« FreeRadius » : différence entre les versions
| Ligne 158 : | Ligne 158 : | ||
$INCLUDE sql.conf | $INCLUDE sql.conf | ||
* Et enfin dans le fichier '''/etc/freeradius/sites-enabled/default''' décommenter les lignes contenant le terme '''sql'''. | * Et enfin dans le fichier '''/etc/freeradius/sites-enabled/default''' il faut décommenter toutes les lignes contenant le terme '''sql'''. | ||
== Création d'un utilisateur == | == Création d'un utilisateur == | ||
Version du 30 août 2011 à 23:54
Présentation
FreeRadius (Remote Authentication Dial-In User Service) est un serveur Radius libre sous license BSD soutenu par la société Network Radius SARL. Le protocol RADIUS permet de centraliser les informations d'authentification des utilisateurs. Ces informations sont stockées dans une base de données. Elles sont sollicitées lorsque le client (l'utilisateur) tente d'établir une session. La requête est alors transmise à un serveur (client) qui soumet la requête d'authentification au serveur radius central. Cet exemple peut être illustré avec les réseaux wifi de grande envergure. Les utilisateurs sont stockés dans la base de données du serveur radius. L'opérateur dispose de plusieurs points d'accès pour proposer son service sans fil. Lorsqu'un client se connecte avec ses identifiants, ces derniers sont soumis à la borne wifi. Cette dernière transmet la requête d'authentification au serveur RADIUS central qui répond favorablement ou non à la requête initiale.
Installation
- Le logiciel serveur FreeRadius est disponible dans les dépôts Ubuntu. Pour l'installer il suffit de lancer la commande suivante :
|
|
|
clients.conf
Le fichier clients.conf contient la liste des machines autorisées à transmettre une requête d'authentification au serveur RADIUS. Par défaut, le serveur est aussi un client RADIUS et on retrouve ces quelques lignes dans le fichier :
client localhost {
secret = testing123
ipaddr = 127.0.0.1
nastype = other
}
Si une autre machine - comme un point d'accès par exemple - est amené à transmettre des requêtes au serveur RADIUS, il faudra au préalable le renseigner dans le fichier clients.conf et définir un secret partagé. Dans notre cas le point d'accès dispose d'une IP fixe qui est 10.0.0.110 :
client 10.0.0.110 {
secret = secretpartage
ipaddr = 10.0.0.110
nastype = other
}
Module MySQL
Installation du module
Ce module permettra de renseigner directement dans la base de données les clients et utilisateurs RADIUS au lieu d'éditer les fichier clients.conf et users. Au préalable on créera sur le serveur MySQL une base de données dédiée à freeradius.
- Voici la liste des tables SQL a créer dans la base de données nouvellement crée :
CREATE TABLE radacct ( radacctid bigint(21) NOT NULL auto_increment, acctsessionid varchar(64) NOT NULL default , acctuniqueid varchar(32) NOT NULL default , username varchar(64) NOT NULL default , groupname varchar(64) NOT NULL default , realm varchar(64) default , nasipaddress varchar(15) NOT NULL default , nasportid varchar(15) default NULL, nasporttype varchar(32) default NULL, acctstarttime datetime NULL default NULL, acctstoptime datetime NULL default NULL, acctsessiontime int(12) default NULL, acctauthentic varchar(32) default NULL, connectinfo_start varchar(50) default NULL, connectinfo_stop varchar(50) default NULL, acctinputoctets bigint(20) default NULL, acctoutputoctets bigint(20) default NULL, calledstationid varchar(50) NOT NULL default , callingstationid varchar(50) NOT NULL default , acctterminatecause varchar(32) NOT NULL default , servicetype varchar(32) default NULL, framedprotocol varchar(32) default NULL, framedipaddress varchar(15) NOT NULL default , acctstartdelay int(12) default NULL, acctstopdelay int(12) default NULL, xascendsessionsvrkey varchar(10) default