RADIUS 与 1812 端口
1812 是 RADIUS 的认证端口（UDP），负责校验身份并返回授权属性；计费与审计走 1813。无线接入、交换机端口准入、VPN 拨号与堡垒机登录都把认证请求交给 RADIUS 服务器，因此它往往是网络准入的信任锚点，一旦被绕过，等于所有接入控制同时失效。RADIUS 报文默认只用共享密钥做完整性保护，用户名等信息并不加密，跨不可信网络时应使用 TLS 封装的 RadSec。
基本信息
| 服务 | RADIUS（FreeRADIUS、网络设备厂商的认证服务等） |
|---|---|
| 协议 | UDP（1812 认证、1813 计费） |
| 规范 | RFC 2865、RFC 2866；旧实现偶用 1645 与 1646 |
| 认证方式 | PAP 明文校验、EAP 系列（常用于无线） |
| 配置要点 | 共享密钥、来源地址限制、用户与策略定义 |
| 安全等级 | 仅限网络设备与管理网可达 |
典型使用场景
- 无线网络准入：终端认证通过后才允许接入指定网络
- 交换机端口准入：设备上线先认证再放行端口
- VPN 拨号认证：把账号校验集中到统一的用户源
- 堡垒机与运维登录：统一认证并记录登录来源
- 配合计费端口记录上线时长与流量，用于审计与结算
测试认证与抓包
测试认证与抓包
radtest alice '<口令>' 127.0.0.1 0 '<共享密钥>' # 本机自测认证链路
radiusd -X # 前台调试模式，逐条打印处理过程
sudo tcpdump -ni eth0 udp port 1812 -c 20 # 观察请求与应答
ss -lunp | grep -E ':1812|:1813' # 确认监听与绑定地址结果判读与定位
| 现象 | 含义 | 处置方向 |
|---|---|---|
| 无任何应答 | 共享密钥不符、来源被拒或端口未放行 | 先核对密钥与来源白名单 |
| 拒绝访问 | 用户名口令或策略不满足 | 查用户组、时段与并发限制 |
| 部分用户可过 | 策略分层导致 | 逐条比对策略匹配顺序 |
| 认证慢或超时 | 服务器负载高或上游用户源响应慢 | 查看调试模式中各阶段耗时 |
| 计费时间错乱 | 设备与服务器时钟不一致 | 统一使用同一时间源 |
设备侧引用要点
设备侧引用要点
认证服务器：地址与端口按实际填写（认证 1812、计费 1813）
共享密钥：与服务器端完全一致，避免使用可猜的字符串
主备关系：配置备用服务器，超时与重传次数按网络时延调整
测试入口：设备侧查看认证统计的收发计数，确认请求是否真正发出相关端口分工
| 端口 | 用途 |
|---|---|
| 1812/udp | 认证与授权 |
| 1813/udp | 计费与审计 |
| 1645/1646 | 早期实现使用的旧端口，易与新版混配 |
| 2083 | RadSec，TLS 封装后的认证通道 |
| 3799/udp | 会话断开与重认证指令 |
共享密钥过弱会让攻击者伪造认证通过报文，任何设备都能获批接入；密钥应足够复杂并按区域区分，同时严格限制可访问 1812 的来源地址。
往返时延决定超时参数：NAS 与 RADIUS 之间跨广域网时，默认超时与重传次数往往过小，表现为偶发认证失败；按实测时延调整后仍失败，再查策略匹配。
时间一致性容易被忽略：启用计费端口后，如果设备与服务器时钟不同步，日志里的上线与下线时间会对不上，审计与结算都会出错，排查前先确认双方时间源一致。