35.5. 配置 FreeRADIUS 以验证使用 EAP 保护的网络客户端

流程

1. 如果带有 Diffie-Hellman(DH)参数的 /etc/raddb/certs/dh 不存在，就创建一个。例如，要创建带有 2048 位素数的 DH 文件，请输入：

   # openssl dhparam -out /etc/raddb/certs/dh 2048

   为了安全起见，请不要使用小于 2048 位素数的 DH 文件。根据位数，文件的创建可能需要几分钟。

2. 使用 DH 参数对 TLS 私钥、服务器证书、CA 证书和文件设置安全权限：

   # chmod 640 /etc/raddb/certs/server.key /etc/raddb/certs/server.pem /etc/raddb/certs/ca.pem /etc/raddb/certs/dh
   # chown root:radiusd /etc/raddb/certs/server.key /etc/raddb/certs/server.pem /etc/raddb/certs/ca.pem /etc/raddb/certs/dh

3. 编辑 /etc/raddb/mods-available/eap 文件：

   1. 在 private_key_password 参数中设置私钥的密码：

      eap {
          ...
          tls-config tls-common {
              ...
              private_key_password = key_password
              ...
          }
      }

   2. 根据您的环境，将 eap 指令中的 default_eap_type 参数设为您使用的主要 EAP 类型：

      eap {
          ...
          default_eap_type = ttls
          ...
      }

      对于安全环境，请仅使用 ttls、tls 或 peap。

   3. 注释掉 md5 指令，以禁用不安全的 EAP-MD5 身份验证方法：

      eap {
          ...
          # md5 {
          # }
          ...
      }

      请注意，在默认的配置文件中，其他不安全的 EAP 身份验证方法默认被注释掉了。

4. 编辑 /etc/raddb/sites-available/default 文件，然后注释掉 eap 以外的所有身份验证方法：

   authenticate {
       ...
       # Auth-Type PAP {
       #     pap
       # }
   
       # Auth-Type CHAP {
       #     chap
       # }
   
       # Auth-Type MS-CHAP {
       #     mschap
       # }
   
       # mschap
   
       # digest
       ...
   }

   这使 EAP 只为外部身份验证启用，并禁用了纯文本身份验证方法。

5. 编辑 /etc/raddb/clients.conf 文件：

   1. 在 localhost 和 localhost_ipv6 客户端指令中设置安全密码：

      client localhost {
          ipaddr = 127.0.0.1
          ...
          secret = localhost_client_password
          ...
      }
      
      client localhost_ipv6 {
          ipv6addr = ::1
          secret = localhost_client_password
      }

   2. 为网络认证方添加客户端指令：

      client hostapd.example.org {
          ipaddr = 192.0.2.2/32
          secret = hostapd_client_password
      }

   3. 可选：如果其他主机也应该能够访问 FreeRADIUS 服务，请也为它们添加客户端指令，例如：

      client <hostname_or_description> {
          ipaddr = <IP_address_or_range>
          secret = <client_password>
      }

      ipaddr 参数接受 IPv4 和 IPv6 地址，您可以使用可选的无类别域间路由(CIDR)表示法来指定范围。但是，在这个参数中您只能设置一个值。例如，要授予对 IPv4 和 IPv6 地址的访问权限，您必须添加两个客户端指令。

      为客户端指令使用一个描述性名称，如主机名或一个描述 IP 范围在哪里使用的词语。

6. 如果要使用 EAP-TTLS 或 EAP-PEAP，请将用户添加到 /etc/raddb/users 文件中：

   example_user        Cleartext-Password := "user_password"

   对于应使用基于证书的身份验证(EAP-TLS)的用户，不要添加任何条目。

7. 验证配置文件：

   # radiusd -XC
   ...
   Configuration appears to be OK

8. 在 firewalld 服务中打开 RADIUS 端口：

   # firewall-cmd --permanent --add-service=radius
   # firewall-cmd --reload

9. 启用并启动 radiusd 服务：

   # systemctl enable --now radiusd

故障排除

1. 停止 radiusd 服务：

   # systemctl stop radiusd

2. 以 debug 模式启动该服务：

   # radiusd -X
   ...
   Ready to process requests

3. 在 FreeRADIUS 主机上执行验证测试，如 验证 部分中所述。