目  录

1 RADIUS

1.1 概述

1.1.1 RADIUS简介

1.1.2 客户端/服务器模式

1.1.3 安全和认证机制

1.1.4 RADIUS的基本消息交互流程

1.1.5 RADIUS报文结构

1.1.6 RADIUS扩展属性

1.1.7 协议规范

1.2 配置RADIUS

1.2.1 配置概述

1.2.2 配置RADIUS服务器信息

1.2.3 配置RADIUS参数

1.3 RADIUS典型配置举例

1.4 注意事项

1 RADIUS

1.1  概述

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种用于实现AAA（Authentication, Authorization and Accounting，认证、授权和计费）的协议。

1.1.1  RADIUS简介

RADIUS是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于UDP的RADIUS帧格式及其消息传输机制，并规定UDP端口1812、1813分别作为认证、计费端口。

RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

1.1.2  客户端/服务器模式

l              客户端：RADIUS客户端一般位于NAS设备上，可以遍布整个网络，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。

l              服务器：RADIUS服务器运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。

RADIUS服务器通常要维护三个数据库，如图1-1所示。

图1-1 RADIUS服务器的组成

l              “Users”：用于存储用户信息（如用户名、口令以及使用的协议、IP地址等配置信息）。

l              “Clients”：用于存储RADIUS客户端的信息（如接入设备的共享密钥、IP地址等）。

l              “Dictionary”：用于存储RADIUS协议中的属性和属性值含义的信息。

1.1.3  安全和认证机制

RADIUS客户端和RADIUS服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密。

RADIUS服务器支持多种方法来认证用户，如基于PPP的PAP、CHAP认证。另外，RADIUS服务器还可以为其它类型的认证服务器提供代理客户端的功能，向其提出认证请求。

1.1.4  RADIUS的基本消息交互流程

用户、RADIUS客户端和RADIUS服务器之间的交互流程如图1-2所示。

图1-2 RADIUS的基本消息交互流程

消息交互流程如下：

(1)        用户发起连接请求，向RADIUS客户端发送用户名和密码。

(2)        RADIUS客户端根据获取的用户名和密码，向RADIUS服务器发送认证请求包（Access-Request），其中的密码在共享密钥的参与下由MD5算法进行加密处理。

(3)        RADIUS服务器对用户名和密码进行认证。如果认证成功，RADIUS服务器向RADIUS客户端发送认证接受包（Access-Accept）；如果认证失败，则返回认证拒绝包（Access-Reject）。由于RADIUS协议合并了认证和授权的过程，因此认证接受包中也包含了用户的授权信息。

(4)        RADIUS客户端根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则RADIUS客户端向RADIUS服务器发送计费开始请求包（Accounting-Request）。

(5)        RADIUS服务器返回计费开始响应包（Accounting-Response），并开始计费。

(6)        用户开始访问网络资源。

(7)        用户请求断开连接，RADIUS客户端向RADIUS服务器发送计费停止请求包（Accounting-Request）。

(8)        RADIUS服务器返回计费结束响应包（Accounting-Response），并停止计费。

(9)        用户结束访问网络资源。

1.1.5  RADIUS报文结构

RADIUS采用UDP报文来传输消息，通过定时器管理机制、重传机制、备用服务器机制，确保RADIUS服务器和客户端之间交互消息的正确收发。RADIUS报文结构如图1-3所示。

图1-3 RADIUS报文结构

各字段的解释如下：

(1)        Code域

长度为1个字节，用于说明RADIUS报文的类型，如表1-1所示。

表1-1 Code域的主要取值说明

(2)        Identifier域

长度为1个字节，用于匹配请求包和响应包，以及检测在一段时间内重发的请求包。类型一致的请求包和响应包的Identifier值相同。

(3)        Length域

长度为2个字节，表示RADIUS数据包（包括Code、Identifier、Length、Authenticator和Attribute）的长度，范围从20～4096。超过Length域的字节将作为填充字符被忽略。如果接收到的包的实际长度小于Length域的值时，则包会被丢弃。

(4)        Authenticator域

长度为16个字节，用于验证RADIUS服务器的应答，另外还用于用户密码的加密。Authenticator包括两种类型：Request Authenticator和Response Authenticator。

(5)        Attribute域

不定长度，用于携带专门的认证、授权和计费信息，提供请求和响应报文的配置细节。Attribute可包括多个属性，每一个属性都采用（Type、Length、Value）三元组的结构来表示。

l              类型（Type），1个字节，取值为1～255，用于表示属性的类型，表1-2列出了RADIUS认证、授权、计费常用的属性。

l              长度（Length），表示该属性（包括类型、长度和属性）的长度，单位为字节。

l              属性值（Value），表示该属性的信息，其格式和内容由类型和长度决定，最大长度为253字节。

表1-2 RADIUS属性

1.1.6  RADIUS扩展属性

RADIUS协议具有良好的可扩展性，协议（RFC 2865）中定义的26号属性（Vendor-Specific）用于设备厂商对RADIUS进行扩展，以实现标准RADIUS没有定义的功能。

