Một số loại VPN Router (ví dụ Draytek V27xx, V29xx, V33xx hoặc Cisco ASA 5510, 18xx, 28xx, 38xx...) mặc dù đều
cho phép tạo User Profile ngay trên router nhưng có nhược điểm là số lượng người dùng bị giới hạn (thường khoảng
30-100 người dùng) và nhất là gây khó khăn trong việc sử dùng bởi người dùng phải nhớ nhiều loại mật khẩu (mật
khẩu đăng nhập vào VPN Server, mật khẩu đăng nhập vào AD...)
Sử dụng xác thực RADIUS Server, người dùng có thể sử dụng ngay mật khẩu AD để truy xuất từ xa tới và đăng nhập
vào VPN Server trên Router. Hơn nữa, sau khi xác thực với RADIUS Server thành công, người dùng có thể truy cập
được ngay vào các tài nguyên trên mạng nội bộ như các thư mục chia sẻ, máy in... mà không cần phải đăng nhập lại.
Quản trị mạng có thể quản lý và kiểm tra việc sử dụng của từng người dùng thông qua file log (text / MS SQL) trên
RADIUS Server.
Ngoài ra, RADIUS Server còn được sử dụng để cung cấp dịch vụ xác thực người dùng cho nhiều loại Network Access
Server (NAS) khác như Remote Desktop Gateway (xác thực người dùng khi truy cập máy tính từ ra), DHCP Server
(cấp phát IP dựa trên xác thực người dùng)...
Vì sao cần sử dụng RADIUS server để xác thực người dùng?
1. Trong môi trường domain, vì lý do tăng cường mức độ bảo mật ta không muốn join máy VPN server
hoặc ISA server vào domain. Vậy làm sao VPN/ISA server có thể xác thực được người dùng (user của
domain)?
2. Nếu ta sử dụng VPN server hoặc firewall cứng (không phải là máy tính cài Windows để join domain) thì
tương tự như trên làm sao VPN/firewall có thể xác thực được người dùng (user của domain)?
Vậy để xác thực người dùng ta cần một server trung gian giữa DC và VPN/ISA server (server này join
domain để có thể truy cập được AD).Server này nhận yêu cầu xác thực từ VPN/ISA server và truy cập AD
để xác thực rồi trả kết quả về cho VPN/ISA server. Server này gọi là RADIUS server.
Bên ngoài Hosted RADIUS server
Nhi u t ch c có m t xác th c ng i dùng hi n hành ho c máy ch th m c mà h mu n s d ng đ ki m soátề ổ ứ ộ ự ườ ệ ặ ủ ư ụ ọ ố ử ụ ể ể
truy c p m ng LAN không dây.ậ ạ Các lo i máy ch ph bi n bao g m LDAP và Active.ạ ủ ổ ế ồ B t kỳ lo i máy ch xácấ ạ ủ
th c v i m t giao di n RADIUS có th đ c tích h p v i m t m ng không dây Meraki.ự ớ ộ ệ ể ượ ợ ớ ộ ạ MCC cho phép m t qu nộ ả
tr viên đ c u hình các máy ch RADIUS nhi u đ chuy n đ i d phòng.ị ể ấ ủ ề ể ể ổ ự
Khi m t máy ch RADIUS bên ngoài t ch c đ c s d ng v i m t trong hai ki m soát truy c p d a trên MACộ ủ ổ ứ ượ ử ụ ớ ộ ể ậ ự
ho c WPA2 Enterprise v i xác th c 802.1x, AP Meraki ph i có kh năng đ ti p c n v i máy ch RADIUS.ặ ớ ự ả ả ể ế ậ ớ ủ MCC
