radius server是什么意思？最好详细一点

什么是 RADIUS 服务器

RADIUS 是一种用于在需要认证其链接的网络访问服务器（NAS）和共享认证服务器之间进行认证、授权和记帐信息的文档协议。

RADIUS 的关键功能部件为：

客户机／服务器体系结构 网络访问服务器（NAS）作为 RADIUS 客户机运行。客户机负责将订户信息传递至指定的 RADIUS 服务器，然后根据返回的响应进行操作。

RADIUS 服务器负责接收订户的连接请求、认证订户，然后返回客户机所有必要的配置信息以将服务发送到订户。

RADIUS 服务器可以担当其它 RADIUS 服务器或者是其它种类的认证服务器的代理。

网络安全性：

通过使用加密的共享机密信息来认证客户机和 RADIUS 服务器间的事务。从不通过网络发送机密信息。此外，在客户机和 RADIUS 服务器间发送任何订户密码时，都要加密该密码。　灵活认证机制：

RADIUS 服务器可支持多种认证订户的方法。当订户提供订户名和原始密码时，RADIUS 可支持点对点协议（PPP）、密码认证协议（PAP）、提问握手认证协议（CHAP）以及其它认证机制。

可扩展协议：

所有事务都由变长的三元组“属性-长度-值”组成。可在不影响现有协议实现的情况下添加新属性值。

如何配置 RADIUS 服务器

在“ISA 服务器管理”的控制台树中，单击“常规”： 对于 ISA Server 2004 Enterprise Edition，依次展开“Microsoft Internet Security and Acceleration Server 2004”、“阵列”、“Array_Name”、“配置”，然后单击“常规”。 对于 ISA Server 2004 Standard Edition，依次展开“Microsoft Internet Security and Acceleration Server 2004”、“Server_Name”、“配置”，然后单击“常规”。 在详细信息窗格中，单击“定义 RADIUS 服务器”。 在“RADIUS 服务器”选项卡上，单击“添加”。 在“服务器名”中，键入要用于身份验证的 RADIUS 服务器的名称。 单击“更改”，然后在“新机密”中，键入要用于 ISA 服务器与 RADIUS 服务器之间的安全通讯的共享机密。必须在 ISA 服务器与 RADIUS 服务器上配置相同的共享机密，RADIUS 通讯才能成功。 在“端口”中，键入 RADIUS 服务器要对传入的 RADIUS 身份验证请求使用的用户数据报协议 (UDP)。默认值 1812 基于 RFC 2138。对于更早的 RADIUS 服务器，请将端口值设置为 1645。 在“超时（秒）”中，键入 ISA 服务器将尝试从 RADIUS 服务器获得响应的时间（秒），超过此时间之后，ISA 服务器将尝试另一台 RADIUS 服务器。 如果基于共享机密的消息验证程序与每个 RADIUS 消息一起发送，请选择“总是使用消息验证程序”。

注意：

要打开“ISA 服务器管理”，请单击“开始”，依次指向“所有程序”、“Microsoft ISA Server”，然后单击“ISA 服务器管理”。 当为 RADIUS 身份验证配置 ISA 服务器时，RADIUS 服务器的配置会应用于使用 RADIUS 身份验证的所有规则或网络对象。 共享机密用于验证 RADIUS 消息（Access-Request 消息除外）是否是配置了相同的共享机密且启用了 RADIUS 的设备发送的。 请务必更改 RADISU 服务器上的默认预共享密钥。 配置强共享密钥，并经常更改，以防止词典攻击。强共享机密是一串很长（超过 22 个字符）的随机字母、数字和标点符号。 如果选择“总是使用消息验证程序”，请确保 RADIUS 服务器能够接收并配置为接收消息验证程序。 对于 *** 客户端，可扩展的身份验证协议 (EAP) 消息始终是随同消息验证程序一起发送的。对于 Web 代理客户端，将仅使用密码身份验证协议 (PAP)。 如果 RADIUS 服务器运行了 Internet 身份验证服务 (IAS)，并且为此服务器配置的 RADIUS 客户端选择了“请求必须包含消息验证程序属性”选项，则必须选择“总是使用消息验证程序”。

RADIUS（Remote Authentication Dial In User Service，远程用户拨号认证服务）服务器提供了三种基本的功能：认证（Authentication）、授权（Authorization）和审计（Accounting），即提供了3A功能。其中审计也称为“记账”或“计费”。

RADIUS协议采用了客户机/服务器（C/S）工作模式。网络接入服务器（Network Access Server，NAS）是RADIUS的客户端，它负责将用户的验证信息传递给指定的RADIUS服务器，然后处理返回的响应。

搭建Radius服务器的方法：

用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account- Require，RADIUS服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关操作。

RADIUS还支持代理和漫游功能。简单地说，代理就是一台服务器，可以作为其他RADIUS服务器的代理，负责转发RADIUS认证和计费数据包。所谓漫游功能，就是代理的一个具体实现，这样可以让用户通过本来和其无关的RADIUS服务器进行认证，用户到非归属运营商所在地也可以得到服务，也可以实现虚拟运营。

