RADIUS 动态授权端口
3799 是 RADIUS 动态授权与断开报文使用的端口（RFC 5176），业界通常称它为 CoA（Change of Authorization）。它让认证服务器在会话进行中主动通知接入设备：强制用户下线、变更授权策略或调整带宽。在 802.1X 与无线认证环境里，它是策略真正落地的关键一环。
基本信息
| 服务 | RADIUS Dynamic Authorization |
|---|---|
| 协议 | UDP，默认 3799 |
| 规范 | RFC 5176 |
| 用途 | 会话强制下线、权限变更 |
| 安全等级 | 仅接入设备与认证服务器之间 |
典型使用场景
- 账号被禁用或策略变更时，强制其当前会话下线
- 无线漫游或带宽调整时下发新的授权
- 排查禁用账号后仍能上网，确认动态授权是否送达
- 安全评估时确认动态授权只来自可信服务器
- 与认证计费端口一起规划来源限制
监听与交互确认
监听与交互确认
ss -lntup 'sport = :3799'
sudo lsof -i :3799
netstat -ano | findstr :3799 # Windows
# 授权环境内抓包确认动态授权交互
sudo tcpdump -ni eth0 'udp port 3799' -c 10RADIUS 端口分工
| 端口 | 用途 | 说明 |
|---|---|---|
| 1812 与 1813 | 认证与计费 | 传统认证流程使用 |
| 3799 | 动态授权 | 本条目，负责下线与策略变更 |
| 共享密钥 | 校验报文来源 | 缺失或过弱时请求可被伪造 |
| 接入设备支持度 | 设备能力 | 旧设备不支持时策略无法即时生效 |
动态授权报文可以把用户直接踢下线。如果接入设备没有校验来源与共享密钥，任意主机都能伪造断开请求，造成大面积掉线，甚至被当作可用性攻击手段使用。
生效条件：策略要即时生效，需要接入设备支持动态授权，并在配置里指定认证服务器地址与共享密钥。设备不支持时，禁用账号只能等会话超时或重新认证，表现为改了策略但用户还在线。
日志价值：动态授权相关操作通常会有记录。排查用户异常掉线时先看这一类日志，能直接确认断开指令来自策略变更还是网络波动。