Configuration FreeRADIUS en 1 minute sur Ubuntu

Confirmez que le service est en cours d'exécution et à l'écoute

Avant de modifier une configuration, vérifiez que le serveur fraîchement installé est actif et attend des demandes. Le service doit signaler qu'il est actif (en cours d'exécution) et la vérification du port doit afficher UDP 1812, c'est-à-dire le port d'authentification. Son partenaire, UDP 1813, s'occupe de la comptabilité.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Ajouter un client dans clients.conf

Un serveur RADIUS ne fait confiance à rien par défaut. En langage RADIUS, un « client » n'est pas l'ordinateur portable ou le téléphone qui se connecte — c'est le périphérique réseau qui demande une décision au serveur : le point d'accès portant la connexion WiFi, le commutateur exécutant 802.1X ou la passerelle VPN (également appelée NAS). Cet appareil doit être enregistré avec son adresse IP et un secret partagé – un mot de passe connu des deux parties. Un appareil non enregistré ne reçoit aucune erreur ni aucun rejet : ses paquets sont supprimés silencieusement, de par leur conception.

Ouvrez le fichier clients et ajoutez un bloc par appareil, à la fin du fichier :

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Ajouter un utilisateur test dans le fichier des utilisateurs

Maintenant, donnez au serveur quelqu'un pour s'authentifier. Ouvrez le fichier des utilisateurs et ajoutez un compte de test en haut du fichier — FreeRADIUS lit ce fichier de haut en bas et la première entrée correspondante l'emporte, donc l'ordre compte.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Prouvez que cela fonctionne avec Radtest

Ne testez jamais un nouveau serveur RADIUS en le dirigeant vers de vrais utilisateurs. L'outil radtest (il est livré dans le package freeradius-utils que vous avez installé à l'étape 1) envoie une fausse connexion depuis le serveur lui-même, en utilisant le client localhost intégré. Sa réponse sépare deux questions que les débutants confondent constamment : le serveur fonctionne-t-il et mon point d'accès lui communique-t-il correctement ? Radtest répond à la première sans aucun périphérique réseau impliqué.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Verrouillez-le avant que de vrais appareils ne l'utilisent

Ce n'est qu'une fois le test local réussi que vous devez configurer un véritable point d'accès ou commutateur : entrez l'adresse IP du serveur RADIUS (cette machine Ubuntu), le port 1812 et le même secret partagé que vous avez mis dans son bloc client à l'étape 3 - puis essayez une vraie connexion. Si quelque chose échoue à ce stade, le problème réside dans les paramètres de l'appareil, car le côté serveur est déjà prouvé.