☰

FreeRADIUS 3.0.11 ignorando solicitação de acesso de uma interface NIC

tag-icon • tag-icon networking ubuntu iptables network-adapter freeradius
FreeRADIUS 3.0.11 ignorando solicitação de acesso de uma interface NIC

Instalei o FreeRADIUS 3.0.11 no Ubuntu Server 16.04. O Ubuntu Server é executado em uma máquina virtual ESXi. A máquina virtual possui duas NICs. Um é para conexão a uma rede administrativa, o outro é para LAN do cliente. Também estou usando uma máquina virtual PfSense como firewall entre a LAN e o servidor Ubuntu.

Uma foto da minha rede

O problema é que quando estou testando derede de administração radtest test 1234 192.168.1.144 1812 testing123o servidor FreeRADIUS percebe e responde corretamente, mas quando estou testandoLAN, o servidor FreeRADIUS não recebe a solicitação de acesso. Estou usando o servidor em modo de depuração freeradius -X.

Os IPs são:

Ubuntu server admin NIC, ens160: 192.168.1.144
Ubuntu server NIC to PfSense, ens192: 192.168.34.2
PfSense NIC to Ubuntu server: 192.168.34.1
PfSense LAN NIC: 192.168.33.1

Eu verifiquei comtcpdumpque o servidor Ubuntu está recebendo os pacotes Access-Request. O IP 192.168.33.50 é o IP de um laptop.

sudo tcpdump -i ens192 port 1812
10:24:18.578802 IP 192.168.33.50.63334 > 192.168.34.2.radius: RADIUS, Access-Request (1), id: 0x09 length: 44
10:24:19.578202 IP 192.168.33.50.63334 > 192.168.34.2.radius: RADIUS, Access-Request (1), id: 0x09 length: 44

estou a usartabelas de ippara encaminhar HTTP e HTTPS para a máquina virtual PfSense, para que eu possa configurá-la na rede administrativa.

# Generated by iptables-save v1.6.0 on Wed May  4 10:23:08 2016
*nat
:PREROUTING ACCEPT [2:396]
:INPUT ACCEPT [2:396]
:OUTPUT ACCEPT [3:213]
:POSTROUTING ACCEPT [3:213]
-A PREROUTING -i ens160 -p tcp -m tcp --dport 4954 -j DNAT --to-destination 192.168.34.1:80
-A PREROUTING -i ens160 -p tcp -m tcp --dport 4955 -j DNAT --to-destination 192.168.34.1:443
-A POSTROUTING -d 192.168.34.1/32 -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.34.2
-A POSTROUTING -d 192.168.34.1/32 -p tcp -m tcp --dport 443 -j SNAT --to-source 192.168.34.2
COMMIT
# Completed on Wed May  4 10:23:08 2016
# Generated by iptables-save v1.6.0 on Wed May  4 10:23:08 2016
*filter
:INPUT ACCEPT [24:2294]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [16:3245]
-A INPUT -p udp -m udp -m multiport --dports 1812 -m comment --comment     "Accept RADIUS" -j ACCEPT
COMMIT
# Completed on Wed May  4 10:23:08 2016

Verifiquei se o FreeRADIUS está escutando a porta 1812.

netstat -lun | grep 1812
udp        0      0 127.0.0.1:18120         0.0.0.0:*
udp        0      0 0.0.0.0:1812            0.0.0.0:*
udp6       0      0 :::1812                 :::*

Tentei encaminhar a porta 1812 da interface para outra, mas ou configurei errado ou não adiantou. Tenho certeza de que existe algum truque fácil para fazer isso funcionar, mas ainda não o encontrei. Obrigado pela ajuda!

ATUALIZAR

Eu tentei colocarRegistro de solicitaçõesremovendo o comentário da linha requests = ${logdir}/radiusd-%{%{Virtual-Server}:-DEFAULT}-%Y%m%d.logno arquivo /etc/freeradius/radiusd.conf. No entanto, isso gera um erro e o freeradius nem inicia. O modo de depuração é iniciado, mas não grava nada no arquivo radius.log.

sudo freeradius
radiusd: Error: Failed to parse log{} section.

Parece que o log de solicitações não está funcionando desde a versão 3.0.9. Fonte: github.com/FreeRADIUS/freeradius-server/issues/1131

Responder1

Eu resolvi o problema. Tive que adicionar um gateway para a outra NIC também.

Aqui está meu /etc/network/interfacesarquivo inicial:

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
# This is an autoconfigured IPv6 interface
#auto ens160
#iface ens160 inet6 auto

# ESXi NIC admin network
auto ens160
iface ens160 inet static
address 192.168.1.144
netmask 255.255.255.0
gateway 192.168.1.1
dns-nameservers 192.168.1.3 192.168.1.2

# ESXi NIC DMZ
auto ens192
iface ens192 inet static
address 192.168.34.2
netmask 255.255.255.0

Adicionei uma segunda tabela de roteamento (a última linha foi adicionada):

sudo vim /etc/iproute2/rt_tables
#
# reserved values
#
255 local
254 main
253 default
0   unspec
#
# local
#
#1  inr.ruhep
1 rt2

Configurei a nova tabela de roteamento:

sudo ip route add 192.168.34.0/24 dev ens192 src 192.168.34.2 table rt2
sudo ip route add default via 192.168.34.1 dev ens192 table rt2

Regras de roteamento adicionadas:

sudo ip rule add from 192.168.34.2/32 table rt2
sudo ip rule add to 192.168.34.2/32 table rt2

Testei que a configuração funciona e tornei-a permanente modificando o /etc/network/interfacesarquivo:

iface ens192 inet static
    address 192.168.34.2
    netmask 255.255.255.0
    post-up ip route add 192.168.34.0/24 dev ens192 src 192.168.34.2 table rt2
    post-up ip route add default via 192.168.34.1 dev ens192 table rt2
    post-up ip rule add from 192.168.34.2/32 table rt2
    post-up ip rule add to 192.168.34.2/32 table rt2

A fonte da solução:https://www.thomas-krenn.com/en/wiki/Two_Default_Gateways_on_One_System

IPTABLES

E para manter meu encaminhamento de porta funcionando, adicioneiinterface de saídaàs regras do iptables (-o ens192 adicionado):

-A POSTROUTING -d 192.168.34.1/32 -o ens192 -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.34.2
-A POSTROUTING -d 192.168.34.1/32 -o ens192 -p tcp -m tcp --dport 443 -j SNAT --to-source 192.168.34.2

informação relacionada