FreeRADIUS EAP-TLS 双向认证与802.1X无线接入实战

简介针对 Ubuntu 系统下用 Freeradius 搭建 802.1X EAP-TLS 双向认证测试环境编写的实操文档面向无线网络认证初学者、企业网络运维人员以及需要验证终端证书接入的设备测试人员可帮助解决证书签发、服务端参数配置与终端接入联调中的常见障碍。压缩包内只有 1 个 docx 文件约 472KB内容集中不分散方便打印后对照操作。目前已有 2926 人学习下载属于该方向较为实用的入门材料。文档依次讲解环境准备、freeradius 与 openssl 的安装、users 与 client.conf 的配置要点、certs 目录下根证书与服务器证书的生成、eap 模块中私钥与证书路径的设置以及路由器采用 WPA 加密对接 RADIUS 的方法并记录了证书读取权限不足、1812 端口被占用等报错的处理思路读者可据此完成服务端与客户端双向证书校验的完整流程。1. EAP-TLS 测试环境一台 AP、一台 Ubuntu 和一堆连不上的手机实验室里摆着一台待测的无线 AP、一台装了 Ubuntu 的机器外加几台新旧不一的终端要验证一条链路设备出示证书、服务器把证书验完才放行中间不传任何口令。这套 Ubuntu freeradius 的组合解决的就是 802.1X 里最硬的那一段 —— EAP-TLS 双向认证服务器用 ca.pem 验客户端证书客户端反过来验服务器证书。它适合做无线接入设备、企业内网准入、证书体系预研的工程师也适合在没有商用认证服务器的环境里把流程完整跑一遍。门槛不在命令多少而在证书、权限、端口这三处我见过太多人卡在Ready to process requests之后的第一步。下面把每条命令、每个参数和踩过的坑都摊开写。2. 从 apt 到 users先把 PAP 这条腿站稳2.1 桥接模式与网段网络选错后面全是无用功802.1X 的报文流向是 AP 主动把 Access-Request 发到 RADIUS 服务器的 UDP 1812服务器再回 Access-Challenge 或 Access-Accept。注意方向是 AP 找服务器不是服务器找 AP。所以在 NAT 模式下AP 根本路由不到虚拟机那层内网地址包发不出来你在服务器上抓包也一片空白然后开始怀疑配置——其实网络层就没通。虚拟机网络适配器改成桥接Bridged让 Ubuntu 和 AP 处在同一个广播域里。宿主机如果走的是 Wi-Fi桥接到无线网卡经常出玄学问题表现为虚拟机时通时不通或者干脆拿不到同网段地址这不是 FreeRADIUS 的锅是无线桥接本身对四地址帧的支持不齐。能插网线就插网线这是最省事的做法。改完之后先在 Ubuntu 上确认地址别急着装包。# 1. 看本机拿到的 IPv4 地址确认和 AP 管理地址在同一网段 ip -4 addr show scope global # 2. 看默认路由如果是 10.0.2.x 说明还在 NAT 模式需要回去改桥接 ip route # 3. 证书有效期校验依赖系统时间虚拟机挂起久了时间会漂移 timedatectl status | grep -E System clock|Time zone|synchronized # 4. 如果开了 ufw放行 RADIUS 的认证与计费两个端口 ufw status ufw allow 1812/udp ufw allow 1813/udpip -4 addr那行的用途是确认网段正常应该看到类似 192.168.1.x 的地址和 AP 的管理地址同段。timedatectl那行别跳过X.509 校验的第一步就是比对 notBefore 和 notAfter虚拟机从休眠恢复后时间跳回过去握手会直接报证书尚未生效这类报错看起来像证书做错了其实是时钟问题。ufw allow只在 ufw 处于 active 时才有意义Ubuntu 桌面版默认是关闭的。2.2 装包与目录布局available 和 enabled 这一层FreeRADIUS 在 Debian 系上的包结构有一套自己的约定搞不清这层约定后面改配置会改到怀疑人生。装包本身很简单但装完必须知道两件事配置目录在哪、模块是怎么被加载的。# 切到 root后面所有操作都在 root 下进行 sudo -i # 更新索引并安装freeradius 主程序、openssl 生成证书、vim 编辑配置 apt-get update apt-get install -y freeradius freeradius-utils openssl vim # 确认装到的版本目录名以版本号为准 freeradius -vfreeradius-utils不在原始清单里但我一般会顺手装上因为它带radtest和radclient后面验证 secret 和 users 文件全靠这两个小工具比拿真 AP 试错快得多。