设备厂商可以封装多个自定义的“（Type、Length、Value）”子属性来扩展RADIUS。如图1-4所示，26号属性报文内封装的子属性包括以下四个部分：

l              Vendor-ID域占4字节，表示厂商代号，最高字节为0，其余3字节的编码见RFC 1700。H3C公司的Vendor-ID是2011。

l              Vendor-Type，表示扩展属性的子属性类型。

l              Vendor-Length，表示该子属性长度。

l              Vendor-Data，表示该子属性的内容。

图1-4 包括扩展属性的RADIUS报文片断

1.1.7  协议规范

与RADIUS相关的协议规范有：

l              RFC 2865：Remote Authentication Dial In User Service (RADIUS)

l              RFC 2866：RADIUS Accounting

l              RFC 2867：RADIUS Accounting Modifications for Tunnel Protocol Support

l              RFC 2868：RADIUS Attributes for Tunnel Protocol Support

l              RFC 2869：RADIUS Extensions

1.2  配置RADIUS

1.2.1  配置概述

RADIUS配置的推荐步骤如表1-3所示。

表1-3 RADIUS配置步骤

1.2.2  配置RADIUS服务器信息

在导航栏中选择“高级配置 > RADIUS > RADIUS服务器配置”，进入RADIUS服务器配置页面，如图1-5所示。

图1-5 RADIUS服务器配置

RADIUS服务器的详细配置如表1-4所示。

表1-4 RADIUS服务器的详细配置

可点击返回“表1-3 RADIUS配置步骤”。

1.2.3  配置RADIUS参数

在导航栏中选择“高级配置 > RADIUS > RADIUS参数设置”，进入RADIUS参数设置页面，如图1-6所示。

图1-6 RADIUS参数设置

RADIUS参数的详细设置如表1-5所示。

表1-5 设置RADIUS参数详细信息

表1-6 实时计费间隔与用户量之间的推荐比例关系

可点击返回“表1-3 RADIUS配置步骤”。

1.3  RADIUS典型配置举例

1. 组网需求

如图1-7所示，Telnet用户主机与Router直接相连，Router与一台RADIUS服务器相连，需要实现RADIUS服务器对登录Router的Telnet用户进行认证、授权和计费。

l              由一台CAMS/iMC服务器（IP地址为10.1.1.1/24）担当认证/授权、计费RADIUS服务器的职责。

l              Router与认证/授权、计费RADIUS服务器交互报文时的共享密钥均为expert，认证/授权、计费的端口号分别为1812和1813。

l              Router向RADIUS服务器发送的用户名携带域名。

l              Telnet用户登录Router时使用RADIUS服务器上配置的用户名hello@bbb以及密码abc进行认证，认证通过后的用户级别为3。

图1-7 RADIUS服务器配置组网图

2. 配置步骤

(1)        配置RADIUS server（CAMS）

# 增加接入设备。

l              登录进入CAMS管理平台，单击左侧菜单树中“系统管理 > 系统配置”的“接入设备配置” > “修改” > “增加”后，进入接入设备配置页面，进行如下配置，如图1-8所示。

图1-8 接入设备配置页面

l              输入初始IP地址为Router的IP地址“10.1.1.2”。

l              输入与Router交互报文时的认证、计费共享密钥为“expert”。

l              选择业务类型为“设备管理业务”。

l              输入认证及计费的端口号分别为“1812,1813”。

l              选择协议类型为“扩展协议”。

l              选择RADIUS报文类型为“标准报文”。

l              单击<确定>按钮完成操作。

# 增加设备管理用户。

l              单击左侧菜单树中“用户管理 > 设备管理用户”的“增加”后，进入设备管理用户配置页面，进行如下配置，如图1-9所示。

图1-9 设备管理用户配置页面

l              输入用户名为“hello@bbb”。

l              输入密码和密码确认为“abc”。

l              选择服务类型为“Telnet”。

l              输入EXEC权限级别为“3”（该值为Telnet用户登录系统后的用户级别，缺省为0）。

l              输入主机起始IP地址为“192.168.1.0”，主机结束IP地址为“192.168.1.255”，单击<增加>按钮。

l              单击<确定>按钮完成操作。

(2)        配置RADIUS server （iMC）

# 增加接入设备。

l              登录进入iMC管理平台，选择“业务”页签，单击导航树中的“接入业务 > 接入设备配置”菜单项，进入接入设备配置页面，在该页面中单击<增加>按钮，进入增加接入设备页面，进行如下配置，如图1-10所示。

图1-10 增加接入设备

l              输入与Router交互报文时的认证、计费共享密钥为“expert”。

l              输入认证及计费的端口号分别为“1812”和“1813”。

l              选择业务类型为“设备管理业务”。

l              选择接入设备类型为“H3C”。

l              单击<选择>或<手工增加>按钮，添加IP地址为“10.1.1.2”的接入设备。

l              单击<确定>按钮完成操作。

# 增加设备管理用户。

l              选择“用户”页签，单击导航树中的“接入用户视图 > 设备管理用户”菜单项，进入设备管理用户列表页面，在该页面中单击<增加>按钮，进入增加设备管理页面，进行如下配置，如图1-11所示。

