RADIUS协议的原理及应用讲义

RADIUUS协议议的原理及应用目 录培训目标2前言21 RRADIIUS协协议介绍绍22 RADDIUSS协议报文文结构32.1 RRadiius协协议报文文格式32.2 CCodee域32.3 IIdenntiffierr域42.4 LLenggth域域42.5 AAuthhentticaatorr42.6 AAttrribuutess域52.6.11 Tyype域域52.6.22 Leengtth域52.6.33 Vaaluee域62.6.44常用属属性类型型列表63 NASS设备RAADIUUS部分分配置举举例84 RADDIUSS系统下下用户认认证过程程94.1 报报文1：EAPPOL-Staart94.2 报报文2：EAPP-Reequeest/Ideentiity104.3 报报文3：EAPP-Reespoonsee/Iddenttityy104.4 报报文4：RADDIUSS Acccesss-RRequuestt114.5 报报文5：RADDIUSS Acccesss-CChalleengee124.6 报报文6：EAPP-Reequeest/MD55-Chhalllengge134.7 报报文7：EAPP-Reespoonsee/MDD5-CChalllennge144.88 报文文8：RADDIUSS Acccesss-RRequuestt144.9 报报文9：RADDIUSS Acccesss-AAcceept154.10 报文100：EAPP-Suucceess164.11 报文111：RADDIUSS Acccouuntiing-Reqquesst174.12 报文122：RADDIUSS Acccouuntiing-Ressponnse184.13 报文133：EAPPOL-Loggofff184.14 报文144：RADDIUSS Acccouuntiing-Reqquesst194.15 报文155：RADDIUSS Acccouuntiing-Ressponnse204.16 报文166：EAPP-Faailuure21培训目标l 了解RADDIUSS协议基基本概念念；l 熟悉RADDIUSS协议报报文结构构；l 熟悉RADDIUSS协议工作作原理；前言企业要求只只有授权权的用户户才能访访问自己己的内部部网络，教教育网采采取根据据流量计计费的策策略，VVOD系系统根据据点播的的时间收收费等等等。这些些最常见见的网络络应用却却面临一一个同样样的问题题：如何对对用户进进行认证证和计费费？一种种常见的的认证计计费方法法RRADIIUS协协议会帮帮助我们们解决这这些问题题。RAADIUUS是目目前最常常用的认认证计费费协议之之一，它它简单安安全，易易于管理理，扩展展性好，所所以得到到广泛应应用。1 RADDIUSS协议简介介RADIUUS ( Reemotte AAuthhentticaatioon DDiall Inn Usser Serrvicce )是远程程认证拨拨号用户户服务的的简称。RRADIIUS原原先设计计的目的的是为拨拨号用户户进行认认证和计计费。后来经经过多次次改进，形形成了一一项通用用的认证证计费协协议，主主要完成成在网络络接入设设备和认认证服务务器之间间承载认认证、授权、计费和和配置信信息。RADDIUSS是一种种C/SS结构的的协议，它它的客户户端最初初就是NNAS服服务器，现现在任何何运行RRADIIUS客客户端软软件的计计算机都都可以成成为RAADIUUS的客客户端。RADIUUS基本本原理：用户接接入NAAS，NASS向RADDIUSS服务器器使用AAcceess-Reqquesst数据据包提交交用户信信息，包包括用户户名、密密码等相相关信息息，其中中用户密密码是经经过MDD5加密密的，双双方使用用共享密密钥，这这个密钥钥不经过过网络传传播；RRADIIUS服服务器对对用户名名和密码码的合法法性进行行检验，必必要时可可以提出出一个CChalllennge，要要求进一一步对用用户认证证，也可可以对NNAS进进行类似似的认证证；如果果合法，给给NASS返回Acccesss-AAcceept数数据包，允许许用户进进行下一一步工作作，否则则返回AAcceess-Rejjectt数据包包，拒绝绝用户访访问；如如果允许许访问，NAS向RADIUS服务器提出计费请求Account-Request，RADIUS服务器响应Account-Accept，对用户开始计费，同时用户可以进行自己的相关操作。RADIUUS协议议具有以以下特点点：l 客户端/服服务器结结构；l 采用共享密密钥保证证网络传传输安全全性；l 良好的可扩扩展性；l 认证机制灵灵活；RADIUUS 协协议承载载于UDDP 之之上，官方指指定端口口号为认认证授权权端口118122、计费端端口18813。