RADIUS 通过在 MikroTik RouterOS 中经由 UDP 或 RadSec 协议连接到 RADIUS 服务器，为 PPP、HotSpot 和其他服务启用集中式认证与计费，并具有可配置的端口、共享密钥和服务特定设置。

RADIUS

RADIUS 是 Remote Authentication Dial-In User Service 的缩写，它是一种远程服务器，为各种网络设备提供认证和计费功能。RADIUS 认证和计费使 ISP 或网络管理员能够从一个服务器管理整个大型网络中的 PPP 用户访问和计费。MikroTik RouterOS 具有一个 RADIUS 客户端，可以认证路由器本地用户、HotSpot、PPP 和 ISDN 连接。从 RADIUS 服务器收到的属性会覆盖默认配置文件中设置的属性，但如果某些参数未收到，则取自相应的默认配置文件。

只有在路由器本地数据库中找不到匹配的用户访问记录时，才会查询 RADIUS 服务器数据库。

如果启用了 RADIUS 计费，计费信息也会发送到该服务的默认 RADIUS 服务器。

RADIUS 客户端

子菜单： /radius

此子菜单允许添加和删除 RADIUS 客户端。

警告

此列表中已添加条目的顺序很重要。

属性

警告

当 RADIUS 服务器使用 CHAP、MS-CHAPv1、MS-CHAPv2 认证用户时，它并不使用共享密钥；共享密钥仅用于认证应答，由路由器（RADIUS 客户端）对其进行验证。因此，如果共享密钥错误，RADIUS 服务器将接受请求，但路由器不会接受应答。您可以使用 "/radius/monitor" 命令看到这一点，每当有人尝试连接时，"bad-replies" 数字都应该增加。

危险

如果启用了 RadSec，请确保您的 RADIUS 服务器使用 "radsec" 作为共享密钥，否则 RADIUS 服务器将无法正确解密数据（出现不可打印字符）。使用 RadSec 时，无论手动设置了什么，RouterOS 都会强制将共享密钥设为 "radsec"。更多详细信息请参阅 RFC6614。

信息

如果使用 RadSec，RouterOS 将覆盖为使用 TCP 端口 2083

示例

要为 HotSpot 和 PPP 服务设置一个将针对 RADIUS 服务器 (10.0.0.3) 进行认证的 RADIUS 客户端，您需要执行以下操作：

[admin@MikroTik] > /radius/add service=hotspot,ppp address=10.0.0.3 secret=ex
[admin@MikroTik] > /radius/print
Flags: X - disabled
# SERVICE CALLED-ID DOMAIN ADDRESS SECRET
0 ppp,hotspot 

要设置一个使用 RadSec 的 RADIUS 客户端，您需要执行以下操作：

[admin@MikroTik] > /radius/add service=hotspot,ppp address=10.0.0.3 secret=radsec protocol=radsec certificate=client.crt
[admin@MikroTik] > /radius/print
Flags: X - disabled
# SERVICE CALLED-ID DOMAIN ADDRESS SECRET
0 ppp,hotspot 10.0.0.3 radsec

警告

确保指定的证书受信任，并且两端的 common-name 验证都能正常工作。

以下是一个可用于 RADIUS RadSec 配置的简单证书示例：

On server:

#CN should be RADIUS server IP
/certificate/add name=radsec_server common-name=10.155.114.91
/certificate/sign radsec_server

#CN should be RADIUS client IP
/certificate/add name=radsec_client1 common-name=10.155.114.92
/certificate/sign radsec_client1
/user-manager/set radsec-certificate=radsec_server

#Export certificates on the server in order to apply them on client
/certificate/export-certificate type=pkcs12 export-passphrase=verystrongpassword radsec_client1
/certificate/export-certificate type=pkcs12 radsec_server

On client:

#Download both files and upload them to the client
/certificate/import file-name=cert_export_radsec_client1.p12 passphrase=verystrongpassword
/certificate/import file-name=cert_export_radsec_server.p12
/radius/set <radius_client_id_in_list> certificate=cert_export_radsec_client1.p12_0

#After that when RADIUS client tries to connect to the server you should see on status fileld: status="TLS connected".

