使用EAP-TTLS无法从FreeRADIUS获取厂商特定属性的问题

大概率是FreeRADIUS服务器配置问题，核心原因是EAP-TTLS隧道模式下的属性传递规则未正确设置，具体分析如下：

• EAP-TTLS的流程特性：EAP-TTLS属于隧道类认证，主服务器收到请求后会将认证逻辑转发到inner-tunnel虚拟服务器处理。默认配置下，inner-tunnel中生成的非MPPE类属性不会自动传递回主服务器的最终Access-Accept响应包；而PAP认证直接在主服务器处理，属性可直接被包含进响应，因此能正常返回。

• 配置修正要点：

  1. 编辑/etc/freeradius/3.0/sites-available/inner-tunnel，在认证通过的逻辑段（如post-auth）中添加属性传递规则，比如用update control: += reply:将inner-tunnel的回复属性同步到主服务器的控制列表，确保目标厂商属性（如IEC62351-8-RoleID）被传递。
  2. 检查主服务器站点配置（如default），确认没有过滤厂商属性的规则，比如unlang中的filter语句误排除了目标属性。
  3. 验证/etc/freeradius/3.0/dictionary文件是否正确导入了厂商属性定义（PAP能正常返回则此步骤大概率没问题，可作为兜底检查）。

• 日志排查补充：开启主服务器的详细日志，查看inner-tunnel返回的属性是否被主服务器接收并纳入最终响应。若日志显示inner-tunnel已识别属性但主响应中无对应内容，即可确认是属性传递配置缺失导致。

内容的提问来源于stack exchange，提问作者Umaiki