RADDIUSS协议在在RFCC2865、RFCC28666 中中定义。锐捷网网络RGG-SAAM系统统和NASS之间的的通讯采采用RAADIUUS协议议。由于于RADDIUSS协议的良良好扩展展性,很很多厂家家对RAADIUUS作了了扩展，我们公公司也对对其进行行了扩展展。使用用时我们们应该注注意不同同公司对对RADDIUSS协议扩展展部分不不能完全全兼容。2 RADDIUSS协议报文文结构2.1 RRadiius协协议报文文格式RADIUUS报文文格式如如下图所所示，各域内内容按照照从左向向右传送送0 1 2 30 1 22 3 44 5 6 77 8 9 00 1 2 33 4 5 66 7 8 99 0 1 22 3 4 55 6 7 88 9 0 11+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| CCodee | Ideentiifieer | Lenngthh |+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| Auutheentiicattor |+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+| Atttribbutees .+-+-+-+-+-+-+-+-+-+-+-+-+-2.2 CCodee域Code域域长度为为1个字节节，用于标标明RAADIUUS报文文的类型型，如果Coode域域中的内内容是无无效值，报文将将被丢弃弃RADDIUSS Coode域域的有效效值如下下：Code=1 AAcceess-ReqquesstCode=2 AAcceess-AcccepttCode=3 AAcceess-RejjecttCode=4 AAccoounttingg-ReequeestCode=5 AAccoounttingg-ReespoonseeCode=11 Acccesss-ChhalllenggeCode=12 Staatuss-Seerveer (expperiimenntall)Code=13 Staatuss-Clliennt (expperiimenntall)Code=65 业务修修改请求求消息Code=66 业务修修改请求求回应消消息Code=67 业务修修改请求求回应拒拒绝消息息Code=2555 Reeserrvedd其中12 13 2555 为保保留的CCodee值一般般不会遇遇到，1 22 3 4 55 111比较常常见，分别标标明报文文类型为为认证请请求、认证接接受、认证拒拒绝、计费请请求、计费回回应、计费成成功和访访问质询询。2.3 IIdenntiffierr域Identtifiier域域长度为为1个字节节，用于匹匹配请求求的回应应。如果在在短时间间内RAADIUUS服务务器收到到从相同同的源IIP，相同源源端口，相相同标识识域的报报文，则认为为收到的的是重复复的请求求。2.4 LLenggth域域Lengtth域占占两个字字节，用于指指明报文文的有效效长度，多出长长度域的的字节部部分将被被视为填填充。在接收收时被忽忽略。如果报报文长度度小于长长度域中中的值，整个报报文将被被丢弃。长度域域的范围围在200和40996之间间。2.5 AAuthhentticaatorr认证字域占占用166个字节节，用于Raadiuus CClieent 和Serrverr之间消消息认证证的有效效性，和密码码隐藏算算法。访问请求AAcceess-Reqquesst报文文中的认认证字的的值是166字节随随机数，认证字的的值要不不能被预预测并且且在一个个共享密密钥的生生命期内内唯一。访问请求AAcceess-Reqquesst认证证字在Acceess-Reqquesst包中中认证字字的值是是16字节节随机数数,认证字字的值要要不能被被预测,并且在在一个共共享密钥钥的生命命期内唯唯一；访问回应认认证字Accesss-AAcceept Acccesss-Reejecct 和和Acccesss-Chhalllengge包中中的认证证字称为为访问回回应认证证字，访问回回应认证证字的值值定义为为MD55(Coode+ID+Lenngthh+ReequeestAAuthh+Atttriibuttes+Seccrett)；计费请求AAccoounttingg-Reequeest认认证字在计费请求求包中的的认证字字域称为为计费请请求认证证字，它是一一个166字节的的MD55校验和和，计费请请求认证证字的值值定义为为MD55(Coode + IIdenntiffierr + Lenngthh + 16 zerro oocteets + rrequuestt atttriibuttes +shhareed