cung c p m t công c ki m tra cho phép m t qu n tr viên đ xác minh k t n i c a t t c các AP Meraki đ n máyấ ộ ụ ể ộ ả ị ể ế ố ủ ấ ả ế
ch RADIUS, và đ ki m tra m t t p h p các thông tin ng i dùng ch ng l i các máy ch RADIUS.ủ ể ể ộ ậ ợ ườ ố ạ ủ Các công cụ
ki m tra xu t hi n d i tab Configure trên trang Access Control.ể ấ ệ ướ
Khi m t máy ch RADIUS bên ngoài t ch c đ c s d ng v i đăng nh p trên trang splash, m t qu n tr viên cóộ ủ ổ ứ ượ ử ụ ớ ậ ộ ả ị
th c u hình Meraki m ng không dây đ s d ng m t máy ch RADIUS bên ngoài t ch c đ xác th c ng iể ấ ạ ể ử ụ ộ ủ ổ ứ ể ự ườ
dùng. MCC ho t đ ng nh m t trung gian trong c u hình này đ cung c p (1) kinh nghi m ng i dùng m t k tạ ộ ư ộ ấ ể ấ ệ ườ ộ ế
thúc phù h p (ví d , ng i s d ng không dây không đ c trình bày v i các trang splash m t l n n a n u anh taợ ụ ườ ử ụ ượ ớ ộ ầ ữ ế
l i c ng khác AP) và (2) tính năng k toán RADIUS.ạ ộ ế
N u trang đăng nh p splash đ c l u tr b i MCC, cu c trò chuy n là RADIUS m t trao đ i đ n gi n gi a cácế ậ ượ ư ữ ở ộ ệ ộ ổ ơ ả ữ
MCC và RADIUS máy ch bên ngoài.ủ
N u các d u hi u trên splash trang b n thân nó là bên ngoài t ch c, cu c trò chuy n liên quan đ n vi c trao đ iế ấ ệ ả ổ ứ ộ ệ ế ệ ổ
gi a các máy ch trang splash, MCC, và máy ch RADIUS.ữ ủ ủ C th là:ụ ể
1. Khách hàng liên k t không dây v i m ng không dây Meraki.ế ớ ạ
2. Ng i s d ng làm cho m t yêu c u ban đ u cho m t URL trong trình duy t web c a mình.ườ ử ụ ộ ầ ầ ộ ệ ủ
3. AP Meraki chuy n h ng ng i dùng đ n m t URL trên máy ch trang splash.ể ướ ườ ế ộ ủ (Qu n tr viên c u hìnhả ị ấ
URL này trong MCC, d i tab Configure trên trang Trang Splash) Khi AP Meraki chuy n h ng ng i dùng đ nướ ể ướ ườ ế
máy ch trang splash, nó bao g m các thông s sau đây HTTP chuy n h ng HTTP:ủ ồ ố ể ướ
a. continue_url: URL mà ng i dùng yêu c u ban đ u.ườ ầ ầ Tham s này có th đ c gi i thích b i cácố ể ượ ả ở
máy ch trang splash đ quy t đ nh n i ng i s d ng nên đ c chuy n h ng n u ông xác th c thành công.ủ ể ế ị ơ ườ ử ụ ượ ể ướ ế ự
b. LOGIN_URL: URL MCC máy ch trang splash nên g i m t HTTP POST v i các thông tin thuở ủ ử ộ ớ
th p đ c t ng i s d ng (xem B c 4).ậ ượ ừ ườ ử ụ ướ Tham s này là ch y thoát đ bao g m các continue_url nhúng bênố ạ ể ồ
trong nó, và không nên đ c hi u b i các máy ch trang splash.ượ ể ở ủ
c. ap_mac: đ a ch MAC c a AP Meraki mà ng i s d ng có liên quan.ị ỉ ủ ườ ử ụ
d. ap_name: Tên c a AP Meraki mà ng i dùng có liên quan (n u c u hình).ủ ườ ế ấ
e. ap_tags: Tags (n u c u hình) áp d ng cho AP Meraki mà ng i s d ng có liên quan.ế ấ ụ ườ ử ụ
f. mauth: M t chu i m đ c s d ng b i MCC đ xác th c và an ninh.ộ ỗ ờ ượ ử ụ ở ể ự
4. Splash trang ch bên ngoài hi n cho ng i dùng v i m t hình th c web n m b t các thông tin c a ng iủ ệ ườ ớ ộ ứ ắ ắ ủ ườ
