centos下freeradius+go-ldap-admin环境搭建,思科和华为AAA配置

centos下freeradius+go-ldap-admin环境搭建

radius配置

#radius配置
vi /etc/raddb/clients.conf
client 192.168.1.1 {
	ipaddr = 192.168.1.1
	secret = testing123
}
vi /etc/raddb/users
testing Cleartext-Password := "123456"
#配置LDAP关联
vi /etc/raddb/sites-enabled/default
#如果你的ldap是注释状态，你需要把注释去掉
-ldap
#freeradius集成LDAP
vi /etc/raddb/mods-available/ldap
ldap {
	server = '172.21.120.197'
	identity = 'cn=admin,dc=honghe,dc=com'
	password = 123456
	base_dn = 'ou=cash,dc=honghe,dc=com'
	port = 389
	#其它默认
}
vi /etc/raddb/sites-available/site_ldap 
#增加site_ldap文件
server site_ldap { 
    listen { 
         ipaddr = 0.0.0.0
         port = 1833
         type = auth
    } 
    authorize {
         update {
             control:Auth-Type := ldap
         }
    }
    authenticate {
        Auth-Type ldap {
            ldap
        }
    }
   
    post-auth {
        Post-Auth-Type Reject {
        }
    }
}

#此文件在site-enabled中建立软连接site_ldap
ln -s /etc/raddb/sites-available/site_ldap /etc/raddb/sites-enabled/
#修改/etc/raddb/sites-available/site_ldap文件权限和用户组与radius用户组一致
chmod 640 /etc/raddb/sites-available/site_ldap
chown root:radiusd /etc/raddb/sites-available/site_ldap

#重启radius
freeradius X
#用ldap中的用户作测试
radtest user1 123456 localhost 1812 testing123
radtest -t mschap user1 123456 localhost 1812 testing123
radtest -t pap user1 123456 localhost 1812 testing123

go-ldap-Admin

#安装
yum install docker-compose docker -y
systemctl start docker

#创建go-ldap-admin 目录
mkdir /go-ldap-admin
#创建docker-compose.yaml文件
vi /go-ldap-admin/docker-compose.yaml
version: '3'
networks:
  go-ldap-admin:
    driver: bridge
services:
  go-ldap-admin:
    image: registry.cn-hangzhou.aliyuncs.com/eryajf/go-ldap-admin
    container_name: go-ldap-admin
    hostname: go-ldap-admin
    restart: always
    environment:
      WAIT_HOSTS: openldap:389
      DB_DRIVER: sqlite3
    ports:
      - 8888:8888
    volumes:
      - ./data/go-ldap-admin:/app/data
    depends_on:
      - openldap
    links:
      - openldap:go-ldap-admin-openldap
    networks:
      - go-ldap-admin

  openldap:
    image: registry.cn-hangzhou.aliyuncs.com/eryajf/openldap:1.4.1
    container_name: go-ldap-admin-openldap
    hostname: go-ldap-admin-openldap
    restart: always
    environment:
      TZ: Asia/Shanghai
      LDAP_ORGANISATION: "eryajf.net"
      LDAP_DOMAIN: "eryajf.net"
      LDAP_ADMIN_PASSWORD: "123456"
    command: [ '--copy-service' ]
    volumes:
      - ./data/openldap/database:/var/lib/ldap
      - ./data/openldap/config:/etc/ldap/slapd.d
    ports:
      - 389:389
    networks:
      - go-ldap-admin

  phpldapadmin:
    image: registry.cn-hangzhou.aliyuncs.com/eryajf/phpldapadmin:0.9.0
    container_name: go-ldap-admin-phpldapadmin
    hostname: go-ldap-admin-phpldapadmin
    restart: always
    environment:
      TZ: Asia/Shanghai
      PHPLDAPADMIN_HTTPS: "false"
      PHPLDAPADMIN_LDAP_HOSTS: go-ldap-admin-openldap
    ports:
      - 8091:80
    volumes:
      - ./data/phpadmin:/var/www/phpldapadmin
    depends_on:
      - openldap
    links:
      - openldap:go-ldap-admin-openldap
    networks:
      - go-ldap-admin
:wq
#启动
docker-compose up -d
#进入go-ldap-admin 修改/app/config.yml文件中钉钉接口配置 同步后的用户默认密码
docker-compose exec  go-ldap-admin /bin/sh
vi config.yml

