简介面向网络运维与无线认证初学者的实操文档聚焦在 Ubuntu 系统上使用 Freeradius 搭建 802.1X EAP-TLS 双向认证测试环境这一典型场景帮助读者理解 RADIUS 服务与证书体系如何协同完成设备接入认证。资源包内仅含 1 个 docx 文件约 472KB以图文步骤形式组织内容便于边看边在虚拟机或实体机上复现。文档从环境准备讲起依次覆盖 Freeradius 与 openssl 的安装、users 与 client.conf 的配置、TLS 模块参数调整以及通过 make 生成 CA 根证书、服务器证书与客户端 p12 证书的完整流程并给出路由器侧 WPA 与 RADIUS 参数对接方法最后说明服务启动与客户端证书导入测试。对于需要排查证书权限、1812 端口占用等常见问题的读者文中也提供了对应提示与处理思路。目前已有 2924 人学习适合作为 EAP-TLS 认证实验的入门参考与配置对照手册。1. 从一次“证书全绿却连不上”说起Ubuntu FreeRADIUS 搭 EAP-TLS 到底难在哪上周帮一个做无线终端的团队复现 802.1X 认证环境是 Ubuntu 加 FreeRADIUS目标是跑通 EAP-TLS 双向认证。证书make出来一堆.pem、.p12看着全绿结果终端一连接就卡在“正在验证身份”服务端日志里连个像样的报错都没有。这种场景在物联网、企业无线接入的联调里太常见了FreeRADIUS 装起来一条apt命令真正耗时间的是证书链、eap模块、clients.conf和路由器共享密钥这几处对不上。装不好不会报“你配错了”只会静默超时新手很容易怀疑人生。这篇笔记按我实际落地的顺序写先列清版本和环境再一步步装、配、启最后给一套能自证的验证方法适合第一次搭 EAP-TLS 测试环境、或者搭到一半卡住的开发者照着走。2. 环境与版本先对齐Ubuntu、FreeRADIUS 3.0 和 OpenSSL 的取舍2.1 系统与网络模式桥接不是可选项这套环境对系统版本不挑Ubuntu 20.04 / 22.04 都能跑关键是网络模式。如果 FreeRADIUS 跑在虚拟机里网络连接方式必须改成桥接不能留在 NAT。原因很直接认证终端手机、路由器、物联网设备要能直接访问到 RADIUS 服务器的 1812 端口NAT 模式下终端和服务器不在同一广播域认证报文根本到不了。我一般会在装之前先确认三件事# 确认系统版本20.04 和 22.04 的包路径一致都是 /etc/freeradius/3.0 lsb_release -a # 确认网卡拿到的是和终端同网段的地址桥接后通常是 192.168.x.x ip addr show # 确认 1812/1813 端口没有被别的 radius 服务占用 ss -lunp | grep -E 1812|1813第一行看发行版第二行确认桥接后 IP 落在终端所在网段第三行是提前排雷——很多人机器上残留过别的认证服务端口被占后面freeradius -X会直接起不来。这里有个版本差异要提前说清FreeRADIUS 3.0 的配置目录是/etc/freeradius/3.0/而 2.x 是/etc/freeradius/网上大量老教程还停留在 2.x 路径照抄会找不到文件。Ubuntu 官方源里现在默认给的就是 3.0 系列直接用源安装即可不用自己编译。2.2 安装 FreeRADIUS 与 OpenSSL一条命令背后的依赖安装本身不复杂但要用 root 身份并且先更新 apt 索引否则可能装到旧包或者依赖解析失败sudo su # 切到 root后续配置都在 root 下做 apt update # 刷新软件源索引 apt-get install freeradius openssl # 装 radius 服务和证书工具apt update不能省源索引过期时apt-get install会报依赖版本冲突。openssl单独列出来是因为后面certs目录里的 Makefile 生成证书时依赖它虽然通常作为依赖被带上但显式装一遍更稳。装完可以用freeradius -v看版本确认是 3.0.x。另外 vim 不一定预装后面要编辑多个配置文件顺手补上apt-get install vim这一步没什么玄学但有个血泪经验不要在装完立刻改配置先让服务以默认配置跑一次freeradius -X确认能到Ready to process requests再动文件。这样一旦后面出问题你能确定是配置改坏的而不是安装本身有问题。3. 配置 FreeRADIUS 三件套users、clients.conf 与 eap 模块3.1 users 文件先放一个明文测试账号FreeRADIUS 3.0 的所有配置都在/etc/freeradius/3.0/下。