MSCHAPv2 身份验证不起作用

Question 1

您既不需要ntlm_auth在中启用行，也不需要在您的中/etc/raddb/mods-available/mschap设置。ntlm auth = yessmb.conf由于 MSCHAPv2 似乎不支持 NTLMv2，你做需要在您的中设置以下内容smb.conf：

ntlm auth = mschapv2-and-ntlmv2-only

去引用smb.conf 手册页：

“仅当客户端承诺提供 MSCHAPv2 身份验证（例如该ntlm_auth工具）时才允许 NTLMv1。”

但是，使用现代 Sambas 和最新版本的 Freeradius，您无需ntlm_auth明确启用，因为Freeradius 3.0.8 及更新版本可以直接与 Winbind 对话。只需记住授予它对 Winbind 管道的读取权限！例如，在 Debian 上可以运行setfacl -m u:freerad:rx /var/lib/samba/winbindd_privileged/。

总而言之，我对 mschap 模块配置所做的所有更改都是为了在radtest -t mschap testaccount mypass 127.0.0.1 0 testing123运行 Samba 作为 AD DC 和 Freeradius 的 Debian Buster 框上接收 Access-Accept，这些更改有以下不同：

diff --git a/freeradius/3.0/mods-available/mschap b/freeradius/3.0/mods-available/mschap
index d7efcb1..e297ed4 100644
--- a/freeradius/3.0/mods-available/mschap
+++ b/freeradius/3.0/mods-available/mschap
@@ -21,12 +21,12 @@ mschap {
        # if mppe is enabled require_encryption makes
        # encryption moderate
        #
-#      require_encryption = yes
+       require_encryption = yes

        # require_strong always requires 128 bit key
        # encryption
        #
-#      require_strong = yes
+       require_strong = yes

        # The module can perform authentication itself, OR
        # use a Windows Domain Controller.  This configuration
@@ -81,8 +81,8 @@ mschap {
        # or later to be installed. Make sure that ntlm_auth above is
        # commented out.
        #
-#      winbind_username = "%{mschap:User-Name}"
-#      winbind_domain = "%{mschap:NT-Domain}"
+       winbind_username = "%{mschap:User-Name}"
+       winbind_domain = "%{%{mschap:NT-Domain}:-MYDOMAIN}"

        # When using single sign-on with a winbind connection and the
        # client uses a different casing for the username than the
@@ -91,7 +91,7 @@ mschap {
        # user in the correct casing in the backend, and retry
        # authentication with that username.
        #
-#      winbind_retry_with_normalised_username = no
+       winbind_retry_with_normalised_username = yes

        #
        #  Information for the winbind connection pool.  The configuration

（请注意，这winbind_retry_with_normalised_username与该测试环境可能无关。）

MYDOMAIN是经典 NT4 格式的域名，而不是类似 Kerberos 格式的域名DOMAIN.TLD。即使您没有直接在 DC 上运行 Freeradius，只要服务器已正确加入域，Freeradius 的实际 mschap 模块配置仍应相同。如果 DC 是 Windows，则显然没有 smb.conf，但使用 NTLMv1 的能力取决于域功能级别和用户是否属于受保护的用户组。

请注意，如果要使用 MSCHAPv2 进行 Wi-Fi 身份验证，它只能在相互认证的隧道内使用防范虚假接入点。有关 EAP 类型，请参阅维基百科有关客户端限制的摘要，请参阅为什么要使用 EAP-TTLS 而不是 PEAP？

Answer