AAA服務(wù)器

RADIUS協(xié)議

協(xié)議概述

RADIUS（Remote Authentication Dial In User Service）協(xié)議是在IETF的RFC2865和2866中定義的。RADIUS 是基于 UDP 的一種客戶機(jī)/服務(wù)器協(xié)議。RADIUS客戶機(jī)是網(wǎng)絡(luò)訪問服務(wù)器，它通常是一個(gè)路由器、交換機(jī)或無線訪問點(diǎn)。RADIUS服務(wù)器通常是在UNIX或Windows 2000服務(wù)器上運(yùn)行的一個(gè)監(jiān)護(hù)程序。RADIUS 協(xié)議的認(rèn)證端口是1812 ，計(jì)費(fèi)端口是1813。

RADIUS協(xié)議的主要特點(diǎn)

概括的來說，RADIUS 的主要特點(diǎn)如下：

1、 客戶/服務(wù)模式(Client/Server)

RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是網(wǎng)絡(luò)接入服務(wù)器NAS（Network Access Server），運(yùn)行在任何硬件上的RADIUS客戶端軟件都可以成為RADIUS的客戶端?？蛻舳说娜蝿?wù)是把用戶信息（用戶名，口令等）傳遞給指定的RADIUS服務(wù)器，并負(fù)責(zé)執(zhí)行返回的響應(yīng)。

RADIUS服務(wù)器負(fù)責(zé)接收用戶的連接請(qǐng)求，對(duì)用戶身份進(jìn)行認(rèn)證，并為客戶端返回所有為用戶提供服務(wù)所必須的配置信息。

一個(gè)RADIUS服務(wù)器可以為其他的RADIUS Server或其他種類認(rèn)證服務(wù)器擔(dān)當(dāng)代理。2、網(wǎng)絡(luò)安全客戶端和RADIUS服務(wù)器之間的交互經(jīng)過了共享保密字的認(rèn)證。另外，為了避免某些人在不安全的網(wǎng)絡(luò)上監(jiān)聽獲取用戶密碼的可能性，在客戶端和RADIUS服務(wù)器之間的任何用戶密碼都是被加密后傳輸?shù)摹?

3、 靈活的認(rèn)證機(jī)制

RADIUS服務(wù)器可以采用多種方式來鑒別用戶的合法性。當(dāng)用戶提供了用戶名和密碼后，RADIUS服務(wù)器可以支持點(diǎn)對(duì)點(diǎn)的PAP認(rèn)證（PPP PAP）、點(diǎn)對(duì)點(diǎn)的CHAP認(rèn)證（PPP CHAP）、UNIX的登錄操作（UNIX Login）和其他認(rèn)證機(jī)制。

4． 擴(kuò)展協(xié)議

所有的交互都包括可變長(zhǎng)度的屬性字段。為滿足實(shí)際需要，用戶可以加入新的屬性值。新屬性的值可以在不中斷已存在協(xié)議執(zhí)行的前提下自行定義新的屬性。

RADIUS的工作過程

RADIUS協(xié)議旨在簡(jiǎn)化認(rèn)證流程。其典型認(rèn)證授權(quán)工作過程是：

1、用戶輸入用戶名、密碼等信息到客戶端或連接到NAS。

2、客戶端或NAS產(chǎn)生一個(gè)“接入請(qǐng)求（Access-Request）”報(bào)文到RADIUS服務(wù)器，其中包括用戶名、口令、客戶端（NAS）ID 和用戶訪問端口的ID?？诹罱?jīng)過MD5算法進(jìn)行加密。

3、RADIUS服務(wù)器對(duì)用戶進(jìn)行認(rèn)證。

4、若認(rèn)證成功，RADIUS服務(wù)器向客戶端或NAS發(fā)送允許接入包（Access-Accept），否則發(fā)送拒絕加接入包（Access-Reject）。

5、若客戶端或NAS接收到允許接入包，則為用戶建立連接，對(duì)用戶進(jìn)行授權(quán)和提供服務(wù)，并轉(zhuǎn)入6；若接收到拒絕接入包，則拒絕用戶的連接請(qǐng)求，結(jié)束協(xié)商過程。

