FreeRADIUS 3.2.10 介绍与选型指南

目标：从零认识 FreeRADIUS——开源 RADIUS 认证/授权/计费（AAA）服务器的事实标准实现，理清它的架构、能力边界，以及与 Cisco ISE、PacketFence、daloRADIUS 等同类方案的量化选型依据。本文为认知与选型篇，全部信息来自官方仓库与官方文档的联网溯源（检索日期 2026-10-27），不含本地实验内容。

一、环境信息

本文为纯联网溯源篇，未做本地实测；所有版本号、发布时间、星数等均来自下列官方渠道，检索日期统一为 2026-10-27：

💡 说明：Ubuntu 22.04 自带仓库中的 FreeRADIUS 为 3.0.26 系（apt-cache policy freeradius 可查），要安装 3.2.10 需走官方 deb 仓库或源码编译，具体见环境信息中的官方仓库行及配套安装指南。

二、软件概述

FreeRADIUS 是一款开源的 RADIUS 服务器，实现认证（Authentication）、授权（Authorization）、计费（Accounting）三类 AAA 功能，是网络接入认证领域部署量最大的开源实现。它自 1999 年从 Cistron RADIUS 项目分叉发展而来，至今仍由 FreeRADIUS Server Project 持续维护，商业公司 InkBridge Networks（原 NetworkRADIUS）为项目提供维护者与商业支持，官方发行物的版本声明中明确写着 "FreeRADIUS is developed, maintained, and supported by InkBridge Networks"。

RADIUS（Remote Authentication Dial-In User Service）协议定义于 RFC 2865（认证与授权）与 RFC 2866（计费），基于 UDP 1812（认证）/1813（计费）端口，采用「NAS（Network Access Server，网络接入设备）—RADIUS 服务器」的客户端/服务器模型：交换机、无线控制器、VPN 网关、路由器等设备作为 NAS/客户端，把用户的接入凭证转发给 RADIUS 服务器裁决，服务器返回 Access-Accept / Access-Reject 以及一组授权属性；计费报文（Accounting-Request Start / Interim-Update / Stop）则把会话流量、时长源源不断送到服务器落库。

💡 技术拓展：AAA 服务器不止 RADIUS 一种协议形态。业界常见的三种对比如下——

协议	传输	典型场景	特点
RADIUS	UDP 1812/1813（也可 TCP/TLS）	网络接入认证（Wi-Fi 802.1X、VPN、宽带）	属性对打包在单报文内，设备生态最广
TACACS+	TCP 49	设备管理类认证（交换机/路由器 CLI 登录）	命令级授权、报文全加密，Cisco 系主流
Diameter	TCP/SCTP + TLS	电信核心网（4G/5G、VoLTE）	RADIUS 的演进版，电信标准（3GPP）采用

本文主题 FreeRADIUS 定位第一行的 RADIUS 服务端；设备管理认证（TACACS+）通常由 TACACS+ 守护进程（如 tac_plus）或 ISE 承担，两类协议在 NAS 上常并存。

FreeRADIUS 的核心价值在于三点：其一，协议覆盖完整——从传统 PAP/CHAP/MS-CHAPv2 到 802.1X 所需的 EAP 全家桶（EAP-TLS、PEAP、EAP-TTLS、EAP-PWD 等）都在官方模块中内置；其二，策略能力可编程——内置 unlang 语言可在请求处理流水线中直接书写业务逻辑；其三，后端生态齐全——用户与计费数据可落在文件、LDAP 目录、SQL 数据库、Redis、Python/Perl 脚本等任意后端。

