آموزش تصویری راه اندازی VPN server توسط RRAS بهمراه NTTac
RADIUS و TACACS برای احراز هویت کاربران :
RADIUS؛ فراتر از محاسبات جبری
یکی از راهحلهایی که برای تشخیص هویت کاربران راهدور ایجاد شده، RADIUS است.
سرویس احراز هویت کاربر از راهدور یا همان RADIUS، سرویسی است که کاربر هنگام
ارتباط از راهدور، مثلاً خانه، احرازهویت میشود. برمبنای مدل لایهای OSI ،RADIUS در
لایه برنامههای کاربردی یا همان Application جای میگیرد.
این پروتکل مدل کلاینت /سرور را نیز رعایتمیکند. یک کلاینت برای استفاده از
سرویسها به سرور متصل میشود و اعتبارات لازم برای استفاده از آن را فراهم میکند.
RADIUS از پروتکل انتقالی UDP به منظور ایجاد معبری برای دادههای خود استفاده
میکند. RADIUS نیز همانند بسیاری از پروتکلهای معروف، پورتهای معروفی برای
برقراری ارتباط دارد. پورتهای 1812 و 1813 برای این منظور اختصاص یافتهاند. این
پورتها با قوانین RFC سازگاری دارند. یعنی آن را به گونهای طراحی کردهاند که از
پورتهای 1812و 1813 برای ارتباط خود استفاده کنند. انواع توجهاتی که هنگام طراحی
در نظر گرفته میشوند، بهطور یکپارچه RFC نامیده میشوند و پس از گذشت زمانی،
اینRFC ها پذیرفته و پس از آن سازگار با RFC خوانده میشوند.
جزئیات بیشتر
همیشه بهتر است برای کسب جزئیات به منابع مطمئن و موثق مراجعه کنید. در این
مورد بهتر است به منبعRFC 2138 که در مورد RADIUS و جزئیات آن است، مراجعه کنید.
اگر مانند بسیاری از مردم تمایلی به خواندن RFCها و اطلاعات جامع آنها ندارید، در
اینجا خلاصهای از آن شرح داده میشود. یکی از مهمترین نکاتی که در مورد RADIUS
باید بدانید، آن است که این پروتکل از روشهای احرازهویت گوناگونی پشتیبانی
میکند. از این روشها میتوان PPP ،PAP و CHAP را نام برد. اگر با محصولات سیسکو
آشنایی داشته باشید یا پشتیبانی از مسیریابها و سوییچهای آن به عهده شما
باشد، بیشک با روشهای مختلفی که RADIUS ارائه میکند، آشنایی دارید.
مثلاً هنگامی که یک کاربر، ترکیب نام کاربری و رمز عبور خود را وارد میکند و سرور
RADIUS آن را دریافت مینماید، سرور RADIUS اعتباراتی را که کاربر ارائه داده است با
اطلاعات موجود در پایگاه داده خود مقایسه میکند و براساس آن، اجازه یا عدم اجازه
استفاده از منابع را صادر مینماید. علاوه بر ترکیب نام کاربری و رمز عبور، اعتبار پورت
ارتباطی را نیز مشخص میکند.
میتوان گفت که سرور RADIUS به این صورت کار میکند:
Access-Request: در این مرحله سرور یک challenge میفرستد و کاربر باید به آن پاسخ
دهد.براساس کنترل دسترسی ذکر شده بالا، اعتبار لازم به کار داده میشود و یا اجازه
دسترسی به او داده نمیشود.
همانطور که گفته شد، RADIUS از UDP به عنوان پروتکل انتقال خود استفاده میکند.
این امکان هنگام طراحی پروتکل برای آن در نظر گرفته شده است. UDP فواید خاص خود
را دارد. اصلیترین این فواید پیچیدگی کمتر و سرعت بالااست. به این دلیل، UDP نسبت
به TCP به عنوان پروتکل مناسبتر برای RADIUS انتخاب شده است.
در آخر، باید این مطلب را اضافه کنیم که RADIUS نیز مانند سایر پروتکلهای لایه
Application، کدهایی دارد که درون عملکرد هسته آن، نوشته شده است. این کدها
مربوط به دسترسی، حسابرسی و وضعیت RADIUS با توجه به سرور و کلاینت بودن آن
است. برای کسب اطلاعات بیشتر مطالعه RFC 2138 پیشنهاد میشود.
+TACACS و TACACS کنترلکننده دسترسی ترمینال و سیستم کنترل دسترسی TACACS، مشابه RADIUS
است و برای کنترل دسترسی در شبکه به کار میرود. فرق اساسی TACACS و
RADIUS آن است که TACACS برخلاف RADIUS ازTCP به عنوان پروتکل انتقال استفاده
میکند. همچنین سه نسخه از TACACS موجود است که +TACACS آخرین نسخه آن
است.
قابل توجه است که +TACACS با سایر نسخههای قدیمیتر TACACS سازگار نیست.
این پروتکل یک پروتکل لایهApplication است و مدل کلاینت/ سرور را رعایت میکند.
TACACS+ یک پروتکل معروف است و پورت معروفی نیز برای آن در نظر گرفته شده است؛
پورت 49 از پروتکل انتقال TCP.
تفاوت قابل توجه دیگر آن است که RADIUS فقط اسم کاربر را در پکت ارسالی به سرور
رمزگذاری میکند.
اما +TACACS تمام پکت ارسالی را رمزگذاری میکند. ولی هدر TACACS+ را دست
نخورده باقیگذارد.
+TACACS ضعفهایی نیز دارد که موجب میشود هکرها به راحتی آن را هدف قرار
دهند. این پروتکل نسبت به حملهای موسوم به حمله روز تولد (Birthday attack)
آسیبپذیر است.
نتیجه
در این نوشتار کوتاه دو ابزار مهم احراز هویت معرفی شد باید گفت که اینها تنها ابزار
احراز هویت نیستند. هر شبکه تغییرات و معماری خاصی دارد. با توجه به این نکته، باید
تمام جزئیات شبکه خود را برای استفاده از ابزار احراز هویت مناسب، در نظر داشته
باشید. برخی از این روشها را میتوان به جای دیگری مورداستفاده قرار داد. برای مثال
+TACACS و Kerberos را میتوان به جای یکدیگر استفاده کرد. از آنجایی که هرگاه از
لایه دیگری در شبکه خود استفاده مینمایید و برنامههای مختلفی را اجرا میکنید،
روزنههای دیگری را برای حمله به شبکه خود گشودهاید. توصیه میشود برای احرازهویت
در شبکه خود از فناوری مقبول و عمومی استفاده کنید. به علاوه، بهتر است قبل از خرید
هر وسیلهای، از نحوه یکپارچهسازی آن محصول با شبکه خود آگاه شوید. نوشتار حاضر
توضیح کوتاهی در مورد برخی از این روشها ارائه داد. اما مطالب دقیقتر و بیشتری در
اینترنت موجود است. پس میتوانید برای به دست آوردن بهترین نتیجه در این زمینه به
تحقیق و کاوش بپردازید
این وبلاگ توسط دانشجویان گروه کامپیوتر (نرم افزار) دانشگاه پیام گلپایگان تشکیل شده است.