Debian 11下基于systemd管理FreeRADIUS与k5start依赖进程的方案咨询

我完全理解你的痛点：既担心k5start意外崩溃后，FreeRADIUS会因为Kerberos ticket过期而失效，又不想为了让radius用户能读取keytab而降低它的权限安全性。其实通过拆分服务依赖+systemd的进程监控能力，就能完美解决这两个问题，下面是具体的实现方案：

1. 为k5start创建独立的systemd服务 #

我们可以把k5start做成一个单独的systemd服务，让它以root身份运行（这样就能读取root:root 0600权限的keytab），同时让systemd负责监控它的状态，崩溃后自动重启。

创建/etc/systemd/system/krb5-ticket-freeradius.service文件，内容如下：

[Unit]
Description=持续维护FreeRADIUS SQL后端的Kerberos票据
Requires=sysinit.target
After=sysinit.target

[Service]
Type=forking
# 启动前先创建/run/freeradius目录并设置正确权限
ExecStartPre=/usr/bin/mkdir -p /run/freeradius
ExecStartPre=/usr/bin/chown freerad:freerad /run/freeradius
# 以root运行k5start，读取root权限的keytab，生成的票据文件属主为freerad
ExecStart=/usr/bin/k5start -u radius_user -f /etc/freeradius/3.0/freeradius.keytab -o freerad -g freerad -m 600 -H 60 -b -K 30 -L -k /run/freeradius/sql.tkt
# 进程崩溃/退出时自动重启
Restart=always
RestartSec=5
# 关闭PrivateTmp，确保票据文件在真实的/run/freeradius目录中
PrivateTmp=false

[Install]
WantedBy=multi-user.target

2. 修改FreeRADIUS服务的依赖关系 #

接下来修改FreeRADIUS的服务配置，让它依赖上面创建的票据服务，确保启动时已有可用的Kerberos票据，并且票据服务异常时能联动处理。

编辑FreeRADIUS的override配置（/etc/systemd/system/freeradius.service.d/override.conf），内容如下：

[Service]
Environment="KRB5CCNAME=/run/freeradius/sql.tkt"
# 要求票据服务必须先启动
Requires=krb5-ticket-freeradius.service
After=krb5-ticket-freeradius.service
# 可选：如果票据服务终止，自动重启FreeRADIUS（确保能获取新的有效票据）
BindsTo=krb5-ticket-freeradius.service

3. 生效配置并验证 #

完成配置后执行以下命令让systemd加载新配置并启动服务：

# 重新加载systemd配置
systemctl daemon-reload
# 启动并启用票据服务（开机自启）
systemctl enable --now krb5-ticket-freeradius.service
# 重启FreeRADIUS服务
systemctl restart freeradius.service

方案优势说明 #

• 权限安全：keytab可以保持root:root 0600的高权限，因为k5start以root身份运行，能正常读取它，而生成的票据文件属主是freerad，刚好满足FreeRADIUS的访问需求。
• 进程监控：systemd会持续监控k5start服务，一旦进程崩溃会自动重启，保证Kerberos票据始终有效。
• 依赖保障：FreeRADIUS会等待票据服务启动完成后再启动，避免启动时没有可用票据的问题；如果票据服务异常终止，FreeRADIUS也会随之重启（可选配置），确保能重新获取有效票据。
• 目录问题解决：通过票据服务的ExecStartPre指令，在启动k5start前自动创建/run/freeradius目录并设置权限，完全避免了目录不存在的问题。

备注：内容来源于stack exchange，提问作者Lars Hanke