RADIUS协议的原理及应用讲义

1、RADIUS协议的原理及应用目录培训目标 2前言 21 RADIUS 协议介绍 22 RADIUS 协议报文结构 32.1 Radius 协议报文格式 32.2 Code 域 32.3 Identifier 域 42.4 Length 域 42.5 Authenticator 42.6 Attributes 域 52.6.1 Type 域 52.6.2 Length 域 52.6.3 Value 域 62.6.4 常用属性类型列表 63 NAS设备RADIUS部分配置举例84 RADIUS 系统下用户认证过程 94.1 报文 1： EAPOL-Start 94.2 报文 2：EAP-Reque

2、st/Identity 104.3 报文 3：EAP-Response/Identity 104.4 报文 4：RADIUS Access-Request 114.5 报文 5：RADIUS Access-Challenge 124.6 报文 6： EAP-Request/MD5-Challenge 134.7 报文 7： EAP-Response/MD5-Challenge 144.8 报文 8：RADIUS Access-Request 144.9 报文 9：RADIUS Access-Accept 154.10 报文 10：EAP-Success 164.11 报文 11：RADIUS

3、Accounting-Request 174.12 报文 12：RADIUS Accounting-Response 184.13 报文 13：EAPOL-Logoff 184.14 报文 14：RADIUS Accounting-Request 194.15 报文 15：RADIUS Accounting-Response 204.16 报文 16：EAP-Failure 21培训目标了解RADIUS协议基本概念；熟悉RADIUS协议报文结构；熟悉RADIUS协议工作原理；、八 、亠前言企业要求只有授权的用户才能访问自己的内部网络，教育网采取根据流量计费的策略，VOD系统根据点播的时间收费等

4、等。这些最常见的网络应用却面临一个同样的问题：如何对用户进行认证和计费？一 种常见的认证计费方法一一RADIUS协议会帮助我们解决这些问题。RADIUS是目前最常用的认证计费协议之一，它简单安全，易于管理，扩展性好，所以得到广泛应用。1 RADIUS 协议简介RADIUS( Remote AuthenticationDial In User Service )是远程认证拨号用户服务的简称。 RADIUS原先设计的目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一项通用的认证计费协议，主要完成在网络接入设备和认证服务器之间承载认证、授权、计费和配置信息。RADIUS是一种C/S结构的协议

5、，它的客户端最初就是 NAS服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS基本原理：用户接入 NAS NAS向RADIUS服务器使用 Access-Request数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对 NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝

6、用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求 Account-Request ， RADIUS服务器响应Account-Accept，对用户开始计费，同时用 户可以进行自己的相关操作。RADIUS、议具有以下特点：客户端 / 服务器结构； 采用共享密钥保证网络传输安全性； 良好的可扩展性； 认证机制灵活；RADIUS协议承载于UDP之上，官方指定端口号为认证授权端口1812、计费端口 1813。 RADIUS、议在RFC2865 RFC2866中定义。锐捷网络RG-SAM系统和NAS间的通讯采用RADIUS、议。由于RADIUS协议的 良好扩展性，很多厂家对RADIUS乍了扩

7、展，我们公司也对其进行了扩展。使用时我们应该注意不同公司对 RADIU助、议扩展部分不能完全兼容。2 RADIUS 协议报文结构2.1 Radius 协议报文格式RADIUS艮文格式如下图所示，各域内容按照从左向右传送01230 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Code | Identifier | Length|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

8、-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |Authenticator|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Attributes .+-+-+-+-+-+-+-+-+-+-+-+-+-2.2 Code 域Code域长度为1个字节，用于标明RADIUS艮文的类型，如果Code域中的内容是无效值，报文将被丢弃RADIUS Code域的有效值如下：Code=1 Access-RequestCode=2 Access-AcceptCode=3 Access-RejectC

9、ode=4 Accounting-RequestCode=5 Accounting-ResponseCode=11 Access-ChallengeCode=12 Status-Server (experimental)Code=13 Status-Client (experimental)Code=65 业务修改请求消息Code=66 业务修改请求回应消息Code=67 业务修改请求回应拒绝消息Code=255 Reserved其中12 13 255 为保留的Codef直一般不会遇到，1 2 3 4 5 11 比较常见，分别标明报文类型为认证 请求、认证接受、认证拒绝、计费请求、计费回应、计

10、费成功和访问质询。2.3 Identifier 域Ide ntifier 域长度为1个字节，用于匹配请求的回应。如果在短时间内RADIUS艮务器收到从相同的源IP ，相同源端口，相同标识域的报文，则认为收到的是重复的请求。2.4 Length 域Length 域占两个字节，用于指明报文的有效长度，多出长度域的字节部分将被视为填充。在接收时 被忽略。如果报文长度小于长度域中的直，整个报文将被丢弃。长度域的范围在20和4096之间。2.5 Authenticator认证字域占用16个字节，用于Radius Client 和Server之间消息认证的有效性，和密码隐藏算法。 访问请求 Access-

