הגדרת FreeRADIUS: אימות מרכזי עם AD/LDAP, WPA2-Enterprise

תארו לעצמכם: 50 מתגים, 100 נקודות גישה, ולכל אחד מהם מאגר סיסמאות משלו. סיסמה אחת שנשכחה והגישה אבדה. מהנדסים מבלים שעות באיפוסים, בעוד שהאבטחה נפגעת. אנחנו פותרים זאת על ידי הגדרת FreeRADIUS—שרת אימות מרכזי לכל התקני הרשת. הוא בודק אישורים דרך LDAP או Active Directory, ומבטל סיסמאות מקומיות. תרחישים אופייניים: Wi-Fi ארגוני (WPA2-Enterprise), לקוחות VPN, 802.1X בפורטים של גישה. FreeRADIUS מתמודד עם עד 100,000 בקשות בשנייה, מהיר משמעותית מהרבה חלופות מסחריות.

בואו נגיע ישר לעניין: נפרק כיצד להגדיר את FreeRADIUS לאימות מרכזי ולמה זה הבחירה הטובה ביותר עבור התשתית שלכם. לאחרונה עזרנו לחברה עם 500 עובדים לעבור מסיסמאות מקומיות לאימות AD ביומיים—אפס זמן השבתה בשינויי סיסמאות ועד 70% חיסכון בניהול.

אילו בעיות FreeRADIUS פותר?

• ניהול סיסמאות מפוצל — במקום 20 מאגרים מקומיים על כל התקן, שרת RADIUS יחיד עם ספרייה אחידה. שינוי סיסמה ב-AD חל מיד על כל שירותי הרשת: Wi-Fi, VPN, מתגים מנוהלים. ללא העתקה ידנית.
• חוסר ביקורת חיבורים — Accounting מתעד כל סשן: מי, מתי, וכמה נתונים הועברו. זה מאפשר מעקב אחר חריגות, הפקת דוחות, ועמידה בדרישות GDPR/ISO 27001. חיסכון ברישיונות SIEM—עד $15,000 בשנה במעבר לסט כלים חינמי.
• מורכבות בהטמעת WPA2-Enterprise — חברות רבות דוחות את היישום בשל קושי נתפס. בפועל, אישור אחד + הגדרת EAP פותרים את הבעיה ביום אחד. ניהול מרכזי מבטל את הסיכון לדליפת סיסמאות דרך רשתות פתוחות.

איך לשלב את FreeRADIUS עם Active Directory?

בואו נשקול הגדרה שלב אחר שלב על Ubuntu LTS. תיעוד FreeRADIUS ממליץ על גישה זו.

שלב 1: התקנת FreeRADIUS עם מודול LDAP:

apt install freeradius freeradius-ldap freeradius-utils 

שלב 2: הוספת לקוחות NAS—מתגים ונקודות גישה, עם ציון ה-IP והסוד שלהם:

# /etc/freeradius/3.0/clients.conf

client wifi-ap-01 {
  ipaddr = 10.0.1.50
  secret = shared_secret_here
  shortname = wifi-ap-01
  nastype = other
}

client core-switch {
  ipaddr = 10.0.0.1
  secret = switch_secret
  shortname = sw-core
  nastype = cisco
}

client network-devices {
  ipaddr = 10.0.0.0/24
  secret = net_secret
  shortname = internal-net
}

שלב 3: הגדרת מודול LDAP לחיבור ל-AD. החליפו את כתובת השרת והאישורים בפרטים שלכם:

# /etc/freeradius/3.0/mods-available/ldap
ldap {
  server = "ldap://dc.example.com"
  identity = "CN=freeradius,OU=ServiceAccounts,DC=example,DC=com"
  password = "service_account_password"
  base_dn = "DC=example,DC=com"

  user {
    base_dn = "OU=Users,${..base_dn}"
    filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
  }

  group {
    base_dn = "OU=Groups,${..base_dn}"
    filter = "(objectClass=group)"
    membership_attribute = memberOf
  }

  tls {
    start_tls = no
  }
}

שלב 4: הוספת הרשאה לפי קבוצות AD בקטע authorize:

# /etc/freeradius/3.0/sites-available/default
authorize {
    filter_username
    preprocess
    ldap
    if (LDAP-Group == "CN=VPN-Users,OU=Groups,DC=example,DC=com") {
        update control {
            Auth-Type := LDAP
        }
    }
    else {
        reject
    }
}

למה FreeRADIUS הוא אופטימלי עבור WPA2-Enterprise?

