freeradius - freeRadius 使用 EAP 和自定义身份验证脚本

Question

我正在尝试设置一个 freeradius 服务器来针对 Web 服务进行身份验证。这样做的原因是涉及帐户状态和mac地址的复杂工作流程。工作流程似乎不适合自由半径。因此，我的用户名和加密密码远程存储到 radius 服务器。使用 radclient 测试一切正常。当我开始使用接入点时，我了解到它只通过 eap-tls 与 radius 服务器通信。这意味着 User-Password 参数不适用于我的脚本。

有没有办法让 eap auth 针对我的脚本检查用户身份验证？我的意思是，我可以获得发送到我的辅助服务的密码吗？

或者，有没有办法从加密的 eap 消息数据中获取用户密码？

Answer 1

接入点通常不会限制 EAP 类型。连接到 AP 的设备与 FreeRADIUS 协商 EAP 类型。如果它使用 EAP-TLS，它可能是一台尚未配置为执行任何不同操作的 Windows 机器。

调查 EAP 风味以找出可用的风味。如果您有 EAP-TTLS-PAP，您可以从无线客户端发送明文密码，并使用它对 Web 服务进行身份验证。

在 FreeRADIUS v3.0.x 中有一个 rlm_rest 模块，它可以代表用户执行基本的身份验证，只需很少的配置。