当前位置：文档之家 › AAA协议介绍

AAA协议介绍

  • 格式：doc
  • 大小：199.00 KB
  • 文档页数：19

《建设工程施工合同(示范文本)》(GF-2019-0202)89673

1 AAA

AAA简介

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

AAA一般采用客户机/服务器结构，客户端运行于NAS（NetworkAccessServer，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如图1。

图1AAA基本组网结构示意图

当用户想要通过某网络与NAS建立连接，从而获得访问其它网络的权利或取得某些网络资源的权利时，NAS起到了验证用户或对应连接的作用。NAS负责把用户的认证、授权、计费信息透传给服务器（RADIUS服务器或HWTACACS服务器），RADIUS协议或HWTACACS协议规定了NAS与服务器之间如何传递用户信息。

图1-1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功能分别由使用哪种协议类型的服务器来承担。例如，可以选择HWTACACS服务器实现认证和授权，RADIUS服务器实现计费。

这三种安全服务功能的具体作用如下：

l 认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户；

l 授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作；

l 计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。 《建设工程施工合同(示范文本)》(GF-2019-0202)89673

2 当然，用户可以只使用AAA提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。

如上所述，AAA是一种管理框架，它提供了授权部分实体去访问特定资源，同时可以记录这些实体操作行为的一种安全机制，因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。

AAA可以通过多种协议来实现，目前设备支持基于RADIUS协议、HWTACACS协议或LDAP协议来实现AAA，在实际应用中，最常使用RADIUS协议。

RADIUS协议简介

RADIUS（RemoteAuthenticationDial-InUserService，远程认证拨号用户服务）是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于UDP的RADIUS帧格式及其消息传输机制，并规定UDP端口1812、1813分别作为认证、计费端口。

RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

客户端/服务器模式

l 客户端：RADIUS客户端一般位于NAS设备上，可以遍布整个网络，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。

l 服务器：RADIUS服务器一般运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。

RADIUS服务器通常要维护三个数据库，如图2所示：

图2RADIUS服务器的组成

《建设工程施工合同(示范文本)》(GF-2019-0202)89673

3 l “Users”：用于存储用户信息（如用户名、口令以及使用的协议、IP地址等配置信息）。

l “Clients”：用于存储RADIUS客户端的信息（如接入设备的共享密钥、IP地址等）。

l “Dictionary”：用于存储RADIUS协议中的属性和属性值含义的信息。

安全和认证机制

RADIUS客户端和RADIUS服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密。

RADIUS服务器支持多种方法来认证用户，如基于PPP的PAP、CHAP认证。另外，RADIUS服务器还可以为其它类型的认证服务器提供代理客户端的功能，向其提出认证请求。

RADIUS的基本消息交互流程

用户、RADIUS客户端和RADIUS服务器之间的交互流程如图3所示。

图3RADIUS的基本消息交互流程

《建设工程施工合同(示范文本)》(GF-2019-0202)89673

4 消息交互流程如下：

(1) 用户发起连接请求，向RADIUS客户端发送用户名和密码。

(2) RADIUS客户端根据获取的用户名和密码，向RADIUS服务器发送认证请求包（Access-Request），其中的密码在共享密钥的参与下由MD5算法进行加密处理。

(3) RADIUS服务器对用户名和密码进行认证。如果认证成功，RADIUS服务器向RADIUS客户端发送认证接受包（Access-Accept）；如果认证失败，则返回认证拒绝包（Access-Reject）。由于RADIUS协议合并了认证和授权的过程，因此认证接受包中也包含了用户的授权信息。

(4) RADIUS客户端根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则RADIUS客户端向RADIUS服务器发送计费开始请求包（Accounting-Request）。

(5) RADIUS服务器返回计费开始响应包（Accounting-Response），并开始计费。

(6) 用户开始访问网络资源；

(7) 用户请求断开连接，RADIUS客户端向RADIUS服务器发送计费停止请求包（Accounting-Request）。

(8) RADIUS服务器返回计费结束响应包（Accounting-Response），并停止计费。

(9) 用户结束访问网络资源。

RADIUS报文结构

RADIUS采用UDP报文来传输消息，通过定时器管理机制、重传机制、备用服务器机制，确保RADIUS服务器和客户端之间交互消息的正确收发。RADIUS报文结构如图4所示。