RADIUS服务器和NAS服务器通过UDP协议进行通信，RADIUS服务器的1812端口负责认证，1813端口负责计费工作。采用UDP的基本考虑是因为NAS和RADIUS服务器大多在同一个局域网中，使用UDP更加快捷方便，而且UDP是无连接的，会减轻RADIUS的压力，也更安全。

RADIUS协议还规定了重传机制。如果NAS向某个RADIUS服务器提交请求没有收到返回信息，那么可以要求备份RADIUS服务器重传。由于有多个备份RADIUS服务器，因此NAS进行重传的时候，可以采用轮询的方法。如果备份RADIUS服务器的密钥和以前RADIUS服务器的密钥不同，则需要重新进行认证。

AAA认证是什么意思AAA认证申报流程AAA是认证(Authentication)、授权(Authorization)和计费(Accounting)的简称，是网络安全中进行访问控制的一种安全管理机制，提供认证、授权和计费三种安全服务。提供给安全设备来授权用户接入设备或者临近网络的一个架构。授权特性用来在用户被认证之后限制用户的权限。统计用来维持设备活动,以及网络或者网络设备中行为的日志。

　　AAA可以在单个用户或者单个服务的基础上执行它的功能。也就是说，可以用来认证和授权单个用户或者服务，AAA设置在路由器或者PIX或者任何其他这样的设备上,,这些设备都需要AAA对接入设备本身或者与设备相连的网络的用户进行限制。路由器可以使用本地数据库获取用于AAA的数据,比如用户名或者口令或者每个用户的访问控制列表;它也可以通过诸如RADIUS或者TACACS+这样的协议来请求一个认证服务器

　　企业信用等级AAA证书属于一种荣誉资质，是提升企业公信力和影响力保障的一项资质。信用等级是信用 (资信)评估机构根据企业资信评估结果对企业信用度划分的等级类别，它反映了企业信用度的高低。

　　AAA信用等级是一种等级划分。代指企业的信用经过行业、机构评审达到A级的信用标准，获评企业会得到机构出具的牌匾、证书。

　　另外，信用等级证书我国采用的是国际通行的“四等十级制”评级等级，具体等级分为：AAA，AA，A，BBB，BB，B，CCC，CC，C，D。其中AAA级是最高等级，D级最低。信用等级越高表明企业信用程度越高，经营状况、盈利水平越好，履约能力、偿债能力越强。

我们平时在打开网页时或者在用浏览器访问你局域网的路由器时，经常会出现弹出登陆页面框要进行登陆授权后才能继续访问。比如如下提示：

上面展示的一个场景是客户端在使用HTTP协议和服务端通信时，服务器需要对客户端进行授权认证，客户端输入正确的用户密码后才能继续进行访问。那这个流程是如何实现的呢？

1客户端请求需要授权认证的URL地址。

2服务端返回401，告诉客户端这个请求需要授权认证，并且指定授权认证的方式。（在IE中系统会弹出对话框让输入用户和密码）

3客户端按服务器要求的授权方式，拼装用户和密码，放入到请求头中，并再次发送。

4服务端根据提供用户的密码，来决定返回成功还是失败。

我们称上面这种授权认证机制叫challange/response机制，客户端发起请求，服务器发起挑战(challange)，客户端接收挑战，服务器返回挑战结果。

在HTTP协议10系统中只支持：基本认证(Basic realm)，而在11中支持摘要认证:(Digest realm)，和WSSE(WS-Security)认证 至于使用什么认证由服务端在返回的401响应中的 WWW-Authenticate 中指定。

1基本认证(Basic realm)方式下，客户端接受挑战的方式是用: BASE64(用户:密码)的结果返回给服务端。这种方法比较简单，而且在网络传输中很容易被破解。上面的例子用的就是基本认证方式，这时候客户端只需要在请求头中带上：

Authorization: [认证的方式] [BASE64(用户:密码)]

2摘要认证(Digest realm)方式下，服务端在响应401时会返回一个随机数。 客户端 把MD5(用户，密码，随机数）后的值，连同用户一起通过Authorization: 请求头发送给服务端。服务端则根据用户取出对应的密码，随机数同样用MD5(用户，密码，随机数)， 如果两者相等则认为认证通过，否则认证失败。 查看具体交互过程

3WSSE(WS-Security)认证。主要用于webservice服务的授权认证，具体请参考 WSSE

4对于我们有时候访问第三方需要授权的资源时，我们采用OAuth协议来让第三方进行授权认证，因此在我们没有登录前，访问这些资源时服务端也可以返回401。同时它还带了如下的响应：

WWW-Authenticate: OAuth realm=<your_realm>

这样客户端就知道这种资源是需要OAuth认证的，这时候客户端应该启用Aauth认证机制，也就是OAuth协议可以用http认证的扩展来传输各种数据，也可以自己定义post方式来进行传输，具体参考OAUTH协议。