freeradius -v输出的版本号决定了配置目录3.0 系列就是/etc/freeradius/3.0/路径别照抄别人的博客。进入配置目录后你会看到三对目录mods-available/mods-enabled、sites-available/sites-enabled还有certs、users、clients.conf这几项。cd /etc/freeradius/3.0 # enabled 目录下全是软链接指向 available 里的真实配置文件 ls -l mods-enabled/ | head -20 ls -l sites-enabled/ # 证书目录后面 make 就在这里面跑 ls -l certs/mods-enabled/eap是一个指向mods-available/eap的软链接你改的是 available 里的实体文件enabled 只是一个开关。这套机制的用途是让你能通过删软链接临时关掉某个模块而不用改配置文件内容。sites-enabled/default是默认虚拟服务器它把 authorize、authenticate、post-auth 三个阶段串起来每个阶段调用哪些模块都写在这个文件里。想搞清楚一次认证到底走了哪些模块去看sites-enabled/default比看任何文档都直接。2.3 users 文件里那条 Testing它验证的是 PAP不是 TLS原始笔记里让你在users文件末尾加一行Testing Cleartext-Password : password。这行的用途要理解清楚否则后面会误以为 EAP-TLS 认证走的就是这个用户名。cd /etc/freeradius/3.0 vim users在文件末尾添加一行格式是「用户名 密码属性」Testing Cleartext-Password : password改完保存先把 systemd 的服务停掉再用调试模式前台启动。这两步必须按顺序来systemd 已经占着 1812 端口的话-X会直接起不来。# 停掉后台服务避免和 -X 抢 1812 端口 systemctl stop freeradius # -X 是调试模式前台运行把配置加载过程和每个请求的处理链全部打出来 freeradius -X另开一个终端用 radtest 打一发 PAP 请求# 参数依次是用户名、密码、服务器地址、NAS-Port、共享密钥 radtest Testing password 127.0.0.1 0 testing123radtest的五个位置参数是固定顺序用户名、明文密码、RADIUS 服务器 IP、NAS-Port-Id填 0 就行、共享密钥。最后那个testing123是clients.conf里 localhost 条目的默认 secret不是你 users 文件里的密码。如果看到Received Access-Accept说明三件事同时成立服务能起来、users文件语法没写错、共享密钥对得上。这里有个必须点破的认知EAP-TLS 认证过程中users文件里的Testing这条根本不会被用来校验。EAP 的Auth-Type是由 eap 模块在 authorize 阶段设置的走的是证书校验路径Cleartext-Password这个字段不参与比对。那为什么还要加这条因为它是把「服务能不能起、secret 对不对」和「证书链对不对」两个问题拆开的最快手段。证书配错的时候日志里全是 TLS 握手报错你没法判断底层 RADIUS 通道是不是通的。先用 radtest 把 PAP 这条腿站稳再上 TLS排错范围会小一个数量级。3. certs 目录里的那次 make五个产物和它们的脾气3.1 make 之前先看它在做什么/etc/freeradius/3.0/certs目录下有一个 Makefile 和几个 openssl 配置文件ca.cnf、server.cnf、client.cnf 之类。直接make会按顺序把这些证书全签出来中间不问你任何问题。执行之前先扫一眼 Makefile 的目标你会知道它调了几次 openssl、每个文件从哪来。cd /etc/freeradius/3.0/certs # 看一眼 Makefile 里定义了哪些目标以及默认有效期、密钥长度 head -50 Makefile # 一把梭生成 CA、服务器证书、客户端证书、DH 参数 make # 看产物 ls -l *.pem *.key *.p12 dh 2/dev/nullmake的输出里会打印每次 openssl 调用的完整参数这部分值得看一眼尤其-days的值。DH 参数生成是最慢的一步2048 位在普通虚拟机上要跑几十秒到几分钟卡在那儿不动是正常的不是死循环。Makefile 里通常把步骤拆成了独立目标赶时间的话可以先make ca再make server客户端证书单独make client分步跑便于定位是哪一步失败。