とことこロゴス IT用語集

RADIUS

読み：らでぃうす　／　英語表記：Remote Authentication Dial In User Service

ネットワークにつなぐ利用者の認証、許可、利用記録をまとめて行うためのプロトコル。アクセスポイントやVPN装置などが、RADIUSサーバに認証を問い合わせる。

イマシルちゃんの解説

会社にアクセスポイントやVPNの入口がたくさんあったら、それぞれに利用者のIDとパスワードを登録するのは大変だよね。

RADIUSなら、利用者の情報は本部（RADIUSサーバ）にまとめておけばOK！
入口の機器は「この人、通していい？」って本部に聞くだけなんだ。
誰がいつ使ったかの記録も、本部にまとめて残せるんだよ。

より深い解説

定義

RADIUS（Remote Authentication Dial In User Service）は、RFC 2865（認証・認可）とRFC 2866（アカウンティング）で定められた、利用者の認証のためのプロトコルである。もとはダイヤルアップ接続のために作られたが、現在は無線LAN（IEEE 802.1X）やVPNの認証で広く使われている。

RADIUSは、クライアントとアクセスポイントの間の通信を暗号化するための規格ではなく、アクセスポイントなどの機器と認証サーバの間で、認証の問合せと結果をやり取りするためのものである。

AAA

RADIUSは、次の3つの機能（AAA）を提供する。

機能内容
Authentication（認証）利用者が本人かを確かめる
Authorization（認可）利用者に何を許可するかを決める（接続先のVLANなど）
Accounting（アカウンティング）利用の開始、終了、時間などを記録する

構成とポート番号

役割例
RADIUSクライアント（NAS）無線LANのアクセスポイント、LANスイッチ、VPN装置
RADIUSサーバ利用者の情報を持ち、認証を判断する
用途ポート番号
認証・認可UDPの1812番（古い実装では1645番）
アカウンティングUDPの1813番（古い実装では1646番）

RADIUSクライアントとRADIUSサーバは、あらかじめ共有シークレット（共通の秘密の文字列）を設定しておき、これを使って相手を確かめ、パスワードの属性を保護する。

弱点と対策

RADIUSで暗号化されるのはパスワードの属性だけで、ほかの属性は平文で送られる。また、ハッシュにMD5を使っている。そのため、RADIUSの通信をTLSで保護するRadSec（RADIUS over TLS）などが使われることもある。

似たプロトコルとの比較

プロトコルトランスポート主な用途
RADIUSUDPネットワークへの接続の認証
TACACS+TCP（49番）ネットワーク機器への管理者のログインの認証。通信の全体を暗号化し、コマンドごとの認可もできる
DiameterTCP、SCTPRADIUSの後継として設計された。携帯電話網などで使われる

実際の試験ではここに出る！

この用語が出てくる記事

↑