RADIUS интеграция

Что такое RADIUS

RADIUS (Remote Authentication Dial-In User Service) — это сетевой протокол, обеспечивающий централизованную аутентификацию, авторизацию и учёт (AAA) для пользователей, подключающихся к сетевым сервисам.

Компоненты RADIUS

Типы RADIUS-пакетов

UniFi Identity как RADIUS-сервер

UniFi Identity предоставляет облачный RADIUS-сервер, интегрированный с вашей базой пользователей. Это позволяет использовать единые учётные записи для WiFi, VPN и других сервисов без развёртывания отдельной инфраструктуры RADIUS.

Включение RADIUS-сервера

RADIUS Server:    radius.identity.ui.com
Authentication Port: 1812/UDP
Accounting Port:    1813/UDP
CoA Port:           3799/UDP (Enterprise)

# Linux/macOS
openssl rand -base64 32

# Результат (пример)
aK7mP9xQ2bN5vR8sT4wY6zC1eF3hJ0uL

Конфигурация NAS-клиентов

Поддерживаемые методы EAP

WiFi-аутентификация 802.1X

802.1X (WPA Enterprise) — стандарт аутентификации, использующий RADIUS для проверки учётных данных перед предоставлением доступа к WiFi-сети. В отличие от WPA-PSK, каждый пользователь имеет индивидуальные учётные данные.

Настройка WiFi-сети в UniFi

Authentication Server:
  IP/Host:    radius.identity.ui.com
  Port:       1812
  Secret:     [Your RADIUS Secret]

Accounting Server (optional):
  IP/Host:    radius.identity.ui.com
  Port:       1813
  Secret:     [Your RADIUS Secret]

Interim Update Interval: 300 seconds

Настройка клиентов

Проводная аутентификация

802.1X также применяется для контроля доступа к проводной сети. Коммутатор блокирует порт до успешной аутентификации пользователя, обеспечивая защиту от несанкционированного подключения.

Настройка 802.1X на UniFi Switch

Настройка Windows 802.1X Supplicant

# Убедитесь, что сервис Wired AutoConfig запущен
# Services → Wired AutoConfig → Start Type: Automatic

# Или через PowerShell:
Set-Service dot3svc -StartupType Automatic
Start-Service dot3svc

RADIUS-атрибуты

RADIUS-атрибуты — это пары ключ-значение, передаваемые между NAS и сервером. Они содержат информацию об аутентификации, авторизации и учёте. UniFi Identity поддерживает стандартные и vendor-specific атрибуты.

Стандартные атрибуты (RFC 2865)

Vendor-Specific Attributes (VSA)

Ubiquiti-User-Groups        (1)  - Группы пользователя
Ubiquiti-VLAN-ID           (2)  - VLAN для назначения
Ubiquiti-Bandwidth-Up      (3)  - Ограничение upload (Kbps)
Ubiquiti-Bandwidth-Down    (4)  - Ограничение download (Kbps)
Ubiquiti-Data-Quota        (5)  - Квота трафика (MB)
Ubiquiti-Access-Time       (6)  - Время доступа (минуты)

Атрибуты для VLAN Assignment

Для динамического назначения VLAN RADIUS должен вернуть три атрибута в Access-Accept:

Access-Accept
    User-Name = "user@company.com"
    Tunnel-Type = VLAN (13)
    Tunnel-Medium-Type = IEEE-802 (6)
    Tunnel-Private-Group-Id = "10"    # VLAN ID
    Session-Timeout = 28800
    Class = "IT-Department"

Динамическое назначение VLAN

Dynamic VLAN Assignment позволяет автоматически помещать пользователя в определённый VLAN на основе его группы или атрибутов в Identity. Это ключевая функция для сегментации сети без ручной настройки портов.

Настройка в UniFi Identity

MAC Authentication Bypass (MAB)

MAB используется для устройств, не поддерживающих 802.1X (принтеры, IP-телефоны, камеры, IoT). Вместо учётных данных пользователя для аутентификации используется MAC-адрес устройства.

Настройка MAB в Identity

Настройка NAS-устройств

NAS (Network Access Server) — устройство, выполняющее роль RADIUS-клиента. В контексте UniFi это точки доступа, коммутаторы и шлюзы. Для сторонних устройств требуется ручная настройка.

UniFi устройства

При интеграции UniFi Network с Identity настройка RADIUS происходит автоматически. Достаточно выбрать профиль Identity в настройках WiFi или 802.1X порта.

Сторонние устройства

! RADIUS Server
radius server IDENTITY
 address ipv4 radius.identity.ui.com auth-port 1812 acct-port 1813
 key [shared-secret]

! AAA Configuration
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius

! Interface Configuration
interface GigabitEthernet0/1
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator
 mab

radius-server host radius.identity.ui.com key [shared-secret]
radius-server host radius.identity.ui.com acct-port 1813

aaa port-access authenticator 1-24
aaa port-access authenticator active

interface 1
 aaa port-access authenticator
 aaa port-access mac-based

/radius
add address=radius.identity.ui.com secret=[shared-secret] \
    service=dot1x,wireless authentication-port=1812 accounting-port=1813

/interface dot1x server
add interface=ether1 auth-types=dot1x,mac-auth interim-update=5m

/interface wireless security-profiles
add name=enterprise mode=dynamic-keys \
    authentication-types=wpa2-eap eap-methods=peap \
    radius-mac-authentication=yes

config user radius
    edit "Identity-RADIUS"
        set server "radius.identity.ui.com"
        set secret [shared-secret]
        set auth-type auto
        set acct-interim-interval 600
    next
end

config switch-controller security-policy 802-1X
    edit "corp-dot1x"
        set security-mode 802.1X
        set user-group "Identity-RADIUS"
        set mac-auth-bypass enable
        set eap-passthru enable
    next
end

Мониторинг RADIUS

UniFi Identity предоставляет инструменты для мониторинга RADIUS-аутентификаций, отслеживания сессий и анализа ошибок.

Дашборд RADIUS

Логи аутентификации

RADIUS Accounting

Accounting позволяет отслеживать сессии пользователей: время подключения, объём переданных данных, продолжительность.

Устранение неполадок

Распространённые проблемы

Диагностические команды

# Проверка связи с сервером
ping radius.identity.ui.com

# Тест RADIUS (Linux с radtest)
radtest user@company.com password radius.identity.ui.com 1812 shared-secret

# Тест EAP (с eapol_test)
eapol_test -c eap-peap.conf -a radius.identity.ui.com -p 1812 -s shared-secret

# Проверка открытых портов
nc -vzu radius.identity.ui.com 1812
nc -vzu radius.identity.ui.com 1813

# Windows: просмотр событий 802.1X
netsh wlan show all
netsh lan show profiles

network={
    ssid="test"
    key_mgmt=WPA-EAP
    eap=PEAP
    identity="user@company.com"
    password="userpassword"
    phase2="auth=MSCHAPV2"
    # ca_cert="/path/to/ca.pem"  # для проверки сертификата
}

Сбор логов для поддержки