图4RADIUS报文结构 《建设工程施工合同(示范文本)》(GF-2019-0202)89673

5

各字段的解释如下：

(1) Code域

长度为1个字节，用于说明RADIUS报文的类型，如表1所示。

表1Code域的主要取值说明

Code 报文类型 报文说明

1 Access-Request认证请求包 方向Client->Server，Client将用户信息传输到Server，由Server判断是否接入该用户。该报文中必须包含User-Name属性，可选包含NAS-IP-Address、User-Password、NAS-Port等属性

2 Access-Accept认证接受包 方向Server->Client，如果Access-Request报文中的所有Attribute值都可以接受（即认证通过），则传输该类型报文

3 Access-Reject认证拒绝包 方向Server->Client，如果Access-Request报文中存在任何无法被接受的Attribute值（即认证失败），则传输该类型报文 《建设工程施工合同(示范文本)》(GF-2019-0202)89673

6 Code 报文类型 报文说明

4 Accounting-Request计费请求包 方向Client->Server，Client将用户信息传输到Server，请求Server开始/停止计费，由该报文中的Acct-Status-Type属性区分计费开始请求和计费结束请求

5 Accounting-Response计费响应包 方向Server->Client，Server通知Client已经收到Accounting-Request报文，并且已经正确记录计费信息

(2) Identifier域

长度为1个字节，用于匹配请求包和响应包，以及检测在一段时间内重发的请求包。类型一致的请求包和响应包的Identifier值相同。

(3) Length域

长度为2个字节，表示RADIUS数据包（包括Code、Identifier、Length、Authenticator和Attribute）的长度，范围从20～4096。超过Length域的字节将作为填充字符被忽略。如果接收到的包的实际长度小于Length域的值时，则包会被丢弃。

(4) Authenticator域

长度为16个字节，用于验证RADIUS服务器的应答，另外还用于用户密码的加密。Authenticator包括两种类型：RequestAuthenticator和ResponseAuthenticator。

(5) Attribute域

不定长度，用于携带专门的认证、授权和计费信息，提供请求和响应报文的配置细节。Attribute可包括多个属性，每一个属性都采用（Type、Length、Value）三元组的结构来表示。

l 类型（Type），1个字节，取值为1～255，用于表示属性的类型，表2列出了RADIUS认证、授权、计费常用的属性。 《建设工程施工合同(示范文本)》(GF-2019-0202)89673

7 l 长度（Length），表示该属性（包括类型、长度和属性）的长度，单位为字节。

l 属性值（Value），表示该属性的信息，其格式和内容由类型和长度决定，最大长度为253字节。

表2RADIUS属性

属性编号 属性名称 属性编号 属性名称

1 User-Name 45 Acct-Authentic

2 User-Password 46 Acct-Session-Time

3 CHAP-Password 47 Acct-Input-Packets

4 NAS-IP-Address 48 Acct-Output-Packets

5 NAS-Port 49 Acct-Terminate-Cause

6 Service-Type 50 Acct-Multi-Session-Id

7 Framed-Protocol 51 Acct-Link-Count

合集下载

diameter协议,avp

diameter协议,avp

1 12 竭诚为您提供优质文档/双击可除

diameter协议,avp

篇一：aaa协议diameter和Radius进行比较总结

aaa协议diameter和Radius比较总结今天就把两种主要的aaa协议diameter和Radius进行比较总结,如下:

(1)Radius固有的c/s模式限制了它的进一步发展。diameter采用了peer-to-peer模式，peer的任何一端都可以发送消息以发起计费等功能或中断连接。

(2)可靠的传输机制。Radius运行在udp协议上，并且没有定义重传机制，而diameter运行在可靠的传输协议tcp、sctp之上。diameter还支持窗口机制，每个会话方可以动态调整自己的接收窗口，以免发送超出对方处理能力的请求。

