat wurde für Sie erstellt.
Kopieren Sie zuerst das Import Passwort in die Zwischenablage.
Klicken Sie nun auf "Netzwerkzertifikat herunterladen".
Klicken Sie anschließend auf "CA-Zertifikat herunterladen".

Speichern Sie beide Zertifikate z. B. in Ihrem Benutzerordner oder an einem anderen sicheren Ort. Löschen/Verschieben Sie diesen Ordner nicht!

Eduroam einrichten[Bearbeiten | Quelltext bearbeiten]

Öffnen Sie das Status-Menü.
Wählen Sie "WLAN Netzwerke auswählen".

Wählen Sie eduroam.

Richten Sie eduroam folgendermaßen ein:

Sicherheit: WPA & WPA2 Enterprise
Legitimierung: TLS
Identität: <benutzername>@uni-paderborn.de (ersetzten Sie <benutzername> durch Ihren Uni-Account
Domäne (falls vorhanden): radius.uni-paderborn.de
CA-Zertifikat: Wählen Sie das USERTrust RSA Certification Authority-Zertifikat (USERTrustRSACertificationAuthority.crt) aus.
Passwort CA-Zertifikat: Bleibt frei.
User-Zertifikat: Wählen Sie Ihr persönliches Netzwerkzertifikat (die Datei, die auf .p12 endet und Ihren Nutzernamen des Uni-Accounts enthält) aus.
Passwort des User-Zertifikats: Bleibt frei.
Geheimer User-Schlüssel: Wird in der Regel automatisch mit "User-Zertifikat" gefüllt - Sonst selbst einfügen
Passwort des User-Schlüssels: Import-Passwort für Ihr persönliches Netzwerkzertifikat.

<variabel> Domain:
1. uni-paderborn.de (Manche Linux-Versionen benötigen diesen Eintrag)
2. radius.uni-paderborn.de (oder diesen)
3. <leer lassen> (oder so, falls es überhaupt angezeigt wird)

Problembehebung[Bearbeiten | Quelltext bearbeiten]

Manuell hinzufügen[Bearbeiten | Quelltext bearbeiten]

Unter Umständen können Sie das Netzwerk eduroam auch manuell hinzufügen:

Verbindungsname: Frei wählbar
SSID: eduroam
Restliche Einstellungen siehe oben.

Ubuntu[Bearbeiten | Quelltext bearbeiten]

Einige Kunden berichten von Problemen bei der Einrichtung von eduroam unter Ubuntu 22.04 und neuer. Das Problem wird hier beschrieben:

https://bugs.launchpad.net/ubuntu/+source/wpa/+bug/1958267

Achtung:

Folgender Lösungsvorschlag stammt von einem Kunden. Anwendung auf eigene Gefahr. Es fand keine Prüfung durch das ZIM statt.

1) Find wpa_supplicant service file with `systemctl status wpa_supplicant`.
    For me, the path is "/lib/systemd/system/wpa_supplicant.service"
2) In that file, (with superuser rights), add the line
    `Environment="OPENSSL_CONF=/usr/lib/ssl/openssl.cnf"`
3) Backup old config:
    `sudo cp /usr/lib/ssl/openssl.cnf /usr/lib/ssl/openssl.cnf.backup`
4) Modify "openssl.cnf" like follows:
    a) Below "[openssl_init]" add the line "ssl_conf = ssl_sect".
    b) At the end of the file, add
      [ssl_sect]
      system_default = system_default_sect

      [system_default_sect]
      Options = UnsafeLegacyRenegotiation
      CipherString = DEFAULT:@SECLEVEL=1
5) Restart the service `sudo systemctl restart wpa_supplicant.service`.
    If that does not work, reboot.

Linux Mint[Bearbeiten | Quelltext bearbeiten]

Unter Linux Mint kann es vorkommen, dass das Nutzerzertifikat bei der Auswahl in den Netzwerkeinstellungen nicht ausgewählt werden kann. Linux Mint erkennt die Dateiendung/Format .p12 nicht in der Auswahl.

Lösungsweg:[Bearbeiten | Quelltext bearbeiten]

Nutzerzertifikat konvertieren von P12 in das Format PEM

openssl pkcs12 -in Network_Certificate_UNIACCOUNTNAME_XXXX.p12 -out  Network_Certificate_UNIACCOUNTNAME_XXXX.pem -nodes

Nach der Konvertierung kann wie beschrieben fortgefahren werden.

