33、RADIUS技术全面解析：功能、应用与安全策略

RADIUS技术全面解析：功能、应用与安全策略

1. RADIUS架构与通信机制

在企业网络中，RADIUS（远程认证拨号用户服务）服务器的部署方式多样。在每个远程站点可设置一个或多个RADIUS服务器，它们将LDAP查询代理到中央LDAP数据库。具体通信机制如下：
- EAP通信 ：请求者（如Wi-Fi客户端）与RADIUS服务器之间的EAP（可扩展认证协议）通信是本地的。
- LDAP查询 ：RADIUS服务器与集中式LDAP数据库之间的LDAP查询通过广域网（WAN）链路进行。
- LDAP缓存 ：RADIUS服务器可选择对LDAP凭证进行本地缓存。

这种设计虽成本较高，但灵活性更强。由于EAP认证交换是本地的，只有LDAP查询通过WAN链路，因此对漫游影响的延迟问题不太普遍。不过，若WAN链路中断，新的无线用户将无法认证，也就无法访问WLAN。不过，部分RADIUS服务器在用户首次认证后可本地缓存LDAP凭证。当WAN链路中断时，服务器会先尝试查询中央LDAP服务器，最终会使用本地缓存的凭证；链路恢复后，又会重新查询中央数据库。但在链路中断前未认证的新用户仍无法访问WLAN。

2. RADIUS代理

RADIUS服务器还可设置为将认证请求代理到其他RADIUS服务器，需注意与前面提到的RADIUS到LDAP的代理认证区分。以下是设置RADIUS代理的常见场景及操作：
- 场景一 ：供应商的RADIUS解决方案要求将作为认证器的接入点（AP）的IP地址逐个配置，