Radiusd.conf文件是freeradius的核心配置文件，其中设置了 服务器的基本信息， 配置文件与日志文件的环境变量，并详细配置freeradius模块所使用的信息， 与认证和计费所使用模块的配置. 配置的变量定义的形式为${foo}，他们就在这个文件上，并且不随请求到请求而改变. 变量的格式参照 variables.txt.

1.1 环境变量
此处定义其他配置文件以及目录的位置，也就是环境变量

prefix = /usr/local

exec_prefix = ${prefix}

sysconfdir = ${prefix}/etc

localstatedir = ${prefix}/var

sbindir = ${exec_prefix}/sbin

logdir = ${localstatedir}/log/radius

raddbdir = ${sysconfdir}/raddb

radacctdir = ${logdir}/radacct

配置文件和日志文件的位置

confdir = ${raddbdir}

run_dir = ${localstatedir}/run/radiusd

日志文件的信息，添加到如下配置文件的底部

log_file = ${logdir}/radius.log

1.2 全局配置
模块的位置由 libdir来配置。

如果不能工作，那么你可以从新配置，从新Build源码，并且使用 共享库。

pidfile: Where to place the PID of the RADIUS server.

pidfile = ${run_dir}/radiusd.pid

user/group

如果有评论，服务器会运行 用户/组 启动它. 修改用户/组，必须具有root权限启动服务器

这里的含义是指定启动radius服务可以限定操作系统上的用户和组，但是不建议启动它.

#user = nobody

#group = nobody

最长请求时间(秒)，这样的问题经常需要存在在应用SQL数据库时候，建议设置为5秒到120秒之间.

max_request_time = 30

当请求超过最长请求时间的时候，可以设置服务器删除请求.

当你的服务在threaded(线程下)运行，或者 线程池(thread pool) 模式，建议这里设置为no.

但用threaded 服务设置为yes时，有可能使服务器崩溃.

delete_blocked_requests = no

在 reply 发送给NAS后的等待清空时间. 建议 2秒 到 10秒

cleanup_delay = 5

服务器的请求最大数 ，建议值 256 到无穷

max_requests = 1024

让服务器监听某个IP，并且从次IP发送 相应 信息. 主要是为了 服务器同时具有多服务器时候使用.

bind_address = *

可以指定raidus的使用端口号，使用0表示使用默认的radius端口， 在配置文件 /etc/services配置.

port = 0

如果需要服务器同时监听其他的IP，可以用listen 块. 下面是例子

#listen {

# IP address on which to listen.

# Allowed values are:

# dotted quad (1.2.3.4)

# hostname (radius.example.com)

# wildcard (*)

# ipaddr = *

# Port on which to listen.

# Allowed values are:

# integer port number (1812)

# 0 means "use /etc/services for the proper port"

# port = 0

# Type of packets to listen for.

# Allowed values are:

# auth listen for authentication packets

# acct listen for accounting packets

#

# type = auth

#}

hostname_lookups大概是表示为NAS查找它的域名信息?可以通过域名配置NAS?

hostname_lookups = no

是否允许 core dumps.

allow_core_dumps = no

expressions支持，规则和扩展.

regular_expressions = yes

extended_expressions = yes

记录User-Name属性的全称.

log_stripped_names = no

是否记录认证请求信息到日志文件

log_auth = no

当请求被拒绝时记录密码， 当请求正确时记录密码

log_auth_badpass = no

log_auth_goodpass = no

是否允许用户名冲突，即重复同用户同时登陆.强烈不建议启用重复用户.

usercollide = no

将用户名 小写化， 将密码小写化.

lower_user = no

lower_pass = no

是否去除用户名和密码中的空格

nospace_user = no

nospace_pass = no

程序执行并发检查(不理解含义)

checkrad = ${sbindir}/checkrad

安全 配置 域

security {

指在Radius包中的最大属性数目.设置为0表示无穷大.

max_attributes = 200

发送 Access-Reject 包时候，可以设置一定的延迟，以缓慢DOS攻击，也可以缓慢穷举破解用户名和密码的攻击

reject_delay = 1

服务器是否对状态服务器的请求信息进行相应.

status_server = no

}

PROXY CONFIGURATION

代理域.

是否开启代理服务，具体配置参照 ${confdir}/proxy.conf

proxy_requests = yes

$INCLUDE ${confdir}/proxy.conf

Clients配置

$INCLUDE ${confdir}/clients.conf

是否启用snmp配置，具体配置文件在snmp.conf

snmp = no

$INCLUDE ${confdir}/snmp.conf

线程池 配置 域

thread pool {

启动时服务的个数.(在启动Mysql模块后可以明显看到.)当同时进行的请求数超过5个时，会增加线程服务.

start_servers = 5

最大的服务数

max_servers = 32

当少于最少空闲服务时，它会建立服务，大于最大空闲服务时会停止多余的服务.

