1-Minutong FreeRADIUS Setup sa Ubuntu

I-install ang FreeRADIUS at ang Test Tools

Ang RADIUS ay ang tahimik na gatekeeper sa likod ng mga pag-login sa WiFi ng opisina, 802.1X switch port at VPN sign-in: tinatanong ng device ang server, at ang sabi ng server ay oo o hindi. Ang FreeRADIUS sa Ubuntu ay ang karaniwang libreng paraan upang patakbuhin ang gatekeeper na iyon. Binibigyan ka ng dalawang package ng lahat ng ginagamit ng gabay na ito — ang server mismo at ang utility package na naglalaman ng radtest tool — at sinisimulan ng Ubuntu ang serbisyo nang mag-isa pagkatapos ng pag-install.

sudo apt update
sudo apt install -y freeradius freeradius-utils

All of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).

Kumpirmahin ang Serbisyo ay Tumatakbo at Nakikinig

Bago baguhin ang anumang configuration, kumpirmahin na ang bagong naka-install na server ay buhay at naghihintay ng mga kahilingan. Ang serbisyo ay dapat mag-ulat na aktibo (tumatakbo), at ang port check ay dapat magpakita ng UDP 1812 — iyon ay ang authentication port. Ang kasosyo nito, ang UDP 1813, ang humahawak sa accounting.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Magdagdag ng Kliyente sa clients.conf

Ang server ng RADIUS ay walang pinagkakatiwalaan bilang default. Sa wikang RADIUS, ang "client" ay hindi ang laptop o telepono na nagla-log in — ito ang network device na humihingi ng desisyon sa server: ang access point na nagdadala ng WiFi login, ang switch na tumatakbo sa 802.1X, o ang VPN gateway (tinatawag ding NAS). Dapat na nakarehistro ang device na iyon gamit ang IP address nito at isang nakabahaging sikreto — alam ng magkabilang panig ang password. Ang isang hindi nakarehistrong device ay hindi nakakakuha ng error at walang pagtanggi: ang mga packet nito ay tahimik na ibinabagsak, ayon sa disenyo.

Buksan ang file ng mga kliyente at magdagdag ng isang bloke bawat device, sa dulo ng file:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Magdagdag ng Test User sa File ng Mga User

Ngayon bigyan ang server ng isang tao upang patotohanan. Buksan ang file ng mga user at magdagdag ng isang pansubok na account sa itaas ng file — binabasa ng FreeRADIUS ang file na ito mula sa itaas hanggang sa ibaba at ang unang tumutugmang entry ang mananalo, kaya mahalaga ang order.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Patunayan na Gumagana Ito sa Radtest

Huwag subukan ang isang bagong server ng RADIUS sa pamamagitan ng pagturo dito ng mga tunay na user. Ang radtest tool (ito ay ipinapadala sa freeradius-utils package na iyong na-install sa Hakbang 1) ay nagpapadala ng isang pekeng login mula mismo sa server, gamit ang built-in na localhost client. Ang sagot nito ay naghihiwalay sa dalawang tanong na patuloy na pinaghahalo ng mga nagsisimula: gumagana ba ang server, at kinakausap ba ito ng tama ng aking access point? Sinasagot ng Radtest ang una nang walang kasamang device sa network.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

I-lock Ito Bago Ito Gamitin ng Mga Tunay na Device

Pagkatapos lang ng mga lokal na pagsubok na pumasa dapat kang mag-configure ng isang tunay na access point o switch: ilagay ang IP ng server ng RADIUS (ang Ubuntu machine), port 1812, at ang parehong nakabahaging lihim na inilagay mo sa block ng kliyente nito sa Hakbang 3 — pagkatapos ay subukan ang isang tunay na pag-login. Kung may mabibigo sa puntong iyon, ang kasalanan ay nasa mga setting ng device, dahil ang panig ng server ay napatunayan na.