RADIUS Server چیست و چگونه کار می کند؟

مهشید افخمی

تیر 28, 1400

این مقاله در تاریخ28 تیر 1400 نوشته و در تاریخ 28 بهمن 1404 مورد بازبینی قرار گرفته است.

در عصر حاضر که شبکه‌ها پیچیده و به‌طور گسترده به هم متصل هستند، امنیت شبکه و احراز هویت کاربران یکی از چالش‌های اصلی سازمان‌ها و کسب‌وکارها محسوب می‌شود. سرور RADIUS (Remote Authentication Dial-In User Service) به‌عنوان یک راهکار کلیدی، امکان مدیریت دسترسی و تایید هویت کاربران را در شبکه‌های مختلف فراهم می‌کند. در این مقاله، به بررسی عنوان ” RADIUS Server چیست و چگونه کار می کند؟ ” می پردازیم . تا انتها با ما همراه باشید.

RADIUS Server چیست؟

فهرست محتوا

در ابتدا می خواهیم بدانیم که RADIUS چیست؟ پروتکل RADIUS مخفف Remote Authentication Dial-In User Service یک پروتکل شبکه کلاینت-سرور است که در لایه Application اجرا می شود. پروتکل RADIUS از یک Server RADIUS و RADIUS Clients استفاده می کند. Client RADIUS (یا سرور دسترسی به شبکه) یک دستگاه شبکه است (مانند VPN، روتر، سوئیچ) که برای تأیید اعتبار (احراز هویت) کاربران استفاده می شود. Client با تماس با سرور، کاربران را احراز هویت می کند.

در واقع RADIUS Client شامل موارد زیر است:

DIAL-UP SERVER

VPN SERVER

WIRELESS ACCESS POINT

802.1X SWITCH

RADIUS Server فرایند پس زمینه ای است که بر روی سرور UNIX یا ویندوز اجرا می شود. به شما امکان می دهد پروفایل های کاربران را در یک پایگاه داده مرکزی حفظ کنید. از این رو، اگر یک سرور RADIUS دارید، می توانید کنترل کنید که چه کسی می تواند با شبکه شما ارتباط برقرار کند.

بیشتر بخوانید: مدل OSI چیست؟ تفاوت مدل OSI و TCP/IPو بررسی کامل

هنگامی که یک کاربر سعی در اتصال به RADIUS Client دارد، درخواست ها را به ارسال می کند. کاربر فقط در صورت تایید اعتبار و تایید سرور از کاربر، به کاربر اجازه دسترسی به RADIUS Client را می دهد. کارکرد سرور RADIUS به ماهیت دقیق اکو سیستم RADIUS بستگی دارد. با این حال، همه سرورها دارای قابلیت AAA (Authentication, Authorization, and Accounting) هستند.

یعنی از فرآیند AAA برای احراز هویت و تایید اعتبار کاربران استفاده می کنند، در برخی از اکوسیستم های RADIUS، یک سرور RADIUS همچنین می تواند به عنوان یک پروکسی کلاینت برای سایر سرورهای RADIUS عمل کند.

سرورهای RADIUS به کسب و کارها، با توانایی حفظ حریم خصوصی و امنیت سیستم خود و کاربرانشان را ارائه می دهند، بنابراین به مدیریت امنیت و ایجاد سیاست های مدیریت سرور کمک می کنند.

نرم افزارهای کم هزینه سرور RADIUS برای سازمان ها و شبکه های کوچک:

معمولا بیشتر سازمان ها و مشاغل به دنبال نرم افزارهایی با هزینه مناسب هستند که برایشان مقرون به صرفه باشد. اینکه نرم افزار مناسبی را انتخاب کنید می تواند تاثیر زیادی در بهبود امنیت داشته باشد از این رو قصد داریم تا نرم افزارهای کم هزینه را به شما معرفی کنیم؛

FreeRADIUS: این نرم افزار می تواند یک گزینه مناسب برای پیاده سازی سرور RADIUS است که با قابلیت های فراوان امکان ارائه امنیت و انعطاف پذیری بالایی را فراهم می سازد از این رو محبوبیت زیادی برای شبکه ای کوچک و متوسط دارد. این نرم افزار از رایج ترین نرم افزارهای شناخته شده در جهان است که بخاطر پشتیبانی از قابلیت های فراوان، محبوبیت زیادی دارد.