最少空闲服务，与最大空闲服务.

min_spare_servers = 3

max_spare_servers = 10

每个server最大的请求数.当有内存漏洞时，可能需要配置.

max_requests_per_server = 0

}

1.3 模块配置
1.3.1 PAP 模块

# Supports multiple encryption schemes 支持多种加密方式

# clear: Clear text 明文

# crypt: Unix crypt Unix 加密

# md5: MD5 ecnryption MD5加密

# sha1: SHA1 encryption. SHA1加密

# DEFAULT: crypt 默认是Unix加密

pap {

encryption_scheme = crypt

}

1.3.2 CHAP模块
chap {

authtype = CHAP

}

1.3.3 PAM模块
PAM模块 (PAM) 是行业标准验证框架，

鉴于很多系统的PAM库都有内存漏洞，所以不建议使用。

pam {

pam_auth = radiusd

}

1.3.4 UNIX 系统用户的 认证模块
unix {

cache = no

cache_reload = 600

# passwd = /etc/passwd

# shadow = /etc/shadow

# group = /etc/group

radwtmp = ${logdir}/radwtmp

}

1.3.5 EAP模块
详细见${confdir}/eap.conf

$INCLUDE ${confdir}/eap.conf

1.3.6 MSCHAP 模块
mschap {

#use_mppe = no

#require_encryption = yes

#require_strong = yes

# 为了纠正window发送chap时有时包括域，有时又不包括域的信息.

#with_ntdomain_hack = no#ntlm_auth = "/path/to/ntlm_auth –request-nt-key –username=%{Stripped-User-Name:-%{User-Name:-None}} –challenge=%{mschap:Challenge:-00} –nt-response=%{mschap:NT-Response:-00}"

}

1.3.7 LDAP 配置 <SPAN style="FONT-SIZE: 9pt; COLOR:

本文章由 http://www.wifidog.pro/2015/03/27/wifidog%E9%85%8D%E7%BD%AE%E5%88%86%E6%9E%90.html 整理编辑，转载请注明出处

RADIUS 是通信网络中负责认证、鉴权、计费的服务节点。它通常和各种网络接入服务节点相连，如路由器、交换机、RAS、等各种网络接入服务器(NAS)。由于 RADIUS 和各种网络接入服务器是通过标准 RFC 协议进行连接交互，所以 RADIUS 和各种网络接入服务器的配置方法也非常相似，下面就以 WinRadius 和 3COM 公司的 RS 1500 进行举例说明。
出于安全性考虑，每个网络接入服务器(NAS)通常和两个 RADIUS 相连接，这两个 RADIUS 处于主备份关系，即 primary 和 secondary。网络接入服务器(NAS)和 RADIUS 之间的接口有两个：认证(accounting)接口、计费(authentication)接口。每个接口的配置参数主要都是：RADIUS IP、port、secret 三个。secret 是安全配置参数，只要网络接入服务器(NAS) 和 RADIUS 相同即可。
网络接入服务器(NAS)通常采用 Telnet 方式进行配置，您只需在 Windows、Linux/Unix 下运行 telnet 命令就可以启动 Telnet 连接，等连接到网络接入服务器(NAS)后，您只需输入相应的配置命令即可，例如：

• 关闭 RADIUS 命令：disable accounting、disable authentication remote。
• 打开 RADIUS 命令：enable accounting、enable authentication remote。
• 配置 RADIUS 命令：set accounting、set authentication。
  主要配置参数为：
  primary_port
  primary_secret <"secret_string">
  primary_server [IP_address or host_name]
  retransmissions
  secondary_port
  secondary_secret <"secret string">
  secondary_server [IP_address or host_name]
  timeout [number_seconds]
• 调试 RADIUS 命令：show accounting、show accounting settings、show
  authentication、show authentication settings

RADIUS 服务器的配置主要是 port、secret 两个。如果您的 RADIUS 服务器和多个网络接入服务器(NAS)，而不同网络接入服务器(NAS)又使用了不同的 secret，这时您需要为每个网络接入服务器(NAS)指定对应的 secret，即在 WinRadius 的"配置/多重密钥"中指定即可。
另外，大多数网络接入服务器(NAS)都有简单的认证功能。但是几乎全部商用网络接入都需要配置 RADIUS 服务器来实现复杂的认证、鉴权、计费功能。

