freeradius

freeradius
(http://www.freeradius.org)

 

安裝部份 

1
安裝 FreeRadius

到freeradius目錄下執行
# configure --prefix=/usr/local/freeradius
# make
# make install

2
編輯組態

在raddb/users檔中設定設定以下,使用本機帳密做認證
DEFAULT Auth-Type = System

3
第一次啟動 FreeRadius

/usr/local/freeradius/sbin/radiusd -d /usr/local/freeradius/etc/raddb/
若Port 1812、1813 開始listen表示OK
ps:
參數-X 可顯示完整運作訊息,用來debug
ps:
若無法啟動可參考/var/log/radius.log
ps:
設定開機時自己啟動
在/etc/rc.conf 加入radiusd_enable="YES"

4
測試Radius

#radtest < 帳號 > < 密碼 > < 認證位址[:認證埠] > < nas-port-number > < secret>
< secret> 指的是在clients.conf內設定之允許來源 
ps:nas-port-number通常是0
ex:radtest raymond key 127.0.0.1 0 test
若成功會出現rad_recv: Access-Accept ...等訊息
若失敗會出現rad_recv: Access-Reject ...等訊息
若radius密碼錯誤會顯示Shared secret is incorrect

........................................................................................................

基礎概念 

運作流程
1
系統啟動,讀取radiusd.conf,並運作於UDP port 1812/1813
2
若收到Access-Request(認證請求)封包,比對clients.conf的認證,合法client執行第3步,非法client則deny
3
讀取proxy.conf比對領域名稱Realm
若有合法的realm設定,採用proxy.conf中所設定處理方式
若無合法的realm設定,採用users中所設定的預設認證方式,比對users中的帳號,執行第4步
4
根據檔案users驗證,若成功則送出access-accept,若失敗則送出access-reject

相關目錄
/usr/local/bin 測試程式
radtest/usr/local/sbin 主程式
radiusd/usr/local/etc/raddb 設定檔目錄
/usr/local/lib 模組檔
/usr/local/share/freeradius 字典檔
/usr/local/var/log/radius 記錄檔
/usr/local/share/doc/freeradius-1.0.5 説明文件

相關組態檔
radiusd.conf 主設定檔
clients.conf 允許連線的client設定檔
users 本地使用者帳號,auth-type等處理方式設定檔
eap.conf eap設定檔
attr 設定attribute filter
proxy.conf 認證轉送設定檔,在多部radius運作時需設定
xxxsql.conf 資料庫存取設定檔

.............................................................................................................................
.............................................................................................................................

radiusd.conf
主要設定檔
內容架構(可以include其他檔案的設定)

...

全域參數,目錄,日誌檔位置,...等

#設定伺服器運作的ip,*表示所有的網路介面
bind_address = *
#設定伺服器運作的port,0表示預設1812,1813
port = 0
#身份認證成功與否之記錄
log_auth = no
#開啟proxy功能
proxy_requests = yes

...

模組設定(radius2中將設定檔放在module目錄內)

modules {
模組1 { ... }
模組2 { ... }
... }

常見模組
unix #設定使用系統密碼檔
realm #proxy判斷,規則在proxy.conf
files #以文字檔管理帳號、授權
detail #以文字檔記錄log
ldap #ldap模組

...

行程處理流程
常用的有以下
authorize { #授權,取得使用者資訊
}
authenticate { #認證,驗證使用者請求
}
post-auth { #認證完成後處理
}
preacct { #前置處理Accounting封包
}
accounting { #處理Accounting封包
radutmp #記錄線上使用者
}
ps:
在radius2中,authorize,authenticate,preacct,accounting,post-auth,...等
被放在${confdir}/sites-available/default

...............................................................................................................

clients.conf
設定允許連線的RADIUS Clients及其對應的serect
client為使用radius協定的client,包括對radius server發出要求的客戶端或是支援radius的ap

格式為
client < client ip/mask >{
secret=client使用的radius key
shortname=client的別名
nastype=client的nastype
}
ex:
#允許當地主機的連線請求
client 127.0.0.1 {
secret = test
shortname = localhost
}
#允許192.168.1.1連線請求
client 192.168.1.1 {
secret = test
shortname = ap01
}
#允許192.168.100.0/24連線請求
client 192.168.100.0/24 {
secret = test
shortname = switch
}


...............................................................................................................

