Установка FreeRADIUS за 1 минуту в Ubuntu
Сама установка — это самая быстрая часть — около минуты команд. Но только что установленный FreeRADIUS никого не аутентифицирует: ни клиентского устройства, ни пользователя еще не существует. В этом руководстве выполняется установка, затем выполняются короткие завершающие шаги, которые превращают его в настоящий сервер входа в систему, и локально проверяется результат, прежде чем на него будет направлено какое-либо устройство.
📑Главы
<ол класс="главы">📋 Обзор и пошаговое руководство
Установите FreeRADIUS и инструменты тестирования
RADIUS — это тихий привратник, обеспечивающий вход в офисный Wi-Fi, порты коммутатора 802.1X и вход в VPN: устройство запрашивает сервер, а сервер отвечает «да» или «нет». FreeRADIUS в Ubuntu — это стандартный бесплатный способ запуска этого привратника. Два пакета предоставляют вам все, что используется в этом руководстве — сам сервер и пакет утилит, содержащий инструмент radtest — и Ubuntu самостоятельно запускает службу после установки.
sudo apt update
sudo apt install -y freeradius freeradius-utilsAll of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).
Убедитесь, что служба запущена и прослушивает
Прежде чем изменять какую-либо конфигурацию, убедитесь, что только что установленный сервер работает и ожидает запросов. Служба должна сообщить об активности (работает), а проверка порта должна показать UDP 1812 — это порт аутентификации. Его партнер, UDP 1813, занимается бухгалтерским учетом.
sudo systemctl status freeradius
sudo ss -lunp | grep 1812If the service is not running at this point, fix that first — every later step depends on a server that is actually up.
Добавьте клиента в client.conf
Сервер RADIUS по умолчанию ничему не доверяет. На языке RADIUS «клиент» — это не ноутбук или телефон, осуществляющий вход в систему, а сетевое устройство, которое запрашивает решение у сервера: точка доступа, передающая логин Wi-Fi, коммутатор, работающий по стандарту 802.1X, или шлюз VPN (также называемый NAS). Это устройство должно быть зарегистрировано со своим IP-адресом и общим секретом — паролем, который знают обе стороны. Незарегистрированное устройство не получает ни ошибок, ни отклонений: его пакеты автоматически отбрасываются.
Откройте файл клиентов и добавьте по одному блоку для каждого устройства в конце файла:
sudo nano /etc/freeradius/3.0/clients.confclient office-ap {
ipaddr = 192.168.1.10
secret = MyStrongSecret42
shortname = office-ap
}The IP address and the secret above are examples — always replace both with your own. The ipaddr is the exact address the requests will come from, and the same secret must later be typed into the access point or switch itself, character for character. If the two sides do not match exactly, the server silently ignores the device: no error, just nothing.
Добавить тестового пользователя в файл пользователей
Теперь дайте серверу кого-нибудь для аутентификации. Откройте файл пользователей и добавьте одну тестовую учетную запись в верхнюю часть файла — FreeRADIUS читает этот файл сверху вниз, и побеждает первая совпадающая запись, поэтому порядок имеет значение.
sudo nano /etc/freeradius/3.0/userstestuser Cleartext-Password := "TestPass123"The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.
Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":
sudo freeradius -C
sudo systemctl restart freeradiusДокажите, что это работает с помощью Radtest
Никогда не тестируйте новый RADIUS-сервер, указывая на него реальным пользователям. Инструмент radtest (он поставляется в пакете freeradius-utils, который вы установили на шаге 1) отправляет один поддельный вход с самого сервера, используя встроенный клиент localhost. Его ответ разделяет два вопроса, которые новички постоянно путают: работает ли сервер и правильно ли с ним разговаривает моя точка доступа? Радтест отвечает на первый вопрос без участия сетевого устройства.
radtest testuser TestPass123 localhost 0 testing123The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:
Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).
testing123 secret is public knowledge — it ships in the stock configuration. It is fine for this local test only. It is not a secret worth the name, and it must never be the secret protecting a real device on a real network (see Step 6).Заблокируйте его, прежде чем его начнут использовать реальные устройства
Только после прохождения локального теста вам следует настроить реальную точку доступа или коммутатор: введите IP-адрес RADIUS-сервера (этот компьютер с Ubuntu), порт 1812 и тот же общий секрет, который вы поместили в его клиентский блок на шаге 3, а затем попробуйте один реальный вход в систему. Если в этот момент что-то не получается, значит, проблема в настройках устройства, потому что серверная часть уже проверена.
sudo freeradius -X, чтобы посмотреть, как запросы поступают в терминал в реальном времени. Запрос, который никогда не появляется, указывает на IP-адрес клиента или сетевой путь; запрос, который появляется и завершается неудачно, указывает на секрет или запись пользователя. Помните, что radtest проверяет только сервер — WPA2 Enterprise WiFi добавляет методы EAP и сертификаты сверху, которые представляют собой отдельный уровень.🏷️Topic Search Variables & Keywords
🎙️ Полная расшифровка — нажмите, чтобы развернуть
Пошаговое руководство по устранению неполадок и решениям — НАСТРОЙКА RADIUS-СЕРВЕРА СЕЙЧАС. Пошаговое руководство. Экранная демонстрация от Технического Аншу.
Установите FreeRADIUS в Ubuntu примерно за минуту, а затем завершите все этапы, которые сделают его настоящим сервером входа: добавьте клиент в client.conf, добавьте пользователя и проверьте его с помощью radtest, прежде чем какое-либо устройство будет его использовать.
(На этом этапе расшифровка, доступная на исходной странице, заканчивается — полное пошаговое руководство смотрите в видео выше.)
❓ Часто задаваемые вопросы (на английском языке)
Является ли это руководство абсолютно бесплатным?
Да! Во всех руководствах и методах, продемонстрированных Tech Anshu, используются бесплатные легальные и образовательные ресурсы.
Могут ли новички следовать этому руководству?
Абсолютно! Каждый шаг демонстрируется на экране с подробными инструкциями, поэтому каждый может легко следовать им.
Где я могу задать вопросы, если застряну?
Оставьте комментарий прямо под видео на YouTube, и наше сообщество и технический специалист Anshu помогут вам.
🚀 Посмотрите полное руководство на YouTube
🚀 Посмотрите полное пошаговое видеоруководство на YouTube: https://www.youtube.com/watch?v=pEBThSAcf9w
Подпишитесь на техническую поддержку Anshu для ИТ-поддержки, устранения неполадок Windows и управления сервером.
▶️ Посмотреть полное видео