Se hai già sentito parlare di server RADIUS e autenticazione, potresti chiederti: cos'è RADIUS? I client e i server RADIUS sono strumenti di autenticazione importanti, quindi è fondamentale capire cosa fanno, come funzionano e cosa li rende importanti per soluzioni come Foxpass.
Che cos'è RADIUS?
Remote Authentication Dial-In User Service (RADIUS) è un protocollo di rete client-server che opera a livello applicativo. Il protocollo RADIUS utilizza un server RADIUS e client RADIUS.
Un client RADIUS (o Network Access Server) è un dispositivo di rete (come un concentratore VPN, un router o uno switch) utilizzato per autenticare gli utenti.
Un RADIUS Server è un processo in background che viene eseguito su un server UNIX o Windows. Ti consente di gestire i profili utente in un database centrale. Se hai un server RADIUS, hai il controllo su chi può connettersi alla tua rete.
Quando un utente prova a connettersi a un client RADIUS, il client invia richieste al server RADIUS. L'utente può connettersi al client RADIUS solo se il server RADIUS autentica e autorizza l'utente.
Il funzionamento del server RADIUS dipende dalla natura esatta dell'ecosistema RADIUS. Tuttavia, tutti i server dispongono di funzionalità AAA (autenticazione, autorizzazione e accounting). In alcuni ecosistemi RADIUS, un server RADIUS può anche fungere da client proxy verso altri server RADIUS.
I server RADIUS offrono alle aziende la possibilità di preservare la privacy e la sicurezza del proprio sistema e dei propri utenti, supportando così la gestione della sicurezza e la definizione di policy per l’amministrazione dei server.
Come funzionano l'autenticazione e l'autorizzazione del server RADIUS?
Un server RADIUS supporta diversi metodi per autenticare gli utenti. L'autenticazione e l'autorizzazione del server RADIUS vanno di pari passo e di solito iniziano quando un utente tenta di connettersi al client RADIUS utilizzando un nome utente e una password.
Un processo di autenticazione e autorizzazione RADIUS di base include i seguenti passaggi:
Il client RADIUS tenta di autenticarsi a RADIUS
Server che utilizza le credenziali utente (nome utente e password).
Il client invia un messaggio Access-Request al server RADIUS. Le password sono sempre crittografate nel messaggio Access-Request.
Il server RADIUS legge il segreto condiviso e garantisce
che il messaggio Access-Request proviene da un Client autorizzato. Se non lo è, il messaggio viene scartato.
Se il Client è autorizzato, il Server RADIUS legge il metodo di autenticazione richiesto.
Se il metodo di autenticazione utilizzato è consentito, il server RADIUS legge le credenziali dell’utente dal messaggio e le confronta con il database utenti. Se c'è una corrispondenza, il server RADIUS estrae
ulteriori dettagli utente dal database degli utenti.
Il server RADIUS ora verifica se esiste una policy di accesso o un profilo che corrisponde alle credenziali dell'utente.
Se non esiste alcun criterio corrispondente, il server invia un messaggio Access-Reject. La transazione RADIUS termina e all'utente viene negato l'accesso al sistema.
Se esiste un criterio corrispondente, il server RADIUS invia al dispositivo un messaggio di Access-Accept.
Il messaggio Access-Accept consiste in un segreto condiviso e in un attributo Filter ID. Se il segreto condiviso non corrisponde, il client RADIUS rifiuta il messaggio.
Se il segreto condiviso corrisponde, il Client legge il valore dell'attributo Filter ID. L'ID del filtro è una stringa di testo. Il client RADIUS connette l’utente a un particolare RADIUS
Gruppo che utilizza questo ID filtro. (Un gruppo RADIUS è un gruppo di utenti che hanno lo stesso valore FilterID, il che rende più facile categorizzare gli utenti in gruppi funzionali come Sales, Networking, HR, IT, ecc.)
L’utente è finalmente autenticato e autorizzato e otterrà l’accesso al client RADIUS.
Questo avviene nel giro di frazioni di secondo, offrendo un accesso alla rete rapido e sicuro a tutti gli utenti autorizzati.
Come funziona la contabilizzazione per RADIUS Server / autenticazione RADIUS?
I server RADIUS vengono utilizzati anche per finalità di accounting, raccogliendo dati per il monitoraggio della rete, la fatturazione o scopi statistici. Il processo di contabilizzazione in genere inizia quando all'utente viene concesso l'accesso al server RADIUS. Tuttavia, l'accounting RADIUS può anche essere utilizzato indipendentemente dall'autenticazione e dall'autorizzazione RADIUS.
Un processo di accounting RADIUS di base include i seguenti passaggi:
Il processo inizia quando all'utente viene concesso l'accesso al server RADIUS.
Il client RADIUS invia un pacchetto RADIUS Accounting-Request, noto come Accounting Start, al server RADIUS. Il pacchetto di richiesta comprende l'ID utente, l'indirizzo di rete, l'identificatore di sessione e il punto di accesso.
Durante la sessione, il Client può inviare ulteriori pacchetti Accounting-Request (noti come aggiornamenti intermedi) al server RADIUS. Questi pacchetti includono dettagli come la durata della sessione corrente e l'utilizzo dei dati. Questo pacchetto serve ad aggiornare le informazioni sulla sessione dell'utente sul server RADIUS.
Quando l'accesso dell'utente al RADIUS Server termina, il RADIUS Client invia un altro pacchetto Accounting-Request (noto come Accounting Stop) al RADIUS Server. Il pacchetto include informazioni quali il tempo totale, i dati, i pacchetti trasferiti, il motivo della disconnessione e altre informazioni pertinenti alla sessione dell'utente.
Conclusione
Un server RADIUS protegge le informazioni private della tua organizzazione e impedisce che vengano divulgate a esterni indiscreti. Inoltre, offre semplici funzionalità di ammortamento e consente di assegnare a singoli utenti autorizzazioni di rete univoche, integrandosi nel tuo sistema esistente senza richiedere modifiche significative. Tutto questo e molto altro lo rende uno strumento prezioso per autenticazione, accesso e sicurezza.
Gli usi e i vantaggi dei server RADIUS sono molteplici, dalla sicurezza alla facilità di gestione fino all'implementazione del controllo degli accessi basato sui ruoli. Quindi, se vuoi integrare facilmente un ecosistema RADIUS nel tuo sistema attuale, contatta subito Foxpass e scopri cosa possono fare per te il nostro RADIUS e LDAP ospitati nel cloud.
Wi-Fi è un marchio di Wi-Fi Alliance®
