Was ist RADIUS?

RADIUS (Remote Authentication Dial-In User Service) ist ein verteiltes Client-Server-Protokoll, das die Authentifizierung, Autorisierung und Abrechnung für den Netzwerkzugang zentralisiert. Ein Netzwerkgerät leitet die Anmeldedaten eines Benutzers oder Geräts an einen RADIUS-Server weiter, der diese anhand einer externen Datenbank überprüft und eine Entscheidung über Zulassung, Ablehnung oder Aufforderung zur Nachprüfung zurückgibt.

Die wichtigsten Erkenntnisse

• RADIUS zentralisiert die Authentifizierung, Autorisierung und Abrechnung (AAA).
• „Access-Request“, „Access-Accept“ und „Access-Reject“ steuern die Authentifizierung.
• 802.1X nutzt RADIUS als Authentifizierungsserver hinter dem Authentifikator.
• RADIUS Accounting und CoA erweitern das Protokoll über die Authentifizierung hinaus.
• Sowohl VOS-Geräte als auch „ Versa Director“ authentifizieren Benutzer über RADIUS.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · RADIUS & Versa · Häufig gestellte Fragen

Warum ist RADIUS wichtig?

Vor der Einführung von RADIUS verwaltete jedes Netzwerkgerät seine eigene Liste mit Benutzernamen und Passwörtern, sodass das Hinzufügen eines Benutzers oder das Entziehen von Zugriffsrechten bedeutete, dass jeder Switch oder VPN-Konzentrator einzeln angepasst werden musste. RADIUS hat diese Aufgabe zentralisiert: Die Geräte treffen keine Authentifizierungsentscheidungen mehr selbst, sondern fragen stattdessen eine vertrauenswürdige Instanz ab. So wird eine Richtlinienänderung sofort überall übernommen, und ein Angreifer müsste nur einen einzigen Speicher für Anmeldedaten kompromittieren – statt Dutzender.

Diese Zentralisierung ist der Grund dafür, dass RADIUS die Einwahl-Ära, nach der es benannt wurde, überdauert hat und zum Standard-Authentifizierungs-Backend für den 802.1X-Portzugriff, VPN-Konzentratoren und Administrator-Anmeldungen geworden ist – schlank, herstellerunabhängig und von jedem größeren Netzwerkbetriebssystem unterstützt. Die Abrechnungsfunktion bietet einen weiteren Vorteil: Jede Sitzung wird zentral protokolliert, was Nutzungsprüfungen ermöglicht, ohne dass jedes einzelne Gerät entsprechend ausgestattet werden muss.

Was ist RADIUS?

Ein RADIUS-Austausch umfasst drei Rollen: einen Supplicant (den Benutzer oder das Gerät, das den Zugriff anfordert), einen Netzwerkzugangsserver (NAS) (den Switch, Controller oder das Gateway, das als RADIUS-Client fungiert) und den RADIUS-Server selbst. Der NAS bündelt die Anmeldedaten des Supplicants in einem „Access-Request“-UDP-Paket – das üblicherweise an Port 1812 gesendet wird – zusammen mit Attributen, die die Anfrage beschreiben, wie beispielsweise „NAS-IP-Address“, „NAS-Port“ und „Service-Type“. Der RADIUS-Server antwortet mit „Access-Accept“, „Access-Reject“ oder „Access-Challenge“.

Ein sowohl auf dem NAS als auch auf dem Server konfiguriertes gemeinsames Geheimnis schützt den Datenaustausch: Es verschleiert das Passwortfeld und ermöglicht es dem Server, mithilfe des Attributs „Message-Authenticator“ zu überprüfen, ob die Nachricht nicht manipuliert wurde. Da das Protokoll attributbasiert ist, kann eine „Access-Accept“-Antwort mehr als nur eine Ja/Nein-Antwort enthalten – sie kann eine VLAN-Zuweisung, ein Sitzungszeitlimit oder andere Autorisierungsdaten zurückgeben, die das NAS anschließend durchsetzt.

Arten von RADIUS

RADIUS ist eigentlich eine Familie von Datenaustauschvorgängen, die auf demselben Protokoll basieren. Die Authentifizierung erfolgt über den oben beschriebenen Kern-Datenaustausch „Access-Request/Access-Accept/Access-Reject/Access-Challenge“. Die Abrechnung, ein separater Datenaustausch, der traditionell über Port 1813 erfolgt, nutzt „Start“--, „Interim-Update“- und „Stop“-Datensätze, damit der Server die Sitzungsdauer und die Nutzung nachverfolgen kann.

