Radius认证协议（三）报文属性-1

本是古典何须时尚 2022-10-20 13:44 723阅读 0赞

## 属性 ##

RADIUS属性携带用于请求和应答的特定认证、授权、信息和配置细节。

Attributes列表的结束由RADIUS数据包的Length字段决定。

Attributes列表可以包含同一种属性多次。

如果存在多个相同Type的属性，则任何代理都必须保留相同Type的属性的顺序。不需要保留不同Type属性的顺序。RADIUS服务器或客户端不能依赖不同Type的属性顺序。RADIUS服务器或客户端不能要求相同Type的属性是连续的。

属性格式如下, 字段从左到右传输。

![20210518094303858.png][]

<table style="width:361.25pt;"> 
 <tbody> 
 <tr> 
 <td style="background-color:#00b0f0;width:49.4pt;"> Type </td> 
 <td style="background-color:#00b0f0;width:120.45pt;"> 属性名称 </td> 
 <td style="background-color:#00b0f0;width:49.65pt;"> Type </td> 
 <td style="background-color:#00b0f0;width:5cm;"> 属性名称 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 1 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Acct-Status-Type </td> 
 <td style="vertical-align:top;width:49.65pt;"> 23 </td> 
 <td style="vertical-align:top;width:5cm;"> Framed-IPX-Network </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 2 </td> 
 <td style="vertical-align:top;width:120.45pt;"> User-Password </td> 
 <td style="vertical-align:top;width:49.65pt;"> 24 </td> 
 <td style="vertical-align:top;width:5cm;"> State </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 3 </td> 
 <td style="vertical-align:top;width:120.45pt;"> CHAP-Password </td> 
 <td style="vertical-align:top;width:49.65pt;"> 25 </td> 
 <td style="vertical-align:top;width:5cm;"> Class </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 4 </td> 
 <td style="vertical-align:top;width:120.45pt;"> NAS-IP-Address </td> 
 <td style="vertical-align:top;width:49.65pt;"> 26 </td> 
 <td style="vertical-align:top;width:5cm;"> Vendor-Specific </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 5 </td> 
 <td style="vertical-align:top;width:120.45pt;"> NAS-Port </td> 
 <td style="vertical-align:top;width:49.65pt;"> 27 </td> 
 <td style="vertical-align:top;width:5cm;"> Session-Timeout </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 6 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Service-Type </td> 
 <td style="vertical-align:top;width:49.65pt;"> 28 </td> 
 <td style="vertical-align:top;width:5cm;"> Idle-Timeout </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 7 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-Protocol </td> 
 <td style="vertical-align:top;width:49.65pt;"> 29 </td> 
 <td style="vertical-align:top;width:5cm;"> Termination-Action </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 8 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-IP-Address </td> 
 <td style="vertical-align:top;width:49.65pt;"> 30 </td> 
 <td style="vertical-align:top;width:5cm;"> Called-Station-Id </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 9 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-IP-Netmask </td> 
 <td style="vertical-align:top;width:49.65pt;"> 31 </td> 
 <td style="vertical-align:top;width:5cm;"> Calling-Station-Id </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 10 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-Routing </td> 
 <td style="vertical-align:top;width:49.65pt;"> 32 </td> 
 <td style="vertical-align:top;width:5cm;"> NAS-Identifier </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 11 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Filter-Id </td> 
 <td style="vertical-align:top;width:49.65pt;"> 33 </td> 
 <td style="vertical-align:top;width:5cm;"> Proxy-State </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 12 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-MTU </td> 
 <td style="vertical-align:top;width:49.65pt;"> 34 </td> 
 <td style="vertical-align:top;width:5cm;"> Login-LAT-Service </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 13 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-Compression </td> 
 <td style="vertical-align:top;width:49.65pt;"> 35 </td> 
 <td style="vertical-align:top;width:5cm;"> Login-LAT-Node </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 14 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Login-IP-Host </td> 
 <td style="vertical-align:top;width:49.65pt;"> 36 </td> 
 <td style="vertical-align:top;width:5cm;"> Login-LAT-Group </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 15 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Login-Service </td> 
 <td style="vertical-align:top;width:49.65pt;"> 37 </td> 
 <td style="vertical-align:top;width:5cm;"> Framed-AppleTalk-Link </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 16 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Login-TCP-Port </td> 
 <td style="vertical-align:top;width:49.65pt;"> 38 </td> 
 <td style="vertical-align:top;width:5cm;"> Framed-AppleTalk-Network </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 17 </td> 
 <td style="vertical-align:top;width:120.45pt;"> 未分配 </td> 
 <td style="vertical-align:top;width:49.65pt;"> 39 </td> 
 <td style="vertical-align:top;width:5cm;"> Framed-AppleTalk-Zone </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 18 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Reply-Message </td> 
 <td style="vertical-align:top;width:49.65pt;"> 40-59 </td> 
 <td style="vertical-align:top;width:5cm;"> 为计费保留 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 19 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Callback-Number </td> 
 <td style="vertical-align:top;width:49.65pt;"> 60 </td> 
 <td style="vertical-align:top;width:5cm;"> CHAP-Challenge </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 20 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Callback-Id </td> 
 <td style="vertical-align:top;width:49.65pt;"> 61 </td> 
 <td style="vertical-align:top;width:5cm;"> NAS-Port-Type </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 21 </td> 
 <td style="vertical-align:top;width:120.45pt;"> 未分配 </td> 
 <td style="vertical-align:top;width:49.65pt;"> 62 </td> 
 <td style="vertical-align:top;width:5cm;"> Port-Limit </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:49.4pt;"> 22 </td> 
 <td style="vertical-align:top;width:120.45pt;"> Framed-Route </td> 
 <td style="vertical-align:top;width:49.65pt;"> 63 </td> 
 <td style="vertical-align:top;width:5cm;"> Login-LAT-Port </td> 
 </tr> 
 </tbody> 
</table>

