《2019-RADIUS协议原理及应用ppt课件》由会员分享,可在线阅读,更多相关《2019-RADIUS协议原理及应用ppt课件(56页珍藏版)》请在金锄头文库上搜索。
1、RADIUS协议原理及应用培训组 赵俭,锐捷网络技术培训系列课程-(中级),培训目标,了解RADIUS协议基本概念; 熟悉RADIUS协议报文结构; 熟悉RADIUS协议工作原理;,提纲,RADIUS协议介绍 RADIUS协议报文结构 NAS设备RADIUS部分配置 RADIUS系统下用户认证过程,前言,企业要求只有授权的用户才能访问自己的内部网络,教育网采取根据流量计费的策略,VOD系统根据点播的时间收费等等。这些最常见的网络应用却面临一个同样的问题:如何对用户进行认证和计费? 一种常见的认证计费方法RADIUS协议会帮助我们解决这些问题。RADIUS是目前最常用的认证计费协议之一,它简单安
2、全,易于管理,扩展性好,所以得到广泛应用。,RADIUS协议简介,RADIUS ( Remote Authentication Dial In User Service )是远程认证拨号用户服务的简称,是一种C/S结构的协议。RADIUS原先设计的目的是为拨号用户进行认证和计费。后来经过多次改进,形成了一项通用的认证计费协议,与AAA配合主要完成在网络接入设备和认证服务器之间承载认证、授权、计费和配置信息。,RADIUS协议简介,Authentication,Authorization,and Accounting三种安全功能,简称AAA。 Authentication 认证,用于判定用户是否
3、可以获得访问权,限制非法用户; Authorization 授权,授权用户可以使用哪些服务,控制合法用户的权限; Accounting 计账,记录用户使用网络资源的情况,为收费提供依据;,RADIUS协议简介,RADIUS协议具有以下特点: 客户端/服务器结构; 采用共享密钥保证网络传输安全性; 良好的可扩展性; 认证机制灵活; RADIUS 协议承载于UDP 之上,官方指定端口号为认证授权端口1812、计费端口1813。RADIUS协议在RFC2865、RFC2866中定义。锐捷网络RG-SAM系统和NAS设备之间的通讯,采用的是RADIUS协议。由于RADIUS协议的良好扩展性,很多厂家对
4、RADIUS作了扩展,我们公司也对其进行了扩展。,RADIUS协议简介,AAA的工作过程可以分为如下几步: 终端用户(客户端系统)向NAS设备发出网络连接请求; NAS收集用户输入的用户名和口令,并转发给AAA服务器; AAA服务器按照一定算法和自身数据库信息匹配,然后将结果返回给NAS设备,可能是接受、拒绝或其它(如challenge); NAS设备根据返回的结果决定接通或者断开终端用户; 如果认证通过继续以下步骤; 服务器对用户进行授权,NAS设备根据授权结果对用户上网环境进行配置; 如需计费,NAS设备将在用户上下线及上网期间内收集用户网络资源使用情况,将数据送交记帐服务器; 13916
5、630329,RADIUS协议报文结构,数据链路层,IP网络层,UDP,物理层,TCP,RADIUS,RADIUS协议在报文中的位置,RADIUS协议报文结构,Radius协议报文格式 RADIUS报文格式如下图所示,各域内容按照从左向右传送 0 1 2 3 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Code | Identifier | Length | +-+-+-+
6、-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Authenticator | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Attributes . +-+-+-+-+-+-+-+-+-+-+-+-+-,RADIUS协议报文结构,Code,Identifier,Length,Authenticator,Attribute,Code确定RADIUS数据包的类型,编码如下: 1 接入请求(Access-Request) 2 接入允许(
7、Access-Accept) 3 接入拒绝(Access-Reject) 4 记账请求(Accounting-Request) 5 记账回应(Accounting-Response) 11接入询问(Access-Challenge) 12服务器状态(Status-Server (experimental) 13客户机状态(Status-Client (experimental) 255保留(Reserved),RADIUS协议报文结构,Code,Identifier,Length,Authenticator,Attribute,标识符域:一个字节,用于匹配请求与回应。如果在一个很短的时间片段里
8、,一个请求有相同的客户源IP地址、源UDP端口号和标识符,RADIUS服务器会认为这是上一个重复的请求。,RADIUS协议报文结构,Code,Identifier,Length,Authenticator,Attribute,长度域:两个字节,它指明了包括编码、标识符、长度、鉴别码和属性域在内的数据包的长度。在数据包长度以外的字节位必须以填充数对待,在接收时忽略它。如果包的长度比指定的短,则此包会被直接丢弃。,RADIUS协议报文结构,Code,Identifier,Length,Authenticator,Attribute,认证字域:十六个字节。用于Radius Client和Server
