RadSec 是什么
RadSec 是把 RADIUS 报文放进 TLS 隧道中传输的做法，定义于 RFC 6614，标准端口是 TCP 2083。传统 RADIUS 基于 UDP，报文除口令字段外基本是明文，跨不可信链路传输存在窃听与篡改风险。RadSec 用 TLS 提供加密与双向证书认证，让 AP/AC 与 RADIUS 服务器能够跨公网安全通信。部署形态上分直连与经 RADIUS 代理转发两类，走代理时链路上每一跳都要各自完成证书校验。
基本信息
| 全称 | RADIUS over TLS |
|---|---|
| 标准与端口 | RFC 6614，TCP 2083 |
| 传输层 | 基于 TCP 与 TLS，取代传统 UDP 1812/1813 |
| 安全性质 | 整报文加密加双向证书认证，防窃听与防篡改 |
| 适用场景 | AP/AC 与 RADIUS 之间跨公网或云化部署 |
典型使用场景
- 跨公网认证：分支 AP/AC 直连云端 RADIUS，避免报文明文暴露
- 云化部署：认证服务放在云端，出口策略简化为单个 TCP 端口加证书
- 替代隧道：把保护建到应用层，减少额外的隧道设备与配置
- 策略简化：防火墙只放行 TCP 2083 与必要的管理端口
- 迁移评估：确认 NAS 或代理是否支持，老设备通常只能继续走 UDP
迁移路径
迁移路径
# 1) 确认 AP/AC 与 RADIUS 双方都支持 RadSec（TCP 2083）
# 2) 为两端签发证书，校验证书链、有效期与主机名匹配
# 3) 先启用 RadSec 并保留 UDP 回退窗口，观察认证成功率
# 4) 验证通过后收紧防火墙，仅放行 TCP 2083 与必要的管理端口
# 5) 把证书轮换纳入监控与变更计划，避免过期导致认证中断与传统 RADIUS 对比
| 维度 | 传统 RADIUS | RadSec |
|---|---|---|
| 传输协议 | UDP 1812/1813 | TCP 2083 上承载 TLS |
| 机密性 | 报文基本明文 | 整报文加密 |
| 对端认证 | 依赖共享密钥 | 双向证书认证 |
| 防火墙 | 需放通多个 UDP 端口 | 只需放通单个 TCP 端口 |
| 部署形态 | NAS 直连认证服务器 | 可直连或经代理转发，代理链每跳独立校验 |
RadSec 能显著简化防火墙策略（单个 TCP 端口加证书互信），代价是两端都要支持并持续维护证书体系。
证书轮换必须纳入监控，证书过期会导致整条认证链路不可用，影响范围通常是全部无线用户。