LinuxEye - Linux系统教程

LinuxEye - Linux系统教程

当前位置: 主页 > Linux配置 >

FreeRADIUS负载均衡和高可用配置

时间:2012-12-31 14:15来源:51CTO 编辑:waydee 点击:
测试环境 192.168.2.226 test.com 域控 192.168.2.97 freeradius.test.com 192.168.2.92 freeradius92.test.com 192.168.2.93 freeradius93.test.com 配置三台freeradius服务器hosts cat /etc/hosts 192.168.2.226 test.com 192.168.2.97 freerad
测试环境
192.168.2.226     test.com   域控 
192.168.2.97   freeradius.test.com 
192.168.2.92   freeradius92.test.com 
192.168.2.93   freeradius93.test.com

配置三台freeradius服务器hosts
cat /etc/hosts 
192.168.2.226    test.com 
192.168.2.97     freeradius.test.com 
192.168.2.92     freeradius92.test.com 
192.168.2.93     freeradius93.test.com

修改主机名
vim /etc/sysconfig/network 
NETWORKING=yes 
NETWORKING_IPV6=no 
HOSTNAME=freeradius93 

按照前面的文档搭建freeradius+AD+mschap环境: http://waydee.blog.51cto.com/4677242/1103942

Load banace测试

配置192.168.2.92,192.168.2.92的client,添加
client 192.168.2.0/24 { 
        secret = testing123 
        shortname = freeradius93 
}

配置192.168.2.97的proxy.conf
proxy server { 
        default_fallback = no 
} 
 
home_server freeradius92 { 
        type = auth+acct 
        ipaddr = 192.168.2.92 
        port = 1812 
        secret = testing123 
        require_message_authenticator = yes 
        response_window = 20 
        zombie_period = 40 
        #revive_interval = 120 
        status_check = status-server 
        check_interval = 30 
        num_answers_to_alive = 3 
        max_outstanding = 65536 
        coa { 
                irt = 2 
                mrt = 16 
                mrc = 5 
                mrd = 30 
        } 
} 
 
home_server freeradius93 { 
        type = auth+acct 
        ipaddr = 192.168.2.93 
        port = 1812 
        secret = testing123 
        require_message_authenticator = yes 
        response_window = 20 
        zombie_period = 40 
        #revive_interval = 120 
        status_check = status-server 
        check_interval = 30 
        num_answers_to_alive = 3 
        max_outstanding = 65536 
        coa { 
                irt = 2 
                mrt = 16 
                mrc = 5 
                mrd = 30 
        } 
} 
 
home_server_pool tn_auth_banance { 
        type = load-balance 
        home_server = freeradius92 
        home_server = freeradius93 
} 
 
realm test.com { 
        auth_pool = tn_auth_banance 
        acct_pool = tn_auth_banance 
} 
 
realm LOCAL { 
}

测试:
radtest -t mschap test@test.com 'test520' 192.168.2.97  0 testing123

查看192.168.2.97日志,可以看到freeradius将请求转发到后面的192.168.2.92进行处理,再验证,就将请求转发到192.168.2.93进行处理
Sending Access-Request of id 3 to 192.168.2.92 port 1812 
        User-Name = "test" 
        NAS-IP-Address = 192.168.2.96 
        NAS-Port = 0 
        Message-Authenticator = 0x00000000000000000000000000000000 
        MS-CHAP-Challenge = 0xc8d1db4f67319092 
        MS-CHAP-Response = 0x00010000000000000000000000000000000000000000000000007825afde2c4e435750d622dd3631cb5ad65bdfbfe5b64217 
        Proxy-State = 0x3738