11、Request 报文中的认证字的直是 16字节随机数，认证字的直要不能被预测并且在一 个共享密钥的生命期内唯一。访问请求 Access-Request 认证字在Access-Request包中认证字的值是16字节随机数,认证字的值要不能被预测，并且在一个共享密钥 的生命期内唯一；访问回应认证字Access-Accept Access-Reject 和 Access-Challenge 包中的认证字称为访问回应认证字，访问回应 认证字的值定义为 MD5(Code+ID+Length+RequestAuth+Attributes+Secret) ；计费请求 Accounting-Request 认

12、证字在计费请求包中的认证字域称为计费请求认证字，它是一个16字节的MD校验和，计费请求认证字的值定义为 MD5(Code + Identifier + Length + 16 zero octets + request attributes +shared secret)；计费回应 Accounting-Response 认证字 在计费回应报文中的认证字域称为计费回应认证字，它的值定义为MD5(Accounting-Response Code +Identifier + Length + the RequestAuthenticator field from the Accounting-Re

13、quest packet beingreplied to +the response attributes + shared secret) ；2.6 Attributes 域0 1 20 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+- | Type | Length | Value .+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+- 属性域的长度是可变的，它是一个由业务类型必需的属性和可选属性组成的属性链。一个属性包含 如下三个部分

14、：2.6.1 Type 域类型域长度为一个字节，RADIUS务器和客户端当遇到不可识别的属性时，可以将其忽略。常用的属性类型请参见 RFC2865 RFC2866；2.6.2 Length 域长度域长度为一个字节，指明了一个属性的类型、长度和值域的总长度。如果在认证请求报文中携 带有属性长度非法的属性，则必须回应访问拒绝报文；如果在访问回应报文中存在非法的属性长度，这 个报文必须被直接丢弃或被认为是访问拒绝报文。2.6.3 Value 域值域由零或多个字节组成包， 含详细的属性信息， 它的格式由属性的长度和类型域决定。 注意 RADIUS 中没有一个类型的值域是以 NULL(hex 00) 结

15、尾，的也就是说值域中是没有结束符的，服务器和客户端需 要能够处理内嵌的 NULL。值域的数据类型是下列 5 种类型之一。“ text ”类型是“ string ”类型的子集：text 1-253 字节长string 1-253 字节长可以包含二进制数据address 4 字节高位在前integer 4 字节无符号数高位在前time 4 字节无符号数高位在前表示从 1970 年1 月1 日零点零时零秒到现在的秒数常用属性类型列表Type=1用户名User-NameType=2用户密码User-PasswordType=3CHAP 密码CHAP-PasswordType=4NAS IP 地址NAS

16、-IP-AddressType=5NAS 端口NAS-PortType=6服务类型Service-TypeType=7帧协议Framed-ProtocolType=8分帧 IP 地址配置Framed-IP-AddressType=9IP 网络掩码配置Framed-IP-NetmaskType=10路由方法配置Framed-RoutingType=11筛选器标识Filter-IdType=12最大传输单元配置Framed-MTUType=13压缩协议配置Framed-CompressionType=14登录的主机 IP 地址 Login-IP-HostType=15登录的服务Login-Serv

17、iceType=16登录的TCP端口Login-TCP-PortType=17未分配(unassigned)Type=18回复消息Reply-MessageType=19回叫电话号码Callback-NumberType=20回叫 IDCallback-IdType=21未分配(unassigned)Type=22路由配置Framed-RouteType=23IPX 网络数字配置Framed-IPX-NetworkType=24状态StateType=25类别ClassType=26供应商细节Vendor-SpecificType=27会话时限Session-TimeoutType=28空闲时

18、限Idle-TimeoutType=29终止动作Termination-ActionType=30用户拨打的电话号码 Called-Station-IdType=31用户打出的电话号码 Calling-Station-IdType=32网络接入服务器标识符 NAS-IdentifierType=33代理状态Proxy-StateType=34登录的 LAT 服务Login-LAT-ServiceType=35登录的 LAT 节点Login-LAT-NodeType=36登录的 LAT 组Login-LAT-GroupType=37AppleTalk 链路配置 Framed-AppleTalk-

19、LinkType=38AppleTalk 网络配置 Framed-AppleTalk-NetworkType=39AppleTalk 区域配置 Framed-AppleTalk-ZoneType=40-59为记账保留(reserved for accounting)Type=60CHAP 盘问CHAP-ChallengeType=61网络接入服务器端口类型 NAS-Port-TypeType=62端口数限制Port-LimitType=63登录的 LAT 端口Login-LAT-Port3 NAS设备RADIUS部分配置举例F面以锐捷网络START-S2126G交换机作为例，介绍NAS设备关于RADIUS部分配置:test#show running-configSystem software version :