Пример настройки freeradius так для отдачи атрибьутов по неправильному паролю

1. добавьте в конфигурацию pam модуля (с ищменениясм из АСР Град) строки

Reject-Accept = "\"Auth-Type\"=\"Accept\" \"CISCO-AVPair\"=\"aaa\""
        Reject-Accept-Pool = main_pool

2. Если вы испольщзуете chap и/или mschap, то

• включите функции аутентификации и в pam модуле

chap_password = yes
       authorize = yes
       authenticate = yes

• в модуле authenticate в группе обработки типов CHAP и MS-CHAP, укажите, что если модуль вернул REJECT, то надо еще спросить Pam модуль:

authenticate {
        .....
        Auth-Type CHAP {
                chap {
                  reject = 2
                  invalid = 2
                  ok=return
                }
                pam
        }
}

Что бы понять, как это работает - посмотрите файл /share/doc/freeradius/configurable_failover в Вашей инсталляции freeradius