Mimo nazwy dial-in jest szeroko używany dla dostępu przewodowego i bezprzewodowego, wirtualnych sieci prywatnych i innych usług potrzebujących scentralizowanych decyzji o dopuszczeniu do sieci.
Klient RADIUS — często przełącznik, kontroler bezprzewodowy, punkt dostępowy lub brama VPN — wysyła Access-Request zawierający tożsamość i atrybuty połączenia. Serwer odpowiada Access-Accept, Access-Reject lub Access-Challenge i może zwrócić atrybuty używane przez klienta do konfiguracji sesji. Osobne komunikaty rozliczeniowe mogą rejestrować starty, stopy, użycie i aktualizacje pośrednie. Proxy mogą routować żądania między domenami administracyjnymi.
Najważniejsze punkty
Role egzekwowaniaSerwer RADIUS ocenia politykę lub konsultuje źródło tożsamości; urządzenie dostępu sieciowego egzekwuje zwróconą decyzję i atrybuty sesji.
Projekt atrybutówKontroluj, które dane użytkownika, urządzenia, lokalizacji, realm-u i sesji są wysyłane, zaufane, rejestrowane, proxyfikowane lub używane w polityce, oraz świadomie normalizuj atrybuty specyficzne dla dostawcy.
Bezpieczeństwo transportuKlasyczny RADIUS po UDP polega na współdzielonych sekretach i zabezpieczeniach opartych na MD5, które nie szyfrują całego pakietu. RADIUS po TLS chroni transport; nowszy profil RADIUS/1.1 usuwa użycie MD5, ale pozostaje eksperymentalny.
Istotne ograniczenieAccess-Accept to instrukcja dla urządzenia dostępowego, a nie dowód, że egzekwowało ono politykę poprawnie. RADIUS nie szyfruje ruchu dopuszczonego użytkownika, a słabe uwierzytelnianie punktów końcowych, obsługa współdzielonych sekretów, zaufanie proxy lub luki w rozliczaniu mogą podważyć projekt.