ssecrret)；计费回应AAccoounttingg-Reespoonsee认证字字在计费回应应报文中中的认证证字域称称为计费费回应认认证字，它的值值定义为为MD55(Acccouuntiing-Ressponnse Codde + Iddenttifiier + LLenggth + tthe ReqquesstAuutheentiicattor fieeld froom tthe Acccounntinng-RRequuestt paackeet bbeinng rreplliedd too +tthe ressponnse atttribbutees + shhareed ssecrret)；2.6 AAttrribuutess域0 1 20 1 22 3 4 55 6 7 88 9 0 11 2 3 44 5 6 77 8 9 00+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-| TTypee | LLenggth | VValuue .+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-属性域的长长度是可可变的，它是一一个由业业务类型型必需的的属性和和可选属属性组成成的属性性链。一个属属性包含含如下三三个部分分：2.6.11 Tyype域域类型域长度度为一个个字节，RADDIUSS服务器器和客户户端当遇遇到不可可识别的的属性时时，可以将将其忽略略。常用的的属性类类型请参参见RFFC28865 RFCC28666；2.6.22 Leengtth域长度域长度度为一个个字节，指明了了一个属属性的类类型、长度和和值域的的总长度度。如果在在认证请请求报文文中携带带有属性性长度非非法的属属性，则必须须回应访访问拒绝绝报文；如果在在访问回回应报文文中存在在非法的的属性长长度，这个报报文必须须被直接接丢弃或或被认为为是访问问拒绝报报文。2.6.33 Vaaluee域值域由零或或多个字字节组成成包，含详细细的属性性信息，它的格格式由属属性的长长度和类类型域决决定。注意RAADIUUS 中中没有一一个类型型的值域域是以NNULLL(heex 000)结结尾，的也就就是说值值域中是是没有结结束符的的，服务器器和客户户端需要要能够处处理内嵌嵌的NUULL。值域的数据据类型是是下列55 种类类型之一一。“texxt”类型是是“strringg”类型的的子集：text 1-2253 字节长长strinng 11-2553 字字节长可可以包含含二进制制数据addreess 4 字字节高位位在前integger 4 字字节无符符号数高高位在前前time 4 字字节无符符号数高高位在前前表示从从19770 年年1 月1 日零零点零时时零秒到到现在的的秒数2.6.44常用属属性类型型列表l Type=1 用户户名 Useer-NNameel Type=2 用户户密码 UUserr-Paasswworddl Type=3 CHHAP密密码 CHHAP-Passswoordl Type=4 NAAS IIP地址址 NAAS-IIP-AAddrresssl Type=5 NAAS端口口 NAAS-PPorttl Type=6 服务务类型 SServvicee-Tyypel Type=7 帧协协议 Fraamedd-Prrotoocolll Type=8 分帧帧IP地地址配置置 Frrameed-IIP-AAddrresssl Type=9 IPP网络掩掩码配置置 Fraamedd-IPP-Neetmaaskl Type=10 路路由方法法配置 Fraamedd-Rooutiingl Type=11 筛筛选器标标识 Fiilteer-IIdl Type=12 最最大传输输单元配配置 Fraamedd-MTTUl Type=13 压压缩协议议配置 Fraamedd-Coomprresssionnl Type=14 登登录的主主机IPP 地址址 Looginn-IPP-Hoostl Type=15 登登录的服服务 Looginn-Seerviicel Type=16 登登录的TTCP端端口 Loggin-TCPP-Poortl Type=17 未未分配 (unnasssignned)l Type=18 回回复消息息 RReplly-MMesssageel Type=19 回回叫电话话号码 Calllbaack-Nummberrl Type=20 回回叫IDD Caallbbackk-Iddl Type=21 未未分配 (unnasssignned)l Type=22 路路由配置置 Fraamedd-Roouteel Type=23 IIPX网网络数字字配置 FFrammed-IPXX-Neetwoorkl Type=24 状状态 SStattel Type=25 类类别 CClasssl Type=26 供供应商细细节 VVenddor-Speecifficl Type=27 会会话时限限 