6、客戶端或NAS發(fā)送計(jì)費(fèi)請(qǐng)求包給RADIUS服務(wù)器。

7、RADIUS服務(wù)器接收到計(jì)費(fèi)請(qǐng)求包后開始計(jì)費(fèi)，并向客戶端或NAS回送開始計(jì)費(fèi)響應(yīng)包；

8、用戶斷開連接，客戶端或NAS發(fā)送停止計(jì)費(fèi)包給RADIUS服務(wù)器。

9、RADIUS服務(wù)器接收到停止計(jì)費(fèi)包后停止計(jì)費(fèi)，并向客戶端或NAS回送停止計(jì)費(fèi)響應(yīng)包，完成該用戶一次計(jì)費(fèi)，記錄計(jì)費(fèi)信息。

在移動(dòng)通信系統(tǒng)中，用戶要訪問網(wǎng)絡(luò)資源，首先要進(jìn)行用戶的入網(wǎng)認(rèn)證，這樣用戶才能訪問網(wǎng)絡(luò)資源。鑒別的過程就是驗(yàn)證用戶身份的合法性；鑒別完成后，才能對(duì)用戶訪問網(wǎng)絡(luò)資源進(jìn)行授權(quán)，并對(duì)用戶訪問網(wǎng)絡(luò)資源進(jìn)行計(jì)費(fèi)管理。一般來講，鑒別過程由三個(gè)實(shí)體來完成的。用戶（Client）、認(rèn)證器（Authenticator）、AAA服務(wù)器（Authentication 、Authorization和Accounting Server）。在第三代移動(dòng)通信系統(tǒng)的早期版本中，用戶也稱為MN（移動(dòng)節(jié)點(diǎn)），Authenticator在NAS（Network Access Server）中實(shí)現(xiàn)，它們之間采用PPP協(xié)議，認(rèn)證器和AAA服務(wù)器之間采用AAA協(xié)議（以前的方式采用遠(yuǎn)程訪問撥號(hào)用戶服務(wù)RADIUS（Remote Access Dial up User Service）；Radius（遠(yuǎn)程訪問撥號(hào)接入用戶服務(wù)）英文原意為半徑，原先的目的是為撥號(hào)用戶進(jìn)行鑒別和計(jì)費(fèi)。后來經(jīng)過多次改進(jìn)，形成了一項(xiàng)通用的鑒別計(jì)費(fèi)協(xié)議）。

RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是NAS（Net Access Server）服務(wù)器，任何運(yùn)行RADIUS客戶端軟件的計(jì)算機(jī)都可以成為RADIUS的客戶端。RADIUS協(xié)議認(rèn)證機(jī)制靈活，可以采用PAP、CHAP或者Unix登錄認(rèn)證等多種方式。RADIUS是一種可擴(kuò)展的協(xié)議，它進(jìn)行的全部工作都是基于Attribute-Length-Value的向量進(jìn)行的。RADIUS的基本工作原理是:用戶接入NAS，NAS向RADIUS服務(wù)器使用Access-Require數(shù)據(jù)包提交用戶信息，包括用戶名、密碼等相關(guān)信息，其中用戶密碼是經(jīng)過MD5加密的，雙方使用共享密鑰，這個(gè)密鑰不經(jīng)過網(wǎng)絡(luò)傳播；RADIUS服務(wù)器對(duì)用戶名和密碼的合法性進(jìn)行檢驗(yàn)，必要時(shí)可以提出一個(gè)Challenge，要求進(jìn)一步對(duì)用戶認(rèn)證，也可以對(duì)NAS進(jìn)行類似的認(rèn)證。如果合法，給NAS返回Access-Accept數(shù)據(jù)包，允許用戶進(jìn)行下一步工作，否則返回Access-Reject數(shù)據(jù)包，拒絕用戶訪問；如果允許訪問，NAS向RADIUS服務(wù)器提出計(jì)費(fèi)請(qǐng)求Account-Require，RADIUS服務(wù)器響應(yīng)Account-Accept，對(duì)用戶的計(jì)費(fèi)開始，同時(shí)用戶可以進(jìn)行自己的相關(guān)操作。