三、核心架构

FreeRADIUS 采用「单进程事件驱动 + 模块化请求流水线」架构，理解三组概念即可掌握全貌：服务器引擎、模块（rlm_*）、虚拟服务器与请求处理阶段。

服务器引擎：主程序（Ubuntu 包中为 /usr/sbin/freeradius）是多线程事件驱动引擎，负责接收 UDP/TCP 报文、维护请求队列（max_requests 控制并发上限）、执行重传与去重（max_request_time、cleanup_delay），并按 clients.conf 校验报文来源 NAS 的共享密钥。3.2.x 内置了对 2024 年披露的 Blast-RADIUS 协议缺陷（CVE-2024-3596）的防护——默认在 Access-Request 中携带 Message-Authenticator 属性，客户端工具亦提供 -b 强制校验选项。

模块（rlm_*）：一切具体能力都是模块，按「可用/启用」两级管理（Debian 布局下位于 mods-available/ 与 mods-enabled/ 目录，软链接启用）：rlm_files（users 文件）、rlm_ldap（LDAP 目录对接）、rlm_sql（SQL 后端，支持 MySQL/MariaDB、PostgreSQL、SQLite、UNIX-ODBC、MongoDB 等 dialect）、rlm_eap（EAP 框架，内含 eap-tls/eap-peap/eap-ttls/eap-pwd/eap-md5 子协议）、rlm_detail（报文明细日志）、rlm_radutmp（在线会话记录）等。

虚拟服务器与处理阶段：站点配置（sites-available/default 与 inner-tunnel）定义虚拟服务器，每个虚拟服务器内按五个阶段组织模块调用序列——authorize（裁决用户身份与授权属性，决定是否进入认证）、authenticate（执行实际口令校验）、accounting（计费落库）、post-auth（认证成功后的属性加工）、pre-proxy/post-proxy（代理转发钩子）。一个请求从 NAS 到达后依次流经各阶段的模块列表，任一阶段可返回 reject/ok/handled 等控制码短路流水线，这正是 FreeRADIUS 策略能力的实现基座。

💡 技术拓展：802.1X 场景下 EAP 认证方法的选择是 RADIUS 部署的第一决策点，常见方法对比如下——

EAP 方法	证书需求	安全性	适用场景
EAP-TLS	服务端+客户端双证书	最高（双向证书认证）	企业级 Wi-Fi/有线，PKI 成熟的组织
PEAP-MSCHAPv2	仅服务端证书	中（隧道内 MSCHAPv2）	Windows 域环境平滑迁移 AD 口令
EAP-TTLS	仅服务端证书	中（隧道内可 PAP/CHAP 等）	异构终端、LDAP 口令体系
EAP-PWD	无证书	中高（SAE 口令机制）	不想维护 PKI 的中小规模网络
EAP-MD5	无证书	低（不加密，已淘汰）	仅兼容旧设备测试

本文介绍的服务器四种方法全部内置支持；企业新建网络建议优先 EAP-TLS，其次 PEAP/EAP-TTLS。

代理能力：FreeRADIUS 同时是完整的 RADIUS 代理（proxy），可按 realm（用户名 @ 后缀）或 huntgroup 把请求转发到上游 RADIUS 服务器，配合 proxy.conf 实现多级 AAA 分发与机构间漫游（eduroam 即此形态的典型应用）。

