Navzdory svému dial-in názvu je široce používán pro kabelový a bezdrátový přístup, virtuální privátní sítě a další služby, které potřebují centralizovaná rozhodnutí o přijetí do sítě.
Klient RADIUS — často switch, bezdrátový kontroler, přístupový bod či brána VPN — odesílá Access-Request obsahující identitu a atributy připojení. Server odpovídá Access-Accept, Access-Reject či Access-Challenge a může vracet atributy, které klient používá ke konfiguraci relace. Oddělené účtovací zprávy mohou zaznamenávat začátky, konce, využití a mezilehlé aktualizace. Proxy mohou směrovat žádosti mezi administrativními doménami.
Klíčové body
Role vynuceníServer RADIUS vyhodnocuje politiku či konzultuje zdroj identity; síťové přístupové zařízení vynucuje vrácené rozhodnutí a atributy relace.
Návrh atributůŘiďte, která data uživatele, zařízení, lokace, realmu a relace jsou odesílána, jim důvěřováno, logována, proxyována či používána v politice, a normalizujte vendor-specifické atributy záměrně.
Bezpečnost transportuKlasický RADIUS přes UDP spoléhá na sdílená tajné údaje a ochrany založené na MD5, které nešifrují celý paket. RADIUS přes TLS chrání transport; novější profil RADIUS/1.1 odstraňuje použití MD5, ale zůstává experimentální.
Důležité omezeníAccess-Accept je instrukce přístupovému zařízení, nikoli důkaz, že politiku správně vynutilo. RADIUS nešifruje provoz přijatého uživatele a slabá autentizace koncového zařízení, nakládání se sdíleným tajemstvím, důvěra proxy či mezery účtování mohou návrh podkopat.