← Zurück zur Übersicht
Protokolle

RADIUS

Remote Authentication Dial-In User Service

RADIUSAAAAuthentifizierungWLAN802.1XNPS

RADIUS ist das Standard-AAA-Protokoll (Authentication, Authorization, Accounting) für Netzwerkzugang. Es wird für WLAN-Authentifizierung (WPA2-Enterprise), VPN-Logins und 802.1X-Netzwerkkontrolle eingesetzt.

ClientSupplicantPC / SmartphoneNASNetwork AccessServerSwitch / AP / VPNRADIUS ClientRADIUSServerNPS (Windows)FreeRADIUS→ AD / LDAPEAPAccess-RequestAccess-Accept ✓AAA = Authentication · Authorization · AccountingPort 1812 (Auth) · Port 1813 (Accounting) · UDP

Entstehung und Beteiligte

RADIUS wurde Anfang der 1990er-Jahre von Livingston Enterprises für die Authentifizierung von Einwahlkunden entwickelt. Carl Rigney und Kollegen dokumentierten es 1997 als RFC 2058; RFC 2865 wurde die verbreitete Basis.

Welches Problem sollte gelöst werden?

Internetprovider betrieben viele Modems und Zugangsserver. Benutzerkonten sollten nicht auf jedem Gerät separat liegen. Ein zentraler Dienst sollte Anmeldung, Berechtigungen und Abrechnung steuern.

Technische Hürden und Lösungen

RADIUS nutzt UDP und schützt traditionell nur bestimmte Felder, nicht das ganze Paket. Shared Secrets, Proxyketten und Attributunterschiede erschweren Betrieb. EAP und 802.1X erweiterten RADIUS für WLAN und kabelgebundene Zugänge.

Standardisierung und Einordnung

Internetprotokolle werden überwiegend in offenen RFC-Dokumenten beschrieben. Ein RFC kann ein historischer Vorschlag, ein aktueller Standard oder inzwischen überholt sein. Implementierungen müssen nicht nur das Papier befolgen, sondern mit fehlerhaften Gegenstellen, Paketverlust, Zeitüberschreitungen, Sicherheitsangriffen und jahrzehntealten Erweiterungen umgehen. Interoperabilität entsteht dadurch, dass unabhängige Hersteller dieselben Zustandsautomaten, Nachrichtenformate und Fehlerfälle testen.

Technik im praktischen Betrieb

Für den produktiven Einsatz zählt die konkrete Protokollversion. Alte und neue Varianten können denselben Port verwenden, besitzen aber völlig unterschiedliche Sicherheits- und Funktionsmerkmale. Administratoren sollten daher Aushandlung, Zertifikate, Timeouts, maximale Nachrichtengrößen und Fehlercodes sichtbar machen. Proxys, NAT und Firewalls verändern häufig den Datenpfad. Gute Tests erfolgen aus derselben Netzposition wie die betroffene Anwendung und prüfen nicht nur einen offenen Port, sondern einen vollständigen gültigen Vorgang.

Warum das Thema heute noch relevant ist

Die ursprüngliche Entstehungszeit erklärt viele heutige Sicherheitslücken: Frühe Internetgemeinschaften waren klein und Vertrauen wurde vorausgesetzt. Authentifizierung, Verschlüsselung und Missbrauchsschutz kamen oft erst später als Erweiterung hinzu. Moderne Implementierungen müssen deshalb sichere Voreinstellungen verwenden, alte Varianten abschalten und dennoch mit Gegenstellen kommunizieren, die einen älteren Stand besitzen. Versionsnummer, Aushandlung und tatsächlich aktive Option sind aussagekräftiger als der bloße Protokollname.

Daten und Meilensteine

  • RADIUS steht für Remote Authentication Dial-In User Service.
  • AAA bedeutet Authentication, Authorization und Accounting.
  • UDP 1812 und 1813 sind heute die üblichen Ports.
  • RadSec transportiert RADIUS geschützt über TLS.

Was ist RADIUS?

RADIUS (Remote Authentication Dial-In User Service, RFC 2865) ist das Standard-Protokoll für AAA: Authentication (Wer bist du?), Authorization (Was darfst du?) und Accounting (Was hast du getan?) bei Netzwerkzugangsanfragen.

RADIUS wird eingesetzt für WLAN-Unternehmensauthentifizierung (WPA2/WPA3-Enterprise mit 802.1X), VPN-Authentifizierung, Switch-Port-Authentifizierung und Einwahl (historisch DSL/Dial-Up).

RADIUS-Ablauf

  1. Client (Supplicant) möchte sich mit dem Netzwerk verbinden (WLAN AP / Switch-Port).
  2. NAS (Network Access Server – der AP oder Switch) empfängt den Verbindungswunsch und leitet Authentication-Request an RADIUS-Server weiter.
  3. RADIUS-Server prüft Credentials gegen Backend (Active Directory, LDAP, lokale DB).
  4. Access-Accept: RADIUS erlaubt Zugang, optional mit Attributen (VLAN, Timeout, Bandbreite).
  5. Access-Reject: Zugang verweigert. NAS trennt Client.
  6. Accounting: Start/Stop-Records für Audit-Trail.

802.1X und RADIUS-Alternativen

802.1X ist der IEEE-Standard für Port-basierte Netzwerkzugangskontrolle (NAC). Er definiert die Rollen: Supplicant (Client), Authenticator (Switch/AP) und Authentication Server (RADIUS). Das EAP-Protokoll (Extensible Authentication Protocol) ist der Authentifizierungsmechanismus innerhalb von 802.1X.

TACACS+ (Cisco-proprietär) ist die RADIUS-Alternative für Geräteverwaltungs-Authentifizierung (CLI-Logins auf Netzwerkgeräten). TACACS+ separiert AAA-Funktionen und verschlüsselt den gesamten Body. FreeRADIUS ist die populärste Open-Source-Implementierung.