FreeRADIUS 3.0.26 EAP-TLS配置问题：TLS1.3支持及证书链警告

一、FreeRADIUS是否支持EAP-TLS 1.3？ #

FreeRADIUS v3.0.x系列对TLS 1.3的支持依赖两个核心前提：

• 底层OpenSSL版本：必须是OpenSSL 1.1.1或更高版本（TLS 1.3在OpenSSL 1.1.1中正式引入）。如果系统OpenSSL版本低于此要求，即使配置了tls_min_version = "1.3"，服务器也无法完成TLS 1.3协商。
• FreeRADIUS版本兼容性：v3.0.26属于较早的v3.0.x版本，对TLS 1.3的EAP-TLS支持存在兼容性缺陷。后续的v3.0.x补丁版本（如v3.0.30及以上）以及v4.x版本修复了大量TLS 1.3相关bug。

针对你遇到的问题，可尝试以下解决方向：

1. 先检查OpenSSL版本：

   openssl version
   

   若版本低于1.1.1，需升级OpenSSL。
2. 优先升级FreeRADIUS到更新的v3.0.x稳定版或v4.x版本，这是解决TLS 1.3协商问题最可靠的方式。
3. 若暂时无法升级，可在mods-enabled/eap的TLS配置段中指定TLS 1.3专属密码套件：

   cipher_suites = "TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256"
   

   由于TLS 1.3的密码套件格式与TLS 1.2不同，不指定可能导致协商失败。

二、证书链不信任警告但认证成功的原因 #

这种情况通常是服务器端与客户端的信任链验证逻辑不一致导致的，具体可能原因：

• 客户端信任存储缺失：客户端（无线设备或eapol_test）的系统信任存储中未安装你的根CA/中间CA证书，因此客户端验证服务器证书链时会抛出不信任警告。但服务器端因配置了ca_file并开启auto_chain，能正确验证客户端证书链，所以认证可成功。
• 服务器证书链发送不完整：服务器握手时未将完整证书链（服务器证书+中间CA证书）发送给客户端，导致客户端无法从服务器证书追溯到根CA，从而触发警告。即使开启auto_chain，也可能因中间CA证书路径错误（比如未放入ca_file指定文件、权限不足）导致无法自动加载。
• 日志警告来源误解：如果警告来自FreeRADIUS服务器日志，可能是服务器验证客户端证书链时的临时日志，但auto_chain已自动处理信任链，最终验证通过，因此认证成功。

建议排查步骤：

1. 验证服务器证书链有效性：

   openssl verify -CAfile /path/to/ca_file.pem /path/to/server_cert.pem
   

   若验证失败，说明ca_file缺少必要的中间CA证书。
2. 开启FreeRADIUS调试模式查看证书加载细节：

   radiusd -X
   

   在调试输出中搜索certificate chain相关内容，确认服务器是否加载完整证书链，以及客户端发送的证书链是否被正确验证。
3. 检查客户端信任配置：将根CA证书安装到客户端系统信任存储中，测试是否仍出现警告。

内容的提问来源于stack exchange，提问作者sangul