产物分工如下文件作用被谁引用ca.pem自签发根证书服务端ca_file、终端里的受信任根ca.key根证书私钥签发 server/client 证书签完可以挪走server.pem服务器证书eap 模块的certificate_fileserver.key服务器私钥eap 模块的private_key_fileclient.p12客户端证书包证书 私钥导进终端安装dhDiffie-Hellman 参数eap 模块的dh_filerandom随机数种子文件eap 模块的random_fileclient.p12是唯一需要离开服务器的东西它把客户端证书、客户端私钥和根证书链打在一个文件里用一个口令保护原始笔记里写的是whatever。这个口令和server.key的口令是两回事别搞混前者在终端导入时输入后者写在 eap 配置的private_key_password里。3.2 CN、EKU 和有效期哪几个字段决定认证成败证书生成完了不等于能用有三个字段直接决定握手成败值得逐个用 openssl 验一遍。# 看根证书的 subject 和有效期 openssl x509 -in ca.pem -noout -subject -issuer -dates # 看服务器证书的扩展用途必须包含 TLS Web Server Authentication openssl x509 -in server.pem -noout -text | grep -A2 Extended Key Usage # p12 里装了几张证书、私钥是否在内导入前先确认 openssl pkcs12 -in client.p12 -nokeys -info -passin pass:whatever第一个命令输出notBefore和notAfter两者之间的区间就是这张证书的有效窗口虚拟机时间不在这个窗口里握手直接失败。第二个命令找 EKU 字段服务器证书必须是TLS Web Server Authentication客户端证书必须是TLS Web Client AuthenticationFreeRADIUS 默认的 cnf 里这两个扩展是配好的但如果你手工改过 subject 或者用了别处的证书模板这个字段丢了报错信息会是含糊的certificate verify failed很难往扩展用途上想。第三个命令用来确认 p12 打包完整正常应该看到证书链和Bag Attributes里的私钥条目。还有一个容易被忽略的字段CN。EAP-TLS 里客户端证书的 CN 会成为日志中的User-Name服务器证书的 CN 要和终端连接时填的服务器名对得上如果你在终端里填了具体域名而不是 IP。原始笔记里身份填Testing那是 PAP 的用户名走 EAP-TLS 时真正被记录的身份来自证书 CN。这个差异在排查「为什么日志里的用户名和我填的不一样」时特别关键。3.3 eap 模块的 tls-config五个参数逐行对齐mods-enabled/eap是软链接改实体文件一样生效。打开后找到tls-config tls-common这一段原始笔记里列的五个参数就是核心。cd /etc/freeradius/3.0/mods-enabled vim eap需要确认的段落大致长这样eap { default_eap_type tls tls-config tls-common { private_key_password whatever private_key_file ${certdir}/server.key certificate_file ${certdir}/server.pem ca_file ${cadir}/ca.pem dh_file ${certdir}/dh random_file /dev/urandom tls_min_version 1.2 } }default_eap_type tls决定了没指定类型时默认走 TLS改成 tls 之后PEAP 和 TTLS 这些方法就不再是默认项了测试环境里这样做能减少干扰。private_key_password必须和生成server.key时用的口令完全一致不一致的话启动阶段就会报 SSL context 初始化失败服务根本起不来反而是好事容易发现。${certdir}和${cadir}是变量定义在radiusd.conf里默认指向/etc/freeradius/3.0/certs和/etc/freeradius/3.0/certs路径写死反而容易在换机器时翻车。tls_min_version这行原始清单里没有但实际部署时最好显式写上。Ubuntu 上较新的 OpenSSL 默认禁用了 TLS 1.0/1.1而一些老设备的无线网卡固件只会说 TLS 1.0两边一碰就是no shared cipher或者unsupported protocol。测试环境要兼容老设备就把这行临时降到1.0验证完再改回来——这是纯测试手段别带到生产配置里去。