RADIUS и Wi‑Fi: настройка и сертификаты

Коротко о задаче

Этот материал объясняет, как после инсталляции RADIUS‑сервера найти IP‑адрес машины, включить веб‑администрирование по сети, создать первого пользователя и NAS, настроить точку доступа для использования RADIUS и установить клиентские сертификаты на Windows. Ключевые термины:

RADIUS: централизованная служба аутентификации для сетей.
NAS: сетевое устройство, которое будет отправлять запросы на RADIUS (в данном случае точка доступа или роутер).
Сертификаты: используются для шифрования TLS/PEAP и подтверждения сервера.

Необходимое до начала

Физический доступ к серверу для первой настройки.
Установленный RADIUS‑сервер (описание предполагает, что он уже инсталлирован).
Клиент Windows с правами администратора для установки сертификатов.
WinSCP на Windows или другой SFTP/SCP клиент.

Шаг 15 — Вход после перезагрузки

После завершения установки сервер автоматически перезагрузится. Войдите локально в систему под пользователем root и паролем, который вы указали при установке.

Экран входа в систему с полем для имени пользователя и пароля

Шаг 16 — Узнаём IP через терминал

В окружении JWM откройте терминал: JWM > Terminal. В терминале выполните команду:

ifconfig

Нажмите Enter. Команда покажет состояние сетевых интерфейсов. В примере интерфейс называется eth0 и имеет IP 192.168.0.15. Ищите значение inet addr или inet. Пример экрана:

Вывод ifconfig с подсвеченным адресом интерфейса eth0

Администрирование через веб‑интерфейс возможно локально по умолчанию. Если вы хотите разрешить доступ к веб‑панели по локальной сети, нужно изменить конфигурацию Apache — иначе потребуется физический доступ к машине.

Важно: включение веб‑доступа по сети увеличивает поверхность атаки. Выполняйте изменения только в надежной локальной сети и после настройки безопасности.

Включение веб‑администрирования (редактирование apache2.conf)

Необходимо отредактировать /etc/apache2/apache2.conf и заменить строку на:

Allow from all

Для удобства работы с файлами с Windows используйте WinSCP: http://winscp.net/eng/download.php

Шаги в WinSCP:

A) Нажмите NEW.

B) Укажите параметры сессии:

host name = IP-адрес вашей машины
user name = root
password = пароль, который вы задали

C) Нажмите Save, затем Login.

D) В списке директорий дважды щёлкните по .. чтобы подняться выше, затем перейдите по пути etc → apache2 → apache2.conf:

WinSCP: список файлов и переход в каталог etc

E) Откройте apache2.conf для редактирования. Перейдите к строке около 290 и замените соответствующее правило на:

Allow from all

Сохраните (иконка дискеты) и закройте окно редактирования.

F) В WinSCP откройте терминал: Commands > Open Terminal (или Ctrl+T). Выполните команду для перезапуска Apache:

/etc/init.d/apache2 restart

Эта команда перезапустит веб‑сервер и применит изменения конфигурации.

Доступ к веб‑панели RADIUS

Откройте браузер на машине в той же сети и перейдите по адресу, заменив IP на ваш:

http://192.168.0.15/daloradius

Страница входа использует логин administrator и пароль radius по умолчанию. После включения доступа по сети обязательно измените этот пароль.

Если вы ввели неверные данные, появится соответствующее сообщение об ошибке:

Сообщение об ошибке входа в daloradius при неправильном пароле

Шаг 17 — Создание пользователя в daloradius

В веб‑панели: Management > User > New User. Укажите логин и пароль, как вам нужно. В поле Type выберите Cleartext‑Password. После заполнения нажмите Apply.

Создание пользователя в daloradius с выбором Cleartext-Password

Шаг 18 — Добавление NAS (точки доступа)

В веб‑панели: Management > NAS > New NAS.

A) Введите IP‑адрес вашей точки доступа или роутера (в примере 192.168.0.1).

B) Придумайте и укажите NAS Secret — общий секрет, который будет использовать устройство для общения с RADIUS.

C) NAS Type: other (если у вас не Cisco, выберите other).

D) Укажите краткое имя NAS, например dlinkap.

Добавление NAS в daloradius с IP, секретом и именем устройства

После этого точка доступа должна быть настроена так, чтобы использовать WPA/WPA2 Enterprise с IP RADIUS-сервера, порт 1812 и указать общий секрет, который вы задали.

На примере D‑Link DAP‑1150 параметры находятся в разделе безопасности беспроводной сети; у других производителей интерфейс может отличаться, но смысл тот же.

Интерфейс настройки точки доступа для выбора RADIUS сервера

Копирование клиентских сертификатов

На сервере файлы сертификатов находятся в:

/etc/freeradius/certs/client-certificates

Скопируйте два файла с сертификатами на рабочую станцию — перетащите их в WinSCP на рабочий стол или сохраните на USB‑накопитель для последующей установки.

Папка с клиентскими сертификатами в файловом менеджере сервера

Установка сертификатов на Windows

В Windows 7 и более новых версиях двухкратный щелчок по сертификату запустит мастер установки. Установите корневой CA и серверный сертификат в хранилище «Доверенные корневые центры сертификации».