TekRADIUS: این نرم افزار بسیار ساده و کاربرپسند است و مناسب شبکه های کوچک می باشد. این نرم افزار از پروتکل های زیادی پشتیبانی می کند و گزینه ای مناسب برای محیط های ویندوزی است. نصب و راه اندازی این نرم افزار بسیار ساده است و شما امکان مدیریت دسترسی و احراز هویت کاربران را دارید.

RouterOS: نرم افزار سیستم عامل میکروتیک از RADIUS پشتیبانی می کند و گزینه ای مناسب و ایده آل برای شبکه های کوچک و خانگی می باشد و برای مدیریت شبکه های مختلف به وجود آمده است.

تاریخچه سرور RADIUS:

RADIUS سال 1990 توسط شرکت LIVINGSTON به عنوان پروتکلی برای مدیریت دسترسی و احراز هویت به سرور ایجاد شد. به دلیل پشتیبانی گسترده و دامنه وسیع، این پروتکل غالبا توسط ISP ها و شرکت هایی در مقیاس بزرگ، به منظور مدیریت دسترسی به اینترنت، شبکه داخلی، شبکه وایرلس و غیره استفاده میشه. این شبکه ها میتونه شامل ACCESS POINT ها، مودم های DSL، پورت های شبکه، وب سرور ها و یا (VPN (VIRTUAL PRIVATE NETWORK باشه.

اجزای اصلی پروتکل RADIUS در شبکه:

برای درک درست عملکرد RADIUS باید سه بخش کلیدی آن را بشناسیم. سه قطعه‌ای که کنار هم سازوکار احراز هویت و کنترل دسترسی را شکل می‌دهند:

نخست، کلاینت RADIUS است. برخلاف تصور رایج، این کاربر نیست که کلاینت محسوب می‌شود، بلکه تجهیزاتی مانند روتر، سوئیچ، فایروال یا اکسس‌پوینت هستند که نقش کلاینت را بازی می‌کنند. این دستگاه‌ها زمانی که کاربری قصد اتصال به شبکه را دارد، اطلاعات احراز هویت او را دریافت کرده و به سرور RADIUS ارسال می‌کنند. در واقع آن‌ها واسطه‌ای میان کاربر و سرور هستند و درخواست‌های Authentication و Authorization را منتقل می‌کنند.

دوم، سرور RADIUS هسته تصمیم‌گیری سیستم قرار دارد. این سرور اطلاعات دریافتی را بررسی می‌کند، اعتبار کاربر را می‌سنجد و مشخص می‌کند آیا دسترسی باید داده شود یا خیر. علاوه بر تایید هویت، می‌تواند سطح دسترسی، محدودیت پهنای باند یا سیاست‌های امنیتی مشخصی را نیز اعمال کند. پاسخ نهایی قبول یا رد درخواست از همین بخش صادر می‌شود.

سوم، پایگاه داده کاربران است که پشت صحنه فرآیند احراز هویت قرار دارد. سرور RADIUS برای بررسی نام کاربری و رمز عبور یا سایر اطلاعات اعتباری، معمولا به منابع داده‌ای مانند LDAP، Active Directory یا پایگاه‌های داده SQL متصل می‌شود. این اتصال امکان مدیریت متمرکز کاربران و یکپارچگی با زیرساخت‌های سازمانی را فراهم می‌کند.

در مجموع، کلاینت درخواست را ارسال می‌کند، سرور تصمیم می‌گیرد و پایگاه داده مرجع اعتبارسنجی است. سه جزء که در کنار هم ستون فقرات سیستم RADIUS را تشکیل می‌دهند و امنیت دسترسی به شبکه را سامان می‌دهند.

