当前位置：首页 > news >正文

告别繁琐配置！在CentOS 7.8上快速搭建FreeRadius+AD认证服务器，5分钟搞定基础测试

news 2026/4/21 1:01:18

5分钟极速验证：CentOS 7.8与FreeRadius+AD认证的黄金配置组合

当技术团队需要快速验证企业级认证方案时，传统部署流程往往成为效率杀手。想象一下：新入职的运维工程师需要在演示环境中验证AD账号对接无线网络的可行性，而标准文档动辄20页的配置步骤让人望而生畏。本文将揭示如何用5个核心步骤完成FreeRadius与Windows AD的对接验证，跳过非必要环节直达结果。

1. 环境准备：最小化必要组件

在CentOS 7.8系统上，我们只需要关注三个关键服务：

Samba：AD域通信的桥梁
Kerberos：安全认证协议实现
FreeRadius：认证服务核心

提示：实验环境建议使用干净的系统镜像，避免已有服务造成端口冲突

执行以下命令安装基础组件：

yum install -y freeradius freeradius-utils samba winbind krb5-workstation

配置系统基础环境：

关闭SELinux（临时简化配置）：
```
setenforce 0
```

开放必要防火墙端口：

firewall-cmd --add-service={kerberos,ldap,ldaps} --permanent firewall-cmd --add-port=1812-1813/udp --permanent firewall-cmd --reload

2. AD域对接：Samba与Kerberos的黄金配置

2.1 Samba关键配置

编辑/etc/samba/smb.conf只需保留核心参数：

[global] workgroup = ABC security = ads realm = ABC.COM password server = ADS.ABC.COM winbind use default domain = yes

启动服务并加入域：

systemctl start smb winbind net ads join -U administrator%密码

2.2 Kerberos极简配置

/etc/krb5.conf只需配置realms段：

[realms] ABC.COM = { kdc = ads.abc.com admin_server = ads.abc.com }

验证Kerberos票据：

kinit administrator@ABC.COM klist

3. FreeRadius核心配置

3.1 启用MS-CHAP模块

编辑/etc/raddb/mods-enabled/mschap：

ntlm_auth = "/usr/bin/ntlm_auth --request-nt-key --domain=ABC.COM --username=%{%{mschap:User-Name}:-0}"

3.2 客户端白名单配置

/etc/raddb/clients.conf添加测试客户端：

client localhost { ipaddr = 127.0.0.1 secret = testing123 }

4. 一键测试脚本

创建测试脚本radius_test.sh：

#!/bin/bash username=$1 password=$2 radtest $username $password localhost 0 testing123

赋予执行权限并测试：

chmod +x radius_test.sh ./radius_test.sh testuser 'P@ssw0rd'

成功响应示例：

Received Access-Accept Id 123 from 127.0.0.1:1812...

5. 排错指南：快速定位常见问题

现象	检查点	解决方案
加入域失败	DNS解析	`nslookup ads.abc.com`
Kerberos认证失败	时间同步	`ntpdate pool.ntp.org`
Access-Reject	Winbind权限	`setsebool -P allow_winbind_mod_auth 1`

关键日志文件路径：