22、Linux 中的 RADIUS 服务与负载均衡技术

Linux 中的 RADIUS 服务与负载均衡技术

1. RADIUS 服务中的 EAP - TLS 认证配置

1.1 EAP - TLS 认证原理

EAP - TLS 是一种利用证书在 RADIUS 内证明身份并提供认证服务的方法。它是对 RADIUS 传统用户 ID/密码交换方式的扩展。在大多数公司场景中，EAP - TLS 通常与 802.1x 协议配合使用，用于控制网络访问，如无线 SSID 或有线以太网端口的访问。

从协议角度看，EAP - TLS 的信息交换与使用证书的 Web 服务器示例类似，但为双向交换，具体流程如下：
- 客户端（或请求者）使用用户或设备证书而非用户 ID 和密码，向 RADIUS 发送身份信息。RADIUS 服务器根据此信息及相关规则验证请求者身份，并决定是否允许访问。
- 同时，请求者以相同方式验证 RADIUS 服务器的身份，确保服务器名称与证书中的通用名称（CN）匹配且证书受信任，防止恶意 RADIUS 服务器部署。
- 双方完成相互认证后，请求者与网络设备（如交换机、WAP 或无线控制器）建立网络连接。

1.2 注意事项

• 所有必需的证书需提前分发，即 RADIUS 服务器要安装证书，请求者要安装设备证书和/或用户证书。
• 设备、用户和 RADIUS 服务器需信任 CA，通常使用私有 CA 完成此操作。
• 认证过程中，请求者和 RADIUS 服务器均不与 CA 通信。

1.3 无线控制器上的 EAP - TLS 配置

许多公司将 EAP - TLS