FreeRADIUS: Como se Comunica com Diferentes Bancos de Dados e Fontes de Autenticação

A comunicação com diferentes bancos de dados e sistemas de autenticação, como LDAP, MySQL, Active Directory e outros, é facilitada através de módulos específicos, que permitem ao FreeRADIUS consultar, armazenar e validar informações de usuários em tempo real.

Esses módulos oferecem uma maneira eficiente de centralizar o controle de acesso à rede, garantindo que as credenciais e permissões dos usuários sejam verificadas de acordo com a configuração da rede.

A seguir, veremos como o FreeRADIUS se comunica com algumas das fontes de dados mais comuns:

1. Integração com LDAP (Lightweight Directory Access Protocol)

O LDAP é um protocolo amplamente utilizado para acessar e manter diretórios distribuídos. Em muitos ambientes corporativos, o LDAP é a principal fonte de dados para autenticação, como em Active Directory (AD), que é uma implementação do LDAP. Para integrar o FreeRADIUS com o LDAP, é necessário configurar o módulo ldap no arquivo de configuração do FreeRADIUS.

Como funciona a comunicação com o LDAP:

Consulta ao LDAP: Quando um usuário tenta se autenticar, o FreeRADIUS envia uma consulta ao servidor LDAP para verificar se as credenciais (nome de usuário e senha) estão corretas.
Atributos e Grupos: Além da autenticação básica, o FreeRADIUS pode consultar atributos e grupos do LDAP para determinar as permissões de acesso do usuário, como a qual grupo o usuário pertence e quais VLANs ou recursos ele pode acessar.
Suporte a Active Directory: Em casos de integração com o Active Directory, o FreeRADIUS pode utilizar a autenticação baseada em Kerberos ou NTLM (em vez de autenticação simples com senha), permitindo uma integração mais forte com o ecossistema Microsoft.

Exemplo de configuração de LDAP:

ldap {
server = "ldap://ldap.example.com"
identity = "cn=admin,dc=example,dc=com"
password = "secret"
base_dn = "dc=example,dc=com"
filter = "(uid=%{Stripped-User-Name})"
# Outros parâmetros de configuração podem ser definidos dependendo da rede
}

2. Integração com MySQL ou PostgreSQL

O MySQL e o PostgreSQL são bancos de dados relacionais populares que podem ser usados para armazenar informações de usuários, como credenciais de login, permissões e registros de contabilidade. O FreeRADIUS pode se conectar a esses bancos de dados para autenticar usuários e autorizar acessos, além de gerar registros de contabilidade (logs).

Como funciona a comunicação com MySQL/PostgreSQL:

Autenticação: Quando o FreeRADIUS recebe uma solicitação de autenticação, ele consulta o banco de dados MySQL ou PostgreSQL para verificar as credenciais do usuário (nome de usuário e senha). Isso pode ser feito com uma simples consulta SQL.
Autorização: Além da autenticação, o FreeRADIUS pode verificar permissões no banco de dados, como a atribuição de VLANs dinâmicas ou a aplicação de políticas de acesso específicas.
Contabilidade: O FreeRADIUS pode registrar dados de contabilidade no banco de dados, como o tempo de conexão, quantidade de dados transferidos, e outras métricas de uso.

Exemplo de configuração para MySQL:

sql {
driver = "mysql"
server = "localhost"
login = "radius"
password = "password"
radius_db = "radius_db"
query = "SELECT reply FROM radcheck WHERE username='%{User-Name}'"
}

Exemplo de configuração para PostgreSQL:

sql {
driver = "postgresql"
server = "localhost"
login = "radius"
password = "password"
radius_db = "radius_db"
query = "SELECT reply FROM radcheck WHERE username='%{User-Name}'"
}

3. Integração com Active Directory

O Active Directory (AD) é uma implementação do protocolo LDAP amplamente utilizada em ambientes Microsoft para gerenciar identidades e permissões. O FreeRADIUS pode ser configurado para se comunicar com o Active Directory para autenticar usuários com credenciais armazenadas no AD.

Como funciona a comunicação com o Active Directory:

Autenticação com Kerberos ou NTLM: O FreeRADIUS pode usar o protocolo Kerberos ou NTLM para autenticar usuários diretamente no Active Directory, permitindo que ele consulte o banco de dados de usuários do AD para validar credenciais sem precisar armazenar senhas.
Grupo de Usuários e Atributos: O FreeRADIUS pode consultar o AD para obter informações sobre os grupos de usuários e os atributos do AD, o que permite aplicar políticas baseadas nos grupos aos quais o usuário pertence.

Exemplo de configuração de integração com Active Directory usando LDAP:

ldap {
server = "ldap://ad.example.com"
identity = "cn=admin,dc=example,dc=com"
password = "secret"
base_dn = "dc=example,dc=com"
filter = "(sAMAccountName=%{Stripped-User-Name})"
# Outros parâmetros de configuração, como suporte a Kerberos, podem ser definidos
}

4. Integração com Outros Provedores de Autenticação

Além de LDAP, MySQL e Active Directory, o FreeRADIUS também pode ser integrado com outros sistemas de autenticação, como:

EAP (Extensible Authentication Protocol)

Para sistemas que utilizam autenticação baseada em EAP, como Wi-Fi corporativo e VPNs, o FreeRADIUS pode ser configurado para interagir com um servidor EAP que autentique usuários por meio de certificados, tokens de segurança ou senha dinâmica. O FreeRADIUS suporta múltiplos métodos EAP, como EAP-TLS, EAP-PEAP e EAP-TTLS, proporcionando um alto nível de segurança.

TACACS+

Em ambientes de rede, o FreeRADIUS pode ser configurado para se comunicar com servidores TACACS+, um protocolo utilizado para gerenciar autenticação e autorização de dispositivos de rede como switches e roteadores.

LDAP com TLS/SSL

A comunicação com LDAP pode ser reforçada com criptografia, utilizando LDAP sobre TLS/SSL (LDAPS) para garantir que as credenciais sejam transmitidas de forma segura.

5. Módulos de Autenticação Baseada em Certificados

Para autenticação baseada em certificados digitais, como em EAP-TLS, o FreeRADIUS pode ser configurado para trabalhar com um servidor de certificados e validar a autenticidade dos certificados dos usuários. Isso é comum em ambientes corporativos e educacionais que exigem segurança forte para acesso à rede.

Conclusão

O FreeRADIUS oferece uma grande flexibilidade ao se integrar com diversas fontes de autenticação e bancos de dados, como LDAP, Active Directory, MySQL, PostgreSQL e outros. Através de módulos dedicados, o FreeRADIUS consegue autenticar usuários, autorizar acessos e registrar atividades de contabilidade, sempre de maneira centralizada e segura.

Sua capacidade de integrar diferentes sistemas de autenticação e de consulta a bases de dados permite que seja utilizado em uma ampla gama de cenários, desde redes corporativas até provedores de acesso à internet e redes Wi-Fi públicas. A escolha do banco de dados ou sistema de autenticação depende das necessidades específicas da rede e da infraestrutura de TI da organização.