FreeRADIUS 测试环境搭建

1. [root@lamp ~] # yum install samba krb5-server  freeradius2  freeradius2-utils 

1. [root@lamp ~]# vim /etc/samba/smb.conf 
2. [global] 
3. workgroup = test    #指定AD域的netbios名称，即test.COM的前面部分 
4. realm = test.com    #指定AD域名 
5. netbios name =  freeradius  #freeradius服务器的主机名 
6. security = ads  #指定samba的工作模式为ads 
7. password server = testtest.test.com  #指定担当身份验证的服务器 
8. winbind separator = +     # 指定一个字符作为分隔符，winbind将使用该分隔符来用户或组名。使用该配置将使得域用户表示为"MYDOMAIN+username",域组被表示为"MYDOMAIN+Domain Users" 
9. idmap uid = 10000-20000      #写入域账户的uid、gid的范围，该范围是将linux用户，组的ID映射到Windows用户的SID，所以需要确保该段的没有被使用，当winbind启动后也不能在该段建立用户 
10. idmap gid = 10000-20000 
11. winbind enum users = yes     #指定winbind服务是否能在系统上创建Windows域用户。一般情况下都要设置为yes，除非你处于某种原因希望关闭该功能 
12. winbind enum groups = yes 
13. nt acl support = yes     #nt acl 支持 
14. winbind cache time = 0 
15. template shell = /bin/bash 
16. template homedir = /home/%D/%U   # 用来指定为域用户产生主目录。使用变量替换可使winbind服务把用户主目录设置为/homes/MYDOMAIN/username 
17. winbind use default domain =yes 
18. [homes] 
19. comment = Home Directories 
20. path = /home/%D/%U 
21. browseable = no 
22. writable = yes 
23.  

1. valid users = %U 

1. [root@freeradius ~]# vim /etc/nsswitch.conf 
2. passwd:     files       winbind 
3. shadow:     files       winbind 
4.  

1. group:      files       winbind 

1. [root@lamp ~]# vim /etc/krb5.conf 
2. [libdefaults] 
3.  default_realm = test.COM   #指定默认域名 
4.  dns_lookup_realm = false   #无需dns解析域请求包 
5.  dns_lookup_kdc = false  #是否解析kdc请求报 
6.  ticket_lifetime = 24h   #指定kerberos票据有效日期 
7.  forwardable = yes   #允许转发解析请求 
8. [realms] 
9.  test.COM = { 
10.   kdc = testtest.test.com:88     #指定KDC服务器和KDC服务器的端口 
11.   admin_server = testtest.test.com:749  #指定域控制器和管理端口 
12.   default_domain = test.com  #指定默认域 
13.  } 
14. [domain_realm] 
15.  .example.com = EXAMPLE.COM 
16.  

1.  example.com = test.COM  #设置域的搜索范围，使得域大小写无关 

1. [root@lamp ~]# vim /var/kerberos/krb5kdc/kdc.conf 
2. [realms] 
3.  test.COM = { 
4.   #master_key_type = des3-hmac-sha1 
5.   acl_file = /var/kerberos/krb5kdc/kadm5.acl 
6.   dict_file = /usr/share/dict/words 
7.   admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab 
8.   supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hm 
9. ac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal des-cbc-crc:v4 des-cbc 
10. -crc:afs3 
11.  

1.  } 

1. [root@lamp ~]# kinit  administrator@test.COM 
2.  

1. Password for administrator@test.COM: 

1.    

1. [root@freeradius ~]# /etc/init.d/smb start 
2. Starting SMB services:                                     [  OK  ] 
3. Starting NMB services:                                     [  OK  ] 
4. [root@freeradius ~]# chkconfig  smb on 
5. [root@freeradius ~]# chkconfig winbind on 
6.  

1. [root@freeradius ~]# service  winbind restart 

1. [root@freeradius ~]# net rpc join   -U administrator           
2. Password: 
3.  

1. Joined domain test. 

1. [root@freeradius ~]# wbinfo -t 
2.  

1. checking the trust secret via RPC calls succeeded 

1. [root@freeradius ~]# wbinfo -u 
2. administrator 
3. guest 
4. krbtgt 
5. ddclic 
6. test01 

1. test02

1. [root@freeradius ~]# wbinfo -g 
2. BUILTIN+administrators 
3. BUILTIN+users 
4. domain computers 
5. domain controllers 
6. schema admins 
7.  

1. enterprise admins 

1. [root@freeradius ~]# getent  passwd 
2. test1:*:10033:10008:test1:/home/test/test1:/bin/bash 
3. test2:*:10034:10008:test2:/home/test/test2:/bin/bash 
4. test3:*:10035:10008:test3:/home/test/test3:/bin/bash 
5. test4:*:10036:10008:test4:/home/test/test4:/bin/bash 
6.  

1. test5:*:10037:10008:test5:/home/test/test5:/bin/bash 

1.  

1.  

1. [root@freeradius ~]# ntlm_auth --request-nt-key --domain=test.com --username=test --password='123456' 

1.  

