CentOS PPTP配置FreeRADIUS+DaloRADIUS实现高级用户控制+流量控制
分类：运维技术日期：2012-01-24 - 13:44:44作者：老谢
前提条件
阅读本文前，您需要搭建好PPTP，如果仍未搭建，可以参考：http://www.xj123.info/2301.html
如果您需要配置DaloRADIUS，那么您还需要安装LAMP，可以参考：http://www.xj123.info/2223.html
PPP：Point-to-Point Protocol，点对点协议，是工作在数据链路层的连接协议。常见的ADSL连接时使用的PPPoE便是指的以太网上的点对点协议（Point-to-Point Protocol over Ethernet）。而我们创建连接VPN时也会通过PPP来进行，*nix操作系统上的pppd能够完成这一任务，其进行用户验证的默认方法便是chap-secrets文件。配置完FreeRADIUS后，我们需要把用户验证这一环节交给RADIUS服务器来完成。
RADIUS：Remote Authentication Dial In User Service，远程用户拨号验证服务，基于RFC2865和RFC2866。具体的工作原理挺复杂的，仔细阅读这两个RFC标准应该可以搞明白。简单的说，它是一个兼顾验证（authentication）、授权（authorization）及记账（accounting）三种服务的协议，即AAA协议。RADIUS运行在应用层，使用UDP进行传输，它被广泛用于ISP和企业用来控制Internet或内部网络、无线网络的访问。
FreeRADIUS：是一个实现RADIUS协议的软件，基于GPLv2开源。它是目前部署最广泛的开源RADIUS软件。
daloRADIUS：是一个FreeRADIUS的Web挂历程序，使用PHP编写。
安装配置
yum install freeradius2 freeradius2-mysql freeradius2-utils
2014.12.10 更新 目前yum官方源已经取消了freeradius1的安装包，请执行下面的命令安装freeradius
yum install freeradius freeradius-mysql freeradius-utils |
安装完以后，编辑/etc/raddb/users，加上
testing Cleartext-Password := “password”
打开radius的测试模式，执行radiusd -X，然后打开一个新终端，执行radtest testing password 127.0.0.1 0 testing123，如果看到Access-Accept，说明没问题，如果没看到，返回去检查。
测试连接成功后，我们可以把users里临时加上去的第一行删除。
下载ppp源码
wget ftp://ftp.samba.org/pub/ppp/ppp-2.4.5.tar.gz tar zxvf ppp-2.4.5.tar.gz cp -R /root/ppp-2.4.5/pppd/plugins/radius/etc/ /usr/local/etc/radiusclient |
编辑/usr/local/etc/radiusclient/servers，加上一组服务器和密钥，本例中为“LaoxieVPN”
localhost LaoxieVPN |
编辑/usr/local/etc/radiusclient/dictionary
最后一行改成INCLUDE /usr/local/etc/radiusclient/dictionary.microsoft，然后添加一行INCLUDE /usr/local/etc/radiusclient/dictionary.merit
编辑/etc/raddb/clients.conf
把client localhost段下的secret改成刚才指定的密钥。
编辑/etc/raddb/radiusd.conf，找到$INCLUDE sql.conf，去掉前面的#；找到$INCLUDE sql/mysql/counter.conf，去掉前面的#。
进入mysql，添加数据库
create database radius; flush privileges; exit; |
编辑/etc/raddb/sql.conf，配置login（用户名），password（密码），radius_db（数据库名）等字段，并找到readclients一行，设为yes并去掉注释符号#。
编辑/etc/raddb/sites-enabled/default，根据下面的说明注释或取消注释相应的行：
- authorize段，关掉files，打开sql，也可以把unix关掉
- preacct段，关掉files
- accounting段，打开sql，也可以把unix关掉
- session段，打开sql
- post-auth段，打开sql
- pre-proxy段，关掉files
到这一步，我们的FreeRADIUS就算配置好了，用户信息都将保存在MySQL数据库中。至于数据库中的表，我们在后面统一导入。
配置DaloRADIUS
wget http://sourceforge.net/projects/daloradius/files/daloradius/daloradius-0.9-8/daloradius-0.9-8.tar.gz pear install DB mkdir /usr/share/daloRadius tar zxvf daloradius-0.9-8.tar.gz mv daloradius-0.9-8/* /usr/share/daloRadius/ rm -r daloradius-0.9-8 |
注意，这里需要安装pear，如果bash提示找不到命令，那么请自行google安装方法
下面导入数据库
mysql -uroot -p radius < /usr/share/daloRadius/contrib/db/fr2-mysql-daloradius-and-freeradius.sql |
编辑/usr/share/daloRadius/library/daloradius.conf.php，修改daloRADIUS的配置文件。首先是MySQL登录信息：
$configValues['CONFIG_DB_HOST'] = 'localhost'; $configValues['CONFIG_DB_USER'] = 'radius'; //根据自己实际情况填写 $configValues['CONFIG_DB_PASS'] = ''; // 设为自己的密码 $configValues['CONFIG_DB_NAME'] = 'radius'; |
下面有一个daloRADIUS的bug，默认配置中有一个表名和我们导入的不一样，把它改过来：
$configValues['CONFIG_DB_TBL_RADUSERGROUP'] = 'radusergroup'; |
然后修改daloRADIUS的路径：
$configValues['CONFIG_PATH_DALO_VARIABLE_DATA'] = '/usr/share/daloRadius/var'; |