要查看 RADIUS 客户端统计信息，您需要执行以下操作：

[admin@MikroTik] > /radius/monitor 0
pending: 0
requests: 10
accepts: 4
rejects: 1
resends: 15
timeouts: 5
bad-replies: 0
last-request-rtt: 0s

确保为所需的服务启用 RADIUS 认证：

/ppp/aaa/set use-radius=yes
/ip/hotspot/profile/set default use-radius=yes

来自 RADIUS 的连接终止

子菜单： /radius/incoming

此功能支持从 RADIUS 服务器发送的未经请求的消息。未经请求的消息扩展了 RADIUS 协议命令，允许终止已从 RADIUS 服务器连接的会话。为此，使用 DM（Disconnect-Messages）。断开消息会导致用户会话立即终止。

警告

RouterOS 不支持 POD（Packet of Disconnect），即另一种执行与 Disconnect Messages 类似功能的 RADIUS 访问请求数据包

属性

支持的 RADIUS 属性

您可以在此处下载 RADIUS reference dictionary.txt，其中包含 MikroTik 设备支持的所有 RADIUS 属性。此文件专为 FreeRADIUS 设计，但也可供其他 RADIUS 服务器使用。请注意，它可能与您的 RADIUS 服务器的默认配置文件冲突。请更正配置，而不是更正字典，因为 MikroTik RouterOS 不支持其他属性。还有 MikroTik Vendor attributes.txt，可以将其包含在现有字典中以支持 MikroTik 厂商特定属性。

下面您将找到有关属性以及在 MikroTik 设备与 RADIUS 通信期间如何使用这些属性的描述。

定义

• PPPs - PPP、PPTP、PPPoE
• default configuration - 默认配置文件中的设置（对于 PPPs）或 HotSpot 服务器设置（对于 HotSpot）

Access-Request 数据包

• Service-Type - 始终为 "Framed"（仅适用于 PPPs）。
• Framed-Protocol - 始终为 "PPP"（仅适用于 PPPs）。
• NAS-Identifier - 路由器的身份名称。
• NAS-IP-Address - 路由器自身的 IP 地址。
• NAS-Port - 此属性表示正在认证用户的 NAS 的物理端口号。
• Acct-Session-Id - 唯一的会话 ID。会话 ID 的前两个符号表示服务（PPP、Hotspot 等）。下一个符号在每次重启时递增。最后一组符号在每次新会话时递增。这意味着，对于同一 RADIUS 类型服务，在同一启动周期内进行 100 万次重新连接也无法获得相同的 ID。如果您丢失了会话停止消息，而 RADIUS 服务器仍保持会话打开，但随后收到另一条会话开始消息，则它必须意识到停止消息已丢失，关闭旧会话并开始新会话。
• NAS-Port-Type - Async PPP - "Async"；PPTP 和 L2TP - "Virtual"；PPPoE - "Ethernet"；ISDN - "ISDN Sync"；HotSpot - "Ethernet | Cable | Wireless-802.11"（根据 /ip/hotspot/profile 中 nas-port-type 参数的值）。
• Calling-Station-Id - PPPoE 和 HotSpot - 大写字母的客户端 MAC 地址；PPTP 和 L2TP - 客户端公网 IP 地址。
• Called-Station-Id - PPPoE - 服务名称；PPTP 和 L2TP - 服务器 IP 地址；HotSpot - HotSpot 服务器的名称。
• NAS-Port-Id - Async PPP - 串口名称；PPPoE - 服务器运行所在的以太网接口名称；HotSpot - 物理 HotSpot 接口的名称（如果已桥接，则此处显示网桥端口名称）；对于 ISDN、PPTP 和 L2TP 不存在。
• Framed-IP-Address - Universal Client 转换后 HotSpot 客户端的 IP 地址。
• Mikrotik-Host-IP - Universal Client 转换前 HotSpot 客户端的 IP 地址（客户端的原始 IP 地址）。
• User-Name - 客户端登录名。
• MS-CHAP-Domain - 用户域（如果存在）。
• Mikrotik-Realm - 如果在 /radius 菜单中设置，则它作为 Mikrotik-Realm 属性包含在每个 RADIUS 请求中。如果未设置，则发送与 MS-CHAP-Domain 属性相同的值（如果缺少 MS-CHAP-Domain，则也不包含 Realm）。
• WISPr-Location-ID - 在 HotSpot 服务器的 radius-location-id 属性中指定的文本字符串。
• WISPr-Location-Name - 在 HotSpot 服务器的 radius-location-name 属性中指定的文本字符串。
• WISPr-Logoff-URL - 注销页面的完整链接（例如 ）。

