Wie richtet man RADIUS ein?

Installieren oder aktivieren Sie einen RADIUS-Server, definieren Sie jedes Netzwerkgerät als Client mit seiner IP-Adresse und einem gemeinsamen Geheimnis und verbinden Sie den Server mit einem Benutzerspeicher wie beispielsweise einem Verzeichnis. Konfigurieren Sie anschließend den Switch, den Controller oder das Gateway mit der Serveradresse und demselben Geheimnis und erstellen Sie Richtlinien, die Benutzern oder Gruppen Zugriffsrechte zuweisen. Testen Sie das System zunächst mit einem einzelnen Gerät, bevor Sie es flächendeckend einführen.

Welche Ports verwendet RADIUS?

Für die RADIUS-Authentifizierung und -Abrechnung wird traditionell UDP verwendet, wobei Port 1812 für die Authentifizierung und Port 1813 für die Abrechnung gemäß den in RFC 2865 und RFC 2866 festgelegten Diensten zugewiesen sind. Ältere Installationen verwendeten die Ports 1645 und 1646. Überprüfen Sie, wie sowohl der Client als auch der Server konfiguriert sind, da eine Nichtübereinstimmung die Kommunikation verhindert.

Ist RADIUS dasselbe wie 802.1X?

Nr. 802.1X ist ein portbasierter Standard zur Zugriffskontrolle, der festlegt, wie sich ein Gerät authentifiziert, bevor es Netzwerkzugang erhält, während RADIUS das Protokoll ist, das der Switch oder Access Point üblicherweise verwendet, um den Authentifizierungsserver zu erreichen. Sie werden häufig gemeinsam eingesetzt.

Verschlüsselt RADIUS den Datenverkehr?

Nur teilweise. RADIUS schützt das Benutzerkennwort-Attribut mithilfe des gemeinsamen Geheimnisses, doch die meisten anderen Attribute in einer Nachricht werden unverschlüsselt übertragen. In vielen Implementierungen wird der Schutz durch den Einsatz von EAP-Verfahren, die einen TLS-Tunnel aufbauen, oder durch den Betrieb von RADIUS über IPsec oder TLS erweitert.

Was ist der Unterschied zwischen RADIUS und TACACS+?

RADIUS ist ein offener Standard, der häufig für den Netzwerkzugang von Benutzern und Geräten verwendet wird, während TACACS+ üblicherweise für den Administratorzugriff auf die Befehlszeilen von Netzwerkgeräten eingesetzt wird. TACACS+ trennt Authentifizierung, Autorisierung und Abrechnung voneinander und verschlüsselt den gesamten Nachrichteninhalt, während RADIUS Authentifizierung und Autorisierung kombiniert.

Glossar
Was ist RADIUS (Remote Authentication Dial-In User Service)?

Sicherheitsglossar

Was ist RADIUS (Remote Authentication Dial-In User Service)?

RADIUS (Remote Authentication Dial-In User Service) ist ein Netzwerkprotokoll, das die Authentifizierung, Autorisierung und Abrechnung für Benutzer und Geräte, die Netzwerkzugang anfordern, zentralisiert. Es ermöglicht einem Netzwerkzugangsserver, Anmeldedaten an einen zentralen RADIUS-Server weiterzuleiten, der daraufhin eine Entscheidung über die Annahme, Ablehnung oder Aufforderung zur Nachprüfung zusammen mit Zugangsattributen zurückgibt.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

RADIUS (Remote Authentication Dial-In User Service) is a network protocol that centralizes authentication, authorization, and accounting for users and devices across enterprise networks, operating between a network access server acting as a RADIUS client and a central RADIUS server that evaluates credentials against a user store and returns access decisions. The protocol, standardized in RFC 2865 and RFC 2866, enables organizations to manage network access policies—such as Wi-Fi, wired 802.1X port security, and remote VPN—from a single point rather than maintaining local accounts on individual devices. Because RADIUS has become the common mechanism behind enterprise network access control, organizations must address configuration challenges including shared secret management, server redundancy, attribute compatibility across vendors, and transport security to ensure reliable authentication while mitigating risks from credential exposure.

RADIUS operates over UDP on ports 1812 (authentication) and 1813 (accounting), with the protocol defined in RFC 2865 and RFC 2866, requiring organizations to verify matching port configurations between clients and servers to prevent communication failures.
The protocol obscures only the password attribute using the shared secret, leaving other user data unencrypted; organizations strengthen security by implementing strong EAP methods, running RADIUS over protected transport like TLS or IPsec, and maintaining comprehensive accounting logs for incident investigation.
Single RADIUS server deployments create a critical dependency that blocks new logins and reauthentication during failures or maintenance; best practice requires configuring at least two redundant servers on each client and testing failover behavior proactively.

