RADIUS协议的原理及应用讲义

资料范本本资料为word版本，可以直接编辑和打印，感谢您的下载RADIUS协议的原理及应用讲义地点： 时间： 说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容RADIUS协议的原理及应用目录HYPERLINK\l〃_Toc172109486〃培训目标2前言21RADIUS协议介绍PAGEREFToc172109488\h22RADIUS协议报文结构PAGEREFToc172109489\h32.1Radius协议报文格式PAGEREFToc172109490\h32.2Code域PAGEREFToc172109491\h32.3Identifier域PAGEREFToc172109492\h42.4Length域PAGEREFToc172109493\h42.5AuthenticatorPAGEREFToc172109494\h42.6Attributes域PAGEREFToc172109495\h52.6.1Type域PAGEREFToc172109496\h52.6.2Length域PAGEREFToc172109497\h52.6.3Value域 PAGEREF_Toc172109498\h6HYPERLINK\l〃_Toc172109499〃2.6.4常用属性类型列表 PAGEREF_Toc172109499\h6HYPERLINK\l〃_Toc172109500〃3NAS设备RADIUS部分配置举例8HYPERLINK\l〃_Toc172109501〃4RADIUS系统下用户认证过程94.1报文1：EAPOL-Start94.2报文2：EAP-Request/Identity10HYPERLINK\l〃_Toc172109504〃4.3报文3：EAP-Response/Identity104.4报文4：RADIUSAccess-Request114.5报文5：RADIUSAccessChallenge124.6报文6：EAP-Request/MD5-Challenge 134.7报文7：EAP-Response/MD5-Challenge 144.8报文8：RADIUSAccess-Request14HYPERLINK\l〃_Toc172109510〃4.9报文9：RADIUSAccess-Accept4.10报文10：EAP-Success16HYPERLINK\l〃_Toc172109512〃4.11报文11：RADIUSAccountingRequest 174.12报文12：RADIUSAccountingResponse 184.13报文13：EAPOL-Logoff184.14报文14：RADIUSAccountingRequest 194.15报文15：RADIUSAccountingResponse 20HYPERLINK\l〃_Toc172109517〃4.16报文16：EAP-Failure21培训目标了解RADIUS协议基本概念；熟悉RADIUS协议报文结构；熟悉RADIUS协议工作原理；刖言企业要求只有授权的用户才能访问自己的内部网络，教育网采取根据流量计费的策略，VOD系统根据点播的时间收费等等。这些最常见的网络应用却面临一个同样的问题：如何对用户进行认证和计费？一种常见的认证计费方法一-RADIUS协议会帮助我们解决这些问题。RADIUS是目前最常用的认证计费协议之一，它简单安全，易于管理，扩展性好，所以得到广泛应用。1RADIUS协议简介RADIUS(RemoteAuthenticationDialInUserService)是远程认证拨号用户服务的简称。RADIUS原先设计的目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一项通用的认证计费协议，主要完成在网络接入设备和认证服务器之间承载认证、授权、计费和配置信息。RADIUS是一种C/S结构的协议，它的客户端最初就是NAS服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS基本原理：用户接入NAS，NAS向RADIUS服务器使用Access-Request数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account-Request，RADIUS服务器响应Account-Accept，对用户开始计费，同时用户可以进行自己的相关操作。RADIUS协议具有以下特点：客户端/服务器结构；采用共享密钥保证网络传输安全性；良好的可扩展性；认证机制灵活；RADIUS协议承载于UDP之上，官方指定端口号为认证授权端口1812、计费端口1813。RADIUS协议在RFC2865、RFC2866中定义。锐捷网络RG-SAM系统和NAS之间的通讯采用RADIUS协议。由于RADIUS协议的良好扩展性,很多厂家对RADIUS作了扩展，我们公司也对其进行了扩展。使用时我们应该注意不同公司对RADIUS协议扩展部分不能完全兼容。2RADIUS协议报文结构Radius协议报文格式RADIUS报文格式如下图所示，各域内容按照从左向右传送TOC\o"1-5"\h\z0 1 2 301234567890123456789012345678901+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+|Code|Identifier| Length |+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| Authenticator |+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+|Attributes...