基于Linux的RADIUSServer的搭建和使用

1、This docume nt and in formati on here in is the property of USI and all un authorized use and reproduct ion is prohibited.Copyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.Contents1. RADIUS 简介.12. 安装 RADIUS13. 配置 FreeRADIUS.2.4. 配置 MySQL.4.5. AP 端设置.56. 客户端设置.6.This docume nt and in formati

2、 on here in is the property of USI and all un authorized use and reproduct ion is prohibited.Copyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.1. RADIUS简介RADIUS 的全称为 Remote Authentication Dial-In User Service，是一种能够让服务器验证各种接入用户身份的协议，RADIUS 可以对用户身份进行集中管理，安全性更好，策略也更灵活，同时还可以记录用户的网络使用情况用于网管分析 或者

3、计费，已经成为比较常用的工业标准。在使用中，路由器、交换机等设备在 需要验证用户身份的时候，向 RADIUS 服务器发送请求，RADIUS 服务器则返回 用户的相关信息，交给路由器、交换机等设备处理。在本文中，我们将基于Ubuntu（ Linux 的一个比较流行的发行版本），以FreeRADIUS+MySQL+OpenSSL 搭建一个 RADIUS 服务器，其认证方式是PEAPvO/EAP-MSCHAPv2。本文中所用的 Linux 及软件的版本如下：OS: Ubuntu 8.04（Linux Kernel 2624-21）FreeRADIUS : FreeRADIUS 1.1.7FreeRA

4、DIUS-MySQL : FreeRADIUS-MySQL 1.1.7MySQL : MySQL 5.0.51aOpenSSL: OpenSSL 0.9.8g 操作系统自带）This docume nt and in formati on here in is the property of USI and all un authorized use and reproduct ion is prohibited.Copyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.下面讲述详细的安装与配置步骤：2.安装RADIUS安装完 Ubu

5、ntu8.04 后，首先更新管理器，在终端输入如下命令：sudo apt-get updatesudo apt-get dist-upgrade安装基本的编译环境，命令如下：sudo apt-get in stall build-esse ntial autoc onf automake1.9 cvs subversi onapt-get in stall dpkg-dev安装 MySQL，命令如下:sudo apt-get in stall mysql-server mysql-clie nt#安装过程中按提示设定管理 MySQL 数据库的密码（如 123456）安装 FreeRADIUS:

6、从 FreeRADIUS 的官方网 站 下载 FreeRADIUS 1.1.7。然后在终端输入如下命令：tar zxvf freeradius-1.1.7.tar.gzcd freeradius-1.1.7fakeroot dpkg-buildpackage -b -uc#提示缺少什么包就通过 apt-get in stall 安装什么包cd .dpkg -i freeradius_1.1.7-0_i386.deb freeradius-mysql_1.1.7-0_i386.debThis docume nt and in formati on her

7、e in is the property of USI and all un authorized use and reproduct ion is prohibited.Copyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.3.配置FreeRADIUS修改配置文件：/etc/freeradius/radiusd.c onf（注意如果在文件末尾修改的话，后面的值不会覆盖前面的值，所以要直接在原位置上修改），需更改的几个 log 项：Iog_auth = yeslog_auth_badpass = yeslog_auth_goodp

8、ass = yes适当延长发送认证失败消息之前的暂停秒数，防止暴破，默认为 1 秒 reject_delay = 5把 authorize accounting session post-auth 几个部分中 sql 一句前的注释取消掉， 启用MySQL 认证。修改配置文件：/etc/freeradius/clients.con，设置允许使用 radius 服务的设备，一般是 AP 的 IP 地址，secret 是 AP 连接 radius 的密码，在配置文件最后添加如下语句：clie nt /24 secret = test in g123short name = dl

9、i nkn astype=other 修改配置文件：/etc/freeradius/eap.con，将 tls，ttls， peap 三段的注释全部取消，这是启用 PEAP 的关键。修改配置文件：/etc/freeradius/users 修改 users 文件中的如下内容：#DEFAULT Auth-Type = System#Fall-Through = 1修改配置文件：/etc/freeradius/sql.conf,设置与 MySQL 相关的信息：server = localhostlogi n二radiusThis docume nt and in formati on here i

