通过 Radius (Freeradius) 对 OpenVPN 用户进行身份验证

Question

我已经在我的 ubuntu 机器上设置了 OpenVPN 服务器（不是访问服务器，开源社区版）和 Freeradius 3。 OpenVPN 客户端身份验证已针对使用 Easy-RSA 生成的用户的用户名/密码和证书/密钥机制进行了测试。 Freeradius 用户创建和测试分别由 daloradius 和 ntradping 完成。

我想要的是对我的 VPN 客户端使用 RADIUS 身份验证。 基本上，当客户端提示输入用户名密码时，我想通过我在 freeradius 中创建的凭据登录。

在这个页面的OpenVPN官方文档页面上关于它的信息很少

在按照指南进行操作时，我发现 openvpn-auth-pam 插件已被重命名、重新定位并且现在已经预构建（如果不能随意纠正我，我认为是因为 openvpn-plugin-auth-pam.so 文件已经在那里）到不同的目录

根据指南，我必须将以下行添加到我的服务器配置文件中。

plugin /usr/lib/x86_64-linux-gnu/openvpn/plugins/openvpn-plugin-auth-pam.so [name of the module to be used for authentication] 

所以这里我需要调用一个调用freeradius的模块来执行认证。 该指南使用位于/etc/pam.d目录的“登录”PAM 模块，除非我发现错误。 在同一目录下还有一个名为 radiusd 的文件，文件内容为

/* /etc/pam.d/radiusd - FreeRADIUS 的 PAM 配置 */

/* 我们回退到 /etc/pam.d/common-* 中的系统默认值 */

@include 普通认证

@include 普通账户

@include 通用密码

@include 普通会话

我不确定下一步该做什么。 freeradius 自己的 PAM 模块是否与我尝试执行的操作相关？ 或者我是否需要使用一些外部工具和库来将 freeradius 与 OpenVPN 集成？ 还是我需要自己创建模块文件？ 提前致谢

Answer 1

使用 Debian。 Centos 7 即将停产。 Centos 8+ 在 repos 中没有这个插件，但你可以编译它（见答案结尾）。

安装 RADIUS 身份验证模块并编辑 openvpn 服务器配置

apt update
# apt-cache search ".*openvpn.*radius.*"
apt install openvpn-auth-radius
# find / -name "radiusplugin*"
cp /usr/share/doc/openvpn-auth-radius/examples/radiusplugin.cnf /etc/openvpn/radiusplugin.cnf
nano /etc/openvpn/radiusplugin.cnf

编辑 /etc/openvpn/radiusplugin.cnf 中的下一部分。 Rest - 保持原样。

name=ip-of-your-radius
retry=10 # change if needed
wait=600 # change if needed
sharedsecret=paste-here-radius-secret

服务器配置

nano /etc/openvpn/server.conf

添加行：

# For auth plugins. Uncomment if needed
# username-as-common-name
 
# RADIUS Auth
plugin /usr/lib/openvpn/radiusplugin.so /etc/openvpn/radiusplugin.cnf

如果你想编译它（我没有测试过）：

apt-get install libgcrypt11 libgcrypt11-dev gcc make build-essential
wget http://www.nongnu.org/radiusplugin/radiusplugin_v2.1a_beta1.tar.gz
tar xvfz radiusplugin_v2.1a_beta1.tar.gz
cd radiusplugin_v2.1a_beta1/
make
cp radiusplugin.so /etc/openvpn/
cp radiusplugin.cnf /etc/openvpn/

OpenVPN 插件列表： https://community.openvpn.net/openvpn/wiki/PluginOverview

PS：LDAP 集成的类似算法（在 repo 中找到插件，使用示例配置，将其添加到主配置中）。