带有Access-Challenge OTP脚本的AD上的Radius MSCHAPv2

如何解决带有Access-Challenge OTP脚本的AD上的Radius MSCHAPv2

我在用请求中的脚本进行半径身份验证时遇到问题。我将向我展示代码以供进一步了解。

起初我有这个：

 if(!State){
        update control {
                Auth-Type := OTP
          }
       }
 else {
        update control{
                Auth-Type := `/bin/bash /etc/raddb/otp.sh '%{User-Name}' '%{User-Password}' '%{Calling-Station-Id}' '%{Client-IP-Address}'`
                }
        }

AuthType OTP产生的是一个MSCHAP，该MSCHAP向MS-AD进行身份验证，然后添加Auth-reply消息和Access-challenge数据包。因此， MSCHAP完美运行，问题出在我收到挑战的第二个请求时。它假设具有％{User-Password}和de OTP。 但是我在扩展中得到的是：

第二个请求：

(1) Received Access-Request Id 101 from 10.40.9.3:22884 to 10.40.9.127:1812 length 227
(1)   NAS-Identifier = "Buerivfws07-08"
(1)   State = 0x5848705259447a796676474e44315a54
(1)   User-Name = "fdelfranco"
(1)   MS-CHAP2-Response = 0x350031323435373825da7a31829f2ffcf7b500000000000000008708a8b9f9f81f3562ba3de7f7d9bba539f3afea32140ba1
(1)   MS-CHAP-Challenge = 0xfa268d7cc94b9e798dbe2e55cb46daa2
(1)   NAS-IP-Address = 10.40.9.3
(1)   NAS-Port = 1
(1)   NAS-Port-Type = Virtual
(1)   Called-Station-Id = "10.40.9.3"
(1)   Calling-Station-Id = "2XX.11X.XXX.21X"
(1)   Acct-Session-Id = "39b59c05"
(1)   Connect-Info = "vpn-ipsec"
(1)   Fortinet-Vdom-Name = "root"
(1) session-state: No cached attributes
(1) # Executing section authorize from file /etc/raddb/sites-enabled/default
(1)   authorize {
(1)     if (!State){
(1)     if (!State) -> FALSE
(1)     else {
(1)       update control {
(1)         Executing: /bin/bash /etc/raddb/otp.sh '%{User-Name}' '%{User-Password}' '%{Calling-Station-Id}' '%{Client-IP-Address}':
(1)         EXPAND %{User-Name}
(1)            --> fdelfranco
(1)         EXPAND %{User-Password}
(1)            -->
(1)         EXPAND %{Calling-Station-Id}
(1)            --> 2XX.11X.XXX.21X
(1)         EXPAND %{Client-IP-Address}
(1)            --> 10.40.9.3
(1)         Program returned code (0) and output 'Reject'
(1)         Auth-Type := Reject

因此，用户密码为空...当我发送到半径时，我使用wireshark检查我的OTP往哪里去。和瞧！它在MS-CHAP2-Response中以纯文本格式显示。但是，据我了解，radius不会在第二个请求上更新此属性，只等待用户密码。

因此，我需要在第一个请求上使用MSCHAPv2。我可以强迫两个人拥有PAP吗？有些人可以在第二个请求中使用普通用户密码。换句话说，我可以强制de Access-Challenge使用某种特定的加密协议来响应我的User-Password（OTP）吗？

谢谢！

致谢。