s d ng và gây ra ng i s d ng đ g i m t HTTP POST đ n MCC, b ng cách s d ng URL đ c ch đ nh trongử ụ ườ ử ụ ể ử ộ ế ằ ử ụ ượ ỉ ị
LOGIN_URL (xem B c 3).ướ HTTP POST này, máy ch bao g m các thông s sau:ủ ồ ố
a. username: tên ng i dùng mà ng i s d ng không dây cung c p cho các máy ch trang splash.ườ ườ ử ụ ấ ủ
b. m t kh u: m t kh u mà ng i s d ng không dây cung c p cho các máy ch trang splash.ậ ẩ ậ ẩ ườ ử ụ ấ ủ
c. success_url (tùy ch n): URL mà ng i dùng không dây đ c chuy n h ng n u ông đi qua xácọ ườ ượ ể ướ ế
th c.ự Các máy ch trang splash có th s d ng tham s này đ ghi đè lên continue_url mà ng i s d ng yêu c uủ ể ử ụ ố ể ườ ử ụ ầ
ban đ u.ầ
5. MCC nh n đ c HTTP POST t máy ch trang splash, và l n l t, s g i m t RADIUS Access-Requestậ ượ ừ ủ ầ ượ ẽ ử ộ
t i máy ch RADIUS bên ngoài v i tên ng i dùng và m t kh u.ớ ủ ớ ườ ậ ẩ
6. Các máy ch RADIUS x lý RADIUS Access-Request t MCC, và đáp ng v i MCC v i m t RADIUSủ ử ừ ứ ớ ớ ộ
Access-Ch p nh n ho c Access-Reject.ấậặ Các máy ch RADIUS có th tùy ch n các thu c tính RADIUS v i MCCủ ể ọ ộ ớ
đ th c thi trên ng i s d ng không dây.ể ự ườ ử ụ
7. MCC x lý các ph n h i t máy ch RADIUS và chuy n h ng ng i dùng không dây cho phù h p.ử ả ồ ừ ủ ể ướ ườ ợ
a. N u MCC nh n đ c m t thông báo Access-Accept t máy ch RADIUS, ng i s d ng đã xácế ậ ượ ộ ừ ủ ườ ử ụ
th c thành công.ự MCC chuy n h ng ng i dùng đ n các URL ban đ u ông đã yêu c u (continue_url), ho c URLể ướ ườ ế ầ ầ ặ
đ c ch đ nh b i các máy ch trang splash trong success_url (tùy ch n) (xem B c 4).ượ ỉ ị ở ủ ọ ướ
b. N u MCC nh n c m t thông báo Access-Reject t máy ch RADIUS, ng i s d ngế ậ đượ ộ ừ ủ ườ ử ụ
ã không xác th c và c chuy n h ng tr l i URL c a máy ch trang splash ( b c 3).đ ự đượ ể ướ ở ạ ủ ủ ở ướ
B i vì MCC c n liên l c v i m t máy ch RADIUS bên ngoài, MCCở ầ ạ ớ ộ ủ
ph i có kh năng đ ti p c n v i máy ch RADIUS.ả ả ể ế ậ ớ ủ Yêu c u này có thầ ể
c n ph i thay đ i t ng l a cho phép các k t n i g i đ n máy chầ ả ổ ườ ử ế ố ử ế ủ
RADIUS. N u máy ch RADIUS tr nên t m th i không có, khách hàngế ủ ở ạ ờ
không dây hi n có (đã đ c xác th c) duy trì k t n i, nh ng khách hàngệ ượ ự ế ố ư
không dây m i không th đ xác th c đ truy c p vào m ng.ớ ể ể ự ể ậ ạ
RADIUS server
Network Policy Server (NPS) có th đ c s d ng nh m t máy ch RADIUS đ th c hi n xác th c, y quy n,ể ượ ử ụ ư ộ ủ ể ự ệ ự ủ ề
và k toán cho các khách hàng RADIUS.ế M t khách hàng RADIUS có th là m t máy ch truy c p m ng ho c m tộ ể ộ ủ ậ ạ ặ ộ
proxy RADIUS.Khi NPS đ c s d ng nh m t máy ch RADIUS, nó cung c p nh ng đi u sau đây:ượ ử ụ ư ộ ủ ấ ữ ề
•M t trung tâm xác th c và d ch v y quy n cho t t c các yêu c u truy c p đ c g i b i máy kháchộ ự ị ụ ủ ề ấ ả ầ ậ ượ ử ở
RADIUS.
