山姆的 IT 日常

當我們在 inner tunnel 進行帳號認證後，想要傳送例如 Filter-ID 這個 attribute 給 wireless controller 做 role mapping，會發現 controller 怎麼樣都接收不到這個 attribute 的資訊。

本篇說明如何在 FreeRADIUS 設定支援 PEAP/EAP-GTC 與 EAP-TTLS/PAP 雙驗證機制。

當使用 Android 手機連線到一個 802.1X 的網路，在 EAP 方法 (Method) 選擇使用 PEAP 或是 EAP-TTLS 時，在下方的欄位會看到一個叫做 匿名使用者 (anonymous identity)。

最近在重新複習 FreeRADIUS 的架構，剛好在測試的過程中，我把家裡的 FortiGate 從 7.2.9 upgrade 到 7.2.10，在 FortiGate GUI 上面執行 Test Connectivity 就發生 invalid secret for the server 這個錯誤訊息

這個問題源自於名為 BlastRADIUS (CVE-2024-3596) 的 RADIUS 協定漏洞，只要是在不安全的網路環境裡面使用非 EAP 驗證框架搭配 RADIUS over UDP 協定，就容易遭受中間人攻擊

先前有提到 eduroam 採用的是 RADIUS 及 802.1X 的技術，那麼這一篇來談談在 TANet 上面導入這項服務需要注意的一些事情。

以前待過的學校最近要開始建置 eduroam 國際跨校漫遊的 802.1X 服務，所以回頭複習了一下之前的建置紀錄，重新喚醒記憶。

前面提到了 FortiGate 如何透過 External Connectors (Threat Feeds) 來獲取 RBL，進而運用在 Firewall Policy 上過濾進出流量之外，也可以保護 FortiGate 自身所提供的服務。

網路攻擊一直都是網管及資安人員關心的議題，但攻擊行為模式層出不窮，很難一次到位(也幾乎不太可能)，而 IP 防護是基本也是至少能做到的事情。

FortiOS 從 6.0 開始提供一個名叫 Automation stitches 的功能，可以讓我們在 FortiGate 平台上做一些自動化的機制，而裡面包含了一個本篇要說明的 Webhook 功能。