FreeRADIUS+DaloRADIUS实现PPTP ***高级用户控制+流量控制
一、前提条件
阅读本文前，您需要搭建好PPTP，如果仍未搭建，可以参考《快速安装PPTP ***》。
如果您需要配置DaloRADIUS，那么您还需要安装LAMP，我们这里为了简便使用rpm包安装，如果你编译安装的话可以参考《编译搭建LAMP服务器》。
请按照我的文档配置好PPTP，我们下面进行yum安装LAMP。我的系统是CentOS 6.x版本。
#安装httpd yum install httpd -y #安装数据库 yum install mysql-server -y #安装php及需要的组件 yum install php php-mysql php-gd php-pear-DB -y
二、配置FreeRADIUS和数据库认证
1、安装freeradius
yum install freeradius freeradius-mysql freeradius-utils -y
2、加载sql模块
编辑/etc/raddb/radiusd.conf，找到$INCLUDE sql.conf，去掉前面的#；找到$INCLUDE sql/mysql/counter.conf，去掉前面的#。
3、开启sql认证，关闭文件认证
编辑/etc/raddb/sites-enabled/default，根据下面的说明注释或取消注释相应的行。
authorize段，关掉files，打开sql，也可以把unix关掉
preacct段，关掉files
accounting段，打开sql，也可以把unix关掉
session段，打开sql
post-auth段，打开sql
pre-proxy段，关掉files
4、配置FreeRADIUS与数据库连接
编辑/etc/raddb/sql.conf，配置login（用户名），password（密码），radius_db（数据库名）等字段，并找到readclients一行，设为yes并去掉注释符号#。部分如下：
database = "mysql"
driver = "rlm_sql_${database}"
server = "localhost"
login = "radius"
password = "radpass"
radius_db = "radius"
5、下载daloradius
wget http://nchc.dl.sourceforge.net/project/daloradius/daloradius/daloradius0.9-9/daloradius-0.9-9.tar.gz mkdir /var/www/html/daloradius tar zxvf daloradius-0.9-9.tar.gz mv daloradius-0.9-9/* /var/www/html/daloradius/
6、导入数据库
mysqladmin -uroot -p create radius mysql -uroot -p radius < /var/www/html/daloradius/contrib/db/fr2-mysql-daloradius-and-freeradius.sql mysql> grant all on radius.* to [email protected]"localhost" identified by "radpass"; mysql> flush privileges;
7、配置daloradius与数据库连接
编辑/var/www/html/daloradius/library/daloradius.conf.php，修改daloRADIUS的配置文件。
$configValues['CONFIG_DB_HOST'] = 'localhost'; $configValues['CONFIG_DB_USER'] = 'radius'; #根据自己实际情况填写 $configValues['CONFIG_DB_PASS'] = 'radpass'; #设为自己的密码 $configValues['CONFIG_DB_NAME'] = 'radius'; $configValues['CONFIG_PATH_DALO_VARIABLE_DATA'] = '/var/www/html/daloRadius/var';
8、测试
登录daloradius管理界面，并创建一个用户，具体教程可以参看《daloRADIUS Web程序管理》。
重启服务测试。
[[email protected]*** ~]# service radiusd start [[email protected]*** ~]# radtest test test localhost 0 testing123 Sending Access-Request of id 159 to 127.0.0.1 port 1812 User-Name = "test" User-Password = "test" NAS-IP-Address = 10.0.0.41 NAS-Port = 0 Message-Authenticator = 0x00000000000000000000000000000000 rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=159, length=20
如果结果中有Access-Accept就代表成功了，否则退回去检查设置。
三、配置PPTP调用radiusclient与数据库通信
1、下载freeradius-client
这个软件包是epel源里面的，请先安装epel软件仓库。
yum install freeradius-client -y
查看一下客户端安装了什么。
[[email protected] ~]# rpm -ql freeradius-client /etc/radiusclient /etc/radiusclient/dictionary /etc/radiusclient/issue /etc/radiusclient/port-id-map /etc/radiusclient/radiusclient.conf #这是客户端配置文件 /etc/radiusclient/servers #这里面设定与服务端通信服务器地址和密钥 /usr/lib64/libfreeradius-client.so.2 /usr/lib64/libfreeradius-client.so.2.0.0 /usr/share/doc/freeradius-client-1.1.7 /usr/share/doc/freeradius-client-1.1.7/BUGS /usr/share/doc/freeradius-client-1.1.7/COPYRIGHT /usr/share/doc/freeradius-client-1.1.7/ChangeLog /usr/share/doc/freeradius-client-1.1.7/PACKAGE-LICENSING /usr/share/doc/freeradius-client-1.1.7/README.radexample /usr/share/doc/freeradius-client-1.1.7/README.rst /usr/share/radiusclient /usr/share/radiusclient/dictionary.ascend /usr/share/radiusclient/dictionary.compat /usr/share/radiusclient/dictionary.merit /usr/share/radiusclient/dictionary.sip