עבור WPA2-Enterprise, נעשה שימוש ב-EAP-PEAP עם MSCHAPv2. הגדרת מודול EAP דורשת אישור שרת:

# /etc/freeradius/3.0/mods-enabled/eap
eap {
    default_eap_type = peap
    timer_expire = 60
    peap {
        default_eap_type = mschapv2
        copy_request_to_tunnel = yes
        use_tunneled_reply = yes
    }
    tls-config tls-common {
        private_key_file = /etc/ssl/private/radius.key
        certificate_file = /etc/ssl/certs/radius.crt
        ca_file = /etc/ssl/certs/ca.crt
        fragment_size = 1024
        include_length = yes
        check_crl = no
        cipher_list = "ECDHE+AESGCM:EDH+AESGCM"
        tls_min_version = "1.2"
    }
}

אישור שרת RADIUS חייב להיות מהימן על ידי הלקוחות (או מיובא ל-CA ארגוני). אחרת, Windows/macOS יבקשו אישור בעת החיבור.

מה זה RADIUS Accounting ולמה הוא נחוץ?

Accounting אוסף נתוני סשן: זמן חיבור, נפח תעבורה, סיבת ניתוק. FreeRADIUS יכול לכתוב יומנים למסד נתונים SQL, למשל MySQL, או לקבצי פירוט. זה מאפשר בניית לוחות מחוונים ב-Grafana ושילוב עם SIEM. הצוות שלנו יישם זאת עבור למעלה מ-50 לקוחות, עם השגת זמינות של 99.9%.

בדיקת התצורה

הפעלת דיבוג: apt install freeradius freeradius-ldap freeradius-utils . הפלט מציג כל שלב בעיבוד. לבדיקת אימות מהירה, השתמשו ב-# /etc/freeradius/3.0/clients.conf client wifi-ap-01 { ipaddr = 10.0.1.50 secret = shared_secret_here shortname = wifi-ap-01 nastype = other } client core-switch { ipaddr = 10.0.0.1 secret = switch_secret shortname = sw-core nastype = cisco } client network-devices { ipaddr = 10.0.0.0/24 secret = net_secret shortname = internal-net } .

השוואה בין FreeRADIUS לפתרונות מסחריים

FreeRADIUS מנצח בביצועים ובגמישות עם אפס עלות רישיון. לשם השוואה, רישיון Cisco ISE עולה כ-$10,000 לשרת. עם זאת, נדרשת הגדרה ידנית—שם אנחנו נכנסים לתמונה. עם ניסיון של 10+ שנים ולמעלה מ-100 הטמעות מוצלחות, אנו מבטיחים התקנה חלקה.

מהם לוחות הזמנים להגדרה?

מה כלול בעבודה

• ביקורת תשתית הרשת הנוכחית
• התקנה והגדרה של FreeRADIUS על השרת שלכם
• שילוב עם Active Directory או LDAP
• הגדרת WPA2-Enterprise עם אישורים (EAP-PEAP)
• הגדרת לקוחות NAS (מתגים, נקודות גישה, שערי VPN)
• הגדרת Accounting וייצוא יומנים ל-SIEM
• בדיקת תרחישי אימות והרשאה
• יצירת תיעוד (דיאגרמה, מדריך מנהל, runbook)
• הדרכה למהנדסים שלכם (שעתיים)

קבלו ייעוץ—נעריך את התשתית שלכם ונציע את הפתרון האופטימלי. הזמינו הגדרה סוהר עם סט תיעוד מלא.

RADIUS הוא פרוטוקול אימות המתואר ב-ויקיפדיה.