Настройка FreeRADIUS для аутентификации: AD/LDAP, WPA2-Enterprise

Представьте: 50 коммутаторов, 100 точек доступа, и на каждом — отдельная база паролей. Один забытый пароль — и доступ потерян. Инженеры тратят часы на сброс, а безопасность страдает. Мы решаем эту проблему настройкой FreeRADIUS — централизованного сервера аутентификации для всех сетевых устройств. Он проверяет учётные данные через LDAP или Active Directory, избавляя от локальных паролей. Типичные сценарии: корпоративный Wi-Fi (WPA2-Enterprise), VPN-клиенты, 802.1X на портах доступа. FreeRADIUS обрабатывает до 100 000 запросов в секунду, что значительно быстрее многих коммерческих аналогов.

Сразу к делу: разберём, как настроить FreeRADIUS для централизованной аутентификации и почему это лучший выбор для вашей инфраструктуры. Недавно мы помогли компании с 500 сотрудниками перейти с локальных паролей на AD-аутентификацию за два дня — zero downtime при смене паролей и экономия до 70% на администрировании.

Какие проблемы решает FreeRADIUS?

• Разрозненное управление паролями — вместо 20 локальных баз на каждом устройстве — один RADIUS-сервер с единым справочником. Изменение пароля в AD сразу применяется ко всем сетевым сервисам: Wi-Fi, VPN, управляемые свитчи. Никакого ручного копирования.
• Отсутствие аудита подключений — Accounting фиксирует каждую сессию: кто, когда, сколько данных передал. Это позволяет отслеживать аномалии, составлять отчёты и соответствовать требованиям GDPR/ISO 27001. Экономия на лицензиях SIEM — до $15 000 в год при переходе на бесплатный стэк.
• Сложность развёртывания WPA2-Enterprise — многие компании откладывают внедрение из-за кажущейся сложности. На практике один сертификат + конфиг EAP решают проблему за день. А централизованное управление исключает риск утечки паролей через открытые сети.

Как интегрировать FreeRADIUS с Active Directory?

Рассмотрим пошаговую настройку на Ubuntu LTS. Сначала установите FreeRADIUS с модулем LDAP:

apt install freeradius freeradius-ldap freeradius-utils 

1. Добавьте NAS-клиенты — свитчи и точки доступа, указав их IP и secret:

# /etc/freeradius/3.0/clients.conf

client wifi-ap-01 {
  ipaddr = 10.0.1.50
  secret = shared_secret_here
  shortname = wifi-ap-01
  nastype = other
}

client core-switch {
  ipaddr = 10.0.0.1
  secret = switch_secret
  shortname = sw-core
  nastype = cisco
}

client network-devices {
  ipaddr = 10.0.0.0/24
  secret = net_secret
  shortname = internal-net
}

2. Настройте модуль LDAP для подключения к AD:

# /etc/freeradius/3.0/mods-available/ldap
ldap {
  server = "ldap://dc.example.com"
  identity = "CN=freeradius,OU=ServiceAccounts,DC=example,DC=com"
  password = "service_account_password"
  base_dn = "DC=example,DC=com"

  user {
    base_dn = "OU=Users,${..base_dn}"
    filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
  }

  group {
    base_dn = "OU=Groups,${..base_dn}"
    filter = "(objectClass=group)"
    membership_attribute = memberOf
  }

  tls {
    start_tls = no
  }
}

3. Добавьте авторизацию по группам AD в секцию authorize:

# /etc/freeradius/3.0/sites-available/default
authorize {
    filter_username
    preprocess
    ldap
    if (LDAP-Group == "CN=VPN-Users,OU=Groups,DC=example,DC=com") {
        update control {
            Auth-Type := LDAP
        }
    }
    else {
        reject
    }
}

Почему FreeRADIUS оптимален для WPA2-Enterprise?

Для WPA2-Enterprise используется EAP-PEAP с MSCHAPv2. Конфигурация модуля EAP требует сертификата сервера:

# /etc/freeradius/3.0/mods-enabled/eap
eap {
    default_eap_type = peap
    timer_expire = 60
    peap {
        default_eap_type = mschapv2
        copy_request_to_tunnel = yes
        use_tunneled_reply = yes
    }
    tls-config tls-common {
        private_key_file = /etc/ssl/private/radius.key
        certificate_file = /etc/ssl/certs/radius.crt
        ca_file = /etc/ssl/certs/ca.crt
        fragment_size = 1024
        include_length = yes
        check_crl = no
        cipher_list = "ECDHE+AESGCM:EDH+AESGCM"
        tls_min_version = "1.2"
    }
}

Сертификат RADIUS-сервера должен быть доверенным для клиентов (или импортирован в корпоративный CA). Иначе Windows/macOS будут спрашивать подтверждение при подключении.

Что такое RADIUS Accounting и зачем он нужен?

Accounting — это сбор данных о сессиях: время подключения, объём трафика, причина отключения. FreeRADIUS может писать логи в SQL-базу, например MySQL, или файлы detail. Это позволяет строить дашборды в Grafana и интегрироваться с SIEM.

Тестирование конфигурации

Запустите отладку: freeradius -X. Вывод покажет каждый шаг обработки. Для быстрой проверки аутентификации используйте radtest [email protected] password 127.0.0.1 0 testing123.

Сравнение FreeRADIUS и коммерческих решений

FreeRADIUS выигрывает в производительности и гибкости при нулевой стоимости лицензии. Для сравнения, лицензия Cisco ISE обходится примерно в $10 000 за сервер. Однако требуется ручная настройка — именно здесь мы помогаем.

Какие сроки настройки?

Что входит в работу

• Аудит текущей сетевой инфраструктуры
• Установка и конфигурация FreeRADIUS на вашем сервере
• Интеграция с Active Directory или LDAP
• Настройка WPA2-Enterprise с сертификатами (EAP-PEAP)
• Конфигурация NAS-клиентов (свитчи, точки доступа, VPN-шлюзы)
• Настройка Accounting и экспорт логов в SIEM
• Тестирование сценариев аутентификации и авторизации
• Создание документации (схема, инструкция для администратора, runbook)
• Обучение ваших инженеров (2 часа)

Получите консультацию — мы оценим вашу инфраструктуру и предложим оптимальное решение. Закажите настройку под ключ с полным комплектом документации.

RADIUS — протокол аутентификации, описанный в Wikipedia.