17.5. Configuration de FreeRADIUS pour authentifier les clients du réseau en toute sécurité à l'aide d'EAP

Procédure

1. Si le site /etc/raddb/certs/dh avec les paramètres Diffie-Hellman (DH) n'existe pas, créez-en un. Par exemple, pour créer un fichier DH avec une primauté de 2048 bits, entrez :

   # openssl dhparam -out /etc/raddb/certs/dh 2048

   Copy to Clipboard

   Pour des raisons de sécurité, n'utilisez pas un fichier DH avec moins de 2048 bits. Selon le nombre de bits, la création du fichier peut prendre plusieurs minutes.

2. Définissez des autorisations sécurisées pour la clé privée TLS, le certificat du serveur, le certificat de l'autorité de certification et le fichier contenant les paramètres DH :

   # chmod 640 /etc/raddb/certs/server.key /etc/raddb/certs/server.pem /etc/raddb/certs/ca.pem /etc/raddb/certs/dh
   # chown root:radiusd /etc/raddb/certs/server.key /etc/raddb/certs/server.pem /etc/raddb/certs/ca.pem /etc/raddb/certs/dh

   Copy to Clipboard

3. Modifiez le fichier /etc/raddb/mods-available/eap:

   1. Définissez le mot de passe de la clé privée dans le paramètre private_key_password:

      eap {
          ...
          tls-config tls-common {
              ...
              private_key_password = key_password
              ...
          }
      }

      Copy to Clipboard

   2. En fonction de votre environnement, définissez le paramètre default_eap_type de la directive eap en fonction du type d'EAP primaire que vous utilisez :

      eap {
          ...
          default_eap_type = ttls
          ...
      }

      Copy to Clipboard

      Pour un environnement sécurisé, utilisez uniquement ttls, tls ou peap.

   3. Commentez les directives md5 pour désactiver la méthode d'authentification non sécurisée EAP-MD5 :

      eap {
          ...
          # md5 {
          # }
          ...
      }

      Copy to Clipboard

      Notez que, dans le fichier de configuration par défaut, les autres méthodes d'authentification EAP non sécurisées sont commentées par défaut.

4. Modifiez le fichier /etc/raddb/sites-available/default et mettez en commentaire toutes les méthodes d'authentification autres que eap:

   authenticate {
       ...
       # Auth-Type PAP {
       #     pap
       # }
   
       # Auth-Type CHAP {
       #     chap
       # }
   
       # Auth-Type MS-CHAP {
       #     mschap
       # }
   
       # mschap
   
       # digest
       ...
   }

   Copy to Clipboard

   Seule l'option EAP est activée et les méthodes d'authentification en texte clair sont désactivées.

5. Modifiez le fichier /etc/raddb/clients.conf:

   1. Définissez un mot de passe sécurisé dans les directives client localhost et localhost_ipv6:

      client localhost {
          ipaddr = 127.0.0.1
          ...
          secret = client_password
          ...
      }
      
      client localhost_ipv6 {
          ipv6addr = ::1
          secret = client_password
      }

      Copy to Clipboard

   2. Si des clients RADIUS, tels que des authentificateurs de réseau, sur des hôtes distants doivent pouvoir accéder au service FreeRADIUS, ajoutez les directives client correspondantes pour eux :

      client hostapd.example.org {
          ipaddr = 192.0.2.2/32
          secret = client_password
      }

      Copy to Clipboard

      Le paramètre ipaddr accepte les adresses IPv4 et IPv6, et vous pouvez utiliser la notation facultative CIDR (classless inter-domain routing) pour spécifier des plages. Toutefois, vous ne pouvez définir qu'une seule valeur pour ce paramètre. Par exemple, pour accorder l'accès à une adresse IPv4 et IPv6, ajoutez deux directives client.

      Utilisez un nom descriptif pour la directive client, tel qu'un nom d'hôte ou un mot décrivant l'endroit où la plage IP est utilisée.

6. Si vous souhaitez utiliser EAP-TTLS ou EAP-PEAP, ajoutez les utilisateurs au fichier /etc/raddb/users:

   example_user        Cleartext-Password := "user_password"

   Copy to Clipboard

   Pour les utilisateurs qui doivent utiliser l'authentification par certificat (EAP-TLS), n'ajoutez aucune entrée.

7. Vérifier les fichiers de configuration :

   # radiusd -XC
   ...
   Configuration appears to be OK

   Copy to Clipboard

8. Activez et démarrez le service radiusd:

   # systemctl enable --now radiusd

   Copy to Clipboard

Résolution de problèmes

1. Arrêtez le service radiusd:

   # systemctl stop radiusd

   Copy to Clipboard

2. Démarrer le service en mode débogage :

   # radiusd -X
   ...
   Ready to process requests

   Copy to Clipboard
3. Effectuer les tests d'authentification sur l'hôte FreeRADIUS, comme indiqué dans la section Verification.