Als je wel eens van RADIUS-servers en authenticatie hebt gehoord, vraag je je misschien af: wat is RADIUS? RADIUS-clients en -servers zijn belangrijke tools voor authenticatie, dus het is belangrijk om te begrijpen wat ze doen, hoe ze werken en waarom ze belangrijk zijn voor oplossingen zoals Foxpass.
Wat is RADIUS?
Remote Authentication Dial-In User Service (RADIUS) is een client-server-netwerkprotocol dat op de applicatielaag draait. Het RADIUS-protocol maakt gebruik van een RADIUS Server en RADIUS Clients.
Een RADIUS-client (of netwerktoegangsserver) is een netwerkapparaat (zoals een VPN-concentrator, router of switch) dat wordt gebruikt om gebruikers te authenticeren.
Een RADIUS Server is een achtergrondproces dat op een UNIX- of Windows-server draait. Hiermee kun je gebruikersprofielen bijhouden in een centrale database. Als je een RADIUS Server hebt, heb je controle over wie er verbinding kan maken met je netwerk.
Wanneer een gebruiker verbinding probeert te maken met een RADIUS Client, stuurt de Client verzoeken naar de RADIUS Server. De gebruiker kan alleen verbinding maken met de RADIUS Client als de RADIUS Server de gebruiker authenticeert en autoriseert.
De werking van de RADIUS Server hangt af van de precieze aard van het RADIUS-ecosysteem. Alle servers beschikken echter over AAA -mogelijkheden (authenticatie, autorisatie en accounting). In sommige RADIUS-ecosystemen kan een RADIUS Server ook fungeren als proxyclient voor andere RADIUS Servers.
RADIUS-servers geven bedrijven de mogelijkheid om de privacy en beveiliging van hun systeem en hun gebruikers te beschermen. Zo ondersteunen ze het beveiligingsbeheer en helpen ze bij het opstellen van beleid voor serverbeheer.
Hoe werken authenticatie en autorisatie van een RADIUS-server?
Een RADIUS-server ondersteunt verschillende methoden om gebruikers te authenticeren. Authenticatie en autorisatie van de RADIUS Server gaan hand in hand en beginnen meestal wanneer een gebruiker met een gebruikersnaam en wachtwoord verbinding probeert te maken met de RADIUS Client.
Een basisproces voor RADIUS-authenticatie en -autorisatie omvat de volgende stappen:
De RADIUS-client probeert zich te authenticeren bij de RADIUS
Server met gebruikersgegevens (gebruikersnaam en wachtwoord).
De client stuurt een Access-Request-bericht naar de RADIUS-server. Wachtwoorden worden altijd versleuteld in het Access-Request-bericht.
De RADIUS Server leest het gedeelde geheim en zorgt ervoor
dat het Access-Request-bericht afkomstig is van een geautoriseerde Client. Als dat niet zo is, wordt het bericht verwijderd.
Als de client geautoriseerd is, leest de RADIUS Server de gevraagde authenticatiemethode.
Als de gebruikte authenticatiemethode is toegestaan, leest de RADIUS Server de inloggegevens van de gebruiker uit het bericht en vergelijkt deze met de gebruikersdatabase. Als er een overeenkomst is, extraheert de RADIUS Server
aanvullende gebruikersgegevens uit de gebruikersdatabase.
De RADIUS-server controleert nu of er een toegangsbeleid of een profiel is dat overeenkomt met de gebruikersgegevens.
Als er geen overeenkomend beleid is, stuurt de server een Access-Reject-bericht. De RADIUS-transactie wordt beëindigd en de gebruiker krijgt geen toegang tot het systeem.
Als er een overeenkomend beleid is, stuurt de RADIUS Server een Access-Accept-bericht naar het apparaat.
Het Access-Accept-bericht bestaat uit een gedeeld geheim en een Filter ID-attribuut. Als het gedeelde geheim niet overeenkomt, wijst de RADIUS Client het bericht af.
Als het gedeelde geheim overeenkomt, leest de Client de waarde van het attribuut Filter ID. De filter-ID is een tekenreeks. De RADIUS-client verbindt de gebruiker met een specifieke RADIUS
Groep die deze Filter ID gebruikt. (Een RADIUS-groep is een groep gebruikers die dezelfde FilterID-waarde hebben, waardoor het makkelijker is om gebruikers in functionele groepen in te delen, zoals Sales, Networking, HR, IT, enz.)
De gebruiker is nu eindelijk geauthenticeerd en geautoriseerd en krijgt toegang tot de RADIUS Client.
Dit gebeurt in een fractie van een seconde en biedt alle goedgekeurde gebruikers snelle en veilige netwerktoegang.
Hoe werkt de accounting voor de RADIUS Server / RADIUS-authenticatie?
RADIUS-servers worden ook gebruikt voor boekhoudkundige doeleinden door gegevens te verzamelen voor netwerkmonitoring, facturering of statistische doeleinden. Het boekhoudproces begint doorgaans wanneer de gebruiker toegang krijgt tot de RADIUS Server. RADIUS-accounting kan echter ook onafhankelijk van RADIUS-authenticatie en -autorisatie worden gebruikt.
Een basisproces voor RADIUS-accounting omvat de volgende stappen:
Het proces begint wanneer de gebruiker toegang krijgt tot de RADIUS-server.
De RADIUS Client stuurt een RADIUS Accounting-Request-pakket, bekend als Accounting Start, naar de RADIUS Server. Het aanvraagpakket omvat de gebruikers-ID, het netwerkadres, de sessie-id en het toegangspunt.
Tijdens de sessie kan de client extra Accounting-Request-pakketten (ook wel Interim Updates genoemd) naar de RADIUS Server sturen. Deze pakketten bevatten details zoals de duur van de huidige sessie en het dataverbruik. Dit pakket dient om de informatie over de sessie van de gebruiker bij te werken op de RADIUS-server.
Zodra de toegang van de gebruiker tot de RADIUS Server eindigt, stuurt de RADIUS Client nog een Accounting-Request-pakket (bekend als Accounting Stop) naar de RADIUS Server. Het pakket bevat informatie zoals de totale tijd, gegevens, overgedragen pakketten, de reden van de verbroken verbinding en andere informatie die relevant is voor de sessie van de gebruiker.
Conclusie
Een RADIUS-server beschermt de privégegevens van je organisatie en voorkomt dat deze uitlekken naar nieuwsgierige buitenstaanders. Daarnaast biedt het eenvoudige afschrijvingsmogelijkheden, kunnen individuele gebruikers unieke netwerkmachtigingen krijgen toegewezen en kan het zonder noemenswaardige wijzigingen in je bestaande systeem worden geïntegreerd. Dit alles en meer maakt het een waardevolle tool voor authenticatie, toegang en beveiliging.
De toepassingen en voordelen van RADIUS-servers zijn breed inzetbaar, van beveiliging en eenvoudig beheer tot het implementeren van rolgebaseerde toegangscontrole. Dus als je een RADIUS-ecosysteem eenvoudig in je huidige systeem wilt integreren, neem dan vandaag nog contact op met Foxpass en ontdek wat onze in de cloud gehoste RADIUS en LDAP voor je kunnen doen.
Wi-Fi is een handelsmerk van Wi-Fi Alliance®