RADIUS auf einen Blick

Attribute	Value
Full name	Remote Authentication Dial-In User Service
Category	Network protocol
Defined in	RFC 2865 (authentication and authorization) and RFC 2866 (accounting)
Protocol and port	UDP ports 1812 for authentication and 1813 for accounting; older deployments used ports 1645 and 1646
OSI layer	Application layer (layer 7)
Primary use	Centralized authentication, authorization, and accounting for network access such as Wi-Fi, VPN, and wired 802.1X
Related terms	AAA, 802.1X, EAP, TACACS+, Network access control

So funktioniert RADIUS

RADIUS funktioniert zwischen einem Netzwerkzugangsserver, der als RADIUS-Client fungiert, und einem zentralen RADIUS-Server. Der Client überprüft die Anmeldedaten niemals selbst; er leitet sie weiter und setzt die Antwort durch.

Zugriffsanfrage: Ein Benutzer oder ein Gerät stellt eine Verbindung zu einem Switch, einem Wireless-Controller oder einem VPN-Gateway her. Dieses Gerät, das als RADIUS-Client fungiert, sendet eine Zugriffsanfrage („Access-Request“), die die Anmeldedaten oder EAP-Daten sowie Attribute wie die Client-Kennung enthält.
Serverauswertung: Der RADIUS-Server gleicht die Anfrage mit seinem Benutzerspeicher, beispielsweise einem Verzeichnis oder einer Datenbank, ab und wendet seine Richtlinien an. Anfragen werden zwischen Client und Server mithilfe eines gemeinsamen Geheimnisses authentifiziert.
Serverantwort: Der Server antwortet mit „Access-Accept“, „Access-Reject“ oder „Access-Challenge“. Eine „Challenge“ fordert weitere Informationen an, beispielsweise einen zweiten Authentifizierungsfaktor oder den nächsten Schritt in einem EAP-Austausch.
Autorisierungsattribute: Ein „Access-Accept“ kann Attribute enthalten, die dem Client mitteilen, was gewährt werden soll, z. B. eine VLAN-Zuweisung, ein Sitzungszeitlimit oder eine Filterregel.
Abrechnung: Der Client sendet „Accounting-Request“-Nachrichten, wenn eine Sitzung beginnt, aktualisiert wird oder beendet wird. Der Server zeichnet Nutzungsdaten für Auditzwecke und die Abrechnung auf.

Da RADIUS über UDP läuft, werden bei der Bereitstellung in der Regel Timeouts, Wiederholungsversuche und Backup-Server konfiguriert. Da nur das Passwort-Attribut mit dem gemeinsamen Geheimnis verschleiert wird, sollte der RADIUS-Datenverkehr über geschützte Verbindungen oder, sofern unterstützt, über TLS übertragen werden.

Warum RADIUS in Unternehmensnetzwerken wichtig ist

RADIUS ist der gängige Mechanismus hinter der WLAN-Anmeldung in Unternehmen, der kabelgebundenen 802.1X-Port-Sicherheit und dem Fernzugriff über VPN. Da es in den RFCs 2865 und 2866 standardisiert ist, können Switches, Controller und Gateways vieler Hersteller auf einen einzigen Policy-Server verweisen. Dadurch entfallen lokale Konten auf Geräteebene, und ein Unternehmen kann an einer zentralen Stelle festlegen, wer unter welchen Bedingungen Zugriff hat.

Der zentrale Server wird zur Voraussetzung für jede Anmeldung. Ist er nicht erreichbar, können sich neue Nutzer und Geräte nicht mit dem Netzwerk verbinden, und durch die erneute Authentifizierung können bestehende Sitzungen unterbrochen werden. Teams betreiben in der Regel redundante Server, passen Timeouts an und überwachen die Antwortzeiten. Nicht übereinstimmende gemeinsame Geheimnisse, Probleme mit der Uhrzeit oder Zertifikaten bei EAP-Implementierungen sowie falsche Eingaben der Client-Adresse sind häufige Ursachen für fehlgeschlagene Authentifizierungen.