NPS s d ng m t Microsoft ® Windows NT ® Server 4.0 domain, m t Active Directory ® mi n, ho cử ụ ộ ộ ề ặ
Security Accounts Manager (SAM) tài kho n ng i dùng c s d li u đ xác th c thông tin ng i dùngả ườ ơ ở ữ ệ ể ự ườ
cho các c g ng k t n i.ố ắ ế ố NPS s d ng dial-thu c tính c a tài kho n ng i dùng và chính sách m ng choử ụ ộ ủ ả ườ ạ
phép m t k t n i.ộ ế ố
•K toán ghi trung tâm d ch v cho t t c các yêu c u k toán đ c g i b i máy khách RADIUS.ế ị ụ ấ ả ầ ế ượ ử ở
Yêu c u k toán đ c l u tr trong m t t p tin log đ a ph ng ho c Microsoft ® SQL ™ c s d li u đầ ế ượ ư ữ ộ ậ ị ươ ặ ơ ở ữ ệ ể
phân tích.
Hình minh h a sau đây cho th y NPS nh m t máy ch RADIUS cho m t lo t các khách hàng truy c p, và cũngọ ấ ư ộ ủ ộ ạ ậ
cho th y m t RADIUS proxy.ấ ộ NPS s d ng m t Directory domain ® đăng nh p đ xác th c thông tin ng i dùngử ụ ộ ậ ể ự ườ
c a RADIUS đ n tin nh n Access-Request.ủ ế ắ
Khi NPS đ c s d ng nh m t máy ch RADIUS, tin nh n RADIUS cung c p xác th c, u quy n, và k toánượ ử ụ ư ộ ủ ắ ấ ự ỷ ề ế
cho các k t n i truy c p m ng theo cách sau:ế ố ậ ạ
1. Máy ch truy c p, ch ng h n nh dial-up máy ch truy c p m ng, máy ch VPN, và các đi m truy c pủ ậ ẳ ạ ư ủ ậ ạ ủ ể ậ
không dây, nh n đ c yêu c u k t n i t các khách hàng truy c p.ậ ượ ầ ế ố ừ ậ
2. Các máy ch truy c p, c u hình đ s d ng RADIUS xác th c, y quy n, và giao th c k toán, t o raủ ậ ấ ể ử ụ ự ủ ề ứ ế ạ
m t thông báo Access-Request và g i nó đ n máy ch NPS.ộ ử ế ủ
3. Các máy ch NPS đánh giá đ c thông báo Access-Request.ủ ượ
4. N u có yêu c u, máy ch NPS g i m t thông báo Access-Challenge đ n máy ch truy c p.ế ầ ủ ử ộ ế ủ ậ Các máy chủ
truy c p x lý các thách th c và g i m t yêu c u truy c p đ c c p nh t cho các máy ch NPS.ậ ử ứ ử ộ ầ ậ ượ ậ ậ ủ
5. Các thông tin ng i dùng đ c ki m tra và dial-in thu c tính c a tài kho n ng i dùng đ c thu đ cườ ượ ể ộ ủ ả ườ ượ ượ
b ng cách s d ng m t k t n i an toàn v i m t b đi u khi n mi n.ằ ử ụ ộ ế ố ớ ộ ộ ề ể ề
6. N l c k t n i đ c y quy n v i c dial-in thu c tính c a tài kho n ng i dùng và chính sách m ng.ỗ ự ế ố ượ ủ ề ớ ả ộ ủ ả ườ ạ
7. N u n l c k t n i đ c c hai xác th c và y quy n, máy ch NPS g i m t thông báo Access-Acceptế ỗ ự ế ố ượ ả ự ủ ề ủ ử ộ
đ n máy ch truy c p.ế ủ ậ
N u n l c k t n i ho c không xác nh n ho c không đ c u quy n, máy ch NPS g i m t thông báoế ỗ ự ế ố ặ ậ ặ ượ ỷ ề ủ ử ộ
Access-Reject đ n máy ch truy c p.ế ủ ậ
8. Các máy ch truy c p hoàn t t quá trình k t n i v i các khách hàng truy c p và g i m t thông báoủ ậ ấ ế ố ớ ậ ử ộ
Accounting-Request máy ch NPS, n i mà tin nh n đ c đăng nh p.ủ ơ ắ ượ ậ
9. Các máy ch NPS s g i m t k toán đáp ng đ n máy ch truy c p.ủ ẽ ử ộ ế ứ ế ủ ậ
Ghi
Các máy chủ truy cập cũng sẽ gửi tin nhắn Accounting-Request trong thời gian mà kết nối được thiết lập,
khi kết nối truy cập của khách hàng được đóng lại, và khi các máy chủ truy cập được bắt đầu và dừng lại.
