发表于:

FreeRadius+AD集成认证环境

由于公司VPN服务器需要接入AD统一认证，VPN服务对AD的原生支持不是很好，所以基于FreeRadius搭了一套与AD集成的认证环境

1. 基础环境准备

  • AD域服务器：172.16.20.11/12 （transwarp.io）

  • Radius服务器：172.16.30.199 （CentOS7.6）

编辑/etc/hosts文件，为本机添加域名和别称，确保本机dns可以ping通域控服务器

172.16.30.199  rdtest.transwarp.io centos
​
172.16.20.38    SSHVL028.transwarp.io SSHVL028

关闭selinux和firewalld

2.配置samba服务

  • yum install samba.x86_64 -y

  • 编辑/etc/samba/smb.conf

    [global]
        # 工作组，domain的左边
        workgroup = transwarp
        # 配置ads
        security = ads
        # 域（大写Domain）
        realm = TRANSWARP.IO
        # hosts中配置的local名称
        netbios name = centos
        # 配置AD域服务器的IP或者域名
        password server = transwarp.io
        # 开启密码加密
        encrypt passwords = yes
        # 允许ntlm认证
        ntlm auth = yes
        log file = /var/log/samba/log.%m
        max log size = 50
        load printers = yes
        cups options = raw
​

3.配置kerberos5服务

  • yum install krb5-server.x86_64 -y

  • 编辑/etc/krb5.conf

    [libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
 # 域（大写Domian）
 default_realm = TRANSWARP.IO
 default_ccache_name = KEYRING:persistent:%{uid}
​
# 根据域名修改
[realms]
 TRANSWARP.IO = {
  kdc = transwarp.io:88
  admin_server = transwarp.io:749
  default_domain = transwarp.io
 }
​
[domain_realm]
 .transwarp.io = TRANSWARP.IO
 transwarp.io = TRANSWARP.IO
​
# 添加kdc配置
[kdc]
profile = /var/kerberos/krb5kdc/kdc.conf

  • /var/kerberos/krb5kdc/kdc.conf 配置

    [kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88
​
[realms]
# 修改为自己的域名称
 TRANSWARP.IO = {
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

4.配置FreeRadius和winbind

  • yum install freeradius freeradius-utils samba-winbind krb5-server krb5-workstation -y

  • 配置/etc/nsswitch.conf

      passwd:     files sss winbind
  shadow:     files sss winbind
  group:      files sss winbind

  • 将/usr/lib/systemd/system下的service copy 到 /etc/systemd/system/ smb.service，krb5kdc.service，winbind.service

  • 配置服务器加入域控

    net ads join -U xinchen.luan
Enter xinchen.luan's password: **********
Using short domain name -- TRANSWARP
Joined 'CENTOS' to dns domain 'transwarp.io'

  • systemctl restart winbind重启winbind服务

  • 到这里可以用kerberos测试下AD账号了

    kinit xinchen.luan@TRANSWARP.IO
Password for xinchen.luan@TRANSWARP.IO: *******
# 无输出表示认证通过

5.服务器加域验证

  • 上述结果表明OK， 我们可以到AD server 中可以看到我们将centos 加入了， 在加入的过程中可能会失败，我们加入：net -s /dev/null groupmap add sid=S-1-5-32-546 unixgroup=nobody type=builtin 然后重新join

  • 然后我们可以测试一下用ntlm来验证配置

  • yum install samba-winbind-clients.x86_64

    ntlm_auth --request-nt-key --domain=TRANSWARP.IO --username=xxxxx --password=*****
NT_STATUS_OK: The operation completed successfully. (0x0)

  • 上面返回结果表示验证通过

6.配置Radius

  • 编辑/etc/raddb/mods-enabled/ntlm_auth

    exec ntlm_auth {
        wait = yes
        program = "/usr/bin/ntlm_auth --request-nt-key --domain=TRANSWARP.IO --username=%{mschap:User-Name} --password=%{User-Password} --allow-mschapv2"
}

  • 分别编辑/etc/raddb/sites-available/default和/etc/raddb/sites-enabled/inner-tunnel

    authorize 中加入 ntdomain
authenticate 中加入 ntlm_auth

  • 编辑raddb/mods-config/files/authorize

    DEFAULT Auth-Type = ntlm_auth

7.最终验证

radtest username password 127.0.0.1 0 testing123
Sent Access-Request Id 9 from 0.0.0.0:46480 to 127.0.0.1:1812 length 82
        User-Name = "xinchen.luan"
        User-Password = "***********"
        NAS-IP-Address = 172.16.30.199
        NAS-Port = 0
        Message-Authenticator = 0x00
        Cleartext-Password = "***********"
Received Access-Accept Id 9 from 127.0.0.1:1812 to 0.0.0.0:0 length 20

上面结果表示验证通过

  • 最后记得添加RadiusClient

    vim /etc/raddb/clients.conf
​
client 172.16.0.0/16 {
        secret          = transwarp
        shortname       = vpn
}

8.开启mschap-v2认证

目前freeradius只支持eap和pap认证，为保证windows可以正常连接，我们需要额外开启mschap认证

# 编辑/etc/raddb/mods-available/mschap
# 取消注释ntlm_auth片段，修改为如下：
​
ntlm_auth = "/usr/bin/ntlm_auth --request-nt-key  --allow-mschapv2 --username=%{%{Stripped-User-Name}:-%{%{User-Name}:-None}} --domain=%{%{mschap:NT-Domain}:-TRANSWARP.IO} --challenge=%{%{mschap:Challenge}:-00} --nt-response=%{%{mschap:NT-Response}:-00}"

修改配置后注意检查权限，否则mschap验证无法通过

# 将radiusd用户添加到winbind组
usermod -a -G wbpriv radiusd
​
# 检查winbindd_privileged文件夹是否所属winbind组
ll /var/lib/samba/
drwxr-x---. 2 root wbpriv        18 Dec 15 21:51 winbindd_privileged

配置完成后重启radiusd服务即可完成mschap认证