关闭两台home server,freeradius将两台home server都标注为dead
Mon Jun 25 11:51:35 2012 : Info: Ready to process requests. 
Mon Jun 25 11:55:59 2012 : Proxy: Marking home server 192.168.2.92 port 1812 as zombie (it looks like it is dead). 
Mon Jun 25 11:56:03 2012 : Error: No response to status check 14 for home server 192.168.2.92 port 1812 
Mon Jun 25 11:56:03 2012 : Proxy: Marking home server 192.168.2.92 port 1812 as dead. 
Mon Jun 25 11:56:33 2012 : Error: No response to status check 30 for home server 192.168.2.92 port 1812 
Mon Jun 25 11:56:50 2012 : Proxy: Marking home server 192.168.2.93 port 1812 as zombie (it looks like it is dead). 
Mon Jun 25 11:56:54 2012 : Error: No response to status check 33 for home server 192.168.2.93 port 1812 
Mon Jun 25 11:57:07 2012 : Proxy: Marking home server 192.168.2.93 port 1812 as dead. 
Mon Jun 25 11:57:09 2012 : Error: No response to status check 34 for home server 192.168.2.92 port 1812 
Mon Jun 25 11:57:23 2012 : Error: No response to status check 36 for home server 192.168.2.93 port 1812 
Mon Jun 25 11:57:43 2012 : Error: No response to status check 38 for home server 192.168.2.92 port 1812

启动两台home server,freeradius每个一段时间会发送状态检测请求,在连续收到3次请求都正常后,将home server标注为alive(发送时间和接受次数看具体配置)
Jun 25 11:58:14 2012 : Proxy: Received response to status check 40 (1 in current sequence) 
Mon Jun 25 11:58:25 2012 : Error: No response to status check 41 for home server 192.168.2.93 port 1812 
Mon Jun 25 11:58:49 2012 : Proxy: Received response to status check 42 (2 in current sequence) 
Mon Jun 25 11:58:50 2012 : Proxy: Received response to status check 43 (1 in current sequence) 
Mon Jun 25 11:59:21 2012 : Proxy: Received response to status check 44 (2 in current sequence) 
Mon Jun 25 11:59:21 2012 : Proxy: Received response to status check 45 (3 in current sequence) 
Mon Jun 25 11:59:21 2012 : Proxy: Marking home server 192.168.2.92 port 1812 alive 
Mon Jun 25 11:59:50 2012 : Proxy: Received response to status check 46 (3 in current sequence) 
Mon Jun 25 11:59:50 2012 : Proxy: Marking home server 192.168.2.93 port 1812 alive

Failover 测试  只需将proxy.conf中的type改成fail-over
type = fail-over 

fail-over默认请求都转发到home server的第一台,只有当第一台宕机了才会将请求都转发到第二台。 停止第一台home server
Mon Jun 25 12:03:24 2012 : Info: Ready to process requests. 
Mon Jun 25 12:05:26 2012 : Proxy: Marking home server 192.168.2.92 port 1812 as zombie (it looks like it is dead). 
Mon Jun 25 12:05:30 2012 : Error: No response to status check 9 for home server 192.168.2.92 port 1812 
Mon Jun 25 12:05:30 2012 : Proxy: Marking home server 192.168.2.92 port 1812 as dead.

发送验证测试请求
[root@freeradius93 ~]# radtest -t mschap test@test.com 'test520' 192.168.2.97  0 testing123  
Sending Access-Request of id 52 to 192.168.2.93 port 1812 
        User-Name = "test@test.com" 
        NAS-IP-Address = 192.168.2.96 
        NAS-Port = 0 
        Message-Authenticator = 0x00000000000000000000000000000000 
        MS-CHAP-Challenge = 0x2fe670516688a9f9 
        MS-CHAP-Response = 0x000100000000000000000000000000000000000000000000000081d6f3083e9a221d74e0506324e0579c20ca2976ffc5763b 
rad_recv: Access-Accept packet from host 192.168.2.93 port 1812, id=52, length=84 
        MS-CHAP-MPPE-Keys = 0x0000000000000000cb2fc9399e671506ba8e34b7b84f97de0000000000000000 
        MS-MPPE-Encryption-Policy = 0x00000001 
        MS-MPPE-Encryption-Types = 0x00000006

关于proxy.conf配置文件的解析
Proxy server 设置是freeradius服务器控制发给其他radius服务器请求行为。 
 
各个home server之间Load-balancing 和failover都是通过home server pool来控制的。 
 
Realm定义了使用哪个home server pool进行负载均衡或者failover。 
 
Realm指定使用哪个home server pool,而home server pool指定使用哪些home server; 
 
多个realm可以指定一个home server pool, 一个home server pool可以指定多个home server,一个home server也可以出现在多个home server pool中。 
 