图1-11 增加设备管理用户

l              输入帐号名为“hello@bbb”。

l              输入用户密码和密码确认为“abc”。

l              选择服务类型为“Telnet”。

l              输入EXEC权限级别为“3”（该值为Telnet用户登录系统后的用户级别，缺省为0）。

l              在所管理设备IP地址列表中单击<增加>按钮，设置IP地址范围为“10.1.1.0～10.1.1.255”。

l              单击<确定>按钮完成操作。

(3)        配置Router

# 配置各接口的IP地址。（略）

# 配置RADIUS认证、计费服务器。

l              在导航栏中选择“高级配置 > RADIUS > RADIUS服务器配置”，进行如下配置，如图1-12和图1-13示。

图1-12 配置RADIUS认证服务器

图1-13 配置RADIUS计费服务器

l              选择服务类型为“认证服务器”。

l              输入主服务器IP地址为“10.1.1.1”。

l              输入主UDP端口为“1812”。

l              选择主服务器状态为“active”。

l              单击<确定>按钮完成操作。

l              选择服务类型为“计费服务器”。

l              输入主服务器IP地址为“10.1.1.1”。

l              输入主UDP端口为“1813”。

l              选择主服务器状态为“active”。

l              单击<确定>按钮完成操作

# 配置设备与RADIUS服务器交互的方案。

l              在导航栏中选择“高级配置 > RADIUS > RADIUS参数设置”，进行如下配置，如图1-14所所示。

图1-14 配置设备与服务器交互的方案

l              选择服务器类型为“extended”。

l              选中“认证服务器共享密钥”前的复选框，输入认证密钥为“expert”。

l              输入确认认证密钥为“expert”。

l              选中“计费服务器共享密钥”前的复选框，输入计费密钥为“expert”。

l              输入确认计费密钥为“expert”。

l              选择用户名格式为“with-domain”。

l              单击<确定>按钮完成操作。

# 通过命令行开启Router的Telnet服务器功能。

[Router] telnet server enable

# 通过命令行配置Telnet用户登录采用AAA认证方式。

[Router] user-interface vty 0 4

[Router-ui-vty0-4] authentication-mode scheme

[Router-ui-vty0-4] quit

# 通过命令行配置ISP域bbb的AAA方案。由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的，所以必须保证认证和授权方案相同。

[Router] domain bbb

[Router-isp-bbb] authentication login radius-scheme system

[Router-isp-bbb] authorization login radius-scheme system

[Router-isp-bbb] accounting login radius-scheme system

[Router-isp-bbb] quit

# 或者不区分用户类型，在ISP域bbb中配置对所有类型的用户都起作用的缺省AAA方案。（在本例中，该配置与单独为login用户配置AAA方案的认证效果相同，可根据实际组网需求选配）

[Router] domain bbb

[Router-isp-bbb] authentication default radius-scheme system

[Router-isp-bbb] authorization default radius-scheme system

[Router-isp-bbb] accounting default radius-scheme system

3. 配置结果验证

在Telnet客户端按照提示输入用户名hello@bbb及密码abc，即可进入Router的用户界面，并可以使用级别为0、1、2、3的命令。

1.4  注意事项

配置RADIUS客户端时需要注意如下事项：

(1)        设置的服务器状态属于动态信息，不能被保存在配置文件中。设备重启后，服务器状态恢复为active。

(2)        目前RADIUS不支持对FTP用户进行计费。

(3)        如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地。

(4)        通过命令行接口可以为一个RADIUS方案配置多个备份服务器，Web页面上显示的是system方案中的第一个备份服务器的信息。通过Web对备份服务器信息进行配置时：

l              如果指定的IP地址是0.0.0.0，则将删除system方案中的所有备份服务器。

l              如果指定的IP地址不是0.0.0.0，且与其他备份服务器的IP地址不冲突，则将修改system方案中的第一个备份服务器的信息。

l              如果指定的IP地址不是0.0.0.0，且与其他备份服务器的IP地址冲突，则配置失败。

(5)        对于某个RADIUS方案中的主、备份服务器（假设只有一个备份服务器），当主服务器与设备的通信中断时，设备会主动地转而与备份服务器交互报文。

l              在主/备份服务器状态相同的条件下，设备遵从主服务器优先的原则发送请求报文。

l              当主/备份服务器状态均为active时，设备首先与主服务器通信，若主服务器不可达，则状态变为block，设备转而与备份服务器交互。在指定的Quiet时间间隔到达后主服务器状态恢复为active，备份服务器状态不变，设备与主服务器进行通信。后续报文交互时设备仍然遵从以上规则进行主备服务器的切换。而计费开始后，客户端与备份计费服务器之间的通信不会因为主计费服务器的恢复而切换。

l              在一个服务器状态为active、另外一个服务器状态为block的情况下，设备仅与状态为active的服务器通信，即使该服务器不可达，设备也不会尝试与另外一个服务器通信。

l              当主/备份服务器的状态都被指定为block时，设备仅与主服务器通信，若主服务器可达，则状态变为active。若主/备份服务器状态都为block时，希望使用备份服务器进行认证，必须将备份服务器的状态手工配置为active，否则不会进行主备服务器的切换。