RADIUS協议介绍及应用.doc

RADIUS协议介绍及应用 编者：尚 森 审核：王高原 中兴通讯固网交换用服部 修改记录 文档 编号 版本号 拟制人/修改人 审核人 拟制/修改 日期 更改理由 主要更改内容 （写要点即可） 无 V1.00 尚森 王高原 2008-3-5 08年文档修订 初稿生成  目 录 第1章 Radius的协议介绍 1 1.1 Raduis协议介绍 1 1.2 Radius协议结构 2 1.3 Radius消息交互流程 3 第2章 Radius在ss上的应用 4 Radius的协议介绍 Raduis协议介绍 Radius（remote authentication dial in user service，远程用户拨号认证系统由rfc2865，rfc2866定义，是目前应用最广泛的aaa协议。radius协议最初是由livingston公司提出的，原先的目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一项通用的认证计费协议。radius是一种c/s结构的协议，它的客户端最初就是nas（net access server）服务器，现在任何运行radius客户端软件的计算机都可以成为radius的客户端。radius协议认证机制灵活，可以采用pap、 chap或者unix登录认证等多种方式。radius是一种可扩展的协议，它进行的全部工作都是基于attribute-length-value的向量进行的。radius也支持厂商扩充厂家专有属性。radius的基本工作原理。用户接入nas，nas向radius服务器使用access-require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过md5加密的，双方使用共享密钥，这个密钥不经过网络传播；radius服务器对用户名和密码的合法性进行检验，必要时可以提出一个challenge，要求进一步对用户认证，也可以对nas进行类似的认证；如果合法，给nas返回access-accept数据包，允许用户进行下一步工作，否则返回access-reject数据包，拒绝用户访问；如果允许访问，nas向radius服务器提出计费请求account- require，radius服务器响应account-accept，对用户的计费开始，同时用户可以进行自己的相关操作。radius还支持代理和漫游功能。简单地说，代理就是一台服务器，可以作为其他radius服务器的代理，负责转发radius认证和计费数据包。所谓漫游功能，就是代理的一个具体实现，这样可以让用户通过本来和其无关的radius服务器进行认证，用户到非归属运营商所在地也可以得到服务，也可以实现虚拟运营。radius服务器和nas服务器通过udp协议进行通信，radius服务器的1812端口负责认证，1813端口负责计费工作。采用udp的基本考虑是因为nas和radius服务器大多在同一个局域网中，使用udp更加快捷方便。radius协议还规定了重传机制。如果nas向某个radius服务器提交请求没有收到返回信息，那么可以要求备份radius服务器重传。由于有多个备份radius服务器，因此nas进行重传的时候，可以采用轮询的方法。如果备份radius服务器的密钥和以前radius服务器的密钥不同，则需要重新进行认证。由于radius协议简单明确，可扩充，因此得到了广泛应用，包括普通电话上网、adsl上网、小区宽带上网、ip电话、vpdn（virtual private dialup networks，基于拨号用户的虚拟专用拨号网业务）、移动电话预付费等业务。最近ieee提出了802.1x标准，这是一种基于端口的标准，用于对无线网络的接入认证，在认证时也采用radius协议。Radius协议结构 RADIUS数据格式的概况如下所示。各个域的数据是从左向右传输的。 图 11 RADIUS数据格式 1． 编码： 编码域是一个八位字节，用来标识RADIUS包的类型。当收到的包的编码域非法时，该数据包将会被自动丢弃。 宽带公用电话系统中使用的RADIUS编码如下（M强制，O可选）： 表 11RADIUS编码 编号 M/O 值 描述 1 M Access-Request 用户验证身份 2 M Access-Accept 用户验证通过 3 M Access-Reject 用户验证拒绝 4 M Accounting-Request 计费请求 5 M Accounting-Response 计费响应 2． 标识符 标识符域是一个八位字节，用于请求和应答的匹配。如果请求包具有相同的源ip地址、源UDP端口号，并且在很短的一段时间内出现了相同的标识符，公话服务器