四、功能特性

以 3.2.10 为基准，FreeRADIUS 的功能版图如下（均为官方发行物内置能力，标注来源为官方模块文档与发行注记）：

• 认证协议全覆盖：PAP、CHAP、MS-CHAPv2、EAP-MD5、EAP-TLS、EAP-PEAP、EAP-TTLS、EAP-PWD、EAP-SIM/AKA（需 SIM 卡组件）等；PAP 口令可对接 LDAP bind、SQL 明文/哈希字段、UNIX /etc/passwd 等后端。
• 用户后端多样：users 平面文件、SQL（MySQL/MariaDB/PostgreSQL/SQLite/MongoDB via rlm_sql 各 dialect）、LDAP 目录（rlm_ldap，可同时做搜索与用户 bind 认证）、Redis、PAM、UNIX 系统账户、Python3/Perl 脚本模块。
• 计费（Accounting）：Start/Interim-Update/Stop 三段会话记录可落 SQL 表（radacct）或 detail 明细文件；支持实时流（linelog）、会话超时清理与 radutmp/sradutmp 在线表。
• 代理与漫游：realm 转发、huntgroup 分组、主备上游、Dead Realm 判定（home_server 健康检查与 alive/dead 状态机）。
• 策略语言 unlang：在虚拟服务器中书写 if/else、switch、属性更新、临时变量等逻辑，无需改动 C 代码即可实现限额、时段控制、动态 VLAN 分配等策略。
• 高并发与多实例：单进程多线程，max_servers/max_requests 可调；同一主机可用 -n 实例名机制并行运行多个独立实例（各配 radiusd.conf）。
• 可观测性：运行态控制 socket（radmin 连接，可动态开调试、查队列状态）、raddebug 按用户名/IP 条件动态调试、radsniff 报文抓取解码、radius.log 与 radacct/<NAS>/detail-* 明细。
• 安全机制：Blast-RADIUS 防护（Message-Authenticator 默认携带与校验）、TLS 1.2/1.3（EAP-TLS）、每 client 独立共享密钥、security 段的 chroot/降权运行（Ubuntu 包默认以 freerad 用户运行）。

版本节奏方面：3.2.x 是当前主线（最新 3.2.10，2026-06-03 发布），3.0.x 为长期维护分支（最新 3.0.28，2026-06-02 发布，面向老系统补丁）；两条分支均保持活跃，官方建议新部署直接使用 3.2 系列。3.2 相对 3.0 的关键演进包括 Blast-RADIUS 防护、多 TLS 会话缓存改进、tls_max_version 默认收紧、对 OpenSSL 3.x 的完整适配等（来源：官方发行注记）。

五、快速开始（最小可用示例）

以下为官方文档口径的 Ubuntu 22.04 最小验证路径（来源：freeradius.org 官方文档与 packages.networkradius.com 官方安装页，查询日期 2026-10-27；完整实测过程见配套安装指南）：

# 1. 安装（Ubuntu 官方仓库为 3.0.x；3.2.10 需官方 deb 仓库，安装步骤见安装指南篇）
apt-get install freeradius freeradius-utils

# 2. 启动服务（Ubuntu 使用 systemd 托管，服务名 freeradius）
systemctl start freeradius

# 3. 本机回环验证：默认 clients.conf 已内置 localhost 客户端（共享密钥 testing123），
#    默认 users 文件内置 bob 用户（口令 hello），radtest 发起一次 PAP 认证
radtest bob hello 127.0.0.1 0 testing123

按官方文档说明，第 3 步成功时服务器返回 Access-Accept（radtest 输出中出现 Received Access-Accept 即为闭环成功）；口令错误或用户不存在时返回 Access-Reject。从「安装 → 启动 → 一条 radtest 拿到 Accept」即为 FreeRADIUS 的最小可用形态，生产化所需的 NAS 定义、TLS 证书、SQL/LDAP 后端接入等步骤见配套的安装指南与配置参数详解篇。

六、适用场景与限制

典型适用场景：

• 企业/园区 Wi-Fi 与有线 802.1X 认证：无线控制器、交换机作为 NAS 对接 FreeRADIUS，员工按部门/岗位动态分配 VLAN（通过 Access-Accept 中的 Tunnel-Type/Tunnel-Medium-Type/Tunnel-Private-Group-ID 属性组）。
• VPN 与远程接入认证：OpenVPN、IPsec/IKEv2 网关、Wireless/PPPoE 宽带接入把用户名口令转发给 FreeRADIUS，后端统一接 LDAP/SQL。
• ISP/校园网宽带计费：Accounting 报文实时落 radacct 表，配合 radgroupcheck/radgroupreply 实现套餐限速、并发会话数限制（Simultaneous-Use）与流量配额。
• 多机构漫游/集团多级 AAA：利用代理与 realm 转发做认证分发（eduroam 形态）。
• 设备准入与 NAC 的认证底座：作为 PacketFence 等上层 NAC 平台的底层 RADIUS 引擎（PacketFence 内部即使用 FreeRADIUS）。

