Εγκατάσταση 1 λεπτού FreeRADIUS στο Ubuntu

Εγκαταστήστε το FreeRADIUS και τα Εργαλεία δοκιμής

Το RADIUS είναι ο αθόρυβος θυρωρός πίσω από τις συνδέσεις WiFi του γραφείου, τις θύρες μεταγωγής 802.1X και τις συνδέσεις VPN: η συσκευή ρωτά τον διακομιστή και ο διακομιστής λέει ναι ή όχι. Το FreeRADIUS στο Ubuntu είναι ο τυπικός δωρεάν τρόπος εκτέλεσης αυτού του gatekeeper. Δύο πακέτα σάς παρέχουν όλα όσα χρησιμοποιεί αυτός ο οδηγός — ο ίδιος ο διακομιστής και το πακέτο βοηθητικών προγραμμάτων που περιέχει το εργαλείο radtest — και το Ubuntu ξεκινά την υπηρεσία από μόνο του μετά την εγκατάσταση.

sudo apt update
sudo apt install -y freeradius freeradius-utils

All of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).

Επιβεβαιώστε ότι η υπηρεσία εκτελείται και ακούγεται

Πριν αλλάξετε οποιαδήποτε διαμόρφωση, επιβεβαιώστε ότι ο πρόσφατα εγκατεστημένος διακομιστής είναι ζωντανός και περιμένει αιτήματα. Η υπηρεσία θα πρέπει να αναφέρει ενεργή (εκτελείται) και ο έλεγχος θύρας θα πρέπει να εμφανίζει το UDP 1812 — αυτή είναι η θύρα ελέγχου ταυτότητας. Ο συνεργάτης του, το UDP 1813, ασχολείται με τη λογιστική.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Προσθήκη πελάτη στο clients.conf

Ένας διακομιστής RADIUS δεν εμπιστεύεται τίποτα από προεπιλογή. Στη γλώσσα RADIUS, "πελάτης" δεν είναι ο φορητός υπολογιστής ή το τηλέφωνο που συνδέεται — είναι η συσκευή δικτύου που ζητά από τον διακομιστή μια απόφαση: το σημείο πρόσβασης που φέρει τη σύνδεση WiFi, ο διακόπτης που εκτελεί το 802.1X ή η πύλη VPN (ονομάζεται επίσης NAS). Αυτή η συσκευή πρέπει να είναι καταχωρημένη με τη διεύθυνση IP της και ένα κοινό μυστικό — έναν κωδικό πρόσβασης που γνωρίζουν και οι δύο πλευρές. Μια μη καταχωρημένη συσκευή δεν λαμβάνει κανένα σφάλμα και καμία απόρριψη: τα πακέτα της απορρίπτονται σιωπηλά, από τη σχεδίασή τους.

Ανοίξτε το αρχείο πελατών και προσθέστε ένα μπλοκ ανά συσκευή, στο τέλος του αρχείου:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Προσθήκη δοκιμαστικού χρήστη στο Αρχείο χρηστών

Τώρα δώστε στον διακομιστή κάποιον για έλεγχο ταυτότητας. Ανοίξτε το αρχείο χρηστών και προσθέστε έναν δοκιμαστικό λογαριασμό στο επάνω του αρχείου — Το FreeRADIUS διαβάζει αυτό το αρχείο από πάνω προς τα κάτω και η πρώτη καταχώριση που ταιριάζει κερδίζει, επομένως η παραγγελία έχει σημασία.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Αποδείξτε ότι λειτουργεί με το Radtest

Μην δοκιμάζετε ποτέ έναν νέο διακομιστή RADIUS υποδεικνύοντας τους πραγματικούς χρήστες. Το εργαλείο radtest (αποστέλλεται στο πακέτο freeradius-utils που εγκαταστήσατε στο Βήμα 1) στέλνει μια ψεύτικη σύνδεση από τον ίδιο τον διακομιστή, χρησιμοποιώντας τον ενσωματωμένο πελάτη localhost. Η απάντησή του χωρίζει δύο ερωτήσεις που ανακατεύουν συνεχώς οι αρχάριοι: λειτουργεί ο διακομιστής και μιλάει σωστά το σημείο πρόσβασής μου; Το Radtest απαντά στο πρώτο χωρίς να εμπλέκεται συσκευή δικτύου.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Κλειδώστε το πριν το χρησιμοποιήσουν οι πραγματικές συσκευές

Μόνο αφού περάσει η τοπική δοκιμή θα πρέπει να διαμορφώσετε ένα πραγματικό σημείο πρόσβασης ή διακόπτη: εισαγάγετε την IP του διακομιστή RADIUS (αυτό το μηχάνημα Ubuntu), τη θύρα 1812 και το ίδιο κοινόχρηστο μυστικό που βάλατε στο μπλοκ πελάτη του στο Βήμα 3 — μετά δοκιμάστε μια πραγματική σύνδεση. Εάν κάτι αποτύχει σε αυτό το σημείο, το σφάλμα βρίσκεται στις ρυθμίσεις της συσκευής, επειδή η πλευρά του διακομιστή είναι ήδη αποδεδειγμένη.