Die Sicherheit hängt von der Konfiguration ab. Das gemeinsame Geheimnis schützt die Nachrichtenintegrität zwischen Client und Server; schwache oder auf vielen Geräten wiederverwendete Geheimnisse schwächen diesen Schutz daher. Da das Protokoll nur das Passwortattribut verschleiert, können über einen offengelegten Pfad andere Benutzerdaten offengelegt werden. Starke EAP-Methoden, geschützter Transport und protokollierte Abrechnungsdaten begrenzen diese Risiken und unterstützen die Untersuchung von Vorfällen.

Wie sich RADIUS im Vergleich zu verwandten Begriffen darstellt

RADIUS vs. AAA (Authentifizierung, Autorisierung und Abrechnung)

AAA ist das allgemeine Rahmenwerk für die Authentifizierung, Autorisierung und Abrechnung von Zugriffen, während RADIUS ein spezifisches Protokoll ist, das dieses Rahmenwerk umsetzt. Was ist AAA?

Attribute	RADIUS	AAA (Authentication, Authorization and Accounting)
Type	Network protocol	Conceptual framework
Defined in	RFC 2865 and RFC 2866	Not a single specification; implemented by several protocols
Scope	Carries requests, decisions, and accounting records between client and server	Describes the three functions any access control system performs
Examples	RADIUS	RADIUS, TACACS+, and Diameter

RADIUS im Vergleich zum Lightweight Directory Access Protocol (LDAP)

RADIUS entscheidet, ob ein Gerät oder ein Benutzer auf das Netzwerk zugreifen darf, während LDAP ein Protokoll zum Lesen und Abfragen eines Verzeichnisses ist, das häufig die von RADIUS überprüften Identitäten enthält. Was ist LDAP?

Attribute	RADIUS	Lightweight Directory Access Protocol (LDAP)
Primary role	Network access authentication, authorization, and accounting	Directory lookup and update
Typical client	Switch, wireless controller, or VPN gateway	Applications and servers
Relationship	Often queries a directory for credentials and group membership	Often serves as the user store behind a RADIUS server
Accounting	Supported through accounting messages	Not part of the protocol

Häufige RADIUS-Probleme

Wenn sich das Passwort auf dem Netzwerkgerät von dem unterscheidet, das für diesen Client auf dem Server konfiguriert ist, schlagen Anfragen fehl oder werden verworfen. In den Serverprotokollen werden häufig Pakete mit einem ungültigen Authentifikator angezeigt, und Benutzer erleben wiederholte Anmeldefehler, obwohl ihre Anmeldedaten korrekt sind.

Eine Firewall-Regel, eine Änderung der Routenführung oder eine falsche Quelladresse kann dazu führen, dass Anfragen den Server nicht erreichen. Switches und Controller verzeichnen dann ein Timeout und greifen je nach Konfiguration möglicherweise auf ein Gast-VLAN, ein lokales Konto oder gar keinen Zugriff zurück.

Benutzer werden zwar erfolgreich authentifiziert, landen jedoch im falschen VLAN oder in der falschen Rolle, da der Server ein Attribut zurückgibt, das das Gerät nicht berücksichtigt, oder gar kein Attribut. Herstellerspezifische Attributnamen und -werte unterscheiden sich häufig zwischen den verschiedenen Geräteherstellern.

Wenn nur ein RADIUS-Server konfiguriert ist, blockiert ein Ausfall oder ein Wartungsfenster neue Anmeldungen und die erneute Authentifizierung. Konfigurieren Sie mindestens zwei Server auf jedem Client und testen Sie das Failover-Verhalten, bevor ein Ausfall dies für Sie übernimmt.

Bei 802.1X-Implementierungen, die zertifikatsbasierte EAP-Verfahren verwenden, führt ein abgelaufenes Serverzertifikat oder ein Client, der dem Aussteller nicht vertraut, dazu, dass die Authentifizierung für viele Geräte gleichzeitig fehlschlägt. Die Ursache liegt in der Regel beim Zertifikat und nicht bei den Benutzerkonten.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Sprechen Sie mit uns

Das intelligente Netzwerk

Was ist RADIUS (Remote Authentication Dial-In User Service)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

RADIUS auf einen Blick

So funktioniert RADIUS

Warum RADIUS in Unternehmensnetzwerken wichtig ist

Wie sich RADIUS im Vergleich zu verwandten Begriffen darstellt

RADIUS vs. AAA (Authentifizierung, Autorisierung und Abrechnung)

RADIUS im Vergleich zum Lightweight Directory Access Protocol (LDAP)

Häufige RADIUS-Probleme

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

RADIUS-FAQ

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel