RADIUS(远程认证拨入用户服务)

RADIUS(Remote Authentication Dial-In User Service,远程认证拨入用户服务)是一种提供集中式认证、授权与计费(AAA)的网络协议,最初为拨号上网设计,后被标准化为 RFC 2865。它使众多网络接入设备可以把用户身份校验的工作统一交给一台中心服务器处理。

概述

在没有 RADIUS 的年代,每台接入设备都要各自维护用户账号,管理繁琐且难以统一。RADIUS 引入客户端-服务器模型:交换机、无线控制器、VPN 网关等作为 RADIUS 客户端(也称 NAS,网络接入服务器),把用户提交的凭据转发给 RADIUS 服务器统一验证,并根据返回结果决定是否放行以及授予何种权限。

核心特点

• AAA 一体:同时承担认证(你是谁)、授权(你能做什么)和计费(你用了多少)三项职能。
• 基于 UDP:认证通常使用 1812 端口,计费使用 1813 端口,报文轻量。
• 集中管理:所有账号、策略集中在服务器,便于统一维护和审计。
• 共享密钥:客户端与服务器之间用共享密钥保护关键字段,如用户密码。

应用场景

RADIUS 广泛用于运营商宽带拨号(配合 PPPoE)、企业与校园的 802.1X 端口准入、企业级 Wi-Fi 的 WPA2/WPA3 Enterprise 认证,以及 VPN 远程接入的统一登录。它常与 LDAP 或 Active Directory 后端对接,复用已有的用户目录。

常见问题

问:RADIUS 和 Kerberos 有什么不同?答:RADIUS 侧重网络接入层面的 AAA,常用于设备把用户凭据交给中心服务器校验;Kerberos 侧重应用与主机间的票据式单点登录,两者定位不同,可以并存。

问:RADIUS 有更新的替代协议吗?答:有,Diameter 被设计为 RADIUS 的后继者,功能更强、可靠性更高,但 RADIUS 因简单成熟,至今仍在广泛使用。