مزایای استفاده از RADIUS:

امنیت پیشرفته در تبادل اطلاعات:
RADIUS با بهره‌گیری از پروتکل‌های رمزنگاری مانند TLS و همچنین امکان استفاده از IPsec، از داده‌های احراز هویت در برابر شنود و دستکاری محافظت می‌کند. این لایه‌های امنیتی باعث می‌شوند اطلاعات حساس کاربران هنگام انتقال در شبکه، محرمانه و ایمن باقی بمانند.

قابلیت مقیاس‌پذیری بالا:
این پروتکل به گونه‌ای طراحی شده که بتواند تعداد زیادی کاربر را در شبکه‌های کوچک تا زیرساخت‌های گسترده سازمانی مدیریت کند. با افزایش کاربران یا توسعه شبکه، ساختار RADIUS همچنان عملکرد پایدار و قابل اتکا ارائه می‌دهد.

مدیریت متمرکز دسترسی کاربران:
تمام فرآیندهای احراز هویت و تعیین سطح دسترسی از طریق یک نقطه مرکزی انجام می‌شود. این تمرکز مدیریتی باعث ساده‌تر شدن اعمال سیاست‌های امنیتی، کنترل دسترسی‌ها و ثبت گزارش‌های نظارتی می‌شود.

سازگاری با فناوری‌ها و پروتکل‌های متنوع:
RADIUS با پروتکل‌ها و سرویس‌هایی مانند PPP، EAP، VPN و شبکه‌های Wi-Fi هماهنگ است. این انعطاف‌پذیری امکان استفاده از آن را در سناریوهای مختلف ارتباطی بدون نیاز به تغییرات اساسی در زیرساخت فراهم می‌کند.

معایب استفاده از RADIUS:

پیچیدگی در پیکربندی و راه‌اندازی:
راه‌اندازی و تنظیمات RADIUS برای برخی کاربران و تیم‌های فنی ممکن است دشوار و زمان‌بر باشد، به‌خصوص در شبکه‌هایی با ساختار ترکیبی یا سیاست‌های امنیتی پیچیده.
نیاز به منابع سخت‌افزاری و نرم‌افزاری مناسب:
استفاده از RADIUS مستلزم تجهیزات و سرورهای با مشخصات کافی است. این نیاز به منابع می‌تواند به هزینه‌های اضافی برای سازمان منجر شود، به ویژه در محیط‌های کوچک یا شبکه‌های خانگی پیشرفته.
پیچیدگی در مدیریت و نگهداری:
مدیریت مداوم سرور RADIUS و نگهداری پایگاه داده کاربران نیازمند دانش تخصصی و تجربه عملی در حوزه شبکه است تا سیستم بدون مشکل و با امنیت کامل عمل کند.
وابستگی به اتصال شبکه یا اینترنت:
برای عملکرد صحیح RADIUS، نیاز به اتصال پایدار به شبکه یا اینترنت وجود دارد. در صورت بروز قطعی، ممکن است دسترسی کاربران به سیستم‌ها و منابع شبکه محدود یا غیرممکن شود، که بر قابلیت اعتماد به شبکه تأثیر می‌گذارد.

انواع سرور RADIUS:

امروزه سه مدل اصلی سرور RADIUS وجود دارد که هرکدام در سناریوها و نیازهای متفاوت کاربرد دارند. برای درک بهتر مزایا و کاربردهای هر مدل، بررسی دقیق و مقایسه عملکرد آن‌ها اهمیت دارد. بسته به ساختار شبکه و حوزه فعالیت سازمان، می‌توان از هرکدام از این سرورها بهره برد.

