freeradius 3.0使用ldap bind windows ad 来认证用户

Posted 2020-07-31

         需求是要使用windows active directory上的现有账号来认证freeradius的客户端，freeradius使用ldap bind来连接windows ad, bind 成功则认证通过，过程中windows ad并不返回用户的密码给freeradius.

         过程中碰到几处容易出问题的地方：

          1.  为了启用ldap bind认证，需要编辑/usr/local/etc/raddb/sites-available/default文件。

           Authorize部分添加如下配置：

                ldap

                if ((ok || updated) && User-Password) {

                    update {

                        control:Auth-Type := ldap

                    }

                }

         authenticate部分uncomment如下配置：

           Auth-Type LDAP {

                    ldap

            }

          

        2. 对ldap module的配置：

          将mods-available 目录下的ldap拷贝到mods-enabled目录下，修改如下内容：

         ldap {

       .....

        server = ‘1.2.3.4‘      #此处是自己要使用的windows AD的域名或者ip

        identity = "cn=zhangsan,ou=lab,dc=test,dc=com" #此处是查询windows ad时所用的账号名

        password = zhangsan123         #此处是查询windows ad所用账号的密码

       base_dn = ‘ou=lab,dc=test,dc=com‘  #此处是待认证账号在windows AD里面的base DN,就是父目录。

      .......

                }

     user {

            .....

             filter = "(CN=%{%{Stripped-User-Name}:-%{User-Name}})" #修改查询用户时的filter,windows AD                                                                                                                       #一般改为CN=

                ......     

               }

      3. 如果需要对windows AD 返回来的结果中的某些属性值进行修改然后再返回给认证客户端，可以在default文件的post-auth部分进行配置,如下的实例：

        post-auth {

                     ........

               foreach reply:My-Local-String {

                            if("%{Foreach-Variable-0}" =~ /CN=[lab]-[0-9 a-z A-Z]+/) {

                                update reply {

                                   NS-User-Group += "%{0}"

                                                       }

                                                                                                                                         }

                                                                 }

                      ..........

                        }

     ldap文件也需要稍作修改：

         update {

                ......           

                reply:My-Local-String             += ‘memberOf‘

                ........

               }

        以上的例子把freeradius本来要返回的My-Local-String属性数组转换为NS-User-Group属性返回给radius client，条件是该属性是CN=lab-xxxxx的形式开头的。实际上是返回用户在windows AD里的组属性，但是不是所有的组都返回，只有那些以lab-xxxxxx形式命名的组才返回。

         之所以要进行这种转换，是因为例子中的这种radius client设备能识别的组属性的名字是NS-User-Group,但windows AD里对应的组属性的名字是memberOf,所以要转换，否则client不认识。

=================================

 contact author: [email protected]