1-minütiges FreeRADIUS-Setup unter Ubuntu

Installieren Sie FreeRADIUS und die Testtools

RADIUS ist der stille Gatekeeper hinter Büro-WLAN-Anmeldungen, 802.1X-Switch-Ports und VPN-Anmeldungen: Das Gerät fragt den Server und der Server sagt Ja oder Nein. FreeRADIUS unter Ubuntu ist die standardmäßige kostenlose Möglichkeit, diesen Gatekeeper auszuführen. Zwei Pakete bieten Ihnen alles, was in diesem Handbuch verwendet wird – den Server selbst und das Dienstprogrammpaket, das das Radtest-Tool enthält – und Ubuntu startet den Dienst nach der Installation selbstständig.

sudo apt update
sudo apt install -y freeradius freeradius-utils

All of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).

Bestätigen Sie, dass der Dienst ausgeführt wird und zuhört

Bevor Sie eine Konfiguration ändern, stellen Sie sicher, dass der frisch installierte Server aktiv ist und auf Anfragen wartet. Der Dienst sollte als aktiv (laufend) gemeldet werden und die Portprüfung sollte UDP 1812 anzeigen – das ist der Authentifizierungsport. Die Buchhaltung übernimmt der Partner UDP 1813.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Fügen Sie einen Client in der Datei „clients.conf“ hinzu

Ein RADIUS-Server vertraut standardmäßig nichts. In der RADIUS-Sprache ist ein „Client“ nicht der Laptop oder das Telefon, das sich anmeldet, sondern das Netzwerkgerät, das den Server um eine Entscheidung bittet: der Access Point mit der WLAN-Anmeldung, der Switch mit 802.1X oder das VPN-Gateway (auch NAS genannt). Dieses Gerät muss mit seiner IP-Adresse und einem gemeinsamen Geheimnis registriert werden – einem Passwort, das beide Seiten kennen. Ein nicht registriertes Gerät erhält keinen Fehler und keine Ablehnung: Seine Pakete werden konstruktionsbedingt stillschweigend verworfen.

Öffnen Sie die Client-Datei und fügen Sie am Ende der Datei einen Block pro Gerät hinzu:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Fügen Sie einen Testbenutzer zur Benutzerdatei hinzu

Geben Sie nun dem Server jemanden zur Authentifizierung. Öffnen Sie die Benutzerdatei und fügen Sie am oben der Datei ein Testkonto hinzu – FreeRADIUS liest diese Datei von oben nach unten und der erste passende Eintrag gewinnt, also ist die Reihenfolge wichtig.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Beweisen Sie, dass es funktioniert mit Radtest

Testen Sie niemals einen neuen RADIUS-Server, indem Sie echte Benutzer darauf verweisen. Das Radtest-Tool (es ist im Freeradius-Utils-Paket enthalten, das Sie in Schritt 1 installiert haben) sendet mithilfe des integrierten Localhost-Clients eine gefälschte Anmeldung vom Server selbst. Seine Antwort trennt zwei Fragen, die Anfänger ständig verwechseln: Funktioniert der Server und kommuniziert mein Zugangspunkt korrekt mit ihm? Radtest beantwortet die erste Frage, ohne dass ein Netzwerkgerät beteiligt ist.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Sperren Sie es, bevor es von echten Geräten verwendet wird

Erst nachdem der lokale Test bestanden wurde, sollten Sie einen echten Zugangspunkt oder Switch konfigurieren: Geben Sie die IP des RADIUS-Servers (dieser Ubuntu-Rechner), Port 1812 und dasselbe gemeinsame Geheimnis ein, das Sie in Schritt 3 in seinen Client-Block eingegeben haben – und versuchen Sie es dann mit einer echten Anmeldung. Wenn an dieser Stelle etwas schiefgeht, liegt der Fehler in den Geräteeinstellungen, da die Serverseite bereits getestet wurde.