Length：1个字节，表示属性长度，包括Type、Length、Value三个字段。如果接收到的Access-Request中属性的Length无效，则发送Access-Reject。如果接收到的Access-Accept, Access-Reject或 Access-Challenge中属性的Length无效，则必须将该数据包视为Access-Reject，或静默丢弃。

Value：0或多个字节，包含特定于属性的信息，格式和长度由Type和Length字段决定。

注意，RADIUS中的所有类型都没有以NUL（十六进制 00）终止。特别是，RADIUS中的text和string类型不会以NUL（十六进制00）终止。属性使用Length字段，而不使用终止符。文本包含UTF-8编码的10646个字符，String由8位二进制数据组成。服务器以及客户端必须能够处理嵌入的null。使用C的实现RADIUS时在处理字符串时不要使用strcpy（）。

value字段的格式是以下五种数据类型之一。text文类型是string类型的子集。

text：1-253个字节，包含UTF-8编码的10646个字符。不能发送长度为零的text。

string：1-253个字节，包含二进制数据。不能发送长度为零的string。

address：32位值，最高有效字节在先。

Integer：32位无符号数，最高有效字节在先。

time：32位无符号值，最高有效字节在先--自1970年1月1日00:00:00 UTC以来的秒。标准属性不使用此数据类型，此处给出了该数据类型，为了供将来的属性使用。

### User-Name ###

要认证的用户名，如果可以获取，则必须在Access-Request中发送。

User-Name可以在Access-Accept中发送，在这种情况下，客户端应该在此会话的所有Accounting-Request中使用Access-Accept中返回的用户名。 如果Access- Accept包括Service-Type = Rlogin和User-Name属性，则NAS在执行Rlogin功能时可以使用返回的用户名。

User-Name属性格式如下, 字段从左到右传输。

![20210518095221709.png][]

Type：1。

Length：>=3。

String：一个或多个字节。NAS可以限制User-Name的最大长度，但建议最少可以处理63个字节。

用户名的格式可以是以下几种形式之一：

text：仅由UTF-8编码的10646个字符组成。

Network Access Identifier：网络访问标识符。

专有名称：公钥（Public Key）认证系统中使用的ASN.1（抽象语法标记：Abstract Syntax Notation One）格式的名称。

### User-Password ###

要认证的用户的密码，或是Access-Challenge后用户的输入，仅用于Access-Request数据包。

在传输时，密码是隐藏的。在密码末尾加null至16字节的倍数。对共享密钥和Request Authenticator进行MD5计算，MD5结果与密码的第一个16字节异或，结果放在User-Password属性的String字段的前16个字节。

