Linux aansluiten op de beveiligde UvA-netten

Linux aansluiten op de beveiligde UvA-netten 1 Overzicht In deze handleiding wordt uitgelegd hoe u uw Linux-systeem verbinding kunt laten maken met de beveiligde UvA-netwerken. 1 We bespreken zowel het opzetten van een verbinding met de draadloze (WiFi) netten uva en eduroam, alsmede met de bedrade netwerken, het Zelfsupportnet (VLAN 256) en het UvA-congresnet (VLAN 18). In secties 2, 3 en 4 geven we voor elk van de netwerken een korte generieke uitleg die toepasbaar is op elke Linux-variant. In secties 5 en 6 bespreken we stapsgewijs hoe u gebruik kunt maken van het programma NetworkManager, dat een integraal onderdeel is van de window-manager Gnome 3 Desktop. We zullen ons beperken tot de procedure onder Gnome 3 2 ondanks dat Linux, in tegenstelling tot MS-Windows en Macintosh, in meerdere afwijkende varianten voorkomt (verschillende Linux-distributies, window-managers en configuratiemethodes). Maar omdat het economisch niet zou lonen voor elke variant een geïllustreerde handleidingen te schrijven hebben we besloten het alleen bij Gnome 3 te laten, gezien deze thans zeer wijd gebruikt wordt. 1 Het op de UvA gebruikte beveiligingsprotocol heet EAP (Extensible Authentication Protocol), beter bekend als IEEE 802.1x. 2 In de voorbeelden gebruiken we Gnome 3 op een systeem met Fedora 28, maar afgezien van de distributie-specifieke aankleding zijn de instructies evengoed bruikbaar bij Gnome 3 op bijv. een Ubuntu-installatie. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 1

2 Generieke instructie WiFi netwerken De Universiteit van Amsterdam biedt de medewerkers en studenten in al haar gebouwen toegang tot twee verschillende draadloze netwerken aan genaamd uva en eduroam. Daarnaast is er op elke locatie een vrij netwerk beschikbaar UvA Open Wi-Fi genaamd behalve op Science Park waar dit Amsterdam Science Park heet. Het open netwerk vereist geen authenticatie maar is onbeveiligd, langzaam en afgesloten van het intranet en dient alleen gebruikt te worden wanneer toegang tot de reguliere netwerken niet mogelijk is. Verbinding maken met het open netwerk wijst zichzelf en wordt hier niet besproken. De procedures om verbinding te maken met uva en eduroam zijn identiek. Bedenk wel dat oudere draadloos-netwerkkaarten het nieuwere WiFi-protocol dat op 5 GHz communiceert niet ondersteunen. Deze kaarten werken op 2,4 GHz en zullen het uva-netwerk niet waarnemen maar alleen eduroam (dat op beide frequentiebanden 2,4 GHz en 5 GHz uitzendt). Aangezien, in tegenstelling tot het uva-netwerk de authenticatie bij eduroam via een externe partij loopt raden we mensen met een UvAnetID aan, waar mogelijk, uva te gebruiken. 2.1 WPA Supplicant Stel eerst vast dat het pakket wpa_supplicant op uw computer aanwezig is. Op een RPM-gebaseerd systeem (Redhat, SuSE, enz.) kunt u dat doen door bijv. in een terminal het volgende commando te geven: rpm -q wpa_supplicant Op APT gebaseerde systemen (Debian, Ubuntu enz.) luidt het commando: dpkg -l wpasupplicant Indien wpa_supplicant ontbreekt dan moet u deze via de installatie-dvd of een alternatieve internet-verbinding verkrijgen. Voor de details verwijzen wij u naar de handleiding van uw Linux-distributie. 2.2 Kerneldrivers Indien uw computer zeer nieuwe of exotische hardware bevat bestaat de kans dat de Linux-kernel niet over de driver beschikt om de draadloze hardware aan te sturen. Soms is de driver wel aanwezig maar de functionaliteit ervan beperkt waardoor oudere netwerkprotocollen wel ondersteund worden, maar nieuwere protocollen niet. Meestal kan dit opgelost worden door zelf een kernel met handmatige aanpassingen te compileren. Dit valt echter buiten het bestek van dit document. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 2