Sesssioon-TTimeeouttl Type=28 空空闲时限限 Idlle-TTimeeouttl Type=29 终终止动作作 Terrminnatiion-Acttionnl Type=30 用用户拨打打的电话话号码 Caalleed-SStattionn-Iddl Type=31 用用户打出出的电话话号码 Caalliing-Staatioon-IIdl Type=32 网网络接入入服务器器标识符符 NASS-Iddenttifiierl Type=33 代代理状态态 Prooxy-Staatel Type=34 登登录的LLAT服服务 Looginn-LAAT-SServviceel Type=35 登登录的LLAT节节点 Looginn-LAAT-NNodeel Type=36 登登录的LLAT组组 LLogiin-LLAT-Grooupl Type=37 AApplleTaalk链链路配置置 Fraamedd-ApppleeTallk-LLinkkl Type=38 AApplleTaalk网网络配置置 Fraamedd-ApppleeTallk-NNetwworkkl Type=39 AApplleTaalk区区域配置置 Fraamedd-ApppleeTallk-ZZoneel Type=40-59 为为记账保保留 (resservved forr acccouuntiing)l Type=60 CHHAP盘盘问 CHHAP-Chaalleengeel Type=61 网网络接入入服务器器端口类类型 NASS-Poort-Typpel Type=62 端端口数限限制 Porrt-LLimiitl Type=63 登登录的LLAT端端口 LLogiin-LLAT-Porrt3 NASS设备RRADIIUS部部分配置置举例下面以锐捷捷网络SSTARRT-SS21226G交交换机作作为例，介介绍NAAS设备备关于RRADIIUS部部分配置置：test#shoow rrunnningg-coonfiig Systeem ssofttwarre vverssionn : 1.668 BBuilld AApr 25 20007 RReleeaseeBuilddingg coonfiigurratiion.Curreent connfigguraatioon : 5886 bbytees!versiion 1.00!hostnnamee teestvlan 1!radiuus-sservver hosst 1192.1688.1.1022 /指指定raadiuus-sservver的的IP地地址aaa aauthhentticaatioon ddot11x /交换机机全局启启动8002.11x协议议aaa aaccoounttingg seerveer 1192.1688.1.1022 /指指定记帐帐服务器器的IPP地址aaa aaccoounttingg /交换机机开启记记帐功能能enablle ssecrret levvel 1 55 &ZZbccknAA2Yzzygllow55UaeehIYdfiimLMMenablle ssecrret levvel 15 5 &ZS(W&-2YYX)ssv5UYY*T77+.YYtZV/,|!interrfacce ffasttEthhernnet 0/11switcchpoort acccesss vllan 10 dot11x pportt-coontrrol autto /将将此端口口设置成成受控端端口!interrfacce ffasttEthhernnet 0/224switcchpoort modde ttrunnk!interrfacce vvlann 1 no sshuttdowwn ip aaddrresss 1992.1168.1.1100 2566.2556.2556.0 !dot1xx clliennt-pprobbe eenabble /打开开交换机机异常下下线探测测功能radiuus-sservver keyy rooot /设置置交换机机和raadiuus-sservver之之间的密密钥snmp-serrverr coommuunitty ppubllic rw /设设置交换换机snnmp协协议采用用commmunnityyip deefauult-gattewaay 1192.1688.1.1end 4 RADDIUSS系统下用户认认证过程程SAM系统统是锐捷捷网络自自主研发发的集安安全、认认证、计计费和管管理于为为一体的的网络管管理平台台，它是是基于标标准的RRADIIUS协协议开发发的，整整个系统统由以下下三个部部分组成成：l 恳请者（SSU，安安装锐捷捷认证客客户端软软件的PPC）；l 认证者（NNAS，接入层交换机)；l 认证服务器器(RADDIUSS