RADIUSを語ろう

RADIUS関連のスレッド探したんだけど見つからなかったんで
立ててみました。

知りたい、認証サーバーでしょ

RaddbyとDTCしか知らないけど他になんかあるの？
プロトコル自体が単純だし、サーバも競合製品が少なくて機能的な競争も無いから
語りどころが少なすぎる

DTCのDetailログの出力形式はApacheのカスタムログのように
なんとかならんものか･･･。
統計を取るのに苦労する。

DIAMETERとRADIUSの違いを教えてください

>>3
市販品でも、ざっと、
Lucent NavisRadius、fullflex RADIUS、Steel-Belted RADIUS、
Nextcom RADIUS、Cisco Secure ACS、Enterpras

知らぬ間にレスついてたよ。

>>3
Freeradiusってのもあるよ。
http://www.freeradius.org/

語るところが少ないくせに、フリーのものは安定して
動いてくれないから、その手のエピソードが有る人に
は結構語れると思うがどうか？

>>4
-Sオプションとかでどうにかなりませんか？

FreeRadiusの元になったCistronは、かなり安定してるよ。
メンテナンス継続してるし。

DTCは (いつぞやのセキュリティ問題含め) 何年も放置プレイなので、
素人にはお勧めできない。

http://members9.tsukaeru.net/crystal/heart.index.html

すちべるってすんごく高い気がするんだけど、
商用RADIUSってみんなバカ高いのかしらん?

ldapとどう違うの？
「認証」ってとこにforcusして。

LDAPは認証サーバじゃない。
実際の動きは多少似てるけどな。
LDAPではChallengeとかってあったっけ。

>>6
Cisco Access Registrar なんてのもあるぞ。
国産だとRACCIも忘れてはいかんな。
MERITもフル機能版は有償だったとおもう。

RADIUSって構成上方言インプリが簡単だから、
トラブルとめんどくさいのよねー(しみじみ)。
RFCのトラックも大変だし。
いまRFC2138/2139が実装系の主流だけど、この2138じゃ
Proxy RADIUSの仕様がRequest Authenticatorのユニーク条項と
カチ合っててこれが数々の悲劇を生んだのよねー。
っつーか現在進行形で苦しめられてます・・。
電話会社系システムだと方言インプリを正当化するため、
古めのRFC(2053あたり)に準拠みたいなこといってごまかすしねぇ。

いまの最新って2868/2869と思われますが、これに準拠した製品って
あるのかしらん?

Raddby

>>15
SolitonでRADIUSアプリだしてたのねー、
でもRFC2138/2139って書いてあったよ・・。
それともWeb Pageの情報ふるいの?

Cisco IOSでAscendのattribute使えるのかな？試した人いる？

あぼーん

>>17
CCOで検索すれ
主なAscend- のAttributeの対応表が載ってる。
勝手に拡張しまくってた頃の奴だったけど。
11.3の頃に調べたら出てきた。

・・・で、フリーなRADIUSサーバーはどれがいいの？

MSのIASでもつかってろ。

Ascend Free RADIUSはEOL
http://www.lucentradius.com に引き継ぎ

FreeRADIUS
http://www.freeradius.org/

GNU Radius
http://www.gnu.org/software/radius/

IC-RADIUS
http://radius.innercite.com/

Cistron RADIUS
http://www.radius.cistron.nl/

XTRadius
http://xtradius.sourceforge.net/

OpenRADIUS
http://www.xs4all.nl/~evbergen/openradius-index.html

NavisRadius4.2使ってる人いますか？

過程でEap使いたい。

　　　　　　　　　 ／￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣＼
Λ＿Λ　　|　君さぁ　こんなスレッド立てるから　　　　　　　　 　|
（　´∀｀）＜　厨房って言われちゃうんだよ　　　　　　　　　 　 　|
（ ΛΛ つ ＞―――――――――――――――――――‐＜
　( ﾟДﾟ) ＜　おまえのことを必要としてる奴なんて　　 　　　　　 |
　/つつ　　|　いないんだからさっさと回線切って首吊れ　　　 　|
　　　　　　 ＼＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿_／

(-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ… (-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ… (-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ…
(∩∩) (∩∩) (∩∩)

(-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ… (-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ… (-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ…
(∩∩) (∩∩) (∩∩)

(-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ… (-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ… (-＿-)　ﾊﾔｸｼﾝﾃﾞﾈ…
(∩∩) (∩∩) (∩∩)

「RADIUS」はなんて発音している？
最初「ラディアス」って言ってたんだけど、周りはみんな
「ラディウス」って言っているから浮かないように周りに合わせてるんだ。

