RADIUS或TACACS+：管理用户的正确网络安全协议
工业网络的安全涉及多个层面，以确保数据和基础设施的安全。它需要的不仅仅是部署防火墙和入侵检测系统。管理用户访问是确保操作连续性、安全性和数据完整性的关键部分。
AAA（身份验证、授权和记帐）协议（网络安全协议的一种形式）建立了规则和标准，规定用户如何与网络交互。它们验证身份、管理权限和身份验证、维护活动日志等。虽然有多种AAA协议可以履行这一角色，但有两种协议广为人知：
- RADIUS（远程身份验证拨入用户服务）
- TACACS+ （终端访问控制器访问控制系统增强版）
这两种网络安全协议都用于管理用户访问。为了简化访问策略和安全检查的管理，可以将它们链接到各种目录服务并实现集中的用户访问管理。
RADIUS和TACACS+遵循不同的方法和架构，并提供不同的功能。哪种网络安全协议更适合您的环境？让我们来了解一下。
您需要了解的有关RADIUS的信息
作为一种成熟的网络安全协议，RADIUS在许多组织中用于Wi-Fi网络用户登录。使用RADIUS，分布式网络结构可以实现集中管理，这使得它对大公司具有吸引力。
RADIUS如何工作？
RADIUS基于客户端-服务器架构。通过RADIUS协议拨号需要RADIUS客户端、网络访问服务器（NAS）或身份验证器和RADIUS服务器。
RADIUS客户端安装在端点上并启动拨入请求。这作为访问请求数据包传输到NAS，NAS将有关用户的信息转发到RADIUS服务器。然后，服务器：
- 将数据包中的数据与用户数据库进行比较
- 授予或拒绝拨入权限
- 建立与网络的相应连接
RADIUS依赖于用户数据报协议（UDP）作为其传输协议。身份验证和授权被捆绑到单个请求中，但这并不总是满足深远安全要求的最佳方法。因此，它通常适用于只需进行简单访问控制的部署场景。它可以与大量网络设备一起使用，而且易于实施。
RADIUS的安全性如何？
RADIUS仅加密数据包中的密码。其他包组件（如用户名和帐单信息）仅受协议本身保护。
由于RADIUS基于UDP，因此可用于数据包传输的控制机制较少。因此，它比TACACS+更容易受到某些类型的网络攻击。
您需要了解的有关TACACS的信息+
同样基于客户端-服务器架构，TACACS+通常用于管理管理员对网络设备（如路由器和交换机）的访问。它适用于需要对用户授权和活动进行更多控制和详细管理的环境，但目前仅受少数主要网络设备制造商支持。
相比RADIUS，TACACS+具有更详细、更灵活的授权功能。它可用于实施复杂的安全策略和指令。
TACACS+如何运作？
身份验证请求从网络设备发送到TACACS+服务器。服务器将登录信息与数据库或目录服务进行比较并验证。TACACS+服务器通过允许或拒绝网络访问向网络设备发送响应。
身份验证成功后，网络设备向TACACS+服务器发送授权请求。服务器验证允许用户执行哪些命令和操作，网络设备则接收授权命令和操作的列表。
TACACS+使用传输控制协议（TCP）作为传输协议。身份验证、授权和记帐过程被分为单独的功能和请求，因此可以引入单独的身份验证解决方案并实现详细的管理和控制。
但是，在TACACS+中分离AAA服务及其全面的功能需要大量的配置和管理工作。它还需要更多的网络和服务器资源。
TACACS+的安全性如何？
总体而言，TACACS+提供了更多的安全措施。一个例子是数据包加密。RADIUS只对密码进行加密，而TACACS+则对数据包的全部内容进行加密，从而提高了网络安全性，使其适合安全解决方案的新要求。
由于它使用TCP，因此传输更可靠。TCP还可以实现更好的错误控制：如果服务器崩溃或停止，它会立即指示。
正确的安全协议取决于您的环境
RADIUS和TACACS+都能以各自的方式提高网络安全性。
RADIUS足以满足大多数应用场景的需求，而且实施简单，方便进行管理工作。
TACACS+提供更多功能和更好的安全措施，为安全关键区域提供更好的网络保护。
如果您需要帮助来确定哪种网络安全协议最适合您的组织和环境，Belden可以帮助您做出正确的选择。
相关链接
关于作者
Sarah Kolberg于2023年4月加入Belden团队，担任软件内容营销经理。她常驻德国，帮助制作有关工业网络安全的内容。