保姆级教程：在Ubuntu 20.04上从零搭建FreeRadius 3.0 + Daloradius管理后台-编程阁

企业级RADIUS认证系统搭建指南：Ubuntu 20.04 + FreeRadius 3.0 + Daloradius全栈部署

在数字化办公和物联网设备激增的今天，企业级网络认证系统已成为保障内网安全的第一道防线。想象这样一个场景：当员工刷卡进入办公区，他的设备已自动完成网络接入认证；访客连接企业WiFi时，会看到定制化的认证页面；所有网络访问行为都留有清晰审计日志——这套看似复杂的权限管理体系，其实通过开源方案就能实现。本文将手把手带你在Ubuntu 20.04上部署基于FreeRadius 3.0的认证系统，配合Daloradius可视化管理系统，打造媲美商业方案的认证服务。

1. 系统架构设计与环境准备

企业级RADIUS系统通常采用三层架构：前端网络设备（如交换机/AP）负责拦截未认证流量，中层的FreeRadius处理认证逻辑，后端的MySQL数据库存储认证策略。这种解耦设计使得系统扩展性极强，单台服务器可支持数千并发认证请求。

基础环境要求：

Ubuntu 20.04 LTS服务器（建议4核CPU/8GB内存/100GB存储）
静态IP地址配置
开放UDP 1812（认证）、1813（计费）端口
系统时钟同步（chrony或ntp）

提示：生产环境建议将数据库独立部署，本文为演示采用All-in-One方案

先执行系统基础优化：

# 更新软件源并升级系统 sudo apt update && sudo apt -y full-upgrade # 安装常用工具 sudo apt -y install vim curl net-tools chrony # 设置时区（以上海为例） sudo timedatectl set-timezone Asia/Shanghai # 启用自动安全更新 sudo apt -y install unattended-upgrades sudo dpkg-reconfigure -plow unattended-upgrades

2. 核心组件安装与配置

2.1 数据库层部署

MySQL/MariaDB将存储所有认证策略和日志，建议配置主从复制确保高可用：

# 安装MariaDB 10.3 sudo apt -y install mariadb-server mariadb-client # 安全初始化 sudo mysql_secure_installation

创建专用数据库账户：

-- 登录MySQL控制台 sudo mysql -u root -p -- 创建radius数据库 CREATE DATABASE radius CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; -- 创建管理用户 CREATE USER 'radius_admin'@'localhost' IDENTIFIED BY 'StrongPassword123!'; GRANT ALL PRIVILEGES ON radius.* TO 'radius_admin'@'localhost'; FLUSH PRIVILEGES; EXIT;

2.2 FreeRadius 3.0安装

Ubuntu 20.04官方源已包含FreeRadius 3.0稳定版：

# 安装主程序及MySQL插件 sudo apt -y install freeradius freeradius-mysql freeradius-utils

导入数据库Schema：

sudo mysql -u radius_admin -p radius < /etc/freeradius/3.0/mods-config/sql/main/mysql/schema.sql

验证表结构创建成功：

mysql -u radius_admin -p -e "USE radius; SHOW TABLES;"

关键配置文件调整：

启用SQL模块：

sudo ln -s /etc/freeradius/3.0/mods-available/sql /etc/freeradius/3.0/mods-enabled/

修改/etc/freeradius/3.0/mods-enabled/sql配置段：

sql { driver = "rlm_sql_mysql" dialect = "mysql" server = "localhost" port = 3306 login = "radius_admin" password = "StrongPassword123!" radius_db = "radius" read_clients = yes client_table = "nas" }

修复权限问题：

sudo chown -R freerad:freerad /etc/freeradius/3.0/mods-enabled/sql sudo systemctl restart freeradius

3. Daloradius管理面板部署

作为FreeRadius的"管理驾驶舱"，Daloradius提供可视化用户管理、实时监控和报表功能。

3.1 依赖环境安装

# 安装Apache+PHP环境 sudo apt -y install apache2 libapache2-mod-php php-{mysql,gd,mbstring,xml,curl,pear}

3.2 Daloradius安装配置

# 下载最新版（截至2023年9月为1.1版本） wget https://github.com/lirantal/daloradius/archive/refs/tags/1.1.tar.gz tar xvf 1.1.tar.gz sudo mv daloradius-1.1 /var/www/html/daloradius

导入扩展数据表：

sudo mysql -u radius_admin -p radius < /var/www/html/daloradius/contrib/db/fr2-mysql-daloradius-and-freeradius.sql sudo mysql -u radius_admin -p radius < /var/www/html/daloradius/contrib/db/mysql-daloradius.sql

配置文件调整：

sudo cp /var/www/html/daloradius/library/daloradius.conf.php.sample /var/www/html/daloradius/library/daloradius.conf.php sudo chown www-data:www-data /var/www/html/daloradius/library/daloradius.conf.php

编辑/var/www/html/daloradius/library/daloradius.conf.php：

$configValues['CONFIG_DB_HOST'] = 'localhost'; $configValues['CONFIG_DB_PORT'] = '3306'; $configValues['CONFIG_DB_USER'] = 'radius_admin'; $configValues['CONFIG_DB_PASS'] = 'StrongPassword123!'; $configValues['CONFIG_DB_NAME'] = 'radius';

3.3 权限与安全设置

# 设置web目录权限 sudo chown -R www-data:www-data /var/www/html/daloradius/ # 限制配置文件访问 sudo chmod 640 /var/www/html/daloradius/library/daloradius.conf.php # 重启服务 sudo systemctl restart apache2 freeradius