+-+-+-+-+-+-+-+-+-+-+-+-+Code域Code域长度为1个字节，用于标明RADIUS报文的类型，如果Code域中的内容是无效值，报文将被丢弃RADIUSCode域的有效值如下：Code=1Access-RequestCode=2Access-AcceptCode=3Access-RejectCode=4Accounting-RequestCode=5Accounting-ResponseCode=11Access-ChallengeCode=12Status-Server(experimental)Code=13Status-Client(experimental)Code=65业务修改请求消息Code=66业务修改请求回应消息Code=67业务修改请求回应拒绝消息Code=255Reserved其中1213255为保留的Code值一般不会遇到，1234511比较常见，分别标明报文类型为认证请求、认证接受、认证拒绝、计费请求、计费回应、计费成功和访问质询。Identifier域Identifier域长度为1个字节，用于匹配请求的回应。如果在短时间内RADIUS服务器收到从相同的源IP，相同源端口，相同标识域的报文，则认为收到的是重复的请求。Length域Length域占两个字节，用于指明报文的有效长度，多出长度域的字节部分将被视为填充。在接收时被忽略。如果报文长度小于长度域中的值，整个报文将被丢弃。长度域的范围在20和4096之间。Authenticator认证字域占用16个字节，用于RadiusClient和Server之间消息认证的有效性，和密码隐藏算法。访问请求Access-Request报文中的认证字的值是16字节随机数，认证字的值要不能被预测并且在一个共享密钥的生命期内唯一。访问请求Access-Request认证字在Access-Request包中认证字的值是16字节随机数,认证字的值要不能被预测，并且在一个共享密钥的生命期内唯一；访问回应认证字Access-AcceptAccess-Reject和Access-Challenge包中的认证字称为访问回应认证字，访问回应认证字的值定义为MD5(Code+ID+Length+RequestAuth+Attributes+Secret)；计费请求Accounting-Request认证字在计费请求包中的认证字域称为计费请求认证字，它是一个16字节的MD5校验和，计费请求认证字的值定义为MD5(Code+Identifier+Length+16zerooctets+requestattributes+sharedsecret)；计费回应Accounting-Response认证字在计费回应报文中的认证字域称为计费回应认证字，它的值定义为MD5(Accounting-ResponseCode+Identifier+Length+theRequestAuthenticatorfieldfromtheAccounting-Requestpacketbeingrepliedto+theresponseattributes+sharedsecret)；Attributes域0 1 2012345678901234567890+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-|Type|Length|Value...+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-属性域的长度是可变的，它是一个由业务类型必需的属性和可选属性组成的属性链。一个属性包含如下三个部分：Type域类型域长度为一个字节，RADIUS服务器和客户端当遇到不可识别的属性时，可以将其忽略。常用的属性类型请参见RFC2865RFC2866；Length域长度域长度为一个字节，指明了一个属性的类型、长度和值域的总长度。如果在认证请求报文中携带有属性长度非法的属性，则必须回应访问拒绝报文；如果在访问回应报文中存在非法的属性长度，这个报文必须被直接丢弃或被认为是访问拒绝报文。Value域值域由零或多个字节组成包，含详细的属性信息，它的格式由属性的长度和类型域决定。注意RADIUS中没有一个类型的值域是以NULL(hex00)结尾，的也就是说值域中是没有结束符的，服务器和客户端需要能够处理内嵌的NULL。值域的数据类型是下列5种类型之一°"text”类型是“string”类型的子集：text1-253字节长string1-253字节长可以包含二进制数据address4字节高位在前integer4字节无符号数高位在前time4字节无符号数高位在前表示从1970年1月1日零点零时零秒到现在的秒数2.6.4常用属性类型列表Type=1用户名User-NameType=2用户密码User-PasswordType=3CHAP密码CHAP-PasswordType=4NASIP地址NAS-IP-AddressType=5NAS端口NAS-PortType=6服务类型Service-TypeType=7帧协议Framed-ProtocolType=8分帧IP地址配置Framed-IP-AddressType=9IP网络掩码配置Framed-IP-NetmaskType=10路由方法配置Framed-RoutingType=11筛选器标识Filter-IdType=12最大传输单元配置Framed-MTUType=13压缩协议配置Framed-CompressionType=14登录的主机IP地址Login-IP-HostType=15登录的服务Login-ServiceType=16