2.3 Parameters Alle benodigde parameters voor het verbinding maken met de draadloze netwerken worden in de onderstaande tabel opgesomd. Ter verduidelijking: SSID: Mode: IPv4 Settings: Wireless security: Authentication: Anonymous identity: Domain: CA certificate: Inner authentication: Username: Password: WiFi-netwerken uva of eduroam Infrastructure Automatic (DHCP) WPA & WPA2 Enterprise Protected EAP (PEAP) anonymous@uva.nl uva.nl (zie onderstaande toelichting) (aanbevolen; zie onderstaande toelichting) MSCHAPv2 UvAnetID@uva.nl wachtwoord van uw UvAnetID Het domein van uw gebruikersaccount (@uva.nl) dient vermeld te worden, dan wel in een apart veld, of als achtervoegsel van uw UvAnetID gescheiden door een apestaart (@), d.w.z. UvAnetID@uva.nl Authenticatie met externe Eduroam-accounts (bijv. VUnetID) werkt ook, maar uitsluiten op het eduroam-netwerk. Het domein moet overeenkomen met de beheerder van het account. Voor studenten geldt dat het UvAnetID gelijk is aan hun collegekaartnummer. Het veld CA certificate vraagt om een kleine file met informatie waarmee uw computer de authenticiteit van een desbetreffend netwerk kan verifiëren. Hiermee voorkomt u een zg. man-in-the-middle attack, de situatie waarin een derde partij zich valselijk voordoet als de authentieke server. U kunt bijv. gebruik maken van het open netwerk om het certificaat op te halen. Ten tijde van dit schrijven bevond het certificaat voor de UvA-netten zich alhier: https://cloud.securew2.com/public/40655/uva/certificates/afe5d244a8d1194230ff479fe2f897bbcd7a8cb4.cer Het certificaat is ook te vinden door op http://wifiportal.uva.nl onder Select your device: de optie Unknown te selecteren (let op: kies niet Linux ). Kies aldaar de juiste link. Bewaar het certificaat op een handige plek in uw home-directory. Het is aan te bevelen een verborgen directory aan te maken, zeg.uva_certificaat, en daarin het certificaat te plaatsen zodat u het niet later per abuis weggooit. Als alternatief kunt u het UvA-certificaat opslaan in de centrale trust store van uw systeem. Dit heeft als voordeel dat het certificaat niet zomaar weggegooid kan worden en evt. andere accounts op uw computer er ook gebruik van kunnen maken. Als u van plan bent UvA-VPN te gaan gebruiken, kan de VPN-configuratie ook gebruik van maken van het centraal opgeslagen certificaat. Voor de instructie over hoe het UvA-certificaat op te slaan in de trust-store verwijzen wij u naar de Zelfsupport-handleiding UvA-VPN voor Linux. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 3

3 Generieke instructie bedrade Zelfsupport-netwerk Vanuit het oogpunt van computerbeveiliging verenigt het Zelfsupport-netwerk het goede van twee werelden: authenticatie zoals bij het draadloze netwerk samen met MAC-adresregistratie van het reguliere bedrade UvA-netwerk. We gaan ervan uit dat aan de volgende voorwaarden is voldaan: er loopt een netwerkkabel tussen uw computer en een wall-outlet (eventueel bevindt zich tussen de computer en de outlet nog een IP-telefoon). de wall-outlet is aangesloten op een netwerkswitch (wij zeggen gepatcht ) en de aansluiting is geconfigureerd voor het Zelfsupport-netwerk (VLAN 256). de ICTS heeft het mac-adres van uw computers ethernetkaart correct ingevoerd in de DHCP-server. Alle benodigde parameters voor het verbinding maken met het Zelfsupport-netwerk worden in de onderstaande tabel opgesomd. Als u met louter de generieke parameters niet uit de voeten kunt (en u op Gnome 3 werkt), vindt u in sectie 6 een geïllustreerde instructie. Toelichting: Zelfsupport-netwerk IPv4 Settings: Automatic (DHCP) Authentication: Protected EAP (PEAP) PEAP version: Automatic Anonymous identity: anonymous@uva.nl CA certificate: niet verplicht Inner authentication: MSCHAPv2 Username: UvAnetID@uva.nl Password: wachtwoord van uw UvAnetID De in te vullen gebruikersnaam (Username) is uw UvAnetID gevolgd door @uva.nl. Dit achtervoegsel wordt vaak vergeten. Bedenk ook dat het hier niet uw e-mailadres betreft. Het veld CA certificate vraagt om een kleine file met informatie waarmee uw computer de authenticiteit van een desbetreffend netwerk kan verifiëren. Hiermee voorkomt u een zg. man-in-the-middle attack, de situatie waarin een derde partij zich valselijk voordoet als de authentieke UvA-server. Dit is voor WiFi erg belangrijk, maar voor bedrade netwerken minder relevant. Wij kiezen er hier voor het veld blanco te laten. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 4

