FreeRadius
Présentation
FreeRadius (Remote Authentication Dial-In User Service) est un serveur Radius libre sous license BSD soutenu par la société Network Radius SARL. Le protocol RADIUS permet de centraliser les informations d'authentification des utilisateurs. Ces informations sont stockées dans une base de données. Elles sont sollicitées lorsque le client (l'utilisateur) tente d'établir une session. La requête est alors transmise à un serveur (client ou nas) qui soumet la requête d'authentification au serveur radius central. Cet exemple peut être illustré avec les réseaux wifi de grande envergure. Les utilisateurs sont stockés dans la base de données du serveur radius. L'opérateur dispose de plusieurs points d'accès pour proposer son service sans fil. Lorsqu'un client se connecte avec ses identifiants, ces derniers sont soumis à la borne wifi. Cette dernière transmet la requête d'authentification au serveur RADIUS central qui répond favorablement ou non à la requête initiale.
Installation
- Le logiciel serveur FreeRadius est disponible dans les dépôts Ubuntu. Pour l'installer il suffit de lancer la commande suivante :
|
|
|
clients.conf
Le fichier clients.conf contient la liste des machines autorisées (aussi appelés NAS) à transmettre une requête d'authentification au serveur RADIUS. Par défaut, le serveur est aussi un client RADIUS et on retrouve ces quelques lignes dans le fichier :
client localhost {
secret = testing123
ipaddr = 127.0.0.1
nastype = other
}
Si une autre machine - comme un point d'accès par exemple - est amené à transmettre des requêtes au serveur RADIUS, il faudra au préalable le renseigner dans le fichier clients.conf et définir un secret partagé. Dans notre cas le point d'accès dispose d'une IP fixe qui est 10.0.0.110 :
client 10.0.0.110 {
secret = secretpartage
ipaddr = 10.0.0.110
nastype = other
}
Module MySQL
Installation du module
Ce module permet de gérer directement les utilisateurs FreeRadius dans une base de données MySQL.
|
|
Nous considérons qu'à ce stade vous disposez d'une base de données pleinement fonctionnelle sur laquelle une base de données et un utilisateur nommé freeradius ont été crées. |
- Importer le fichier de commandes MySQL nommé schema.sql se situant sous /etc/freeradius/3.0/mods-config/sql/main/mysql/. Il s'agit ici du fichier schema.sql. :
|
|
|
- Pour que FreeRadius interroge la base de données MySQL, il faut adapter le fichier de configuration /etc/freeradius/3.0/mods-available/sql qui regroupe les informations de connexion au serveur :
sql {
driver = "rlm_sql_mysql"
dialect = "mysql"
server = "<ip_server>"
login = "<login>"
password = "<mot_de_passe>"
radius_db = "<nom_de_la_base_mysql>"
[...]
}
- Pour rendre le module actif, il faut place un lien vers le fichier de configuration depuis le répertoire /etc/freeradius/3.0/mods-enabled/ :
|
|
|
- Et enfin dans le fichier /etc/freeradius/3.0/sites-enabled/default il faut décommenter toutes les lignes contenant le terme sql.
Création d'un utilisateur
Les utilisateurs sont définis dans la table radcheck. Ici, nous allons créer l'utilisateur test qui a pour mot de passe 123 :
INSERT INTO `freeradius`.`radcheck` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'Cleartext-Password', ':=', '123' );
|
|
La colonne op doit contenir l'opérateur ':='et non '==' ! |
Vérification
- Pour vérifier le fonctionnement du serveur radius, il faut d'abord arrêter ce dernier si il a été démarré :
|
|
|
- Ensuite sur le même terminal, on exécute FreeRadius en mode débogueur pour voir en temps réel les requêtes qui lui sont soumises :
|
|
|
- Puis dans un second terminal on va tester l'authentification de l'utilisateur test avec son mot de passe 123 :
|
|
|
- Dans ce même terminal on observe immédiatement la réponse suivante :
|
|
|
- Tandis que sur le premier terminal on obtient en détail la requête et sa résolution par le serveur :
|
|
|
Module counter
Rôle
Ce module permet d'appliquer des restrictions de durée aux sessions des utilisateurs.
Activation
- Pour rendre le module actif, il faut place un lien vers le fichier de configuration depuis le répertoire /etc/freeradius/3.0/mods-enabled/ :
|
|
|
- Il faut définir dans le fichier /etc/freeradius/dictionary RADIUS les attribus Max-All-Session, Max-Daily-Session et Max-Monthly-Session :
ATTRIBUTE Max-All-Session 3000 integer ATTRIBUTE Max-Daily-Session 3001 integer ATTRIBUTE Max-Monthly-Session 3002 integer
- Ensuite il faut déclarer les fonctions définies dans le fichier /etc/freeradius/sql/mysql/counter.conf noresetcounter, dailycounter, monthlycounter dans le fichier de configuration /etc/freeradius/sites-enabled/default en les ajoutant à la section authorize comme ceci :
/etc/freeradius/sites-enabled/default dans la section authorize
authorize {
[...]
pap
noresetcounter
dailycounter
monthlycounter
}
Utilisation
- Pour limiter à 1 heure par jour la session utilisateur de test on ajoute dans la table radcheck l’attribue Max-Daily-Session avec pour valeur 3600 :
INSERT INTO `freeradius`.`radcheck` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'Max-Daily-Session', ':=', '3600' );
- Pour limiter à 31 heure par mois la session utilisateur de test on ajoute dans la table radcheck l’attribue Max-Monthly-Session avec pour valeur 111600 :
INSERT INTO `freeradius`.`radcheck` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'Max-Monthly-Session', ':=', '111600' );
- Pour limiter à 24 heure d'utilisation la session utilisateur de test on ajoute dans la table radcheck l’attribue Max-All-Session avec pour valeur 86400 :
INSERT INTO `freeradius`.`radcheck` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'Max-All-Session', ':=', '86400' );
Limiter la bande passante
Dowload
- Pour limiter la vitesse de téléchargement d'un utilisateur, il faut ajouter dans la table radreply un enregistrement avec comme attribue WISPr-Bandwidth-Max-Down et comme valeur le seuil de la vitesse de téléchargement exprimé en bps. Par exemple, on souhaite limiter la vitesse de téléchargement de l'utilisateur test à 256 kbps :
INSERT INTO `freeradius`.`radreply` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'WISPr-Bandwidth-Max-Down', '=', '256000' );
|
|
La colonne op a pour valeur ici '=' et non := comme précédemment ! |
Upload
- Pour limiter la vitesse d'envoi de données d'un utilisateur (transfert de fichiers par exemple, VoIP, ...), il faut ajouter dans la table radreply un enregistrement avec comme attribue WISPr-Bandwidth-Max-Up et comme valeur le seuil de la vitesse de téléchargement exprimé en bps. Par exemple, on souhaite limiter la vitesse d'envoi de données de l'utilisateur test à 128 kbps :
INSERT INTO `freeradius`.`radreply` ( `id` , `username` , `attribute` , `op` , `value` ) VALUES ( NULL , 'test', 'WISPr-Bandwidth-Max-Up', '=', '128000' );