přejít na obsah přejít na navigaci

Linux E X P R E S, FreeRADIUS server – základní konfigurace

FreeRADIUS server – základní konfigurace

freeradius_logo100.png

V minulém díle jste se mohli dozvědět, jak pracuje FreeRADIUS server, jak ho nainstalovat a jaké další balíčky jsou k dispozici. Dnes se podíváme na základní konfiguraci, konfigurace oddílu listen a oddílu clients.


reklama

FreeRADIUS server je již ve svém základu nakonfigurován k funkčnímu běhu. Konfigurace je k nalezení v souboru /etc/freeradius/radiusd.conf. Celá konfigurace je kompletně okomentovaná, a proto není problém se v ní vyznat. V první části konfigurace je definice umístění důležitých souborů. V této části se nedoporučuje konfiguraci měnit, pokud vše funguje v pořádku.

Další důležitý parametr je max_request_time. Ten je defaultně nastavený na 30 sekund. Je to maximální doba na obsloužení požadavku. Většina požadavku je obsloužena do jedné sekundy, ale při vyšším zatížení může trvat déle. Pokud je překročena tato doba, znamená to bug v serveru, nebo špatnou lokální konfiguraci.

Parametr cleanup_delay určuje, za jakou dobu se smaže požadavek, a odpověď serveru na dotaz NASu. Pokud FreeRADIUS pošle odpověď NASu a cestou se ztratí, NAS pošle požadavek ještě jednou. FreeRADIUS pak již nemusí odpověď znovu sestavovat.

Dalším důležitým parametrem je max_request. Tento parametr určuje, kolik maximálně požadavků si pamatuje. Tento parametr je dobré mít dobře vyvážený. Pokud je nastavený na příliš malé číslo, tak se může stát, že při vyšším vytížení se dřív zavolá cleanup_delay a požadavky se smažou. Při příliš velkém číslu roste paměťová náročnost bez toho, aniž by to mělo vliv na vyváženou funkci. Doporučuje se nastavit tento parametr na 256 až 1 000 na klienta (NAS).

Dále existuje několik oddílů konfigurace:

  • listen – určuje, na jakých IP adresách má poslouchat, na jakých rozhraních a jaké služby FreeRADIUS serveru má obsluhovat (autentizace, účtování).
  • log – nastavení, jakým způsobem se mají uchovávat logy, co se má logovat.
  • security – existuje několik způsobů útoků na server. V tomto oddíle se konfigurují parametry, které určují základní bezpečnost a minimalizují možnosti útoku na FreeRADIUS server.
  • proxy – tento oddíl je většinou definovaný mimo hlavní konfigurační soubor, a to v souboru proxy.conf. Zde jde definovat několik „home serverů“, které slouží pro rozložení zátěže na jiné FreeRADIUS servery a pro případ selhání místního serveru.
  • clients – konfigurace klientů. Tato část bývá oddělena a uložena v souboru /etc/freeradius/clients.conf. V této části jsou definovány klientské NAS, jejich IP rozsah a sdílené heslo.
  • thread pool – v tomto oddíle lze konfigurovat využití vláken při zpracování požadavků. Pokud je nastaveno použití mnoha vláken, zatěžuje to výpočetní výkon počítače. Pokud je jich naopak málo, tak se další vlákno sice vytvoří, ale tento proces trochu zpozdí zpracování. Ve výchozí konfiguraci je tato část nastavena tak, aby FreeRADIUS fungoval skvěle při různých situacích.
  • modules – pokud je potřeba konfigurovat nějaké přídavné moduly, děje se to právě v tomto oddíle. Většina konfigurací modulů se nachází v podadresáři /etc/freeradius/modules. Výjimku tvoří modul SQL a EAP, jejichž konfigurace se nachází v /etc/freeradius. Moduly se načítají pouze tehdy, pokud jsou vyžádány v sekci authorize, authenticate, accounting atd...
  • instantiate – v tomto oddíle se načítají moduly zde uvedené. Tyto moduly se načtou do paměti a inicializují. Tento oddíl v podstatě není nutný, neboť se moduly mohou inicializovat i v dalších oddílech. Nicméně lze tento způsob inicializace modulů použít v případě, že jeden modul závisí na druhém, protože zde je možnost ovlivnit pořadí jejich načítání.