网页目录下建目录链接
cd /usr/local/apache/htdocs/ ln -s /usr/share/daloRadius/ admin |
daloRADIUS管理页面地址就是 http://ip/admin
默认用户名administrator和密码radius登录
重启mysql和apache服务
service httpd restart service mysqld restart |
daloRADIUS似乎写的不怎么样，最新稳定版已经是三年之前的了，不过作者直到现在还在更新SVN，下次有机会可以用最新的SVN版本试试看。在Management中添加一个新用户，注意密码类型选择Cleartext-Password。
在终端里再次启动radiusd -X，同时在另一个终端中用radtest username password localhost 0 LaoxieVPN测试一下，看看现在是不是还能正常接通，如果没问题就OK，让我们把这套系统接驳到PPP上。
配置Pppd
编辑/etc/ppp/options.pptpd，里面已经有许多配置选项了，我们要保证有下面的几行，如果没有就添加上去，为了保障用户登录的安全我们限制只使用MS-CHAPv2：
refuse-pap refuse-chap refuse-mschap require-mppe-128 require-mschap-v2 |
在配置文件最后加上3行：
plugin radius.so plugin radattr.so radius-config-file /usr/local/etc/radiusclient/radiusclient.conf |
流量控制服务
建立表格
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Auth-Type',':=','Local'); INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Service-Type',':=','Framed-User'); INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Framed-IP-Address',':=','255.255.255.255'); INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Framed-IP-Netmask',':=','255.255.255.0'); INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Acct-Interim-Interval',':=','600'); INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Max-Monthly-Traffic',':=','5368709120'); INSERT INTO radgroupcheck (groupname,attribute,op,VALUE) VALUES ('user','Simultaneous-Use',':=','1'); |
以上前四行不用改动，acct-interim-interval是计算流量的间隔（600秒），意味着每隔10分钟记录当前流量。倒数第二行是每月最大流量，这里是5G（单位是字节）。最后一行是允许同时连接数目。
访问daloRADIUS，在Management中添加一个新用户，注意密码类型选择Cleartext-Password。用户组选择user
radius -X radtest username password localhost 0 LaoxieVPN |
测试一下，看看现在是不是还能正常接通，如果没问题就OK
如果结果中有Access-Accept就代表成功了，否则退回去检查设置。
测试成功的话添加在认证时检测流量的语句，打开/usr/local/etc/raddb/sites-enabled/default，找到authorize一节插入：
update request { Group-Name := "%{sql:SELECT groupname FROM radusergroup WHERE username='%{User-Name}' ORDER BY priority}" } if ("%{sql: SELECT SUM(acctinputoctets+acctoutputoctets) FROM radacct WHERE username='%{User-Name}' AND date_format(acctstarttime, '%Y-%m-%d') >= date_format(now(),'%Y-%m-01') AND date_format(acctstoptime, '%Y-%m-%d') <= last_day(now());}" >= "%{sql: SELECT value FROM radgroupreply WHERE groupname='%{Group-Name}' AND attribute='Max-Monthly-Traffic';}") { reject } |
启动服务
service radiusd start chkconfig radiusd on chkconfig pptpd on |
2013.06.03新增内容：自动断线检测脚本
#!/bin/bash MYSQL_PASS=XXXXXXXXXX /usr/local/mysql/bin/mysql -uroot -p$MYSQL_PASS -e "UPDATE radius.radacct SET acctstoptime = acctstarttime + acctsessiontime WHERE ((UNIX_TIMESTAMP(acctstarttime) + acctsessiontime + 240 - UNIX_TIMESTAMP())<0) AND acctstoptime IS NULL;" |
至此，已经完成所有操作了！
本文主要参考以下文章，感谢以下所有文字创建者
在PPTP VPN服务器上配置FreeRADIUS+DaloRADIUS实现用户跟踪管理
PPTP+FreeRADIUS+MySQL搭建VPN认证和流量控制
ARA (ASN RADIUS admin) – FreeRADIUS 管理程序安装总结
好艰涩难懂的技术文章啊 我是来送龙的
膜拜大牛~
介个可以拿去赚钱了~~可惜木有L2TP。
@DickWu L2TP一样支持RADIUS插件，不过我目前使用的openvz无法搭L2TP，只能用PPTP
我是XEN，应该可以的吧。拿去搭搭看~
P.S. 我现在还不敢把博客往VPS放呢。
@DickWu XEN可以支持L2TP和PPTP，为啥不放，生命在于折腾
额，比较胆小。。一个是小内存VPS优化得不是很理想。手动配置的VPS安全系数不达标。。。折腾！！
看见了加一下我QQ1023447887帮我解决一下谢谢
老师我很喜欢您的文章想和您学习可以给一个您的联系方式么？
兄弟加我QQ792503771详谈
文章太深奥了，能跟你私下请教一下吗
大神啊!
