RADIUS服务器的注意事项

要打开“ISA 服务器管理”，请单击“开始”，依次指向“所有程序”、“Microsoft ISA Server”，然后单击“ISA 服务器管理”。 当为 RADIUS 身份验证配置 ISA 服务器时，RADIUS 服务器的配置会应用于使用 RADIUS 身份验证的所有规则或网络对象。 共享机密用于验证 RADIUS 消息（Access-Request 消息除外）是否是配置了相同的共享机密且启用了 RADIUS 的设备发送的。 请务必更改 RADISU 服务器上的默认预共享密钥。 配置强共享密钥，并经常更改，以防止词典攻击。强共享机密是一串很长（超过 22 个字符）的随机字母、数字和标点符号。 如果选择“总是使用消息验证程序”，请确保 RADIUS 服务器能够接收并配置为接收消息验证程序。 对于 *** 客户端，可扩展的身份验证协议(EAP) 消息始终是随同消息验证程序一起发送的。对于 Web 代理客户端，将仅使用密码身份验证协议 (PAP)。 如果 RADIUS 服务器运行了 Internet 身份验证服务 (IAS)，并且为此服务器配置的 RADIUS 客户端选择了“请求必须包含消息验证程序属性”选项，则必须选择“总是使用消息验证程序”。

什么是 RADIUS 服务器

RADIUS 是一种用于在需要认证其链接的网络访问服务器（NAS）和共享认证服务器之间进行认证、授权和记帐信息的文档协议。

RADIUS 的关键功能部件为：

客户机／服务器体系结构 网络访问服务器（NAS）作为 RADIUS 客户机运行。客户机负责将订户信息传递至指定的 RADIUS 服务器，然后根据返回的响应进行操作。

RADIUS 服务器负责接收订户的连接请求、认证订户，然后返回客户机所有必要的配置信息以将服务发送到订户。

RADIUS 服务器可以担当其它 RADIUS 服务器或者是其它种类的认证服务器的代理。

网络安全性：

通过使用加密的共享机密信息来认证客户机和 RADIUS 服务器间的事务。从不通过网络发送机密信息。此外，在客户机和 RADIUS 服务器间发送任何订户密码时，都要加密该密码。　灵活认证机制：

RADIUS 服务器可支持多种认证订户的方法。当订户提供订户名和原始密码时，RADIUS 可支持点对点协议（PPP）、密码认证协议（PAP）、提问握手认证协议（CHAP）以及其它认证机制。

可扩展协议：

所有事务都由变长的三元组“属性-长度-值”组成。可在不影响现有协议实现的情况下添加新属性值。

如何配置 RADIUS 服务器

在“ISA 服务器管理”的控制台树中，单击“常规”： 对于 ISA Server 2004 Enterprise Edition，依次展开“Microsoft Internet Security and Acceleration Server 2004”、“阵列”、“Array_Name”、“配置”，然后单击“常规”。 对于 ISA Server 2004 Standard Edition，依次展开“Microsoft Internet Security and Acceleration Server 2004”、“Server_Name”、“配置”，然后单击“常规”。 在详细信息窗格中，单击“定义 RADIUS 服务器”。 在“RADIUS 服务器”选项卡上，单击“添加”。 在“服务器名”中，键入要用于身份验证的 RADIUS 服务器的名称。 单击“更改”，然后在“新机密”中，键入要用于 ISA 服务器与 RADIUS 服务器之间的安全通讯的共享机密。必须在 ISA 服务器与 RADIUS 服务器上配置相同的共享机密，RADIUS 通讯才能成功。 在“端口”中，键入 RADIUS 服务器要对传入的 RADIUS 身份验证请求使用的用户数据报协议 (UDP)。默认值 1812 基于 RFC 2138。对于更早的 RADIUS 服务器，请将端口值设置为 1645。 在“超时（秒）”中，键入 ISA 服务器将尝试从 RADIUS 服务器获得响应的时间（秒），超过此时间之后，ISA 服务器将尝试另一台 RADIUS 服务器。 如果基于共享机密的消息验证程序与每个 RADIUS 消息一起发送，请选择“总是使用消息验证程序”。

注意：

要打开“ISA 服务器管理”，请单击“开始”，依次指向“所有程序”、“Microsoft ISA Server”，然后单击“ISA 服务器管理”。 当为 RADIUS 身份验证配置 ISA 服务器时，RADIUS 服务器的配置会应用于使用 RADIUS 身份验证的所有规则或网络对象。 共享机密用于验证 RADIUS 消息（Access-Request 消息除外）是否是配置了相同的共享机密且启用了 RADIUS 的设备发送的。 请务必更改 RADISU 服务器上的默认预共享密钥。 配置强共享密钥，并经常更改，以防止词典攻击。强共享机密是一串很长（超过 22 个字符）的随机字母、数字和标点符号。 如果选择“总是使用消息验证程序”，请确保 RADIUS 服务器能够接收并配置为接收消息验证程序。 对于 *** 客户端，可扩展的身份验证协议 (EAP) 消息始终是随同消息验证程序一起发送的。对于 Web 代理客户端，将仅使用密码身份验证协议 (PAP)。 如果 RADIUS 服务器运行了 Internet 身份验证服务 (IAS)，并且为此服务器配置的 RADIUS 客户端选择了“请求必须包含消息验证程序属性”选项，则必须选择“总是使用消息验证程序”。

