RADIUS

01무엇이고, 어떤 일을 하나

• 무선·VPN 등의 네트워크 접속 인증을 중앙화한다.
• 응답 속성으로 접속 정책을 장비에 전달한다.
• 시작·중간·종료 기록을 세션 단위로 연결한다.

02어떤 순서로 동작하나

1. 접속 요청 수신

   단말이 NAS에 접속하고 NAS가 인증 방식에 필요한 증거를 얻는다. 단말과 RADIUS 서버가 항상 직접 대화하는 구조로 단순화하지 않는다.

2. Access 요청

   NAS가 서버에 Access-Request와 관련 속성을 보낸다. 서버는 사용자·인증 방법·NAS 문맥·정책을 해석한다.

3. 응답과 추가 교환

   서버는 Accept·Reject 또는 Challenge를 반환한다. Challenge는 최종 성공이 아니며 요구된 추가 교환을 마쳐야 한다.

4. 현장 집행·기록

   NAS가 받은 정책 속성을 실제 접속에 적용하고 Accounting 자료를 남긴다. 서버의 승인 기록과 데이터 경로의 통신 성공은 별도 증거다.

03먼저 알아둘 용어와 구성요소

NAS

사용자 접속을 받아 중앙 인증 요청을 보내고 정책을 집행하는 장비.

Access-Accept

인증·정책 판단에 따라 접근을 승인하는 응답.

Access-Challenge

추가 인증 교환이 필요함을 나타내는 응답.

Accounting

세션의 시작·경과·종료 등 사용 정보를 기록하는 교환.

Access-Request

NAS가 인증과 접근 정책 판단을 요청하는 메시지.

Access-Reject

서버가 접근을 거절하는 응답.

RADIUS attribute

사용자·서비스·정책 조건을 전달하는 타입·길이·값 정보.

Shared secret

전통적 RADIUS에서 NAS와 서버가 공유하는 비밀로 모든 패킷의 전체 암호화를 뜻하지 않는다.

04예제로 따라가기

• 가상 VPN 사용자가 승인되어도 반환 경로가 없으면 실제 업무 서버 통신은 실패할 수 있다.
• 같은 계정이 여러 장비에 접속하면 계정 이름만 아니라 NAS·세션 식별자·시간을 함께 연결한다.
• Access-Reject와 서버 응답 없음은 다르므로 fallback 정책을 동일하게 적용하지 않는다.

05혼동하기 쉬운 점과 확인 기준

• 고전 RADIUS의 보호가 전체 패킷을 현대적인 TLS처럼 암호화한다고 설명하면 안 된다. 보호된 관리 경로와 배포 방식이 필요하다.
• Accounting 이벤트가 늦거나 누락될 수 있으므로 단일 Start 기록만으로 현재 세션이 계속 살아 있다고 단정하지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.