了解使用 RADIUS 和 TACACS+ 的中央网络访问

为什么我需要远程身份验证？

远程身份验证使您能够将用户名和密码保存在中央服务器上的一个位置。在此中央服务器上使用 RADIUS 或 TACACS+ 的优势在于，在添加或删除用户或用户更改密码时，无需在每个单独的网络设备上配置更改。您只需对服务器上的配置进行一次更改，然后设备将继续访问服务器进行身份验证。尽管身份验证是 RADIUS 和 TACACS+ 最广为人知的功能，但还提供了两个附加功能，即授权和记帐。

注意：

您可以参考外部源（如 SQL、Kerberos、LDAP 或 Active Directory 服务器）来验证用户凭据，而不是在 RADIUS 服务器上使用平面数据库。

• 为什么不直接依靠防火墙和过滤器进行访问控制？
• 使用 LDAP 进行身份验证怎么样？

RADIUS 在网络上的什么位置安装？

RADIUS 包括三个组件：身份验证服务器、客户端协议和记帐服务器。协议的RADIUS服务器部分通常是在UNIX或Microsoft Windows服务器上运行的后台进程。

对于 RADIUS，术语“客户端”是指提供 RADIUS 服务的客户端部分的网络访问设备 （NAD），可以将调制解调器池、交换机、网络防火墙或任何其他需要对用户进行身份验证的设备配置为 NAD，以识别和处理来自网络边缘外部的连接请求。当 NAD 收到用户的连接请求时，它可以与用户执行初始访问协商以获取身份/密码信息。然后，NAD 将此信息作为身份验证/授权请求的一部分传递给 RADIUS 服务器。

注意：

RADIUS 要求配置每个网络客户端设备。

如何在网络上安装 TACACS+？

TACACS+ 登录身份验证协议使用在中央服务器上运行的软件来控制网络上 TACACS 感知设备的访问。服务器会自动与交换机或其他 TACACS 感知设备通信 — 如果这些设备可识别 TACACS，则不需要进一步配置。大多数企业级和运营商级设备都支持 TACACS+ 协议。

将 TACACS+ 服务安装在尽可能靠近用户数据库的位置，最好是在同一台服务器上。TACACS+ 需要与您的域紧密同步，任何网络连接问题、DNS 问题甚至时间差异都可能导致严重的服务故障。在与用户数据库相同的服务器上安装 TACACS+ 也可以提高性能。

TACACS+ 服务器应部署在完全受信任的内部网络中。如果将 TACACS+ 服务保留在受信任的网络中，则只需打开一个端口 TCP 49。不应有任何来自不受信任或半受信任网络的直接访问。

注意：

RADIUS 通常部署在半受信任的网络中，而 TACACS+ 使用内部管理登录，因此在同一台服务器上组合这些服务可能会危及您的网络安全。

RADIUS 和 TACACS+ 的比较

表 1：RADIUS 和 TACACS+

	半径	TACACS+
主要用途	验证并记录远程网络用户	提供对路由器和交换机等网络设备的管理员访问权限
身份验证和授权	身份验证和授权检查捆绑在一起。当客户端设备从服务器请求身份验证时，服务器会同时使用身份验证属性和授权属性进行回复。这些功能不能单独执行。	所有三个 AAA 功能（身份验证、授权和记帐）都可以独立使用。因此，可以使用一种方法（如 kerberos）进行身份验证，而可以使用单独的方法（如 TACACS+）进行授权。
会计	RADIUS 协议的记帐功能可以独立于 RADIUS 身份验证或授权使用。
协议	用户数据报协议 （UDP）/IP 尽最大努力用于在端口 1645/1646、1812/1813 上进行交付	TCP 用于在端口 49 上进行传递。还支持 AppleTalk 远程访问 （ARA） 协议、NetBIOS 帧协议控制协议、Novell 异步服务接口 （NASI） 和 X.25 PAD 连接的多协议。
应用于的加密	密码	用户名和密码
802.1X 安全性	如果要使用基于 802.1x 端口的网络访问控制，则必须使用 RADIUS 客户端，因为 TACACS+ 客户端不支持该功能。
模型	客户端/服务器
推荐环境	半信任	信任