什麼是 RADIUS 驗證？運作方式與採用原因
Published
RADIUS 驗證使用中央伺服器來決定使用者或裝置是否可以加入網路，以及進入後可以執行哪些操作，因此基地台會詢問該伺服器，而非檢查自己的密碼清單。但是，如果登入成功，誰來決定該裝置是否可以存取員工系統、僅使用訪客網際網路存取，或是保持無限期連線？
這就是簡單的密碼檢查說明所忽略的部分。RADIUS 也是一個原則通道：網路設備會收到有關如何處理連線的指示，而不僅僅是是否允許連線。
目錄
- RADIUS 的意義及其建立原因
- RADIUS 登入運作方式逐步說明
- EAP-TLS 與強效裝置身份驗證證書
- 決定網路存取權限的 RADIUS 屬性
- 常見的 RADIUS 使用案例與各案例判定的存取權限
- 應避免的限制與常見誤解
- 評估 RADIUS 是否適合您的網路
RADIUS 的意義與建立原因
RADIUS 代表 遠端使用者撥接認證服務 (Remote Authentication Dial-In User Service)。從技術上來說，它是一種通訊協定，即一套用於交換訊息的共享規則，而非伺服器本身。RADIUS 伺服器會實作這些規則並做出存取決策。
設想一個擁有無線基地台、辦公室交換器和遠端存取閘道的組織。如果每台裝置都各自維護自己的憑證，那麼每當有人加入或離職時，管理員就必須更新獨立的清單。將這些決策集中化，可以為設備提供一個共同的詢問管道。
該問題早於企業 WiFi 出現。根據 RADIUS 歷史，Livingston Enterprises 於 1991 年開發了此通訊協定，以回應 Merit Network 提出與控制早期網際網路骨幹 NSFNET 存取相關的要求。撥接伺服器可以諮詢共用的驗證伺服器，而不必維護獨立的憑證。
共用的訪客清單
想像一個有多個入口的場地。每個門口都有名保全，但每位保全都會查閱同一份賓客名單。該名單還可以區分普通入場與後台存取權限，同時場地會記錄誰進出過。
RADIUS 將這些職責拆分為 AAA：
- 身分驗證確定使用者或裝置的身分。
- 授權決定其可以使用哪些服務與網路資源。
- 計帳記錄會話活動，包含連線與斷線事件。
圖示說明了請求存取的裝置與決定是否允許存取的伺服器之間的區別。
執行結果的設備稱為網路存取伺服器（即 NAS）。儘管名稱如此，它可能是基地台、交換器、無線控制器或虛擬私人網路閘道。
對於協調實體連線與身份控制項的團隊而言，Southern Tier Resources 的 寬頻部署與維護 是相關的基礎架構資源。請保持職責分明：安裝與維護連線能力與定義誰可以使用連線能力並非相同的任務。
RADIUS 在企業 WiFi、遠端存取與有線連接埠安全性中仍是根本基礎，因為管理員可以將身份判斷與執行這些判斷的設備分開，同時跨廠商使用通用協定。
RADIUS 登入運作方式 - 按部就班指南
首先區分參與者：
- 端點或申請者（supplicant）是指請求存取的筆記型電腦、手機或驗證軟體。
- 驗證者（authenticator）是指控制連線的 NAS。
- 驗證伺服器是指評估身分與策略的 RADIUS 伺服器。
這裡有一個命名陷阱。在通訊協定文件中，RADIUS 用戶端通常是指 NAS，而不是員工的筆記型電腦。筆記型電腦則是嘗試連線的端點。
此圖表提供這些角色的簡化概覽。
追蹤請求與回應流程
對於傳統的 UDP 部署，Wireshark RADIUS 參考資料 指出 UDP 1812 用於驗證和授權，而 UDP 1813 用於計費。UDP（使用者資料報通訊協定）負責攜帶單一網路訊息，無須建立持久的傳輸連線。
終端要求存取。 例如，筆記型電腦連線至企業 WiFi，認證驗證器便會開始進行身分交換。在身份驗證進行期間，一般的網路存取仍受控管。
NAS 傳送 Access-Request。 它會將身份驗證資訊與連線上下文轉發至 RADIUS 身份驗證終端。此要求會識別尋求存取的人員或裝置，以及處理該連線的網路設備。
伺服器檢查憑據。 視身份驗證方法而定，伺服器可以查詢目錄、驗證憑證信任或使用權杖服務。目錄是身分資料庫，不一定是 RADIUS 伺服器本身。
