RADIUS (Remote Authentication Dial In User Service)

Transkript

1 RADIUS (Remote Authentication Dial In User Service) von Patrick Oppermann und Sönke Chair for Communication Technology (ComTec( ComTec), Faculty of Electrical Engineering / Computer Science

2 Inhalt Einführung/Überblick Triple A RADIUS Umgebung Transportprotokoll und Ports Pakteteigenschaften Aufbau und Pakettypen und -attribute Authentifizierung Protokolle und Ablauf RADIUS Accounting RADIUS Extensions 2

3 Einführung Authentifizierung von Benutzern bei Netzverbindungen über Modem, ISDN, VPN, Wireless LAN oder DSL. Anwendungsgebiete Internet Service Provider VPN Große WLAN Installationen RFCs Erste Beschreibung 1997 in den RFCs 2138 und 2139 Aktuell gültige RFCs 2865, 2866 und 2869 von

4 Implementierungen Livingston Enterprises Microsofts Internet Authentication Server (IAS) Open Source Freeradius Openradius Cisco TACACS+... Benutzt TCP anstatt UDP 4

5 AAA (Triple A) Authentifizierung Wer hat Zugriff auf das System? Autorisierung Auf welche Dienste darf zugegriffen werden? Wann und wie lange dürfen die Dienste benutzt werden? Abrechnung Wie lange dauert die Verbindung? Wie viel Transfervolumen wurde generiert? 5

6 Aufbau einer RADIUS Umgebung Client Network Access Server (NAS) RADIUS Server LDAP SQL Dial-in Unix Internet Firewall/VPN Local WLAN Access Point Netzwerk/ Internet 6

7 Transportprotokoll und Ports UDP als Transportprotokoll Warum nicht TCP? Port 1812 wird für das Authentifizierung verwendet (früher 1645) Port 1813 findet bei der Abrechnung Verwendung (früher 1646) 7

8 Paketaufbau Code ID Length Authenticator (16 Bytes) A-NR A-LEN A-VAL 8

9 Paket-Typen (Code) Code Pakettyp 1 Access Request 2 Access Accept 3 Access Reject 4 Accounting Request 5 Accounting Response 11 Access Challenge 12 Status Server (experimental) 13 Status Client (experimental) 255 Reserved 9

10 Wichtige Attribute 1 - Benutzername 2 - Benutzerpasswort 3 - CHAP-Passwort 19 - Rückrufnummer 26 - Erweiterungen des Herstellers 40 - Accounting Start/Stop/Update 60 - CHAP Challenge 79 - EAP-Nachricht 10

11 Authentifizierungsprotkolle PAP Benutzername, Passwort und Daten werden im Klartext übertragen. CHAP Benutzername und Passwort werden verschlüsselt übertragen. Nur die Daten werden im Klartext übertragen EAP Protokollfamilie (EPA-TLS,EPA-TTLS,EPA-MD5...) Wird hauptsächlich in größeren WLAN-Installationen verwendet 11

12 Ablauf der Authentifizierung(Reject) RADIUS-Client RADIUS-Server Access Request Access Reject 12

13 Ablauf der Authentifizierung(Accept) RADIUS-Client Access Request RADIUS-Server Access Accept Accounting Request Accounting Response 13

14 Ablauf der Authentifizierung(Challenge) RADIUS-Client Access Request RADIUS-Server Access Challenge Access Request Access Accept Accounting Request Accounting Response 14

15 Proxy RADIUS Anwendung/Motivation Roaming Schritte der Weiterleitung 1. Client sendet access-request zum Proxy 2. Proxy leitet die den access-request zum Remote- Server weiter 3. Der Remote-Server antwortet mit access-accept, access-reject oder access-challenge 4. Der Proxy gibt die Antwort an den Client weiter RADIUS- Client (NAS) Proxy RADIUS RADIUS- Server 15

16 RADIUS Accounting Einführung Paketeigenschaften Authentifizierung RADIUS Accounting Eigenschaften Komponenten Ablauf Request/Response RADIUS Extensions Neue Funktionalitäten Neue Attribute 16

17 Eigenschaften RFCs (beide 2000): 2866 (RADIUS-Accounting) 2869 (RADIUS Extensions) Einsatzgebiet: Sammeln von Verbindungsinformationen Zeit- / Volumenabrechnung Verbindungsdauer Übertragenes Datenvolumen Zugangsstatistiken Wann wird Service genutzt? 17

18 Komponenten Was ist RADIUS-Accounting? Spezieller Satz von RADIUS-Paketen... Accounting-Request Accounting-Response... und dazugehörigen Attributen, z.b. Acct-Status-Type Acct-Output-Octets Acct-Session-Time 18