Siehe auch[Bearbeiten | Quelltext bearbeiten]

Netzwerk

Bei Fragen oder Problemen wenden Sie sich bitte telefonisch oder per E-Mail an uns:

Tel. IT: +49 (5251) 60-5544 • Tel. Medien: +49 (5251) 60-2821 • E-Mail: zim@uni-paderborn.de

Das Notebook-Café ist die Benutzerberatung des ZIM - Sie finden uns in Raum I0.401

Wir sind zu folgenden Zeiten erreichbar:

	Mo	Di - Fr
Vor-Ort-Support	Geschlossen	Über die Feiertage geschlossen
Telefonsupport	08:30 - 13:00	Über die Feiertage geschlossen

Das ZIM:Servicecenter Medien auf H1 hat aktuell zu folgenden Zeiten geöffnet:

Mo	Di - Fr
08:00 - 16:00	Über die Feiertage geschlossen

@@ Zeile 2: / Zeile 2: @@
 |type=Anleitung
 |os=Linux
-|service=Meta:WLAN
+|service=Service:WLAN
-|targetgroup=Angestellte,Studierende,Gäste
+|targetgroup=Gäste, Angestellte, Studierende
 |hasdisambig=Ja
 |disambiguation=Eduroam einrichten
@@ Zeile 9: / Zeile 9: @@
 {{ambox
 |type=notice
-|text=Linux wird nur rudimentär vom IMT unterstützt. Infos sind an "Profis" gerichtet,
+|text=Linux wird nur rudimentär vom ZIM unterstützt. Infos sind an "Profis" gerichtet,
 Benutzung auf eigene Gefahr.
 }}
-<bootstrap_alert color="info">Please find the English version of this article on the page [[Eduroam unter Linux/en | eduroam on Linux]].
+{{English}}
+<!--
+<bootstrap_alert color=warning>
+Das Zertifikat des Radius Servers wurde am 15.02.2024 gewechselt. Sie müssen '''kein''' neues Nutzerzertifikat installieren! Die meisten Geräte sollten sich weiterhin automatisch mit eduroam verbinden. Falls Ihr Gerät danach fragt, ob Sie dem neuen Zertifikat vertrauen wollen, sollten Sie den Fingerabdruck des Zertifikats kontrollieren. Falls das Zertifikat auf Ihrem Gerät nicht vorhanden ist, können Sie es hier herunterladen:
+* http://download.uni-paderborn.de/pc/certificates/
+<br>
+<pre>SHA1 Fingerprint=F0:CB:92:A7:B6:2E:21:00:97:C7:00:88:F2:6D:CD:EB:D6:D6:D6:E5</pre>
+<pre>SHA256 Fingerprint=40:96:14:4C:DA:39:8E:A5:15:85:5D:32:4A:04:E0:5C:E4:E1:9E:1E:EB:BA:DD:27:A0:30:8C:E4:20:52:48:48</pre>
+<pre>SHA512 Fingerprint=00:B8:D3:4A:60:0A:7C:2A:AC:84:11:92:90:DA:C5:14:F7:05:79:86:23:4E:D2:44:F7:0D:D7:6A:FF:CA:26:A2:8E:AD:87:7F:79:5D:64:5E:24:8C:19:41:E0:0F:16:1F:97:AE:6E:93:61:E4:F1:93:3C:47:47:75:53:7C:F5:25</pre>
 </bootstrap_alert>
+-->
-Diese Anleitung zur Einrichtung des WLANs eduroam an der Universität Paderborn gilt für Geräte mit Linux über die Benutzeroberfläche (GUI). Als Beispiel wird hier das Netz unter Ubuntu 14.04 LTS mit Gnome Desktop eingerichtet. Je nach Linuxversion können die Einstellungen leicht variieren. Bitte beachten Sie, dass das Notebook-Café keinen unmittelbaren Linux-Support anbietet.
+Diese Anleitung zur Einrichtung des WLANs eduroam an der Universität Paderborn gilt für Geräte mit Linux über die Benutzeroberfläche (GUI). Als Beispiel wird eduroam hier unter Ubuntu 14.04 LTS mit Gnome Desktop eingerichtet. Je nach Linuxversion können die Einstellungen leicht variieren. Bitte beachten Sie, dass das Notebook-Café keinen unmittelbaren Linux-Support anbietet.
 == Was ist zu tun? ==
-* Erstellen Sie Ihr persönliches Netzwerkzertifikat der Universität und downloaden Sie das Root-Zertifikat der Telekom "T-Telesec".
+* Erstellen Sie Ihr persönliches Netzwerkzertifikat der Universität
+** <optional> Laden Sie das Root-Zertifikat herunter. Dabei handelt es sich um ein Standard-Wurzelzertifikat, es sollte daher schon vorhanden sein.
