MSCHAPv2 身份驗證不起作用

Question 1

您既不需要啟用該ntlm_auth行/etc/raddb/mods-available/mschap，也不需要ntlm auth = yes在smb.conf.由於MSCHAPv2似乎不支援NTLMv2，你做需要在您的中設定以下內容smb.conf：

ntlm auth = mschapv2-and-ntlmv2-only

去引用smb.conf 線上說明頁：

“僅當客戶端承諾提供 MSCHAPv2 身份驗證（例如工具ntlm_auth）時才允許 NTLMv1。”

但是，對於現代 Sambas 和最新版本的 Freeradius，您不需要ntlm_auth明確啟用，因為Freeradius 3.0.8 及更新版本可以直接與 Winbind 對話。只要記住授予它對 Winbind 管道的讀取權限即可！例如。在 Debian 上可以運行setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/.

總而言之，我為了從radtest -t mschap testaccount mypass 127.0.0.1 0 testing123運行 Samba 作為 AD DC 和 Freeradius 的 Debian Buster 盒子上接收訪問接受而對 mschap 模組配置所做的所有更改如下：

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

（請注意，這winbind_retry_with_normalised_username可能與此測試環境無關。）

MYDOMAIN是經典 NT4 形式的域名，而不是類似 Kerberos 的DOMAIN.TLD形式。即使您沒有直接在 DC 上執行 Freeradius，只要伺服器已正確加入網域，Freeradius 的實際 mschap 模組配置仍然應該相同。如果DC是Windows，那麼顯然沒有smb.conf，但使用NTLMv1的能力取決於域功能級別和使用者是否屬於受保護的使用者群組。

請注意，如果 MSCHAPv2 將用於 Wi-Fi 身份驗證，它只能在相互驗證的隧道內使用以防止虛假接入點。對於 EAP 類型，請參閱維基百科有關客戶端限制的摘要，請參閱第二個答案為什麼要使用 EAP-TTLS 而不是 PEAP？

Answer