B n có th s d ng NPS nh m t máy ch RADIUS khi:ạ ể ử ụ ư ộ ủ
•B n đang s d ng Windows NT Server 4.0 domain, m t mi n Active m c, ho c c s d li u SAM tàiạ ử ụ ộ ề ụ ặ ơ ở ữ ệ
kho n ng i dùng đ a ph ng nh c s d li u tài kho n ng i dùng c a b n cho khách hàng truy c p.ả ườ ị ươ ư ơ ở ữ ệ ả ườ ủ ạ ậ
•B n đang s d ng đ nh tuy n và truy c p t xa trên nhi u dial-up máy ch , máy ch VPN, ho c các thi tạ ử ụ ị ế ậ ừ ề ủ ủ ặ ế
b đ nh tuy n demand-dial và b n mu n t p trung c hai c u hình các chính sách m ng và k t n i đăngị ị ế ạ ố ậ ả ấ ạ ế ố
nh p k toán.ậ ế
•B n đang gia công ph n m m dial-up, VPN, ho c truy c p không dây cho m t nhà cung c p d ch v .ạ ầ ề ặ ậ ộ ấ ị ụ Các
máy ch truy c p s d ng RADIUS đ xác th c và y quy n cho các k t n i đ c th c hi n b i các thànhủ ậ ử ụ ể ự ủ ề ế ố ượ ự ệ ở
viên c a t ch c c a b n.ủ ổ ứ ủ ạ
•B n mu n t p trung xác th c, y quy n, và k toán cho m t t p h p không đ ng nh t c a các máy chạ ố ậ ự ủ ề ế ộ ậ ợ ồ ấ ủ ủ
truy c p.ậ
Ghi
Trong Internet Authentication Service (IAS) trong Windows Server ® 2003 hệ thống điều hành, chính sách
mạng được gọi là chính sách truy cập từ xa.
T xa xác th c Dial-Ng i dùng d ch v (RADIUSừ ự ườ ị ụ ) máy ch đ c ph bi n trong các m ng doanhủ ượ ổ ế ạ
nghi p đ cung c p t p trung xác th c, u quy n và k toán (AAA) đ ki m soát truy c p.ệ ể ấ ậ ự ỷ ề ế ể ể ậ Tuy
nhiên, các máy ch RADIUS cũng có th có ích trong các m ng v a và nh đ cho phép xác th củ ể ạ ừ ỏ ể ự
802.1X và b o m t WPA2 (802.11i) cho m ng l i Wi-Fi.ả ậ ạ ướ
Chúng tôi đã th nghi m b n máy ch RADIUS mà các doanh nghi p nh h n có th xem xét:ử ệ ố ủ ệ ỏ ơ ể
Elektron, ClearBox, Microsoft Network Policy Server từ Windows Server 2008 R2, và FreeRADIUS.
