1-minuters FreeRADIUS-installation på Ubuntu

Installera FreeRADIUS och testverktygen

RADIUS är den tysta gatekeepern bakom kontorets WiFi-inloggningar, 802.1X-switchportar och VPN-inloggningar: enheten frågar servern och servern säger ja eller nej. FreeRADIUS på Ubuntu är det vanliga gratis sättet att köra den gatekeepern. Två paket ger dig allt som den här guiden använder – själva servern och verktygspaketet som innehåller radtest-verktyget – och Ubuntu startar tjänsten på egen hand efter installationen.

sudo apt update
sudo apt install -y freeradius freeradius-utils

All of the server's configuration lives in one folder: /etc/freeradius/3.0/. Out of everything in there, this setup mainly touches two files — clients.conf (which devices may ask) and users (who may log in).

Bekräfta att tjänsten körs och lyssnar

Innan du ändrar någon konfiguration, bekräfta att den nyinstallerade servern är aktiv och väntar på förfrågningar. Tjänsten bör rapportera aktiv (kör), och portkontrollen ska visa UDP 1812 - det är autentiseringsporten. Dess partner, UDP 1813, sköter bokföringen.

Lägg till en klient i clients.conf

En RADIUS-server litar inte på något som standard. På RADIUS-språket är en "klient" inte den bärbara datorn eller telefonen som loggar in – det är nätverksenheten som ber servern om ett beslut: åtkomstpunkten som bär WiFi-inloggningen, switchen som kör 802.1X eller VPN-gatewayen (även kallad NAS). Den enheten måste vara registrerad med sin IP-adress och en delad hemlighet – ett lösenord som båda sidor känner till. En oregistrerad enhet får inget fel och inget avslag: dess paket släpps tyst, av design.

Öppna klientfilen och lägg till ett block per enhet i slutet av filen:

Lägg till en testanvändare i användarfilen

Ge nu servern någon att autentisera. Öppna användarfilen och lägg till ett testkonto överst överst i filen — FreeRADIUS läser den här filen uppifrån och ned och den första matchande posten vinner, så ordningen är viktig.

sudo systemctl status freeradius
sudo ss -lunp | grep 1812

sudo nano /etc/freeradius/3.0/clients.conf

The password shown is an example — pick your own, and remember what you set, because the test in the next step uses it. A plain-text test user like this is perfect for proving the setup works; on a real office server you would later connect FreeRADIUS to your existing user database or Active Directory instead of keeping passwords in this file.

Save the file, then check the whole configuration before restarting — the check must end with "Configuration appears to be OK":

client office-ap {
    ipaddr = 192.168.1.10
    secret = MyStrongSecret42
    shortname = office-ap
}

Bevisa att det fungerar med Radtest

Testa aldrig en ny RADIUS-server genom att rikta riktiga användare mot den. Radtest-verktyget (det levereras i freeradius-utils-paketet som du installerade i steg 1) skickar en falsk inloggning från själva servern, med hjälp av den inbyggda localhost-klienten. Dess svar skiljer två frågor åt nybörjare ständigt blanda ihop: fungerar servern och talar min åtkomstpunkt till den på rätt sätt? Radtest svarar på den första utan någon nätverksenhet inblandad.

sudo nano /etc/freeradius/3.0/users

The five parts are: username, password, server address, NAS port (0 is fine for a test), and the shared secret of the client the request pretends to come from. Testing from the server itself uses that built-in localhost client, whose stock secret is testing123. Read the answer like this:

Received Access-Accept — the server checked the password and said yes. Your users entry, password and localhost secret are all correct; the server side is finished.
Received Access-Reject — the server answered but said no: wrong password, or the user line is in the wrong place in the file. A configuration detail, not a network problem.
No answer at all — the request never got a reply: the service is down, the port is wrong, or the secret did not match (a wrong secret is dropped silently, deliberately).

Lås den innan riktiga enheter använder den

Först efter att det lokala testet har passerat bör du konfigurera en riktig åtkomstpunkt eller switch: ange RADIUS-serverns IP (denna Ubuntu-maskin), port 1812 och samma delade hemlighet som du lade in i klientblocket i steg 3 — försök sedan med en riktig inloggning. Om något misslyckas vid den tidpunkten ligger felet i enhetens inställningar, eftersom serversidan redan är bevisad.