1minutové nastavení FreeRADIUS na Ubuntu

Nainstalujte FreeRADIUS a testovací nástroje

RADIUS je tichý strážce brány za přihlášením k WiFi v kanceláři, porty přepínačů 802.1X a přihlášeními k VPN: zařízení se zeptá serveru a server řekne ano nebo ne. FreeRADIUS na Ubuntu je standardní bezplatný způsob, jak spustit tohoto správce brány. Dva balíčky vám poskytnou vše, co tato příručka používá – samotný server a balíček utilit, který obsahuje nástroj radtest – a Ubuntu spustí službu po instalaci samo.

sudo apt update
sudo apt install -y freeradius freeradius-utils

All of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).

Potvrďte, že služba běží a poslouchá

Před změnou jakékoli konfigurace zkontrolujte, zda je čerstvě nainstalovaný server aktivní a čeká na požadavky. Služba by měla hlásit aktivní (běžící) a kontrola portu by měla ukazovat UDP 1812 — to je autentizační port. Její partner, UDP 1813, se stará o účetnictví.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Přidat klienta do client.conf

Server RADIUS ve výchozím nastavení nedůvěřuje ničemu. V jazyce RADIUS „klient“ není přihlášení k notebooku nebo telefonu – je to síťové zařízení, které žádá server o rozhodnutí: přístupový bod nesoucí přihlášení k WiFi, přepínač se systémem 802.1X nebo brána VPN (také nazývaná NAS). Toto zařízení musí být zaregistrováno se svou IP adresou a sdíleným tajemstvím – heslem, které obě strany znají. Neregistrované zařízení nezaznamená žádnou chybu ani odmítnutí: jeho pakety jsou podle návrhu tiše zahazovány.

Otevřete soubor klientů a na konec souboru přidejte jeden blok na každé zařízení:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Přidat testovacího uživatele do souboru Users

Nyní dejte serveru někoho k ověření. Otevřete soubor uživatele a přidejte jeden testovací účet na nahoře souboru – FreeRADIUS přečte tento soubor shora dolů a první odpovídající záznam vyhrává, takže na pořadí záleží.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Dokažte, že to funguje s Radtestem

Nikdy netestujte nový server RADIUS tak, že na něj budete ukazovat skutečné uživatele. Nástroj radtest (dodává se v balíčku freeradius-utils, který jste nainstalovali v kroku 1) odešle jedno falešné přihlášení ze samotného serveru pomocí vestavěného klienta localhost. Jeho odpověď odděluje dvě otázky, které si začátečníci neustále pletou: funguje server a můj přístupový bod s ním mluví správně? Radtest odpovídá na první bez zapojení síťového zařízení.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Zamkněte jej, než jej použijí skutečná zařízení

Pouze po úspěšném místním testu byste měli nakonfigurovat skutečný přístupový bod nebo přepínač: zadejte IP serveru RADIUS (tento počítač Ubuntu), port 1812 a stejné sdílené tajemství, které jste vložili do jeho klientského bloku v kroku 3 – pak zkuste jedno skutečné přihlášení. Pokud v tomto okamžiku něco selže, chyba je v nastavení zařízení, protože strana serveru je již prokázána.