根据认证方法（注意：HotSpot 默认使用 CHAP，如果启用了未加密密码也可以使用 PAP，但不能使用 MSCHAP）：

• User-Password - 加密的密码（与 PAP 认证一起使用）。
• CHAP-Password、CHAP-Challenge - 加密的密码和质询（与 CHAP 认证一起使用）。
• MS-CHAP-Response、MS-CHAP-Challenge - 加密的密码和质询（与 MS-CHAPv1 认证一起使用）。
• MS-CHAP2-Response、MS-CHAP-Challenge - 加密的密码和质询（与 MS-CHAPv2 认证一起使用）。

Access-Accepts 数据包

• Framed-IP-Address - 分配给客户端的 IP 地址。如果该地址属于 127.0.0.0/8 或 224.0.0.0/3 网络，则使用默认配置文件中的 IP 地址池来分配客户端 IP 地址。如果指定了 Framed-IP-Address，则忽略 Framed-Pool。
• Framed-IP-Netmask - 客户端子网掩码。PPPs - 如果指定，将通过 Framed-IP-Address 网关创建一条指向 Framed-IP-Address 所属网络的路由；HotSpot - 被 HotSpot 忽略。
• Framed-Pool - 从中为客户端获取 IP 地址的 IP 地址池名称（在路由器上）。如果指定了 Framed-IP-Address，则忽略此属性。
• Framed-IPv6-Prefix - 分配给客户端的 IPv6 前缀。
• Mikrotik-Delegated-IPv6-Pool - 用于前缀委派的 IPv6 地址池。
• Delegated-IPv6-Prefix - IPv6 前缀。
• Delegated-IPv6-Prefix-Pool - 用于前缀委派的 IPv6 前缀池。

