如何在FreeRADIUS中强制启用TLS 1.3？

针对你遇到的客户端发送TLS 1.3 ClientHello，服务器返回TLS 1.2协议版本错误警报的问题，可从以下几个方向排查缺失的配置或依赖问题：

1. 检查FreeRADIUS编译依赖的OpenSSL版本 #

FreeRADIUS支持TLS 1.3必须依赖OpenSSL 1.1.1及以上版本，且编译时需启用TLS 1.3支持：

• 执行radiusd -v查看编译信息，确认输出中OpenSSL版本≥1.1.1，且包含TLS 1.3相关编译选项（如--enable-openssl-tls13）。
• 若编译时未启用TLS 1.3，需重新编译FreeRADIUS，配置时添加对应参数（如./configure --enable-openssl-tls13）。

2. 同步全局TLS配置文件的版本设置 #

FreeRADIUS的EAP-TLS模块可能会继承全局tls.conf的配置，而非仅读取eap.conf的设置：

• 打开/etc/raddb/mods-available/tls.conf（路径可能因系统不同略有差异），添加或修改：

  tls_min_version = "1.3"
  tls_max_version = "1.3"
  

• 保存后重启FreeRADIUS服务。

3. 显式指定EAP-TLS的TLS协议版本 #

部分FreeRADIUS版本中，仅设置tls_min/max_version可能不足以强制启用TLS 1.3，需在eap.conf的tls块中显式指定协议：

• 在eap.conf的eap_tls配置段内，添加：

  tls {
      tls_protocols = "TLSv1.3"
      # 保留你已设置的tls_min/max_version
      tls_min_version = "1.3"
      tls_max_version = "1.3"
      # 其他原有配置...
  }
  

• 注意：部分旧版本参数名为ssl_protocol，可尝试替换为ssl_protocol = "TLSv1.3"。

4. 验证证书与TLS 1.3的兼容性 #

虽然OpenSSL测试正常，但FreeRADIUS的TLS上下文可能对证书有更严格的要求：

• 检查证书签名算法：执行openssl x509 -in server.crt -text -noout | grep Signature，确保使用SHA-256及以上算法（如SHA256withRSA、ECDSA-with-SHA256），TLS 1.3不推荐使用SHA-1签名的证书。
• 确认证书密钥长度符合要求：RSA密钥≥2048位，ECDSA密钥≥256位。

5. 查看更详细的TLS初始化日志 #

开启最高级别的调试日志，排查TLS上下文初始化时的问题：

• 执行radiusd -Xx启动服务，查看日志中是否有TLS 1.3相关的错误提示（如“TLSv1.3 not available”），或确认是否成功加载TLS 1.3协议。

6. 升级FreeRADIUS到稳定版 #

FreeRADIUS 3.0.21及以上版本对TLS 1.3的支持更完善，旧版本（如3.0.19及之前）存在EAP-TLS启用TLS 1.3的已知bug，建议升级到最新稳定版后再测试。

内容的提问来源于stack exchange，提问作者A. Trevelyan