aaa技术介绍.pdf

技术介绍 安全和 VPN 目 录 i 目 录 AAA. 1 AAA简介. 1 RADIUS协议简介. 2 客户端/服务器模式2 安全和认证机制 2 RADIUS的基本消息交互流程 .3 RADIUS报文结构 3 RADIUS扩展属性 6 HWTACACS协议简介 7 HWTACACS协议与RADIUS协议的区别 7 HWTACACS的基本消息交互流程 7 LDAP协议简介 . 9 LDAP目录服务 9 使用LDAP协议进行认证和授权 9 LDAP的基本消息交互流程10 基于域的用户管理 11 设备的RADIUS服务器功能.12 AAA支持多实例13 技术介绍 安全和 VPN AAA 1 AAA AAA 简介 AAA 是 Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的 一种管理机制，提供了认证、授权、计费三种安全功能 AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器） 上， 服务器上则集中管理用户信息 NAS对于用户来讲是服务器端， 对于服务器来说是客户端。

AAA 的基本组网结构如 图 1 图 1 AAA 基本组网结构示意图 当用户想要通过某网络与 NAS 建立连接，从而获得访问其它网络的权利或取得某些网络资源的权 利时，NAS 起到了验证用户或对应连接的作用NAS 负责把用户的认证、授权、计费信息透传给 服务器 （RADIUS 服务器或 HWTACACS 服务器） ， RADIUS 协议或 HWTACACS 协议规定了 NAS 与服务器之间如何传递用户信息 图 1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功 能分别由使用哪种协议类型的服务器来承担例如，可以选择HWTACACS服务器实现认证和授权， RADIUS服务器实现计费 这三种安全服务功能的具体作用如下： ? 认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户； ? 授权：对不同用户赋予不同的权限，限制用户可以使用的服务例如用户成功登录服务器后， 管理员可以授权用户对服务器中的文件进行访问和打印操作； ? 计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等， 它不仅是一种计费手段，也对网络安全起到了监视作用。

当然，用户可以只使用 AAA 提供的一种或两种安全服务例如，公司仅仅想让员工在访问某些特 定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了但是若希望对员工使 用网络的情况进行记录，那么还需要配置计费服务器 技术介绍 安全和 VPN AAA 2 如上所述，AAA 是一种管理框架，它提供了授权部分实体去访问特定资源，同时可以记录这些实体 操作行为的一种安全机制，因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛 使用 AAA 可以通过多种协议来实现，目前设备支持基于 RADIUS 协议、HWTACACS 协议或 LDAP 协 议来实现 AAA，在实际应用中，最常使用 RADIUS 协议 RADIUS 协议简介 RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种分布式的、 客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全 性、又允许远程用户访问的各种网络环境中该协议定义了基于 UDP 的 RADIUS 帧格式及其消息 传输机制，并规定 UDP 端口 1812、1813 分别作为认证、计费端口。

RADIUS 最初仅是针对拨号用户的 AAA 协议，后来随着用户接入方式的多样化发展，RADIUS 也 适应多种用户接入方式，如以太网接入、ADSL 接入它通过认证授权来提供接入服务，通过计费 来收集、记录用户对网络资源的使用 客户端/服务器模式 ? 客户端：RADIUS 客户端一般位于 NAS 设备上，可以遍布整个网络，负责传输用户信息到指 定的 RADIUS 服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入） ? 服务器：RADIUS 服务器一般运行在中心计算机或工作站上，维护相关的用户认证和网络服 务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接 受/拒绝认证请求） RADIUS服务器通常要维护三个数据库，如 图 2所示： 图 2 RADIUS 服务器的组成 ? “Users”：用于存储用户信息（如用户名、口令以及使用的协议、IP 地址等配置信息） ? “Clients”：用于存储 RADIUS 客户端的信息（如接入设备的共享密钥、IP 地址等） ? “Dictionary”：用于存储 RADIUS 协议中的属性和属性值含义的信息。

安全和认证机制 RADIUS 客户端和 RADIUS 服务器之间认证消息的交互是通过共享密钥的参与来完成的， 并且共享 密钥不能通过网络来传输，增强了信息交互的安全性另外，为防止用户密码在不安全的网络上传 递时被窃取，在传输过程中对密码进行了加密 RADIUS 服务器支持多种方法来认证用户，如基于 PPP 的 PAP、CHAP 认证另外，RADIUS 服 务器还可以为其它类型的认证服务器提供代理客户端的功能，向其提出认证请求 技术介绍 安全和 VPN AAA 3 RADIUS 的基本消息交互流程 用户、RADIUS客户端和RADIUS服务器之间的交互流程如 图 3所示 图 3 RADIUS 的基本消息交互流程 RADIUS clientRADIUS server (1) 用户输入用户名/密码 (3) 认证接受/拒绝包 (2) 认证请求包 (4) 计费开始请求包 (5) 计费开始请求响应包 (7) 计费结束请求包 (8) 计费结束请求响应包 (9) 通知访问结束 Host (6) 用户访问资源 消息交互流程如下： (1) 用户发起连接请求，向 RADIUS 客户端发送用户名和密码 (2) RADIUS 客 户 端 根 据 获 取 的 用 户 名 和 密 码 ， 向 RADIUS 服 务 器 发 送 认 证 请 求 包 （Access-Request），其中的密码在共享密钥的参与下由 MD5 算法进行加密处理。

