رادیوس سرور چیست؟ از معرفی بهترین نرم‌افزار Radius تا مانیتورینگ آن

پیاده‌سازی یک رادیوس سرور (RADIUS Server) به‌عنوان ستون اصلی مدیریت دسترسی کاربران و دستگاه‌ها تبدیل شده است؛ چرا که با محوریت پروتکل AAA (احراز هویت، مجوزدهی و حسابرسی) امکان می‌دهد تا شبکه‌های سیمی، بی‌سیم و VPN تحت یک مکانیزم متمرکز و امن کنترل شوند — رادیوس سرورها با تمرکز بر احراز هویت (Authentication)، مجوزدهی (Authorization) و ثبت فعالیت‌ها (Accounting)، جایگزینی قدرتمند برای مدل‌های پراکنده دسترسی فراهم کرده‌اند. نرم‌افزار رادیوس سرور در واقع همان قطعه نرم‌افزاری یا سرویسِ سازمانی است که درخواست‌های دسترسی را از طریق دستگاه‌های «مشتری RADIUS» به سرور متمرکز می­فرستد، کاربران را در بانک داده یا دایرکتوری احراز هویت می‌کند، بر اساس سیاست‌ها سطح دسترسی را تعیین می‌کند و برای هر نشست گزارشی ثبت می‌کند — در حالی که سرویس‌های AAA مفهومی گسترده‌تر هستند که معماری، سیاست‌ها و فرآیندها را پوشش می‌دهند. در این مقاله، به شما کمک خواهیم کرد که با درک کامل نیازها، چالش‌ها و راهکارهای عملی، تصمیمی آگاهانه برای زیرساخت دسترسی سازمانی اتخاذ نمایید.

رادیوس سرور چیست؟ – مفاهیم پایه

پروتکل RADIUS (Remote Authentication Dial-In User Service) یا همان «رادیوس»، چارچوبی کلاینت-سروری است که برای احراز هویت کاربر/دستگاه، تعیین مجوزهای دسترسی و حسابرسی (AAA: Authentication, Authorization, Accounting) در شبکه‌های سازمانی به کار می‌رود. سرور RADIUS نقطه مرکزی تصمیم‌گیری در دسترسی کاربران، دستگاه‌ها یا خدمات شبکه است؛ کلاینت‌های RADIUS (معمولاً دستگاه‌هایی مانند سوئیچ‌ها، اکسس‌پوینت‌ها، VPN گیت‌وی‌ها) درخواست دسترسی را به سرور RADIUS می‌فرستند، سرور پس از بررسی بانک کاربری یا دایرکتوری، پاسخ مناسب (پذیرش، رد یا چالش) می‌دهد. از آنجا که بسیاری از زیرساخت‌ها مانند وایرلس ۸۰۲.۱X، VPN یا شبکه شرکت‌ها نیازمند کنترل متمرکز بر دسترسی هستند، استفاده از رادیوس سرور به عنوان یکی از ارکان کلیدی امنیت و دسترسی سازمانی شناخته می‌شود.

در ادامه جدول زمانی دقیق (Timeline) برای پروتکل و سرویس RADIUS (رادیوس) را مشاهده می کنید:

چیستی RADIUS: پروتکل و سرور در یک نگاه

در این بخش، به اجزای کلیدی و ساختار پروتکل RADIUS می‌پردازیم:

• RADIUS یک پروتکل شبکه است که به‌صورت کلاینت-سرور عمل می‌کند: کلاینت RADIUS (مثلاً دستگاه NAS) درخواست دسترسی را به سرور RADIUS می‌فرستد.

• سرور RADIUS معمولاً روی سیستم‌عامل ویندوز یا یونیکس در پس‌زمینه اجرا می‌شود و بانک کاربران، سیاست‌های دسترسی و گزارشات نشست را نگهداری می‌کند.

• پروتکل RADIUS عمدتاً از UDP استفاده می‌کند (پورت‌های معمول 1812 برای Authentication/Authorization و 1813 برای Accounting).

• در عمل، RADIUS نقش پل دارد بین دستگاه‌های شبکه‌ای (کلاینت‌های RADIUS) و سیستم‌های هویت/دایرکتوری مانند AD یا LDAP که اطلاعات کاربری در آن نگهداری می‌شوند.

سرویس‌های AAA (Authentication, Authorization, Accounting) در رادیوس سرور

سرویس‌های سه‌گانه AAA که در بطن رادیوس قرار دارند، نقش بسیار حیاتی دارند:

• Authentication (احراز هویت): سرور RADIUS بررسی می‌کند که آیا کاربر یا دستگاه، هویت معتبر دارد یا خیر — برای مثال نام‌کاربری و رمز عبور، یا گواهی دیجیتال.

