FreeRADIUS 3.2.x版本升级过程中的证书目录问题分析

问题背景

在FreeRADIUS 3.2.x版本的升级过程中，用户报告了一个关于证书目录的特殊问题。具体表现为：当从3.2.3-2或更早版本升级到3.2.4-1及之后的版本时，/etc/raddb/certs目录中的证书文件会被意外删除，导致EAP-TLS认证失败。

问题现象

升级后启动FreeRADIUS服务时，会出现以下错误日志：

Error: Unable to check file "/etc/raddb/certs/server.pem": No such file or directory
Error: /etc/raddb/mods-enabled/eap[199]: Failed parsing configuration item "private_key_file"
Error: rlm_eap_tls: Failed initializing SSL context

这表明系统无法找到预期的TLS证书文件，导致EAP模块初始化失败。

问题根源分析

通过深入调查，发现这个问题与FreeRADIUS RPM包在3.2.4-1版本中的变更有关：

1. 3.2.3-2及之前版本：这些版本的RPM包包含了自生成的示例证书文件，安装时会将这些示例证书放置在/etc/raddb/certs目录中。这使得默认配置可以直接工作，无需额外配置。

2. 3.2.4-1及之后版本：从这一版本开始，RPM包不再包含这些示例证书文件，也不再自动将它们复制到certs目录。这是设计上的变更，目的是让用户更明确地管理自己的证书。

3. 升级路径差异：

   • 从3.2.3-2或更早版本升级到3.2.4-1及之后版本时，升级过程会清空certs目录
   • 从3.2.4-1或之后版本升级到更高版本则不会出现此问题

解决方案

对于遇到此问题的用户，有以下几种解决方法：

1. 使用bootstrap脚本重新生成证书：

   /usr/sbin/bootstrap-certs
   

   这将重新生成所有必要的证书文件。

2. 手动提供证书： 用户可以将自己的证书文件手动复制到/etc/raddb/certs目录中，确保包含以下文件：

   • server.pem
   • ca.pem
   • dh

3. 预防性措施： 在升级前备份certs目录，升级后再恢复：

   cp -a /etc/raddb/certs /root/raddb-certs-backup
   # 执行升级
   cp -a /root/raddb-certs-backup/* /etc/raddb/certs/
   

最佳实践建议

1. 证书管理：

   • 生产环境中不应依赖自动生成的示例证书
   • 建议使用正式的CA颁发的证书
   • 定期轮换证书

2. 升级策略：

   • 在测试环境验证升级过程
   • 阅读版本变更说明，了解重大变更
   • 考虑分阶段升级，特别是跨多个主版本时

3. 配置管理：

   • 将证书和配置文件纳入配置管理系统
   • 实现自动化部署和验证流程

总结

FreeRADIUS 3.2.4-1版本对证书处理方式的变更导致了特定升级路径下的兼容性问题。虽然这给部分用户带来了不便，但从安全角度考虑，明确证书管理责任是合理的演进方向。用户应当了解这一变更，并在升级过程中采取适当措施确保服务连续性。

对于新部署的环境，建议直接从3.2.4-1或更高版本开始，以避免此类过渡性问题。对于必须从早期版本升级的场景，则需按照上述解决方案妥善处理证书问题。