Inhaltsverzeichnis
Werbung
1
RADIUS läuft über UDP und bietet daher kein natives Verfahren zur Prüfung von Paketverlusten. Dieser Aspekt ist in
einer LAN-Umgebung nicht problematisch, gewinnt aber bei Übertragungen über WAN-Strecken oder das Internet
an Bedeutung.
1
RADIUS verfügt nur über einfache Verfahren zur Authentifizierung über ein „Shared Secret" und nur über geringe
Vertraulichkeit.
Mit RADSEC steht ein alternatives Protokoll zur Verfügung, welches die RADIUS-Pakete durch einen TLS-verschlüsselten
Tunnel überträgt. TLS setzt auf TCP auf und bringt somit einen erprobten Mechanismus zur Überwachung verlorener
Pakete mit. Ausserdem verfügt TLS über hohe Vertraulichkeit und ein Verfahren zur gegenseitigen Authentifizierung über
X.509-Zertifikate.
18.11.1 Konfiguration von RADSEC für den Client
Gerät als RADIUS-Client
In der Funktion als RADIUS-Client wird ein Gerät auf die Verwendung von RADIUS über UDP oder RADSEC über TCP mit
TLS eingestellt. Zusätzlich wird der zu verwendende Port angegeben: 1812 für Authentifizierung über RADIUS, 1813 für
die Abrechnung über RADIUS und 2083 für RADSEC.
Diese Einstellungen werden an allen Stellen vorgenommen, an denen ein Gerät als RADIUS-Client konfiguriert wird:
WEBconfig: Setup / WAN / RADIUS
WEBconfig: Setup / WLAN / RADIUS-Zugriffspruefung
WEBconfig: Setup / WLAN / RADIUS-Accounting
WEBconfig: Setup / Public-Spot-Modul / Anbieter-Tabelle
WEBconfig: Setup / IEEE802.1x / RADIUS-Server
Gerät als RADIUS-Server
Arbeitet ein Gerät selbst als RADIUS-Server, kann der RADSEC-Port konfiguriert werden, auf dem der Server
RADSEC-Anmeldungen erwartet. Darüber hinaus kann für alle RADIUS-Clients in der Client-Liste das zu verwendende
Protokoll (RADIUS, RADSEC oder alle) eingestellt werden. Auf diese Weise kann z. B. RADIUS für die Clients im LAN, die
zuverlässigere RADSEC-Variante über TCP für externe Anmeldungen über das Internet eingesetzt werden.
18.11.2 Zertifikate für RADSEC
Für die TLS-Verschlüsselung der RADSEC-Verbindung werden separate X.509-Zertifikate benötigt. Die einzelnen Zertifikate
(Root-Zertifikat, Geräte-Zertifikat und privater Schlüssel) können entweder einzeln oder als PKCS#12-Container in das
Gerät geladen werden.
Referenzhandbuch
18 Weitere Dienste
1283
Werbung
Inhaltsverzeichnis