9、之间消息认证的有效性,和密码隐藏算法。,RADIUS协议报文结构,Code,Identifier,Length,Authenticator,Attribute,类型域: 一个字节,后边有详细的列表; 长度域: 一个字节,它指定了包括类型、长度和值域在内的属性长度; 值 域: 可以为零或者多个字节,包括属性的详细信息。值域的格式和长度由域的类型和长度决定;,RADIUS协议报文结构,Attribute Type的值为1-255,分为三类: 标准属性 Radius最基本的属性定义在RFC2865和RFC2866中,如用户名、密码、计费和常用授权信息等; 扩展标准属性 RFC2867-2869是Ra
10、dius的扩展协议,在其中定义了一些针对特殊应用(如支持隧道应用、支持EAP等)的属性; 扩展私有属性 即26号属性,属性值由厂商自己定义;,RADIUS报文格式,1 用户名 User-Name 2 用户密码 User-Password 3 CHAP密码 CHAP-Password 4 NAS IP地址 NAS-IP-Address 5 NAS端口 NAS-Port 6 服务类型 Service-Type 7 帧协议 Framed-Protocol 8 分帧IP地址配置 Framed-IP-Address 9 IP网络掩码配置 Framed-IP-Netmask 10 路由方法配置 Frame
11、d-Routing 11 筛选器标识 Filter-Id 12 最大传输单元配置 Framed-MTU 13 压缩协议配置 Framed-Compression 14 登录的主机IP 地址 Login-IP-Host 15 登录的服务 Login-Service 16 登录的TCP端口 Login-TCP-Port 17 未分配 (unassigned) 18 回复消息 Reply-Message 19 回叫电话号码 Callback-Number 20 回叫ID Callback-Id 21 未分配 (unassigned) 22 路由配置 Framed-Route,23 IPX网络数字配置
12、 Framed-IPX-Network 24 状态 State 25 类别 Class 26 供应商细节 Vendor-Specific 27 会话时限 Session-Timeout 28 空闲时限 Idle-Timeout 29 终止动作 Termination-Action 30 用户拨打的电话号码 Called-Station-Id 31 用户打出的电话号码 Calling-Station-Id 32 网络接入服务器标识符 NAS-Identifier 33 代理状态 Proxy-State 34 登录的LAT服务 Login-LAT-Service 35 登录的LAT节点 Login
13、-LAT-Node 36 登录的LAT组 Login-LAT-Group 37 AppleTalk链路配置 Framed-AppleTalk-Link 38 AppleTalk网络配置 Framed-AppleTalk-Network 39 AppleTalk区域配置 Framed-AppleTalk-Zone 40-59 为记账保留 (reserved for accounting) 60 CHAP盘问 CHAP-Challenge 61 网络接入服务器端口类型 NAS-Port-Type 62 端口数限制 Port-Limit 63 登录的LAT端口 Login-LAT-Port,NAS设
14、备RADIUS部分配置,NAS设备RADIUS部分配置,S21和S35系列交换机为例 配置交换机与RADIUS SERVER 之间的通讯 Switch(config)#radius-server host 1.1.1.1 Switch(config)#radius-server key ruijie 交换机打开全局802.1X认证开关 Switch(config)#aaa authentication dot1x Switch(config)#end 配置交换机SNMP协议 Switch(config)#snmp-server community public rw,NAS设备RADIUS部分
15、配置,配置RADIUS记帐 Switch(config)#aaa accounting server 1.1.1.1 Switch(config)#aaa accounting 配置端口为认证端口 Switch(config)#interface rang f 0/1-23 Switch(config-if)#dot1x port-control auto 启动异常下线和记帐更新功能 Switch(config)#dot1x client-probe enable Switch(config)#dot1x accout-update-interval 600,RADIUS系统下用户认证过程,S
16、AM系统是锐捷网络自主研发的集安全、认证、计费和管理于为一体的网络管理平台,它是基于标准的RADIUS协议开发的,整个系统由以下三个部分组成: 恳请者(SU,安装锐捷认证客户端软件的PC); 认证者(NAS,接入层交换机); 认证服务器(RADIUS SERVER,RG-SAM); 下面从恳请者发起认证认证成功退出认证的整个过程中,通过SNIFFER软件抓取到的报文对每个过程作详细分析;,RADIUS系统下用户认证过程,RADIUS系统下用户认证过程,报文1:EAPOL-Start 首先由客户端发起一个带有组播目的MAC地址为“0180-C200-0003”的802.1X数据帧,其中802.1