注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

zjc的博客

技术积累

 
 
 

日志

 
 

Radius协议  

2009-09-22 16:17:28|  分类: 业务应用 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

 

RADIUS数据包是被封装在UDP的数据域中的。

RADIUS的包数据格式如下所示,各域(Fields)的先后次序是从左到右。

    0                   1                   2                   3

    0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |     Code      |  Identifier   |            Length             |

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |                                                               |

   |                         Authenticator                         |

   |                                                               |

   |                                                               |

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |  Attributes ...

   +-+-+-+-+-+-+-+-+-+-+-+-+-

Code

Code域有一个字节长度,用来标示RADIUS通信包的类型。当收到一个非法的包类型,将被丢弃。

Code可代表如下类型(十进制):

1       Access-Request

        2       Access-Accept

        3       Access-Reject

        4       Accounting-Request

        5       Accounting-Response

       11       Access-Challenge

       12       Status-Server (experimental)

       13       Status-Client (experimental)

      255       Reserved

Identifier

Identifier有一个字节长度,用来匹配RADIUS的请求和应答。

Length

Length有2个字节长度,它标明整个RADIUS数据包的长度,包括:Code, Identifier, Length, Authenticator 和Attributes。Length的最小值为20,最大值为4096。RADIUS的应用程序将丢弃小于20的包;对大于4096的包将把超出部分丢弃,只处理有效部分(超出部分被认为是填充域)。

Authenticator

Authenticator域有16个字节。这个域用来完成安全性检查,所以是非常重要的。Authenticator的作用有两个,一个是验证从RADIUS服务器返回的应答;另一个是为对口令部分加密算法做参数。

有两种Authenticator:

1)          Request Authenticator

出现在通信包“Access-Request”中,是长度为16字节的随机二进制串。格式为:

    0                   1                   2                   3

    0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |     Code      |  Identifier   |            Length             |

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |                                                               |

   |                     Request Authenticator                     |

   |                                                               |

   |                                                               |

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |  Attributes ...

   +-+-+-+-+-+-+-+-+-+-+-+-+-

RADIUS协议建议Request Authenticator应该是不可预测和在整个生命期内是唯一的。这是为了防止攻击者伪装成通信的一方的措施。RADIUS请求方(NAS)用Request Authenticatior加密用户密码;相反,RADIUS服务器则用它来对用户密码,并生成应答包的Authenticator(Response Authenticatior)。如果Request Authenticator不是唯一的话,网络窃听者将可以伪造RADIUS服务器的应答,因为此时Response Authenticator的加密算法有相同的参数(详见下文)。

用户密码部分的加密算法是:

enpassword = password XOR MD5(secret + Request Authenticator)

2)          Response Authenticator

出现在通信包“Access-Accept”、“Access-Reject”、“Access-Challenge”和“Accounting-Response”中。格式为:

    0                   1                   2                   3

    0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |     Code      |  Identifier   |            Length             |

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |                                                               |

   |                     Response Authenticator                    |

   |                                                               |

   |                                                               |

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

   |  Attributes ...

   +-+-+-+-+-+-+-+-+-+-+-+-+-

Response Authenticator产生的算法:

 Response Authenticator =

MD5(Code + Id + Length + Req-Authenticator + Attributes + Secret)

Attributes

RADIUS通信包装载了验证、授权、统计等信息。这些信息都是用Attribute数据结构来表示的。Attributes域包含了0到数个属性描述(Attribute)。

1、 Attribute格式

Attributes域包含了0到数个属性描述(Attribute)。Attribute的基本格式在请求包和应答包中是一样的,各域(Fields)的先后次序是从左到右。

    0                   1                   2

    0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-

   |     Type      |    Length     |  Value ...