• Authorization (مجوزدهی): پس از تأیید هویت، سرور تصمیم می‌گیرد که کاربر به چه سرویس‌ها یا منابعی دسترسی خواهد داشت؛ برای مثال سطح دسترسی، بازه زمانی، نوع پروتکل مورد استفاده.

• Accounting (حسابرسی یا ثبت‌وقایع): ثبت فعالیت‌ها، مدت زمان نشست، میزان داده مصرف شده، آدرس IP اختصاص‌یافته و سایر پارامترها برای گزارش‌دهی، نظارت یا محاسبه هزینه.
  برای مدیر فناوری اطلاعات (IT Manager) این بدان معناست که با پیاده‌سازی رادیوس سرور، شما قابلیت دارید یک نقطه مرکزی برای کنترل دسترسی، اعمال سیاست‌ها و مانیتورینگ مصرف کاربران داشته باشید، این امر مزیت مهمی در ساختار سازمان با زیرساخت‌های ‎HP و شبکه‌های متوسط تا بزرگ به شمار می‌رود.

مدل کلاینت–سرور در رادیوس: نقش NAS، پروکسی و بانک کاربر

مدل عملیاتی RADIUS به چند مؤلفه اصلی وابسته است که مدیر فناوری اطلاعات باید با آن‌ها آشنا باشد:

• NAS (Network Access Server): دستگاه‌هایی مانند سوئیچ، وای‌فای اکسس‌پوینت، VPN گیت‌وی یا مودم که نقش کلاینت RADIUS را دارند؛ یعنی درخواستی از کاربر دریافت می‌کنند و آن را به سرور RADIUS می‌فرستند.

• RADIUS Server: همان سروری است که درخواست‌ها را دریافت کرده، اعتبارسنجی می‌کند، مجوز را صادر یا رد می‌کند، و نتایج را به NAS بازمی‌گرداند.

• پروکسی RADIUS: در سازمان‌های بزرگ یا چندمحوری، ممکن است درخواست‌ها از NASها به پروکسی RADIUS ارسال شود که آن‌ها درخواست را به سرورهای RADIUS مختلف هدایت می‌کنند (مثلاً ناشی از توزیع جغرافیایی یا چند برند بودن تجهیزات).

• بانک کاربران/دایرکتوری: سرور RADIUS معمولاً با بانک اطلاعات کاربران (مانند ‎AD، LDAP یا دیتابیس‌های دیگر) ارتباط دارد تا هویت و سیاست‌های دسترسی را بر اساس آن‌ها اعمال کند

اجزا و معماری نرم افزار RADIUS سرور

نرم‌افزار «سرور RADIUS» در عمل از مجموعه‌ای اجزاء تجمیع‌شده تشکیل شده است که با معماری کلاینت-سرور، امکان مدیریت دسترسی کاربران و دستگاه‌ها به شبکه را به‌صورت متمرکز فراهم می‌کند؛ مهم‌ترین اجزاء شامل «دستگاه دسترسی یا کلاینت RADIUS (NAS)» که درخواست کاربر را به سرور می‌فرستد، «سرور RADIUS» که مسئول احراز هویت، مجوزدهی و حسابرسی است، و «بانک اطلاعات کاربران/دایرکتوری (مثلاً AD و LDAP)» که اطلاعات هویتی و سیاست‌های دسترسی را نگهداری می‌کند.  این معماری باعث می‌شود سازمان‌هایی با زیرساخت‌هایی مثل سرورهای HP بتوانند با بهره‌گیری از راهکارهای مقیاس‌پذیر، امنیت دسترسی بالا و مدیریت متمرکز، دسترسی کاربران را در شبکه‌های سیمی، بی‌سیم، VPN یا چندسازه‌محور به‌صورت مؤثر کنترل کنند.

نرم افزار رادیوس سرور: اجزاء کلیدی نرم‌افزاری و معماری ارجاعی

نرم‌افزار «رادیوس سرور» در واقع مجموعه‌ای از ماژول‌های نرم‌افزاری است که وظایف احراز هویت (Authentication)، مجوزدهی (Authorization) و حسابرسی/ثبت نشست‌ها (Accounting) را در شبکه‌ای متمرکز انجام می‌دهد. معماری مرجع برای چنین سامانه‌ای معمولاً از سه لایه تشکیل می‌شود:

• لایه کلاینت/دستگاه دسترسی (Access Device): دستگاه‌هایی مانند سوئیچ، اکسس‌پوینت وایرلس، VPN گیت‌وی که درخواست‌های اتصال را دریافت و به سرور RADIUS ارجاع می‌دهند.