改完 eap 文件用freeradius -XC做一次配置语法检查这个参数只加载配置不启动服务能提前把拼写错误和路径错误挑出来比直接-X看到一半崩掉要清爽。4. 让 AP 肯把请求发过来client 段落、WPA-Enterprise 与 -X 输出4.1 clients.confipaddr、secret 与 require_message_authenticatorclients.conf定义的是「谁有资格来问我」。每台 AP、每个 NAS 都要在这里有一条否则请求进来会被直接丢弃日志里连个响都没有。cd /etc/freeradius/3.0 vim clients.conf按原始笔记的写法添加一段client ap-lab { ipaddr 192.168.1.1 secret testing123 require_message_authenticator no shortname ap-lab nastype other }ipaddr填的是 AP 的管理地址也就是报文发出时的源地址不是 AP 的无线 SSID 网段。有些 AP 有多个网口和多个管理地址填错了会出现「抓包能看到请求但服务器不回复」的现象这时候用tcpdump -ni any udp port 1812看源 IP 最直接。secret是双方约定的共享密钥大小写敏感、不能带尾随空格这条在 AP 的 Web 界面里手输的时候极容易多敲一个空格症状是服务端报invalid Message-Authenticator (Shared secret is incorrect)。require_message_authenticator no是原始笔记特别点名的一项。较新版本的 FreeRADIUS 默认要求 Access-Request 里带 Message-Authenticator 属性而一些老固件的 AP 根本不发这个属性结果就是请求被静默丢弃-X里什么都看不到。测试环境里先设成 no把链路跑通再回头评估要不要收紧。shortname是个便于阅读的别名会出现在日志里建议和 AP 的实际位置对应上多台 AP 的时候能省不少事。4.2 路由器侧把 WPA-Enterprise 的四个空填上AP 的管理页面各家长得不一样但需要填的东西就那么几项。用网线把 AP 连到同网段浏览器登录管理地址进无线设置把安全模式从 WPA-PSK 改成 WPA/WPA2-Enterprise有的固件叫 802.1X 或者 RADIUS 认证。需要填的四个值RADIUS 服务器地址Ubuntu 那台机器的 IP不是 127.0.0.1认证端口1812计费端口 1813 一般可以不填共享密钥和clients.conf里的secret一字不差加密方式优先选 AESWPA2 或 WPA2/WPA3 混合加密方式这项值得多说一句。原始笔记里写的是「设置无线设置方式为 WPA」如果固件只有 WPATKIPEAP-TLS 理论上也能跑但 TKIP 在现代终端上兼容性差而且速率被限制得厉害。能选 WPA2-AES 就别选 WPA这不是安全问题是能不能连上的问题。WPA3-Enterprise 的 192 位模式对证书和 TLS 版本要求更高测试环境里不建议一上来就开。保存后 AP 通常会重启无线模块这时候在 Ubuntu 上开着tcpdump -ni any udp port 1812拿一台设备试着连一下能看到 AP 发过来的 Access-Request 就说明网络层和 AP 侧配置都对了接下来才是服务器的事。4.3 freeradius -X 的输出怎么读调试模式的输出很长但值得看的位置就那么几个。启动阶段先扫这几行Listening on auth address * port 1812监听成功、Loaded virtual server default站点加载成功、Ready to process requests可以接客了。只要最后一行出现服务本身就没问题后面所有失败都是业务逻辑层面的。# 先停服务再前台调试否则 1812 被占 systemctl stop freeradius systemctl disable freeradius # 输出同时留一份到文件方便回头搜关键字 freeradius -X 21 | tee /tmp/fr-debug.log21把 stderr 也接进管道因为 FreeRADIUS 的不少日志走的是标准错误不重定向会漏掉一半。tee是为了留档认证失败时日志会滚动得很快靠翻终端往回找很痛苦存成文件之后直接grep Login incorrect或者grep SSL效率高得多。如果启动直接报Address already in use就是端口被占。除了 systemd 的服务还有一种可能是上一次-X没退干净CtrlZ 挂起而不是 CtrlC 退出进程还在后台。