第一步先配一个最简单的测试账号用来验证服务本身是通的cd /etc/freeradius/3.0/ vim users在文件末尾添加一行Testing Cleartext-Password : passwordTesting是身份名称password是密码两个都可以自定义但要注意大小写和引号——Cleartext-Password是固定属性名值必须用双引号包起来。这个账号在 EAP-TLS 里其实用不到TLS 靠证书认证不走密码但它的价值在于当你怀疑是证书问题时可以先用这个账号跑一次 PAP 认证把“服务通不通”和“证书对不对”两个问题拆开。我一般会保留这个测试账号到整个环境验证完再删。3.2 clients.conf共享密钥和终端地址必须成对改clients.conf定义谁有权向 RADIUS 服务器发认证请求这里配的是认证终端通常是路由器或 AP的地址和共享密钥vim clients.conf加入一个 client 块client client1 { ipaddr 192.168.1.1 secret testing123 require_message_authenticator no }client1是别名随便起ipaddr必须填认证终端的真实地址填错就是静默丢弃报文secret是共享对称密钥路由器的 RADIUS 配置里要填一模一样的值这是最容易翻车的地方——两边差一个字符日志里只会显示认证失败不会告诉你密钥不匹配。require_message_authenticator no建议保持 no旧版本协议设备不一定带 Message-Authenticator 属性设成 yes 会把老设备直接挡在门外。改完这个文件后面路由器配置里的密钥要同步改别只改一边。3.3 eap 模块把默认认证方式切到 TLSEAP-TLS 的核心在mods-enabled/eap这个文件里它决定了默认的 EAP 方法和证书路径cd /etc/freeradius/3.0/mods-enabled/ vim eap需要改的关键参数eap { default_eap_type tls tls-config tls-common { private_key_password whatever private_key_file ${certdir}/server.key certificate_file ${certdir}/server.pem ca_file ${cadir}/ca.pem dh_file ${certdir}/dh } }default_eap_type tls把默认方法从 PEAP 切成 TLS这是双向认证的前提。private_key_password默认是whatever和后面生成证书时的私钥密码对应改证书密码就要同步改这里。${certdir}和${cadir}是 FreeRADIUS 内置变量分别指向证书目录和 CA 目录不用写死绝对路径。dh_file是 Diffie-Hellman 参数文件make时会一起生成。这里有个细节mods-enabled下的文件通常是mods-available的软链接直接编辑没问题但如果你从别处拷了配置覆盖记得确认软链接还在否则模块根本不加载。4. 证书生成与权限certs 目录里 make 出来的东西怎么用4.1 make 一次生成全套证书FreeRADIUS 自带一套证书生成脚本在certs目录下直接makecd /etc/freeradius/3.0/certs make跑完会生成一整套文件常用的几个文件用途关键点ca.pem自签发根证书服务器和客户端互相验证的信任锚server.pem服务器证书配在 eap 模块的 certificate_fileserver.key服务器私钥密码默认 whatever配在 private_key_passwordclient.p12客户端个人证书含证书私钥密码 whatever导入终端用dhDiffie-Hellman 参数配在 dh_fileclient.p12是给终端用的需要导出到设备上安装。这里要注意make生成的证书有有效期默认几年测试环境够用如果之前make过又改了配置建议先make clean再make避免新旧证书混在一起导致验证失败。4.2 权限问题那个“读取证书失败”的经典报错第一次freeradius -X启动时很可能看到证书读取权限相关的报错。原因是make出来的私钥文件权限过严FreeRADIUS 运行用户读不到。