RADIUS

RADIUS serveri tööpõhimõtet kujutav diagramm

RADIUS (Remote Authentication Dial-In User Service) on hajutatud infovahetusprotokoll, mis kasutab klient/server mudelit. See kaitseb võrku volitamata juurdepääsu eest ja seda kasutatakse sageli võrkudes, mis peavad pakkuma kõrget turvalisust, võimaldades samal ajal kaugjuurdepääsu. RADIUS on standardprotokoll, mida toetavad peaaegu kõik tavapärased seadmed ja mis on aktiivsetes võrkudes kõige laialdasemalt kasutatav AAA (Authentication, Authorization, and Accounting) protokoll. See kasutab edastusprotokollina UDP'd (User Datagram Protocol) ja seetõttu on sellel hea reaalajaline jõudlus. Lisaks on sellel kõrge töökindlus, pakkudes kordusedastuse ja varuserveri mehhanisme. RADIUSt on lihtne rakendada ja see toetab serveris mitmelõimelist töötlemist suure hulga kasutajate autentimiseks. RADIUSe protokolli arendas välja Livingston Enterprises, Inc.

Tööpõhimõte

Tüüpiliselt on RADIUSe klient NAS (Network Attached Storage) tüüpi ja RADIUSe server taustaprotsess (daemon), mis jookseb UNIXi või Windows NT masinal. Klient edastab kasutaja informatsiooni määratud serverile ning käitub vastavalt saadud vastusele. Serverid võtavad vastu kasutaja ühendumise päringuid, volitavad kasutaja ja tagastavad konfiguratsiooni info, mis on vajalik, et klient saaks teenust kasutajale edastada. RADIUSe server saab toimida puhverserverina teistele RADIUSe serveritele või muud tüüpi autentimisserveritele.

Autentimine ja volitamine

RADIUSe server toetab mitut kasutaja volitamise meetodit. Kui see on varustatud kasutajanime ja algse parooliga, saab see toetada PPP, PAP või CHAP, UNIX-i sisselogimist ja muid autentimismehhanisme. Tavaliselt koosneb kasutaja sisselogimine päringust (Access-Request) NAS-ilt RADIUS-serverile ja vastavast vastusest (Access-Accept või Access-Reject) serverilt. Access-Request pakett sisaldab kasutajanime, krüpteeritud parooli, NASi IP aadressi ja porti. Taotluse formaat annab teavet ka seansi tüübi kohta, mida kasutaja soovib algatada. Kui RADIUS-server saab NAS-ilt juurdepääsutaotluse (Access-Request), otsib see andmebaasist loetletud kasutajanime. Kui kasutajanime andmebaasis pole, laaditakse kas vaikeprofiil või saadab RADIUSe server kohe juurdepääsu keelamise teate. Selle juurdepääsu keelamise teatega võib kaasneda tekstisõnum, mis põhjendab keeldumise põhjust. RADIUSel on autentimine ja autoriseerimine omavahel seotud. Kui kasutajanimi leitakse ja parool on õige, tagastab RADIUSe server Access-Accept vastuse. Tüüpiliste parameetrite hulka kuuluvad teenuse tüüp, protokolli tüüp, kasutajale määratav IP-aadress (staatiline või dünaamiline), rakendatav juurdepääsuloend või staatiline marsruut NASi marsruutimistabelisse installimiseks. RADIUSe serveri konfiguratsiooniteave määrab, mida saab NAS-ile installida.

Arveldamine

RADIUSe protokolli arveldamise funktsioone saab kasutada eraldatuna autentimisest ja volitamisest. RADIUSe arvestusfunktsioonid võimaldavad saata andmeid seansi alguses ja lõpus, mis näitavad seansi ajal kasutatud ressursside (nt aeg, paketid, baidid jne) hulka. Internetiteenuse pakkuja (ISP) saab RADIUS-i juurdepääsukontrolli ja raamatupidamistarkvara abil rahuldada spetsiaalseid turva- ja arveldusvajadusi. Kliendi ja RADIUSe serveri vahelisi tehinguid autentitakse rakendades ühist salasõna, mida ei saadeta kunagi üle võrgu. Kasutaja paroolid on krüpteeritud, et ebaturvalise võrgu korral ei oleks pealt kuulajal võimalik neid kätte saada.

RADIUSe serveri backup mehhanism

Suurte võrkude korral rakendatakse tüüpiliselt mitut RADIUSe serverit, tänu millele ei ole kasutajad mõjutatud, kui üks neist peaks langema. Suure kasutajate koguse korral rakendatakse ka koormuse tasakaalustamist, et ennetada ühe serveri resursside ammendamist. Olukorras, kus mitu serverit on seadistatud RADIUSe serveri gruppi, on võimalik RADIUSe kliendil valida server vastavalt master/backup või koormuse tasakaalustamise algoritmi juhistele. RADIUSe serveri grupil saab olla üks master server ja mis iganes koguses backup servereid. RADIUSe klient valib master serveri juhul, kui see eksisteerib ning on aktiivses olekus (up state), vastasel juhul valib klient backup serveri, mis on seadistatud vastama kasutaja päringutele. Koormuse tasakaalustamise režiimis jaotatakse liiklus mitme RADIUSe serveri vahel nõnda, et kasutaja päringuid saaks töödelda kiiremini. Koormuse tasakaalustamise algoritmi kasutamisel valib klient RADIUSe kliendi poolt serverile autentimis- või arvestuspakettide saatmisel serveri RADIUSe autentimisserverite või RADIUSe arvestusserveritele seatud prioriteedi kaalude põhjal.

RADIUSe pakettide edastamise mehhanism

Autentimise jooksul saadab RADIUSe klient RADIUSe serverile autentimistaotluse paketi. Selleks, et tegurid nagu võrgutõrked või viivitused ei takistaks kliendil serveri paketti kätte saamast on RADIUSe serverisse saadetavate päringupakettide jaoks on ette nähtud kordusülekande mehhanism. Kui klient ei saa serverilt aegumisperioodi jooksul vastusepaketti, saadab klient päringupaketi uuesti. Täpsemalt edastab RADIUSe klient päringu samale serverile ette täpsustatud koguse kordusülekandeid. Kui vastust ei tule, saadab klient päringu teisele serverile, olenemata sellest, kas kasutatakse master/backup või koormuse tasakaalustamise režiimi. Serverirühma ja serverirühma kuuluvate serverite kordusülekannete arvu ja vastuse järgi ootamise perioodi konfigureeritakse RADIUSe kliendis.

Kasutajate välja logimine

RADIUS toetab ühenduse katkestamise sõnumi (disconnect message) funktsionaalsust. Kui kasutaja ühineb võrguga, on võimalik administraatoril ta sunniviisiliselt lahti ühendada. Antud protsess saadab etteruttavalt Disconnect-Request paketti.

Dünaamiline volitamine

RADIUS toetab volituse muutmise (Change of Authorization) funktsionaalsust. Kui kasutaja on edukalt autentitud, on võimalik RADIUSe serveril tema õigusi muuta. Volituse muutmise pakettide hulka kuuluvad tüüpiliselt dünaamilise autoriseerimistaotluse paketid, dünaamilise autoriseerimistaotluse aktsepteerimispaketid ja dünaamilise autoriseerimistaotluse tagasilükkamispaketid.