らぢうす

（＾＾）

ラディウス。
今はなきリビングストンの外国人技術さんもラディウスだった。

フリーでお手軽なWindows用のRADIUSサーバーないですかね。
22みたけど、ほとんどUNIX。NavisRadiusはシェアウェアみたいだし。

http://dx1.kakiko.com/sonota/194/1948/index.html

自己レス。どっかの雑誌に載ってた。
http://www.itconsult2000.com/en/product/WinRadius.html

>32
http://www.dtc.co.jp/Radius2.0/index.html

RADIUSを使う環境にいないので、アレなんですが
DTCのRADIUSをベースにsourceforgeとかでプロジェクトを
立ち上げるとライセンス的に問題あるんでしょうか？

他に良いFreeのRADIUSがあるから、改めてDTCのRADIUSを
ハックする意味はない？？

Raddbyでradiusサーバを構築中なんですが、
radiusでの認証の検証をしたいんですが、Windows or Solaris用の
radiusクライアントはないでしょうか？

FreeBSD用のクライアントは下記URLで見つけたんですが、そのほかのが見つかりません。
http://www.kyoto-wave.or.jp/shain/radius/


どなたか知っていたら教えてください

初めての接続（認証）から1日（24時間）でパスワードが切れるような
設定が可能なRADIUSサーバーってあります

あぼーん

あぼーん

>>36
あります。
ここから先は有料になります。

>>35
DTC-Radius の radping (だっけ？）を使うってぇのは？

>35
自分はWIN用クライアントはNTRadpingを使ってる

（＾＾）

あぼーん

あぼーん

あぼーん

Win95で動くフリーのサーバーないでつか？

あぼーん

あぼーん

オライリーの日本語版がでるらしい。

あぼーん

　　　 　∧＿∧　 ∧＿∧
ﾋﾟｭ.ｰ　（　 ・３・） (　　＾＾ ） ＜これからも僕たちを応援して下さいね（＾＾）。
　　＝〔~∪￣￣￣∪￣￣〕
　　＝ ◎――――――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉&ぼるじょあ

あぼーん

test

<===== Access Reject

DVD安い

DVD安いだけに不良品も混じってるｗ
交換してくれるけどオマケはつかない罠
他社は余計に１枚２枚とくれるけどここは謝罪文のみ

>>35
DTC-Radius の radping (だっけ？）を使うってぇのは？

Windowsのターミナルモードを使用したPPP接続について
詳しい人いますか？

VSAにいろいろいれよう

ユーザーのグループごとにＩＰプールを確保しておき、認証時にユーザーのグループに応じたＩＰプールからＩＰを払い出すことができるＲＡＤＩＵＳサーバを探しているのですが、そのようなことができるRADIUSはありますでしょうか？
以下に具体例を示します。
（誰かここらへんに精通してるスペシャリストな方はいらっしゃいませんか？）

�@まず、同一セグメントのＩＰアドレスを２分割して２つのＩＰプールとして確保しておく。
　　例：（第１プール）149.22.33.1〜127
　　　　（第２プール）149.22.33.128〜255
　　　　　※サブネットは255.255.255.0

�AユーザーＩＤを２つのグループに分けて登録しておく。
　　例：ＡグループのユーザーＩＤ、５０名分
　　　　ＢグループのユーザーＩＤ、５０名分

�BＡグループの認証時には第１プールからＩＰを割り当てる。Ｂグループの認証時には第２プールからＩＰを割り当てる。

>>60
アトリビュートの辺りをいじくればいいんじゃない？
もしくは100ユーザ程度だったらDHCPでStatic設定しちゃう方が早いかも。

プールからの払い出しはアクセスサーバの役割でしょ。何つかうの？

freeRadius＋OpenLDAP+OpenSSLでPEAP認証する方法教えて

BaffaloのRADIUSサーバソフトのBAO-RA1X、
ttp://buffalo.melcoinc.co.jp/products/catalog/item/b/bao-ra1x/
これ、他のに比べるとずいぶん安い気がするんだけど、
もしかして、AirStationでしか使えないとかそんな制限あったりします？
無線LAN導入に伴い、RADIUS認証サーバも考えているんですけど、
なるべくコストを安くしたく思いまして。

やっぱ、先に紹介されてたフリーのものがいいのかな？

RADIUS関連のスレッド探したんだけど見つからなかったんで
立ててみました。

RADIUSクライアントのライブラリってないでしょうか。
VCやDelphiなどで使えるもの。
PHPやPerlではあるみたいなんだけど…。

radpingってフリーソフト？
どうやって使用できるようにすればいいんですか。

>>67
つ man radping

>>68
ソフトをいれると入っているって事ですか？

>>69
OS ぐらい書けよ。
radping のような動作を望むのであれば

Windows なら、
http://www.mastersoft-group.com/download/
NTRadPing RADIUS Test Utility (Free) を選択してDownload。