4 Generieke instructie bedrade UvA-congresnet Naast de draadloze netten eduroam en uva en het bedrade Zelfsupport-netwerk beheert de universiteit nog een beveiligde (EAPoL) netwerk: het bedrade UvA-congresnet, ook wel laptopnet of schertsend draadloos-met-een-draadje genoemd. Deze wordt aangeboden voor bijeenkomsten (zoals practica, workshops en congressen) waarvoor de bandbreedte of betrouwbaarheid van het draadloze netwerk ontoereikend is. Net als bij UvA-WiFi hoeft in dit netwerksegment het MAC-adres van uw netwerkkaart niet bij de UvA geregistreerd te zijn. De onderstaande tabel is identiek aan de parameters voor het Zelfsupport-netwerk, maar wordt ten overvloede gegeven: Toelichting: UvA-congresnet IPv4 Settings: Automatic (DHCP) Authentication: Protected EAP (PEAP) PEAP version: Automatic Anonymous identity: anonymous@uva.nl CA certificate: niet verplicht Inner authentication: MSCHAPv2 Username: UvAnetID@uva.nl Password: wachtwoord van uw UvAnetID De in te vullen gebruikersnaam (Username) is uw UvAnetID gevolgd door @uva.nl. Dit achtervoegsel wordt vaak vergeten. Bedenk ook dat het hier niet uw e-mailadres betreft. Het veld CA certificate vraagt om een kleine file met informatie waarmee uw computer de authenticiteit van een desbetreffend netwerk kan verifiëren. Hiermee voorkomt u een zg. man-in-the-middle attack, de situatie waarin een derde partij zich valselijk voordoet als de authentieke UvA-server. Dit is voor WiFi erg belangrijk, maar voor bedrade netwerken minder relevant. Wij kiezen er hier voor het veld blanco te laten. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 5

5 Toegang tot UvA WiFi onder Gnome 3 Voor degenen die met louter de configuratieparameters niet uit de voeten kunnen volgt nu een stapsgewijze instructie over hoe men een Linux-systeem kan configureren voor de draadloze UvA-netten uva of eduroam. We beperken ons tot de procedure onder de wijd gebruikte Gnome 3-omgeving, en daarvan de thans (2018) courante versie 3.26. 5.1 Voorbereiding Vergewis u, alvorens te beginnen, van de volgende zaken: U hebt een geldige en actieve UvAnetID (voor studenten is dit gelijk aan hun studentennummer). Bij twijfel kunt u uw account en wachtwoord controleren door in te loggen op https://id.uva.nl (uiteraard op een computer met internet). 5.2 Gnome 3 Desktop De meeste moderne Linux-distributies, zoals Fedora en Ubuntu, gebruiken standaard de window-manager Gnome 3 Desktop. 3 Als u werkt onder Gnome 3 dan zal uw bureaublad er ongeveer als volgt uitzien: Op uw systeem is het pakket wpa_supplicant (soms geschreven als wpasupplicant) aanwezig. Bij de meeste Linux-distributies wordt deze software standaard meegeleverd, maar bij bijv. Debian dient u deze expliciet te laten installeren. Voor de details verwijzen wij u naar de handleiding van uw Linux-distributie. U hebt het CA-certificaat van de UvA opgehaald. Hiervoor kunt u het eenvoudigst gebruik maken van het open netwerk (UvA Open Wi-Fi of Amsterdam Science Park). Het certificaat is een kleine file die te downloaden is vanaf https://cloud.securew2.com/public/40655/uva/certificates/ afe5d244a8d1194230ff479fe2f897bbcd7a8cb4.cer Om de URL niet helemaal te hoeven overtypen kunt u ook en naar http://wifiportal.uva.nl en onder Select your device: de optie Unknown te selecteren (Nb. niet Linux ). Kies aldaar de juiste link. 3 Het meest populaire alternatief op Gnome 3 is KDE 4, die standaard wordt aangeboden bij o.a. SuSE Linux. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 6

