Установка Freeradius 3 на FreeBSD

Всем доброго времени!

Рано или поздно приходит понимание, что один пароль для авторизации на Wi-Fi точке это не совсем правильно, исключение домашний Wi-Fi роутер, да и то не всегда.
Люди приходят и уходят, вместе с ними уходят пароли, что кране нехорошо для безопасности.
Можно конечно менять пароль с увольнением сотрудника и заново всем его раздавать, но согласитесь, если клиентов больше 10…. так себе занятие.
Решил поделиться с вами рабочим рецептом авторизации пользователей через Radius сервер т.е. каждый пользователь в такой схеме будет иметь свой логин и пароль.
Статья будет в двух частях, в этой статье рассмотрим установку и первоначальную настройку Freeradius3 с хранением клиентов в текстовом файле.
Во второй части прикрутим хранение в MySQL + WebGUI для администрирования.
Дано:

FreeBSD 11.2
IP адрес 10.200.6.20
Asus rt16-n с ip адресом 10.200.6.16

Ставить будем из портов.
Первом делом обновляем порты:

# portsnap fetch update

# /usr/ports/net/freeradius3
# make config

В config установки отмечаем использование MySQL
([X] MYSQL MySQL database support)

# make install clean

Переходим к настройке:

cd /usr/local/etc/raddb/

В рамках этой статьи нас интересуют всего два конфигурационных файла:

clients.conf — файл в котором мы будем описывать откуда можно подключаться к нашему серверу
users — в этом файле мы будем хранить самих пользователей

Разрешим нашему роутеру подключаться к Radius серверу, допишем в конце clients.conf

# vi /usr/local/etc/raddb/clients.conf
client asus {
        ipaddr = 10.200.6.16
        secret = 12345678
}

Если в вашей сети несколько устройств, чтобы каждое не описывать, то сеть можно указать с маской как ipaddr = 10.200.6.0/24

Заведем для теста пользователя:

# vi /usr/local/etc/raddb/users
vladimir   Cleartext-Password := "12345678"
           Service-Type = Login-User,
            Login-IP-Host = 0.0.0.0

Для теста запустим в консоли:

# radiusd -X

Откроем новую сессию в терминале и проверим ответ нашего сервера:

[shell]echo User-Name='vladimir',User-Password='12345678' | radclient -c '1' -n '3' -r '3' -t '3' -x 'localhost:1812' 'auth' 'testing123'[/shell]

Пароль на подключение указываем не тот который указали в clients.conf, а используем тестовый пароль(testing123), который есть в clients.conf по умолчанию у клиента localhost

Должны получить вывод:
<pre class="lang:sh decode:true">Sent Access-Request Id 141 from 0.0.0.0:38791 to 127.0.0.1:1812 length 44
User-Name = "vladimir"
User-Password = "12345678"
Cleartext-Password = "12345678"
Received Access-Accept Id 141 from 127.0.0.1:1812 to 127.0.0.1:38791 length 32
Service-Type = Login-User
Login-IP-Host = 0.0.0.0

Из него видно, что мы послали запрос и получили ответ.

Гасим наш экземпляр freeradius (в консоли где он запущен Ctrl+c)

Разрешаем запуск :

echo radiusd_enable=\"YES\" >> /etc/rc.conf

Запускаем:

# /usr/local/etc/rc.d/radiusd start

Настраиваем Wi-Fi роутер

В Asus это:
Беспроводная сеть > Настройка RADIUS где указываем:

IP-адрес сервера: 10.200.6.20 (Ваш RADIUS сервер)
Порт сервера: 1812
Ключ соединения — 12345678 (то что мы указали в clients.conf)

Беспроводная сеть > Общие:
Метод проверки подлинности — WPA2-Enerprise

Жмем ПРИМЕНИТЬ и пробуем подсоединиться к wi-fi точке с именем и паролем, который указали в файле users.

Должно все получится, если не получается — прочитайте пожалуйста еще раз внимательно.

P.S.

Для дебага гасите экземпляр FreeRADIUS

# /usr/local/etc/rc.d/radiusd stop

И запускайте в консоли и читайте вывод

# radiusd -X

При написании этой статьи параллельно устанавливал и настраивал FreeRADIUS 3 и смог авторизоваться на wi-fi роутере с моей парой логин-пароля.

Для любителей Linux (Ubuntu, Debian….) можно так же воспользоваться этой статью, разница только в установке и местоположения конфигов, так же проверял установку — работает