Configuración gratuita de RADIUS en 1 minuto en Ubuntu

Confirmar que el servicio se está ejecutando y escuchando

Antes de cambiar cualquier configuración, confirme que el servidor recién instalado esté activo y esperando solicitudes. El servicio debe informar que está activo (en ejecución) y la verificación del puerto debe mostrar UDP 1812, que es el puerto de autenticación. Su socio, UDP 1813, se encarga de la contabilidad.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Agregar un cliente en client.conf

Un servidor RADIUS no confía en nada de forma predeterminada. En lenguaje RADIUS, un "cliente" no es la computadora portátil o el teléfono que inicia sesión; es el dispositivo de red que solicita una decisión al servidor: el punto de acceso que lleva el inicio de sesión WiFi, el conmutador que ejecuta 802.1X o la puerta de enlace VPN (también llamada NAS). Ese dispositivo debe estar registrado con su dirección IP y un secreto compartido: una contraseña que ambas partes conocen. Un dispositivo no registrado no recibe ningún error ni rechazo: sus paquetes se descartan silenciosamente, por diseño.

Abra el archivo de clientes y agregue un bloque por dispositivo, al final del archivo:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Agregar un usuario de prueba en el archivo de usuarios

Ahora dale al servidor a alguien para que se autentique. Abra el archivo de usuarios y agregue una cuenta de prueba en la parte superior del archivo: FreeRADIUS lee este archivo de arriba a abajo y la primera entrada coincidente gana, por lo que el orden es importante.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Demuestre que funciona con Radtest

Nunca pruebes un nuevo servidor RADIUS señalándolo a usuarios reales. La herramienta radtest (se envía en el paquete freeradius-utils que instaló en el Paso 1) envía un inicio de sesión falso desde el servidor, utilizando el cliente localhost integrado. Su respuesta separa dos preguntas que los principiantes confunden constantemente: ¿está funcionando el servidor y mi punto de acceso se comunica correctamente con él? Radtest responde la primera sin ningún dispositivo de red involucrado.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Bloquéelo antes de que lo utilicen dispositivos reales

Solo después de que pase la prueba local debe configurar un punto de acceso o conmutador real: ingrese la IP del servidor RADIUS (esta máquina Ubuntu), el puerto 1812 y el mismo secreto compartido que puso en su bloque de cliente en el Paso 3; luego intente un inicio de sesión real. Si algo falla en ese momento, el fallo está en la configuración del dispositivo, porque del lado del servidor ya está comprobado.