#重启go-ldap-admin
docker-compose restart go-ldap-admin

#登陆go-ldap-admin
http://IP:8888
admin
123456
#修改dingtalk_user字段属性映射关系,工号作为uid
人员管理---字段关系管理--dingtalk——user 编辑
用户名 改成job_number

#同步用户数据
人员管理---用户管理---点击同步钉钉用户信息

交换机配置命令

思科

##################################################################
#基于思科交换机
#
#配置思路：
#1.配置aaa方案, 认证方式和计费方式为radius
#2.配置启用 radius 计费开始停止报文发送
#3.配置radius-server模板
#4.配置radius报文中发送认证和计费报文
#5.让思科交换机上报交换机信息，保证交换机在ac上绑定
#6.配置对应端口开启802.1x
##################################################################

#step1：配置aaa认证方案
switch#config t   													#进入全局配置模式
switch(config)#aaa new-model  										#启用aaa认证
switch(config)#aaa authentication dot1x default group radius  		#配置802.1x认证使用radius服务器数据库
switch(config)#aaa authorization network default group radius 		#配置802.1x网络授权使用radius服务器。
switch(config)#aaa accounting update newinfo 						#配置启用计费更新报文发送

#step2：配置启用 radius 计费开始停止报文发送
#让终端下线后，ac上能正常下线
switch(config)#aaa accounting dot1x default start-stop group radius  
switch(config)#aaa accounting network default start-stop group radius

#step3：配置radius-server模板
switch(config)#radius-server host 172.21.2.3 auth-port 1812 acct-port 1813 key testing123	#指定主Radius服务器地址、通信密钥和端口

#step4:配置radius报文中发送认证和计费报文
switch(config)#radius-server vsa send authentication
switch(config)#radius-server vsa send accounting
switch(config)#radius-server configure-nas
switch(config)#radius-server attribute 8 include-in-access-req 							#配置交换机携带终端 IP 地址

#step5:让思科交换机上报交换机信息，保证交换机在ac上绑定
switch(config)#radius-server attribute 32 include-in-access-req
switch(config)#radius-server attribute 32 include-in-accounting-req

switch(config)#dot1x system-auth-control  							#全局启用dot1x认证

#step6：配置端口
switch(config)#int g1/0/01 						#进入需要开启802.1x认证的端口，如果需要进入多个端口，可以用指令：int range g1/0/1 - 3，表示进入端口1-3
switch(config-if)#switchport mode access 					#设置端口模式为访问模式
switch(config-if)#authentication port-control auto 			#部分思科ios没有该命令，用dot1x  pae  authenticator代替
switch(config-if)#dot1x port-control auto 					#端口开启dot1x认证
switch(config-if)#authentication host-mode multi-auth	#设置端口接入模式为多认证模式，此时允许多个用户分别接入认证
exit

#step: 开启MAB认证
switch(config)#int g1/0/01
switch(config-if)#mab           #开启MAB认证
switch(config-if)#dot1x timeout tx-period 10         #配置超时进行mab认证的时间  注意: 这里如果配置10秒  则进行mab认证时间为 10 * 3
switch(config-if)#dot1x max-reauth-req 2
switch(config-if)#exit

#step: 开启逃生vlan
switch(config)#vlan 11
switch(config-vlan)#exit
switch(config)#int g1/0/01
switch(config-if)#authentication event server dead action reinitialize vlan 11
switch(config-if)#exit

#step: 开启guest-vlan
switch(config)# dot1x guest-vlan supplicant			#全局开启guest-vlan
switch(config)#vlan 64					#创建guest-vlan 如果使用已有的vlan，则不需要配置
switch(config-vlan)#exit

#端口下配置guest-vlan
switch(config)#int g1/0/01          
switch(config-if)#authentication event no-response action authorize vlan 64
switch(config-if)#exit

华为

##################################################################
#基于华为交换机 - 传统模式
#
#参考文档:
#https://support.huawei.com/enterprise/zh/category/switches-pid-1482605678974?submodel=21059820
#
#配置思路：
#1.创建aaa方案并配置认证方式和计费方式为radius
#2.创建并配置radius服务器模板的各项参数
#3.创建认证域并在其上绑定aaa认证方案和计费方案与radius服务器模板
#4.配置全局默认域
#5.配置接口开启802.1X认证
##################################################################

