man/man8/radiusd.8

   1 .TH RADIUSD 8 "23 June 2004" "" "FreeRADIUS Daemon"
   2 .SH NAME
   3 radiusd - Authentication, Authorization and Accounting server
   4 .SH SYNOPSIS
   5 .B radiusd
   6 .RB [ \-A ]
   7 .RB [ \-S ]
   8 .RB [ \-a
   9 .IR accounting_directory ]
  10 .RB [ \-c ]
  11 .RB [ \-d
  12 .IR config_directory ]
  13 .RB [ \-f ]
  14 .RB [ \-i
  15 .IR ip-address ]
  16 .RB [ \-l
  17 .IR log_directory ]
  18 .RB [ \-g
  19 .IR facility ]
  20 .RB [ \-p
  21 .IR port ]
  22 .RB [ \-s ]
  23 .RB [ \-v ]
  24 .RB [ \-x ]
  25 .RB [ \-X ]
  26 .RB [ \-y ]
  27 .RB [ \-z ]
  28 .SH DESCRIPTION
  29 FreeRADIUS is a high-performance and highly configurable RADIUS
  30 server.  As a result, it can be difficult to configure in systems with
  31 complex requirements.  Our suggestion is to proceed via the following
  32 steps:
  33 .PP
  34 1) Always run the server in debugging mode (
  35 .B radiusd -X
  36 ).  We cannot emphasize this enough.  If you are not running the
  37 server in debugging mode, you \fIwill not\fP be able to see what is
  38 doing, and you \fIwill not\fP be able to correct any problems.
  39 .PP
  40 2) When editing the \fIradiusd.conf\fP file, change as little as
  41 possible, especially in the \fIauthorize{}\fP section.  The ordering
  42 of the modules is critical for the server to be able to
  43 "automatically" figure out how to handle the request.  Changing the
  44 order of the modules ensures that the server will not work.
  45 .PP
  46 3) When testing, start off by configuring a user and password in the
  47 \fIusers\fP file.  So long as the server knows about a user, and has a
  48 clear-text password for that user, \fBalmost all of the authentication
  49 methods will "just work"\fP.
  50 .PP
  51 4) Gradually add more complex configurations to the server, while
  52 testing them as you go.  If you start off by configuring the server in
  53 a complex configuration, you will never be able to debug it.
  54 .PP
  55 5) Ask questions on the mailing list
  56 (freeradius-users@lists.freeradius.org).  When asking questions,
  57 include the output from debugging mode (
  58 .B radiusd -X
  59 ).  This information will allow people to help you.  Without it, your
  60 message will get ignored.
  61
  62 .SH BACKGROUND
  63 \fBRADIUS\fP is a protocol spoken between an access server, typically
  64 a device connected to several modems or ISDN lines, and a \fBradius\fP
  65 server. When a user connects to the access server, (s)he is asked for
  66 a loginname and a password. This information is then sent to the \fBradius\fP
  67 server. The server replies with "access denied", or "access OK". In the
  68 latter case login information is sent along, such as the IP address in
  69 the case of a PPP connection.
  70 .PP
  71 The access server also sends login and logout records to the \fBradius\fP
  72 server so accounting can be done. These records are kept for each terminal
  73 server seperately in a file called \fBdetail\fP, and in the \fIwtmp\fP
  74 compatible logfile \fB/var/log/radwtmp\fP.
  75
  76 .SH OPTIONS
  77
  78 .IP \-A
  79 Write a file \fIdetail.auth\fP in addition to the standard \fBdetail\fP file
  80 in the same directory. This file will contain all the authentication-request
  81 records. This can be useful for debugging, but not for normal operation.
  82
  83 This command line option is accepted only for backwards
  84 compatibility.  It no longer does anything.  See the configuration for
  85 the \fIdetail\fP module in \fIradiusd.conf\fP.
  86
  87 .IP \-S
  88 Write the stripped usernames (without prefix or suffix) in the \fBdetail\fP
  89 file instead of the raw record as received from the terminal server.
  90
  91 This command line option is deprecated.  See the \fIlog_stripped_names\fP
  92 configuration item in the \fIradiusd.conf\fP file.
  93
  94 .IP "\-a \fIaccounting directory\fP"
  95 This defaults to \fI/var/log/radacct\fP. If that directory exists,
  96 \fBradiusd\fP will write an ascii accounting record into a detail file for
  97 every login/logout recorded. The location of the detail file is
  98 \fIacct_dir/\fP\fBterminal_server\fP\fI/detail\fP.
  99
 100 This command line option is deprecated.  See the \fIradacctdir\fP
 101 configuration item in the \fIradiusd.conf\fP file.
 102
 103 .IP "\-l \fIlogging directory\fP"
 104 This defaults to \fI/var/log\fP. \fBRadiusd\fP writes a logfile here
 105 called \fIradius.log\fP. It contains informational and error messages,
 106 and optionally a record of every login attempt (for aiding an ISP's
 107 helpdesk). The special arguments \fIstdout\fP and \fIstderr\fP cause
 108 the information to get written to the standard output, or standard
 109 error instead. The special argument \fIsyslog\fP sends the information
 110 with \fBsyslog\fP(3).
 111
 112 This command line option is deprecated.  See the \fIlog_dir\fP
 113 configuration item in the \fIradiusd.conf\fP file.
 114
 115 .IP "\-g \fIfacility\fP"
 116 Specifies the syslog facility to be used with \fB-l syslog\fP. Default is
 117 \fIdaemon\fP. Another reasonable choice would be \fIauthpriv\fP.
