RADIUS (Remote Authentication Dial-In User Service) — клиент-серверный протокол AAA (Authentication, Authorization, Accounting) для управления сетевым доступом. Сетевые устройства — VPN-шлюзы, Wi-Fi-контроллеры, коммутаторы — выступают клиентами RADIUS-сервера и передают ему учётные данные пользователя. Сервер проверяет их в централизованном хранилище (LDAP, Active Directory, SQL) и возвращает решение о допуске.
Три составляющих AAA
- Authentication (аутентификация) — подтверждение личности: «Кто ты?». Проверка логина и пароля, OTP, сертификата.
- Authorization (авторизация) — определение прав доступа: «Что тебе разрешено?». RADIUS возвращает атрибуты: VLAN, IP-адрес, скорость соединения, ACL (Access Control List).
- Accounting (учёт) — регистрация событий: когда подключился, как долго, сколько трафика использовал. Применяется для биллинга у ISP и корпоративного аудита.
Как работает RADIUS
Процесс аутентификации включает пять шагов:
- Пользователь вводит логин и пароль на VPN-клиенте или корпоративном Wi-Fi-портале.
- NAS (Network Access Server — VPN-шлюз или точка доступа) формирует пакет Access-Request и отправляет его RADIUS-серверу по UDP на порт 1812.
- Пароль в пакете зашифрован через MD5 с использованием shared secret — строки, заранее настроенной на обоих устройствах.
- RADIUS-сервер проверяет учётные данные в LDAP, Active Directory или локальной базе.
- Ответ: Access-Accept (с атрибутами сессии) или Access-Reject. Учётные данные сессии отправляются в Accounting на порт 1813.
История
RADIUS разработали Карл Риголь (Carl Rigney) и Аллан Рубенс (Allan Rubens) в компании Livingston Enterprises в 1991 году. Изначально протокол создавался для dial-up ISP: сотни тысяч коммутируемых модемных подключений требовали централизованной аутентификации без прямого доступа к базе паролей на каждом модемном сервере. RFC 2865 (2000) стандартизировал протокол. Diameter (RFC 6733, 2012) — преемник RADIUS для LTE/5G-сетей с надёжной транспортировкой через TCP/SCTP.
Реализации RADIUS-сервера
- FreeRADIUS — open-source, обслуживает более 100 миллионов пользователей по всему миру, де-факто стандарт. Поддерживает LDAP, Active Directory, SQL-базы, 802.1X, EAP-TLS.
- Microsoft NPS (Network Policy Server) — встроен в Windows Server, нативная интеграция с Active Directory. Управляется через оснастку MMC.
- Cisco ISE (Identity Services Engine) — enterprise-решение с визуальным Policy Builder, MAB (MAC Authentication Bypass), профилировщиком устройств.
- Radiusdesk / PacketFence — open-source NAC (Network Access Control) с веб-интерфейсом, основанные на FreeRADIUS.
Методы аутентификации EAP
RADIUS поддерживает расширенные методы аутентификации через EAP (Extensible Authentication Protocol):
- EAP-TLS — взаимная аутентификация через сертификаты клиента и сервера. Наиболее безопасный метод.
- PEAP (Protected EAP) — туннель TLS + MSCHAPV2. Широко используется в корпоративных Wi-Fi.
- EAP-TTLS — TLS-туннель для любого внутреннего метода аутентификации.
RADIUS и хостинг
Для хостинг-провайдеров RADIUS — ключевой компонент нескольких сценариев. PPPoE/L2TP-биллинг: каждое dial-up или широкополосное подключение авторизуется через RADIUS, который возвращает параметры сессии (IP-адрес, скорость) и записывает учётные данные для биллинга. Корпоративные VPS-среды: VPN-шлюзы (OpenVPN, WireGuard с RADIUS-плагином) используют RADIUS для единой точки управления доступом. 802.1X: сетевые коммутаторы при подключении устройства запрашивают RADIUS — только авторизованные устройства попадают в нужный VLAN.