(3)失败恢复机制。Radius协议不支持失败恢复机制，而diameter支持应用层确认，并且定义了失败恢复算法和相关的状态机，能够立即检测出传输错误。

(4)大的属性数据空间。diameter采用aVp（attributeValuepair）来传输用户的认证和授权信息、交

2 12 换用以计费的资源使用信息、中继代理和重定向diameter消息等。网络的复杂化使diameter消息所要携带的信息越来越多，因此属性空间一定要足够大，才能满足未来大型复杂网络的需要。

(5)支持同步的大量用户的接入请求。随着网络规模的不断扩大，aaa服务器需要同时处理的用户请求的数量不断增加，这就要求网络接入服务器能够保存大量等待认证结果的用户的接入信息，而Radius的255个同步请求显然是不够的，diameter可以同时支持232个用户的接入请求。

(6)服务器初始化消息。由于在Radius中服务器不能主动发起消息，只有客户能发出重认证请求，所以服务器不能根据需要重新认证。而diameter指定了两种消息类型，重认证请求和重认证应答消息，使得服务器可以随时根据需要主动发起重认证。

AAA认证功能介绍

AAA认证功能介绍

北京格林伟迪科技有限公司

AAA认证功能介绍

北京格林伟迪科技有限公司 1/19

OLT

AAA认证功能介绍

VESION 1。0

2011年7月7日

北京格林伟迪科技有限公司 AAA认证功能介绍

北京格林伟迪科技有限公司 2/19

AAA认证功能介绍 ......................................................................................................................... 1

一、 相关知识点介绍 ....................................................................................................... 3

1。1. AAA简介 ....................................................................................................... 3

1。1.1。 认证功能 ................................................................................................. 3

AAA原理及应用

AAA原理及应用

1

AAA原理及应用

目录 2

1 AAA简介 .............................................................................................................. 3

1.1 什么是AAA ................................................................................................. 3

1.2 AAA的优点 ................................................................................................. 3

2 AAA认证 .............................................................................................................. 3

2.1 AAA认证的功能 ........................................................................................... 3

2.2 AAA认证的方法 ........................................................................................... 4

2.2.1常见的认证方式（默认对所有用户生效/default） ................................... 4

2.2.2定义方法列表名(list-name) ................................................................... 5

AAA认证过程

AAA认证过程

AAA使用的是802.1x协议全称是：Port-Based Network Access Control Protocol（基于端口的网络访问

控制协议）

他是通过EAPoL报文交互认证的.

802.1X 认证有3 个重要角色：恳求者、认证者和认证服务器。

1.客户端SU 以组播方式发送一个EAP 报文发起认证过程（协议标准组播地址为01-80-C2-00-00-03)

2 . 交换机收到该报文后，发送一个EAP-Request 报文响应客户端的认证请求，要求用户提供用户名信息。

3 . 客户端收到EAP-Request 之后响应一个EAP-Response 报文，将用户名封装在EAP报文中发给交换机。

4 . 交换机将客户端送来的EAP-Request 报文与自己的交换机IP、端口等相关信息一起封装在RADIUS Access-Request 报文中发给认证服务器。

5 . 认证服务器收到RADIUS Access-Request 报文后进行验证，如果该用户的相关信息有效，则对该用户发起一次认证挑战（RADIUS Access-Challenge），要求用户提供密码。

6 . 交换机收到这条RADIUS Access-Challenge 报文后， 将挑战请求用一条EAP-Challenge Request 转发给客户端。

7 . 客户端接到挑战请求后，将用户密码进行加密处理，封装在EAP-Challenge Response中返回给交换机。

8 . 交换机将用户的EAP-Challenge Response 封装为RADIUS Access-Request 报文转发给认证服务器。

9 . 认证服务器对用户的密码进行验证，如果验证失败，服务器将返回一条RADIUSAccess-Reject 报文，拒绝用户的认证请求；如果验证通过，服务器则发送一条RADIUS Access-Accept 报文给交换机。