注意：如果指定了 Framed-IP-Address 或 Framed-Pool，则它会覆盖默认配置中的 remote-address。

• Idle-Timeout - 覆盖默认配置中的 idle-timeout。
• Session-Timeout - 覆盖默认配置中的 session-timeout。
• Port-Limit - 使用相同用户名的最大并发连接数（覆盖 HotSpot 用户配置文件的 shared-users 属性）。
• Class - Cookie。将原样包含在 Accounting-Request 中。
• Framed-Route - 在服务器上添加的路由。格式在 RFC 2865（第 5.22 章）中规定。可以根据需要指定多次。
• Filter-Id - 防火墙过滤链名称。它用于创建动态防火墙规则。防火墙链名称可以带有后缀 .in 或 .out，这将仅为传入或传出流量安装规则。可以提供多个 Filter-id，但只会使用传入和传出的最后一个。对于 PPPs - ppp 链中的过滤规则，如果有数据包到达/来自客户端，将跳转到指定的链（这意味着您应该首先创建 ppp 链并创建跳转规则，将实际流量放入此链）。对于 HotSpot 也是如此，但规则将在 hotspot 链中创建。
• Mikrotik-Mark-Id - 防火墙 mangle 链名称（仅限 HotSpot）。MikroTik RADIUS 客户端在收到此属性后，会创建一条 action=jump chain=hotspot 且 jump-target 等于该属性值的动态防火墙 mangle 规则。Mangle 链名称可以带有后缀 .in 或 .out，这将仅为传入或传出流量安装规则。可以提供多个 Mark-id 属性，但只会使用传入和传出的最后一个。
• Acct-Interim-Interval - RADIUS 客户端的 Interim-update。PPP - 如果为 0，则使用 RADIUS 客户端中指定的值。HotSpot - 仅当 HotSpot 服务器配置文件中 radius-interim-update=received 时才会遵循。
• MS-MPPE-Encryption-Policy - Require-encryption 属性（仅限 PPPs）。
• MS-MPPE-Encryption-Types - Use-encryption 属性。非零值表示使用加密（仅限 PPPs）。
• Ascend-Data-Rate - Tx/rx 数据速率限制，如果提供多个属性，第一个限制 tx 数据速率，第二个限制 rx 数据速率。如果与 Ascend-Xmit-Rate 一起使用，则指定 rx 速率。0 表示无限制。如果存在 Rate-Limit 属性，则忽略。
• Ascend-Xmit-Rate - Tx 数据速率限制。它可以用于仅指定 tx 限制，而不发送两个连续的 Ascend-Data-Rate 属性（在这种情况下，Ascend-Data-Rate 将指定接收速率）。0 表示无限制。如果存在 Rate-Limit 属性，则忽略。
• MS-CHAP2-Success - 如果使用了 MS-CHAPv2，则为认证响应（仅限 PPPs）。
• MS-MPPE-Send-Key, MS-MPPE-Recv-Key - 由 RADIUS 服务器提供的加密 PPPs 加密密钥，仅当使用 MS-CHAPv2 作为认证时才提供（仅限 PPPs）。
• Ascend-Client-Gateway - 用于 DHCP-pool HotSpot 登录方法的客户端网关（仅限 HotSpot）。
• Mikrotik-Recv-Limit - 客户端的总接收限制（以字节为单位）。
• Mikrotik-Recv-Limit-Gigawords - 4G (2^32) 字节的总接收限制（位 32..63，其中位 0..31 在 Mikrotik-Recv-Limit 中传递）。
• Mikrotik-Xmit-Limit - 客户端的总发送限制（以字节为单位）。
• Mikrotik-Xmit-Limit-Gigawords - 4G (2^32) 字节的总发送限制（位 32..63，其中位 0..31 在 Mikrotik-Xmit-Limit 中传递）。
• Mikrotik-Wireless-Forward - 如果此属性设置为 "0"，则不将客户端的帧转发回无线基础设施（仅限 Wireless）。
• Mikrotik-Wireless-Skip-Dot1x - 如果设置为非零值，则对特定无线客户端禁用 802.1x 认证（仅限 Wireless）。
• Mikrotik-Wireless-Enc-Algo - WEP 加密算法：0 - 不加密，1 - 40 位 WEP，2 - 104 位 WEP（仅限 Wireless）。
• Mikrotik-Wireless-Enc-Key - 客户端的 WEP 加密密钥（仅限 Wireless）。
• Mikrotik-Wireless-VLANID - 客户端的 VLAN ID（仅限 Wireless）。
• Mikrotik-Wireless-VLANID-type - 客户端的 VLAN ID 类型。0 - 802.1q 标记，1 - 802.1ad 标记（仅限 Wireless）。
• Mikrotik-Switching-Filter - 允许在使用 dot1x 服务器认证客户端时创建动态交换机规则。
• Mikrotik-Rate-Limit - 客户端的数据速率限制。格式为：rx-rate[/tx-rate] [rx-burst-rate[/tx-burst-rate] [rx-burst-threshold[/tx-burst-threshold] [rx-burst-time[/tx-burst-time] [priority] [rx-rate-min[/tx-rate-min]]]]，从路由器角度而言（因此 "rx" 是客户端上传，"tx" 是客户端下载）。所有速率都应为数字，并可选带 'k'（1,000s）或 'M'（1,000,000s）。如果未指定 tx-rate，则 rx-rate 也作为 tx-rate。tx-burst-rate、tx-burst-threshold 和 tx-burst-time 也是如此。如果 rx-burst-threshold 和 tx-burst-threshold 均未指定（但指定了 burst-rate），则使用 rx-rate 和 tx-rate 作为突发阈值。如果 rx-burst-time 和 tx-burst-time 均未指定，则使用 1s 作为默认值。Priority 取值为 1..8，其中 1 表示最高优先级，8 表示最低优先级。如果未指定 rx-rate-min 和 tx-rate-min，则使用 rx-rate 和 tx-rate 值。rx-rate-min 和 tx-rate-min 的值不能超过 rx-rate 和 tx-rate 的值。
• Mikrotik-Group - 对于本地用户，为路由器本地用户组名称（在 /user/group 中定义）；对于 HotSpot 用户，为 HotSpot 默认配置文件；对于 PPP 用户，为 PPP 默认配置文件名称。
• Mikrotik-Advertise-URL - 应向客户端显示的广告页面 URL。如果指定了此属性，则会自动启用广告，包括透明代理，即使在相应用户配置文件中已明确禁用。RADIUS 服务器可以发送多个属性实例以指定其他 URL，这些 URL 以轮询方式选择。
• Mikrotik-Advertise-Interval - 相邻两个广告之间的时间间隔。RADIUS 服务器可以发送多个属性实例以指定其他间隔。所有间隔值被视为一个列表，并在每次成功投放广告时逐个使用。如果到达列表末尾，则继续使用最后一个值。
• WISPr-Redirection-URL - 登录成功后客户端将被重定向到的 URL。
• WISPr-Bandwidth-Min-Up - 为客户端上传提供的最小数据速率（CIR）。
• WISPr-Bandwidth-Min-Down - 为客户端下载提供的最小数据速率（CIR）。
• WISPr-Bandwidth-Max-Up - 为客户端上传提供的最大数据速率（MIR）。
• WISPr-Bandwidth-Max-Down - 为客户端下载提供的最大数据速率（MIR）。
• WISPr-Session-Terminate-Time - 应断开用户连接的时间；格式为 "YYYY-MM-DDThh:mm:ssTZD"，其中 Y - 年；M - 月；D - 日；T - 分隔符号（必须写在日期和时间之间）；h - 小时（24 小时格式）；m - 分钟；s - 秒；TZD - 时区，采用以下形式之一："+hh:mm"、"+hhmm"、"-hh:mm"、"-hhmm"。