SEERVEER，RRG-SSAM软软件)；下面从恳请请者发起起认证认证证成功退出出认证的的整个过过程中，通通过SNNIFFFER软软件抓取取到的报报文作详详细分析析：4.1 报报文1：EAPPOL-Staart首先由客户户端发起起一个带带有组播播目的MAAC地址址为“01880-CC2000-00003”的8022.1XX数据帧帧，其中8002.11X头部部TYPPE类型型值为11，标明明是EAAPOLL-Sttartt报文，开始802.1X认证接入请求； l DLC DDesttinaatioon=01880-CC2000-00003，表示组播播目的MAAC地址址，因为SUU不知到到NASS设备在在哪里；l DLC EEtheertyype=8888E，表表示链路路层帧内内承载着着8022.1XX报文；l 802.11X VVerssionn =11 表示示当前的的8022.1XX 协议议版本是是1；l 802.11X PPackket Typpe =1 指定是是EAPPOL-Staart报报文；4.2 报报文2：EAPP-Reequeest/IdeentiityNAS设备备收到SSU的EEAPOOL-SStarrt报文文后，向向SU发发送EAAP-RRequuestt/Iddenttityy报文，要要求SUU将用户户名送上上来；l 802.11X PPackket Typpe =0， 表示8002.11X报文文承载着着EAPP报文；l EAP报文文中的CCodee=1， 表示是一一个EAAP-RRequuestt报文；l EAP报文文中的IIdenntiffierr=1， 表示示这个EEAP-Reqquesst报文文的标识识符1，这个个值要和和后面的的EAPP-Reespoonsee Iddenttifiier一一致；l EAP DDataa 中的的Typpe=11，表示要要求SUU将用户户名送上上来；4.3 报报文3：EAPP-Reespoonsee/IddenttityySU向NAAS设备备回应EEAP-Ressponnse/Ideentiity报报文，其其中包括括用户名名信息；l EAP ccodee=2，表示是是EAPP-Reespoonsee报文；l EAP IIdenntiffierr=1，表示是是上一个个EAPP-Reequeest请请求的响响应，因因为和上上一个EEAP-Reqquesst的IIdenntiffierr的值相相同；l EAP TTypee=1，表示EEAP Datte中包包含用户户名信息息；l EAP MMesssagee=“liuufn”，表示用用户名是是“liuufn”；4.4 报报文4：RAADIUUS AAcceess-ReqquesstNAS将SSU送上上来的“用户名名”信息封装装到RAADIUUS AAcceess-Reqquesst报文文中，发发送给认认证服务务器，同同时这个个报文中中携带着着客户端端IP、MAC、掩码、网关、NAS IP、NAS端口等信息；l UDP DDesttinaatioon PPortt=18812，UDPP的端口口号是118122，代表是是一个RRADIIUS的的认证信信息；l RADIUUS CCodee=1，说明这这是一个个Acccesss-Reequeest请求认认证报文文；l RADIUUS IIdenntiffierr=1，表示AAcceess-Reqquesst的标标识，要要和后面面相同标标识的AAcceess-Ressponnse成成对使用用；l RADIUUS UUserr-Naame=“liuufn”，表示报报文中携携带用户户名信息息；l RADIUUS NNAS-IP-Adddresss=“1922.1668.00.1”，表示报报文中携携带NAAS IIP信息息；l 4.5 报报文5：RADDIUSS Acccesss-CChalllenngeRADIUUS服务务器收到到上一个个报文后后，在数数据库中中查找是是否有此此用户，同同时根据据服务器器的策略略设置，是是否来匹匹配NAAS IIP、NNAS端端口、用用户IPP、用户户MACC等信息息，如果果通过，RADIUS服务器随机产生一个加密字，用随机产生的加密字和数据库中用户的口令进行MD5加密运算，得出一个结果。