freeradius 3

[md5]

Привет всем!

Хотелось бы узнать про процедуру radupdate

Код:

DELIMITER $$
CREATE DEFINER=`root`@`localhost` PROCEDURE `radupdate`(IN login VARCHAR(64), IN ipa VARCHAR(16), IN properties VARCHAR(255))
BEGIN
    DECLARE usr_mac VARCHAR(16);
    SELECT REPLACE(login, ':', '') INTO usr_mac;
    CALL set_auth(ipa, CONCAT('mod=dhcp;user=', usr_mac, ';', REPLACE(properties,';','')));
    UPDATE mac_uid SET time=UNIX_TIMESTAMP() WHERE ip=INET_ATON(ipa) LIMIT 1;
END$$
DELIMITER ;

Она вызывает  CALL set_auth(ipa, CONCAT('mod=dhcp;user=', usr_mac, ';', REPLACE(properties,';','')));
В которой присутсвует тоже обновление таблички ip_pool

Код:

DELIMITER $$
CREATE DEFINER=`root`@`localhost` PROCEDURE `set_auth`(IN usr_ip VARCHAR(15), IN auth_properties VARCHAR(255))
BEGIN
  DECLARE usr_id INT;
  SELECT uid INTO usr_id FROM ip_pool WHERE INET_ATON(usr_ip) = ip LIMIT 1;

  IF( usr_id > 0 ) THEN

    INSERT INTO auth_now SET
        ip = usr_ip,
        properties = auth_properties,
        start = UNIX_TIMESTAMP(),
        last = UNIX_TIMESTAMP()
    ON DUPLICATE KEY UPDATE
        properties = IF(auth_properties!='',auth_properties,properties),
        last = UNIX_TIMESTAMP();

    UPDATE ip_pool SET `release` = UNIX_TIMESTAMP() + 3600
        WHERE ip = INET_ATON(usr_ip) AND type = 'dynamic' LIMIT 1;
  END IF;
END$$
DELIMITER ;

UPDATE mac_uid SET time=UNIX_TIMESTAMP() WHERE ip=INET_ATON(ipa) LIMIT 1;

А зачем 2 раза апдейтить таблицу ?  Я пару часов ковырял это пока не выяснил из-за чего дедлоки и остальные ошибки лезут

[Efendy]

я минуту пытался найти 2й апдейт. Затем сделал поиск по "mac_uid" и было всего 2 совпадения: одно в процедуре, другое ты цитируешь. Где дважды апдейтится таблица?

Всего в твоих процедурах апдейтятся 3 таблицы и все по разу:
mac_uid
auth_now
ip_pool

[md5]

  у меня в глазах наверное уже повылазило. я с этим радиусом 4й день т....сь

Кто то где то писал что можно как то передавать название dhcp сервера, что бы выдавать абонам айпишники в зависимотсти от влана.
т.е. в данной конфигурации для dhcp абоны по маку авторизируться, тобишь нет мака в базе абон вообще ничего не выхватить.

Вопрос назревает. Как сделать так что бы "абон заменил железку, мака в бд нет, и получил левый айпи" который на заглушку ушел ?

Код:

Tue Jun  2 22:41:19 2020 : Error: Unresponsive child for request 13520, in component post-auth module sql
Tue Jun  2 22:41:20 2020 : Error: Unresponsive child for request 13521, in component post-auth module sql
Tue Jun  2 22:41:20 2020 : Error: Unresponsive child for request 13522, in component post-auth module sql
Tue Jun  2 22:41:21 2020 : Error: Unresponsive child for request 13523, in component authorize module sql
Tue Jun  2 22:41:21 2020 : Error: Unresponsive child for request 13524, in component post-auth module sql
Tue Jun  2 22:41:21 2020 : Error: Unresponsive child for request 13525, in component authorize module sql
Tue Jun  2 22:41:22 2020 : Error: Unresponsive child for request 13527, in component post-auth module sql
Tue Jun  2 22:41:22 2020 : Error: Unresponsive child for request 13528, in component post-auth module sql
Tue Jun  2 22:41:23 2020 : Error: Unresponsive child for request 13531, in component post-auth module sql
Tue Jun  2 22:41:33 2020 : ERROR: (13520) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:33 2020 : WARNING: (13520) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : ERROR: (13521) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : ERROR: (13524) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : WARNING: (13521) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : ERROR: (13523) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : ERROR: (13522) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : WARNING: (13524) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : WARNING: (13522) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : WARNING: (13523) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : Auth: (13523) Invalid user (sql: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000): [14:4D:67:C2:D8:91] (from client Mikrotik port 2208901782 cli 1:14:4d:67:c2:d8:91)
Tue Jun  2 22:41:35 2020 : ERROR: (13527) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:35 2020 : ERROR: (13525) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:35 2020 : WARNING: (13527) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:35 2020 : WARNING: (13525) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:35 2020 : Auth: (13525) Invalid user (sql: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000): [D8:0D:17:F0:FA:24] (from client Mikrotik port 2208901783 cli 1:d8:d:17:f0:fa:24)
Tue Jun  2 22:41:36 2020 : ERROR: (13528) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:36 2020 : WARNING: (13528) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:37 2020 : ERROR: (13531) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:37 2020 : WARNING: (13531) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:38 2020 : Error: (13828) Ignoring duplicate packet from client Mikrotik port 48377 - ID: 130 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:39 2020 : Error: (13835) Ignoring duplicate packet from client Mikrotik port 42869 - ID: 137 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:40 2020 : Error: (13836) Ignoring duplicate packet from client Mikrotik port 45976 - ID: 138 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:41 2020 : Error: (13837) Ignoring duplicate packet from client Mikrotik port 52971 - ID: 139 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:41 2020 : Error: (13838) Ignoring duplicate packet from client Mikrotik port 39702 - ID: 140 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:41 2020 : Error: (13839) Ignoring duplicate packet from client Mikrotik port 36590 - ID: 141 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:43 2020 : Error: (13828) Ignoring duplicate packet from client Mikrotik port 48377 - ID: 130 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:43 2020 : Error: (13841) Ignoring duplicate packet from client Mikrotik port 39991 - ID: 143 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:44 2020 : Error: (13835) Ignoring duplicate packet from client Mikrotik port 42869 - ID: 137 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:44 2020 : Error: (13842) Ignoring duplicate packet from client Mikrotik port 48782 - ID: 144 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:45 2020 : Error: (13836) Ignoring duplicate packet from client Mikrotik port 45976 - ID: 138 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:46 2020 : Error: (13843) Ignoring duplicate packet from client Mikrotik port 54814 - ID: 145 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:46 2020 : Error: (13837) Ignoring duplicate packet from client Mikrotik port 52971 - ID: 139 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:46 2020 : Error: (13838) Ignoring duplicate packet from client Mikrotik port 39702 - ID: 140 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:46 2020 : Error: (13839) Ignoring duplicate packet from client Mikrotik port 36590 - ID: 141 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:48 2020 : Error: (13841) Ignoring duplicate packet from client Mikrotik port 39991 - ID: 143 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:49 2020 : Error: (13842) Ignoring duplicate packet from client Mikrotik port 48782 - ID: 144 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:51 2020 : Error: (13843) Ignoring duplicate packet from client Mikrotik port 54814 - ID: 145 due to unfinished request in component post-auth module sql

[md5]

Ответа видимо не от кого ждать

[FlySky11]

Ответа видимо не от кого ждать

процедура get_ip_by_tag
htt_p://nodeny.com.ua/wiki/index.php/%D0%92%D1%8B%D0%B4%D0%B0%D1%87%D0%B0_ip_%D0%B2_%D0%B7%D0%B0%D0%B2%D0%B8%D1%81%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D0%B8_%D0%BE%D1%82_%D1%82%D0%BE%D0%B3%D0%BE,_%D0%BA_%D0%BA%D0%B0%D0%BA%D0%BE%D0%BC%D1%83_NAS_%D0%BF%D0%BE%D0%B4%D0%BA%D0%BB%D1%8E%D1%87%D0%B5%D0%BD_%D0%B0%D0%B1%D0%BE%D0%BD%D0%B5%D0%BD%D1%82

[FlySky11]

у меня в глазах наверное уже повылазило. я с этим радиусом 4й день т....сь

Кто то где то писал что можно как то передавать название dhcp сервера, что бы выдавать абонам айпишники в зависимотсти от влана.
т.е. в данной конфигурации для dhcp абоны по маку авторизируться, тобишь нет мака в базе абон вообще ничего не выхватить.

Вопрос назревает. Как сделать так что бы "абон заменил железку, мака в бд нет, и получил левый айпи" который на заглушку ушел ?

Код:

Tue Jun  2 22:41:19 2020 : Error: Unresponsive child for request 13520, in component post-auth module sql
Tue Jun  2 22:41:20 2020 : Error: Unresponsive child for request 13521, in component post-auth module sql
Tue Jun  2 22:41:20 2020 : Error: Unresponsive child for request 13522, in component post-auth module sql
Tue Jun  2 22:41:21 2020 : Error: Unresponsive child for request 13523, in component authorize module sql
Tue Jun  2 22:41:21 2020 : Error: Unresponsive child for request 13524, in component post-auth module sql
Tue Jun  2 22:41:21 2020 : Error: Unresponsive child for request 13525, in component authorize module sql
Tue Jun  2 22:41:22 2020 : Error: Unresponsive child for request 13527, in component post-auth module sql
Tue Jun  2 22:41:22 2020 : Error: Unresponsive child for request 13528, in component post-auth module sql
Tue Jun  2 22:41:23 2020 : Error: Unresponsive child for request 13531, in component post-auth module sql
Tue Jun  2 22:41:33 2020 : ERROR: (13520) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:33 2020 : WARNING: (13520) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : ERROR: (13521) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : ERROR: (13524) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : WARNING: (13521) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : ERROR: (13523) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : ERROR: (13522) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:34 2020 : WARNING: (13524) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : WARNING: (13522) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : WARNING: (13523) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:34 2020 : Auth: (13523) Invalid user (sql: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000): [14:4D:67:C2:D8:91] (from client Mikrotik port 2208901782 cli 1:14:4d:67:c2:d8:91)
Tue Jun  2 22:41:35 2020 : ERROR: (13527) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:35 2020 : ERROR: (13525) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:35 2020 : WARNING: (13527) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:35 2020 : WARNING: (13525) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:35 2020 : Auth: (13525) Invalid user (sql: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000): [D8:0D:17:F0:FA:24] (from client Mikrotik port 2208901783 cli 1:d8:d:17:f0:fa:24)
Tue Jun  2 22:41:36 2020 : ERROR: (13528) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:36 2020 : WARNING: (13528) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:37 2020 : ERROR: (13531) sql: ERROR: rlm_sql_mysql: ERROR 1205 (Lock wait timeout exceeded; try restarting transaction): HY000
Tue Jun  2 22:41:37 2020 : WARNING: (13531) WARNING: Module rlm_sql became unblocked
Tue Jun  2 22:41:38 2020 : Error: (13828) Ignoring duplicate packet from client Mikrotik port 48377 - ID: 130 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:39 2020 : Error: (13835) Ignoring duplicate packet from client Mikrotik port 42869 - ID: 137 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:40 2020 : Error: (13836) Ignoring duplicate packet from client Mikrotik port 45976 - ID: 138 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:41 2020 : Error: (13837) Ignoring duplicate packet from client Mikrotik port 52971 - ID: 139 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:41 2020 : Error: (13838) Ignoring duplicate packet from client Mikrotik port 39702 - ID: 140 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:41 2020 : Error: (13839) Ignoring duplicate packet from client Mikrotik port 36590 - ID: 141 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:43 2020 : Error: (13828) Ignoring duplicate packet from client Mikrotik port 48377 - ID: 130 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:43 2020 : Error: (13841) Ignoring duplicate packet from client Mikrotik port 39991 - ID: 143 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:44 2020 : Error: (13835) Ignoring duplicate packet from client Mikrotik port 42869 - ID: 137 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:44 2020 : Error: (13842) Ignoring duplicate packet from client Mikrotik port 48782 - ID: 144 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:45 2020 : Error: (13836) Ignoring duplicate packet from client Mikrotik port 45976 - ID: 138 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:46 2020 : Error: (13843) Ignoring duplicate packet from client Mikrotik port 54814 - ID: 145 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:46 2020 : Error: (13837) Ignoring duplicate packet from client Mikrotik port 52971 - ID: 139 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:46 2020 : Error: (13838) Ignoring duplicate packet from client Mikrotik port 39702 - ID: 140 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:46 2020 : Error: (13839) Ignoring duplicate packet from client Mikrotik port 36590 - ID: 141 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:48 2020 : Error: (13841) Ignoring duplicate packet from client Mikrotik port 39991 - ID: 143 due to unfinished request in component authorize module sql
Tue Jun  2 22:41:49 2020 : Error: (13842) Ignoring duplicate packet from client Mikrotik port 48782 - ID: 144 due to unfinished request in component post-auth module sql
Tue Jun  2 22:41:51 2020 : Error: (13843) Ignoring duplicate packet from client Mikrotik port 54814 - ID: 145 due to unfinished request in component post-auth module sql

Многоуважаемый Cell где-то описовал это

У меня реализовано на микротике
Делаешь динамический гостевой IP pool в админке
на микротике подымаешь в том же пуле dhcp
Делаешь чтобы с гостевово пула можно было достучаться до заглушки(если она на админке то соответсенно к ней)
С гостевово пула доступ только на заглушку (только http)
абон попадает на заглушку дале логин пароль дале интернет
У меня ипи для роботи статичиские
по дхцп направлялкой работает микрот (реализирована некая схема ipunambered) которий после авторизации и получения ипа с админки направляет на сателит(НАС)

[md5]

сделал как хотел
кому интересно

https://github.com/meklis/docker-radius-nodeny

[dimia]