本文章由 http://www.wifidog.pro/2015/03/27/wifidog%E9%85%8D%E7%BD%AE%E6%8C%87%E5%8D%97.html 整理编辑，转载请注明出处

RADIUS协议特点
RADIUS协议具有灵活、安全、可扩展性好的特点，具体包括：通过网络传输的认证信息都经过加密，安全性高； 认证方式灵活，支持Unix Passwd、CHAP、挑战－回答认证等多种认证方式， 还支持认证转接（Authentication Forwarding）；协议扩展性好，通过变长 的属性串（Attribute Pair）能够进一步扩展RADIUS协议。RADIUS的认证过程如下图：

如上图所示，NAS（Network Access Server，网络访问服务器）被看成RADIUS的客户端，当用户登录到NAS 时，客户端将用户提供的认证信息（如用户名和口令）发送给指定的RADIUS Server，并根据Server的回应作出相应的“允许/不允许登录”的决定。 RADIUS Server 负责接收认证请求并进行认证，然后将认证结果（包括连 接协议、端口信息、 ACL 等授权信息）发送回RADIUS Client，Client根据 授权信息限制用户对资源的访问。 一个RADIUS Server可以作为另一个RADIUS Server的客户端要求认证（即认证转接），以提供灵活的认证方式。 RADIUS Server和Client之间传递的认证信息用一个事先设置的口令进行加密，防止敏感信息泄露。当用户成功的登录后，NAS会向RADIUS Server发送一个连接开始的记账信 息包，其中包括用户使用的连接种类、协议和其他自定义信息；当用户断开连接后，NAS会向RADIUS Server发送一个连接结束的记账信息包，RADIUS Server根据设置为用户记账。

RADIUS登录过程
　下面是一个典型的RADIUS登录过程：
　　远程用户登录NAS；
　　NAS发送“RADIUS Access－Request”到RADIUS Server，其中包括用户名、密码等信息；如果该用户使用“挑战－回答”认证，RADIUS Server 将发送包含挑战信息的“RADIUS Access－Challenge”消息，NAS将挑战信息显示给用户；
　　用户将回答提交给NAS，NAS将发送第二个“RADIUS Access－Request”，Server 将根据此信息进行认证，这个过程类似于前面介绍过得CHAP认证方式；
　　RADIUS Server 将根据事先设置的认证方式（CHAP、用户名口令、挑战应答等）认证该用户，并发回“RADIUS Access－Accept”；或拒绝该用户，并发回“RADIUS Access－Reject”消息；
　　NAS通知Server开始Accounting，用户访问进程开始，当用户结束进程时，NAS通知Server结束Accounting进程。
　　基于RADIUS协议的认证方式由于其安全、灵活、可扩展性等特点被广泛应用，其认证机制的实现包括了用户名＋口令、基于对称加密、基于非对称加密等多种方式，可以根据实际的安全需求具体实施。

本文章由 http://www.wifidog.pro/2015/03/26/wifidog%E9%85%8D%E7%BD%AE%E6%B5%81%E7%A8%8B.html 整理编辑，转载请注明出处

要使用 RADIUS 服务器对WLAN无线路由器进行认证，您必须：
将WLAN无线路由器的 IP 地址添加到 RADIUS 服务器上。
在WLAN无线路由器中启用并指定 RADIUS 服务器。
将 RADIUS 用户名或组名添加到您的策略中。
要在配置中启用并指定 RADIUS 服务器。

选择“无线”>“无线安全”。
将显示“无线安全”页面。
选择“WPA Enterprise Mixed”选项卡。
选中“WPA Enterprise Mixed”复选框。
在“IP 地址”文本框中，输入 RADIUS 服务器的 IP 地址。
在“端口”文本框中，输入RADIUS的端口号。 默认端口号为 1812。 较早的 RADIUS 服务器可能使用端口 1645。
在“口令 ”文本框中，输入 WLAN设备和 RADIUS 服务器之间的共享密码。
要添加备份 RADIUS 服务器，请选择“次服务器设置”选项卡，然后选中“启用次 RADIUS 服务器”。
重复步骤 4 - 11 以配置备份服务器。 请确保主 RADIUS 服务器和备份 RADIUS 服务器上的共享密码相同。
有关详细信息，请参阅使用备份认证服务器。
单击“应用”“保存”。

本文章由 http://www.wifidog.pro/2015/03/26/wifidog-radius%E8%AE%A4%E8%AF%81.html 整理编辑，转载请注明出处