質詢延續對話。 當方法需要時，Access-Challenge 會要求進行另一次身份驗證交換。這並不自動代表使用者必須輸入額外的驗證碼。
伺服器傳回決定。 Access-Accept 允許存取，且可包含原則欄位。Access-Reject 則拒絕該次嘗試。
認證驗證器強制執行回應。 它會開啟受控連線並套用支援的指令，例如網路區段配置。在此流程中，NAS 是強制執行伺服器的決定，而非獨立核准身分。
計帳功能記錄連線工作階段。 獨立的訊息會回報連線工作階段開始、定期更新與停止事件。這些記錄有助於管理者區分成功登入與持續保持連線的差異。
疑難排解原則：在變更憑證之前，請先找到最後一次成功的交換紀錄。完全未到達伺服器的要求，與遭拒絕的身分識別屬於不同的問題。
請使用 Wireshark 的 radius 顯示篩選條件或 NAS 驗證記錄檔來追蹤此序列。比對請求、回應與會話上下文；檢查 NAS 是否套用了傳回的原則，而非僅停留在接受訊息處。
若要觀看交換過程的圖解說明，請使用此隨附影片。
EAP-TLS 與憑證，用於實現強大的裝置身分識別
可擴充身份驗證協定（EAP）是用於進行驗證對話的架構。在企業級 WiFi 與有線 802.1X（以連接埠為基礎的存取控制標準）上，驗證者會將該對話轉發至 RADIUS EAP-Message 屬性內部的伺服器。
無線基地台本身不需要實作每種驗證方法。它的工作是中繼交換過程並執行結果。
EAP-TLS 使用傳輸層安全性 (TLS) 搭配憑證進行雙向驗證。裝置證明其擁有憑證的私鑰，同時裝置也會驗證伺服器。RFC Editor 的 EAP 規範 說明了基於憑證的驗證，以及已驗證的身份如何為授權與計帳提供資訊。
圖表顯示了參與該交換過程的端點、存取點及驗證伺服器。
憑證需要指定所有者
憑證會將身分與公開金鑰進行繫結。對應的私密金鑰必須受保護；僅複製憑證檔案並不應該足以冒充該裝置。
與共用密碼的 WiFi 不同，EAP-TLS 不需要共用的員工密碼。然而，它確實需要一個託管的公開金鑰基礎建設（即 PKI）來簽發憑證並維護信任。
將生命週期納入部署規劃中：
- 自動簽發證書。搭配簡單證書註冊協定（SCEP）或支援的註冊連接器，使用行動裝置管理（MDM）。
- 將證書與網路設定檔一併安裝，確保裝置明確知道應信任哪一個伺服器身分。
- 在過期前完成展期，包括長時間不在辦公室的裝置。
- 當裝置遺失、淘汰或存取策略變更時撤銷憑證，並確保驗證服務會檢查撤銷狀態。
- 維護信任儲存庫，亦即裝置中受信賴的憑證授權單位及伺服器驗證設定清單。
若要選擇基於密碼的替代方案，請在選擇上網導引方法之前先比較 EAP-TLS 與 PEAP。
過期的憑證可能導致服務中斷。憑證的 使用者主體別名（SAN）（身分欄位）如果對映錯誤，可能會將裝置關聯至錯誤的策略。無法連線的伺服器或過於寬鬆的後備機制，都可能導致網路中斷或未授權的存取。
強大的裝置身份取決於生命週期管理，而不僅是在設定選單中選擇 EAP-TLS。
RADIUS 決定網路存取權限的屬性
VLAN 配置屬性展示了為何 RADIUS 不僅僅是登入檢查。虛擬區域網路（即 VLAN）是一種邏輯網路區段：員工與訪客可以使用相同的存取基礎設施，同時獲得不同的網路存取權限。
屬性是 RADIUS 訊息中帶有標籤的欄位。它們承載驗證輸入、連線上下文和授權結果；RADIUS 規範 定義了可擴充的屬性機制，讓這些策略交換成為可能。
關鍵 RADIUS 屬性及其控制的項目
這些是範例設定值，而非必要的預設值。訪客工作階段範例旨在表達超時規則，而非規定通用的持續時間。
| 屬性 | 攜帶內容 | 範例值 | 對存取的影響 |
|---|---|---|---|
| User-Name | 提供的身分 | jsmith@example.com | 識別適用哪位使用者的原則 |
| EAP-Message | 驗證交換封包 | EAP-TLS 握手資料 | 攜帶驗證對話 |
| Message-Authenticator | 封包完整性檢查 | HMAC 值 | 在需要且經過驗證時，有助於拒絕偽造的回應 |
| Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID | VLAN 配置 | VLAN、Ethernet、員工 VLAN 識別碼 | 將裝置放置於設定的員工 VLAN |