*NIX なら、freeradius の radtest とか DTC-Radius の radping

これ以上は自分で調べてね。

◆食べた人、全員肝臓ガンで死にます　〜　三笠フーズ　汚染米事件　〜

・「アフラトキシン」は地上最強の天然発ガン物質
・発症までに１０〜２０年かかるが、極微量でも摂取すれば、
　肝臓ガンになる可能性は１００％
・調理では分解されず食品中に残る
・西日本で肝臓ガン死亡率が高く偏っており、原因不明とされていたが・・・
　（資料）国立がんセンター
　http://ganjoho.ncc.go.jp/pro/statistics/gdball.html?7%9%1

医師板からのコピペ　

40 ：逃亡者：2008/09/13(土) 01:26:17 ID:23fUP1Pf0
　2年前から大阪で勤務しているが、以前の勤務地と比較して大阪は本当に
肝臓癌の患者が多いと感じた。消化器内科からTAE（肝動脈塞栓）の依頼
が次から次へとくる。
　で、ずっと疑問に感じていたことがある。大阪では患者の殆どが男性なの
だ。おまけにウイルスフリーもちらほらいる。それでHCV・HBV以外にも肝臓
癌の原因はきっとあるに違いないと、大阪に来てからずっと思っていた。
　今回この事件を知って二度驚いた。ひとつは不謹慎だけど、「あー、やっ
ぱり」っていう驚き。実際には因果関係を証明するのは無理でしょう。でも
治療している私の実感としてはピッタリだったてことなんですよね。そうい
う驚き。
　もうひとつは、自分も肝臓癌になる可能性があるっていう驚き。というよ
り、恐怖だろうか。肝臓癌の治療すればするほど思うのだが、本当に治らな
い。今では絶対に治らないという確信さえ持っている。最期が悲惨なだけに
考えてもみなかったことだ。
　肝臓癌になるかどうかは別にしても、今はこんな情けない国に生まれてき
たことが悔まれて仕方がない。

三笠フーズ（大阪）、浅井（愛知）→ノノガキ（三重）、太田産業（愛知）
島田化学工業（新潟★）　←new!!＼(＾o＾)／

>71
一時期良く見かけたコピペだね。
当人は満足したのかな？（＾＾）

freeradius-2.1.8-2.fc12.i686使ってます。

moduleのmschapでwith_ntdomain_hack = yesにすることによって、
windowsのシングルサインオン（host名\ユーザー名）で
802.1x eap-peapのユーザー認証ができるようになりました。

windowsログオン時、または、ログオン後のリンクダウン、アップで
問題無く認証できるのですが、ログオン時のコンピュータ認証
（host\host名)、または、ログオフ時のコンピュータ認証にて
usersファイルにhost\host名が記載されていないのに、radiusサーバ
からrejectが送信されません。

eapol start →request identity→response identity（host\host名)
この後RadiusサーバがWindows等であればrejectされfailedになるのに
rejectされず認証が途中まで進んでtimeoutしてしまいます。

usersファイルを見て即rejectにするにはどうしたらよいでしょうか。

今実機が手元にないので確認できないのですが、
sites-available/defaultのauthorizeでfilesをなるべく上の
方に持ってくればよいような気がします。

解決しました。
defaultのeap ok=returnをコメントアウトしたらusersファイルをみてrejectしてくらました。

ここまでTACACS無し

CHAP/PAPでパスワードをチェックしない設定にしたいのですがConfigのみで可能でしょうか？
Usernameはチェックしないというのは出来るのですが、パスワードをノーチェックという動作
がなかなか見つかりません。
よろしくおねがいします。

>>76
単純に認証しなければ良いのでは？
要件がよく判らない

>>77
わからないならレスしないで下さい。

ユーザ名&パスワードはDon'tCareで、その他のアトリビュート(Calling-Station-Idとか)
を見てアクセス許可したいのです。
ちなみにFreeRadius2.1.Xを使ってます。

>>77
RASからAccess-Reqは飛んでくるのでRadiusのシーケンスは処理する必要はあります。

>>79
モジュール書かないとできなさそうだね。
http://wiki.freeradius.org/Modules2

過疎ってる…見てる人いるんだろか

FreeRADIUSとOpenLDAPと連携して使っています。
ここで、一部のユーザーだけRADIUSのローカルで認証し、そこに無かったらLDAPを見るという設定はできるんでしょうか。

よろしくお願いします。

>>81
できる。
テストすればすぐ判る

CentOS5.6 + FreeRADIUS2-2.1.7 + OpenLDAP-2.3 + 無線AP での新規構築です。
クライアント(Win XP SP3)からPEAP接続を試すとLDAPユーザで認証されません。
usersファイルに登録したユーザなら認証が通ります。

