核心术语与概念

English version: Concepts & Terminology

本章解释贯穿 ToughRADIUS 的 AAA 核心术语，并说明每个概念在产品中的落点。 协议规范的权威清单及其与代码的对应关系，请见协议与 RFC 索引。

一段话理解 AAA

RADIUS（Remote Authentication Dial In User Service）协议让网络设备向中心服务器 提出三个问题：这个用户是谁（认证 Authentication）、他能做什么 （授权 Authorization）、他用了多少（计费 Accounting）。ToughRADIUS 对三者全部作答：校验凭据、在 Access-Accept 中下发授权属性（IP 地址、带宽、 VLAN、会话限制），并从计费报文中记录用量。

核心术语

术语	在 ToughRADIUS 中的含义
NAS（网络接入服务器）	发出 RADIUS 请求的网络设备——路由器、交换机、BRAS 或无线控制器。每台 NAS 须在管理界面的 NAS 设备 中登记 IP 地址、共享密钥和厂商代码；未登记地址的请求会被丢弃。
共享密钥（shared secret）	每台 NAS 一个的口令，用于认证 RADIUS 报文本身（RFC 2865 §3），NAS 侧与 ToughRADIUS 的 NAS 记录必须一致。
拨入用户 / RADIUS 用户	RADIUS 用户 中的账号：用户名、密码、过期时间、可选的静态 IPv4/IPv6 地址、MAC/VLAN 绑定以及计费策略。
计费策略（RadiusProfile）	计费策略 中的可复用模板：并发会话数（active_num）、上行/下行速率（单位 Kbps）、地址池、IPv6 前缀、域、MAC/VLAN 绑定开关。用户留空的字段自动继承策略值。
VSA（厂商私有属性）	RADIUS 26 号属性（RFC 2865 §5.26），允许各厂商定义私有属性的容器。ToughRADIUS 内置 15+ 厂商的属性字典，并按 NAS 厂商代码下发对应厂商的授权属性。详见厂商对接指南。
厂商代码（vendor code）	选择厂商行为的 IANA 私有企业号，例如 9 Cisco、2011 华为、14988 MikroTik、25506 H3C、3902 中兴、10055 爱快、0 标准。按 NAS 记录设置，决定使用哪个请求解析器及下发哪些 Access-Accept 属性。
CoA / Disconnect（RFC 5176）	动态授权：由服务器主动发起、修改在线会话（CoA-Request，如新的 Session-Timeout 或 Filter-Id）或终止会话（Disconnect-Request）的报文。在 在线会话 页面发起，发往 NAS 的 UDP 3799 端口（可按 NAS 覆盖）。
RadSec（RFC 6614）	TCP 2083 端口上的 RADIUS over TLS。用 TLS 隧道包裹 RADIUS，使报文可以安全穿越不可信网络；纯 UDP RADIUS 仅靠共享密钥保护。
EAP（RFC 3748）	802.1X 网络使用的可扩展认证协议。ToughRADIUS 实现 EAP-MD5、EAP-MSCHAPv2、EAP-TLS、PEAPv0/EAP-MSCHAPv2 和 EAP-TTLS；当前方法与证书在 系统配置 → RADIUS 中选择。
计费会话	NAS 通过 Accounting-Request 报文汇报的生命周期：Start → Interim-Update（多次）→ Stop（RFC 2866）。在线会话见 在线会话（radius_online 表），历史记录见 计费记录（radius_accounting 表）。
Acct-Interim-Interval	NAS 发送中间计费更新的间隔（秒）。每个 Access-Accept 都会携带，取自 radius.AcctInterimInterval 配置。
Session-Timeout	会话最长剩余时间（秒）。ToughRADIUS 将其设为距用户过期时间的剩余秒数，确保会话不会超过账号有效期。
地址池（Framed-Pool）	配置在 NAS 上的命名 IP 池。ToughRADIUS 只下发池名称，实际地址由 NAS 分配；静态地址则直接通过 Framed-IP-Address / Framed-IPv6-Address 下发。
MAC 绑定	策略开启 bind_mac 后，首次出现的主叫 MAC 被记录到用户上，后续请求必须匹配。
VLAN 绑定	策略开启 bind_vlan 后，从 NAS-Port-Id 解析出的内/外层 VLAN ID 会被记录并校验。需要支持 VLAN 提取的厂商解析器（华为、H3C、中兴）。

一次认证请求的流转

NAS ──Access-Request──▶ UDP 1812
        │
        ▼
  goroutine 池（ants，TOUGHRADIUS_RADIUS_POOL，默认 1024）
        │
        ▼
  1. NAS 查找 ─ 源 IP / identifier 必须匹配已登记的 NAS 记录
  2. 厂商解析器 ─ 提取 MAC（Calling-Station-Id）与 VLAN（NAS-Port-Id）
       · 华为 / H3C / 中兴解析器可提取 VLAN ID
       · 其余厂商走默认解析器（仅 MAC）
  3. 凭据校验 ─ PAP / CHAP / MS-CHAPv2，或 EAP 状态机
  4. 检查器 ─ 账号状态、过期时间、MAC 绑定、VLAN 绑定、并发数（active_num）
  5. Accept 增强器 ─ 标准属性（Session-Timeout、地址池、静态 IP、IPv6）
     以及按 NAS 厂商代码选择的厂商属性
        │
        ▼
NAS ◀─Access-Accept / Access-Reject──

认证失败会被归类到 Prometheus 风格计数器（radus_reject_passwd_error、 radus_reject_expire 等）并呈现在仪表盘，见运维指南。 拒绝延迟防护可减缓暴力破解：在 radius.RejectDelayWindowSeconds（默认 10 秒） 窗口内连续拒绝达到 radius.RejectDelayMaxRejects（默认 7 次）后，响应将被延迟。

密码协议速览

协议	密码如何传输	说明
PAP	随请求传输，由共享密钥 XOR 保护（RFC 2865 §5.2）	兼容性最好；建议配合 RadSec 或可信网络使用。
CHAP	不传输——MD5 质询/应答（RFC 2865 §5.3）	要求服务器保存明文口令。
MS-CHAPv2	不传输——NT 哈希质询/应答（RFC 2548）	Windows 常用；存在众所周知的类 NTLMv1 攻击面。
EAP（隧道类）	在 TLS 隧道内传输（PEAP / EAP-TTLS）或以证书代替（EAP-TLS）	Wi-Fi / 802.1X 部署的推荐选择。

相关章节

• 协议与 RFC 索引 —— 上文引用的全部 RFC 与代码的对应关系。

• 厂商对接指南 —— 各厂商属性与计算公式。

• 快速开始 —— 用 10 分钟实际体验这些概念。