# RADIUS 认证服务器

## RADIUS 协议概述

RADIUS（Remote Authentication Dial-In User Service）是 WiFi 企业网络的核心认证基础设施，定义了客户端（NAS/AP）与认证服务器之间的通信协议。

### 协议基础

| 属性 | 值 |
|------|-----|
| 传输协议 | UDP |
| 认证端口 | 1812 (或传统的 1645) |
| 计费端口 | 1813 (或传统的 1646) |
| 加密方式 | MD5-based（仅部分字段加密） |

### RADIUS 消息类型

| Type | 名称 | 方向 | 说明 |
|------|------|------|------|
| 1 | Access-Request | NAS→Server | 认证请求 |
| 2 | Access-Accept | Server→NAS | 认证成功 |
| 3 | Access-Reject | Server→NAS | 认证失败 |
| 4 | Accounting-Request | NAS→Server | 计费记录 |
| 5 | Accounting-Response | Server→NAS | 计费响应 |
| 7 | CoA-Request | Server→NAS | 变更授权（动态策略） |
| 28 | Disconnect-Request | Server→NAS | 强制断开用户 |

## RADIUS 属性系统

RADIUS 使用类型-长度-值（TLV）格式的属性传递信息：

```
┌──────────┬──────────┬──────────────┐
│ Type (1) │ Length (1)│ Value (var)  │
└──────────┴──────────┴──────────────┘
```

### WiFi 认证关键属性

| Attribute | Type | 说明 |
|-----------|------|------|
| User-Name | 1 | 用户名 |
| User-Password | 2 | 密码（加密） |
| NAS-IP-Address | 4 | AP 的 IP 地址 |
| NAS-Identifier | 32 | AP 的名称/ID |
| Called-Station-ID | 34 | AP 的 BSSID (目标) |
| Calling-Station-ID | 37 | STA 的 MAC 地址 (源) |
| EAP-Message | 79 | EAP 载荷（分片传输） |
| Message-Authenticator | 80 | 防重放/完整性校验 |

### WiFi 密钥分发属性

WPA/WPA2 Enterprise 需要 RADIUS 传递密钥材料：

```
MSK (Master Session Key) = 64 bytes
PMK (Pairwise Master Key) = MSK[0:32]

RADIUS 不直接发送 MSK，而是通过 vendor-specific attributes:

Microsoft:
  EAP-MPPE-Keys (Vendor-Specific, VendorID=311)
  → 包含 MSK 的加密版本

标准方式:
  RADIUS 使用 Shared Secret 对 MSK 进行加密传输
```

## FreeRADIUS 配置示例

### 基本 sites-enabled 配置

```
authorize {
    preprocess
    chap
    mschap
    suffix "files"    # 本地用户文件
    # suffix "ldap"   # LDAP 集成
    eap {
        if (ok) {
            update control {
                Auth-Type := EAP
            }
        }
    }
}

authenticate {
    Auth-Type PAP {
        pap
    }
    Auth-Type CHAP {
        chap
    }
    Auth-Type MS-CHAP {
        mschap
    }
    eap {
        if (userlock) {
            reject
        }
        if (noop) {
            ok
        }
    }
}

post-auth {
    exec
    logintime
    # 审计日志
}
```

### EAP 配置（eap.conf）

```
eap {
    default_eap_type = tls
    timer_expire = 60
    ignore_unknown_eap_packets = yes

    tls {
        private_key_file = ${certdir}/server.key
        certificate_file = ${certdir}/server.crt
        CA_file = ${certdir}/ca.crt
        cipher_suite = "DEFAULT:!aNULL:!eNULL:!3DES:!RC4"
        tls_version_min = "1.2"
    }

    ttls {
        default_eap_type = mschapv2
    }

    peap {
        default_eap_type = mschapv2
    }
}
```

## RADIUS 高可用架构

### 负载均衡与故障转移

```
                    ┌──────────┐
                    │ Load     │
         AP们 ─────→│ Balancer │
                    └────┬─────┘
                         │
                  ┌──────┴──────┐
                  ▼             ▼
            RADIUS-1       RADIUS-2
           (Primary)      (Secondary)
                  │             │
                  ▼             ▼
              SQL/LDAP Database

配置:
- AP 配置多个 RADIUS 服务器（主+备）
- 主服务器无响应 → 自动切换到备用
- 共享用户数据库确保一致性
```

### WLC 上的 RADIUS 配置示例

```
primary key radius-server identifier RADIUS1 ip-address 10.0.1.10 auth-port 1812 acct-port 1813
secondary key radius-server identifier RADIUS2 ip-address 10.0.1.11 auth-port 1812 acct-port 1813

wlan 1
  security dot1x authentication primary server-group RADIUS-GROUP
  security dot1x authentication fallback server-group RADIUS-BACKUP
```

## RADIUS 安全最佳实践

| 措施 | 说明 |
|------|------|
| 使用强 Shared Secret | ≥32 字符，每个 NAS 独立密钥 |
| 启用 Message-Authenticator | 防止重放和篡改攻击 |
| IP 白名单 | 只允许已知 AP/WLC 的 IP 连接 |
| RADIUS over TLS (radsec) | RFC 6678，加密整个 RADIUS 交换 |
| 定期审计日志 | 监控异常认证模式 |