限制与注意：

• 不是 Web 管理界面：FreeRADIUS 只有配置文件与 CLI，日常用户/组管理需要 daloRADIUS、FreeRADIUS-Admin 等面板项目或自建系统配合。
• 不是设备管理认证协议（TACACS+）服务器：交换机/路由器 CLI 登录的命令级授权需要 TACACS+ 守护进程，RADIUS 与 TACACS+ 在 NAS 侧通常并存部署。
• PKI 运维成本：EAP-TLS 依赖证书签发与吊销体系；官方自带的证书生成脚本仅适用于实验室自签场景，生产必须接入企业 CA。
• 性能上限由后端决定：文件后端可达数万 TPS 量级，而 SQL/LDAP 后端的并发受数据库连接池（max_requests 与 rlm_sql 连接数）约束，超大规模部署需评估读写分离与缓存。
• Windows AD 口令对接方式受限：AD 不向第三方暴露口令哈希，PAP 直查 AD 不可行，需走 ntlm_auth（winbind）或 PEAP-MSCHAPv2 隧道，这一点常成为迁移方案的设计关键。

七、同类选型对比

7.1 RADIUS 服务器同类方案对比

开源与闭源 RADIUS 服务器的主流选择对比如下（数据来源各官方站点与仓库，检索日期 2026-10-27）：

关键差异与选型建议：需要完全可控、零许可成本的通用 RADIUS 服务端——选 FreeRADIUS；需要命令级设备管理授权（TACACS+）与厂商商务兜底的大型 Cisco 体系——评估 Cisco ISE（预算与规模允许时）；需要开箱即用的 Web 管理与准入流程——PacketFence 或「FreeRADIUS + daloRADIUS」组合；FreeRADIUS 在其中扮演「引擎」角色，其余方案多在其上叠加管理面。

7.2 RADIUS 与 TACACS+ 对比

两协议在设备接入侧经常并存，选型差异集中在「网络接入」与「设备管理」两个域：

选型要点：用户接入认证与计费走 RADIUS（FreeRADIUS），设备 CLI 管理认证走 TACACS+；两者共享同一套用户目录（LDAP/AD）是常见架构。

7.3 社区活跃度与版本节奏（量化）

版本节奏解读：主线 3.2.x 与维护分支 3.0.x 保持双线并行发布（2026 年 6 月初两分支均有新版），说明项目处于活跃维护状态；官方 deb 仓库覆盖 Ubuntu jammy/noble/resolute 与 Debian bookworm/trixie 全线，Linux 发行版适配及时。星数 2.6k 在基础设施类软件中属于「低星高部署量」形态——大量部署来自发行版仓库与商业产品内置，而非 GitHub 互动，评估时不应以星数论成熟度。

八、参考链接

• FreeRADIUS 官方站点：https://freeradius.org/
• GitHub 仓库（FreeRADIUS/freeradius-server）：https://github.com/FreeRADIUS/freeradius-server
• 官方 Releases 页（版本实查来源）：https://github.com/FreeRADIUS/freeradius-server/releases
• 官方文档站：https://freeradius.org/documentation/
• 官方 Ubuntu/Debian 包仓库安装指引：https://www.networkradius.com/packages/
• RADIUS 协议 RFC 2865：https://datatracker.ietf.org/doc/html/rfc2865
• RADIUS 计费 RFC 2866：https://datatracker.ietf.org/doc/html/rfc2866
• 本平台配套篇目：《Ubuntu 22.04 安装 FreeRADIUS 3.2.10 指南》、《FreeRADIUS 3.2.10 配置参数详解》、《FreeRADIUS 3.2.10 常用 CLI 命令与工具详解》