10、n is the property of USI and all un authorized use and reproduct ion is prohibited.Copyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.password = radius4.配置MySQL先建库和用户，命令如下：mysql -u root -p123456mysql create database radius;mysql GRANT ALL PRIVILEGES ON radius.* to radiuslocalhost IDENTIFIEDB

11、Y radius;mysql FLUSH PRIVILEGES;mysql exit;创建 radius 相关的表和初始数据：将/usr/share/doc/freeradius/examples/mysql.sql.gZ 解压，将解压后的 mysql.sql 导入radius 数据库，命令如下:cd /usr/share/doc/freeradius/examples/mysql -u radius -pradius radius v./mysql.sql表结构创建好之后，就可以创建使用者账号了，默认是存储在radcheck 表中的，可以使用这样的 命令和 sql 语句：mysql -u r

12、adius -pradius radiusmysql insert into radcheck (username,attribute,op,alue) values (test；User-Password := ,test);This docume nt and in formati on here in is the property of USI and all un authorized use and reproduct ion is prohibited.Copyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.mysql

13、 select * from radcheck|id|UserName|Attriubute |op |Value| 1|test |User-Password|:= |test |现在重启 freeradius 服务，可以简单测试一下（testl/testl 是错误的用户名/密码,testing123 是默认在 clients.conf 中定义的本机用户的 secret）在终端输入如下命令：radtest test1 test1 localhost 0 test in g123Se nding Access-Request of id 5 to port 1812User

14、-Name = test1User-Password = test1NAS-IP-Address = 55NAS-Port = 0Re-sending Access-Request of id 5 to port 1812User-Name = test1User-Password = test1NAS-IP-Address = 55NAS-Port = 0rad_recv: Access-Reject packet from host :1812, id=5, le ngth=20可以看到服务器接 收到

15、了请求，并返回了用户 名/密码二test1/test1 的 reject 信息。5. AP端设置主要设置项如下：Secrity Mode: WPA2This document and information herein is the property of USI and allCopyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.un authorized use and reproduct ion is prohibited.Clipher Type: AES (比 TKIP 方式更加安全)RADIUS Server IP/

16、Secret: RADIUS 服务器所在的 IP 以及在“ clients.conf” 中设置 的对应的“ secret。6.客户端设置WinXP 的设置：无线网络连接属性-无线网络配置 Tab 页-首选网络(属性)-关联 Tab 页, 网络验证： WPA2， 数据加密： AES;然后在“验证” Tab页， EAP类型： 受保护 的EAP (PEAP),在属性中，不选“验证服务器证书”，选择“启用快速重新连 接”，验证方法：安全密码(EAP-MSCHAP v2),并在“配置”中不选择“自动 使用 windows 登录名和密码”。配置 步骤截图如下所示：图一This document and i

17、nformation herein is the property of USI and allCopyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.un authorized use and reproduct ion is prohibited.图三This document and information herein is the propertyof USI and allCopyright 1 by Uni versal Scie ntific In dustrial Co., Ltd.un authorized us

18、e and reproduct ion is prohibited.受尿护的EAP凤性?X当连捲时；題服翼H.M连接到这些服勞器奚信任的狠证书師发机构QABA.ECOM RGotCkABCAlibaba.c Corpora.tidn Rot CAAutoridad Certificadsra de la Asoiciacion NaciOILilk-utoridtdCtrtifi ctdor tdtl CciltfioNtcioatld*H - 1丄二_m 1_一Tl fT不提示用户授权新雇务器或受信任的证书蘇机构选择身份验证方法:侵空密码W-MSCHAFT2)* 配置|回启用快速重新返接広)I启用隔离检查ig)如果服务器没有显示BH密媒定的TLV贝嘶开连接(I) 确定I飓対I图四当连摄时；监证服善器证书迪EAF 1SCEUFV2 Jg性当理接时:麟羅鬼登 5 毓叽麒消选择身份验证方法:_悭全密码(EAF-MSCHAFv2)v目己置 _|回启用快速重新连接启用隔离检查如果服务器没电显示加