 118
 119 .IP "\-d \fIconfig directory\fP"
 120 Defaults to \fI/etc/raddb\fP. \fBRadiusd\fP looks here for its configuration
 121 files such as the \fIdictionary\fP and the \fIusers\fP files.
 122
 123 .IP "\-i \fIip-address\fP"
 124 Defines which IP address that the server uses for sending and
 125 receiving packets.
 126
 127 If this command-line option is given, then the "bind_address" and all
 128 "listen{}" entries in \fIradiusd.conf\fP are ignored.
 129
 130 .IP \-c
 131 This is still an \fIexperimental\fP feature.
 132 Cache the password, group and shadow files in a hash-table in memory.
 133 This makes the radius process use a bit more memory, but username
 134 lookups in the password file are \fImuch\fP faster.
 135 .IP
 136 After every change in the real password file (user added, password changed)
 137 you need to send a \fBSIGHUP\fP to the radius server to let it re-read
 138 its configuration and the password/group/shadow files !
 139
 140 This command line option is deprecated.  See the \fIcache\fP
 141 configuration item for the \fIunix\fP module in the \fIradiusd.conf\fP
 142 file.
 143
 144 .IP \-f
 145 Do not fork, stay running as a foreground process.
 146
 147 .IP "\-p \fIport\fP"
 148 Normally radiusd listens on the ports specified in \fI/etc/services\fP
 149 (radius and radacct). When this option is given, radiusd listens on
 150 the specified port for authentication requests and on the specified
 151 port +1 for accounting requests.
 152
 153 If this command-line option is given, then the "port" directive in
 154 \fIradiusd.conf\fP is ignored.
 155
 156 .IP \-s
 157 Run in "single server" mode.  The server normally runs with multiple
 158 threads and/or processes, which can lower its response time to
 159 requests.  Some systems have issues with threading, however, so
 160 running in "single server" mode may help to address those issues.  In
 161 single server mode, the server will also not "daemonize"
 162 (auto-background) itself.
 163
 164 .IP \-v
 165 Print server version information and exit.
 166
 167 .IP \-X
 168 Debugging mode.  Equivalent to -sfxx.
 169
 170 .IP \-x
 171 Finer-grained debug mode. In this mode the server will print details
 172 of every request on it's \fBstdout\fP output. You can specify this
 173 option multiple times (-x -x or -xx) to get more detailed output.
 174
 175 .IP \-y
 176 Write details about every authentication request in the
 177 \fIradius.log\fP file.
 178
 179 This command line option is deprecated.  See the \fIlog_auth\fP
 180 configuration item in the \fIradiusd.conf\fP file.
 181
 182 .IP \-z
 183 Include the password in the \fIradius.log\fP file \fBeven\fP for successful
 184 logins. \fIThis is very insecure!\fP.
 185
 186 This command line option is deprecated.  See the
 187 \fIlog_auth_badpass\fP and the \fIlog_auth_goodpass\fP configuration
 188 items in the \fIradiusd.conf\fP file.
 189
 190 .SH CONFIGURATION
 191 \fBRadiusd\fP uses a number of configuration files. Each file has it's
 192 own manpage describing the format of the file. These files are:
 193 .IP radiusd.conf
 194 The main configuration file, which sets the administrator-controlled
 195 items.
 196 .IP dictionary
 197 This file is usually static. It defines all the possible RADIUS attributes
 198 used in the other configuration files.  You don't have to modify it.
 199 It includes other dictionary files in the same directory.
 200 .IP clients
 201 [ Deprecated ] Contains the IP address and a secret key for every
 202 client that wants to connect to the server.
 203 .IP naslist
 204 Contains an entry for every NAS (Network Access Server) in the network. This
 205 is not the same as a client, especially if you have \fBradius\fP proxy server
 206 in your network. In that case, the proxy server is the client and it sends
 207 requests for different NASes.
 208 .IP
 209 It also contains a abbreviated name for each
 210 terminal server, used to create the directory name where the \fBdetail\fP
 211 file is written, and used for the \fB/var/log/radwtmp\fP file. Finally
 212 it also defines what type of NAS (Cisco, Livingston, Portslave) the NAS is.
 213 .IP hints
 214 Defines certain hints to the radius server based on the users's loginname
 215 or other attributes sent by the access server. It also provides for
 216 mapping user names (such as Pusername -> username). This provides the
 217 functionality that the \fILivingston 2.0\fP server has as "Prefix" and
 218 "Suffix" support in the \fIusers\fP file, but is more general. Ofcourse
 219 the Livingston way of doing things is also supported, and you can even use
 220 both at the same time (within certain limits).
 221 .IP huntgroups
 222 Defines the huntgroups that you have, and makes it possible to restrict
 223 access to certain huntgroups to certain (groups of) users.
 224 .IP users
 225 Here the users are defined. On a typical setup, this file mainly contains
 226 DEFAULT entries to process the different types of logins, based on hints
 227 from the hints file. Authentication is then based on the contents of
 228 the UNIX \fI/etc/passwd\fP file. However it is also possible to define all
 229 users, and their passwords, in this file.
 230 .SH SEE ALSO
 231 radiusd.conf(5), users(5), huntgroups(5), hints(5),
 232 clients(5), dictionary(5).
 233 .SH AUTHOR
 234 The FreeRADIUS Server Project (http://www.freeradius.org)
 235