Configuração do FreeRADIUS de 1 minuto no Ubuntu

Confirme se o serviço está em execução e escutando

Antes de alterar qualquer configuração, confirme se o servidor recém-instalado está ativo e aguardando solicitações. O serviço deve reportar ativo (em execução) e a verificação da porta deve mostrar UDP 1812 — que é a porta de autenticação. Seu parceiro, UDP 1813, cuida da contabilidade.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Adicione um cliente em clients.conf

Um servidor RADIUS não confia em nada por padrão. Na linguagem RADIUS, um “cliente” não é o laptop ou telefone que faz login – é o dispositivo de rede que solicita uma decisão ao servidor: o ponto de acesso que transporta o login WiFi, o switch executando 802.1X ou o gateway VPN (também chamado de NAS). Esse dispositivo deve ser registrado com seu endereço IP e um segredo compartilhado – uma senha que ambos os lados conhecem. Um dispositivo não registrado não recebe nenhum erro nem rejeição: seus pacotes são descartados silenciosamente, por design.

Abra o arquivo clientes e adicione um bloco por dispositivo, no final do arquivo:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Adicionar um usuário de teste no arquivo de usuários

Agora dê ao servidor alguém para autenticar. Abra o arquivo de usuários e adicione uma conta de teste no topo do arquivo — o FreeRADIUS lê esse arquivo de cima para baixo e a primeira entrada correspondente vence, então a ordem é importante.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Prove que funciona com Radtest

Nunca teste um novo servidor RADIUS apontando usuários reais para ele. A ferramenta radtest (fornecida no pacote freeradius-utils que você instalou na Etapa 1) envia um login falso do próprio servidor, usando o cliente localhost integrado. Sua resposta separa duas questões que os iniciantes confundem constantemente: o servidor está funcionando e meu ponto de acesso está se comunicando corretamente com ele? A Radtest responde à primeira sem nenhum dispositivo de rede envolvido.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Bloqueie-o antes que dispositivos reais o utilizem

Somente depois que o teste local for aprovado você deverá configurar um ponto de acesso ou switch real: insira o IP do servidor RADIUS (esta máquina Ubuntu), porta 1812 e o mesmo segredo compartilhado que você colocou em seu bloco de cliente na Etapa 3 - e então tente um login real. Se algo falhar nesse ponto, a falha está nas configurações do dispositivo, pois o lado do servidor já está comprovado.