| Session-Timeout | 最大連線階段持續時間（秒） | 訪客連線階段持續時間轉換為秒 | 結束說明範例中的八小時訪客連線階段 |
| Filter-Id | 裝置本機篩選器或原則的名稱 | guest-limited | 選擇在執行裝置上設定的限制 |
| Calling-Station-Id | 用戶端 MAC 地址 | AA:BB:CC:DD:EE:FF | 將連線階段與回報的裝置地址關聯 |
| NAS-IP-Address 或 NAS-Identifier | 請求連線的網路設備 | ap-floor2 作為 NAS-Identifier | 為特定場地規則提供內容背景 |
| Acct-Session-Id | 計費連線階段識別碼 | 1A2B3C4D | 連結開始、中期與停止紀錄 |
HMAC 代表雜湊訊息驗證碼，是一種帶有金鑰的完整性檢查。它不能替代傳輸層的加密。
閱讀此表格時，有幾項差異至關重要。User-Name 識別聲稱的身分，但身分驗證方法提供證明。Calling-Station-Id 提供裝置情境資訊，但僅憑回報的硬體位址本身並非強大的身分證明。
針對 VLAN 配置，請傳送設備預期的完整通道屬性組合。目標 VLAN 必須已經存在且可透過相關網路路徑存取；僅收到其識別碼並不會建立該區段。
Filter-Id 指定了一項原則名稱，而非必然包含限制本身。僅在執行設備支援並正確對映該原則時，頻寬上限才會生效。
Access-Accept 並不能作為預期限制已套用的證明。請在 NAS 上驗證產生的 VLAN、篩選器與工作階段行為。
計費功能新增了稽核軌跡。跨連線事件比對工作階段識別碼，有助於調查人員區分來自同一身分的不同造訪紀錄。
除了屬性之外，也請測試 NAS 定義、共用金鑰、重試以及計費傳送。若身份檢查成功但缺少授權欄位或記錄檔不完整，管理員所能獲得的控制權將遠少於登入結果所呈現的內容。
常見的 RADIUS 使用案例及其決策內容
只要管理員為每個部署定義了正確的驗證方法與原則，共用的 RADIUS 服務即可支援不同的部署。
常見的 RADIUS 部署方式及其決策機制
| 使用案例 | 強制執行裝置 | RADIUS 決定的內容 | 典型方法 |
|---|---|---|---|
| 員工 WiFi | 基地台或控制器 | 允許裝置接入並選擇員工 VLAN | EAP-TLS 或 PEAP-MSCHAPv2 |
| 訪客 WiFi | 具備強制入口的基地台 | 登入後授予存取權並套用工作階段限制 | 網頁登入或 Passpoint/OpenRoaming 設定檔 |
| 遠端 VPN 存取 | VPN 集中器 | 驗證使用者並指派群組原則或位址池 | 密碼搭配一次性驗證碼或 EAP |
| 有線交換器連接埠 | 網路交換器 | 為核准的裝置開啟連接埠並指派 VLAN | EAP-TLS，或針對無 Supplicant 的裝置使用 MAC 身份驗證旁路 |
| 網路裝置管理 | 路由器或交換器登入 | 確認管理員權限並支援計帳；命令層級的控制需要明確的平台支援 | RADIUS 或搭配目錄帳號的 TACACS+ |
PEAP-MSCHAPv2 是一種基於密碼的選項：Protected EAP 會在內部密碼身分驗證方法周圍建立 TLS 管道。這需要仔細的伺服器憑證驗證，且通常是在未部署用戶端憑證時的過渡選擇。
訪客方法解決的是不同的問題。強制入口提供網頁登入頁面，而 Passpoint 與 OpenRoaming 則使用受支援的設定檔與身分安排進行網路發現與身分驗證。這兩種方法都不應暗示具備員工層級的存取權限。
MAC 驗證旁路（MAB）會在裝置無法執行申請者（supplicant）時，檢查該裝置回報的媒體存取控制位址。由於位址可以被複製，請將這些裝置放置於受限的網段中，而不是將此檢查視同憑證驗證。
網路存取與管理員存取的比較
TACACS+（终端訪問控制器控制系統加強版）是另一種常用於設備管理的 AAA 通訊協定。它將身分驗證、授權和計帳分離，適合詳細的管理權限工作流程。