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-

Type

Type域长度为一个字节。数值192-223被保留作实验使用;数值224-240被保留作特殊的应用;数值241-255被不建议使用。RADIUS服务器和客户机将可能忽略未知的Type值。被定义的值如下所列:

     #      attribute                               value-type

     -------  ---------------------------      -----------------

          1      User-Name                  string

          2      User-Password              string

          3      CHAP-Password              string

          4      NAS-IP-Address             address

          5      NAS-Port                   string

          6      Service-Type               integer

          7      Framed-Protocol                integer

          8      Framed-IP-Address          address

          9      Framed-IP-Netmask          address

         10      Framed-Routing             integer

         11      Filter-Id                  string

         12      Framed-MTU                 integer

         13      Framed-Compression         integer

         14      Login-IP-Host              address

         15      Login-Service              integer

         16      Login-TCP-Port             integer

         17      (unassigned)

         18      Reply-Message              string

         19      Callback-Number                string

         20      Callback-Id                    string

         21      (unassigned)

         22      Framed-Route               integer

         23      Framed-IPX-Network         integer

         24      State                      string

         25      Class                      string

         26      Vendor-Specific                string

         27      Session-Timeout                integer

         28      Idle-Timeout               integer

         29      Termination-Action         integer

         30      Called-Station-Id          string

         31      Calling-Station-Id         string

         32      NAS-Identifier             string

         33      Proxy-State                    string

         34      Login-LAT-Service          string

         35      Login-LAT-Node             string

         36      Login-LAT-Group                string

         37      Framed-AppleTalk-Link      integer

         38      Framed-AppleTalk-Network   integer

         39      Framed-AppleTalk-Zone      string

 40      Acct-Status-Type           integer

         41      Acct-Delay-Time                integer

         42      Acct-Input-Octets          integer

         43      Acct-Output-Octets         integer

         44      Acct-Session-Id                string

         45      Acct-Authentic             integer

         46      Acct-Session-Time          integer

         47      Acct-Input-Packets         integer

         48      Acct-Output-Packets            integer

         49      Acct-Terminate-Cause       integer

         50      Acct-Multi-Session-Id      string

51                     Acct-Link-Count                integer

         52-59   (unassigned)        

         60      CHAP-Challenge             string

         61      NAS-Port-Type              integer

         62      Port-Limit                 integer

         63      Login-LAT-Port             string

Length

Length域长度为一个字节,标示Attribute的总长度,包括Type、Length和Value域。

Value

Value域长度可以是0到若干个字节,它包含了Attribte规定的值。Value的格式和长度由Type和Length域来决定。

Value有如下四种数据格式:

      string    0-253 octets,does not require termination by an ASCII null.

 

      address   32 bit value, most significant octet first.

 

      integer   32 bit value, most significant octet first.

 

      time      32 bit value, most significant octet first -- seconds

                since 00:00:00 GMT, January 1, 1970.  The standard

                Attributes do not use this data type but it is presented

                here for possible use within Vendor-Specific attributes.

 

2、 Attribute在验证通信包中的要求

下列表格显示各属性(Attribute)在RADIUS验证通信包中的要求:

   Request   Accept   Reject   Challenge   #    Attribute

   1         0        0        0            1   User-Name

   0-1       0        0        0            2   User-Password [注 1]

   0-1       0        0        0            3   CHAP-Password [注 1]