(3) RADIUS 服务器对用户名和密码进行认证如果认证成功，RADIUS 服务器向 RADIUS 客户 端发送认证接受包（Access-Accept）；如果认证失败，则返回认证拒绝包（Access-Reject） 由于 RADIUS 协议合并了认证和授权的过程，因此认证接受包中也包含了用户的授权信息 (4) RADIUS 客户端根据接收到的认证结果接入/拒绝用户如果允许用户接入，则 RADIUS 客户 端向 RADIUS 服务器发送计费开始请求包（Accounting-Request） (5) RADIUS 服务器返回计费开始响应包（Accounting-Response），并开始计费 (6) 用户开始访问网络资源； (7) 用 户 请 求 断 开 连 接 ， RADIUS 客 户 端 向 RADIUS 服 务 器 发 送 计 费 停 止 请 求 包 （Accounting-Request） (8) RADIUS 服务器返回计费结束响应包（Accounting-Response），并停止计费 (9) 用户结束访问网络资源 RADIUS 报文结构 RADIUS采用UDP报文来传输消息， 通过定时器管理机制、 重传机制、 备用服务器机制， 确保RADIUS 服务器和客户端之间交互消息的正确收发。

RADIUS报文结构如 图 4所示 技术介绍 安全和 VPN AAA 4 图 4 RADIUS 报文结构 各字段的解释如下： (1) Code 域 长度为 1 个字节，用于说明RADIUS报文的类型，如 表 1所示 表 1 Code 域的主要取值说明 Code 报文类型 报文说明 1 Access-Request 认证 请求包 方向 Client-Server， Client 将用户信息传输到 Server，由 Server 判断是否 接入该用户该报文中必须包含 User-Name 属性，可选包含 NAS-IP-Address、User-Password、NAS-Port 等属性 2 Access-Accept 认证接 受包 方向 Server-Client，如果 Access-Request 报文中的所有 Attribute 值都可 以接受（即认证通过），则传输该类型报文 3 Access-Reject 认证拒 绝包 方向 Server-Client，如果 Access-Request 报文中存在任何无法被接受的 Attribute 值（即认证失败），则传输该类型报文 4 Accounting-Request 计费请求包 方向 Client-Server，Client 将用户信息传输到 Server，请求 Server 开始/ 停止计费，由该报文中的 Acct-Status-Type 属性区分计费开始请求和计费 结束请求 5 Accounting-Response 计费响应包 方向 Server-Client，Server 通知 Client 已经收到 Accounting-Request 报 文，并且已经正确记录计费信息 (2) Identifier 域 长度为 1 个字节，用于匹配请求包和响应包，以及检测在一段时间内重发的请求包。

类型一致的请 求包和响应包的 Identifier 值相同 (3) Length 域 长度为 2 个字节， 表示 RADIUS 数据包 （包括 Code、 Identifier、 Length、 Authenticator 和 Attribute） 的长度，范围从 20～4096超过 Length 域的字节将作为填充字符被忽略如果接收到的包的实际 长度小于 Length 域的值时，则包会被丢弃 (4) Authenticator 域 长度为 16 个字节，用于验证 RADIUS 服务器的应答，另外还用于用户密码的加密Authenticator 包括两种类型：Request Authenticator 和 Response Authenticator (5) Attribute 域 技术介绍 安全和 VPN AAA 5 不定长度，用于携带专门的认证、授权和计费信息，提供请求和响应报文的配置细节Attribute 可 包括多个属性，每一个属性都采用（Type、Length、Value）三元组的结构来表示 ? 类型（Type），1 个字节，取值为 1～255，用于表示属性的类型，表 2列出了RADIUS认证、 授权、计费常用的属性。

? 长度（Length），表示该属性（包括类型、长度和属性）的长度，单位为字节 ? 属性值（Value），表示该属性的信息，其格式和内容由类型和长度决定，最大长度为 253 字 节 表 2 RADIUS 属性 属性编号 属性名称 属性编号 属性名称 1 User-Name 45 Acct-Authentic 2 User-Password 46 Acct-Session-Time 3 CHAP-Password 47 Acct-Input-Packets 4 NAS-IP-Address 48 Acct-Output-Packets 5 NAS-Port 49 Acct-Terminate-Cause 6 Service-Type 50 Acct-Multi-Session-Id 7 Framed-Protocol 51 Acct-Link-Count 8 Framed-IP-Address 52 Acct-Input-Gigawords 9 Framed-IP-Netma。