查一下谁占着# 看 1812/1813 被哪个进程占用注意看 PID 和进程名 ss -lunp | grep -E 1812|1813 # 确认是残留的 freeradius 进程后按 PID 清掉 kill -9 PIDss -lunp里-l是监听状态、-u是 UDP、-n是数字端口、-p显示进程四个参数缺一个信息就不全。原始笔记里遇到端口占用的处理方式是重启服务器能解决但太粗暴ss定位到进程之后处理更快也不用把整个环境重启一遍。4.4 设备侧client.p12 怎么装进去证书得从服务器上取下来。用 scp 从 Ubuntu 拷到本地再传到终端上或者直接让终端访问一个临时 HTTP 服务下载。client.p12和ca.pem两个都要前者是身份后者是信任根。不同系统的导入路径差别很大。Windows 双击 p12 走导入向导选「当前用户」输入口令whatever证书存进「个人」ca.pem要单独导入「受信任的根证书颁发机构」。iOS 把两个文件放一起装p12 装完会出现在「描述文件」里装完必须去「关于本机 → 证书信任设置」把根证书的完全信任开关打开这一步漏了就会出现「证书已安装但连不上」。Android 从 11 开始把证书安装拆成了「CA 证书」和「WLAN 证书」两个入口p12 要走 WLAN 证书那个入口装的时候系统会强制要求设一个锁屏密码这是系统行为不是环境问题。连接的时候EAP 方法选 TLS身份那一栏按原始笔记填Testing也能连上因为 TLS 真正用的是证书里的 CN但如果终端强制要求身份非空且和证书匹配就填证书 CN。CA 证书选ca.pem客户端证书选刚装进去的那张。有些终端会提示「未选择 CA 证书」原始笔记里说 CA 不用选这在部分系统上确实能过但在 Windows 和较新的 Android 上不选 CA 一律失败别赌这个运气。5. 五个把我按在椅子上的现场从权限、端口到 TLS 版本5.1 证书与权限三个反复出现的现场第一个现场启动阶段就报私钥读不了。现象是-X刚跑起来就刷出一片红字关键字是Error opening private key file或者rlm_eap_tls: Failed initializing SSL context服务停在Ready to process requests之前。原因不在证书内容而在文件权限server.key是 root 用make生成的默认权限 600、属主 root而 FreeRADIUS 运行时会切到freeradius或radiusd用户这个用户读不到私钥文件。原始笔记里的处理是在 certs 目录下chmod 777 ca.pem dh server.key server.pem再chmod o-w把其他用户的写权限收回来。这个做法能立刻生效但把私钥设成所有人可读测试环境凑合长期不合适。我一般会改成把文件属组换成服务运行用户再设 640效果一样但不会给所有人开门。# 更稳妥的做法把属组给服务用户权限收窄到 640 chgrp freeradius ca.pem dh server.key server.pem chmod 640 server.key chmod 644 ca.pem dh server.pem属组名用id freeradius或id radiusd确认一下不同发行版不一致。改完不用重启系统重跑-X就行。第二个现场设备提示连不上日志里是unable to get local issuer certificate。现象是 AP 把请求发过来了-X里能看到 EAP 交互走到 TLS 握手阶段断开错误号 20 或者 21。原因是终端不信任服务器证书——它的签发者ca.pem没有装进终端的受信任根或者装了但没启用信任。解决方式是回到终端把ca.pem单独导入受信任根证书区iOS 还要去「证书信任设置」里手动打开开关。这个错误和「证书过期」长得像但不是一回事看错误号能区分20/21 是链路信任问题10 是过期问题。第三个现场昨天还好好的今天所有设备都认证失败。现象是完全没有征兆的集体失败日志里 TLS 握手刚开头就断。原因是虚拟机时间漂移。实验室的机器经常挂起、快照恢复系统时钟回到几天前而证书的notBefore在「未来」校验直接失败反过来系统时间跳到证书过期之后报错是 certificate has expired。解决是先timedatectl status看 synchronized 一栏没同步就开systemd-timesyncd或者手动timedatectl set-time。这类问题最耗人因为配置一个字没改人容易往「玄学」上想其实是时钟。5.2 链路与协议两个更隐蔽的现场第四个现场端口占用导致服务起不来。现象是freeradius -X直接退出提示Failed binding to authentication address * port 1812: Address already in use。原因有 90% 是 systemd 的 freeradius.service 还在跑你-X的时候它已经占着端口了剩下 10% 是上一次调试进程没退干净。