RADIUS是最常用的認(rèn)證計(jì)費(fèi)協(xié)議之一，它簡(jiǎn)單安全，易于管理，擴(kuò)展性好，所以得到廣泛應(yīng)用。但是由于協(xié)議本身的缺陷，比如基于UDP的傳輸、簡(jiǎn)單的丟包機(jī)制、沒有關(guān)于重傳的規(guī)定和集中式計(jì)費(fèi)服務(wù)，都使得它不太適應(yīng)當(dāng)前網(wǎng)絡(luò)的發(fā)展，需要進(jìn)一步改進(jìn)。

隨著新的接入技術(shù)的引入（如無線接入、DSL、移動(dòng)IP和以太網(wǎng)）和接入網(wǎng)絡(luò)的快速擴(kuò)容，越來越復(fù)雜的路由器和接入服務(wù)器大量投入使用，對(duì)AAA協(xié)議提出了新的要求，使得傳統(tǒng)的RADIUS結(jié)構(gòu)的缺點(diǎn)日益明顯。3G網(wǎng)絡(luò)正逐步向全I(xiàn)P網(wǎng)絡(luò)演進(jìn)，不僅在核心網(wǎng)絡(luò)使用支持IP的網(wǎng)絡(luò)實(shí)體，在接入網(wǎng)絡(luò)也使用基于IP的技術(shù)，而且移動(dòng)終端也成為可激活的IP客戶端。如在WCDMA當(dāng)前規(guī)劃的R6版本就新增以下特性：UTRAN和CN傳輸增強(qiáng)；無線接口增強(qiáng)；多媒體廣播和多播（MBMS）；數(shù)字權(quán)限管理（DRM）；WLAN-UMTS互通；優(yōu)先業(yè)務(wù)；通用用戶信息（GUP）；網(wǎng)絡(luò)共享；不同網(wǎng)絡(luò)間的互通等。在這樣的網(wǎng)絡(luò)中，移動(dòng)IP將被廣泛使用。支持移動(dòng)IP的終端可以在注冊(cè)的家鄉(xiāng)網(wǎng)絡(luò)中移動(dòng)，或漫游到其他運(yùn)營(yíng)商的網(wǎng)絡(luò)。當(dāng)終端要接入到網(wǎng)絡(luò)，并使用運(yùn)營(yíng)商提供的各項(xiàng)業(yè)務(wù)時(shí)，就需要嚴(yán)格的AAA過程。AAA服務(wù)器要對(duì)移動(dòng)終端進(jìn)行認(rèn)證，授權(quán)允許用戶使用的業(yè)務(wù)，并收集用戶使用資源的情況，以產(chǎn)生計(jì)費(fèi)信息。這就需要采用新一代的AAA協(xié)議——Diameter。此外，在IEEE的無線局域網(wǎng)協(xié)議802.16e的建議草案中，網(wǎng)絡(luò)參考模型里也包含了鑒別和授權(quán)服務(wù)器ASA Server；以支持移動(dòng)臺(tái)在不同基站之間的切換。可見，在未來移動(dòng)通信系統(tǒng)中，AAA服務(wù)器占據(jù)了很重要的位置。

經(jīng)過討論，IETF的AAA工作組同意將Diameter協(xié)議作為下一代的AAA協(xié)議標(biāo)準(zhǔn)。Diameter（為直徑，意為著Diameter協(xié)議是RADIUS協(xié)議的升級(jí)版本）協(xié)議包括基本協(xié)議，NAS（網(wǎng)絡(luò)接入服務(wù)）協(xié)議，EAP（可擴(kuò)展鑒別）協(xié)議，MIP（移動(dòng)IP）協(xié)議，CMS（密碼消息語法）協(xié)議等。Diameter協(xié)議支持移動(dòng)IP、NAS請(qǐng)求和移動(dòng)代理的認(rèn)證、授權(quán)和計(jì)費(fèi)工作，協(xié)議的實(shí)現(xiàn)和RADIUS類似，也是采用AVP，屬性值對(duì)（采用Attribute-Length-Value三元組形式）來實(shí)現(xiàn)，但是其中詳細(xì)規(guī)定了錯(cuò)誤處理, failover機(jī)制,采用TCP協(xié)議，支持分布式計(jì)費(fèi)，克服了RADIUS的許多缺點(diǎn)，是最適合未來移動(dòng)通信系統(tǒng)的AAA協(xié)議。