クライアントはで「サーバ証明書は検証する」のチェックを外しています。
radtestコマンドではLDAPとusersファイルの、どちらのユーザも Access-Accept です。

どの設定に問題がありそうですか？　よろしくお願いします。

>>83
RADIUSで読ませるLDAPのパスワードはどういった形式で保存してます？

LDAPには
userPassword:: MD5形式のパスワード
で登録しています。

PEAPってclear textで保存しないとダメじゃね？
ハッシュかかっているならEAP-TTLS一択、そしてWindowsは非対応の罠。

ついでに、radtestは多分PEAPじゃなくてPAP認証してるでしょ。
ログをよく読んでみ？

clear-textのみだと、既存のunixアカウントとの共用ができないので困った。
OSのユーザ認証をLDAPクライアントにして、RADIUSの sites-available/default で
unix とか指定すればいいのかな？　試してみます。

MD5でパスワード保存だと、PEAPは無理
PEAPでMS-CHAPv2を使うのであれば、SambaとLDAPを組み合わせれば出来る。

いずれにしても、ユーザに一度パスワード変更の処理を入れないとダメだけどね
Password保存を平文にするにしても、同じ事

俺は平文保存は嫌だったから、SambaとLDAPを連携させてSamba Passwordを
LDAPに読ませていたけどね

あとは、組織のポリシー次第なのでお好きに

a

aaa

ac

？

あ

どなたかFreeRADIUSについて教えて下さい。お願い致します。

スイッチにて、ユーザIDとパスワードにて認証を行い、正常に認証されれば、ネットワークに繋がるようにしたいです。
前提と致しまして、「DNSサーバ」「DHCPサーバ」「Webサーバ」「スイッチ」の設定は正常です。

その状態で、FreeRADIUSサーバの設定として、以下の事を行いました。
・「yum -y install freeradius freeradius-utils」で、FreeRADIUSをインストールしました。
・「/etc/init.d/radiusd start」で、FreeRADIUSを正常に起動しました。
・「radiusd.conf」ファイルを設定し、正常に再起動しました。
・「clients.conf」ファイルを設定し、正常に再起動しました。
・「users」ファイルを設定し、正常に再起動しました。
・「radtest」コマンドを使い、「users」ファイルの設定の動作確認を行い、正しく認証される事を確認しました。
・「service radiusd restart」コマンドを使い、radiusサーバを正常に再起動しました。

・スイッチのケーブル配線を変更し、正常にネットログインが出来るかを試しましたが、正しく認証が行われませんでした。
　具体的には、スイッチの機能により、ログイン画面が表示されるのですが、
　IDとパスワードを入力しても、任意のページにリダイレクトされませんでした。
　IDとパスワードでの認証が失敗している事から、FreeRADIUSの設定を疑いました。
・そこで、「netstat -anp」コマンドを叩いてみると、RADIUSの認証用ポート「1812」が「LISTENING」になっていませんでした。
・そこで、「radiusd -p 1812」でポートを指定して起動すると、「p」オプションは単独で使用できないとのエラーが返ってきました。

・そもそもなぜ、1812番ポートが「LISTENING」になっていないのか、（「service radiusd restart」だけではダメなのか）、
　また、「LISTENING」状態で起動させる方法を、（「-p」オプション以外に何かオプションを指定しなければいけないのか）、
　色々googleで検索してみたのですが、解決策が見つかりませんでした。

・そこで、マニュアルを見ようと、オライリーのRADIUS本を見たのですが、マニュアルのあるはずのディレクトリに、マニュアルがありませんでした。
　また、「man」コマンドでマニュアルが見れると、ネット上で書いてあったので、
　「man radiusd」コマンドを実行したのですが、マニュアルが表示されませんでした。

そこで、ポート1812番を「LISTENING」状態にする起動方法、
もしくは「-p」オプションを利用して起動させる方法を教えて頂きたいです。

RADIUSの環境としては、
「WindowsServer2008R2」へ「vCenterServer」を入れており、
そこに「CentOS-6.4-i386-minimal」をゲストOSとして入れています。
（ファイアウォールやiptablesは無効にしてあります。）
（また、RADIUS以外のパッケージは入れていません。）
また、FreeRADIUSのバージョンは「freeradius-2.1.12-4.el6_3.i686」です。

FreeRADIUSについてご存知の方、どうかヒントだけでも教えて頂けないでしょうか。
マニュアルの探し方などでも大変助かりますので、どうか本当にお願い致します。

長文で、申し訳ありません。

FreeRADIUS以前の問題です。
Linux板へどうぞ。