سرور RADIUS متمرکز:
در این مدل، تمام اطلاعات کاربران و تنظیمات احراز هویت در یک نقطه مرکزی ذخیره و مدیریت می‌شوند. این سرور برای شبکه‌های بزرگ و پیچیده ایده‌آل است و امکان کنترل کامل و مدیریت متمرکز سیاست‌های دسترسی را فراهم می‌کند. مزیت اصلی آن سادگی در اعمال تغییرات و نظارت کامل بر کاربران شبکه است.
سرور RADIUS توزیع‌شده:
در این نوع سرور، اطلاعات کاربران و تنظیمات احراز هویت بین چند سرور شبکه توزیع می‌شوند. هر سرور می‌تواند از داده‌های موجود در سایر سرورها استفاده کند، که این ویژگی باعث افزایش پایداری، بهبود عملکرد و تحمل خطای سیستم می‌شود. سرورهای توزیع‌شده مناسب شبکه‌هایی هستند که به مقیاس‌پذیری و دسترسی بدون وقفه نیاز دارند.
سرور RADIUS پروکسی:
این مدل به‌عنوان واسط بین کلاینت‌ها و سرورهای متمرکز یا توزیع‌شده عمل می‌کند. پروکسی درخواست احراز هویت کاربران را از کلاینت دریافت کرده و آن را به سرور اصلی ارسال می‌کند. سرور RADIUS پروکسی به کاهش بار ترافیکی و بهینه‌سازی عملکرد سیستم کمک می‌کند و برای شبکه‌هایی که حجم بالای درخواست دارند یا نیاز به تقسیم بار دارند، کاربردی است.

روش راه‌اندازی سرورهای RADIUS:

راه‌اندازی یک سرور احراز هویت از راه دور نیازمند دقت و رعایت نکات فنی مهم است تا عملکرد صحیح و امنیت شبکه تضمین شود. توجه به جزئیات کوچک در فرآیند نصب می‌تواند تاثیر زیادی بر پایداری و کارایی سرور داشته باشد. مراحل اصلی نصب و پیکربندی سرور RADIUS به شرح زیر است:

نصب نرم‌افزار RADIUS:
ابتدا باید نرم‌افزار RADIUS انتخابی خود را روی سرور نصب کنید. از محبوب‌ترین گزینه‌ها می‌توان به FreeRADIUS، Microsoft NPS، Cisco Secure ACS و Juniper Steel-Belted RADIUS اشاره کرد. انتخاب نرم‌افزار مناسب بستگی به زیرساخت شبکه، سیستم عامل سرور و سطح امنیت مورد نیاز دارد.
تنظیمات اولیه:
پس از نصب نرم‌افزار، تنظیمات پایه سرور RADIUS را انجام دهید. این شامل پیکربندی امنیتی، اتصال به پایگاه داده کاربران و تعیین پورت‌های ارتباطی است. انجام صحیح این مرحله، امنیت و عملکرد سرور را تضمین می‌کند.
ایجاد حساب‌های کاربری:
برای فعال شدن سرویس، باید کاربران شبکه که مجاز به استفاده از منابع و سرویس‌های شبکه هستند را ایجاد کنید. این افراد می‌توانند شامل کارمندان، اعضای شبکه یا هر فردی با دسترسی مجاز باشند.
پیکربندی دسترسی‌ها:
پس از تعریف کاربران، سطوح دسترسی آن‌ها به سرویس‌های مختلف شبکه را مشخص کنید. به‌طور مثال، ممکن است برای یک کاربر فقط دسترسی به اینترنت فراهم شود و دسترسی به منابع حساس سازمان محدود گردد.
آزمایش و بررسی عملکرد:
در نهایت، برای اطمینان از صحت تنظیمات، عملکرد سرور RADIUS را آزمایش کنید. با استفاده از یک کلاینت RADIUS به سرور متصل شوید و فرایند ورود و احراز هویت را تست کنید تا مطمئن شوید سرور به درستی عمل می‌کند و دسترسی‌ها به شکل صحیح اعمال می‌شوند.

AAA چیست؟

روند AAA احراز هویت و مجوز دادن به کاربران را برای شرکت ها آسان تر کرده است. قبل از AAA، پروتکل های دیگر از دستگاه های جداگانه برای احراز هویت استفاده می کردند. این برای مقیاس پذیری مشکل ساز است زیرا کسی مجبور است تمام روش های احراز هویت را پیگیری کند. با فرآیند متمرکز AAA، کاربران می توانند برای تأیید اعتبار به یک سرور واحد دسترسی پیدا کنند.

