RADIUS 服务器是什么
RADIUS 服务器是接入选认证的决策中心：AC/交换机把终端的认证请求转发过来，服务器查本地库或对接目录服务（AD/LDAP）、证书体系后返回 Access-Accept 或 Access-Reject，并可同时下发 VLAN、ACL、限速等授权属性。选型的关键不是「哪个更强」，而是终端规模、策略复杂度、与现有目录/证书体系的耦合程度，以及运维团队的技能栈能否长期维护它。
基本信息
| 协议 | RADIUS（认证授权 UDP 1812、计费 UDP 1813、动态授权 UDP 3799） |
|---|---|
| 常见实现 | FreeRADIUS、Windows NPS、Cisco ISE、Aruba ClearPass |
| 后端依赖 | AD/LDAP、SQL、企业 CA、Token/证书体系 |
| 核心能力 | EAP 方法支持、属性下发、CoA、日志与审计 |
| 部署位置 | 通常与 NAS 三层可达，跨网段时需放行上述 UDP 端口 |
常见选择对比
| 产品 | 平台 | 适合与边界 |
|---|---|---|
| FreeRADIUS | Linux | 灵活、模块化强；策略靠配置与脚本实现，需要专人维护 |
| Windows NPS | Windows Server | 与 AD 集成省事，中小规模友好；复杂动态授权易触能力上限 |
| Cisco ISE | 专用设备/虚机 | 设备画像与策略丰富，适合已有思科体系的园区 |
| ClearPass | 专用设备/虚机 | 策略引擎灵活、访客体系完整，许可成本需提前核算 |
典型使用场景
- 员工 802.1X：账号加证书接入内网，按身份下发 VLAN 与 ACL
- 访客与外部人员：短信/审批/自助注册后限时授权，与内网隔离
- IoT 与哑终端：按 MAC 指纹与策略分域接入，避免与办公网混跑
- 多分支统一认证：中心 RADIUS 集中策略，分支设备只做 NAS
- 与合规联动：认证、计费、动态授权日志统一留存以备审计
上线前的自检动作
上线前的自检动作
# 1) 用命令行工具验证账号与共享密钥（FreeRADIUS 自带）
radtest test01 'Passw0rd!' 127.0.0.1 0 testing123
# 2) 前台调试模式观察完整认证过程，排障后立即关闭
radiusd -X
# 3) 核对 NAS 侧配置的服务器地址、共享密钥与源地址策略
# 4) 确认 1812/1813/3799 在沿途防火墙均已放行「免费」不等于「零成本」：开源方案省的是许可费，省不掉设计、调优与值班人力；商用方案省的是人力，但需要按月核算许可与订阅。
选型时把未来两年的场景一起评估：现在只做员工认证，往后很可能增加访客、IoT、动态授权，能力边界越早确认越省事。