解决办法是systemctl stop freeradius并且systemctl disable freeradius把开机自启也关掉调试期一律用前台-X启动什么时候调试结束再开回 systemd。别忘了ss -lunp | grep 1812确认端口真空出来了。原始笔记里的方案是重启服务器能解决但你不知道是谁占的下次还会遇到。第五个现场老设备卡在 TLS 握手日志里是no shared cipher。现象是新款手机能连几台两三年前的设备死活连不上-X里 TLS 阶段报无共享密码套件或者协议版本不支持。原因是这些设备的无线固件只支持 TLS 1.0/1.1而 Ubuntu 上较新的 OpenSSL 默认把这两个版本关掉了两边没有交集。解决是在 eap 的 tls-config 里显式降低tls_min_version或者往cipher_list里补上老套件。这是测试环境的临时手段验证完老设备兼容性就该改回去别留在配置里。补一句如果设备侧报的是「认证失败」而不是「无法连接」那多半不是 TLS 版本问题而是客户端证书没装对或者 CN 对不上。5.3 一条从下往上的排查顺序踩了这么多次之后我固定了一套顺序从上往下走每一步只验证一件事不通就停在那一步不往下猜。第一层看链路tcpdump -ni any udp port 1812有没有包进来。没包就是 AP 侧地址、secret 或者网络不通和证书一点关系没有。第二层看服务-X里有没有把请求解析出来User-Name是什么。解析不出来通常是clients.conf里没有对应 IP 或者 Message-Authenticator 的问题。第三层看 EAP日志里有没有进入eap模块、TLS 握手走到哪一步断的错误号是多少。第四层看结果post-auth阶段有没有被策略拦掉。这个顺序的价值在于任何一层不通过都不要再往下改配置否则你会同时改动三个变量最后即使通了也不知道哪个改动起了作用。6. 不接 AP 也能验证用 eapol_test 把 EAP-TLS 单独跑一遍AP 那一侧的配置改一次要重启无线模块来回试效率很低。有个更快的办法用eapol_test在服务器本机上模拟一个 802.1X 客户端直接和 FreeRADIUS 对话跳过 AP。# eapol_test 由 hostapd 包提供装完在 /usr/bin 下 apt-get install -y hostapd which eapol_test先把 p12 拆成 eapol_test 能用的证书和私钥文件cd /etc/freeradius/3.0/certs # 只导出客户端证书不带私钥 openssl pkcs12 -in client.p12 -clcerts -nokeys \ -out client.crt -passin pass:whatever # 导出私钥并解密eapol_test 需要明文私钥 openssl pkcs12 -in client.p12 -nocerts -nodes \ -out client.key -passin pass:whatever-clcerts只取客户端证书把根证书和中间证书过滤掉-nokeys表示不带私钥-nodes是「no DES」导出时不加密私钥eapol_test 读明文私钥更方便。这两个文件只用于本机验证验证完删掉别留在 certs 目录里和正式产物混在一起。写一个最小配置network{ key_mgmtWPA-EAP eapTLS identityclient ca_cert/etc/freeradius/3.0/certs/ca.pem client_cert/etc/freeradius/3.0/certs/client.crt private_key/etc/freeradius/3.0/certs/client.key }identity按证书 CN 填ca_cert用根证书client_cert和private_key用刚拆出来的那两个。然后在服务器开着-X的情况下执行# -c 指定客户端配置-s 是共享密钥-a 指向本机 RADIUS eapol_test -c tls-test.conf -s testing123 -a 127.0.0.1结尾打印SUCCESS就说明证书链、eap 模块、users 策略、clients.conf 全都对剩下连不上的只可能是 AP 或终端。这个工具最大的价值是切分问题域先在服务器本地确认整条 EAP-TLS 走得通再去查无线侧很多「设备连不上」的争论到这一步就没得争了。我自己有个习惯只要动过 certs 目录或者 eap 里任何一个参数先跑一遍 eapol_test 再碰真设备。有一次改完有效期忘了重新生成客户端证书AP 那边调了一个下午最后发现是三百公里外的一台测试机证书过期。从那以后我每次改证书都强制走一遍 eapol_test 加 openssl verify -CAfile本文还有配套的精品资源点击获取