19 Anfrage RADIUS / RADIUS / Accounting Accounting Request / Request / Acct-Status-Type Acct-Status-Type = Accounting-On = Start (/Off) ISP RADIUS Server Dial-in user NAS Internet Andere Services 19

20 Bestätigung RADIUS / Accounting Response ISP RADIUS Server Dial-in user NAS Internet Andere Services 20

21 Accounting Request code 4 (Accounting-Request) identifier 213 length 33 authenticator nzt#*zh7,g2rc:hq attributes type length value Acct-Status-Type 6 Accounting-on Acct-Session-ID NAS-IP-Address

22 Accounting Response Enthält keine Attribute Nur wenn Request erfolgreich empfangen wurde code 5 (Accounting-Response) identifier 213 length 20 authenticator attributes 236bt3cbnzt1nxzh 22

23 Accounting-Daten senden RADIUS / Accounting Request / ISP RADIUS Server Acct-Status-Type = Stop Acct-Session-Time = Acct-Output-Octets = Acct-Input-Octets = Internet Dial-in user NAS Andere Services 23

24 Accounting-Daten senden (2) ISP RADIUS / Accounting Response RADIUS Server Dial-in user NAS Internet Andere Services 24

25 RADIUS Extensions Zusätzliche Funktionalitäten (u.a.): Interim Accounting Updates Regelmäßige Übertragung von Accounting- Informationen EAP (Extensible Authentication Protocol) Support EAP: erweiterte Familie von Authentifizierungs- Protokollen Beliebige EAP-Authentifizierungsarten können über RADIUS abgewickelt werden RADIUS kann User ablehnen, wenn er sich mit einem für ihn nicht festgelegten Protokoll anmelden will 25

26 Weitere RADIUS-Attribute RFC 2869 definiert ca. 20 neue Attribute, u.a. Acct-Input-Gigawords Erfassung von Datenmengen größer als 2^32 Byte Acct-Interim-Interval Zeitspanne zwischen Accounting-Updates Password-Retry Wie viele Versuche hat der User, um sich korrekt zu authentifizieren EAP-Message Enthält ein EAP-Paket (z.b. EAP-Request / EAP- Response) 26

27 Interim-Accounting-Updates Access-Accept Acct-Interim-Interval = 1800 Zu Beginn der Sitzung NAS Accounting-Request RADIUS Server Alle 1800 Sekunden Acct-Status-Type = Interim-Update Acct-Output-Octets = Server möchte regelmäßig informiert werden Attribut Acct-Interim-Interval an Client Client sendet nach jedem Intervall aktuelle Accounting-Daten Request vom Client hat Attribut Acct-Status-Type mit Wert Interim-Update 27

28 EAP-Support NAS leitet EAP-Pakete an RADIUS- Server weiter EAP-Pakete sind gekapselt in RADIUS-Attribut EAP-Message Alle Beteiligten Entitäten (Client, NAS, RADIUS, RADIUS-Proxy) müssen EAP unterstützen 28

29 29 EAP Client und NAS handeln EAP-Parameter aus NAS PPP Request EAP auth PPP ACK-EAP auth PPP EAP Request / Identity PPP EAP-Response / Identity (MyID)

30 30 EAP NAS setzt sich mit RADIUS-Server in Verbindung RADIUS Access-Request / EAP-Message / EAP-Response / Identity (MyID) NAS RADIUS Server RADIUS Access-Challenge / EAP-Message / EAP-Request OTP / OTP-Challenge

31 EAP NAS fordert Authentifizierung vom Client an PPP EAP-Request OTP / OTP-Challenge NAS PPP EAP-Response OTP / OTPpw 31

32 32 EAP NAS übermittelt RADIUS OTP-Login-Daten NAS RADIUS Server RADIUS Access-Request / EAP-Message / EAP-Response / OTP / OTPpw RADIUS Access-Accept / EAP-Message / EAP-Success

33 EAP NAS leitet Freigabe an Client weiter PPP EAP-Success NAS 33

34 Fazit - RADIUS Heute in großen Netzwerkumgebungen nahezu unverzichtbar Bietet Flexibilität für verschiedenste Anforderungen Sowohl kommerzielle als auch Open- Source-Implementierungen Gewinnt mit der Ausbreitung mobiler Anwendungen weiter an Bedeutung Geplanter Nachfolger - DIAMETER 34

35 Quellen [1] RFC 2865, [2] RFC 2866, [3] RFC 2869, [4] IX 6/05, S. 112ff [5] eap_artikel_revised_de_rev2.pdf Bildmaterial: Apple Computer, 35