。如何對(duì)正在使用網(wǎng)絡(luò)資源的用戶進(jìn)行記賬？具體為：

1、 驗(yàn)證(Authentication): 驗(yàn)證用戶是否可以獲得訪問權(quán)限。

2、 授權(quán)(Authorization) : 授權(quán)用戶可以使用哪些服務(wù)。

3、 記賬(Accounting) : 記錄用戶使用網(wǎng)絡(luò)資源的情況。

Diameter基礎(chǔ)協(xié)議

Diameter基本協(xié)議為移動(dòng)IP（Mobile IP）、網(wǎng)絡(luò)接入服務(wù)（NAS）等應(yīng)用提供最基本的服務(wù)，例如用戶會(huì)話、計(jì)費(fèi)等，具有能力協(xié)商、差錯(cuò)通知等功能。協(xié)議元素由眾多命令和AVP（屬性值對(duì)）構(gòu)成，可以在客戶機(jī)、代理、服務(wù)器之間傳遞鑒別、授權(quán)和計(jì)費(fèi)信息。但是不管客戶機(jī)、代理還是服務(wù)器，都可以主動(dòng)發(fā)出會(huì)話請(qǐng)求，對(duì)方給予應(yīng)答，所以也叫對(duì)等實(shí)體之間的協(xié)議。命令代碼、AVP值和種類都可以按應(yīng)用需要和規(guī)則進(jìn)行擴(kuò)展。

DiameterNAS協(xié)議

Diameter的NAS協(xié)議即是Network Access Service（網(wǎng)絡(luò)接入服務(wù)）協(xié)議。由NAS客戶機(jī)處理用戶MN的接入請(qǐng)求（RegReq），將收到的客戶認(rèn)證信息轉(zhuǎn)送給NAS服務(wù)器；服務(wù)器對(duì)客戶進(jìn)行鑒別，將結(jié)果（Success/Fail）發(fā)給客戶機(jī)；客戶機(jī)通過RegReply將結(jié)果發(fā)回給MN，并根據(jù)結(jié)果對(duì)MN進(jìn)行相應(yīng)處理。

NAS作為網(wǎng)絡(luò)接入服務(wù)器，在其用戶端口接收到呼叫或服務(wù)請(qǐng)求時(shí)便開始與AAA服務(wù)器之間進(jìn)行消息交換，有關(guān)呼叫的信息、用戶身份和用戶鑒別信息被打包成一種AAA消息發(fā)給AAA服務(wù)器。實(shí)際上，移動(dòng)IP中的FA可以看成是通過空中的MPPP鏈路接收移動(dòng)終端MN的服務(wù)連接請(qǐng)求的NAS服務(wù)器，它作為AAA服務(wù)器的客戶機(jī)，在兩者之間交換NAS消息請(qǐng)求和應(yīng)答。

DiameterEAP協(xié)議

Diameter EAP （Extensible Authentication Protocol ——可擴(kuò)展鑒別協(xié)議）協(xié)議提供了一個(gè)支持各種鑒別方法的標(biāo)準(zhǔn)機(jī)制。EAP其實(shí)是一種框架，一種幀格式，可以容納各種鑒別信息。EAP所提供的多回合鑒別是PAP和CHAP所不具備的。

EAP協(xié)議描述用戶、NAS(AAA客戶機(jī))和AAA服務(wù)器之間有關(guān)EAP鑒別消息的請(qǐng)求和應(yīng)答的關(guān)系，完成一次對(duì)鑒別請(qǐng)求的應(yīng)答，中間可能需要多次消息交換過程。在移動(dòng)終端MN移動(dòng)的環(huán)境下，MN與FA之間的鑒別擴(kuò)展采用EAP，即把FA看做是一個(gè)NAS，它作為Diameter AAA的客戶機(jī)，Diameter AAA服務(wù)器作為EAP的后端服務(wù)器，兩者之間載送EAP分組。端到端的EAP鑒別發(fā)生在用戶和它的H-AAA之間。

