Errores frecuentes en FreeRADIUS 3.x con PAM: guía de diagnóstico

Thu, 18 Jun 2026 00:00:00 +0000

Configurar FreeRADIUS 3.x con autenticación PAM —especialmente combinando pam_google_authenticator, pam_winbind y fail2ban— genera un conjunto de errores que aparecen una y otra vez. Este artículo los recoge con causa exacta y solución directa, sin rodeos.

Tabla resumen
#

#	Síntoma	Causa raíz	Solución rápida
1	`Failed to change user id to "usuario"`	`user=root` en pam conf, freerad no puede hacer setuid	`user=freerad` + `chown freerad /etc/google-authenticator/`
2	`user not found` / `getpwnam() failed`	Winbind sin idmap RID, los usuarios AD no tienen UID Unix	Añadir bloques `idmap config` en smb.conf + reiniciar winbind
3	`Secret file permissions (0644) are more permissive than 0600`	Permisos demasiado abiertos en el fichero TOTP	`chmod 600 /etc/google-authenticator/*`
4	`Failed to create tempfile: Permission denied`	Directorio TOTP propiedad de root, freerad no puede escribir	`chown freerad:freerad /etc/google-authenticator/`
5	Contraseñas visibles en el log tras desactivarlas	`auth_badpass` requiere reinicio, no reload; `auth_log` loguea independientemente	`systemctl restart freeradius` + revisar módulo `auth_log`
6	`No Auth-Type found: rejecting via Post-Auth-Type = Reject`	El virtual server no fuerza Auth-Type a PAP para rutas PAM	Añadir `update control { &Auth-Type := PAP }` en `authorize`
7	fail2ban no arranca: `Jail 'sshd' is not valid`	`logpath` duplicado en jail.local o jails de servicios inexistentes	`fail2ban-client -t` + eliminar duplicados y jails inactivos

Error 1: `Failed to change user id to "usuario"`
#

Síntoma
#

(0) pam: pam_authenticate: Failed to change user id to "usuario"
(0) pam: ERROR: PAM auth for user "usuario" failed

Causa
#

pam_google_authenticator.so se carga con el parámetro user=root, lo que obliga a PAM a hacer setuid(root) antes de leer el fichero TOTP. El proceso freeradius corre como usuario freerad y no tiene permiso para asumir la identidad de root.

Pam on Servicios Rogeliowar

Errores frecuentes en FreeRADIUS 3.x con PAM: guía de diagnóstico

Tabla resumen #

Error 1: Failed to change user id to "usuario" #

Síntoma #

Causa #

Tabla resumen
#

Error 1: `Failed to change user id to "usuario"`
#

Síntoma
#

Causa
#