users
用途:授權屬性設定、帳號認證、屬性調整

設定帳號認證方式的格式
[DEFAULT | account] Auth-Type = < system|local|ldap>
可指定以下2種

 單一user帳號
 DEFAULT:表示所有user,當所有條件都不符合時才使用,通常與Fall-Trough=1併用,設定基本屬性
Auth-Type
指定的認證方式有以下三種
 system 使用系統帳號
 local 使用user檔案中所設定的帳號
 ldap 使用ldap所設定的帳號

限制連線ip
Client-IP-Address == "ip"

設定密碼
User-Password == "password"

設定比對符合後,仍繼續往下比對
Fall-Trough = 1


常用運算子
屬性 = 資料 在該屬性沒有被設置的前提下新增該屬性資料
屬性 := 資料 直接設定該屬性資料
屬性 == 資料 判斷該屬性的內容是否與資料內容相符
屬性 != 資料 判斷該屬性的內容是否與資料內容不相符
屬性 =~ 正規表示式 判斷屬性的內容是否符合正規表示式的規則
屬性 !~ 正規表示式 判斷屬性的內容是否不符合正規表示式的規則

處理規則
1由上而下比對至第一組完全符合者,即告完成。
2各組間以空白行間隔。
3以屬性 user-name 為第一個比對項(不分大小寫)。
ex:
DEFAULT Auth-Type = System
Fall-Through = 1
user01 User-Password == "123456"
ex:
使用auth-type為local的方式,設定使用者帳號raymond,連線來源限制為127.0.0.1,並設密碼為12345
raymond Auth-Type := Local, Client-IP-Address == "127.0.0.1", User-Password == "12345"


.....................................................................................................................

proxy.conf
主要以realm來決定是否進行proxy

格式為
realm {
type = radius
authhost= <認證伺服器 IP>:
accthost = <計費伺服器 IP>:
secret = #若host都設為LOCAL時,secret因用不到可省略
ldflag =
nostrip #收到帳號時不要把realm名稱清除,預設為strip,也就是會清除realm
fail_over #設定自動備援,預設為fail_over
round_robin #設定負載平衡
}
ps:若使用者帳號為raymond@study.net,則realm為study.net
ps:若使用者帳號只有raymond,則此帳號沒使用realm
ps:realm名稱無大小寫分別,由管理者指定即可,與domain name無直接關係
ex:
將沒有realm的帳號以預設的認證方式驗證
realm NULL {
 type = radius
 authhost = LOCAL
 accthost = LOCAL
}
ex:
將沒有realm的帳號轉送到192.168.0.10:1645去驗證
realm NULL {
type = radius
authhost = 192.168.0.10:1645
accthost = 192.168.0.10:1646
secret = dontshowit
}
ex:
將realm為wifi.nchc.org.tw的帳號以預設的帳號處理
方式處理
realm wifi.nchc.org.tw {
type = radius
authhost = LOCAL
accthost = LOCAL
}
ex:
將realm為wifi.nchc.org.tw 的帳號轉送到192.168.0.7:1812去處理
realm wifi.nchc.org.tw {
type = radius
authhost = 192.168.0.7:1812
accthost = 192.168.0.7:1813
secret = donttellanyone
}
ex:
所有不符合其他realm設定的帳號,轉送到192.168.0.99:1812 去處理,且不濾除realm名稱
realm DEFAULT {
type = radius
authhost = 192.168.0.99:1812
accthost = 192.168.0.99:1813
secret = aloha3
nostrip
}

設定自動備援
ex:
若isp1.com判定無回應,則改由isp2.com處理
realm wifi.home {
 type = radius
 authhost = isp1.com:1812
 accthost = isp1.com:1813
 secret = sweetheart
}
realm wifi.home {
 type = radius
 authhost = isp2.com:1812
 accthost = isp2.com:1813
 secret = heartsweet
 fail_over
}

設定負載平衡
ex:
若isp1.com和isp2.com做負載平衡
realm wifi.home {
 type = radius
 authhost = isp1.com:1812
 accthost = isp1.com:1813
 secret = sweetheart
round_robin
}
realm wifi.home {
 type = radius
 authhost = isp2.com:1812
 accthost = isp2.com:1813
 secret = heartsweet
 round_robin
}



2009-10-21 00:02:46發表 2012-10-30 20:58:29修改   

數據分析
程式開發
計算機組織與結構
資料結構與演算法
Database and MySql
manage tool
windows
unix-like
linux service

network
network layer3
network layer2
network WAN
network service
作業系統
數位鑑識
資訊安全解決方案
資訊安全威脅
Cisco security
Cisco network
Cisco layer3
Cisco layer2



  登入      [牛的大腦] | [單字我朋友] Powered by systw.net