DiameterCMS協(xié)議

Diameter CMS（Cryptographic Message Syntax ——密碼消息語法）協(xié)議實(shí)現(xiàn)了協(xié)議數(shù)據(jù)的Peer-to-Peer（端到端）加密。由于Diameter網(wǎng)絡(luò)中存在不可信的Relay（中繼）和Proxy（代理），而IPSec和TLS又只能實(shí)現(xiàn)跳到跳的安全，所以IETF定義了Diameter CMS應(yīng)用協(xié)議來保證數(shù)據(jù)安全。

DiameterMIP協(xié)議

由于未來移動(dòng)通信網(wǎng)絡(luò)正逐步向全I(xiàn)P網(wǎng)絡(luò)演進(jìn)，這就不可避免碰到用戶移動(dòng)到外部域的問題。 Diameter MIP應(yīng)用協(xié)議允許用戶漫游到外部域，并在經(jīng)過鑒權(quán)后接受外部域Server（服務(wù)器）和Agent（代理）提供的服務(wù)。在未來移動(dòng)通信中，這種情況將十分常見，因此MIP協(xié)議對(duì)于移動(dòng)通信系統(tǒng)來說至關(guān)重要. 當(dāng)用戶移動(dòng)到外部域的時(shí)候，需要進(jìn)行一系列的消息交換才能安全地接入外部網(wǎng)絡(luò)，接受其提供的服務(wù)。MIP協(xié)議的實(shí)現(xiàn)環(huán)境中MN和HA都可以在家鄉(xiāng)域或在外地域，其中比較典型的一種情況是MN在外地域而HA在家鄉(xiāng)域。

（與PCB板的接連）

電池彈片

1、用電池彈片；電池彈片上有插件或貼片的腳，可通過錫焊在PCB板的孔或焊盤上，AAA電池安放在電池彈片內(nèi)；

焊接鎳片或出線

2、在AAA電池上進(jìn)行點(diǎn)焊，焊上引腳，再把帶引腳或出線的AAA電池焊在PCB板上。

服務(wù)器租用選擇的成功與否，可以說在一定程度上直接影響著網(wǎng)站建設(shè)的成功與否。這不論是對(duì)大企業(yè)，還是中小企業(yè)建網(wǎng)站都是一樣的。

但實(shí)際，很多中小企業(yè)在建設(shè)網(wǎng)站，并選擇服務(wù)器作為其信息化基礎(chǔ)工具時(shí)，則出現(xiàn)一些不正確的做法:如為了節(jié)省資金，便隨便租用或購買一臺(tái)服務(wù)器。結(jié)果由于服務(wù)器性能低下導(dǎo)致信息系統(tǒng)經(jīng)常出問題。最終不但沒有幫助企業(yè)傳播信息，提升品牌，反而因系統(tǒng)不穩(wěn)定，給企業(yè)帶來負(fù)面影響。

因此，擁有一款穩(wěn)定、良好的服務(wù)器無疑是企業(yè)最基本的選擇。那么，企業(yè)又該如何選擇優(yōu)秀的服務(wù)器呢。

第一、資質(zhì)是最基本的，一定要有齊全的IDC服務(wù)商資質(zhì)。

第二、對(duì)于中小企業(yè)不建議租用一線城市機(jī)房的服務(wù)器，原因很簡(jiǎn)單。像北京上海這種一線機(jī)房，都是寸土寸金，服務(wù)器好不好先不說，但是光機(jī)房的成本就比二線、三線城市的要高得多。這費(fèi)用當(dāng)然要算到企業(yè)的頭上。而且二線、三線城市的機(jī)房其實(shí)是一樣的，但是它的成本要低得多。

第三、一定要考慮清楚需要什么服務(wù)器？比如說品牌、配置，或者說是需要服務(wù)器租用、服務(wù)器托管還是服務(wù)器合租等等。這些都需要根據(jù)自身企業(yè)的需求來確定。如果自己不清楚，可以選擇咨詢IDC服務(wù)商，不放心的話可以在網(wǎng)上問相關(guān)的專業(yè)人士。

DHCP服務(wù)器數(shù)據(jù)庫