시스템 관리_19 FreeRADIUS "Access-Reject" 및 Shared Secret 불일치 오류 원인과 완벽 해결 가이드

# 1. 로컬 radtest 명령어를 통한 기본 인증 시도
# 문법: radtest <username> <password> <radius-server-ip> <nas-port-number> <secret>
$ radtest testuser password123 127.0.0.1 0 testing123
Sent Access-Request Id 164 from 0.0.0.0:41235 to 127.0.0.1:1812 length 77
Received Access-Reject Id 164 from 127.0.0.1:1812 to 0.0.0.0:0 length 20
(0) -: Received Response to request 0 code 3 (Access-Reject)
# -> Access-Reject가 반환되거나 타임아웃 발생 여부 확인

# 2. Shared Secret 불일치 시 서버 로그 확인
$ sudo journalctl -u freeradius -n 50 --no-pager | grep -E "Ignoring request|Shared secret"
# [출력 예시]
# Ignoring request to auth address * port 1812 from unknown client 192.168.1.50 port 51234
# 또는
# ERROR: Received packet from 192.168.1.50 with invalid Message-Authenticator! (Shared secret mismatch)

# 3. RADIUS 표준 포트(인증 1812/udp, 계정 1813/udp) 수신 상태 확인
$ sudo ss -ulpn | grep -E ':1812|:1813'
UNCONN 0      0            0.0.0.0:1812      0.0.0.0:*    users:(("freeradius",pid=1420,fd=8))
UNCONN 0      0            0.0.0.0:1813      0.0.0.0:*    users:(("freeradius",pid=1420,fd=9))

# 4. 실시간 디버그 모드로 FreeRADIUS 기동 (실패 원인의 정확한 추적)
# 실행 중인 서비스를 멈추고 포그라운드 디버그 모드(-X) 실행
$ sudo systemctl stop freeradius
$ sudo freeradius -X
# (인증 패킷 수신 시 어떤 모듈에서 Reject 되었는지 상세 출력됨)

#!/bin/bash
# test_freeradius_auth.sh - Diagnose FreeRADIUS Access-Reject and Shared Secret errors

RADIUS_SERVER=${1:-"127.0.0.1"}
TEST_USER=${2:-"testuser"}
TEST_PASS=${3:-"password123"}
SECRET=${4:-"testing123"}
CONF_DIR="/etc/freeradius/3.0"

# 배포판별 설정 디렉터리 보정 (RHEL/CentOS는 /etc/raddb)
[ -d "/etc/raddb" ] && CONF_DIR="/etc/raddb"

echo "=========================================="
echo " [FreeRADIUS 인증 진단 시작]"
echo " 대상 서버: ${RADIUS_SERVER}"
echo " 사용자명  : ${TEST_USER}"
echo "=========================================="

# 1. FreeRADIUS 프로세스 구동 확인
echo -e "\n[1] RADIUS 서비스 상태 확인:"
if systemctl is-active --quiet freeradius || systemctl is-active --quiet radiusd; then
    echo "  [정상] FreeRADIUS 서비스가 활성화되어 동작 중입니다."
else
    echo "  [경고] FreeRADIUS 서비스가 중지되어 있습니다."
fi

# 2. UDP 1812 포트 바인딩 확인
echo -e "\n[2] 인증 포트(UDP 1812) 리스닝 점검:"
if ss -ulpn | grep -q ":1812 "; then
    echo "  [정상] UDP 1812 포트가 정상 수신 대기 중입니다."
else
    echo "  [오류] UDP 1812 포트가 열려있지 않습니다."
fi

# 3. clients.conf 내 대상 IP/대역 등록 여부 점검 (로컬 실행 시)
CLIENTS_CONF="${CONF_DIR}/clients.conf"
echo -e "\n[3] clients.conf 등록 여부 점검 (${CLIENTS_CONF}):"
if [ -f "$CLIENTS_CONF" ]; then
    MATCHED_CLIENT=$(grep -E "client.*${RADIUS_SERVER}" -A 4 "$CLIENTS_CONF" 2>/dev/null)
    if [ -n "$MATCHED_CLIENT" ]; then
        echo "  [확인] 클라이언트 매칭 블록 발견:"
        echo "$MATCHED_CLIENT" | sed 's/^/    /'
    else
        echo "  [주의] clients.conf에서 '${RADIUS_SERVER}'에 대한 명시적 정의를 찾지 못했습니다."
        echo "  -> IP 대역(CIDR)으로 정의되어 있는지 수동 확인이 필요합니다."
    fi
else
    echo "  [안내] clients.conf 파일을 찾을 수 없어 검사를 건너뜁니다."
fi

# 4. radtest를 이용한 실제 인증 테스트
echo -e "\n[4] radtest 인증 질의 테스트:"
if command -v radtest &>/dev/null; then
    AUTH_RESULT=$(radtest "$TEST_USER" "$TEST_PASS" "$RADIUS_SERVER" 0 "$SECRET" 2>&1)
    
    if echo "$AUTH_RESULT" | grep -q "Access-Accept"; then
        echo "  [성공] Access-Accept 수신! 인증 및 Shared Secret이 정상입니다."
    elif echo "$AUTH_RESULT" | grep -q "Access-Reject"; then
        echo "  [실패] Access-Reject 수신!"
        echo "  -> 원인: 패스워드 불일치, 계정 비활성화, 또는 사용자 그룹 정책 거부."
    elif echo "$AUTH_RESULT" | grep -q "radclient: no response"; then
        echo "  [실패] 서버 무응답 (타임아웃)!"
        echo "  -> 원인 1: Shared Secret 불일치로 서버가 패킷을 폐기함."
        echo "  -> 원인 2: clients.conf에 요청 IP가 등록되지 않음 (Unknown client)."
        echo "  -> 원인 3: 방화벽(UDP 1812) 차단."
    else
        echo "  [기타 응답]:"
        echo "$AUTH_RESULT" | sed 's/^/    /'
    fi
else
    echo "  [오류] radtest 명령어를 찾을 수 없습니다. (freeradius-utils 패키지 설치 필요)"
fi

echo -e "\n=========================================="
echo " [진단 완료]"
echo "=========================================="