IT-Sicherheit
FreeRADIUS
FreeRADIUS ist der meistverbreitete quelloffene RADIUS-Server für AAA, zentral für 802.1X-Netzzugang, WLAN-Enterprise und VPN-Authentifizierung.
- GPLv2, weit verbreitet
- AAA / RADIUS (RFC 2865/2866)
- EAP-TLS, PEAP, TTLS
- 802.1X, WLAN-Enterprise, VPN
- LDAP/AD/SQL-Backends
FreeRADIUS ist der am weitesten verbreitete quelloffene RADIUS-Server und implementiert AAA: Authentifizierung (wer bist du), Autorisierung (was darfst du) und Accounting (was hast du genutzt). Er ist die zentrale Instanz, die in 802.1X-Netzen, WLAN-Enterprise-Umgebungen und bei der VPN-Anmeldung über Zugang entscheidet.
Dieser Artikel erklärt das RADIUS-Protokoll, die EAP-Methoden, die Backend-Anbindung an LDAP/AD und SQL, die typischen Einsatzfelder sowie die Transportsicherung per RadSec und den aktuellen Versionsstand.
1. RADIUS und AAA
RADIUS (RFC 2865) trennt die Zugangsentscheidung vom Gerät, das den Zugang gewährt: Der Authenticator (Switch, WLAN-Controller, VPN-Gateway) fragt den RADIUS-Server, ob ein Nutzer oder Gerät zugelassen wird, und setzt dessen Antwort um. Accounting (RFC 2866) protokolliert Sitzungsdaten. So lässt sich Zugang zentral und einheitlich steuern, statt pro Gerät.
2. EAP-Methoden
Für 802.1X kapselt RADIUS die Authentifizierung in EAP. Gängig sind:
- EAP-TLS gegenseitige Authentifizierung über Client- und Serverzertifikate, gilt als sicherste Methode, ohne Passwortabhängigkeit.
- PEAP-MSCHAPv2 nur Serverzertifikat nötig, verbreitet in AD-Umgebungen, sicherheitstechnisch schwächer als EAP-TLS.
- EAP-TTLS ähnlich PEAP, erlaubt Legacy-Verfahren im TLS-Tunnel.
3. Backends und Einsatz
FreeRADIUS bindet über Module an LDAP/Active Directory, SQL (MariaDB/PostgreSQL), Kerberos oder REST an. Typische Einsatzfelder sind kabelgebundenes und drahtloses 802.1X (WPA2/3-Enterprise), VPN-Authentifizierung und die Hochschul-Föderation eduroam. Es skaliert auf zehntausende gleichzeitige Authentifizierungen.
4. Transportsicherheit
Klassischer RADIUS läuft über UDP (Ports 1812/1813) und ist nicht durchgängig verschlüsselt. RadSec (RADIUS over TLS, RFC 6614) kapselt RADIUS in TLS über TCP und sollte überall dort genutzt werden, wo Anfragen über unsichere Netze oder Proxy-Ketten laufen.
Version 3.2.x ist die Produktivlinie
FreeRADIUS 3.2.x ist die empfohlene stabile Serie; die 3.0.x-Linie ist ausgelaufen, die Version 4.0 befindet sich seit Längerem im Alpha-Stadium. Wichtig: Die BlastRADIUS-Schwachstelle (2024) ist in aktuellen 3.2.x-Versionen adressiert, ältere Stände sollten zeitnah aktualisiert werden.
5. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Ausgereifter, weit verbreiteter AAA-Standard-Server | Keine GUI im Kern (Drittwerkzeuge separat) |
| Breite EAP- und Backend-Unterstützung (LDAP/AD/SQL) | Mächtige, aber lernintensive Policy-Sprache |
| RadSec sichert den Transport über unsichere Strecken | Klassischer UDP-Transport ohne RadSec ist ungeschützt |
Häufige Fragen zu FreeRADIUS
Wenn möglich EAP-TLS: Es authentifiziert über Zertifikate beidseitig und kommt ohne Passwörter aus, die über die Luft angreifbar wären. PEAP-MSCHAPv2 ist verbreitet und einfacher, aber schwächer; es setzt eine saubere Zertifikats- und Validierungskonfiguration voraus.
Nicht zwingend. FreeRADIUS ist der RADIUS-Server; PacketFence ist eine komplette NAC-Lösung, die FreeRADIUS bereits eingebettet mitbringt und um Profiling, Portal und Segmentierung ergänzt. Wer nur AAA braucht, kommt mit FreeRADIUS allein aus.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
FreeRADIUS im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.