Проверка подлинности RADIUS, авторизация и учет

Заметка

Служба проверки подлинности Интернета (IAS) была переименована в сервер политики сети (NPS) начиная с Windows Server 2008. Содержимое этого раздела относится как к IAS, так и к NPS. В тексте NPS используется для ссылки на все версии службы, включая версии, которые первоначально называются IAS.

 

NPS полностью поддерживает протокол RADIUS (далекая аутентификация и служба удаленного доступа). Протокол RADIUS является де-факто стандартом для удаленной проверки подлинности пользователей и задокументирован в RFC 2865 и RFC 2866.

Проверка подлинности и авторизация RADIUS

На следующей схеме показан клиент в процессе аутентификации, подключающийся к серверу доступа к сети (NAS) через коммутируемое подключение, используя протокол "точка-точка" (PPP). Для проверки подлинности пользователя NAS обращается к удаленному серверу под управлением NPS. NAS и сервер NPS взаимодействуют с помощью протокола RADIUS.

NAS работает как клиент сервера или серверов, поддерживающих протокол RADIUS. Серверы, поддерживающие протокол RADIUS, обычно называются серверами RADIUS. Клиент RADIUS, то есть сетевой сервер доступа (NAS), передает сведения о пользователе на назначенные серверы RADIUS, а затем действует на основе ответа, который возвращают серверы. Запрос, отправленный NAS на сервер RADIUS для проверки подлинности пользователя, обычно называется "запросом проверки подлинности".

Если сервер RADIUS успешно аутентифицирует пользователя, сервер RADIUS возвращает сведения о конфигурации в NAS, чтобы он мог предоставить пользователю сетевые услуги. Эта информация о конфигурации состоит из "разрешений" и содержит, среди прочего, тип услуги, которую NAS может предоставлять Пользователю (например, PPP или telnet).

Хотя сервер RADIUS обрабатывает запрос проверки подлинности, он может выполнять такие функции авторизации, как проверка номера телефона пользователя и проверка того, есть ли у пользователя сеанс. Сервер RADIUS может определить, есть ли у пользователя уже сеанс, связываясь с сервером состояния.

Дополнительные сведения о проверке подлинности и авторизации RADIUS см. в RFC 2865.

Учетные данные RADIUS

Сервер RADIUS также собирает различные сведения, отправленные NAS, которые можно использовать для учета и отчетности о сетевой активности. Клиент RADIUS отправляет сведения на назначенные серверы RADIUS при входе пользователя и выходе из системы. Клиент RADIUS может периодически отправлять дополнительные сведения об использовании во время выполнения сеанса. Запросы, отправленные клиентом на сервер для записи входа в систему или выхода и сведения об использовании, обычно называются "запросами на учет".

Дополнительные сведения об учете RADIUS см. в RFC 2866.

Прокси-сервер RADIUS

Сервер RADIUS может выступать в качестве прокси-клиента на других серверах RADIUS. В таких случаях сервер RADIUS, к которому обращается NAS, передает запрос проверки подлинности или учета другому серверу RADIUS, который фактически выполняет проверку подлинности или задачу учета.

Связанные разделы

служба проверки подлинности в Интернете и сервер политики сети

пакеты учета RADIUS

работа с сервером состояний