RADIUS 通常會同時傳回驗證與授權。傳統 RADIUS 不會加密整個封包，而 TACACS+ 則會保護其封包主體；這兩種差異都無法免除對安全傳輸與穩健設定的需求。
請從個人存取權最為重要的使用案例開始。對於分散式的員工網路，從 共用密碼轉移至企業驗證的多站點轉移 應包含終端就緒程度、原則對應以及經過測試的回滾路徑。
應避免的限制與迷思
攻擊者將 Access-Reject 竄改為 Access-Accept，揭露了將任何中央驗證服務視為自動安全的弱點。JumpCloud 的 RADIUS 安全指南 說明了當未強制執行 Message-Authenticator 驗證時，路徑上的攻擊者如何利用相符的舊版部署，這也是與 Blast-RADIUS 相關的風險。
傳統 RADIUS 通常使用 UDP 及較舊的 MD5 機制。憑證強度、回應完整性與傳輸保密性是不同的考量：改善其中一項並不會自動修復其他項目。
保護原則交換過程
- 要求針對相關流量進行 Message-Authenticator 驗證（依據原廠最新指引）。確認遺失或無效的值會導致拒絕連線。
- 在支援的環境中使用 TLS 傳輸 RADIUS（亦稱為 RadSec），保護伺服器與 NAS 之間的資料交換。
- 定期輪替共享金鑰並保護其儲存安全，或者在設備支援的情況下，採用基於證書的傳輸信任機制。
- 修補伺服器、交換器、控制器與基地台的軟體漏洞。變更驗證需求後，請務必測試互操作性。
資安檢查點：檢查 NAS 拒絕的內容，而不僅僅是伺服器傳送的內容。
RADIUS 本身也不提供多因素驗證 (或稱 MFA)。身份提供者、一次性代碼工作流程或其他整合機制會提供額外的因素；IETF RADIUS 審查草案 討論了為何通訊協定與營運假設對這些整合依然至關重要。
單憑裝置憑證並不能證明使用者已完成 MFA。裝置驗證是用來確立連線的是哪台帶有憑證的裝置；使用者 MFA 則是建立有關該人員的額外佐證。
最後，停用身份並不代表能普遍終止已經處於活動狀態的連線。必須透過重新驗證、會話終止或支援的授權變更（稱為 CoA）來強制執行該結果。
將 WiFi 存取控制 視為營運系統：撤銷、記錄檔、伺服器可用性及容錯轉移行為皆需要在各據點進行一致的測試。
評估 RADIUS 是否適合您的網路
RADIUS 適合用於存取權限應遵循個人身分與群組策略，而非掌握共用密碼的情況。小型且獨立的網路可能不需要額外的基礎設施，但如果是管理裝置、員工流動，以及區隔訪客或外包廠商權限，這些都是考慮採用的強烈理由。
請根據您需要的控制項目進行選擇，而非依據無線基地台的數量。比起規模大許多的僅限訪客網路，設有敏感員工系統的適中據點可能需要更嚴格的存取決策。
制定切實可行的部署計劃
- 對應存取群組。 記錄員工、訪客、承包商和無人看管裝置應存取的範圍。
- 檢查設備支援。 確認相容的 RADIUS 屬性、企業級驗證、受保護的傳輸和計費行為。
- 選擇註冊管道。 針對受管理的端點使用憑證存取，並為訪客提供合適的入口網站或漫遊設定檔。
- 指派憑證擁有權。 指定負責註冊、更新、信任設定和遺失裝置處理的團隊。
- 定義失敗行為。 決定不可用的驗證服務應阻擋存取，還是允許嚴格限制的備援方案。
- 擴充前先進行測試。 包含被拒絕的身分、不可用的伺服器、原則變更和不完整的計費紀錄。
託管服務是自行維護驗證伺服器的替代方案。我們的 Cloud RADIUS 位於 Purple Access，能依據身分將裝置引導至開放、安全或 xPSK 網路，各裝置皆位於專屬的 VLAN 上，並拒絕帳號已停用的離職者。我們的雲端 RADIUS 合約中包含 99.9% 正常運行時間 SLA。
針對飯店部署，房務、櫃檯與營運人員可以使用 MDM 透過 SCEP 交付的 EAP-TLS 憑證進行驗證、依目錄群組接收 VLAN 配置，並在帳號停用時失去存取權限。
請從具代表性的據點開始。在將設定延伸套用到整個資產之前，請先確認其群組、裝置類型、執行能力與失敗測試。
Purple Access 將託管的 Cloud RADIUS、基於憑證的員工驗證以及身分驅動的 VLAN 策略結合至您現有的存取點上。請造訪 Purple Access，以討論您的使用者群組、裝置上線準備以及第一個據點的實用部署計劃。