 * Richten Sie das Netzwerk eduroam ein.
 * Löschen Sie das evtl. vorhandene webauth-Profil, damit sich das Gerät automatisch mit eduroam verbindet.
@@ Zeile 25: / Zeile 37: @@
 == Schritt-für-Schritt-Anleitung ==
 ===Zertifikate bereitstellen ===
-Rufen Sie mit einem Browser wie z. B. Firefox oder dem Internet Explorer das [http://sp.upb.de ServicePortal] auf, loggen Sie sich mit Ihrem Benutzernamen und Ihrem Passwort ein und beantragen Sie unter "WLAN" ein neues Zertifikat. Geben Sie als Bezeichung das Gerät an, auf dem das Zertifikat installiert werden soll. <br/>
+Rufen Sie mit einem Browser wie z. B. Firefox oder dem Internet Explorer das [http://sp.upb.de Serviceportal] auf, loggen Sie sich mit Ihrem Benutzernamen und Ihrem Passwort ein und beantragen Sie unter "WLAN" ein neues Zertifikat. Geben Sie als Bezeichung das Gerät an, auf dem das Zertifikat installiert werden soll. <br/>
 Für das Zertifikat wird dann ein automatisch ein Passwort generiert und auf der folgenden Seite angezeigt. Am besten ist es, wenn das Passwort für die weitere Intstallation kopiert wird.
-[[Datei:Netzwerkzertifikat passwort generierung.PNG|links|mini|ohne|350px]]
+[[Datei:Eduroam-unter-android-4.png|links|mini|ohne|350px]]
+<br>
+* Klicken Sie auf '''"Neues Zertifikat erstellen"'''.
+<br clear=all>
+[[Datei:Netzwerkzertifikat-container-v2.png|links|mini|ohne|350px]]
+<br>
+* Geben Sie dem Zertifikat einen eindeutigen Namen (Bsp: Laptop xy)
+* Wählen Sie als Dateiformat '''Version 2''' aus.
+* Klicken Sie anschließend auf '''"Neues Zertifikat zusenden"'''.
 <br clear=all>
+<bootstrap_accordion>
+<bootstrap_panel heading="Version 1 oder 2 - Was ist der Unterschied?" color="info">
+Die Zertifikate werden in unterschiedlichen Containerformaten zum Download angeboten. Die gewählte Version ist eine Empfehlung, die unserer Erfahrung nach gut für dieses Betriebssystem funktioniert.
+* Version 1 ist ein TripleDES-SHA1 Container
+* Version 2 ist ein AES-256 Container
+Die AES-256 Verschlüsselung ist aus Sicherheitsgründen zu bevorzugen. Leider wird diese noch nicht von allen Betriebssystem unterstützt.
+</bootstrap_panel>
+</bootstrap_accordion>
-Speichern Sie beide Zertifikate z. B. in Ihrem Benutzerordner oder an einem anderen sicheren Ort. Öffnen Sie beide Zertifikate mit einem Doppelklick und importieren Sie sie mit Klick auf "Importieren". Löschen/Verschieben Sie diesen Ordner nicht!
+[[Datei:Netzwerkzertifikat-download.png|links|mini|ohne|350px]]
+<br>
+* Ein neues Netzwerkzertifikat wurde für Sie erstellt.
+* Kopieren Sie zuerst das '''Import Passwort''' in die Zwischenablage.
+* Klicken Sie nun auf '''"Netzwerkzertifikat herunterladen"'''.
+* Klicken Sie anschließend auf '''"CA-Zertifikat herunterladen"'''.
+<br clear=all>
+Speichern Sie beide Zertifikate z. B. in Ihrem Benutzerordner oder an einem anderen sicheren Ort. Löschen/Verschieben Sie diesen Ordner nicht!
 ===Eduroam einrichten===
@@ Zeile 53: / Zeile 90: @@
 * '''Legitimierung:''' TLS
 * '''Identität:''' <benutzername>@uni-paderborn.de (ersetzten Sie <benutzername> durch Ihren Uni-Account
-* '''CA-Zertifikat:''' Wählen Sie das ''T-Telesec Globalroot Class 2''-Zertifikat aus.
+* '''Domäne (falls vorhanden):''' radius.uni-paderborn.de
+* '''CA-Zertifikat:''' Wählen Sie das ''USERTrust RSA Certification Authority''-Zertifikat  (''USERTrustRSACertificationAuthority.crt'') aus.
