码迷,mamicode.com
首页 > Windows程序 > 详细

freeradius 3.0使用ldap bind windows ad 来认证用户

时间:2016-06-27 17:52:37      阅读:2156      评论:0      收藏:0      [点我收藏+]

标签:freeradius memberof ns-user-group 多属性值 转换

         需求是要使用windows active directory上的现有账号来认证freeradius的客户端,freeradius使用ldap bind来连接windows ad, bind 成功则认证通过,过程中windows ad并不返回用户的密码给freeradius.


         过程中碰到几处容易出问题的地方:


          1.  为了启用ldap bind认证,需要编辑/usr/local/etc/raddb/sites-available/default文件。

           Authorize部分添加如下配置:

                ldap

                if ((ok || updated) && User-Password) {

                    update {

                        control:Auth-Type := ldap

                    }

                }


         authenticate部分uncomment如下配置:

           Auth-Type LDAP {

                    ldap

            }

          

        2. 对ldap module的配置:

          将mods-available 目录下的ldap拷贝到mods-enabled目录下,修改如下内容:

         ldap {

       .....

        server = ‘1.2.3.4‘      #此处是自己要使用的windows AD的域名或者ip

        identity = "cn=zhangsan,ou=lab,dc=test,dc=com" #此处是查询windows ad时所用的账号名

        password = zhangsan123         #此处是查询windows ad所用账号的密码

       base_dn = ‘ou=lab,dc=test,dc=com‘  #此处是待认证账号在windows AD里面的base DN,就是父目录。

      .......

                }


     user {

            .....

             filter = "(CN=%{%{Stripped-User-Name}:-%{User-Name}})" #修改查询用户时的filter,windows AD                                                                                                                       #一般改为CN=

                ......     

               }


      3. 如果需要对windows AD 返回来的结果中的某些属性值进行修改然后再返回给认证客户端,可以在default文件的post-auth部分进行配置,如下的实例:

        post-auth {

                     ........

               foreach reply:My-Local-String {

                            if("%{Foreach-Variable-0}" =~ /CN=[lab]-[0-9 a-z A-Z]+/) {

                                update reply {

                                   NS-User-Group += "%{0}"

                                                       }

                                                                                                                                         }

                                                                 }

                      ..........

                        }


     ldap文件也需要稍作修改:

         update {

                ......           

                reply:My-Local-String             += ‘memberOf‘

                ........

               }


        以上的例子把freeradius本来要返回的My-Local-String属性数组转换为NS-User-Group属性返回给radius client,条件是该属性是CN=lab-xxxxx的形式开头的。实际上是返回用户在windows AD里的组属性,但是不是所有的组都返回,只有那些以lab-xxxxxx形式命名的组才返回。

         之所以要进行这种转换,是因为例子中的这种radius client设备能识别的组属性的名字是NS-User-Group,但windows AD里对应的组属性的名字是memberOf,所以要转换,否则client不认识。


=================================

 contact author: shezho@gmail.com


freeradius 3.0使用ldap bind windows ad 来认证用户

标签:freeradius memberof ns-user-group 多属性值 转换

原文地址:http://11772130.blog.51cto.com/11762130/1793273

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!