RADIUS - Remote Authentication Dial-In User Service

RADIUS adalah protokol AAA client-server yang dikembangkan oleh Livingston Enterprises pada tahun 1991 dan kemudian distandarisasi sebagai RFC 2865 (Authentication & Authorization) dan RFC 2866 (Accounting). Meskipun namanya merujuk pada dial-in (PPP), RADIUS saat ini digunakan secara luas untuk berbagai jenis akses jaringan: VPN (IPsec/SSL), Wi-Fi 802.1X (WPA2-Enterprise), switch port authentication (802.1X), dan akses remote.

Cara Kerja

RADIUS menggunakan UDP sebagai protokol transport dengan port:

1812: Authentication & Authorization
1813: Accounting

Alur kerja dasarnya:

NAS (Network Access Server - perangkat seperti router, switch, access point) menerima koneksi dari pengguna.
NAS mengirimkan Access-Request ke server RADIUS dengan kredensial pengguna.
Server RADIUS memverifikasi kredensial terhadap database lokal (misalnya /etc/freeradius/users), LDAP, Active Directory, atau SQL.
Server merespon dengan Access-Accept (berisi atribut authorization), Access-Reject, atau Access-Challenge (meminta informasi tambahan seperti token OTP).

Atribut RADIUS

Data dikirim sebagai pasangan Attribute-Length-Value (AVP). Atribut standar (RFC 2865) meliputi:

User-Name (1)
User-Password (2) - dienkripsi dengan shared secret, bukan seluruh paket
NAS-IP-Address (4)
Service-Type (6)
Framed-IP-Address (8)
Session-Timeout (27)
Called-Station-Id (30) dan Calling-Station-Id (31)

Vendor dapat menambahkan atribut khusus melalui Vendor-Specific Attributes (VSA, kode 26).

Server dan Client (NAS)

Dalam arsitektur RADIUS, server adalah database terpusat yang menyimpan kredensial dan kebijakan akses. Client (NAS) adalah perangkat edge yang menerima koneksi pengguna dan meneruskan permintaan autentikasi ke server.

RADIUS juga mendukung proxy: server RADIUS dapat meneruskan permintaan ke server RADIUS lain (realm-based routing). Ini memungkinkan federasi identitas antar organisasi, misalnya eduGAIN untuk lingkungan pendidikan.

Kelebihan dan Kekurangan

Kelebihan:

Standar terbuka (IETF) - interoperabilitas lintas vendor (Cisco, Juniper, Aruba, MikroTik, dll.)
Dukungan luas untuk protokol otentikasi modern (EAP-TLS, PEAP, EAP-TTLS)
Arsitektur proxy untuk federasi dan scalability
Ringan - UDP lebih cepat untuk lingkungan dengan banyak permintaan autentikasi

Kekurangan:

Hanya password yang dienkripsi dalam paket Access-Request - atribut lain (username, NAS-IP) dikirim dalam plaintext
Menggunakan UDP - memerlukan mekanisme retransmission dan timeout di sisi aplikasi
Authorization dan authentication digabung dalam satu respons - tidak mendukung per-command authorization
Tidak mendukung enkripsi seluruh sesi

Implementasi Populer

FreeRADIUS

FreeRADIUS adalah server RADIUS open-source yang mendukung hampir semua fitur RADIUS. File konfigurasi utama:

/etc/freeradius/3.0/mods-config/files/authorize - database user lokal
/etc/freeradius/3.0/sites-enabled/default - virtual server default
radtest - tool debugging untuk menguji koneksi RADIUS

Windows NPS (Network Policy Server)

Microsoft NPS adalah implementasi RADIUS di ekosistem Windows Server. NPS terintegrasi erat dengan Active Directory dan digunakan terutama untuk:

Autentikasi 802.1X pada switch dan access point
VPN Remote Access (RRAS)
Connection Request Policies dan Network Policies

Kesimpulan

RADIUS tetap menjadi protokol AAA paling dominan di industri karena sifatnya yang terbuka, ringan, dan kompatibel lintas vendor. Meskipun memiliki keterbatasan keamanan (enkripsi parsial) dan tidak cocok untuk device administration per-command, RADIUS unggul di skenario subscriber access dan network access control (NAC) skala besar.