Краткая инструкция:

Дважды щёлкните CA‑сертификат > Открыть > Установить сертификат > Далее > Выбрать «Поместить все сертификаты в следующее хранилище» > Обзор > Доверенные корневые центры сертификации > OK > Далее > Завершить.

Установка CA сертификата в хранилище доверенных

Дважды щёлкните серверный сертификат > Далее > Далее > Введите пароль при установке: ciitixwifi > Далее > Поместить все в следующее хранилище > Обзор > Trusted Root CA > OK > Далее > Завершить.

После установки при подключении к Wi‑Fi сеть попросит имя пользователя и пароль, которые вы зарегистрировали в daloradius.

Окно запроса учетных данных при подключении к Enterprise WiFi

Windows может выдать предупреждение при первом использовании самоподписанного сертификата — это нормально. После подтверждения система не будет спрашивать снова.

iPhone и iPad обычно получают сертификаты автоматически с сервера при настройке EAP, поэтому ручная установка не требуется. Linux‑клиенты: способ установки зависит от дистрибутива; в Ubuntu‑подобных системах двойной клик по сертификату может запустить средство установки.

Некоторые встроенные устройства (например, игровые приставки) могут не поддерживать Enterprise аутентификацию.

Критерии приёмки

Веб‑интерфейс daloradius доступен по IP в локальной сети.
Создан пользователь в daloradius, аутентификация для него проходит успешно.
NAS добавлен с правильным IP и секретом, устройство направляет запросы на RADIUS (порт 1812).
Клиентские сертификаты установлены, рабочая станция подключается к сети и запрашивает учетные данные.

Руководство по устранению неисправностей

Нет ответа от RADIUS при подключении: проверьте, что точка доступа использует IP сервера и порт 1812, секрет совпадает.
401/неверный логин: убедитесь, что в daloradius пользователь создан с типом Cleartext‑Password и что пароль введён правильно.
Веб‑панель не доступна: проверьте, что Apache запущен и конфигурация сохранена, выполните /etc/init.d/apache2 restart.
Сертификат не доверен на клиенте: убедитесь, что корневой сертификат установлен в «Доверенные корневые центры сертификации».

Полезные команды на сервере:

ifconfig            # посмотреть IP и интерфейсы
/etc/init.d/apache2 restart   # перезапустить Apache
service freeradius restart    # перезапустить FreeRADIUS, если нужно
tail -f /var/log/freeradius/radius.log   # смотреть лог RADIUS в реальном времени

Роль‑ориентированные контрольные списки

Администратор сервера:

Проверить доступ к консоли сервера.
Изменить apache2.conf и перезапустить Apache.
Создать пользователей и NAS в daloradius.
Экспортировать сертификаты и подготовить пакет развертывания для клиентов.

Инженер беспроводной сети:

Настроить точку доступа на WPA/WPA2 Enterprise.
Убедиться в доступности RADIUS по сети.
Протестировать аутентификацию с тестовой учётной записью.

Пользователь рабочих станций:

Установить сертификаты (при необходимости).
Подключиться к SSID, ввести логин и пароль.
Сообщить об ошибках администратору с логами и скриншотами.

Мини‑методология развёртывания (шаги)

Настроить RADIUS и убедиться в работе локально.
Включить веб‑интерфейс при необходимости.
Создать тестового пользователя и NAS.
Настроить одну тестовую точку доступа и проверить подключение.
Подготовить клиентские сертификаты и инструкцию по установке.
Пошагово вводить остальные точки доступа и пользователей, проверяя каждый этап.

Меры безопасности и рекомендации

Смените пароли по умолчанию сразу после первого входа.
Используйте сложные NAS‑secret и меняйте их при подозрительной активности.
По возможности используйте TLS/PEAP с проверкой сертификата сервера на клиенте.
Закрывайте доступ к веб‑панели извне или ограничьте доступ по IP/VPN.

Совместимость и ограничивающие случаи

Некоторые старые или встроенные устройства не поддерживают Enterprise‑аутентификацию и потребуют WPA2 Personal.
Мобильные устройства iOS мониторят и получают сертификаты автоматически в большинстве случаев.
Для корпоративного развёртывания стоит использовать централизованную систему управления сертификатами (например, AD CS или MDM).

Быстрая проверка перед сдачей

Доступ к daloradius по HTTP доступен с локального компьютера.
Тестовый пользователь проходит аутентификацию через точку доступа.
Клиент с установленными сертификатами подключается без ошибок.

Короткое резюме

Вы узнали, как определить IP сервера, включить веб‑администрирование Apache, создать пользователя и NAS в daloradius, настроить точку доступа на WPA/WPA2 Enterprise, экспортировать клиентские сертификаты и установить их на Windows. Следуйте контрольным спискам и рекомендациям по безопасности для надёжного развёртывания.

Важно: при развёртывании в продакшн‑окружении дополнительно планируйте резервирование, мониторинг и регулярную ротацию секретов.