同时将随机产生的加密字通过RADIUS Access-Challenge报文发送给NAS设备；l RADIUUS ccodee=111：表示示是Acccesss-CChalllennge挑挑战报文文；l RADIUUS MMesssagee-Auutheentiicattor=“xxxxx”：表示示RADDIUSS服务器器随机产产生的加加密字；4.6 报报文6：EAPP-Reequeest/MD55-ChhalllenggeNAS设备备将收到到RADDIUSS服务器器的“随机加密密字”，然后后封装到到EAPP-Reequeest/MD55-Chhalllengge报文文中发送送给SUU，要求求SU进进行认证证；l EAP TTypee=4：表示这这是一个个MD55挑战；l EAP VValuue=“xxxxx”：表示示RADDIUSS随机产产生的加加密字；4.7 报报文7：EAPP-Reespoonsee/MDD5-CChalllennge客户端收到到EAPP-Reequeest/MD55-Chhalllengge报文文后，将将用户输输入的密密码和随随机字做做MD55运算，将将结果通通EAPP-Reespoonsee/MDD5-CChalllennge回回应给NNAS设设备；l EAP VValuue=“yyyyy”：表示示加密后后的口令令；4.8 报报文8：RADDIUSS Acccesss-RRequuesttNAS设备备通过AAcceess-Chaalleengee报文，将将SU送送上来的的加密口口令上传传给RAADIUUS服务务器；l RADIUUS CCodee=1：表示是是一个AAcceess-Reqquesst报文文；l RADIUUS MMesssagee-Auutheentiicattor=“yyyyy”：表示示上传给给RADDIUSS的加密密口令；4.9 报报文9：RADDIUSS Acccesss-AAcceeptRADIUUS服务务器将SSU产生生的加密密字和自自己运算算的结果果进行比比较，看看是否一一致，判判断用户户是否合合法。然然后回应应认证成成功/失失败报文文到NAAS设备备；l RADIUUS CCodee=2：表示是是一个AAcceess-Accceptt报文，通通知NAAS允许许这个用用户接入入网络；4.10 报文110：EAPP-SuucceessNAS设备备通过EEAP-Succcesss报文文通知SSU认证证成功，可可以接入入网络；l EAP CCodee=3：NASS设备通通知SUU允许接接入，是是EAPP-Suucceess报报文；4.11 报文111：RADDIUSS Acccouuntiing-Reqquesst客户端认证证通过后后，NAAS开始始向RAADIUUS服务务器发起起计费请求求报文，要要求对这这个用户户进行计计费处理理；l UDP DDesttinaatioon PPortt=18813：UDPP的端口口号为118133，说明明这个一一个RAADIUUS计费费报文；l RADIUUS CCodee=4：说明这这个一个个计费请请求Acccouuntiing-Reqquesst报文文；l RADIUUS AAcctt-Sttatuus-TTypee=1：说明这这是一个个计费开开始请求求报文，习习惯上称称为Acccouuntiing-Staart；4.12 报文112：RADDIUSS Acccouuntiing-RessponnseRADIUUS服务务器对该该用户进进行计费费处理后后，对NNAS设设备通过过Acccounntinng-RRespponsse报文文响应；l RADIUUS CCodee=5：说明是是一个AAccoounttingg-Reespoonsee报文，通通知NAAS设备备，RAADIUUS服务务器已经经对这个个用户进进行了计计费处理理；4.13 报文113：EAPPOL-LLogooff客户端发出出EAPPOL-LOGGOFFF信息，请请求下线线；l 802.11X PPackket Typpe=22：表示示是EAAPOLL-Loogofff报文文，说明明客户端端主动请请求下线线；4.14 报文114：RADDIUSS Acccouuntiing-ReqquesstNAS设备备收到SSU请求求下线的的EAPPOL-Loggofff报文后后，向RRADIIUS发发出对该该用户停停止计费费的请求求信息；l RADIUUS CCodee=4：表示是是一个AAccoounttingg-Reequeest 报文，l RADIUUS AAcctt-Sttatuus-TTypee=2：表示是是一个计计费结束束请求，一一般成为为Acccounntinng-SStopp报文；4.15 报文115：RADDIUSS Acccouuntiing-RessponnseRADIUUS服务务器对结结束计费费发出响响应，通通知NAAS设备备已经结结束了对对该用户户计费；l RADIUUS CCodee=5：表示这这是Acccouuninng-RRespponsse报文文；4.16 报文116：EAPP-FaailuureNAS向RRADIIUS服服务器发发出Acccouuntiing-Stoop报文文的同时时，将NNAS端端口重新新置于非非授权状状态，清清除NAAS设备备维护的的一些相相关硬件件表项，同同时向SSU发出出EAPP-Faailuure报报文，通通知SUU下线；l EAP CCodee=4：说明是是一个EEAPOOL-FFailluree报文；