添加加上一组服务器和密钥，因为freeradius服务端就在本机，所以添加如下。
[[email protected] ~]# cat /etc/radiusclient/servers ## Server Name or Client/Server pair Key ## ---------------- --------------- # #portmaster.elemental.net hardlyasecret #portmaster2.elemental.net donttellanyone # ## uncomment the following line for simple testing of radlogin ## with freeradius-server # localhost/localhost testing123 #和服务端client配置文件里面一样
2、配置字典
编辑/etc/radiusclient/dictionary，添加如下：
INCLUDE /usr/share/radiusclient/dictionary.microsoft INCLUDE /usr/share/radiusclient/dictionary.ascend INCLUDE /usr/share/radiusclient/dictionary.merit INCLUDE /usr/share/radiusclient/dictionary.compat
否则拨号时后台日志会报错，无法拨入，rpm软件包并不带dictionary.microsoft，我们可以从ppp源码软件包里面得到，我的附件有。
3、radiusclient.conf
[[email protected]*** ~]# grep -Ev "^#|^$" /etc/radiusclient/radiusclient.conf auth_order radius,local login_tries 4 login_timeout 60 nologin /etc/nologin issue /etc/radiusclient/issue authserver localhost acctserver localhost servers /etc/radiusclient/servers dictionary /etc/radiusclient/dictionary #这里修改一下 login_radius /usr/sbin/login.radius seqfile /var/run/radius.seq mapfile /etc/radiusclient/port-id-map default_realm radius_timeout 10 radius_retries 3 #radius_deadtime 0 #这行注释掉 #bindaddr * #这行注释掉 login_local /bin/login
4、配置pptp调用radiusclient
编辑/etc/ppp/option/pptpd，在最后添加如下内容。
plugin radius.so plugin radattr.so radius-config-file /etc/radiusclient/radiusclient.conf
配置到此处之后我们的配置基本完成，重启一下所有的服务测试一下。
5、测试
可以在Windows设置连接的信息，点击连接，我们从服务端日志查看已经连接成功。
然后登陆daloradius查看一下连接状态信息等等。
四、建立流量控制
1、建立数据库表格
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Auth-Type',':=','Local');
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Service-Type',':=','Framed-User');
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Framed-IP-Address',':=','255.255.255.255');
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Framed-IP-Netmask',':=','255.255.255.0');
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Acct-Interim-Interval',':=','600');
INSERT INTO radgroupreply (groupname,attribute,op,VALUE) VALUES ('user','Max-Monthly-Traffic',':=','5368709120');
INSERT INTO radgroupcheck (groupname,attribute,op,VALUE) VALUES ('user','Simultaneous-Use',':=','1');
以上前四行不用改动，acct-interim-interval是计算流量的间隔（600秒），意味着每隔10分钟记录当前流量。倒数第二行是每月最大流量，这里是5G（单位是字节）。最后一行是允许同时连接数目。
2、配置认证语句
编辑/etc/raddb/sites-enabled/default，找到authorize一节插入：
update request {
Group-Name := "%{sql:SELECT groupname FROM radusergroup WHERE username='%{User-Name}' ORDER BY priority}"
}
if ("%{sql: SELECT SUM(acctinputoctets+acctoutputoctets) FROM radacct WHERE username='%{User-Name}' AND date_format(acctstarttime, '%Y-%m-%d') >= date_format(now(),'%Y-%m-01') AND date_format(acctstoptime, '%Y-%m-%d') <= last_day(now());}" >= "%{sql: SELECT value FROM radgroupreply WHERE groupname='%{Group-Name}' AND attribute='Max-Monthly-Traffic';}") {
reject
}
3、建立用户
刚刚在第一步我们建立了一个user组，首先我们要把用户加入到这个组里面才可以认证通过，前面建立的test没有在user组里面，所以这时候他是无法登录了，可以把他加到组里面，也可以新建一个用户进行测试。
到此配置完成，重启服务之后，我们直接用户登录即可。如果有什么问题，可以打开debug信息进行分析，也可以在本文下面给我留言，说明你的问题。
附录：
新增内容：自动断线检测脚本
#!/bin/bash MYSQL_PASS=XXXXXXXXXX /usr/local/mysql/bin/mysql -uroot -p$MYSQL_PASS -e "UPDATE radius.radacct SET acctstoptime = acctstarttime + acctsessiontime WHERE ((UNIX_TIMESTAMP(acctstarttime) + acctsessiontime + 240 - UNIX_TIMESTAMP())<0) AND acctstoptime IS NULL;"