 * '''Passwort CA-Zertifikat:''' Bleibt frei.
-* '''User-Zertifikat:''' Wählen Sie Ihr persönliches Netzwerkzertifikat aus.
+* '''User-Zertifikat:''' Wählen Sie Ihr persönliches Netzwerkzertifikat (die Datei, die auf .p12 endet und Ihren Nutzernamen des Uni-Accounts enthält) aus.
 * '''Passwort des User-Zertifikats:''' Bleibt frei.
-* '''Geheimer User-Schlüssel:''' Wählen Sie Ihr persönliches Netzwerkzertifikat aus.
+* '''Geheimer User-Schlüssel:''' Wird in der Regel automatisch mit "User-Zertifikat" gefüllt - Sonst selbst einfügen
 * '''Passwort des User-Schlüssels:''' Import-Passwort für Ihr persönliches Netzwerkzertifikat.
+<br clear=all>
 * ''<variabel> Domain:''
@@ Zeile 65: / Zeile 103: @@
 *# ''radius.uni-paderborn.de  (oder diesen)''
 *# ''<leer lassen> (oder so, falls es überhaupt angezeigt wird)''
-<br clear=all>
 ==Problembehebung==
@@ Zeile 74: / Zeile 111: @@
 * Restliche Einstellungen siehe oben.
+===Ubuntu===
+Einige Kunden berichten von Problemen bei der Einrichtung von eduroam unter Ubuntu 22.04 und neuer. Das Problem wird hier beschrieben:
+<br>
+* https://bugs.launchpad.net/ubuntu/+source/wpa/+bug/1958267
+<br>
+{| width="70%" style="background-color:yellow; border-style:dashed; border-width:3px; border-color:red; padding: 5px; "
+| '''Achtung:''' <br>
+Folgender Lösungsvorschlag stammt von einem Kunden. Anwendung auf eigene Gefahr. Es fand keine Prüfung durch das ZIM statt.
+|}
+<br clear=all>
+<pre>
+) Find wpa_supplicant service file with `systemctl status wpa_supplicant`.
+    For me, the path is "/lib/systemd/system/wpa_supplicant.service"
+) In that file, (with superuser rights), add the line
+    `Environment="OPENSSL_CONF=/usr/lib/ssl/openssl.cnf"`
+) Backup old config:
+    `sudo cp /usr/lib/ssl/openssl.cnf /usr/lib/ssl/openssl.cnf.backup`
+) Modify "openssl.cnf" like follows:
+    a) Below "[openssl_init]" add the line "ssl_conf = ssl_sect".
+    b) At the end of the file, add
+      [ssl_sect]
+      system_default = system_default_sect
+      [system_default_sect]
+      Options = UnsafeLegacyRenegotiation
+      CipherString = DEFAULT:@SECLEVEL=1
+) Restart the service `sudo systemctl restart wpa_supplicant.service`.
+    If that does not work, reboot.
+</pre>
+<!--
 ===Benutzerzertifikat ===
 * Das Feld Benutzerzertifikat können Sie unter Umständen leer lassen.
 * Einige Network Manager speichern das Profil nicht so lange nicht alle Zertifikatsfelder ausgefüllt sind, also auch das Feld '''Benutzerzertifikat'''. Es genügt dann eine beliebige Datei in das Feld Benutzerzertifikat einzutragen (0byte-Datei, oder z.B. auch das telekom-cert). Daraufhin sollte sich das Profil speichern lassen.
-<br/> Eine weitere mögliche Problemlösung ist das Hinzufügen von <i>radius.uni-paderborn.de</i> im Feld '''Domäne''' (siehe auch [[Eduroam_unter_Android|Eduroam unter Android]]).
+-->
+=== Linux Mint ===
+Unter Linux Mint kann es vorkommen, dass das Nutzerzertifikat bei der Auswahl in den Netzwerkeinstellungen nicht ausgewählt werden kann. Linux Mint erkennt die Dateiendung/Format .p12 nicht in der Auswahl.
+==== Lösungsweg: ====
+Nutzerzertifikat konvertieren von P12 in das Format PEM
+<pre>openssl pkcs12 -in Network_Certificate_UNIACCOUNTNAME_XXXX.p12 -out  Network_Certificate_UNIACCOUNTNAME_XXXX.pem -nodes</pre>
+Nach der Konvertierung kann wie beschrieben fortgefahren werden.
+==Siehe auch==
+* [[Netzwerk]]