Konfigurace části listen

Tato část konfigurace je důležitá na zařízeních s více rozhraními. Příklad konfigurace:

listen {
    ipaddr = 10.13.70.1
    port = 1812
    type = auth
    virtual_server = server_ucitele
}
listen {
    ipaddr = 10.13.90.1
    port = 1812
    type = auth
    virtual_server = server_zaci
}

Za parametrem ipaddr následuje IPv4 adresa, na které FreeRADIUS naslouchá. Obdobně existuje i parametr ipv6addr pro protokol IPv6. Parametr port určuje port, na kterém server naslouchá. Obvykle to bývá 1812 pro autorizaci a 1813 pro účtování. Pokud bude uvedena hodnota 0, užívá se defaultní hodnota 1812.

Parametr type určuje typ přijímaných paketů. Pro autentizaci je hodnota auth a pro účtování je acct. FreeRADIUS server umí vytvářet i další virtuální servery. Parametr virtual_server určuje, jaký virtuální server bude obsluhovat danou konfiguraci (IP adresa, port, typ paketů). Virtuální server v podání FreeRADIUSu je v podstatě série různých konfiguračních souborů. Parametr virtual_server nemusí být obsažen. Tehdy se použije virtuální server se jménem default.

Konfigurace klientů

Nejčastějším klientem FreeRADIUS serveru je access point, ale může se jednat i o jiné zařízení, jako je třeba switch. Konfigurace klientů (nebo NAS) je uložena v souboru /etc/freeradius/clients.conf. Konfigurovat lze klienty jednotlivě nebo všechny z jednoho rozsahu najednou:

client 192.168.2.0/24 {
    secret = tajneheslo
    shortname = WiFi
    nastype = other
    login = !root
}

Tato část konfigurace přísluší všem klientům (NASům) z rozsahu 192.168.2.0/24. Nejdůležitější je položka secret, která určuje sdílené heslo, které slouží pro zašifrování a podepsání komunikace PPP tunelem s FreeRADIUS serverem. Autoři serveru doporučují heslo o délce větší než 8 znaků a menší než 16 znaků. Položka shortname je důležitá pro logování. Pomocí položky nastype určujeme druh dialektu, kterým komunikuje NAS s FreeRADIUS serverem. Pro základní komunikaci bude fungovat jakýkoliv typ, ale problém nastane třeba při použití parametru Simultaneous-use v konfiguraci uživatelů.

V příštím díle se seznámíme s nastavením autentizace pomocí protokolu EAP a podíváme se na způsob ukládání uživatelských údajů v souboru.

Nahoru

(Jako ve škole)
Průměr: 1,67 | Hodnotilo: 3
 

Top články z OpenOffice.cz

Příspěvky

FreeRADIUS server – základní konfigurace
Tomáš Jurman 23. 02. 2016, 09:24:24
Odpovědět  Odkaz 
Super článek! Díky. Těším se na pokračování.
FreeRADIUS server – základní konfigurace
PD 24. 02. 2016, 12:50:06
Odpovědět  Odkaz 
V článku se píše, že je hned po instalaci funkční. Mě ale vůbec nenastartuje:

Rozbaluje se freeradius (2.2.5+dfsg-0.2) …
Zpracovávají se spouštěče pro balík systemd (215-17+deb8u3) …
Nastavuje se balík freeradius (2.2.5+dfsg-0.2) …
update-rc.d: warning: start and stop actions are no longer supported; falling back to defaults
grep: /etc/freeradius/radiusd.conf: Adresář nebo soubor neexistuje
Job for freeradius.service failed. See 'systemctl status freeradius.service' and 'journalctl -xn' for details.
invoke-rc.d: initscript freeradius, action "start" failed.
Zpracovávají se spouštěče pro balík systemd (215-17+deb8u3) …

Linux server 3.16.0-4-686-pae #1 SMP Debian 3.16.7-ckt20-1+deb8u3 (2016-01-17) i686 GNU/Linux
Re: FreeRADIUS server – základní konfigurace
Jindřich Michal 26. 02. 2016, 11:40:46
Odpovědět  Odkaz 
Mám odzkoušeno na starší verzi Debianu - Wheezy, bez Systemd. Podle tohoto výpisu to vypadá, že vám chybí soubor /etc/freeradius/radiusd.conf. Tento soubor je obsažen v balíčku freeradius-common, který u veden v závislostech balíčku freeradius (informace podle https://packages.debian.org/jessie/freeradius). Zkusím se na to podívat.

Přidat názor

Nejsou podporovány žádné značky, komentáře jsou jen čistě textové. Více o diskuzích a pravidlech najdete v nápovědě.
Diskuzi můžete sledovat pomocí RSS kanálu rss



 
 

Jindřich Michal


  • Distribuce: Kubuntu
  • Grafické prostředí: KDE
  • Hodnocení autora: *