收到的属性会覆盖默认属性（在默认配置文件中设置），但如果未从 RADIUS 服务器收到某个属性，则应使用默认属性。Rate-Limit 优先于所有其他为客户端指定数据速率的方式。Ascend 数据速率属性被视为第二优先；WISPr 属性的优先级最低。

以下是一些 Rate-Limit 示例：

• 128k - rx-rate=128000, tx-rate=128000（无突发）。
• 64k/128M - rx-rate=64000, tx-rate=128000000。
• 64k 256k - rx/tx-rate=64000, rx/tx-burst-rate=256000, rx/tx-burst-threshold=64000, rx/tx-burst-time=1s。
• 64k/64k 256k/256k 128k/128k 10/10 - rx/tx-rate=64000, rx/tx-burst-rate=256000, rx/tx-burst-threshold=128000, rx/tx-burst-time=10s。

Accounting-Request 数据包

计费请求携带与 Access Request 相同的属性，外加以下这些：

• Acct-Status-Type - Start、Stop 或 Interim-Update。
• Acct-Authentic - 由 RADIUS 或 Local 机构认证（仅限 PPPs）。
• Class - RADIUS 服务器 cookie，如在 Access-Accept 中收到的那样。
• Acct-Delay-Time - 路由器尝试发送此 Accounting-Request 数据包所花费的时间。

Stop 和 Interim-Update Accounting-Request 数据包

除计费开始请求外，以下消息还将包含以下属性：

• Acct-Session-Time - 连接上线时间（以秒为单位）。
• Acct-Input-Octets - 从客户端接收的字节数。
• Acct-Input-Gigawords - 从客户端接收的 4G (2^32) 字节数（位 32..63，其中位 0..31 在 Acct-Input-Octets 中传递）。
• Acct-Input-Packets - 从客户端接收的数据包数量。
• Acct-Output-Octets - 发送到客户端的字节数。
• Acct-Output-Gigawords - 发送到客户端的 4G (2^32) 字节数（位 32..63，其中位 0..31 在 Acct-Output-Octets 中传递）。
• Acct-Output-Packets - 发送到客户端的数据包数量。

警告

RouterOS 中的 RADIUS 计费消息将 output 表示为从客户端角度看的流量，例如，对于 VPN 用户 "test"，output 是用户上传。

Stop Accounting-Request 数据包

除 Interim Update 数据包外，这些数据包还将包含：

• Acct-Terminate-Cause - 会话终止原因（请参阅 RFC 2866 第 5.10 章）

  授权变更（Change of Authorization）

RADIUS 断开连接和授权变更（根据 RFC3576）也受支持。这些属性可以通过来自 RADIUS 服务器的 CoA 请求进行更改：

• Mikrotik-Group
• Mikrotik-Recv-Limit
• Mikrotik-Xmit-Limit
• Mikrotik-Rate-Limit
• Ascend-Data-Rate（仅当不存在 Mikrotik-Rate-Limit 时）
• Ascend-XMit-Rate（仅当不存在 Mikrotik-Rate-Limit 时）
• Mikrotik-Mark-Id
• Filter-Id
• Mikrotik-Advertise-Url
• Mikrotik-Advertise-Interval
• Session-Timeout
• Idle-Timeout
• Port-Limit

请注意，无法通过这种方式更改 IP 地址、地址池或路由 - 要进行此类更改，必须先断开用户连接。

MikroTik 特定 RADIUS 属性数值

所有支持的属性数值