AAA از سه بخش Authentication, Authorization, Accounting تشکل شده است که در ادامه نگاهی دقیق تر به هر بخش می اندازیم:

ـAuthentication: این شامل روند تایید هویت کاربر است. معمولا یک کاربر پسورد ارائه می دهد، که به عنوان نوعی احراز هویت استفاده می شود. امنیت رمزهای عبور نسبت به احراز هویت چند عاملی یا گواهینامه های دیجیتال کمتر است. بنابراین، شرکت ها به احتمال زیاد علاوه بر گذرواژه از این موارد نیز استفاده می کنند. بعلاوه، این فرآیند امکان ایجاد اعتماد بین دو شی را فراهم می کند. به عنوان مثال، کامپیوتر کاربر و سرور هر دو به عنوان کاربران معتبر در فرآیند احراز هویت دیده می شوند.

ـAuthorization: این مجموعه ای از الگوها و مجموعه قوانینی است که کاربر می تواند در شبکه انجام دهد. به عنوان مثال، یک عضو تیم فروش فقط می تواند به داده هایی دسترسی پیدا کند که مربوط به بخش یا نقش شغلی آنها باشد.

ـAccounting: این یک فرآیند مانیتورینگ، مستند سازی و اندازه گیری آنچه کاربر در شبکه انجام می دهد است. به عنوان مثال، Accounting ثبت می کند کدام بانک های اطلاعاتی، فایل ها و برنامه ها در طول یک نشست (ارتباط) به کاربران دسترسی دارند. مدیران و کارمندان می توانند از این سوابق برای ارزیابی ظرفیت شبکه استفاده کنند. همچنین، تیم های فناوری اطلاعات می توانند هر گونه درخواست تکرار دسترسی مکرر برای کشف مجرمان سایبری بالقوه را بررسی کنند.

بیشتر بخوانید: سرور چیست

فرایند احراز هویت RADIUS Server:

یک سرور RADIUS از روش های مختلفی برای تایید اعتبار کاربر پشتیبانی می کند. احراز هویت و مجوز سرور RADIUS دست به دست هم می دهد و معمولا زمانی شروع می شود که کاربر سعی کند با استفاده از نام کاربری و پسورد به RADIUS Client متصل شود. تأیید اعتبار و مجوز RADIUS شامل مراحل زیر است:

ـ زمانیکه کابر نام کاربری و رمز ورود را وارد می کند، RADIUS Client پیغام Access-Request را به سرور می فرستد. رمزهای عبور همیشه در قالب پیام رمزگذاری شده به همراه یک کلید مشترک هستند.

ـ در مرحله بعدی، سرور کلید مشترک را خوانده و تأیید می کند که پیام Access-Request از یک Client مجاز است. اگر سرویس گیرنده (کلاینت) غیر مجاز باشد، سرور درخواست را رد می کند. اما، اگر کلاینت مجاز باشد، سرور روش تأیید اعتبار را می خواند و نام کاربری و رمز عبور کاربر را با پایگاه داده کاربر مطابقت می دهد.

ـ سپس سرور اطلاعات کاربران بیشتری را از پایگاه داده تهیه می کند و بررسی می کند که آیا خط مشی دسترسی یا نمایه ای مطابق با کاربر وجود دارد. در صورت عدم تطابق سرور پیام Access-Reject را ارسال می کند و معامله به پایان می رسد و کاربر از دسترسی به سیستم محروم می شود.

ـ در صورت مطابقت، سرور پیام Access-Accept را به کلاینت می فرستد. این پیام حاوی ویژگی Filter ID و یک کلید مشترک است. کلید مشترک لازم است قبل از اینکه کلاینت Filter ID را بخواند مطابقت داشته باشد در غیر این صورت RADIUS Client پیام را رد می کند.