5.3 Het systeemmenu Om verbinding te maken met het draadloze netwerk gaat u als volgt te werk. Op de bovenbalk klikt u op het rechter uiteinde waarna het zwartegrijze systeemmenu verschijnt zoals hieronder afgebeeld. 5.4 Vliegtuigmodus Wanneer u Wi-Fi Hardware Disabled ziet staan dan betekent dat meestal dat vliegtuigmodus aan staat. Afhankelijk van uw model laptop is dit te verhelpen door ofwel een speciale toetsencombinatie te drukken, of een schakelaar aan de zijkant van de laptop om te zetten, zoals in de foto weergegeven. Indien er staat Wi-Fi Off dan moet de ontvanger eerst ingeschakeld worden. Klik hiervoor op de Wi-Fi-regel en dan in het submenu op Turn On. Het gaat ons om de menu-regel die begint met Wi-Fi. Hier wordt de toestand van de WiFi-adaptor weergegeven: Wi-Fi Off, Wi-Fi Hardware Disabled, Wi-Fi Not Connected, Wi-Fi Connecting of naam van netwerk. Wi-Fi Off en Wi-Fi Hardware Disabled betekenen dat de WiFi-ontvanger eerst geactiveerd moet worden. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 7

5.5 WiFi-netwerk kiezen We gaan nu uit van de toestand Wi-Fi Not Connected, maar voor het verhaal maakt het niet uit of er staat Wi-Fi Connecting (systeem probeert al dan niet vergeefs verbinding te maken met een WiFi-netwerk) of naam van netwerk (de computer is nog verbonden met een ander WiFinetwerk). Open nu in het systeemmenu het WiFi-submenutje en klik op Wi-Fi Settings. Dit start het WiFi-bedieningspaneel zoals hieronder weergegeven: Onder het kopje Visible Networks ziet u een opsomming van de gedecteerde WiFi-netwerken. Binnen de meeste gebouwen van de UvA moeten eduroam en uva alsmede het openbare netwerk (UvA Open Wi-Fi of Amsterdam Science Park) aanwezig zijn. Het netwerk uva is desalniettemin alleen zichtbaar voor modernere WiFi-hardware die de hogere radiofrequentie (5 GHz) ondersteunt. We zullen in het onderstaande voorbeeld een verbinding opzetten met eduroam maar u kunt evengoed uva kiezen. De procedures zijn voor beiden identiek. Desalniettemin heeft het uva-netwerk onze voorkeur, aangezien, in tegenstelling tot het uva-netwerk de authenticatie bij eduroam via een externe partij loopt. Daarom raden we iedereen met een UvAnetID aan, waar mogelijk, uva te gebruiken. Klik dus nu op eduroam, dan wel uva. Dit opent het configuratiepaneel, zoals hieronder afgebeeld. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 8

