freeradius（初试freeradius）

本文目录

• 初试freeradius
• freeradius+MySQL中Cisco-AVPair = “shell:priv-lvl=1“如何处理
• 如何用freeradius结合windows AD验证路由器/交换机登陆帐户
• freeradius开启chap认证.radcheck表里还
• freeradius 添加用户 要重启服务器器吗

初试freeradius

在 /etc/freeradius/3.0/clients.conf 保存了客户端白名单，需要在其他电脑发起鉴权时，要先在这里添加授权。具体配置详情可以直接看文件注释，默认只允许本地访问，密码为 testing123 。

在 /etc/freeradius/3.0/mods-config/files/authorize 保存了帐号信息，可腊脊以在第一行添加 testing Cleartext-Password := "password" 作为世培测试。

修改完配置文件后记得重启radius，测试建议关闭服务轮返渗（ systemctl stop freeradius.service ），使用 freeradius -X 开启调试模式，获取详细信息。
在本地执行 radtest testing password 127.0.0.1 0 testing123 ，显示 Access-Accept 代表认证成功。

其中可以使用配置的方式来读取，配置文件格式如下： 文件格式详情

末尾需要添加空格，否则无效！

freeradius+MySQL中Cisco-AVPair = “shell:priv-lvl=1“如何处理

我们可以以Telnet,SSH,Web或者console口等不同的方式登录交换机,获得普通或者特权模式的访问权限. 在网络设备众多,对网络安全要求较高的企业里,仅仅使用交换机本地数
据库的帐号,密码认证功能已经满足不了用户的要求,客户往往希望能够采用集中,多重的认证方式. 这样也能在提高安全度的前提下减轻IT管理负担。RADIUS服务就是其中之一。
这里我们以一个客户的需求作为例子：客户原来的WIN2003域控制器同时也是RADIUS认证服务器，启用了WIN2003自带的IAS（Internet Authentication Service）服务，对LAN里
所有思科交换机作统一的登录认证。现在新购买了DELL34XX交换机，希望实现以下功能：
1．无论是通过console口还是通过telnet,登录用户必须首先通过IAS认证，只有该域中的成员才能有权限访问交换机；
2．登录的用户只能获得普通模式的访问权限，客户会针对telnet或console登录在交换机上设置特权模式的密码，通过IAS认证的用户还必须输入正确密码才能获得查看、修改配
置激氏的权限。
我们根据客户的要求搭建如下一个简单的环境，以全新安装的方式作测试：
第一部分：配置交换机
1.给交换机配置管理IP：
interface vlan 1
ip address 192.168.2.1 255.255.255.0
2.在全局配置模式下，配置radius 服务器IP地址及key,注意，这个密钥用于RADIUS Client和Server之间的通信验证，“key”的设置必须和IAS上“share secret”的设置完全相
同。然后配置用户登录及进入特权模式的认证方式，我们定义了“login“的认证方式为：先尝试晌唤radius,如果radius server down,再尝试Local；宴铅凯进入特权模式“enable”的认证
方式为本地交换机上设置的密码认证。“priv”及“test”是自定义的文件名，以便下一步将其绑定在对应的接口上：
radius-server host 192.168.2.100 auth-port 1812
radius-server key abcdabcd
aaa authentication enable priv line
aaa authentication login test radius local
3.进入接口配置模式，将相应的配置文件绑定在对应接口上，并且设置好进入特权模式的密码：
line telnet
login authentication test
enable authentication priv
password e10adc3949ba59abbe56e057f20f883e encrypted
line console
login authentication test
enable authentication priv
password 50ec7f0e57fcc436db275c710a5ef127 encrypted
最后别忘记设置一个本地的管理员帐号及密码,以便在RADIUS服务器Down后也能管理交换机：
username admin password 21232f297a57a5a743894a0e4a801fc3 level 15 encrypted
#如果需要在登录WEB页面进行RADIUS认证，使用下面命令:
***隐藏网址***