Home server的定义:home server指的是接受代理请求的另外一台radius server。Home server可以接受验证请求或者是计费请求。 
home_server localhost { 
    type= auth  处理接入请求包 
         acct   处理计费请求包 
         auth+acct  处理接入请求在port端口,处理计费请求在port+1端口 
         coa        处理coa和断开连接请求 
 
    ipaddr = 
    ipv6addr= 
    virtual_server= 
     配置radius服务器的地址,可以填写ip地址或者主机名,建议填写ip地址,因为填写主机名会去查询dns服务器,如果dns缓慢或者失败则radius无法启动;另外radius只在启动的时候会检测一下,当该主机名对应的IP发生变更时一定要重启radius服务器才行。 
当所有的home server都是失败时,默认使用本地的radius服务器进行处理。 
 
Secret=  密钥是radius服务器和home server之间通信的加密密钥。 
 
response_window 如果home server在response_window时间内没有响应则radius服务器开始初始化zombie_period时间,一般response_window时间在2-60左右,看具体的网络情况 
 
zombie_period  如果在zombie_period时间内home server还是没有响应,则radius服务器认为该home server已经dead 了。该home server被标注为zombie,标注为zombie的radius服务器处理请求的权限最低,只有当没有其他任何live的home server时,才将请求转发给标注为zombie的home server。 
 
当有某个请求发送到该home server,那么以后的请求都发送到该home server进行处理,除非该home server被标注为dead,这时如果有live的home server,则将请求转发到其他的home server,如果没有,则post-proxy-type fail该参数设置将会生效。 
 
如果status_check设置不为none,则当zombie_period开始时,radius服务器就会发送状态检测包检测该home server的状态,该状态检测是直到该home server标注为alive时才会停止。如果home server不支持状态检测,则freeradius服务器就无法知道他是否处于从dead变为alive,freeradius服务器是每隔一段时间将该home server标注为alive,如果home server还没起来,则会等待zombie_period的时间,而这期间的认证请求都会失败。 
 
revive_interval  该参数只在status_check设置为none的情况下使用,建议使用status_check, 并且将revive_interval去掉。 
 
status_check的设置值有none, status-server, request三个,如果设置为none,则使用revive_interval生效,设置为status-server则会发送status-server包进行检测home server的状态;设置为request,则会发送auth或者acct请求包,具体和type设置对应。 
设置为request,可以设置默认的用户名密码,但这样不推荐,因为用户可以用该测试账户进行验证,如果设置了则将对该用户的请求设置为reject。 
 
check_interval设置status check的检查间隔时间。 
 
num_answers_to_alive设置home server被标记为alive前必须响应的status check的次数。该参数和check insterval共同决定饿了home server被标记为alve的时间。 
 
max_outstanding该参数设置当home server负载过高时不在向该home server发送请求;((#request sent) - (#requests received)) > max_outstanding 
 
home_server_pool: failover,先将请求发送到该pool中的第一个home server,如果该home server标记为dead,就发送到该pool中的第二台,如此反复。 
 
load-balance,将请求发送到pool中的最空闲的home server上,衡量空闲的指标是pool中处理请求最少那台home server。如果有多台home server都处于低负载,则在这几台home server上随机选择一台处理请求。Load balance不支持EAP的认证。 
 
client-balance ,选择home server的机制是通过hash客户端的IP地址获得,如果该home server宕机了,则会在pool中选择另外一台home server,有点类似failover; 这是对EAP认证的简单负载均衡,因为同一个客户端的请求都是发送到同一台home server上处理。 
 
client-port-balance,选择home server的机制是hash 客户端的IP和端口,如果该home server宕机了,则会在pool中选择另外一台home server,有点类似failover; 该方法比client-balance更有利于EAP的负载均衡,不过也意味着client的认证和计费可能处于不同的服务器。 
 
Home server: 该参数配置home server 名称,该名称不是hostname,是定义home server时的名称。 
 
Fallback如果所有的home server都是dead,则该fallback server启用,该服务器最好是virtual home server 
 
Realm 指向home server pool 
auth_pool  指向home server pool并且pool中的home server的type都必须是auth 
acct_pool   指向home server pool 并且pool中的home server的type必须是acct 
如果pool中的home server的type都是auth+acct,那么可以使用pool参数设置即可

转载请保留固定链接: http://www.linuxeye.com/configuration/1110.html

------分隔线----------------------------
标签:FreeRADIUS
栏目列表
推荐内容