Configurare FreeRADIUS de 1 minut pe Ubuntu

Instalați FreeRADIUS și instrumentele de testare

RADIUS este controlul liniștit din spatele conectărilor WiFi de birou, porturi de comutare 802.1X și conectări VPN: dispozitivul întreabă serverul, iar serverul spune da sau nu. FreeRADIUS pe Ubuntu este modalitatea gratuită standard de a rula acel gatekeeper. Două pachete vă oferă tot ce folosește acest ghid — serverul în sine și pachetul de utilități care conține instrumentul radtest — iar Ubuntu pornește singur serviciul după instalare.

sudo apt update
sudo apt install -y freeradius freeradius-utils

All of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).

Confirmați că serviciul rulează și ascultă

Înainte de a modifica orice configurație, confirmați că serverul proaspăt instalat este activ și așteaptă solicitări. Serviciul ar trebui să raporteze activ (în rulare), iar verificarea portului ar trebui să arate UDP 1812 - adică portul de autentificare. Partenerul său, UDP 1813, se ocupă de contabilitate.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

If the service is not running at this point, fix that first — every later step depends on a server that is actually up.

Adăugați un client în clients.conf

Un server RADIUS nu are încredere în nimic în mod implicit. În limbajul RADIUS, un „client” nu este laptopul sau telefonul care se conectează - este dispozitivul de rețea care cere serverului o decizie: punctul de acces care poartă autentificarea WiFi, comutatorul care rulează 802.1X sau gateway-ul VPN (numit și NAS). Acel dispozitiv trebuie să fie înregistrat cu adresa sa IP și un secret partajat - o parolă pe care ambele părți o cunosc. Un dispozitiv neînregistrat nu primește nicio eroare și nicio respingere: pachetele sale sunt abandonate în mod silențios, prin proiectare.

Deschideți fișierul clienți și adăugați un bloc pe dispozitiv, la sfârșitul fișierului:

sudo nano /etc/freeradius/3.0/clients.conf

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.

Adăugați un utilizator de testare în fișierul utilizatori

Acum dați serverului pe cineva să se autentifice. Deschideți fișierul utilizatorilor și adăugați un cont de test în partea sus a fișierului — FreeRADIUS citește acest fișier de sus în jos și prima intrare potrivită câștigă, așa că ordinea contează.

sudo nano /etc/freeradius/3.0/users

testuser Cleartext-Password := "TestPass123"

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

sudo freeradius -C
sudo systemctl restart freeradius

Demonstrați că funcționează cu Radtest

Nu testați niciodată un nou server RADIUS îndreptându-l către utilizatori reali. Instrumentul radtest (se livrează în pachetul freeradius-utils pe care l-ați instalat la Pasul 1) trimite o autentificare falsă de pe server, folosind clientul localhost încorporat. Răspunsul său separă două întrebări pe care începătorii se amestecă constant: serverul funcționează și punctul meu de acces vorbește corect cu el? Radtest răspunde la primul fără niciun dispozitiv de rețea implicat.

radtest testuser TestPass123 localhost 0 testing123

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Blocați-l înainte ca dispozitivele reale să-l folosească

Numai după trecerea testului local ar trebui să configurați un punct de acces real sau un comutator: introduceți IP-ul serverului RADIUS (această mașină Ubuntu), portul 1812 și același secret partajat pe care l-ați pus în blocul clientului său la Pasul 3 - apoi încercați o conectare reală. Dacă ceva nu reușește în acel moment, defecțiunea este în setările dispozitivului, deoarece partea de server este deja dovedită.