1．锁定交换机端口

　　对于交换机的每一个以太网端口，采用MAC地址表（MAC-address-table）的方式对端口进行锁定。只有网络管理员在MAC地址表中指定的网卡的MAC地址才能通过该端口与网络连接，其他的网卡地址不能通过该端口访问网络。我们可以在计算机上先运行ping命令，然后用arp-a命令就可以看到网络用户相应的IP地址对应的MAC地址，这样就使MAC地址和物理顺序对应起来，使得一根网线、一个端口对应一个MAC地址。这种方法比较适合于单幢大楼的宽带用户，在每一层楼或每个单元放置一台交换机，对交换机的每一个以太网端口进行限定，让每个用户单独占用一个端口，如果有人盗用了IP地址也将无济于事。下面用一段程序，举例说明指定交换机的e0/9口对应MAC地址083c00000002，只有这个MAC地址可以通过该端口访问网络。

　　2．应用ARP绑定IP地址和MAC地址

　　ARP（Address Resolution Protocol）即地址解析协议，这个协议是将IP地址与网络物理地址一一对应的协议。每台计算机的网卡的MAC地址都是唯一的。在三层交换机和路由器中有一张称为ARP的表，用来支持在IP地址和MAC地址之间的一一对应关系，它提供两者的相互转换，具体说就是将网络层地址解析为数据链路层的地址。

　　我们可以在ARP表里将合法用户的IP地址和网卡的MAC地址进行绑定。当有人盗用IP地址时，尽管盗用者修改了IP地址，但由于网卡的MAC地址和ARP表中对应的MAC地址不一致，那么也不能访问网络。以Cisco交换机为例，在Cisco Catalyst 5000网络交换机上，关于ARP表的设置和删除有以下几条命令：

　　Set arp [dynamic | static] {ip_addr hw_addr}（ 设置动态或静态的ARP表）；

　　ip_addr（IP地址），hw_addr（MAC地址）；

　　Set arp static 2089211 00-80-1c-93-80-40（将将IP地址2089211和网卡MAC地址00-80-1c-93-80-40绑定）；

　　Set arp static 2089213 00-00-00-00-00-00（对未用的IP进行绑定，将MAC地址设置为0）；

　　Set arp agingtime seconds（设置ARP表的刷新时间，如Set arp agingtime 300）；

　　show arp （用来显示ARP表的内容）；

　　clear arp [dynamic | static] {ip_addr hw_addr}（清除ARP表中的内容）。

　　其他品牌的三层交换机也有类似的命令和功能，用其他交换机来构建宽带网络时，也可以采用这种设置ARP表的办法来防止盗用IP地址，以达到限制每个IP地址的流量和根据网络流量进行计费的目的。这种方法比较适合于社区的宽带用户，但它只能防止盗用者静态地修改IP地址。

　　3 用PPPoE协议进行用户认证

　　对于盗用者使用第二种方法同时修改IP地址和MAC地址时，可以使用PPPoE协议进行用户认证。现在有很多基于PPPoE协议的软件，在ADSL的宽带网中广泛使用。PPPoE全称是Point to Point Protocol over Ethernet（基于局域网的点对点通讯协议），这个协议是为了满足越来越多的宽带上网设备和网络之间的通讯而最新制定开发的标准，它基于两个广泛接受的标准，即以太网和PPP点对点拨号协议。对运营商来说，在现有局域网基础上不必花费巨资来做大面积改造，使得PPPoE 在宽带接入服务中比其他协议更具有优势，因此逐渐成为宽带上网的最佳选择。 PPPoE的实质是以太网和拨号网络之间的一个中继协议，它兼有以太网的快速性和PPP协议拨号的简易性以及用户验证和IP分配等优势。在ADSL宽带网的实际应用中，PPPoE利用以太网的工作原理，将ADSL Modem的10BASE－T接口与内部以太网络互联，PPPoE接入利用在网络侧和ADSL Modem之间建立一条PVC（永久虚电路）就可以完成以太网上多用户的共同接入，实际组网方式简单易行，大大降低了网络的复杂程度。

　　在客户端，其设置和拨号上网方式一样，安装虚拟拨号软件，通过虚拟拨号的方式完成。在客户机接入网络后，由PPP服务器或RADIUS服务器来进行认证，其使用的验证协议有两种：PAP和CHAP。

　　PAP是密码身份验证协议，它使用原文（不加密）密码，是一种最简单的身份验证协议。如果网络的接入不能用更安全的验证方式，一般就使用PAP。

首先你的main主函数名写错了，其次double的格式是%lf，而不是%f

所有代码如下：

1)

#include<stdioh>

#define PI 314159

void main()

{

double r,c,s;

r=125;

c=2PIr;

s=PIrr;

printf("c=%lf,s=%lf\n",c,s);

}

运行结果: c=7853975,s=4908734

2)

