În ciuda numelui său de dial-in, este folosit pe scară largă pentru acces cu fir și wireless, rețele private virtuale și alte servicii care au nevoie de decizii centralizate despre admiterea în rețea.
Un client RADIUS — adesea un switch, un controler wireless, un punct de acces sau un gateway VPN — trimite un Access-Request conținând atribute de identitate și conexiune. Serverul răspunde cu Access-Accept, Access-Reject sau Access-Challenge și poate returna atribute pe care clientul le folosește pentru a configura sesiunea. Mesaje de contabilizare separate pot înregistra începuturi, sfârșituri, utilizare și actualizări intermediare. Proxy-urile pot ruta cereri între domenii administrative.
Puncte esențiale
Roluri de aplicareServerul RADIUS evaluează politica sau consultă o sursă de identitate; dispozitivul de acces la rețea aplică decizia returnată și atributele de sesiune.
Proiectarea atributelorControlați ce date de utilizator, dispozitiv, locație, tărâm și sesiune sunt trimise, de încredere, jurnalizate, transmise prin proxy sau folosite în politici și normalizați atributele specifice furnizorului deliberat.
Securitatea transportuluiRADIUS clasic peste UDP se bazează pe secrete partajate și protecții bazate pe MD5 care nu criptează întregul pachet. RADIUS peste TLS protejează transportul; profilul mai nou RADIUS/1.1 elimină utilizarea MD5, dar rămâne experimental.
Limitare importantăUn Access-Accept este o instrucțiune către dispozitivul de acces, nu o dovadă că a aplicat corect politica. RADIUS nu criptează traficul utilizatorului admis, iar autentificarea slabă a endpointului, tratarea secretelor partajate, încrederea în proxy sau lacunele de contabilizare pot submina designul.