数据系列_技术原理分册_第11章_Radius协议.doc

第11章Radius协议 概述： RADIUS（Remote Authentication Dial In User Service）协议是一项通用的认证计费协议。该协议在利用IEEE 802 LAN优势的基础上，提供了对连接到局域网的设备或用户进行认证和授权的功能。通过此方式的认证，能够在 LAN 这种多点访问环境中提供一种点对点识别用户的方式。这里的端口是指连接到LAN的一个单点结构，可以是被认证系统的MAC地址，也可以是服务器或网络设备上连接LAN的物理端口，或者是在IEEE 802.11 无线 LAN 环境中定义的工作站和访问点。 RADIUS是一种C/S结构的协议，它的客户端最初就是NAS（Net Access Server）服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP、CHAP或者Unix登录认证等多种方式。RADIUS是一种可扩展的协议，其全部工作都是基于Attribute-Length-Value的向量进行的。 用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account-Require，RADIUS服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关操作。 RADIUS还支持代理和漫游功能。简单地说，代理就是一台服务器，可以作为其他RADIUS服务器的代理，负责转发RADIUS认证和计费数据包。所谓漫游功能，就是代理的一个具体实现，这样可以让用户通过本来和其无关的RADIUS服务器进行认证。 RADIUS服务器和NAS通过UDP协议进行通信，RADIUS服务器的1812端口负责认证，1813端口负责计费工作。采用UDP的基本考虑是因为NAS和RADIUS服务器大多在同一个局域网中，使用UDP更加快捷方便。 RADIUS协议还规定了重传机制。如果NAS向某个RADIUS服务器提交请求没有收到返回信息，可以按照设定的时间和次数向RADIUS服务器重传该请求，当所有重传报文都没有收到返回消息时，才认为该请求失败。这一机制可以避免由于到RADIUS服务器的单个报文丢失造成用户请求的失败。 用作网络访问设备（NAS）的交换机通过RADIUS报文同RADIUS服务器通信，RADIUS报文中的属性用来传递认证、授权和计费的详细信息。我们现在的NAS版本中使用的属性主要指在RFC2865、RFC2866、RFC2869中规定的标准属性，另外还包括一些用户可以配置的自定义属性以传递一些我们需要的用户参数，包括用户的带宽、优先级以及VLAN ID，这里我们介绍的配置RADIUS属性主要涉及配置自定义属性。 用户认证过程中，认证系统将用户的一些特征信息，通过认证请求报文传递给RADIUS服务器；用户认证通过后，RADIUS服务器将一些用户配置参数通过Access-Accept报文传递给RADIUS Client。其中包括用户的上下行带宽、优先级，以及用户进出的VLAN ID。RADIUS Client从属性中提取出配置参数，并对用户作相应的处理。具体使用哪些属性来携带这些参数，不同的厂商可能有不同的要求，考虑到这种情况，我们能够做到根据厂商的要求利用命令行进行灵活配置。由于这些参数的取值为数值形式，因此我们要求RADIUS服务器相关属性值的类型应为INTEGER，而不要使用STRING或TEXT类型。港湾公司目前支持的RADIUS标准属性如下表所示： 11.1 港湾设备对radius属性支持： RFC2865、RFC2866、RFC2869中规定的标准属性 厂家支持的自定义属性 用作网络访问设备（NAS）的交换机通过RADIUS报文同RADIUS服务器通信，RADIUS报文中的属性用来传递认证、授权和计费的详细信息。我们现在的NAS版本中使用的属性主要指在RFC2865、RFC2866、RFC2869中规定的标准属性，另外还包括一些用户可以配置的自定义属性以传递一些我们需要的用户参数，包括用户的带宽、优先级以及VLAN ID，这里我们介绍的配置RADIUS属性主要涉及配置自定义属性。 用户认证过程中，认证系统将用户的一些特征信息，通过认证请求报