#include<stdioh>

void main()

{

char x;

printf("请输入一个大写字母:");

scanf("%c",&x);

printf("对应的小写字母:%c\n",x+32);

}

运行结果:请输入一个大写字母:A

对应的小写字母:a

3)

#include<stdioh>

void main()

{

int x;

printf("请输入一个三位整数:");

scanf("%d",&x);

printf("个位:%d 十位:%d 百位:%d\n",x%10,x/10%10,x/100%10);

}

运行结果:请输入一个三位整数:123

个位:3 十位:2 百位:1

RADIUS（Remote Authentication Dial In User Service，远程用户拨号认证服务）服务器提供了三种基本的功能：认证（Authentication）、授权（Authorization）和审计（Accounting），即提供了3A功能。其中审计也称为“记账”或“计费”。

RADIUS协议采用了客户机/服务器（C/S）工作模式。网络接入服务器（Network Access Server，NAS）是RADIUS的客户端，它负责将用户的验证信息传递给指定的RADIUS服务器，然后处理返回的响应。

搭建Radius服务器的方法：

用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account- Require，RADIUS服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关操作。

RADIUS还支持代理和漫游功能。简单地说，代理就是一台服务器，可以作为其他RADIUS服务器的代理，负责转发RADIUS认证和计费数据包。所谓漫游功能，就是代理的一个具体实现，这样可以让用户通过本来和其无关的RADIUS服务器进行认证，用户到非归属运营商所在地也可以得到服务，也可以实现虚拟运营。

RADIUS服务器和NAS服务器通过UDP协议进行通信，RADIUS服务器的1812端口负责认证，1813端口负责计费工作。采用UDP的基本考虑是因为NAS和RADIUS服务器大多在同一个局域网中，使用UDP更加快捷方便，而且UDP是无连接的，会减轻RADIUS的压力，也更安全。

RADIUS协议还规定了重传机制。如果NAS向某个RADIUS服务器提交请求没有收到返回信息，那么可以要求备份RADIUS服务器重传。由于有多个备份RADIUS服务器，因此NAS进行重传的时候，可以采用轮询的方法。如果备份RADIUS服务器的密钥和以前RADIUS服务器的密钥不同，则需要重新进行认证。

1、设置radius

设置-->数据库

自动配置ODBC

设置-->系统

密钥、认证端口、计费端口

设置结果如下：

密钥：123

认证端口：1812

计费端口：1813

设置-->认证方法

安全-->拒绝具有相同用户名的并发用户接入（这样，要是相同用户名的并发用户接入时就提示691错误）

所有设置完要重新运行winradiusexe才生效的

添加用户：aaa和bbb

现在我们来测试一下radius是否生效了，运行RadiusTestexe

2、设置routerOS的radius

radius-->add

service：ppp

address：19216888100 （填的是radius服务器的ip地址）

secret：123 （填的是radius服务器的密钥）

authentication port：1812 （填的是radius服务器的认证端口号）

accounting port：1813 （填的是radius服务器的计费端口号）

3、修改ppp的secret使支持AAA，这样ppp就可用使用radius进行认证了

ppp-->secret，AAA-->set

勾选上use radius

4、测试

用一帐户进行pppoe测试，一切正常

用另一帐户进行***测试，不可以，742错误，远程计算机不支持所要求的数据加密类型

＃i nclude "graphicsh"

＃i nclude "mathh"

＃i nclude "dosh"

＃i nclude "conioh"

＃i nclude "stdlibh"

＃i nclude "stdioh"

＃i nclude "stdargh"

#define MAXPTS 15

#define PI 31415926

struct PTS {

int x,y;

};

double AspectRatio=085;

void LineToDemo(void)

{

struct viewporttype vp;

struct PTS points[MAXPTS];

int i, j, h, w, xcenter, ycenter;

int radius, angle, step;

double rads;

printf(" MoveTo / LineTo Demonstration" );

getviewsettings( &vp );

h = vpbottom - vptop;

w = vpright - vpleft;

xcenter = w / 2; / Determine the center of circle / ycenter = h / 2;

radius = (h - 30) / (AspectRatio  2);

step = 360 / MAXPTS; / Determine # of increments / angle = 0; / Begin at zero degrees / for( i=0 ; i<MAXPTS ; ++i ){ / Determine circle intercepts / rads = (double)angle  PI / 1800; / Convert angle to radians / points[i]x = xcenter + (int)( cos(rads)  radius );

points[i]y = ycenter - (int)( sin(rads)  radius  AspectRatio );

angle += step; / Move to next increment / }

circle( xcenter, ycenter, radius ); / Draw bounding circle / for( i=0 ; i<MAXPTS ; ++i ){ / Draw the cords to the circle / for( j=i ; j<MAXPTS ; ++j ){ / For each remaining intersect / moveto(points[i]x, points[i]y); / Move to beginning of cord / lineto(points[j]x, points[j]y); / Draw the cord / } } }

main()

{int driver,mode;

driver=CGA;mode=CGAC0;

initgraph(&driver,&mode,"");

setcolor(3);

setbkcolor(GREEN);

LineToDemo();}