eduroam Netwerkinstallatie

eduroam werkend krijgen op Linux is pijnlijker dan het zou moeten zijn. Elke “officiële” methode die ik probeerde faalde; de verbinding bleef gewoon hangen tijdens de TLS-handshake en lukte nooit. Uiteindelijk heb ik een handmatige setup gevonden die betrouwbaar werkt en daar een script omheen geschreven. Ik deel het hier zodat jij hopelijk niet hetzelfde proces hoeft door te maken.

Wat niet werkt

Wat wel werkt

PEAP/MSCHAPv2, gevalideerd tegen Saxion’s eigen certificaatautoriteit die in het script is vastgelegd, plus domain-suffix-match (de moderne vervanging voor het verouderde altsubject-matches).

Het script wees eerder naar de systeem-truststore. Daarmee kon elk van de ongeveer 150 publieke CA’s die je distributie meelevert instaan voor een server die zich ise.infra.saxion.net noemt. Nu worden alleen deze vier HARICA-roots vertrouwd:

Het RSA-paar is wat de server vandaag stuurt, en beide helften daarvan liggen niet voor niets vast. De server ketent nu via de cross-signed 2021-root door naar de 2015-root, maar HARICA publiceert dat cross-certificaat als geldig tot 2029-08-31. Daarna moet de keten eindigen bij de self-signed 2021-root. Die ligt hier al vast, en OpenSSL komt er vandaag al op uit.

Het ECC-paar dekt een overstap weg van RSA. HARICA’s repository noemt HARICA GEANT TLS ECC 1 (2025) al bij de intermediates, dus dat pad bestaat. Alle vier zijn HARICA-roots, dus het blijft bij één CA-operator.

Fingerprints laatst gecontroleerd tegen HARICA’s repository op 2026-08-31.

Controleer de vastgelegde roots zelf

Geloof deze pagina niet op haar woord. HARICA publiceert de fingerprints van hun eigen roots op repo.harica.gr. Kies de root in de dropdown en vergelijk de SHA-1:

Nakijken wat het script daadwerkelijk op je machine heeft gezet:

awk '/BEGIN CERT/,/END CERT/' ~/.config/saxion-eduroam/saxion-eduroam-ca.pem |
  csplit -zs -f /tmp/root- -b '%d.pem' - '/BEGIN CERT/' '{*}'
for f in /tmp/root-*.pem; do
  openssl x509 -in "$f" -noout -subject -fingerprint -sha1
done

Elke fingerprint die eruit komt moet in de tabel hierboven staan. Zo niet: gebruik het script niet, maar open een issue.

Dit is dezelfde controle die wij doen: niets wordt vastgelegd omdat een handshake het aanbood, alleen omdat de CA-operator het publiceert.

GÉANT heeft zijn Trusted Certificate Service naar HARICA verhuisd, en het officiële CAT-profiel legt nog steeds de oude USERTrust-keten vast, en daarom faalt de officiële installer. Wisselt Saxion opnieuw van CA-operator, dan breekt dit script ook, maar het toont dan de keten die de server werkelijk stuurde in plaats van stil vast te lopen.

Vereisten:

• Python 3.11+ (alleen standaardbibliotheek, geen pip install, geen dbus-python)
• NetworkManager 1.8+ (nmcli)
• Optioneel: zenity (GNOME) of kdialog (KDE) voor grafische dialogen; anders de terminal
• Optioneel: toegang tot de systeemjournal, om certificaatfouten te kunnen verklaren

Verbindingsinstellingen

Geautomatiseerde installatie (aanbevolen)

Een Python-script automatiseert de volledige nmcli-verbindingsconfiguratie voor Saxion:

# 1. Download
curl -LO https://zephyrus-linux.thectic.nl/scripts/saxion-eduroam.py

# 2. Controleer de checksum
echo "17cd13c629ce480ece1a7896aff7d4061347ea0082b32dfa6b23dac6b34882ad  saxion-eduroam.py" | sha256sum -c

# 3. Uitvoeren
python3 saxion-eduroam.py

Als het certificaat niet meer klopt

De vertrouwde keten ligt vast in het script, dus die breekt zodra Saxion van certificaatautoriteit wisselt. Precies wat er in #109 gebeurde. Meldt het script unknown CA of lukt authenticatie niet, dan verbindt --ignore-certificate zonder te valideren en toont het welke keten de server werkelijk stuurde:

python3 saxion-eduroam.py --ignore-certificate

Zet de root die eruit komt in SAXION_CA_PEM, meld hem in een issue, en verbind daarna opnieuw zonder de vlag.

Laat dit niet aanstaan. Zonder validatie wordt elk access point dat zich eduroam noemt vertrouwd. Dat kan de TLS-tunnel zelf afsluiten en de MSCHAPv2-uitwisseling opvangen, die offline te kraken is. Dat is je Saxion-wachtwoord. domain-suffix-match helpt hier niet: die controleert de naam op een certificaat dat niemand geverifieerd heeft. Gebruik de vlag om te diagnosticeren en verbind daarna netjes.

SHA256: 17cd13c629ce480ece1a7896aff7d4061347ea0082b32dfa6b23dac6b34882ad

Het script verwijdert een eventueel bestaand eduroam-profiel, vraagt je gebruikersnaam via een GUI-dialoog (kdialog op KDE, zenity op GNOME) of een terminal-fallback, en activeert de verbinding. Je wachtwoord wordt nooit door het script gevraagd; dat wordt bij het verbinden opgevraagd door je keyring (GNOME Keyring of KWallet) en versleuteld opgeslagen, nooit in platte tekst.

Handige vlaggen:

Als alles goed gaat, zie je zoiets als dit:

Bron: saxion-eduroam.py

Handmatige setup via nmcli

nmcli connection add \
  type wifi \
  con-name "eduroam" \
  ssid "eduroam" \
  wifi-sec.key-mgmt wpa-eap \
  802-1x.eap peap \
  802-1x.phase2-auth mschapv2 \
  802-1x.identity "gebruiker@instelling.nl" \
  802-1x.password "je-wachtwoord" \
  802-1x.anonymous-identity "anonymous@saxion.nl" \
  802-1x.ca-cert file://$HOME/.config/saxion-eduroam/saxion-eduroam-ca.pem \
  802-1x.domain-suffix-match "ise.infra.saxion.net" \
  802-1x.phase2-domain-suffix-match "ise.infra.saxion.net"

Maak daarna verbinding:

nmcli connection up eduroam

Handmatige setup via GNOME Instellingen

1. Open Instellingen → Wi-Fi
2. Selecteer eduroam
3. Ga naar het Beveiliging-tabblad en vul de instellingen in uit de tabel hierboven
4. Voer je instellingsgegevens in
5. Klik op Toepassen

Zo hoort het Beveiliging-tabblad eruit te zien:

Verwijderen

nmcli connection delete eduroam