man/man5/rlm_mschap.5

   1 .TH rlm_mschap 5 "13 March 2004" "" "FreeRADIUS Module"
   2 .SH NAME
   3 rlm_mschap \- FreeRADIUS Module
   4 .SH DESCRIPTION
   5 The \fIrlm_mschap\fP module provides MS-CHAP and MS-CHAPv2
   6 authentication support.
   7 .PP
   8 This module validates a user with MS-CHAP or MS-CHAPv2
   9 authentication.
  10 If called in Authorize, it will look for MS-CHAP Challenge/Response
  11 attributes in the Acess-Request and adds an Auth-Type
  12 attribute set to MS-CHAP in the Config-Items list unless
  13 Auth-Type has already set.
  14 .PP
  15 The module can authenticate the MS-CHAP session via plain-text
  16 passwords (User-Password attribute), or NT passwords (NT-Password
  17 attribute).  The module cannot perform authentication against an NT
  18 domain.
  19 .PP
  20 The module also enforces the SMB-Account-Ctrl attribute.  See the
  21 Samba documentation for the meaning of SMB account control.  The
  22 module does not read Samba password files.  Instead, the fIrlm_passwd\fP
  23 module can be used to read a Samba password file, and supply an
  24 NT-Password attribute which this module can use.
  25 .PP
  26 The main configuration items to be aware of are:
  27 .IP authtype
  28 This is the string used to set the authtype.  Normally it should be
  29 left to the default value of MS-CHAP.
  30 .IP use_mppe
  31 Unless this is set to 'no', FreeRADIUS will add MS-CHAP-MPPE-Keys for
  32 MS-CHAPv1 and MS-MPPE-Recv-Key/MS-MPPE-Send-Key for MS-CHAPv2.  The
  33 default is 'yes'.
  34 .IP require_encryption
  35 If MPPE is enabled, setting this attribute to 'yes' will cause the
  36 MS-MPPE-Encryption-Policy attribute to be set to require encryption.
  37 The default is 'no'.
  38 .IP require_strong
  39 If MPPE is enabled, setting this attribute to 'yes' will cause the
  40 MS-MPPE-Encryption-Types attribute to be set to require a 128 bit key.
  41 The default is 'no'.
  42 .IP with_ntdomain_hack
  43 Windows clients send User-Name in the form of "DOMAIN\\User", but send the
  44 challenge/response based only on the User portion.  Setting this value
  45 to yes, enables a work-around for this error.  The default is 'no'.
  46 .PP
  47 .SH CONFIGURATION
  48 .DS
  49 modules {
  50   ...
  51 .br
  52   mschap {
  53 .br
  54         authtype = MS-CHAP
  55 .br
  56         use_mppe = yes
  57 .br
  58   }
  59 .br
  60   ...
  61 .br
  62 }
  63 .br
  64  ...
  65 .br
  66 authorize {
  67   ...
  68 .br
  69   mschap
  70 .br
  71   ...
  72 .br
  73 }
  74  ...
  75 .br
  76 authenticate {
  77   ...
  78 .br
  79   mschap
  80 .br
  81   ...
  82 .br
  83 }
  84 .DE
  85 .PP
  86 .SH SECTIONS
  87 .BR authorization,
  88 .BR authentication
  89 .PP
  90 .SH FILES
  91 .I /etc/raddb/radiusd.conf
  92 .PP
  93 .SH "SEE ALSO"
  94 .BR radiusd (8),
  95 .BR radiusd.conf (5)
  96 .SH AUTHOR
  97 Chris Parker, cparker@segv.org
  98