Сервер доступа к сети является устройством, которое предоставляет доступ определенного уровня к крупной сети. Сервер доступа к сети, в котором используется инфраструктура RADIUS, также является RADIUS-клиентом и направляет на RADIUS-сервер запросы на подключение и сообщения учета в ходе проверки подлинности, авторизации и учета.
Важно! | |
Клиентские компьютеры, такие как портативные компьютеры с беспроводным подключением и другие компьютеры с клиентскими операционными системами, не являются клиентами RADIUS. Клиенты RADIUS представляют собой серверы сетевого доступа (такие как точки беспроводного доступа, коммутаторы с поддержкой 802.1X, серверы виртуальных частных сетей (VPN), а также серверы удаленного доступа к сети), поскольку они используют протокол RADIUS для взаимодействия с RADIUS-серверами, такими как серверы политики сети. |
Чтобы развернуть сервер политики сети в качестве RADIUS-сервера, RADIUS-прокси или сервера политики защиты доступа к сети, необходимо настроить на этом сервере RADIUS-клиентов.
Примеры RADIUS-клиентов
В качестве примеров сервера доступа к сети можно назвать следующие серверы:
- Серверы сетевого доступа, которые
обеспечивают удаленный доступ к корпоративной сети или Интернету.
Примером такого сервера является компьютер под управлением ОС
Windows Server® 2008, на котором выполняется служба
маршрутизации и удаленного доступа и который обеспечивает
традиционный удаленный доступ либо виртуальную частную сеть для
внутренней сети организации.
- Точки беспроводного доступа, которые
обеспечивают доступ к корпоративной сети на физическом уровне с
использованием беспроводных технологий приема и передачи.
- Коммутаторы, которые обеспечивают доступ к
корпоративной сети на физическом уровне с использованием
традиционных технологий локальной сети, таких как Ethernet.
- RADIUS-прокси, которые перенаправляют запросы
на подключение на RADIUS-серверы, входящие в группу удаленных
RADIUS-серверов, настроенную на RADIUS-прокси.
RADIUS-сообщения запроса доступа
RADIUS-клиенты либо создают RADIUS-сообщения запроса доступа и направляют их RADIUS-прокси или RADIUS-серверу, либо направляют на RADIUS-сервер сообщения запроса доступа, полученные ими от другого RADIUS-клиента.
RADIUS-клиенты не обрабатывают сообщения запроса доступа с использованием проверки подлинности, авторизации и учета. Эти функции выполняются только RADIUS-серверами.
Тем не менее, сервер политики сети можно настроить для работы одновременно в качестве RADIUS-прокси и RADIUS-сервера, чтобы он обрабатывал некоторые сообщения запроса доступа и перенаправлял другие сообщения.
Сервер политики сети в качестве RADIUS-клиента
Сервер политики сети выступает в качестве RADIUS-клиента в том случае, если он настроен как RADIUS-прокси и перенаправляет сообщения запроса доступа на обработку другими RADIUS-серверами. При использовании сервера политики сети в качестве RADIUS-прокси требуется выполнить следующие общие действия по настройке:
- На серверах доступа к сети, таких как точки беспроводного
доступа и VPN-серверы, требуется указать IP-адрес сервера политики
сети, выступающего в качестве прокси, как адрес назначенного
RADIUS-сервера или сервера проверки подлинности. Это позволяет
серверам доступа к сети, которые создают сообщения запроса доступа
на основе сведений, полученных от клиентов доступа, перенаправлять
сообщения на данный сервер политики сети.
- Сервер политики, играющий роль прокси, настраивается путем
добавления каждого из серверов доступа к сети в качестве
RADIUS-клиента. Это действие позволяет серверу политики сети
получать сообщения от серверов доступа к сети и взаимодействовать с
ними с использованием проверки подлинности. В дополнение к этому
требуется настроить на сервере политики сети политики запросов на
подключение, которые будут определять, какие сообщения запроса
доступа должны перенаправляться на один или несколько
RADIUS-серверов. В этих политиках также указывается группа
удаленных RADIUS-серверов, в которую сервер политики сети должен
направлять сообщения, полученные от серверов доступа к сети.
- На серверах политики сети или других RADIUS-серверах группы
удаленных RADIUS-серверов, которая настроена на сервере политики
сети, выступающем в качестве прокси, настраивается получение
сообщений от этого сервера политики сети. Данное действие
выполняется путем настройки сервера политики серверов, действующего
как прокси, в качестве RADIUS-клиента.
Свойства RADIUS-клиента
При добавлении RADIUS-клиента в конфигурацию сервера политики сети с помощью оснастки сервера политики сети или с помощью команд netsh для сервера политики сети, на данном сервере настраивается получение RADIUS-сообщений запроса доступа от сервера доступа к сети или от RADIUS-прокси.
При настройке RADIUS-клиента на сервере политики сети можно указать значения следующих свойств:
- Имя клиента
Понятное имя RADIUS-клиента, которое упрощает работу с ним в оснастке сервера политики сети или в командах netsh для сервера политики сети.
- IP-адрес
IPv4-адрес DNS-имени RADIUS-клиента.
- Клиент-поставщик
Поставщик данного RADIUS-клиента. Для свойства "Клиент-поставщик" также можно использовать стандартное значение RADIUS.
- Общий секрет
Текстовая строка, которая используется в качестве пароля при взаимодействии RADIUS-клиентов, RADIUS-серверов и RADIUS-прокси. Если используется атрибут проверки подлинности сообщения, общий секрет также служит в качестве ключа для шифрования RADIUS-сообщений. Эта строка должна быть настроена в RADIUS-клиенте и в оснастке сервера политики сети.
- Атрибут проверки подлинности сообщения
Этот атрибут описан в документе RFC 2869 под названием "Расширения RADIUS"», он представляет собой MD5-хэш всего RADIUS-сообщения. При наличии проверки подлинности RADIUS-сообщения оно проверяется. Если проверка этого RADIUS-сообщения завершает неудачей, сообщение отклоняется. Если в соответствии с параметрами клиента атрибут проверки подлинности сообщения должен присутствовать, однако он отсутствует, данное RADIUS-сообщение отклоняется. Рекомендуется использовать атрибут проверки подлинности сообщения.
Примечание Атрибут проверки подлинности является обязательным и включен по умолчанию при использовании проверки подлинности по протоколу EAP.
- На клиенте поддерживается защита доступа к
сети
Указание на то, что данный RADIUS-клиент поддерживает защиту доступа к сети, и сервер политики сети отправляет атрибуты защиты доступа к сети для RADIUS-клиента в сообщении разрешения доступа.