NULL, PRIMARY KEY (radacctid), KEY username (username), KEY framedipaddress (framedipaddress), KEY acctsessionid (acctsessionid), KEY acctsessiontime (acctsessiontime), KEY acctuniqueid (acctuniqueid), KEY acctstarttime (acctstarttime), KEY acctstoptime (acctstoptime), KEY nasipaddress (nasipaddress) ) ; CREATE TABLE radcheck ( id int(11) unsigned NOT NULL auto_increment, username varchar(64) NOT NULL default , attribute varchar(64) NOT NULL default , op char(2) NOT NULL DEFAULT '==', value varchar(253) NOT NULL default , PRIMARY KEY (id), KEY username (username(32)) ) ; CREATE TABLE radgroupcheck ( id int(11) unsigned NOT NULL auto_increment, groupname varchar(64) NOT NULL default , attribute varchar(64) NOT NULL default , op char(2) NOT NULL DEFAULT '==', value varchar(253) NOT NULL default , PRIMARY KEY (id), KEY groupname (groupname(32)) ) ; CREATE TABLE radgroupreply ( id int(11) unsigned NOT NULL auto_increment, groupname varchar(64) NOT NULL default , attribute varchar(64) NOT NULL default , op char(2) NOT NULL DEFAULT '=', value varchar(253) NOT NULL default , PRIMARY KEY (id), KEY groupname (groupname(32)) ) ; CREATE TABLE radreply ( id int(11) unsigned NOT NULL auto_increment, username varchar(64) NOT NULL default , attribute varchar(64) NOT NULL default , op char(2) NOT NULL DEFAULT '=', value varchar(253) NOT NULL default , PRIMARY KEY (id), KEY username (username(32)) ) ; CREATE TABLE radusergroup ( username varchar(64) NOT NULL default , groupname varchar(64) NOT NULL default , priority int(11) NOT NULL default '1', KEY username (username(32)) ) ; CREATE TABLE radpostauth ( id int(11) NOT NULL auto_increment, username varchar(64) NOT NULL default , pass varchar(64) NOT NULL default , reply varchar(32) NOT NULL default , authdate timestamp NOT NULL, PRIMARY KEY (id) ) ; CREATE TABLE nas ( id int(10) NOT NULL auto_increment, nasname varchar(128) NOT NULL, shortname varchar(32), type varchar(30) DEFAULT 'other', ports int(5), secret varchar(60) DEFAULT 'secret' NOT NULL, server varchar(64), community varchar(50), description varchar(200) DEFAULT 'RADIUS Client', PRIMARY KEY (id), KEY nasname (nasname) );
| Les fichiers de commandes sont stockées dans le dossier /etc/freeradius/sql/mysql. Il s'agit ici des fichiers schema.sql et nas.sql. |
- Pour que FreeRadius interroge la base de données MySQL, il faut adapter le fichier de configuration sql.conf qui regroupe les informations de connexion au serveur :
sql {
database = "mysql"
driver = "rlm_sql_${database}"
server = "<ip_server>"
login = "<login>"
password = "<mot_de_passe>"
radius_db = "<nom_de_la_base_mysql>"
[...]
}
- Dans le fichier /etc/freeradius/radiusd.conf il faut également décommenter la ligne suivantes :
$INCLUDE sql.conf
- Et enfin dans le fichier /etc/freeradius/sites-enabled/default il faut décommenter toutes les lignes contenant le terme sql.
Création d'un utilisateur
Les utilisateurs sont définis dans la table radcheck. Ici, nous allons créer l'utilisateur test qui a pour mot de passe 123 :
INSERT INTO `freeradius`.`radcheck` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'Cleartext-Password', ':=', '123' );
|
|
La colonne op doit contenir l'opérateur ':='et non '==' ! |
Vérification
- Pour vérifier le fonctionnement du serveur radius, il faut d'abord arrêter ce dernier si il a été démarré :
|
|
|
- Ensuite sur le même terminal, on exécute FreeRadius en mode débogueur pour voir en temps réel les requêtes qui lui sont soumises :
|
|
|
- Puis dans un second terminal on va tester l'authentification de l'utilisateur test avec son mot de passe 123 :
|
|
|
- Dans ce même terminal on observe immédiatement la réponse suivante :
|
|
|
- Tandis que sur le premier terminal on obtient en détail la requête et sa résolution par le serveur :
|
|
|