Die Installation dauert tatsächlich etwa eine Minute. Aber ein neues FreeRADIUS authentifiziert niemanden – es gibt noch keinen Switch, keinen Zugangspunkt, noch keinen Benutzer. Diese Anleitung führt die Installation und anschließend die drei kurzen Schritte durch, die daraus einen funktionierenden Anmeldeserver machen.
RADIUS ist der stille Gatekeeper hinter Büro-WLAN-Anmeldungen, 802.1X-Switch-Ports und VPN-Anmeldungen: Das Gerät fragt den Server, und der Server sagt Ja oder Nein. FreeRADIUS unter Ubuntu ist die standardmäßige kostenlose Möglichkeit, diesen Gatekeeper auszuführen. Nachfolgend finden Sie den vollständigen ehrlichen Pfad – Installation, erster Client, erster Benutzer und ein lokaler Test mit radtest – sodass die erste echte Anmeldung bereits funktioniert, wenn Sie einen echten Zugangspunkt darauf richten.
Das ist wirklich der einminütige Teil. Zwei Pakete stellen Ihnen den Server und die Testtools zur Verfügung, und Ubuntu startet den Dienst selbstständig.
sudo apt updatesudo apt install -y freeradius freeradius-utilssudo systemctl status freeradius – er sollte aktiv (läuft) anzeigensudo ss -lunp | grep 1812 – UDP 1812 ist Authentifizierung, UDP 1813 ist AbrechnungDie gesamte Konfiguration befindet sich an einem Ort: /etc/freeradius/3.0/. Sie werden dort hauptsächlich zwei Dateien berühren – clients.conf und users.
Ein RADIUS-Server vertraut standardmäßig nichts. Ihr Switch, Access Point oder Ihre VPN-Box wird als Client (auch NAS genannt) bezeichnet und muss mit seiner IP-Adresse und einem gemeinsamen Geheimnis – einem Passwort, das beide Seiten kennen – registriert werden. Öffnen Sie sudo nano /etc/freeradius/3.0/clients.conf und fügen Sie am Ende einen Block wie diesen hinzu:
client office-ap {ipaddr = 192.168.1.10 – die IP Ihres Access Points oder Switchessecret = MyStrongSecret42 – verwenden Sie Ihr eigenes langes, zufälliges Geheimnis; Dies ist nur ein Beispielshortname = office-ap und dann mit } schließenDas gleiche Geheimnis muss später in den Access Point selbst eingegeben werden. Wenn die beiden nicht genau übereinstimmen, ignoriert der Server das Gerät stillschweigend – kein Fehler, einfach nichts.
Geben Sie nun dem Server jemanden zur Authentifizierung. Öffnen Sie sudo nano /etc/freeradius/3.0/users und fügen Sie diese Zeile oben in die Datei ein, da FreeRADIUS diese Datei von oben nach unten liest und die erste Übereinstimmung gewinnt:
testuser Cleartext-Password := "TestPass123"sudo freeradius -C – es muss mit Konfiguration scheint in Ordnung zu sein endensudo systemctl restart freeradiusKlartext-Testbenutzer eignen sich hervorragend, um zu beweisen, dass das Setup funktioniert. Für ein echtes Büro verbinden Sie FreeRADIUS später mit Ihrer bestehenden Benutzerdatenbank oder Active Directory, anstatt Passwörter in dieser Datei zu speichern.
Testen Sie niemals einen neuen RADIUS-Server, indem Sie echte Benutzer darauf verweisen. Das Tool radtest sendet eine gefälschte Anmeldung vom Server selbst und verwendet dabei den integrierten Localhost-Client, dessen Standardgeheimnis testing123 ist:
radtest testuser TestPass123 localhost 0 testing123Erst nachdem dieser lokale Test bestanden wurde, sollten Sie denselben Benutzernamen, dieselbe Server-IP und dasselbe gemeinsame Geheimnis auf Ihrem Zugangspunkt oder Switch konfigurieren und eine echte Anmeldung versuchen.
Das komplette Setup auf einem echten Ubuntu-Server – Installation, erster Client, erster Benutzer und der Live-Test, alles Schritt für Schritt im Video gezeigt.
▶️ Watch Full VideoDie Installation erfolgt – zwei apt-Befehle und der Dienst läuft. Bei einer Standardinstallation gibt es jedoch keine echten Clients und keine echten Benutzer, sodass noch niemand angemeldet werden kann. Das Hinzufügen eines Clients, eines Benutzers und das Bestehen eines Radtest-Tests dauert noch ein paar Minuten, und erst dann ist die Einrichtung tatsächlich abgeschlossen.
UDP 1812 übernimmt die Authentifizierung – die Ja- oder Nein-Anmeldeentscheidung. UDP 1813 führt Buchhaltung – Aufzeichnungen darüber, wer sich angemeldet hat, wann die Sitzung gestartet und beendet wurde und wie viele Daten übertragen wurden. Die meisten kleinen Setups konfigurieren zuerst die Authentifizierung und fügen die Buchhaltung hinzu, wenn sie den Anmeldeverlauf benötigen.
Weil das FreeRADIUS-Paket mit einem integrierten Client-Eintrag für localhost ausgeliefert wird, dessen Geheimnis „testing123“ lautet. Dieses Geheimnis dient nur zum Testen auf dem Server selbst. Jedes reale Gerät – Switch, Access Point, VPN-Box – muss einen eigenen Client-Eintrag in der Datei „clients.conf“ mit einem eigenen starken Geheimnis erhalten.