5.6 Velden invullen Vul de velden in aan de hand van onderstaande tabel: Wireless security: WPA & WPA2 Enterprise Authentication: Protected EAP (PEAP) Anonymous identity: anonymous@uva.nl Domain: uva.nl CA certificate: Download hier Inner authentication: PAP Username: UvAnetID@uva.nl Password: wachtwoord van uw UvAnetID http://wifiportal.uva.nl en onder Select your device: de entry Unknown te kiezen (let op: kies niet Linux ) en dan de link te open die hoort bij SSID uva. Bewaar het certificaat op een handige plek in uw home-directory. Het is aan te bevelen een verborgen directory aan te maken, zeg.uva_certificaat, en daarin het certificaat te plaatsen zodat u het niet later per abuis weggooit. Ter illustratie is het onderstaande formulier reeds ingevuld met de gegevens van een gebruiker met UvAnetID alukash1. Bij dit voorbeeld is het domein uva.nl niet in het aparte veld ingevuld maar in de gebruikersnaam geïntegreerd. Toelichting: De in te vullen gebruikersnaam (Username) is uw persoonlijke UvAnetID gevolgd door @uva.nl om aan te geven dat het account onder het domein @uva.nl valt. Maar indien u @uva.nl reeds in het veld Domain: heeft opgegeven is het achtervoegsel niet nodig. Voor studenten geldt dat het UvAnetID gelijk is aan hun collegekaartnummer. Authenticatie met niet-uva accounts die Eduroam-compliant zijn (bijv. VUnetID) werkt uitsluiten bij het eduroam-netwerk. Het domein moet natuurlijk ook overeenstemmen met het account (bijv. @vu.nl ). Het CA-certificaat is een kleine file waarin het digitale waarmerk van de universiteit staat. Hiermee kan uw systeem zich ervan vergewissen dat het access-point daadwerkelijk bij de UvA hoort. Dit voorkomt een zg. man in the middle attack. Het gebruik ervan wordt sterk aanbevolen. Het certificaat kunt u downloaden (via het open netwerk of vanaf een andere computer en dan via een usb-stick kopieren) vanaf de website https://cloud.securew2.com/public/40655/uva/certificates/ afe5d244a8d1194230ff479fe2f897bbcd7a8cb4.cer Aangezien het ondoenlijk is vanaf een papieren versie van deze handleiding deze URL over te typen kunt u ook browsen naar Klik nu op rechtsonder op de knop Connect. Vervolgens zal het systeem SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 9

proberen aan de hand van de zojuist ingevoerde gegevens een verbinding tot stand te brengen. 5.7 Authenticatie Indien u het wachtwoord verkeerd hebt ingevuld, of eigenlijk bij elk probleem, zal het systeem met een zwart venster opnieuw om uw wachtwoord vragen. 5.8 Verbinding gelukt Bij goed gevolg verschijnt er in het netwerk-beheerpaneel een vinkje naast de naam van het netwerk. Controleer dan uw UvAnetID, voer weer uw UvA-wachtwoord in en druk op Connect. De meeste problemen met uw UvAnetID kunt u controleren door (via een ander netwerk of computer) in te proberen te loggen op https://id.uva.nl. Wanneer het zwarte authenticatievenster steeds terug blijft komen dan is het beter op Cancel te drukken en van vooraf aan te beginnen. Wanneer ook dit geen soelaas biedt dan moet er gedacht worden aan een extern probleem. Neem dan contact op met de ICTS of uw lokale werkplekondersteuning. Daarnaast moet op dezelfde regel een grijs schijfje met daarin een tandwieltje ( ) te zien zijn. Dit is een knop via welke u de instellingen van de netwerkverbinding kunt raadplegen (bijv. toegekende IP-adres, DNS-servers, 802.1x-instellingen) en eventueel aanpassen. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 10

Dat uw systeem met WiFi verbonden is kunt u ook opmaken aan het straalsymbooltje ( ) rechts op de bovenbalk, en in het systeemmenu, aan eduroam (of evt. uva) waar eerst Wi-Fi Not Connected stond. 5.9 WiFi-configuratie wijzigen / wissen Indien u de voor eduroam of uva gemaakte configuratie wilt aanpassen of geheel verwijderen, open Wi-Fi Settings (Systeemmenu WiFi-submenu), klik op het tandwieltje ( ) van het desbetreffende netwerk. Het WiFiconfiguratiepaneel is hieronder weergegeven: De configuratie is hiermee voltooid. Uw laptop zal de zojuist gemaakte netwerkconfiguratie onthouden en telkens opnieuw gebruiken zodra hij binnen het bereik komt van het desbetreffende WiFi-netwerk. Onder het kopje Security staan de belangrijkste instellingen. Klik na wijzigingen op de blauwe Apply-knop om deze door te voeren. Om de gemaakte netwerkconfiguratie geheel te verwijderen klikt u op de rode knop Forget Connection. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 11

