RADIUS steht für Remote Authentication Dial In User Service und ist ein weit verbreitetes Protokoll, mit dem Netzwerkgeräte, wie z.B. Router, Informationen für die Benutzerauthentifizierung von einem zentralen Server abfragen können. Neben den reinen Benutzerinformationen für die Authentifizierung kann RADIUS auch technische Informationen verwalten, die von Netzwerkgeräten genutzt werden. Dazu gehören z.B. verwendete Protokolle, IP-Adressen, Routeninformationen etc. Zusammen bilden sie ein Benutzerprofil, das in einer Datei oder Datenbank auf dem RADIUS-Server gespeichert wird.
Das RADIUS-Protokoll ist sehr flexibel und es gibt Server für die meisten Betriebssysteme. Die RADIUS-Implementierung auf der UTM ermöglicht es Ihnen, Zugriffsrechte basierend auf Proxys und Benutzern zu konfigurieren. Damit Sie die RADIUS-Authentifizierung nutzen können, muss ein RADIUS-Server im Netzwerk laufen. Wenn Kennwörter mit dem geheimen RADIUS-Schlüssel verschlüsselt sind, wird der Benutzername in Klartext übermittelt.
Um RADIUS-Authentifizierung zu konfigurieren, gehen Sie folgendermaßen vor:
-
Klicken Sie auf der Registerkarte Server auf Neuer Auth-Server.
Das Dialogfeld Authentifizierungs-Server hinzufügen öffnet sich.
-
Nehmen Sie die folgenden Einstellungen vor:
Backend: Wählen Sie RADIUS als Backend-Verzeichnisdienst.
Position: Wählen Sie eine Position für den Backend-Server. Backend-Server mit niedrigeren Nummern werden zuerst abgefragt. Stellen Sie für eine bessere Leistung sicher, dass der Backend-Server, der wahrscheinlich die meisten Anfragen erhält, ganz oben in der Liste steht.
Server: Wählen Sie einen RADIUS-Server (oder fügen Sie einen hinzu). Das Hinzufügen einer Definition wird auf der Seite Definitionen & Benutzer > Netzwerkdefinitionen > Netzwerkdefinitionen erläutert.
Port: Geben Sie den Port des RADIUS-Servers ein. Der Standardwert ist Port 1812.
Vereinbarter Schlüssel: Dieser vereinbarte Schlüssel (engl. Shared Secret) ist eine Zeichenfolge, die als Kennwort zwischen dem RADIUS-Client und dem RADIUS-Server dient. Geben Sie den vereinbarten Schlüssel ein.
Servereinstellungen testen: Durch einen Klick auf die Schaltfläche Test wird ein Bind-Test mit dem konfigurierten Server durchgeführt. Dadurch wird sichergestellt, dass die Einstellungen auf dieser Registerkarte richtig sind, dass der Server eingeschaltet ist und Verbindungen annimmt.
Benutzername: Geben Sie den Benutzernamen für den Testbenutzer an um die reguläre Authentifizierung durchzuführen.
Kennwort: Geben Sie das Kennwort für den Testbenutzer an.
NAS-Kennung: Wählen Sie die entsprechende NAS
-Kennung aus der Liste. Weitere Informationen entnehmen Sie bitte dem untenstehenden Hinweis und der Tabelle.Beispielbenutzer authentifizieren: Klicken Sie auf die Schaltfläche Test, um den Authentifizierungstest für den Testbenutzer zu starten. Dies stellt sicher, dass alle Servereinstellungen korrekt sind, dass der Server eingeschaltet ist und Verbindungen akzeptiert, und dass Benutzer erfolgreich authentifiziert werden können.
-
Optional können Sie folgende erweiterte Einstellungen vornehmen:
Timeout: Geben Sie das Timeout für die Kommunikation mit dem Server an, um höhere Latenzzeit-Szenarien zu unterstützen, wenn Sie Authentifizierungslösungen von Drittherstellern verwenden.
-
Klicken Sie auf Speichern.
Der Server wird in der Liste Server angezeigt.
Hinweis – Jeder Benutzerauthentifizierungsdienst von Sophos UTM, wie zum Beispiel PPTP oder L2TP, der Anfragen an den RADIUS-Server stellt, sendet eine andere Kennung (NAS-Kennung, engl. NAS identifier) an den RADIUS-Server. Zum Beispiel sendet der PPTP-Dienst die NAS-Kennung pptp an den RADIUS-Server, wenn er versucht, diesen Benutzer zu authentifizieren. Dadurch können die verschiedenen Dienste auf dem RADIUS-Server auseinandergehalten werden. Das kommt den Autorisierungszwecken zugute, d.h. der Zugriffsgenehmigung für den Benutzer auf verschiedene Dienste. Unten finden Sie eine Liste der Benutzerauthentifizierungsdienste und ihrer NAS-Kennung.
| Benutzerauthentifizierungsdienst | NAS-Kennung |
|---|---|
| SSL-VPN | ssl |
| PPTP | pptp |
| IPsec | ipsec |
| L2TP über IPsec | l2tp |
| SMTP-Proxy | smtp |
| Benutzerportal | portal |
| WebAdmin | webadmin |
| SOCKS-Proxy | socks |
| Webfilter | http |
| Authentifizierungsclient | agent |
| Web Application Firewall (WAF) | reverseproxy |
| Wireless Access Points | Die NAS-Kennung ist der Name des WLAN-Netzwerks. |
Verwandte Themen