RADIUS (Remote Authentication Dial-In User Service) ist ein Client-Server-Protokoll für die zentrale Authentifizierung, Autorisierung und Accounting (AAA) von Netzwerkzugängen. Ein Switch, Access Point oder VPN-Gateway schickt die Zugangsdaten eines Nutzers an einen RADIUS-Server, der die Entscheidung trifft — die Zugangsgeräte selbst müssen keine Benutzerkonten verwalten.
AAA-Funktionen
- Authentication: Prüfung der Identität (Benutzername und Passwort, Zertifikat oder MAC-Adresse).
- Authorization: Festlegung der Rechte, etwa welche VLAN- oder QoS-Einstellungen der Nutzer erhält.
- Accounting: Aufzeichnung von Sitzungen — wer war wann wie lange mit welchem Datenvolumen verbunden.
Transport und Ports
Klassisch läuft RADIUS über UDP: Port 1812 für Authentifizierung und Autorisierung, Port 1813 für Accounting (ältere Systeme nutzten 1645/1646). Neuere RADIUS-Implementierungen unterstützen auch TCP und TLS. Nur das Passwort wird verschlüsselt übertragen, der Rest der Nachricht ist nicht vertraulich — RADIUS ist daher für den Einsatz im vertrauenswürdigen Innenraum gedacht.
RADIUS und 802.1X
Im Zusammenspiel mit 802.1X ist RADIUS der typische Authentication Server: Der Authenticator (Switch oder Access Point) reicht die EAP-Nachrichten des Endgeräts per RADIUS an den Server weiter und bekommt von dort die Entscheidung über Freigabe oder Sperre des Ports zurück.
Abgrenzung zu TACACS+
Für die Administration von Netzwerkgeräten selbst (Login auf Router und Switch) wird häufiger TACACS+ verwendet. Es läuft über TCP-Port 49, verschlüsselt die gesamte Nachricht und trennt Authentifizierung, Autorisierung und Accounting stärker. RADIUS ist dagegen der Standard für den Zugang von Endgeräten ins Netz.
Verwandte Grundlagen: Authentifizierung, Multi-Faktor-Authentifizierung, MAC-Adresse.