• لایه سرور RADIUS: نرم‌افزار اصلی که دریافت درخواست‌ها، اعتبارسنجی کاربر، اعمال سیاست‌ها و پاسخ به دستگاه را بر عهده دارد. برای مثال، نرم‌افزار FreeRADIUS یک نمونه بسیار رایج است که در محیط‌های لینوکس/یونیکس استفاده می‌شود.

• لایه پایگاه کاربر/دایرکتوری و بانک داده‌ها: شامل سیستم‌های هویت (مانند ‎Active Directory)، LDAP، پایگاه‌های داده SQL یا NoSQL که اطلاعات کاربران، گروه‌ها، سیاست‌ها و سوابق نشست‌ها را نگهداری می‌کنند.
  در معماری ارجاعی سازمانی، معمولاً چند نمونه از سرور RADIUS به صورت افزوده و توزیع‌شده نصب می‌شوند تا مقیاس‌پذیری، تحمل خطا و خدمت‌دهی در شعب/ساختمان‌های متعدد تضمین شود. همچنین ممکن است از پروکسی RADIUS برای هدایت درخواست‌ها در سازمان‌های بزرگ استفاده شود (برای مثال بین شعب یا مناطق جغرافیایی). در انتخاب نرم‌افزار باید به سازگاری با زیرساخت‌های سرورهای HP، امکان نصب در محیط مجازی یا فیزیکی، افزونگی، و مانیتورینگ توجه شود.

3.2 تعامل با دایرکتوری‌ها (مثل Active Directory، LDAP) و بانک کاربران

برای مدیر فناوری اطلاعات، اهمیت دارد که نرم‌افزار رادیوس سرور با دایرکتوری‌های هویتِ فعلی سازمان (مثلاً Active Directory یا LDAP) و همچنین با پایگاه داده‌های کاربر قابل ادغام باشد. برخی نکات کلیدی عبارتند از:

• نرم‌افزار رادیوس باید قادر باشد اطلاعات کاربری و گروهی را از AD/LDAP بخواند و بر اساس آن سیاست دسترسی را اعمال کند (مثلاً گروه کاربران «کارمندان»، «مهمان»، «مدیران شبانه»). مثلاً ماژول NPS در ویندوز این کار را انجام می‌دهد.

• امکان استفاده از بانک‌های داده SQL یا NoSQL جهت ثبت حسابرسی (Accounting) و مدیریت نشست‌ها، که برای گزارش‌دهی و تحلیل برای مدیر IT ضروری است.

• هم‌راستایی با سیاست‌های هویت سازمانی: برای مثال برای کاربران با حساب کاربری در AD اجازه دسترسی وایرلس با EAP-TLS صادر شود، برای کاربران مهمان فقط دسترسی محدود فراهم گردد.

• سازگاری با زیرساخت سخت‌افزاری HP: در سازمانی که سرورهای HP وجود دارد، نصب نرم‌افزار رادیوس روی سرور HP، استفاده از دیتابیس‌های همگام با زیرساخت موجود و داشتن امکان افزونگی (clustering) اهمیت دارد.
  بنابراین، هنگام انتخاب نرم‌افزار رادیوس، داشتن سازگاری کامل با AD/LDAP و بانک‌های دیتای سازمانی شما باید یکی از معیارهای کلیدی باشد.

3.3 پیاده‌سازی روی سیستم‌های عامل ویندوز، لینوکس و ترکیبی

شما به عنوان یک مدیر IT ممکن است محیطی ترکیبی از ویندوز و لینوکس داشته باشید، دانستن گزینه‌های پیاده‌سازی نرم‌افزار رادیوس اهمیت دارد:

• در محیط ویندوز، می‌توان از نقش Network Policy Server (NPS) استفاده کرد که به‌عنوان سرور RADIUS عمل می‌کند. این سرویس در ویندوز سرور موجود است و می‌تواند با AD ادغام شود.

• در محیط لینوکس/یونیکس، FreeRADIUS یکی از متداول‌ترین راهکارها است که به‌راحتی روی سرورهای HP قابل نصب است.

• در محیط ترکیبی، ممکن است بخواهید سرور RADIUS را روی لینوکس اجرا کرده و آن را به AD متصل کنید، یا یک راهکار ابری (Cloud RADIUS) با اتصال به هر دو زیرساخت ویندوز و لینوکس فراهم کنید. مقاله‌های مرتبط تأکید دارند که محیط‌های ابری می‌توانند طیف گسترده‌ای از دستگاه‌ها را پشتیبانی کنند.
  برای سازمانی با سرورهای HP، پیشنهاد می‌شود هنگام راه‌اندازی:

• بررسی کنید که سرور HP دارای منابع کافی (CPU، RAM، I/O) برای حجم نشست‌های رادیوس است؛

• افزونگی (مثلاً Active/Passive یا Active/Active) را لحاظ کنید؛

• اگر استفاده از مجازی‌سازی روی سرور HP انجام می‌شود، اطمینان حاصل کنید که عملکرد شبکه، تأخیر RADIUS و فراخوانی دایرکتوری بهینه باشد.