#step1: 配置aaa方案
<HUAWEI>system-view                                  				#进入系统视图
[HUAWEI]aaa                                     					#进入aaa视图
[HUAWEI-aaa]authentication-scheme sangfor_aaa               		#创建aaa方案“sangfor_aaa”
[HUAWEI-aaa-authen-abc]authentication-mode radius     				#配置当前认证方案使用的认证模式为“radius”
[HUAWEI-aaa-authen-abc]quit
[HUAWEI-aaa]accounting-scheme sangfor_aaa                  			#创建aaa计费方案“sangfor_aaa”
[HUAWEI-aaa-accounting-abc]accounting-mode radius     				#配置当前计费方案使用的计费模式为“radius”
[HUAWEI-aaa-accounting-abc]quit
[HUAWEI-aaa]quit

#step2:配置radius服务器模板
[HUAWEI]radius-server template sangfor_radius_tp                    						#创建radius服务器模板“test”
[HUAWEI-radius-test]radius-server authentication 192.168.1.1 1812       			#设置radius服务器的认证IP地址和端口号
[HUAWEI-radius-test]radius-server accounting 192.168.1.1 1813    				#设置radius服务器的计费IP地址和端口号
[HUAWEI-radius-test]radius-server shared-key cipher testing123    						#设置接入设备与radius认证服务器的共享密钥
[HUAWEI-radius-test]quit

#step3:创建AD域并绑定上述创建的aaa方案以及radius服务器模板
[HUAWEI]aaa                                            			#进入aaa视图
[HUAWEI-aaa]domain sangfor_AD                           		#创建认证域“sangfor_AD”
[HUAWEI-aaa-domain-nac]authentication-scheme sangfor_aaa        #在域下绑定aaa认证方案“sangfor_aaa”
[HUAWEI-aaa-domain-nac]accounting-scheme sangfor_aaa           	#在域下绑定aaa计费方案“sangfor_aaa”
[HUAWEI-aaa-domain-nac]radius-server sangfor_radius_tp        	#在认证域下绑定radius服务器模板“sangfor_radius_tp”
[HUAWEI-aaa-domain-nac]quit
[HUAWEI-aaa]quit

#指定全局默认域, 全局默认域只能配置一个多次配置会被覆盖，以最后一次配置为准
[HUAWEI]domain sangfor_AD                                  	 	#配置全局默认域为“sangfor_AD”

#step4:全局开启802.1x功能
[HUAWEI]dot1x enable

#step5:对应端口开启802.1x认证
[HUAWEI]interface GigabitEthernet 0/0/01                    		#进入用户接入的接口视图
[HUAWEI-GigabitEthernet0/0/01]dot1x enable                  		#开启802.1X认证
[HUAWEI-GigabitEthernet0/0/01]dot1x authentication-method eap	#认证方式EAP
[HUAWEI-GigabitEthernet0/0/01]dot1x port-method mac		#mac 支持多个终端接入, port 只支持单个终端
[HUAWEI-GigabitEthernet0/0/01]dot1x domain sangfor_AD	 #配置端口802.1x强制使用的认证域，如果不配则使用全局默认域
[HUAWEI-GigabitEthernet0/0/01]quit


#step:开启MAB认证
[HUAWEI] mac-authen username macaddress format with-hyphen normal  #设置mab认证时用户名为ef-ee-1e-23-ef-ee格式，全局设置，也可单独在端口下设置
[HUAWEI] dot1x timer mac-bypass-delay 30  #设置802.1x认证失败进行mab认证的时间
[HUAWEI]interface GigabitEthernet 0/0/01
[HUAWEI-GigabitEthernet0/0/01]dot1x mac-bypass             #启用MAC旁路认证，如果端口未开启802.1x，执行此命令会同步开启，undo此命令会同时关闭802.1x      
[HUAWEI-GigabitEthernet0/0/01]mac-authen domain sangfor_AD   #配置mac认证时强制使用的认证域，如果不配置则使用全局默认域
[HUAWEI-GigabitEthernet0/0/01]quit

#step:开启逃生Vlan
[HUAWEI]vlan 11
[HUAWEI-vlan11]quit
[HUAWEI]interface GigabitEthernet 0/0/01
[HUAWEI-GigabitEthernet0/0/01]authentication critical-vlan 11
[HUAWEI-GigabitEthernet0/0/01]quit

#step:开启Guest-Vlan
[HUAWEI]vlan 64
[HUAWEI-vlan64]quit
[HUAWEI]interface GigabitEthernet 0/0/01
[HUAWEI-GigabitEthernet0/0/01]authentication guest-vlan 64
[HUAWEI-GigabitEthernet0/0/01]quit