Định cấu hình FreeRADIUS để ghi nhật ký lệnh của người dùng

Tôi cần có khả năng định cấu hình máy chủ bán kính để ghi nhật ký các hoạt động của người dùng như các lệnh họ đang chạy trong khi họ đăng nhập vào thiết bị khách. Các mục phải được thực hiện trong tệp /var/log/freeradius/radius.log.

Chức năng này chưa bao giờ được xác định trong một tiêu chuẩn và do đó thay đổi tùy theo nhà cung cấp. Nếu chức năng này được hỗ trợ bởi NAS (Network Access Server), thì NAS sẽ sao chép lệnh do người dùng nhập vào VSA (Thuộc tính cụ thể của nhà cung cấp). Sau đó, NAS sẽ gửi thuộc tính đó đến máy chủ RADIUS trong một Kế toán-Yêu cầu/Cập nhật tạm thời cùng với các thuộc tính để xác định NAS và người dùng. Bạn có thể sẽ cần bật ghi nhật ký lệnh qua RADIUS một cách rõ ràng trong cấu hình của NAS vì nó hầu như không bao giờ được bật theo mặc định.

Đối với các lệnh ghi nhật ký, tốt nhất là sử dụng nhật ký mô-đun. Bạn cũng sẽ cần kiểm tra có điều kiện để chỉ gọi linelog nếu thuộc tính lệnh có trong Kế toán-Yêu cầu/Cập nhật tạm thời gói, vì các gói ghi nhật ký lệnh này sẽ được trộn lẫn với luồng kế toán thông thường.

Tôi đã sử dụng HP-Command-String làm thuộc tính ví dụ ở đây, nhưng thuộc tính thực tế sẽ thay đổi tùy theo nhà cung cấp. Bạn nên kiểm tra thư đến Kế toán-Yêu cầu các gói để xem VSA nào chứa lệnh mà người dùng đã đưa ra.

Thêm các dòng sau vào tệp cấu hình FreeRADIUS của bạn và đảm bảo mods-sẵn/linelog được liên kết với đã bật mod/linelog.

trang web có sẵn/mặc định

kế toán {
    if (&HP-Command-String) {
        log_commands
    }
}

mods-sẵn/linelog

dòng nhật ký log_commands {
    format = "user=%{User-Name}, command=%{HP-Command-String}"
    tên tệp = ${logdir}/radius.log
}

Sau khi bạn khởi động lại freeradius, bạn sẽ thấy các lệnh được thêm vào /var/log/radius/radius.log hoặc /var/log/freeradius/radius.log tùy thuộc vào phân phối của bạn.

Nhìn thấy mods-sẵn/linelog để biết thêm các tùy chọn xác nhận cho mô-đun linelog.

Tôi không tin rằng điều này có thể xảy ra với Radius, nó không thực sự được thiết kế cho mục đích đó.

Những gì bạn có thể đang tìm kiếm là một cái gì đó giống như tlog và nếu bạn muốn tất cả nhật ký được lưu trữ tập trung, hãy thiết lập systemd (hoặc bất kỳ trình ghi nhật ký nào bạn đang sử dụng) để gửi nhật ký đến máy chủ từ xa trung tâm (có thể là cùng một máy mà bạn đang chạy máy chủ Radius).