6 Toegang tot het bedrade Zelfsupport-netwerk en UvA-congresnet onder Gnome 3 Voor gebruikers die aan de configuratieparameters alleen niet genoeg hebben volgt nu een geïllustreerde stapsgewijze instructie hoe zij in Gnome 3 hun computer moeten configureren om gebruik te maken van UvA s bedrade EAPoL-netwerken: het Zelfsupport-netwerk of het UvA-congresnet (ook wel laptop-net of schertsend draadloos-met-een-draadje genoemd). We beperken ons tot de procedure onder de wijd gebruikte Gnome 3-omgeving, versie 3.26. 6.2 Gnome 3 Desktop De meeste moderne Linux-distributies, zoals Fedora en Ubuntu, gebruiken standaard de window-manager Gnome 3 Desktop. 4 Als u werkt onder Gnome 3 dan zal uw bureaublad er ongeveer als volgt uitzien: 6.1 Vereisten We gaan ervan uit dat de volgende zaken reeds op orde zijn: U hebt een geldige UvAnetID (voor studenten is dit gelijk aan hun studentennummer; wissel- of gast-accounts zijn niet geldig). Bij twijfel kunt u uw account en wachtwoord controleren door in te loggen op https://id.uva.nl (uiteraard op een computer met internet). Er loopt een UTP-kabel tussen uw systeem en een actieve muur-outlet die gepatcht is op het Zelfsupport-net (VLAN 256), resp. het laptopnetwerk (VLAN 18). In sommige gevallen zit er tussen de computer en de muur-outlet een IP-telefoon. In het geval van het Zelfsupport-netwerk dient de ICTS het bedrade MAC-adres van uw computer correct te hebben geregistreerd in de DHCP-server. Het congresnetwerk heeft deze beperking niet. Neem bij twijfel contact op met de ICTS of uw lokale werkplekondersteuning. Om verbinding te maken met het Zelfsupport-netwerk (resp. congres-net) gaat u als volgt te werk. 4 Het meest populaire alternatief op Gnome 3 is KDE 4 die standaard wordt aangeboden bij o.a. SuSE Linux. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 12

6.3 Netwerkbeheer starten vanuit systeemmenu Op de bovenbalk aan het rechter uiteinde klikt u op de witte pictiogrammen. Dit opent het Gnome systeemmenu zoals hieronder afgebeeld. De regel Wired Connecting geeft aan dat het systeem (tevergeefs) probeert verbinding te leggen met het netwerk. Anderzijds is het mogelijk dat de netwerkkaart uitgeschakeld staati, weergegeven als Wired Off. In dat geval moet u in het Wired -submenutje op Connect klikken om de kaart te activeren. Wanneer er geen ononderbroken koperen verbinding is tussen uw computers netwerkkaart en een switchpoort dan zal in het systeemmenu geen regel Wired te zien zijn. In dat geval dient u de netwerk-kabel te controleren en goed aan te drukken op de contactpunten. Een goede verbinding kunt u onder andere opmaken uit knipperende LED-lampjes naast de UTPaansluiting op uw computer (niet op alle hardware aanwezig). Wanneer u niet verder komt kunt u contact op te nemen met uw lokale werkplekondersteuning of met de servicedesk van de ICTS. Ervan uitgaande dat alles naar behoren is opent u het netwerkbeheervenster door in het systeemmenu op de regel Wired Connecting te klikken en dan in het submenutje op Wired Settings te klikken. Het venster zal er als volgt uit zien: Klik bij het vak getiteld Wired op het tandwieltje ( ) om het paneel van de bedraad netwerkinstellingen aan te roepen. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 13

6.4 Bedraad netwerkinstellingen configureren Het paneel voor de bedraad netwerkinstellingen getiteld Wired ziet u hieronder weergegeven: 6.5 Velden invullen Vervolgens selecteert u in de Authentication-keuzemenu de optie Protected EAP (PEAP) waardoor nieuwe invoervelden verschijnen: Klik in het paneel op het tabblad Security en schakel de schuifknop 802.1x Security naar rechts om het beveiligingsformulier te openen: SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 14

