Definition Was ist RADIUS?

Der Remote Authentication Dial-In User Service (RADIUS) sorgt bei der Einwahl in ein Dial-In-Netzwerk oder beim Layer-2-Zugang zu einem LAN oder WLAN für die Authentifizierung und Autorisierung der User oder Geräte. Eine zentrale Rolle übernimmt der RADIUS-Server. Über den Remote Authentication Dial-In User Service ist auch das Accounting der genutzten Services möglich.

Anbieter zum Thema

Dell GmbH

ICP Deutschland GmbH

Southern Tech GmbH

RADIUS steht für Remote Authentication Dial-In User Service. Es handelt sich um einen in mehreren RFCs standardisierten Triple-A-Service (AAA: Authentifizierung, Autorisierung, Accounting) für User oder Geräte bei der Einwahl in Dial-In-Netzwerke oder beim Layer-2-Zugang zu einem LAN oder WLAN. Die maßgeblichen RFCs des Client-Server-Protokolls sind die RFCs 2865, 2866, 2867, 2868 und 2869.

Für den LAN- und WLAN-Zugang ist der Standard IEEE 802.1X vorgesehen, der die Nutzung eines RADIUS-Servers beschreibt. Für die Authentifizierung lassen sich Benutzernamen und Passwörter und andere Faktoren wie Security-Token verwenden. Bei der Autorisierung werden dem Einwahl-User die gewährten Rechte zugeteilt. Über das Accounting lassen sich Nutzungsinformationen wie übertragene Datenvolumina oder Einwahlminuten sammeln und für Abrechnungszwecke bereitstellen. Ein teilweise mit dem Remote Authentication Dial-In User Service kompatibles Nachfolgeprotokoll für Authentifizierung, Autorisierung und Accounting ist Diameter.

Die prinzipielle Funktionsweise des Remote Authentication Dial-In User Service

Bei der Einwahl oder beim Zugang zu einem Netzwerk mit RADIUS sind drei Funktionskomponenten beteiligt. Diese Funktionskomponenten sind:

• der Client, auch als Supplicant oder Antragsteller bezeichnet

• der Authenticator, auch als Unterhändler bezeichnet

• der RADIUS-Server, auch als Authentication-Server bezeichnet

Die Einwahl wird von einem Client initiiert und der Einwahlwunsch in Form eines Access-Request-Pakets an einen Authenticator (im WLAN beispielsweise ein Accesspoint) übertragen. Der Authenticator agiert als Unterhändler und reicht das Access-Request-Paket über eine Netzwerkverbindung an den für ihn zuständigen RADIUS-Server weiter.

Dieser Authentication-Server hat entweder selbst eine Datenbank mit den Benutzerkennungen und Benutzerrechten oder kann eine Verbindung zu einer solchen Datenbank herstellen. Abhängig vom Ergebnis der Prüfung des Einwahlwunschs antwortet er dem Authenticator mit einem Access-Reject oder mit einem Access-Accept und weiteren Zugangsparametern wie Up- und Downloadbandbreiten oder Servicekennungen. Der Authenticator schaltet den Client für den Zugang zum Netzwerk frei oder verweigert ihm den Zugang. Zusätzlich weist er ihm Bandbreiten und weitere Verbindungsparameter zu.

Vorteile des Remote Authentication Dial-In User Service

Der Einsatz von RADIUS bietet den Vorteil, dass sich für jeden Client individuelle Zugangskennungen und Zugangsparameter an einer zentralen Stelle vorhalten und verwalten lassen. Durch ein allgemeingültiges Passwort verursachte Sicherheitsrisiken beim Zugang zu einem Netzwerk lassen sich vermeiden. Der sich einwählende User benötigt keine Kenntnis über den Standort und die Netzwerkadressen des RADIUS-Servers. Der Authenticator übernimmt die Weiterleitung des Einwahlwunschs und sorgt abhängig vom Prüfungsergebnis des Remote Authentication Dial-In User Service für die Freischaltung oder für die Verweigerung des Zugangs zum Netzwerk. Das Accounting der in Anspruch genommenen Leistungen wird vereinfacht, da sich die Nutzungsdaten an zentraler Stelle sammeln und für die Abrechnung der Leistungen bereithalten lassen.

Nachteile des Remote Authentication Dial-In User Service

Ein Nachteil des Remote Authentication Dial-In User Service ist, dass eine Störung des Authentication-Servers große Auswirkungen hat, da sämtliche Einwahlversuche in ein Netzwerk oder Teilnetz vom Ausfall betroffen sind. Der Remote Authentication Dial-In User Service ist in sensiblen Bereichen daher redundant und mit hoher Verfügbarkeit bereitzustellen.

Da es sich bei dem Remote Authentication Dial-In User Service um eine sicherheitskritische Netzwerkkomponente handelt, sind zudem besondere Schutzmaßnahmen vorzusehen. Die Server sollten sich beispielsweise hinter Firewalls befinden, die nur Einwahlanfragen zum Server durchlassen. Die Administration ist über abgeschottete Administrationsnetzwerke zu realisieren.

(ID:47969373)