如果密码长度超过16个字节，则对共享密钥和第一个xor的结果进行MD5计算，MD5结果与密码的第二个16字节异或，结果放在User-Password属性的String字段的第二个16字节。

如有必要，重复此操作，共享密钥与每个xor结果进行MD5计算，MD5计算结果与密码的下一个16字节进行xor，但结果不超过128个字符。

对该方法的更精确解释如下：

调用共享密钥S和伪随机128位Request Authenticator（RA）。 将密码分为16个字节的块p1，p2等，最后一个在末尾以null填充到16个字节。密文块c（1），c（2）等。中间值b1，b2等。

b1 = MD5(S + RA)       c(1) = p1 xor b1

b2 = MD5(S + c(1))     c(2) = p2 xor b2

.                       .

bi = MD5(S + c(i-1))   c(i) = pi xor bi

String为c（1）+ c（2）+ ... + c（i），其中+表示串联。

收到后，相反过程就可以产生原始密码。

User- Password属性格式如下, 字段从左到右传输。

![20210518095322122.png][]

Type：2。

Length：最小为18，最大为130。

String：长度介于16到128个字节之间（含16和128个八位字节）。

### CHAP-Password ###

PPP质询握手身份验证协议（CHAP）用户响应质询时提供的响应值,仅用于Access-Request数据包。

如果数据包中存在CHAP-Challenge，则CHAP质询放置在CHAP-Challenge属性中，否则，存在于Request Authenticator字段。

CHAP-Password属性格式如下, 字段从左到右传输。

![20210518101444995.png][]

Type：3。

Length：19。

CHAP Ident：1字节，用户CHAP响应中的CHAP标识符。

String：16字节，用户的CHAP响应。

### NAS-IP-Address ###

正在请求用户认证的NAS的IP地址，在RADIUS服务器范围内唯一。 NAS-IP-Address仅用于Access-Request数据包。NAS-IP-Address或NAS-Identifier必须存在于Access-Request中。

提示：NAS IP地址不能用来选择用于验证请求的共享密钥。必须使用Access-Request包的源IP地址来选择共享密钥。

NAS-IP-Address属性格式如下, 字段从左到右传输。

![20210518101857700.png][]

Type：4。

Length：6。

Address：4字节。

### NAS-Port ###

正在验证用户身份的NAS的物理端口号，仅在Access-Request中使用。注意：这是在NAS上的物理连接意义的“端口”，而不是在TCP或UDP端口号。 如果NAS区分端口，则Access-Request中应包含NAS-Port或NAS-Port-Type (61)）或两者。

NAS-Port属性格式如下, 字段从左到右传输。

![20210518101958245.png][]

Type：5。

Length：6。

Value：4字节。

### Service-Type ###

用户请求的服务类型或要提供的服务类型，可以在Access-Request和Access-Accept中使用。 NAS不需要实现所有的服务类型，必须将未知或不支持的服务类型视为接收到Access-Reject。

Service-Type属性格式如下, 字段从左到右传输。

![20210518102139142.png][]

Type：6。

Length：6。

Value：4字节，在Access-Accept中时，服务类型定义如下。在Access- Reques中可以被认为是对RADIUS服务器的一个提示，说明NAS认为用户需要的服务类型，但服务器可以接受该提示，也可以不接受。取值如下表：