访问管理界面：http://服务器IP/daloradius/，默认管理员凭证：

用户名：administrator
密码：radius

注意：首次登录后应立即修改默认密码！

4. 企业级功能配置实战

4.1 网络设备接入配置

在Daloradius中添加NAS设备（网络接入设备）：

导航至"Management" > "NAS"
点击"New NAS"添加设备
关键字段说明：

字段	示例值	说明
NAS Name	Office-Switch-01	设备描述名称
Shortname	SW1	设备缩写
Type	cisco	设备类型（影响属性返回）
Secret	SharedSecret2023	与设备配置的共享密钥
Server	192.168.1.10	NAS设备IP地址
Ports	1812	认证端口

4.2 用户组策略配置

企业通常需要不同部门有不同的网络权限：

创建用户组："Management" > "Groups" > "New Group"
设置组策略（如带宽限制）：

-- 在radgroupreply表中会自动生成如下策略 INSERT INTO radgroupreply (groupname, attribute, op, value) VALUES ('Marketing', 'Mikrotik-Rate-Limit', ':=', '10M/5M'), ('Engineering', 'Mikrotik-Rate-Limit', ':=', '50M/50M');

配置组检查规则（如仅允许工作时间访问）：

-- 在radgroupcheck表中的示例策略 INSERT INTO radgroupcheck (groupname, attribute, op, value) VALUES ('Contractors', 'Auth-Day', ':=', 'Mon-Fri'), ('Contractors', 'Auth-Hour', ':=', '08-18');

4.3 多因素认证集成

增强安全性可配置OTP认证（以Google Authenticator为例）：

安装FreeRadius的OTP模块：

sudo apt -y install freeradius-rest

修改/etc/freeradius/3.0/sites-enabled/default，在authorize部分添加：

authorize { ... rest { uri = "http://localhost:5000/validate" method = "post" body = '{"user": "%{User-Name}", "pass": "%{User-Password}"}' tls = no } ... }

创建简单的Python验证服务（示例）：

from flask import Flask, request, jsonify import pyotp app = Flask(__name__) @app.route('/validate', methods=['POST']) def validate(): data = request.json totp = pyotp.TOTP("JBSWY3DPEHPK3PXP") # 示例密钥 if totp.verify(data['pass']): return jsonify({"response": "Access-Accept"}) return jsonify({"response": "Access-Reject"}) if __name__ == '__main__': app.run(port=5000)

5. 运维监控与故障排查

5.1 实时监控看板配置

Daloradius内置了多种实用报表：

在线用户监控：Dashboard > Online Users
认证失败分析：Reports > Connection Logs
流量统计：Reports > Traffic Report

可通过Grafana集成更专业的监控看板：

安装Grafana：

sudo apt-get install -y apt-transport-https sudo apt-get install -y software-properties-common wget wget -q -O - https://packages.grafana.com/gpg.key | sudo apt-key add - echo "deb https://packages.grafana.com/oss/deb stable main" | sudo tee -a /etc/apt/sources.list.d/grafana.list sudo apt-get update sudo apt-get install grafana

配置MySQL数据源后导入Dashboard模板（ID：10707）

5.2 常见故障处理指南

问题1：认证请求未到达服务器

检查网络连通性：tcpdump -i eth0 udp port 1812
验证NAS配置的共享密钥与FreeRadius是否一致
检查/etc/freeradius/3.0/clients.conf中的客户端定义

问题2：数据库连接失败

测试MySQL连接：mysql -u radius_admin -p -h 127.0.0.1 radius
检查FreeRadius日志：sudo tail -f /var/log/freeradius/radius.log
验证SQL模块加载：sudo freeradius -XC | grep rlm_sql

问题3：Daloradius页面报错

检查PHP错误日志：tail -f /var/log/apache2/error.log
验证文件权限：sudo namei -l /var/www/html/daloradius/library/daloradius.conf.php
确认PHP模块已加载：php -m | grep mysql

6. 性能调优与安全加固

6.1 高并发优化配置

调整/etc/freeradius/3.0/radiusd.conf关键参数：

thread pool { start_servers = 5 max_servers = 32 min_spare_servers = 3 max_spare_servers = 10 max_requests_per_server = 0 } listen { type = auth ipaddr = * port = 1812 max_connections = 2048 lifetime = 0 idle_timeout = 30 }

MySQL优化建议（/etc/mysql/my.cnf）：

[mysqld] innodb_buffer_pool_size = 1G innodb_log_file_size = 256M max_connections = 200 query_cache_size = 64M

6.2 安全加固措施

TLS加密认证流量：

sudo apt -y install freeradius-eap # 生成证书（交互式操作） sudo freeradius-certificate -install

Daloradius安全配置：

修改默认管理员用户名
启用HTTPS访问
设置登录失败锁定策略
定期备份/var/www/html/daloradius/library/daloradius.conf.php

防火墙规则限制：

sudo ufw allow from 192.168.1.0/24 to any port 1812 proto udp sudo ufw allow from 192.168.1.0/24 to any port 1813 proto udp sudo ufw deny 1812/udp sudo ufw deny 1813/udp

这套系统在某科技公司实际部署中，成功支撑了800+员工的日常网络接入，日均处理认证请求超过2万次。通过Daloradius的批量导入功能，IT部门仅用半天就完成了全员账号初始化，而分组策略让市场部无法访问研发VLAN的设计，完美实现了网络隔离需求。