如何用freeradius结合windows AD验证路由器/交换机登陆帐户

已作交换机用的路由器登陆方法：
1、先查看ip，方法：win+r---输入:cmd---在再黑白界面输入：ipconfig，按回车。
2、根据网关查看路由器地址。若网关是：192.168.2.1，那么路由器的ip一般就是。192.168.2.1。
3、在IE地址栏中输入饥蔽地址：192.168.2.1。烂纯州
4、弹出路由器登陆界面输入路由器的默认登陆裤蔽用户名：admin 密码：admin(如果不正确，就看路由器背面)。

freeradius开启chap认证.radcheck表里还

题主是否想询问“freeradius开启chap认证.radcheck表里还配不配置”？配置。freeradius通过在radcheck表中添加相应的配置，指定CHAP认证所需的用户名和密码，可以使freeradius开启CHAP认证来验证用户身份和进行认证授权操作。

freeradius 添加用户 要重启服务器器吗

　　安装完成以后就开始对freeradius服务端进行一些相应的设置
　　一、 启动 radius 服务
　　先以调试模式启动服务器（需要root用户权限），看看能不能正常运行radius服务程序
　　radiusd -X
　　
　　确认radius服务程序能正常运行后，就要对服务程序进行一些设置并进行测试，确认其功能确实可用
　　（注：在这里可能出现错误见常见问题 Q1，Q2）
　　二、 配置radius 服务
　　1. 添加测试用户，使用明文作为密码
　　默认情况，用户直接写在/etc/raddb/users文件中。在users文件第一行插入
　　testing Cleartext-Password := "testing"
　　
　　表示加入了一个用户，名字为testing，密码为明文的testing。
　　退出并保存文件 /etc/raddb/users
　　重启服务器，radiusd -X
　　2. 验证配置
　　2.1本机客户端测试：client/server都在一台机器上
　　打开一个终端（作为client），发送验证请求
　　radtest testing testing 127.0.0.1 0 testing123
　　
　　返回的结果：
　　根据返回的结果的最后一行判断是否成功。最后一行是 rad_recv: Access-Accept 那就说明本地测试成功；如果最后一行是rad_recv: Access-Reject那就表示失败了，只要在/user/local/etc/raddb/users文件中添加了测试用户，那失败的原因一般都是用户名或者密码不正确。
　　2.2局域网客户端测试：client/server分布在网内的不同机器
　　名称
　　
　　ip
　　
　　用途
　　枣码
　　说明
　　
　　Server
　　
　　192.168.230.129
　　
　　radius测试服务器
　　
　　suse 11 sp2
　　
　　Client-1
　　
　　192.168.230.1
　　
　　客户端 1
　　
　　windows 8（ntradping）
　　
　　Client-2
　　
　　192.168.230.128
　　
　　客户端 2
　　
　　suse 11 sp2（radclient）凳慎哪
　　
　　注意：确认在radius Server服务器机器已关闭所有网络限制软件，比如：SELINUX，防火墙等等，特别是 radius用的端口是否可正常访问。
　　2.2.1 配置 radius server 端
　　修改服务器端记录客户端的配置文件 /etc/raddb/clients.conf 文件，该文件默认值提供了本机测试的 local 配置，即：安装完后默认只允许本机的client客孝衫户端访问radius服务器。
　　# 只允许本机的客户端访问
　　client localhost {
　　ipaddr = 127.0.0.1
　　secret = testing123
}
　　
　　# 添加一个子网 192.168.230.0/24 的网段可访问
　　client 192.168.230.0/24 {
secret = alonesword
　　shortname = lan-w3pc
　　}
　　
　　保存文件 /etc/raddb/clients.conf
　　2.2.2 重启radius服务
　　radiusd -X
　　
　　2.2.3 在不同的client端测试服务器工作是否正常
　　2.2.3.1 确保网络通畅
　　确认client-1/client-2均能ping同server机
　　2.2.3.2 在windows 上进行客户端测试
　　在client-1机器上运行NTRadPing应用，并输入对应的参数后，点击“send”进行测试。
　　2.2.3.3 在linux 系列系统上进行客户端测试
　　i. 安装 freeradius-client-libs-1.1.6-40.1.x86_64.rpm和freeradius-client-1.1.6-40.1.x86_64.rpm
　　ii. 配置 radius-client
　　在 /etc/radiusclient/servers 文件，加上一行
　　X.X.X.X（服务器ip） testing123
　　
　　在 /etc/radiusclient/radiusclient.conf 文件，加上一行
　　authserver localhost
　　# 服务器IP
　　authserver X.X.X.X
　　
　　运行命令以及成功返回的输出如下
　　radexample
　　
　　认证成功。
　　三、 常见问题
　　【Q1】启动 radiusd 时可能会出现如下错误
　　error while loading shared libraries: libfreera....
　　
　　【A1】解决的方法是在/etc/ld.so.conf文件中添加一行/usr/local/lib，然后在root用户下运行命令ldconfig即可
　　【Q2】启动 radiusd 时可能会出现如下错误
　　Failed binding to authentication address *port 1812:Address already in use
　　
　　【A2】用命令lsof -i:1812查看占用进程，应该就是freeradius本身，kill该进程，然后重新# radiusd -X便可以运行服务程序了。