LINUX的VPN控流量比较简单~WINDOS的VPN控流量和限制登录人数比较难啊~
@Junan windows的没搞过
老谢真是辛勤，大过年的好好休息啊
登录就提示
Warning: include_once(DB.php) [function.include-once]: failed to open stream: No such file or directory in /usr/share/daloRadius/library/opendb.php on line 72
Warning: include_once() [function.include]: Failed opening ‘DB.php’ for inclusion (include_path=’.:’) in /usr/share/daloRadius/library/opendb.php on line 72
Fatal error: Class ‘DB’ not found in /usr/share/daloRadius/library/opendb.php on line 74
@nop 你安装DB库了么？
有的，我安装的lnmp，前面导入数据的步骤也都正常
换成apache也不行，这次点登录提示的错误是
Database connection error
Error Message: DB Error: extension not found
Debug: [DB Error: extension not found] ** mysql://root:passwd@localhost/radius
其中passwd是mysql的root密码\
@nop 从提示看，你的数据库连接有问题，检查一下配置
你这个搭建是搭建好了，但是你没有说怎么配置给拨号的用户分配IP啊，
这个可能是你没有装php-mysql的原因。
谢谢老谢的教程，按照您的教程终于把PPTP的流量和同账号连接数控制设置好了，但是好像这个对L2TP不起作用，因为我安装的是PPTP和L2TP同时存在的，一个账号虽然PPTP不能同时多处连接了，但这个账号使用PPTP连接后L2TP还是可以连接，不知道您有没有解决方法，再次谢谢您！
@李俊 不好意思，木有研究过L2TP哈
感谢您的回复，我已经弄好了，PPTP和L2TP无论登录哪个后这个账号就无法重复连接了，会显示用户名或密码组合错误，研究好几天，终于弄好了，再次感谢您的教程！
请问如何做的呢？
对了，还有一个问题请教，不知道这个流量限制是否可以直接在daloRADIUS面板里面设置？
在daloRADIUS面板给账号限制时间和流量不知道能否设置。
@李俊 设置好分组，创建账户的时候按照需要选择分组即可，daloRADIUS里面貌似不能直接编辑流量相关的数据
好的，谢谢您的解答！
您好 请问下 DaloRADIUS 支持多台服务器管理吗？ 毕竟 我希望我的账号能在多台使用
或者我吧 DaloRADIUS 都连接到一个数据库上可以吗？？
同问 DaloRADIUS 支持多台服务器管理吗？
@郝波 可以 NAS
还能管理多台服务器啊？请问您有这个教程吗？
@李俊 由于近期需求的改动，已经做了多台pptp服务器使用同一台radius验证，很简单，在clients.conf里面添加远程客户的即可
谢老师请您帮忙说下要怎么操作吧，谢谢！
@李俊 可以，不然那些卖为皮恩的，一个账户登录多台服务器咋实现的呢。。。nas+freeradius关键词搜索研究吧，我也没搞过
唉，终于弄好了多服务器认证，还真麻烦，再次感谢您的教程，谢谢！
@李俊 恭喜
yum install freeradius2 freeradius2-mysql freeradius2-utils
结果。。
Loaded plugins: fastestmirror, security
Loading mirror speeds from cached hostfile
* base: mirrors.cat.pdx.edu
* extras: mirrors.cat.pdx.edu
* updates: mirrors.cat.pdx.edu
Setting up Install Process
No package freeradius2 available.
No package freeradius2-mysql available.
No package freeradius2-utils available.
Error: Nothing to do
添加进user用户组的，在测试的时候总是被拒绝。检查了好久也没发现哪里有问题、、
radtest username password localhost 0 LaoxieVPN
请问这句 是神马意思..? 添加用户?添加到哪里?
谢谢..
您好，我按照您的方法搭配好了daloRADIUS，也能正常访问正常登录，但是点击添加用户的时候出现You do not have permissions to access the page.
Please consult with your System Administrator. （您无权限访问此页面，请联系系统管理员）请问这个是什么原因导致的，是不是文件没有访问权限，怎么解决呢？谢谢