3.4 نکات امنیتی در نرم‌افزار رادیوس: حملات رایج، رمزنگاری، RadSec و ملاحظات پروتکلی

امنیت در پیاده‌سازی رادیوس سرور یکی از دغدغه‌های مهم برای مدیر فناوری اطلاعات است، به ویژه در سازمان‌هایی با زیرساخت حساس. در اینجا مهم‌ترین نکات امنیتی ذکر می‌شوند:

• یکی از حملات رایج، حمله «پسورد مشترک» (pre-shared key) در وایرلس یا VPN است که با راه‌اندازی رادیوس به‌صورت EAP-TLS می‌توان ریسک آن را کاهش داد.

• رمزنگاری ترافیک بین NAS و سرور RADIUS اهمیت دارد؛ پروتکل‌های سنتی RADIUS از UDP و رمزنگاری کم‌تر مقاومی برخوردارند، بنابراین پشتیبانی از RadSec (که RADIUS-over-TLS یا TCP را فراهم می‌کند) یک مزیت محسوب می‌شود.

• نرم‌افزار رادیوس باید به‌روزرسانی شود تا در برابر حملاتی مانند MITM، حملات ترافیک رادیوس یا بهره‌برداری از پروتکل‌های قدیمی مقاوم شود.

• بهترین شیوه‌ها شامل: استفاده از گواهی‌های منحصر به‌فرد برای هر سرور، جداسازی شبکه مدیریت از شبکه کاربر، ثبت و تحلیل کامل حسابرسی، و استفاده از فایروال/IDS برای محافظت از مسیرهای NAS به سرور. برای مثال، در مستندات NPS آمده است که «Provide an individual certificate to each RADIUS server» توصیه شده است. منبع

بهترین نرم‌افزارهای رادیوس سرور

در ادامه، لیستی از بهترین نرم‌افزارهای رادیوس سرور (RADIUS Server) — اعم از متن-باز (open source) و تجاری (commercial) — همراه با مقایسه معیارهای کلیدی (هزینه، پشتیبانی، مقیاس‌پذیری)  ارائه میشود:

انتخاب، پیاده‌ سازی و مانیتورینگ

هنگام انتخاب و پیاده‌سازی «نرم‌افزار رادیوس سرور» باید به سه محور کلیدی توجه کنید: انتخاب درست نرم‌افزار، مسیر استقرار جامع و پیکربندی ایمن و پایدار همراه با ابزارهای تست و مانیتورینگ. برای انتخاب نرم‌افزار مناسب، معیارهایی چون سازگاری با زیرساخت فعلی (مثلاً سرورهای HP، بانک کاربر AD/LDAP)، مدل هزینه (رایگان، متن-باز یا هزینه لایسنس)، پشتیبانی فنی (داشتن SLA، اسناد و خدمات پس از فروش) و مقیاس‌پذیری (توان پاسخ به هزاران نشست هم‌زمان، توزیع‌شدگی) را بسنجید. سپس در مسیر پیاده‌سازی مراحل استاندارد شامل «نصب (Install)»، «تنظیم اولیه (Configure)»، «تست (Test)» از منظر عملکرد، امنیت و مقیاس» و «بهره‌برداری (Operate)» با مستندسازی، سنجه‌های کارایی، مانیتورینگ مداوم را اجرا کنید. از بهترین شیوه‌های پیکربندی ایمن می‌توان به استفاده از احراز هویت مبتنی بر گواهی (EAP-TLS)، رمزنگاری ترافیک رادیوس، تعبیه سیاست‌های مجوزدهی دقیق و تفکیک شبکه‌ها (مثلاً کاربران مهمان در VLAN مستقل) اشاره کرد. در نهایت، استفاده از ابزارها و نرم‌افزارهای تست و مانیتورینگ برای «رادیوس سرور» الزامی است؛ برای مثال، مانیتورینگ لحظه‌ای نشست‌ها، گزارشاتی از حسابرسی (Accounting)، سنجش تأخیر پاسخ، شبیه‌سازی حمله یا خطای کلاینت و پایش کلیدهای اشتراک-گذاری شده (Shared Secret) از الزامات مدیریت عملکرد و امنیت هستند.