RADIUS或TACACS+：管理用户的正确网络安全协议
保护工业网络涉及多个层面，以确保数据和基础设施的安全。它需要的不仅仅是部署防火墙和入侵检测系统。管理用户访问是确保运营连续性、安全性和数据完整性的关键部分。
AAA（身份验证、授权和计费）协议（一种网络安全协议）建立了规定用户如何与网络交互的规则和标准。它们验证身份、管理权限和身份验证、维护活动日志等。虽然有几种 AAA 协议可以履行这一角色，但其中有两种是广为人知的：
- RADIUS（远程身份验证拨入用户服务）
- TACACS+ （终端访问控制器访问控制系统增强版）
这两种网络安全协议都用于管理用户访问。为了简化访问策略和安全检查的管理，它们可以链接到各种目录服务并实现集中的用户访问管理。
RADIUS 和 TACACS+ 遵循不同的方法和架构并提供不同的功能。哪种网络安全协议更适合您的环境？让我们’来找出答案。
您需要了解的有关RADIUS的信息
RADIUS 作为一种成熟的网络安全协议，用于 Wi-Fi 网络 许多组织中的用户登录。使用 RADIUS，可以对分布式网络结构进行集中管理，这对于大型公司来说很有吸引力。
RADIUS如何工作？
RADIUS 基于客户端 - 服务器架构。通过 RADIUS 协议拨入需要 RADIUS 客户端、网络访问服务器 (NAS) 或身份验证器以及 RADIUS 服务器。
RADIUS 客户端安装在端点上并启动拨入请求。它作为访问请求包传输到 NAS，NAS 将有关用户的信息转发到 RADIUS 服务器。然后服务器：
- 将数据包中的数据与用户数据库进行比较
- 授予或拒绝拨入权限
- 建立与网络的相应连接
RADIUS 依赖用户数据报协议 (UDP) 作为其传输协议。身份验证和授权被捆绑到一个请求中，但这对于深远的安全要求来说并不总是最好的方法。’因此，它’通常适用于简单访问控制就足够的部署场景。可与大量网络设备配合使用，且易于实现。
RADIUS的安全性如何？
RADIUS 仅对数据包中的密码进行加密。其他包组件（例如用户名和账单信息）仅受协议本身的保护。
由于 RADIUS 基于 UDP，因此数据包传输的控制机制较少。因此，它’比 TACACS+ 更容易受到某些类型的网络攻击。
您需要了解的有关 TACACS+ 的信息
TACACS+ 也基于客户端 - 服务器架构，通常用于管理管理员对网络设备（如路由器和交换机）的访问。它’适用于需要更多控制和详细管理用户授权和活动的环境，但目前仅受少数主要网络设备制造商的支持。
TACACS+ 相比 RADIUS 具有更加详细、灵活的授权功能。它可用于实现复杂的安全策略和指令。
TACACS+如何运作？
身份验证请求从网络设备发送到 TACACS+ 服务器。服务器将登录信息与数据库或目录服务进行比较并进行验证。TACACS+ 服务器向网络设备发送允许或拒绝 网络访问的响应。
认证成功后，网络设备向 TACACS+ 服务器发送授权请求。服务器验证用户被允许执行哪些命令和操作，网络设备接收授权命令和操作的列表。
TACACS+ 使用传输控制协议 (TCP) 作为传输协议。将认证、授权、计费流程划分为单独的功能和请求，从而可以引入单独的认证解决方案，并实现详细的管理和控制。
然而，在 TACACS+ 中分离 AAA 服务及其综合功能需要大量的配置和管理工作。它还需要更多的网络和服务器资源。
TACACS+的安全性如何？
总体而言，TACACS+ 提供了更多的安全措施。一个例子是数据包加密。RADIUS 仅加密密码，而 TACACS+ 则加密数据包的全部内容，从而提高了网络安全性并使其适合安全解决方案的新要求。
因为它使用 TCP，所以它提供了更可靠的传输。TCP 还可以实现更好的错误控制：如果服务器崩溃或停止，它’立即指示。
正确的安全协议取决于您的环境
RADIUS和TACACS+都能以各自的方式提高网络安全性。
RADIUS足以满足大多数应用场景的需求，而且实施简单，方便进行管理工作。
TACACS+提供更多功能和更好的安全措施，为安全关键区域提供更好的网络保护。
如果您需要帮助来确定哪种网络安全协议最适合您的组织和环境，Belden可以帮助您做出正确的选择。
相关链接
关于作者
Sarah Kolberg 于 2023 年 4 月加入 Belden 团队，担任软件内容营销经理。她常驻德国，负责制作有关工业网络安全的内容。