在certs目录下执行chmod 777 ca.pem dh server.key server.pem chmod o-w ca.pem dh server.key server.pem第一行放开读权限让服务能读到第二行去掉其他用户的写权限避免私钥被随意篡改。这是测试环境的做法生产环境应该用更细的属主和权限控制但测试阶段先让服务跑起来更重要。改完权限再启动如果还报错往下看端口占用那条。5. 启动、联调与避坑从 freeradius -X 到终端连上热点5.1 调试模式启动与端口占用配置改完用调试模式启动所有认证过程会打在终端上这是排查 EAP-TLS 最有效的手段freeradius -X看到Ready to process requests才算启动成功。如果报 1812 端口被占用说明有残留的 radius 进程或别的服务占着端口最省事的做法是重启服务器再启动reboot # 重启后重新执行 freeradius -X-X是调试模式前台运行、输出详细日志正式跑可以改用service freeradius start但联调阶段一定用-X否则出问题你什么都看不到。5.2 路由器侧配置WPA 与 RADIUS 参数对齐把路由器用网线连上登录管理页面示例地址 192.168.1.1无线加密方式选 WPA 系列认证方式选 RADIUS/802.1X然后填两项RADIUS 服务器地址填 FreeRADIUS 所在机器的 IP共享密钥填clients.conf里那个secret的值。保存后路由器会开始向服务器发认证请求。这一步的坑在于路由器页面上的“密钥”字段有的叫 Shared Secret有的叫 RADIUS 密码本质都是同一个值必须和clients.conf完全一致。5.3 常见问题排查四条踩坑记录现象终端一直显示“正在验证身份”服务端日志无报错。原因终端和服务器不在同一网段或虚拟机还是 NAT 模式认证报文到不了 1812 端口。 解决确认虚拟机网络为桥接ip addr看服务器 IP 与终端同网段必要时在服务器上tcpdump -i any port 1812看有没有收到包。现象freeradius -X启动即退出提示证书读取失败。原因server.key等文件权限过严运行用户读不到。 解决按 4.2 节执行chmod 777再chmod o-w重启服务。现象启动报 1812 端口被占用。原因残留 radius 进程或其他服务占用端口。 解决reboot后重新freeradius -X或ss -lunp | grep 1812找到进程处理掉。现象终端证书装好了连接仍失败日志提示 TLS 握手错误。原因client.p12导入不完整或终端时间与证书有效期不匹配。 解决重新导出并安装client.p12确认终端系统时间正确检查eap文件里private_key_password与生成证书时的密码一致。6. 装完怎么验证跑通三步自证与一个习惯环境搭完别急着说“应该好了”按下面三步自证每一步都能独立定位问题。第一步服务端自检。freeradius -X保持前台运行另开一个终端用radtest发一个明文认证验证 users 和 clients 配置是否正确# 语法radtest 用户名 密码 localhost 0 共享密钥 radtest Testing password 127.0.0.1 0 testing123返回Access-Accept说明服务、users、clients 三件套是通的。这一步过了再怀疑证书才有意义。第二步证书链自检。用 openssl 验证服务器证书和 CA 的对应关系openssl verify -CAfile /etc/freeradius/3.0/certs/ca.pem \ /etc/freeradius/3.0/certs/server.pem输出OK说明证书链没问题。如果这里就失败后面终端怎么连都不会成功。第三步终端实测。把client.p12导入设备连接路由器广播的热点认证方式选 EAP-TLSCA 证书可以不选测试环境用自签根证书客户端证书选刚导入的那个。连接过程中盯着freeradius -X的输出能看到 TLS 握手、证书交换、最终Access-Accept的完整链路哪一步断了日志里一目了然。验证项命令/操作通过标准服务与账号radtest返回 Access-Accept证书链openssl verify输出 OK端到端终端连热点日志出现 Access-Accept从那以后我每次搭这类认证环境都强制先跑radtest再碰证书把“服务通不通”和“证书对不对”彻底拆开省掉大量瞎猜的时间。这套 Ubuntu FreeRADIUS 3.0 的 EAP-TLS 测试环境按上面的顺序走一遍基本能一次跑通卡住的时候优先看-X的实时日志它比任何文档都直接。希望帮到你。本文还有配套的精品资源点击获取