<table style="width:417.95pt;"> 
 <tbody> 
 <tr> 
 <td style="background-color:#5b9bd5;width:42.3pt;"> 值 </td> 
 <td style="background-color:#5b9bd5;width:4cm;"> 名称 </td> 
 <td style="background-color:#5b9bd5;width:262.25pt;"> 含义 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 1 </td> 
 <td style="vertical-align:top;width:4cm;"> Login </td> 
 <td style="vertical-align:top;width:262.25pt;"> 用户连接到主机。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 2 </td> 
 <td style="vertical-align:top;width:4cm;"> Framed </td> 
 <td style="vertical-align:top;width:262.25pt;"> 为用户启动帧协议，例如PPP或SLIP。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 3 </td> 
 <td style="vertical-align:top;width:4cm;"> Callback Login </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该断开用户的连接并回拨，然后连接到主机。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 4 </td> 
 <td style="vertical-align:top;width:4cm;"> Callback Framed </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该断开用户的连接并回拨，然后为用户启动一个帧协议，例如PPP或SLIP </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 5 </td> 
 <td style="vertical-align:top;width:4cm;"> Outbound </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该授予用户访问传出设备的权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 6 </td> 
 <td style="vertical-align:top;width:4cm;"> Administrative </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该授予用户访问NAS管理接口的权限，从该接口可以执行特权命令。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 7 </td> 
 <td style="vertical-align:top;width:4cm;"> NAS Prompt </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该在NAS上为用户提供一个命令提示符，从中可以执行非特权命令。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 8 </td> 
 <td style="vertical-align:top;width:4cm;"> Authenticate Only </td> 
 <td style="vertical-align:top;width:262.25pt;"> 仅请求身份验证，不需要在Access-Accept（通常由代理服务器而不是NAS本身使用）中返回任何授权信息。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 9 </td> 
 <td style="vertical-align:top;width:4cm;"> Callback NAS Prompt </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该断开用户的连接并回拨，然后在NAS上提供命令提示符，从中可以执行非特权命令。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 10 </td> 
 <td style="vertical-align:top;width:4cm;"> Call Check </td> 
 <td style="vertical-align:top;width:262.25pt;"> 通常基于Calling-Station-Id或Called-Station-Id属性，由NAS在Access-Request数据包中使用，表示一旦接到呼叫， RADIUS服务器应基于Calling-Station-Id或Called-Station-Id属性，发送Access-Accept以接受应答呼叫，或发送Access-Reject以不接受呼叫。建议此类访问请求使用Calling-Station-Id作为用户名的值。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 11 </td> 
 <td style="vertical-align:top;width:4cm;"> Callback Administrative </td> 
 <td style="vertical-align:top;width:262.25pt;"> 应该断开用户的连接并回拨，然后授予对NAS管理界面的访问权限，从中可以执行特权命令。 </td> 
 </tr> 
 </tbody> 
</table>

### Framed-Protocol ###

表示帧协议，可以用于Access-Request和Access-Accept数据包。

Framed-Protocol属性格式如下, 字段从左到右传输。

![20210518102235134.png][]

Type：7。

Length：6。

Value：4字节，取值如下：

<table> 
 <tbody> 
 <tr> 
 <td style="background-color:#5b9bd5;width:42.3pt;"> 值 </td> 
 <td style="background-color:#5b9bd5;width:8cm;"> 名称 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 1 </td> 
 <td style="vertical-align:top;width:8cm;"> PPP </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 2 </td> 
 <td style="vertical-align:top;width:8cm;"> SLIP </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 3 </td> 
 <td style="vertical-align:top;width:8cm;"> AppleTalk Remote Access Protocol (ARAP) </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 4 </td> 
 <td style="vertical-align:top;width:8cm;"> Gandalf proprietary SingleLink/MultiLink protocol </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 5 </td> 
 <td style="vertical-align:top;width:8cm;"> Xylogics proprietary IPX/SLIP </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:42.3pt;"> 6 </td> 
 <td style="vertical-align:top;width:8cm;"> X.75 Synchronous </td> 
 </tr> 
 </tbody> 
</table>

[20210518094303858.png]: /images/20221020/1afd4f2b17ef4e7997eca78314df5cd1.png
[20210518095221709.png]: /images/20221020/d059f57e5e2540bd910b4c1b7acfd6e0.png
[20210518095322122.png]: /images/20221020/293095efe34d42d892edd6927a5fe5ad.png
[20210518101444995.png]: /images/20221020/eb5f6de6e9c34eaaa5e1b2ef45c66345.png
[20210518101857700.png]: /images/20221020/17e10e76f58c45ad9327829756f35e75.png
[20210518101958245.png]: /images/20221020/0db09418a2da4d7b9d9862bd431df9ea.png
[20210518102139142.png]: /images/20221020/4c43b4a7dff34b95b837cd1d0d62b2a9.png
[20210518102235134.png]: /images/20221020/433d4491e0a344e09b916a3be045f109.png