radius協(xié)議的原理及應(yīng)用講義(存儲(chǔ)版)
【正文】 ntingStop報(bào)文的同時(shí)，將NAS端口重新置于非授權(quán)狀態(tài)，清除NAS設(shè)備維護(hù)的一些相關(guān)硬件表項(xiàng)，同時(shí)向SU發(fā)出EAPFailure報(bào)文，通知SU下線；l EAP Code=4：說明是一個(gè)EAPOLFailure報(bào)文；。值域的數(shù)據(jù)類型是下列5 種類型之一。 Authenticator認(rèn)證字域占用16個(gè)字節(jié)，用于Radius Client 和Server之間消息認(rèn)證的有效性，和密碼隱藏算法。使用時(shí)我們應(yīng)該注意不同公司對(duì)RADIUS協(xié)議擴(kuò)展部分不能完全兼容。RADIUS原先設(shè)計(jì)的目的是為撥號(hào)用戶進(jìn)行認(rèn)證和計(jì)費(fèi)。1 RADIUS協(xié)議簡(jiǎn)介RADIUS ( Remote Authentication Dial In User Service )是遠(yuǎn)程認(rèn)證撥號(hào)用戶服務(wù)的簡(jiǎn)稱。由于RADIUS協(xié)議的良好擴(kuò)展性,很多廠家對(duì)RADIUS作了擴(kuò)展，我們公司也對(duì)其進(jìn)行了擴(kuò)展。長(zhǎng)度域的范圍在20和4096之間。注意RADIUS 中沒有一個(gè)類型的值域是以NULL(hex 00)結(jié)尾，的也就是說值域中是沒有結(jié)束符的，服務(wù)器和客戶端需要能夠處理內(nèi)嵌的NULL。同時(shí)將隨機(jī)產(chǎn)生的加密字通過RADIUS AccessChallenge報(bào)文發(fā)送給NAS設(shè)備；l RADIUS code=11：表示是AccessChallenge挑戰(zhàn)報(bào)文；l RADIUS MessageAuthenticator=“xxxx”：表示RADIUS服務(wù)器隨機(jī)產(chǎn)生的加密字； 報(bào)文6：EAPRequest/MD5ChallengeNAS設(shè)備將收到RADIUS服務(wù)器的“隨機(jī)加密字”，然后封裝到EAPRequest/MD5Challenge報(bào)文中發(fā)送給SU，要求SU進(jìn)行認(rèn)證；l EAP Type=4：表示這是一個(gè)MD5挑戰(zhàn)；l EAP Value=“xxxx”：表示RADIUS隨機(jī)產(chǎn)生的加密字； 報(bào)文7：EAPResponse/MD5Challenge客戶端收到EAPRequest/MD5Challenge報(bào)文后，將用戶輸入的密碼和隨機(jī)字做MD5運(yùn)算，將結(jié)果通EAPResponse/MD5Challenge回應(yīng)給NAS設(shè)備；l EAP Value=“yyyy”：表示加密后的口令； 報(bào)文8：RADIUS AccessRequestNAS設(shè)備通過AccessChallenge報(bào)文，將SU送上來的加密口令上傳給RADIUS服務(wù)器；l RADIUS Code=1：表示是一個(gè)AccessRequest報(bào)文；l RADIUS MessageAuthenticator=“yyyy”：表示上傳給RADIUS的加密口令； 報(bào)文9：RADIUS AccessAcceptRADIUS服務(wù)器將SU產(chǎn)生的加密字和自己運(yùn)算的結(jié)果進(jìn)行比較，看是否一致，判斷用戶是否合法。dfimLMenable secret level 15 5 amp。一個(gè)屬性包含如下三個(gè)部分： Type域類型域長(zhǎng)度為一個(gè)字節(jié)，RADIUS服務(wù)器和客戶端當(dāng)遇到不可識(shí)別的屬性時(shí)，可以將其忽略。如果在短時(shí)間內(nèi)RADIUS服務(wù)器收到從相同的源IP，相同源端口，相同標(biāo)識(shí)域的報(bào)文，則認(rèn)為收到的是重復(fù)的請(qǐng)求。RADIUS基本原理：用戶接入NAS，NAS向RADIUS服務(wù)器使用AccessRequest數(shù)據(jù)包提交用戶信息，包括用戶名、密碼等相關(guān)信息，其中用戶密碼是經(jīng)過MD5加密的，雙方使用共享密鑰，這個(gè)密鑰不經(jīng)過網(wǎng)絡(luò)傳播；RADIUS服務(wù)器對(duì)用戶名和密碼的合法性進(jìn)行檢驗(yàn)，必要時(shí)可以提出一個(gè)Challenge，要求進(jìn)一步對(duì)用戶認(rèn)證，也可以對(duì)NAS進(jìn)行類似的認(rèn)證；如果合法，給NAS返回AccessAccept數(shù)據(jù)包，允許用戶進(jìn)行下一步工作，否則返回AccessReject數(shù)據(jù)包，拒絕用戶訪問；如果允許訪問，NAS向RADIUS服務(wù)器提出計(jì)費(fèi)請(qǐng)求AccountRequest，RADIUS服務(wù)器響應(yīng)AccountAccept，對(duì)用戶開始計(jì)費(fèi)，同時(shí)用戶可以進(jìn)行自己的相關(guān)操作。RADIUS協(xié)議的原理及應(yīng)用目 錄培訓(xùn)目標(biāo) 2前言 21 RADIUS協(xié)議介紹 22 RADIUS協(xié)議報(bào)文結(jié)構(gòu) 3 Radius協(xié)議報(bào)文格式 3 Code域 3 Identifier域 4 Length域 4 Authenticator 4 Attributes域 5 Type域 5 Length域 5 Value域 6 63 NAS設(shè)備RADIUS部分配置舉例 84 RADIUS系統(tǒng)下用戶認(rèn)證過程 9 報(bào)文1：EAPOLStart 9 報(bào)文2：EAPRequest/Identity 10 報(bào)文3：EAPResponse/Identity 10 報(bào)文4：RADIUS AccessRequest 11 報(bào)文5：RADIUS AccessChallenge 12 報(bào)文6：EAPRequest/MD5Challenge 13 報(bào)文7：EAPResponse/MD5Challenge 14 報(bào)文8：RADIUS AccessRequest 14 報(bào)文9：RADIUS AccessAccept 15 報(bào)文10：EAPSuccess 16 報(bào)文11：RADIUS Accounting
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1