   0-1       0        0        0            4   NAS-IP-Address

   0-1       0        0        0            5   NAS-Port

   0-1       0-1      0        0            6   Service-Type

   0-1       0-1      0        0            7   Framed-Protocol

   0-1       0-1      0        0            8   Framed-IP-Address

   0-1       0-1      0        0            9   Framed-IP-Netmask

   0         0-1      0        0           10   Framed-Routing

   0         0+       0        0           11   Filter-Id

   0         0-1      0        0           12   Framed-MTU

   0+        0+       0        0           13   Framed-Compression

   0+        0+       0        0           14   Login-IP-Host

   0         0-1      0        0           15   Login-Service

   0         0-1      0        0           16   Login-TCP-Port

   0         0+       0+       0+          18   Reply-Message

   0-1       0-1      0        0           19   Callback-Number

   0         0-1      0        0           20   Callback-Id

   0         0+       0        0           22   Framed-Route

   0         0-1      0        0           23   Framed-IPX-Network

   0-1       0-1      0        0-1         24   State

   0         0+       0        0           25   Class

   0+        0+       0        0+          26   Vendor-Specific

   0         0-1      0        0-1         27   Session-Timeout

   0         0-1      0        0-1         28   Idle-Timeout

   0         0-1      0        0           29   Termination-Action

   0-1       0        0        0           30   Called-Station-Id

   0-1       0        0        0           31   Calling-Station-Id

   0-1       0        0        0           32   NAS-Identifier

   0+        0+       0+       0+          33   Proxy-State

   0-1       0-1      0        0           34   Login-LAT-Service

   0-1       0-1      0        0           35   Login-LAT-Node

   0-1       0-1      0        0           36   Login-LAT-Group

   0         0-1      0        0           37   Framed-AppleTalk-Link

   0         0+       0        0           38   Framed-AppleTalk-Network

   0         0-1      0        0           39   Framed-AppleTalk-Zone

   0-1       0        0        0           60   CHAP-Challenge

   0-1       0        0        0           61   NAS-Port-Type

   0-1       0-1      0        0           62   Port-Limit

   0-1       0-1      0        0           63   Login-LAT-Port

注1:在Access-Request中,只能且必须包含User-Password与CHAP-Password两者其中一个。

上表中数字代表的意义是:

    0     这个属性必须不出现在通信包中。

    0+    此属性可能有0或多个出现在通信包中。

    0-1   此属性只能有0个或一个出现在通信包中。

    1     此属性必须有一个出现在通信包中。

3、 Attribute在统计通信包中的要求

RADIUS协议规范中,在Account-Response通信包不应该有任何属性(Attribute)。下列表格显示各属性在RADIUS统计通信包Accounting-Request中的要求:

 

                      #     Attribute

                      0-1   User-Name

                      0     User-Password

                      0     CHAP-Password

                      0-1   NAS-IP-Address [注 1]

                      0-1   NAS-Port

                      0-1   Service-Type

                      0-1   Framed-Protocol

                      0-1   Framed-IP-Address

                      0-1   Framed-IP-Netmask

                      0-1   Framed-Routing

                      0+    Filter-Id

                      0-1   Framed-MTU

                      0+    Framed-Compression

                      0+    Login-IP-Host

                      0-1   Login-Service

                      0-1   Login-TCP-Port

                      0     Reply-Message

                      0-1   Callback-Number

                      0-1   Callback-Id

                      0+    Framed-Route

                      0-1   Framed-IPX-Network

                      0     State

                      0+    Class

                      0+    Vendor-Specific

                      0-1   Session-Timeout

                      0-1   Idle-Timeout

                      0-1   Termination-Action

                      0-1   Called-Station-Id

                      0-1   Calling-Station-Id

                      0-1   NAS-Identifier [注 1]

                      0+    Proxy-State

                      0-1   Login-LAT-Service

                      0-1   Login-LAT-Node

                      0-1   Login-LAT-Group

                      0-1   Framed-AppleTalk-Link

                      0-1   Framed-AppleTalk-Network

                      0-1   Framed-AppleTalk-Zone

                      1     Acct-Status-Type

                      0-1   Acct-Delay-Time

                      0-1   Acct-Input-Octets

                      0-1   Acct-Output-Octets

                      1     Acct-Session-Id

                      0-1   Acct-Authentic

                      0-1   Acct-Session-Time

                      0-1   Acct-Input-Packets

                      0-1   Acct-Output-Packets

                      0-1   Acct-Terminate-Cause

                      0+    Acct-Multi-Session-Id

                      0+    Acct-Link-Count

                      0     CHAP-Challenge

                      0-1   NAS-Port-Type

                      0-1   Port-Limit

                      0-1   Login-LAT-Port

注 1:在Accounting-Request通信包中,必须包含NAS-IP-Address或NAS-Identifer中的一个,也可以同时包含两者,但不建议。

上表中数字代表的意义是:

    0     这个属性必须不出现在通信包中。

    0+    此属性可能有0或多个出现在通信包中。

    0-1   此属性只能有0个或一个出现在通信包中。

    1     此属性必须有一个出现在通信包中。

  评论这张
 
阅读(642)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017