Мы хотим настроить StrongSwan VPN с FreeRadius для аутентификации. В дополнение к этому мы хотим назначить пользователям разные подсети на основе групп AD. StrongSwan использует для этого атрибут class в ответе "доступ-прием" (https://wiki.strongswan.org/projects/strongswan/wiki/EapRadius).
Насколько мне известно, в FreeRadius можно использовать настраиваемые атрибуты для хранения данных, используемых в процессе ответа / прокси / управления…, и отправки их обратно в StrongSwan.
К сожалению, это не работает в нашей среде FreeRadius, и настраиваемый атрибут остается пустым. Однако можно получить доступ к атрибутам, уже существующим в списке ответов.
Эта конфигурация, например, отправляет обратно пустое ответное сообщение переменной.
/ и т.д. / раддб / словарь:
ATTRIBUTE test 3000 string
/ и т. д. / раддб / пользователи
DEFAULT test = “TESTTEST”
/ и т. д. / раддб / сайты-включены / по умолчанию
…
post-auth {
…
update reply {
Reply-Message := "%{control:test}"
}
…
}
Журнал-вывод:
(11) [exec] = noop
(11) policy remove_reply_message_if_eap {
(11) if (&reply:EAP-Message && &reply:Reply-Message) {
(11) if (&reply:EAP-Message && &reply:Reply-Message) -> FALSE
(11) else {
(11) [noop] = noop
(11) } # else = noop
(11) } # policy remove_reply_message_if_eap = noop
(11) update reply {
(11) EXPAND %{control:test}
(11) -->
(11) Reply-Message :=
(11) } # update reply = noop
(11) } # post-auth = noop
(11) Sent Access-Accept Id 5 from 127.0.0.1:1812 to 127.0.0.1:50913 length 0
(11) MS-MPPE-Recv-Key = 0xd23e4723df9ff904741b91827518aaa48dcbca27204024965d37fdb6bece0270
(11) MS-MPPE-Send-Key = 0x4e7de0fc944a5114ab435df43fa943901870741a86571e3ccddef11b82e406e1
(11) EAP-Message = 0x03050004
(11) Message-Authenticator = 0x00000000000000000000000000000000
(11) User-Name = "raduser"
(11) Reply-Message := ""
(11) Finished request
FreeRADIUS Версия 3.0.19
Согласно этим руководствам, приведенная выше конфигурация должна работать:
- возврат настраиваемых атрибутов пользователя в ответе radius
- https://serverfault.com/questions/939980/freeradius-return-user-groups-in-class-field
Что-то нам не хватает? Заранее спасибо.
radiusd -X
- person Arran Cudbard-Bell   schedule 08.11.2019