Покопался я в очередной раз с FreeRadius-ом версии 3 - голова болит, протрахался хз сколько часов, даже в исходники лез. И вот какие замечания:
3) Обнаружилось идиотское поведение freeradius3: он делает radcheck, затем radreply и потом проверяет пароль. Никуда не годится проверять пароль после того, как для учетки будет запрошен динамический ip, а в итоге выдан чужаку не будет. Поэтому пришлось проверять пароль и в radreply (добавлен параметр "пароль" - слава богу, он есть в параметрах радиуса)

да вроде у версии 2 такое же поведение:

Код:

[root@billing111 /home/ruhost]# radtest -x  -d /usr/local/etc/raddb2 test301 pass33 localhost 0 hardpass50
Sending Access-Request of id 54 to 127.0.0.1 port 1812
        User-Name = "test301"
        User-Password = "pass33"
        NAS-IP-Address = 172.17.0.121
        NAS-Port = 0
        Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Reject packet from host 127.0.0.1 port 1812, id=54, length=38
        Framed-IP-Address = 172.16.67.10
        Framed-IP-Netmask = 255.255.255.255
        Framed-Protocol = PPP
        Framed-Protocol = PPP
[root@billing111 /home/ruhost]# radclient -v
radclient version 2.2.10, built on Jul 16 2020 at 15:25:36

исправить можно с помощью:

Код:

post-auth {
        sql
        Post-Auth-Type REJECT { 
                attr_filter.access_reject
        } 
}

результат:

Код:

[root@billing111 /home/ruhost]# radtest -x  -d /usr/local/etc/raddb2 test301 pass33 localhost 0 hardpass50
Sending Access-Request of id 76 to 127.0.0.1 port 1812
        User-Name = "test301"
        User-Password = "pass33"
        NAS-IP-Address = 172.17.0.121
        NAS-Port = 0
        Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Reject packet from host 127.0.0.1 port 1812, id=76, length=20

вдогонку:

Код:

[root@billing111 /home/ruhost]# radtest -x  -d /usr/local/etc/raddb3 test301 pass33 localhost 0 hardpass50
Sent Access-Request Id 103 from 0.0.0.0:41137 to 127.0.0.1:1812 length 77
        User-Name = "test301"
        User-Password = "pass33"
        NAS-IP-Address = 172.17.0.121
        NAS-Port = 0
        Message-Authenticator = 0x00
        Cleartext-Password = "pass33"
Received Access-Reject Id 103 from 127.0.0.1:1812 to 0.0.0.0:41137 length 20
(0) -: Expected Access-Accept got Access-Reject
[root@billing111 /home/ruhost]# radclient -v
radclient version 3.0.21, built on Jul 16 2020 at 19:06:45

[goletsa]

Интересное решение. А можно ли например вызывать другую sql процедуру?
Например стоит задача все таки логировать неудачные попытки, но например складывать их в другую таблицу.

[DezZ]

Добрый день. Собираю н+ на новом железе. Естественно freeradius3 (старый еще на 2 работает). Застрял с авторизацией РРРоЕ пользователя, в логах получаю проблему с MS-CHAPv2.

Код:

(1981) # Executing group from file /usr/local/etc/raddb/sites-enabled/nodeny
(1981)   Auth-Type MSCHAP {
(1981) mschap: Found Cleartext-Password, hashing to create NT-Password
(1981) mschap: Creating challenge hash with username: Kar6-17
(1981) mschap: Client is using MS-CHAPv2
(1981) mschap: ERROR: MS-CHAP2-Response is incorrect
(1981)     [mschap] = reject
(1981)   } # Auth-Type MSCHAP = reject
(1981) Failed to authenticate the user
(1981) Using Post-Auth-Type Reject
(1981) # Executing group from file /usr/local/etc/raddb/sites-enabled/nodeny

как это лечиться?

[DezZ]

Добрый день. Собираю н+ на новом железе. Естественно freeradius3 (старый еще на 2 работает). Застрял с авторизацией РРРоЕ пользователя, в логах получаю проблему с MS-CHAPv2.

Код:

(1981) # Executing group from file /usr/local/etc/raddb/sites-enabled/nodeny
(1981)   Auth-Type MSCHAP {
(1981) mschap: Found Cleartext-Password, hashing to create NT-Password
(1981) mschap: Creating challenge hash with username: Kar6-17
(1981) mschap: Client is using MS-CHAPv2
(1981) mschap: ERROR: MS-CHAP2-Response is incorrect
(1981)     [mschap] = reject
(1981)   } # Auth-Type MSCHAP = reject
(1981) Failed to authenticate the user
(1981) Using Post-Auth-Type Reject
(1981) # Executing group from file /usr/local/etc/raddb/sites-enabled/nodeny

как это лечиться?

Вопрос снят. Не заменил в процедуре 'hardpass' на свой.