Vul de overige velden in aan de hand van de onderstaande tabel: Authentication: Anonymous identity: CA certificate: PEAP version: Inner authentication: Username: Password: Protected EAP (PEAP) anonymous@uva.nl (None) Automatic MSCHAPv2 UvAnetID@uva.nl van uw UvAnetID Toelichting: De gebruikersnaam (username) is uw UvAnetID gevolgd door @uva.nl. De meest voorkomende fout is dat men het achtervoegsel weglaat. Het veld CA certificate vraagt om een digitaal waarmerk waarmee uw computer de authenticiteit van het netwerk kan controleren. Hiermee voorkomt u een zg. man-in-the-middle attack, de situatie waarin een derde partij zich valselijk voordoet als de authentieke UvA-server. Dit is bij het bedrade netwerk minder relevant dan bij draadloos. Wij kiezen er hier voor het veld blanco te laten. Wilt u het zekere voor het onzekere nemen, dan haalt u (bijv. via een andere computer) het certificaat op bij de website van het Informatiseringscentrum. Ten tijde van dit schrijven bevond het certificaat zich alhier: https://cloud.securew2.com/public/40655/uva/certificates/ afe5d244a8d1194230ff479fe2f897bbcd7a8cb4.cer Om de URL niet helemaal te hoeven overtypen kunt u ook en naar http://wifiportal.uva.nl en onder Select your device: de optie Unknown te selecteren (let op: kies niet Linux ). Kies aldaar de juiste link. De overige netwerkinstellingen staan bij verstek goed. Klik nu rechts boven op de knop Apply om de nieuwe configuratie actief te maken. Het configuratiepaneel Wired verdwijnt en het onderliggende netwerkbeheervenster wordt weer zichtbaar. Indien de knop bij Wired op OFF staat, zet deze op ON. Na een paar tellen moet Connecting veranderen in Connected. Ter illustratie ziet u hiernaast een formulier ingevuld met de gegevens van voorbeeldgebruiker kimju1@uva.nl: SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 15

6.6 Authenticatie mislukt In het geval u uw wachtwoord verkeerd hebt ingevuld, of wanneer uw UvAnetID geblokkeerd is, of uw computers mac-adres niet (correct) geregistreerd staat in de DHCP-server, of in feite bij elk probleem, zal het systeem met een grijszwart venster opnieuw om uw wachtwoord vragen: 6.7 Verbinding gelukt Bij goed gevolg dus geeft het netwerkpaneel bij Wired: Connected. Daarnaast wordt de actieve netwerkverbinding op de bovenbalk (aan het rechter uiteinde) weergegeven door het universele computernetwerksymbool ( ) en in het systeemmenu door de regel Wired Connected. Controleer dan uw UvAnetID, voer weer uw UvA-wachtwoord in en druk op Connect. Als invoeren van het wachtwoord geen verandering brengt in de situatie en u een paar tellen later nogmaals wordt verzocht het wachtwoord in te geven, dan kan dit een van de volgende oorzaken hebben: Uw UvAnetID of bijbehorend wachtwoord wordt niet geaccepteerd. Controleer uw UvAnetID (op een andere computer/netwerkaansluiting) op https://id.uva.nl. Uw account is tijdelijk geblokkeerd. Na zoveel keer een onjuist wachtwoord invoeren wordt het UvA-account automatisch voor een halfuur geblokkeerd. De netwerkpoort (outlet) is niet op het juiste netwerksegment (VLAN) aangesloten. Nu uw koppeling met het UvA-netwerk actief is heeft uw systeem de DNSnaam pc-naam.1x.uva.nl gekregen, waarbij pc-naam in het geval van Zelfsupport overeenkomt met het UvA-kenteken van uw computer. Het bedrade mac-adres van uw computer is niet (correct) ingevoerd in DHCP (Nb. geldt niet voor UvA-congresnet/VLAN 18). SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 16

6.8 Configuratie wijzigen / wissen De hierboven gemaakte netwerkconfiguratie wijzigen of verwijderen doet u in het Wired-configuratievenster dat u als volgt opent: Systeemmenu Wired Connected Wired Settings (bij Wired). Onder het kopje Security staan de belangrijkste instellingen. Klik na wijzigingen op de blauwe Apply-knop om deze door te voeren. Om de gemaakte netwerkconfiguratie geheel te verwijderen kunt u op de rode knop Remove Connection Profile klikken. Om vervolgens weer een nieuwe netwerk-configuratie te maken klikt u in het netwerkbedieningspaneel op de + die rechts staat van Wired. SERVICEDESK ICTS / LINUX AANSLUITEN OP DE BEVEILGDE UVA-NETTEN NEDERLANDS / SEPTEMBER 2018 / VERSIE 2.0 17