Die in RFC 5176 standardisierte „Change of Authorization“ (CoA) ermöglicht es dem Server, Änderungen an einer bereits authentifizierten Sitzung vorzunehmen – diese zu trennen oder ihre Attribute zu ändern –, ohne dass sich der Client erneut authentifizieren muss. Ein viertes Muster, der MAC-Authentifizierungsumgang (MAB), nutzt die gewöhnliche RADIUS-Authentifizierung für Geräte, die 802.1X nicht ausführen können: Der NAS sendet die MAC-Adresse des Geräts sowohl als Benutzernamen als auch als Passwort, sodass sich Nicht-EAPOL-Clients wie Drucker und IP-Telefone auf dieselbe Weise authentifizieren können.

RADIUS & Versa

VOS-Geräte verwenden RADIUS als Authentifizierungsserver für die IEEE 802.1X-Geräteauthentifizierung: Die VOS-Schnittstelle fungiert als Authentifikator und leitet die Anmeldedaten des Supplicants an ein konfiguriertes RADIUS-Serverobjekt weiter (IP-Adresse, Port, Routing-Instanz, gemeinsames Geheimnis und eine Redundanzpriorität). Ein 802.1X-Authentifizierungsprofil vom Typ RADIUS enthält die mit dem Server ausgetauschten Attribute – NAS-Identifikator, NAS-IP, NAS-Port, COA-Port, Framed MTU – sowie optional RADIUS-Accounting, RADIUS-Fail-Open (hält Clients online, wenn der Server nicht erreichbar ist) und RADIUS-Tracking (führt einen erneuten Versuch durch, sobald ein ausgefallener Server wieder verfügbar ist). Nicht-EAPOL-Clients authentifizieren sich auf dieselbe Weise über den MAC-Authentifizierungs-Bypass, wobei die VLAN-Zuweisung dynamisch in der Antwort zurückgegeben wird – alles pro Schnittstelle über LAN-Verbindungsprofile konfigurierbar.

Auf Organisationsebene stellt „Manage Organization Settings“ ein Enterprise-RADIUS-Profil für die Endbenutzerauthentifizierung bereit – das ebenso wie LDAP- oder SAML-Profile mit Authentifizierungsregeln verknüpft ist – sowie ein separates WLAN-RADIUS-Profil für WLAN-Zugangspunkte. „ Versa Director“ selbst unterstützt zudem RADIUS für die Administratorauthentifizierung.

Häufig gestellte Fragen

Welchen Port verwendet RADIUS?

Traditionell werden bei der RADIUS-Authentifizierung der UDP-Port 1812 und bei der Abrechnung der UDP-Port 1813 verwendet, wobei beide Ports pro Serverobjekt konfigurierbar sind und nicht durch das Protokoll fest vorgegeben sind. Einige ältere Installationen laufen noch auf den veralteten Ports 1645 und 1646, sodass ein Server möglicherweise beide Portpaare unterstützen muss.

Was ist der Unterschied zwischen der RADIUS-Authentifizierung und der RADIUS-Abrechnung?

Die Authentifizierung entscheidet darüber, ob ein Benutzer oder ein Gerät Zugriff erhält. Dabei werden vor Beginn einer Sitzung die Nachrichten „Access-Request“, „Access-Accept“ und „Access-Reject“ ausgetauscht. Die Abrechnung ist ein separater Austausch, bei dem die Nutzung der Sitzung – Beginn, Zwischenaktualisierungen und Ende – nach Gewährung des Zugriffs protokolliert wird.

Was ist MAC-Authentifizierungsumgehung (MAB)?

MAB authentifiziert Geräte, die 802.1X nicht unterstützen, wie beispielsweise Drucker oder IP-Telefone, indem die MAC-Adresse des Geräts als Benutzername und Passwort an den RADIUS-Server gesendet wird. Dadurch können Nicht-EAPOL-Clients über dieselbe RADIUS-Infrastruktur wie 802.1X-Supplicants auf das Netzwerk zugreifen.

Was ist eine RADIUS-Berechtigungsänderung (CoA)?

CoA, wie in RFC 5176 definiert, ermöglicht es einem RADIUS-Server, eine bereits authentifizierte Sitzung zu ändern oder zu beenden, ohne dass der Client sich erneut authentifizieren muss – beispielsweise um eine VLAN-Zuweisung zu aktualisieren oder die Verbindung eines Benutzers zu trennen, dessen Zugriff sofort widerrufen werden muss, anstatt auf das Ablaufen einer Zeitüberschreitung zu warten.

Inwiefern unterscheidet sich RADIUS von LDAP?

RADIUS ist ein Authentifizierungs- und Abrechnungsprotokoll, das auf einem Austausch von Anfragen, Zustimmungen und Ablehnungen für Entscheidungen über den Netzwerkzugang basiert. LDAP ist ein Verzeichniszugriffsprotokoll zur Abfrage von Benutzer- und Gruppeninformationen. In vielen Einsatzszenarien werden beide Protokolle gemeinsam genutzt: RADIUS trifft die Entscheidung, LDAP liefert die zugrunde liegenden Identitätsdaten.

Mehr zu RADIUS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über RADIUS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.