ـ کلاینت از ویژگی Filter ID (رشته ای از متن) برای اتصال کاربر به یک گروه از کاربران RADIUS با همان ویژگی Filter ID استفاده می کند. گروهها به دسته بندی کاربران در گروههای کاربردی (مانند فروش، شبکه، سیستم، منابع انسانی، فناوری اطلاعات و غیره) کمک می کنند (مثلاً بخشهای مختلف می توانند گروه های مختلفی باشند). پس از اتصال به یک گروه و مجاز شدن، کاربر به RADIUS Client دسترسی پیدا می کند.

بیشتر بخوانید: Network Forensic چیست؟

Accounting برای سرور RADIUS چگونه کار می کند؟

این فرآیند با دسترسی کاربر به سرور RADIUS آغاز می شود:

ـ Client RADIUS یک بسته درخواست RADIUS Accounting معروف به Accounting Start را به سرور RADIUS ارسال می کند. بسته درخواست شامل شناسه کاربر (USER ID)، آدرس شبکه، شناسه جلسه (ارتباط) و نقطه دسترسی است.

ـ در طول یک نشست (ارتباط)، کلاینت می تواند بسته های اضافی Accounting-Request معروف به Interim Update را به سرور RADIUS ارسال کند. این بسته ها شامل جزئیاتی مانند مدت زمان ارتباط فعلی و استفاده از داده ها هستند. این بسته با هدف به روزرسانی اطلاعات نشست کاربر به سرور RADIUS ارائه می شود.

ـ پس از پایان دسترسی کاربر به سرور RADIUS، RADIUS Client بسته Accounting-Request دیگری را که تحت عنوان Accounting Stop شناخته می شود، به سرور RADIUS ارسال می کند. بسته شامل اطلاعاتی مانند کل زمان، داده ها و بسته های منتقل شده و دلیل قطع اتصال و سایر اطلاعات مربوط به جلسه کاربر است.

در نتیجه این که یک سرور RADIUS مانع از افشای اطلاعات خصوصی سازمان شما به بیرون می شود. احراز هویت سرور RADIUS روند AAA را دنبال می کند، که اجازه می دهد تا احراز هویت ایمن از طریق یک منبع واحد انجام شود. علاوه بر این، با Accounting، مشاغل می توانند از داده های قابل دسترسی توسط کاربر استفاده کنند. آنها می توانند تهدیدهای مربوط به شبکه های خود را شناسایی کنند.

نتیجه گیری:

RADIUS به‌عنوان یکی از متداول‌ترین پروتکل‌های مدیریت دسترسی در شبکه‌های سازمانی و زیرساخت‌های اینترنتی شناخته می‌شود و سه وظیفه اصلی احراز هویت، تعیین سطح دسترسی و ثبت رویدادهای کاربری را بر عهده دارد. این پروتکل به دلیل ساختار متمرکز، توانایی پاسخگویی به تعداد بالای کاربران و امکان اعمال سیاست‌های امنیتی یکپارچه، انتخابی قابل اتکا برای کنترل دسترسی به منابع شبکه محسوب می‌شود.

قابلیت مقیاس‌پذیری و پیاده‌سازی نسبتا ساده، باعث شده RADIUS در محیط‌هایی مانند شبکه‌های وایرلس، VPN و سرویس‌های دسترسی راه دور کاربرد گسترده‌ای داشته باشد. با این حال، در شرایطی که نیاز به سطح بالاتری از کنترل امنیتی، به‌ویژه در مدیریت دستورات مدیریتی تجهیزات شبکه وجود داشته باشد، استفاده از پروتکل TACACS+ یا بهره‌گیری از رویکردهای ترکیبی می‌تواند گزینه مناسب‌تری باشد. تصمیم‌گیری نهایی باید بر اساس میزان حساسیت زیرساخت و سیاست‌های امنیتی سازمان انجام گیرد.

شما می توانید کلیه تجهیزات مورد نیاز خود را از فروشگاه اینترنتی مسترشبکه با بهترین قیمت و کیفیت همراه با گارانتی معتبر خریداری نمایید.