FreeRADIUS 3.0.11 ignorando o Access-Request de uma interface NIC

Question

Instalei o FreeRADIUS 3.0.11 no Ubuntu Server 16.04. O Ubuntu Server é executado em uma máquina virtual ESXi. A máquina virtual possui dois NICs. Uma é para se conectar a uma rede administrativa, a outra é para a rede local do cliente. Eu também estou usando uma máquina virtual PfSense como um firewall entre a LAN e o servidor Ubuntu.

Uma foto da minha rede

O problema é que, quando estou testando a partir de admin network radtest test 1234 192.168.1.144 1812 testing123 , o servidor FreeRADIUS percebe e responde corretamente, mas quando estou testando a partir de LAN , O servidor FreeRADIUS não recebe a solicitação de acesso. Estou usando o servidor no modo de depuração freeradius -X .

Os IPs são:

Ubuntu server admin NIC, ens160: 192.168.1.144
Ubuntu server NIC to PfSense, ens192: 192.168.34.2
PfSense NIC to Ubuntu server: 192.168.34.1
PfSense LAN NIC: 192.168.33.1

Eu verifiquei com tcpdump que o servidor Ubuntu está recebendo os pacotes de solicitação de acesso. O IP 192.168.33.50 é o IP de um laptop.

sudo tcpdump -i ens192 port 1812
10:24:18.578802 IP 192.168.33.50.63334 > 192.168.34.2.radius: RADIUS, Access-Request (1), id: 0x09 length: 44
10:24:19.578202 IP 192.168.33.50.63334 > 192.168.34.2.radius: RADIUS, Access-Request (1), id: 0x09 length: 44

Estou usando iptables para encaminhar HTTP e HTTPS para a máquina virtual PfSense, para que eu possa configurá-lo na rede administrativa.

# Generated by iptables-save v1.6.0 on Wed May  4 10:23:08 2016
*nat
:PREROUTING ACCEPT [2:396]
:INPUT ACCEPT [2:396]
:OUTPUT ACCEPT [3:213]
:POSTROUTING ACCEPT [3:213]
-A PREROUTING -i ens160 -p tcp -m tcp --dport 4954 -j DNAT --to-destination 192.168.34.1:80
-A PREROUTING -i ens160 -p tcp -m tcp --dport 4955 -j DNAT --to-destination 192.168.34.1:443
-A POSTROUTING -d 192.168.34.1/32 -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.34.2
-A POSTROUTING -d 192.168.34.1/32 -p tcp -m tcp --dport 443 -j SNAT --to-source 192.168.34.2
COMMIT
# Completed on Wed May  4 10:23:08 2016
# Generated by iptables-save v1.6.0 on Wed May  4 10:23:08 2016
*filter
:INPUT ACCEPT [24:2294]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [16:3245]
-A INPUT -p udp -m udp -m multiport --dports 1812 -m comment --comment     "Accept RADIUS" -j ACCEPT
COMMIT
# Completed on Wed May  4 10:23:08 2016

Eu verifiquei se o FreeRADIUS está escutando a porta 1812.

netstat -lun | grep 1812
udp        0      0 127.0.0.1:18120         0.0.0.0:*
udp        0      0 0.0.0.0:1812            0.0.0.0:*
udp6       0      0 :::1812                 :::*

Eu tentei encaminhar a porta 1812 da interface para outra, mas ou configurei errado ou não ajudou. Tenho certeza de que há um truque fácil para que isso funcione, mas ainda não o encontrei. Obrigado pela sua ajuda!

UPDATE

Eu tentei ativar Logging removendo o comentário da linha requests = ${logdir}/radiusd-%{%{Virtual-Server}:-DEFAULT}-%Y%m%d.log no arquivo /etc/freeradius/radiusd.conf . No entanto, isto gera um erro e o freeradius não inicia de todo. O modo de depuração é iniciado, mas não escreve nada no arquivo radius.log.

sudo freeradius
radiusd: Error: Failed to parse log{} section.

Parece que o log de solicitações não está funcionando desde a versão 3.0.9. Fonte: github.com/FreeRADIUS/freeradius-server/issues/1131

    

Answer 1

Eu resolvi o problema. Eu tive que adicionar um gateway para o outro NIC também.

Este é o meu arquivo /etc/network/interfaces inicial:

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
# This is an autoconfigured IPv6 interface
#auto ens160
#iface ens160 inet6 auto

# ESXi NIC admin network
auto ens160
iface ens160 inet static
address 192.168.1.144
netmask 255.255.255.0
gateway 192.168.1.1
dns-nameservers 192.168.1.3 192.168.1.2

# ESXi NIC DMZ
auto ens192
iface ens192 inet static
address 192.168.34.2
netmask 255.255.255.0

Eu adicionei uma segunda tabela de roteamento (a última linha foi adicionada):

sudo vim /etc/iproute2/rt_tables
#
# reserved values
#
255 local
254 main
253 default
0   unspec
#
# local
#
#1  inr.ruhep
1 rt2

Configurou a nova tabela de roteamento:

sudo ip route add 192.168.34.0/24 dev ens192 src 192.168.34.2 table rt2
sudo ip route add default via 192.168.34.1 dev ens192 table rt2

Adicionado regras de roteamento:

sudo ip rule add from 192.168.34.2/32 table rt2
sudo ip rule add to 192.168.34.2/32 table rt2

Testou que a configuração funciona e a tornou permanente modificando o arquivo /etc/network/interfaces :

iface ens192 inet static
    address 192.168.34.2
    netmask 255.255.255.0
    post-up ip route add 192.168.34.0/24 dev ens192 src 192.168.34.2 table rt2
    post-up ip route add default via 192.168.34.1 dev ens192 table rt2
    post-up ip rule add from 192.168.34.2/32 table rt2
    post-up ip rule add to 192.168.34.2/32 table rt2

A origem da solução: link

IPTABLES

E para manter meu encaminhamento de porta em execução, adicionei interface de saída às regras do iptables (-o ens192 adicionado):

-A POSTROUTING -d 192.168.34.1/32 -o ens192 -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.34.2
-A POSTROUTING -d 192.168.34.1/32 -o ens192 -p tcp -m tcp --dport 443 -j SNAT --to-source 192.168.34.2