Налаштування FreeRADIUS для автентифікації: AD/LDAP, WPA2-Enterprise

Уявіть: 50 комутаторів, 100 точок доступу, і на кожному — окрема база паролів. Один забутий пароль — і доступ втрачено. Інженери витрачають години на скидання, а безпека страждає. Ми — команда з 5-річним досвідом та понад 100 успішними проектами впровадження централізованої автентифікації. Ми вирішуємо цю проблему налаштуванням FreeRADIUS — централізованого сервера автентифікації для всіх мережевих пристроїв. Він перевіряє облікові дані через LDAP або Active Directory, позбавляючи локальних паролів. Типові сценарії: корпоративний Wi-Fi (WPA2-Enterprise), VPN-клієнти, 802.1X на портах доступу. FreeRADIUS обробляє до 100 000 запитів на секунду, що в 10 разів швидше за Microsoft NPS (до 10k) і в 2 рази швидше за Cisco ISE (до 50k).

Відразу до справи: розберемо, як налаштувати FreeRADIUS для централізованої автентифікації та чому це найкращий вибір для вашої інфраструктури. Наше професійне налаштування FreeRADIUS для автентифікації AD/LDAP та WPA2-Enterprise гарантує нульовий даунтайм при зміні паролів та економію до 70% на адмініструванні. Нещодавно ми допомогли компанії з 500 співробітниками перейти з локальних паролів на AD-автентифікацію за два дні — zero downtime та економія до $15,000 на рік на ліцензіях SIEM.

Які проблеми вирішує FreeRADIUS?

• Розрізнене управління паролями — замість 20 локальних баз на кожному пристрої — один RADIUS-сервер з єдиним довідником. Зміна пароля в AD одразу застосовується до всіх мережевих сервісів: Wi-Fi, VPN, керовані комутатори. Жодного ручного копіювання.
• Відсутність аудиту підключень — Accounting фіксує кожну сесію: хто, коли, скільки даних передав. Це дозволяє відстежувати аномалії, складати звіти та відповідати вимогам GDPR/ISO 27001. Економія на ліцензіях SIEM — до $15,000 на рік при переході на безкоштовний стек.
• Складність розгортання WPA2-Enterprise — багато компаній відкладають впровадження через уявну складність. На практиці один сертифікат + конфіг EAP вирішують проблему за день. А централізоване управління виключає ризик витоку паролів через відкриті мережі.

Як інтегрувати FreeRADIUS з Active Directory?

Розглянемо покрокове налаштування на Ubuntu LTS. Спочатку встановіть FreeRADIUS з модулем LDAP:

apt install freeradius freeradius-ldap freeradius-utils 

1. Додайте NAS-клієнти — комутатори та точки доступу, вказавши їх IP та secret:

# /etc/freeradius/3.0/clients.conf
client wifi-ap-01 {
  ipaddr = 10.0.1.50
  secret = shared_secret_here
  shortname = wifi-ap-01
  nastype = other
}
client core-switch {
  ipaddr = 10.0.0.1
  secret = switch_secret
  shortname = sw-core
  nastype = cisco
}
client network-devices {
  ipaddr = 10.0.0.0/24
  secret = net_secret
  shortname = internal-net
}

2. Налаштуйте модуль LDAP для підключення до AD:

# /etc/freeradius/3.0/mods-available/ldap
ldap {
  server = "ldap://dc.example.com"
  identity = "CN=freeradius,OU=ServiceAccounts,DC=example,DC=com"
  password = "service_account_password"
  base_dn = "DC=example,DC=com"
  user {
    base_dn = "OU=Users,${..base_dn}"
    filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
  }
  group {
    base_dn = "OU=Groups,${..base_dn}"
    filter = "(objectClass=group)"
    membership_attribute = memberOf
  }
  tls {
    start_tls = no
  }
}

3. Додайте авторизацію за групами AD в секцію authorize:

# /etc/freeradius/3.0/sites-available/default
authorize {
    filter_username
    preprocess
    ldap
    if (LDAP-Group == "CN=VPN-Users,OU=Groups,DC=example,DC=com") {
        update control {
            Auth-Type := LDAP
        }
    }
    else {
        reject
    }
}

Чому FreeRADIUS оптимальний для WPA2-Enterprise?

Для WPA2-Enterprise використовується EAP-PEAP з MSCHAPv2. Конфігурація модуля EAP потребує сертифіката сервера:

# /etc/freeradius/3.0/mods-enabled/eap
eap {
    default_eap_type = peap
    timer_expire = 60
    peap {
        default_eap_type = mschapv2
        copy_request_to_tunnel = yes
        use_tunneled_reply = yes
    }
    tls-config tls-common {
        private_key_file = /etc/ssl/private/radius.key
        certificate_file = /etc/ssl/certs/radius.crt
        ca_file = /etc/ssl/certs/ca.crt
        fragment_size = 1024
        include_length = yes
        check_crl = no
        cipher_list = "ECDHE+AESGCM:EDH+AESGCM"
        tls_min_version = "1.2"
    }
}

Сертифікат RADIUS-сервера повинен бути довіреним для клієнтів (або імпортований в корпоративний CA). Інакше Windows/macOS будуть запитувати підтвердження при підключенні.

Що таке RADIUS Accounting і навіщо він потрібен?

Accounting — це збір даних про сесії: час підключення, обсяг трафіку, причина відключення. FreeRADIUS може писати логи в SQL-базу, наприклад MySQL, або файли detail. Це дозволяє будувати дашборди в Grafana та інтегруватися з SIEM.

Тестування конфігурації

Запустіть налагодження: freeradius -X. Вивід покаже кожен крок обробки. Для швидкої перевірки автентифікації використовуйте radtest [email protected] password 127.0.0.1 0 testing123.

Порівняння FreeRADIUS та комерційних рішень

FreeRADIUS виграє в продуктивності та гнучкості при нульовій вартості ліцензії. Для порівняння, ліцензія Cisco ISE обходиться приблизно в $10,000 за сервер. Однак потребує ручного налаштування — саме тут ми допомагаємо з гарантією працездатності та сертифікацією від FreeRADIUS Project.

Які терміни налаштування?

Що входить в роботу

• Аудит поточної мережевої інфраструктури
• Встановлення та конфігурація FreeRADIUS на вашому сервері
• Інтеграція з Active Directory або LDAP
• Налаштування WPA2-Enterprise з сертифікатами (EAP-PEAP)
• Конфігурація NAS-клієнтів (комутатори, точки доступу, VPN-шлюзи)
• Налаштування Accounting та експорт логів в SIEM
• Тестування сценаріїв автентифікації та авторизації
• Створення документації (схема, інструкція для адміністратора, runbook)
• Навчання ваших інженерів (2 години)

Отримайте консультацію — ми оцінимо вашу інфраструктуру та запропонуємо оптимальне рішення. Замовте налаштування під ключ з повним комплектом документації. Ми надаємо гарантію працездатності та безкоштовну підтримку протягом 30 днів після впровадження.

RADIUS — протокол автентифікації, описаний в Wikipedia.