Chúng tôi đo d dàng ch t l ng, l p đ t và c u hình c a tài li u h ng d n và kh năng tùy ch nhễ ấ ượ ắ ặ ấ ủ ệ ướ ẫ ả ỉ
c u hình.ấ T t c các nhà cung c p ghi bàn, v i ClearBox trên đ u trang và Elektron c n th hai,ấ ả ấ ớ ầ ậ ứ
FreeRADIUS và Windows Server NPS bu c th ba.ộ ứ
Elektron ($ 750) là m t entry-level và thân thi n v i ng i s d ng máy ch .ộ ệ ớ ườ ử ụ ủ ClearBox (599 $) là
m t l a ch n tuy t v i cho các m ng nh , nh ng nó cũng có quy mô m ng l i l n h n.Microsoftộ ự ọ ệ ờ ạ ỏ ư ạ ướ ớ ơ
Windows Server 2008 R2 NPS có th đ c đ a ra cho các t ch c đã đ c ch y m t Windowsể ượ ư ổ ứ ượ ạ ộ
Server, mi n là h không c n t t c các tính năng tiên ti n và h tr c s d li u.ễ ọ ầ ấ ả ế ỗ ợ ơ ở ữ ệ Và FreeRADIUS
( mã ngu n mồ ở ) là m t s l a ch n v ng ch c và kinh t đ qu n tr viên Unix /ộ ự ự ọ ữ ắ ế ể ả ị Linux cung c pấ
các tuỳ bi n và tính linh ho t.ế ạ
D i đây là nh ng đánh giá cá nhân:ướ ữ
Elektron
Các máy ch RADIUS Elektron t Periodik Labs là m t Windows giao di n d a trên máy ch đó làủ ừ ộ ệ ự ủ
m c tiêu h ng t i xác th cụ ướ ớ ự không dây cho các m ng v a và nh , nh ng h tr các m c đích khácạ ừ ỏ ư ỗ ợ ụ
AAA cũng. Nó đ c cung c p nh là m t 30-ngày dùng th mi n phí và sau đó chi phí $ 750 choượ ấ ư ộ ử ễ
m t gi y phép máy ch duy nh t.ộ ấ ủ ấ
Elektron có th ch y trên Windows XP Pro, Vista, Windows 7 và Windows Server 2003 vàể ạ
2008. Ngoài ra còn có m t phiên b n Mac OS X ch y trên 10,5 ho c sau này ho c v i b vi x lýộ ả ạ ặ ặ ớ ộ ử
Intel Core Duo ho c b x lý t t h n.ặ ộ ử ố ơ C hai yêu c u ít nh t 512MB b nh và 20MB không gianả ầ ấ ộ ớ
đĩa mi n phí.ễ
Elektron h tr các ph ng pháp xác th c sau đây: PEAP, TTLS, EAP-FAST, EAP-TLS, LEAP, PAP,ỗ ợ ươ ự
CHAP, MS-CHAP, MS-CHAPv2, EAP-MS-CHAPv2, EAP-MD5, EAP-GTC, và EAP- OTP. Nó cũng
h tr các c s d li u cho các d li u tài kho n ng i dùng sau đây: n i b c s d li u (c uỗ ợ ơ ở ữ ệ ữ ệ ả ườ ộ ộ ơ ở ữ ệ ấ
hình thông qua giao di n đ c g i là Tài kho n Elektron), các tài kho n Windows, Mac OS Xệ ượ ọ ả ả
Directory Services, Active Directory và th m c LDAP khác, SQL và các ngu n ODBC d li u khácư ụ ồ ữ ệ
tuân th , t xa RADIUS máy ch và Script.ủ ừ ủ
Chúng tôi đã th nghi m Elektron Phiên b n 2.2 trong Windows Server 2008 R2 trên m t máy oử ệ ả ộ ả
VMware. Vi c cài đ t r t đ n gi n và ch m t kho ng m t phút.ệ ặ ấ ơ ả ỉ ấ ả ộ Nó s d ng m t trình cài đ tử ụ ộ ặ
Windows đi n hình và không nh c chúng tôi cho b t kỳ cài đ t liên quan đ n máy ch .ể ắ ấ ặ ế ủ