¿Qué es un RADIUS (Remote Access Dial In User Service)?

/

¿Qué significa RADIUS?

RADIUS (Remote Access Dial In User Service) es un servicio de usuario de marcación de autenticación remota. El sistema de autenticación de marcación de usuario remoto está definido por RFC 2865 y RFC 2866. Actualmente es el protocolo AAA más utilizado. RADIUS es un C/S protocolo estructurado. Su cliente era originalmente un NAS (Red de Acceso Server) del servidor.

Ahora cualquier software de cliente, RADIUS ejecuta qué equipo puede convertirse en un cliente RADIUS. El mecanismo de autenticación del protocolo RADIUS es flexible y se pueden utilizar varios métodos, como la autenticación de inicio de sesión PAP, CHAP o Unix. RADIUS es un protocolo extensible, y todo su trabajo se basa en el vector Attribute-Length-Value. RADIUS también ayuda a los proveedores a expandir los atributos específicos de cada proveedor.

Qué es un RADIUS (Remote Access Dial in user Service)

Características y principio de funcionamiento

Debido a que el protocolo RADIUS es simple, claro y extensible, se ha utilizado ampliamente, incluido el acceso a Internet telefónico ordinario, acceso a Internet ADSL , acceso a Internet de banda ancha comunitaria, teléfonos IP, VPDN (redes virtuales privadas de marcación, servicios de red de marcación privada virtual basados ​​en marcación). -up usuarios), teléfonos móviles prepago y otros servicios. 

El IEEE propuso recientemente el estándar 802.1x, que es un estándar basado en puertos que se usa para autenticar el acceso a la red inalámbrica. El protocolo RADIUS también se usa para la autenticación. El usuario accede al NAS, donde este usa el paquete de datos Access-Requiere para enviar información del usuario al servidor RADIUS, incluido el nombre de usuario, la contraseña y otra información relacionada.

La contraseña del usuario está encriptada con MD5 y las dos partes usan un secreto compartido clave. Esta clave secreta no se distribuye por la red. El servidor RADIUS verifica la legitimidad del nombre de usuario y la contraseña. Si es necesario, puede presentar un desafío para solicitar una autenticación de usuario adicional, y una autenticación similar también se puede realizar en el NAS.

Si es la correcta esta devuelve un paquete Access-Accept al NAS para permitir que el usuario continúe. El siguiente paso es trabajar; de lo contrario, devolverá el paquete de datos Access-Reject y denegará el acceso del usuario. Si el acceso está permitido, NAS realizará una solicitud de contabilidad Account-Requiere al servidor RADIUS, y el servidor RADIUS responderá con Account-Accept, y luego el usuario podrá iniciar la contabilidad.

RADIUS también admite funciones de proxy y roaming. En pocas palabras, un proxy es un servidor que puede actuar como proxy para otros servidores RADIUS y es responsable de reenviar los paquetes de datos de autenticación y contabilidad RADIUS. La llamada función de roaming es una realización concreta del proxy, que permite a los usuarios autenticarse a través de un servidor RADIUS que no tiene nada que ver con él.

Los usuarios también pueden obtener servicios en la ubicación de un operador que no sea el hogar, y pueden también implementar operaciones virtuales. El servidor RADIUS y el servidor NAS se comunican a través del protocolo UDP El puerto 1812 del servidor RADIUS es responsable de la autenticación y el puerto 1813 es responsable de la contabilidad. La consideración básica del uso de UDP es que los servidores NAS y RADIUS se encuentran principalmente en la misma red de área local.

El uso de UDP es más rápido y conveniente, y UDP no tiene conexión, lo que reducirá la presión de RADIUS y será más seguro. El protocolo RADIUS también proporciona un mecanismo de retransmisión. Si el NAS envía una solicitud a un servidor RADIUS sin recibir la información de devolución, puede solicitar que el servidor RADIUS de respaldo lo retransmita. 

Dado que hay varios servidores RADIUS de respaldo, el NAS puede usar el método de sondeo al retransmitir. Si la clave del servidor RADIUS de respaldo es diferente de la clave del servidor RADIUS anterior, se requiere una nueva autenticación.

Funcionamiento de interacción

El proceso de autenticación del servidor RADIUS para el usuario generalmente necesita usar la función de autenticación proxy de equipos como NAS. El cliente RADIUS y el servidor RADIUS autentican los mensajes intercambiados entre sí a través de una clave compartida, y la contraseña del usuario se transmite en cifrar texto en la red, lo que mejora la seguridad. El protocolo RADIUS combina el proceso de autenticación y autorización, es decir, la información de autorización se transmite en el mensaje de respuesta.

Pasos básicos de interacción

  • El usuario ingresa el nombre de usuario y la contraseña.
  • El servidor RADIUS devuelve un paquete de respuesta de contabilidad.
  • El cliente RADIUS envía un paquete de solicitud de autenticación (solicitud de acceso) al servidor RADIUS de acuerdo con el nombre de usuario y la contraseña obtenidos.
  • El servidor RADIUS compara y analiza la información del usuario con la información de la base de datos de los usuarios. Si la autenticación es exitosa, la información de autoridad del usuario se envía al cliente RADIUS en un paquete de respuesta de autenticación (acceso-aceptación); si la autenticación falla, devuelve acceso- rechaza el paquete de respuesta.
  • El cliente RADIUS accede y rechaza al usuario según el resultado de autenticación recibido. Si se puede acceder al usuario, el cliente RADIUS envía un paquete de solicitud de inicio de contabilidad al servidor RADIUS, y el valor de tipo de estado es inicio.
  • El cliente RADIUS envía un paquete de solicitud de contabilidad al servidor RADIUS y el valor de status-type es stop.