El administrador de sistemas.: Conectar un dispositivo Android a una red RADIUS

Ya tenemos nuestra flamante red inalambrica configurada para autenticar usuarios mediante un servidor RADIUS y una entidad CA, hemos configurado todos los equipos de la red y hemos emitido sus certificados. Pero nuestro movil Android tambien quiere pertenecer a esa red... ¡Pues vamos a ello!

El asunto es sencillo, dar de alta en Active Directory, emitir certificado de usuario y configurar el terminal para su uso en un entorno RADIUS. ¿Sencillo verdad? :)

Para la prueba tenemos los siguientes equipos. Un equipo con Windows Server 2003 completamente configurado para el uso de RADIUS, un router inalambrico OvisLink Evo-W108AR y un terminal Samsung Galaxy S GT-i9000 con (importante) una tarjeta SD (no vale la interna del telefono, ni en este ni en otro dispositivo android). El nombre de la red es WIR_TST_LAB, tal y como muestra la imagen:

Dando de alta el usuario y emitiendo el certificado

En windows server 2003, iremos a Herramientas Administrativas -> Usuarios y Equipos de Active Directory. Una vez aqui, en la subcarpeta "Users" daremos de alta el usuario movil, en mi caso lo he llamado "Android"

Con esto, lo siguiente que debemos hacer sera emitir un certificado a nombre de este usuario. Para ello como sabreis, acudiremos a: http://localhost/CertSrv y desde alli: Solicitar un certificado -> Solicitud avanzada de certificado -> Crear y enviar una solicitud a esta CA. A partir de aqui creamos el certificado según hayamos configurado nuestra CA. Una vez terminada la solicitud, instalamos el certificado y ahora vamos a exportarlo.

Para exportarlo, acudimos a Herramientas -> Opciones de internet -> Contenido -> Certificados -> Personal.

Seleccionamos el certificado de la lista y hacemos click en "Exportar" seguimos el asistente (importante) EXPORTAMOS LA CLAVE PRIVADA, desmarcamos "Permitir proteccion segura" y le damos una contraseña, en este caso y con fines ilustrativos, la contraseña sera "A123456a". Esto nos generara un archivo *.pfx, este será el archivo que copiaremos en la tarjeta SD (importante guardarlo en la raiz de la tarjeta)

Archivo de certificado cifrado de usuario

Una vez tenemos el certificado en la raiz de la tarjeta SD, debemos cambiarle la extension de *.pfx a *.p12, al final de este tutorial explicaré el por que, lo insertamos en el telefono, y nos ponemos en faena.

Configurando el terminal

En el terminal, vamos a Ajustes -> Ubicacion y seguridad. Y avanzamos el menu hasta abajo del todo, hasta aqui:

Pulsamos en Definir contraseña y le ponemos una a nuestra eleccion, esta contraseña gestionara todos nuestros credenciales en el movil (certificados) una vez lo hagamos desbloquearemos el tic "Usar credenc seguras" el cual marcamos. Pulsamos "Instalar certificados cifrados" y automaticamente nos detectara el archivo *.p12 que hemos dejado en la raiz de la SD, notese que si no ponemos tarjeta SD, la requerirá.

Le damos la contraseña para descifrar el certificado:

Despues nos pedirá el nombre que le vamos a dar al certificado, yo he dejado el que trae por defecto, pero recomiendo encarecidamente ponerle un nombre identificativo (por defecto no lo es en absoluto)

Una vez terminado este proceso nos informará de que el certificado se ha instalado con exito, tal como muestra la imagen siguiente:

Con esto, podemos ir a ver las redes inalambricas desde Ajustes -> Conexiones inalambricas -> Ajustes Wi-Fi. Donde nos encontramos con algo asi.

Pulsamos en la red protegida con RADIUS en este caso WIR_TST_LAB y nos aparecera el siguiente cuadro de dialogo:

Debemos dejarlo tal y como hayamos configurado nuestro servidor RADIUS, en mi caso, como se aprecia en la imagen, "Metodo EAP: PEAP" "Autenticacion de fase de 2: MSCHAP" le especificamos el certificado de usuario que instalamos anteriormente y movemos hacia abajo el mensaje, donde pondremos nuestro nombre de usuario y password de Active Directory.