1. [root@freeradius ~]# vim /etc/raddb/modules/ntlm_auth 
2. exec ntlm_auth { 
3.         wait = yes 
4.         program = "/usr/bin/ntlm_auth --request-nt-key --domain=test.COM --username=%{mschap 
5. :User-Name} --password=%{User-Password}" 
6.  

1. } } 

1. [root@freeradius ~]# vim /etc/raddb/sites-enabled/default 
2. authenticate { 
3.         ntlm_auth 
4. } 
5. [root@freeradius ~]# vim /etc/raddb/sites-enabled/inner-tunnel 
6. authenticate { 
7.         ntlm_auth 
8.  

1. } 

1. [root@freeradius ~]# vim /etc/raddb/users 
2.  

1. DEFAULT Auth-Type = ntlm_auth 

1. [root@freeradius ~]# vim /etc/raddb/policy.conf 
2. policy { 
3.     # Give the ntlm_auth exec module an "authorize" method that sets Auth-Type to itself 
4.     # but only if it's a valid PAP request, and Auth-Type is not already set to something 
5.     ntlm_auth.authorize { 
6.         if (!control:Auth-Type && User-Password) { 
7.             update control { 
8.                Auth-Type := ntlm_auth 
9.             } 
10.         } 
11.     } 
12.  

1. } 

1. [root@freeradius ~]# radiusd –X 
2. [root@freeradius ~]# radtest  test '123456' localhost 0 testing123 
3. Sending Access-Request of id 48 to 127.0.0.1 port 1812 
4.         User-Name = "test" 
5.         User-Password = "123456" 
6.         NAS-IP-Address = 192.168.2.97 
7.         NAS-Port = 0 
8.         Message-Authenticator = 0x00000000000000000000000000000000 
9.  

1. rad_recv: Access-Reject packet from host 127.0.0.1 port 1812, id=48, length=20 

1.  

1. [root@freeradius ~]# vim /etc/raddb/users 
2.  

1. #DEFAULT Auth-Type = ntlm_auth 

1.  

1. [root@freeradius ~]# vim /etc/raddb/modules/mschap 
2. ntlm_auth = "/usr/bin/ntlm_auth --request-nt-key --username=%{mschap:User-Name:-None} --domain=%{%{mschap:NT-Domain}:-test.COM} --challenge=%{%{mschap:Challenge}:-00} --n 
3.  

1. t-response=%{%{mschap:NT-Response}:-00}" 

1.  

1. [root@freeradius ~]# radtest  -t mschap  test '123456' localhost 0 testing123          
2. Sending Access-Request of id 127 to 127.0.0.1 port 1812 
3.         User-Name = "test" 
4.         NAS-IP-Address = 192.168.2.97 
5.         NAS-Port = 0 
6.         Message-Authenticator = 0x00000000000000000000000000000000 
7.         MS-CHAP-Challenge = 0x0f1ec04f5f7f3ec2 
8.         MS-CHAP-Response = 0x000100000000000000000000000000000000000000000000000085c8068f30dcb423d1e6f7ed5db18b53a1d321ceb8f2266c 
9. rad_recv: Access-Reject packet from host 127.0.0.1 port 1812, id=127, length=38 
10.  

1.         MS-CHAP-Error = "\000E=691 R=1" 

1.  

1. Exec-Program output: winbind client not authorized to use winbindd_pam_auth_crap. Ensure permissions on /var/cache/samba/winbindd_privileged are set correctly. (0xc0000022)  
2.  

1. Exec-Program-Wait: plaintext: winbind client not authorized to use winbindd_pam_auth_crap. Ensure permissions on /var/cache/samba/winbindd_privileged are set correctly. (0xc0000022) 

1.  

1. [root@freeradius ~]# cd /var/cache/samba/ 
2. [root@freeradius samba]# chown  -R  root.radiusd  winbindd_privileged/ 
3. [root@freeradius samba]# service  winbind restart 
4. Shutting down Winbind services:                            [  OK  ] 
5. Starting Winbind services:                                 [  OK  ] 
6.  

1. [root@freeradius ~]# radiusd –X 

1.  

1. [root@freeradius samba]# radtest  -t mschap  test '123456' localhost 0 testing123 
2. Sending Access-Request of id 231 to 127.0.0.1 port 1812 
3.         User-Name = "test" 
4.         NAS-IP-Address = 192.168.2.97 
5.         NAS-Port = 0 
6.         Message-Authenticator = 0x00000000000000000000000000000000 
7.         MS-CHAP-Challenge = 0x58a8d7e945e9ed8f 
8.         MS-CHAP-Response = 0x00010000000000000000000000000000000000000000000000000fcd072553b1813344cbe6d3fc3fe5e1ecbf853eaf5a4a03 
9. rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=231, length=84 
10.         MS-CHAP-MPPE-Keys = 0x0000000000000000c2bea7b13efd39e82dcd04478fb185370000000000000000 
11.         MS-MPPE-Encryption-Policy = 0x00000001 
12.  

1.         MS-MPPE-Encryption-Types = 0x00000006