Após dedicar bastante tempo pesquisando artigos e exemplos de configuração, acabei não encontrando algo prático e efetivo sobre o assunto. Gostaria de compartilhar com todos a configuração aplicada para o ambiente descrito abaixo.

Necessidade:

• Prover autenticação por meio do protocolo 802.1x para conexões cabeadas em switch Cisco;
• Desktops utilizaram de autenticação por meio de certificado gerado automaticamente pelo Domínio (certificado de computador);
• Equipamentos non-802.1x (ip phones, impressoras, leitores biométricos etc) devem se conectar utilizando o mac-address como autenticador.

Cenário:

• Desktop do usuário é conectado a um telefone IP e o telefone é conectado ao switch;
• Telefone IP não tem suporte para protocolo 802.1x e deve trabalhar na VLAN de VOZ definida no switch;
• Desktop do usuário deverá trabalhar na VLAN de DADOS definida no switch.

Para a solução de FreeRadius, utilizei uma VM (VMware) com a seguinte configuração de HW e S.O:

• Cores: 2
• vCPU: 2
• Memoria: 4Gb
• Disco: 50Gb
• S.O: CentOS Linux release 7.6.1810

Instalação

# yum install freeradius openssl

Configuração

Arquivo /etc/raddb/radiusd.conf:


Arquivo /etc/raddb/users:


Arquivo /etc/raddb/clients.conf:


Arquivo /etc/raddb/mods-available/eap:


Após realizar a alteração dos arquivos conforme acima, execute o comando abaixo para verificar a integridade da configuração.

Teste para validar a configuração aplicada:

# radiusd -X

A resposta deve ser "Ready to process requests", então você pode dar um Ctrl + C para parar e então inicializar o serviço do Radius:

# systemctl start radiusd

Configuração do switch Cisco

Estes debugs abaixo podem auxiliar muito na determinação de problemas de autenticação:

# sh debugging
  dot1x:
  Dot1x registry info debugging is on
  Dot1x events debugging is on
  Dot1x Errors debugging is on

Para verificar o status da autenticação no switch, utilize os comandos abaixo:

# show authentication session

A saída do comando deve ser algo similar a este:

Interface  MAC Address     Method   Domain   Status         Session ID
Fa0/1     ac16.XXXX.XXXX  dot1x    DATA     Authz Success  0AD2540700002B9DA93F5842
Fa0/1     ccf9.XXXX.XXXX  mab      VOICE    Authz Success  0AD2540700002B99A93CF661x

Para acompanhar o processo de autenticação no servidor Radius, segue abaixo alguns logs que me auxiliaram na determinação de problemas com a autenticação.

LOG de requisição do switch para o servidor para o telefone e para o computador:

# tail -f /var/log/radius/radius.log

LOG de accounting do telefone e do computador:

# tail -f /var/log/radius/radacct/<ip_do_switch>/detail-anomesdia

Informações importantes

1. No arquivo users, é onde criamos o "usuário/senha" para os dispositivos non-802.1x, no caso apresentado, um telefone Avaya, mas pode ser qualquer dispositivo como impressora ou uma catraca por exemplo.

2. O certificado utilizado no servidor foi gerado através de um CA Server existente (certificado do tipo WEB mesmo), mas também há a possibilidade de criar uma estrutura de CA totalmente stand-alone no próprio servidor radius. Para isso, segue um link que explica o passo a passo de como fazer isso: Wifi Authentication/Accounting With FreeRadius On CentOS 5

3. O certificado quando gerado pelo CA server, vem em um formato .CSR, e o mesmo deve ser convertido para .pem. Para essa conversão, existem vários sites que fazem online, sem precisar instalar nada.

4. O certificado das estações de trabalho foram gerados automaticamente pela própria integração com Active Directory e através de GPO. Caso queira utilizar a CA Stand-Alone citada no item 2, basta seguir o procedimento do link e importar o certificado de cliente gerado no servidor, no desktop ou equipamento que deseja.

Importante lembrar que este certificado deve ficar na pasta Personal. (mmc > add snap-in > Certificado > computador > importar em Pessoal > Certificados).

5. O teste foi realizado em um desktop com windows 7. Foi necessário alterar na placa de rede na aba Autenticação para que utiliza-se "Microsoft Cartão Inteligente ou outro Certificado". Após mudar para esta opção, clicar em Configuração ao lado e desmarcar a flag de "Validar Certificado do Servidor".

Espero contribuir com todos para que não "sofram" tanto para achar conteúdo como este (principalmente em português e com detalhes).