Can you summarize the following document?
        
  

  RADIUS協議是一種基於主從式架構的協議。RADIUS協議中的客戶端是對使用者(人或者計算機)提供網路連線服務的器材,對伺服器提出驗證和計費要求。伺服器針對客戶端的通過進行驗證和計費給予應答。伺服器只有針對客戶端的請求進行應答,而無法反方向地對使用者進行服務停止等的請求。

  因特網連線服務中,撥號呼叫裝置和寬頻接入伺服器(BAS、Broadband Access Server)等網路接入伺服器(NAS、Network Access Server)即為RADIUS客戶端。(雖然名字含有“伺服器”,但從RADIUS協議的角度來看是客戶端。)  無線LAN環境中的無線接取器和VLAN中的交換機等都是。  在內容提供的服務中,Web 伺服器起到RADIUS客戶端的作用。  在行動電話網路(例如LTE等)網路中,核心網節點作為RADIUS客戶端,使用RADIUS的認證和記賬功能。

  RADIUS協議使用UDP協議承載。RADIUS協議自身不具備會話管理機制,UDP也缺乏相應機制,因此RADIUS的路徑管理和傳輸可靠性需要由使用RADIUS協議的應用程式來實現。  客戶端對伺服器提出“RADIUS請求包”,伺服器對客戶端傳送“RADIUS應答包”。  雙方的資料包,頭部分由20個 8位元和“屬性”組成。頭部分包括類別碼(Code)1個8位元、識別碼(Identifier)1個8位元、資料包整體長度2個8位元、驗證碼(Authenticator)16個8位元。識別碼根據客戶端決定的需求而設定,伺服器根據根據請求包的驗證碼生成應答包的驗證碼裡,因為客戶端需要在收到的應答包與之前發出的請求包匹配。客戶端可以僅用累計數值編號來設定驗證碼,但驗證碼並不必然是序列號。驗證碼是為了證明無傳送者偽裝和篡改。屬性部分包含任意個屬性(AVP,Attribute Value Pair,字面上為屬性值對)。屬性採用TLV格式,即“型別-長度-值”格式。屬性値對由1個8位元的屬性編號、1個8位元的長度,以及屬性的値組成。値的型別可以是4個8位元的整數値、4個8位元的IP地址、1 - 253個8位元的文字串等。  對於每個屬性編號,每個屬性値對裡值的含義在RFC檔案裡均有規定,還可以通過給屬性編號賦予新的定義來增加使用目的,RADIUS協議的靈活性所在也是其最大的特徵。但是一般不推薦各個機器產商為各自目的獨自給屬性標號賦值。產商特有功能應做為屬性編號26號(Vendor Specific)的值與產商編號一起加到資料裡。屬性編號 26 號的屬性値對一般稱為 VSA (Vendor Specific Attribute) 。廠家編號由IANA進行管理和賦予。  協議為了實現驗證和計費,規定了各種相應的屬性。為實現驗證,使用者名稱和密碼各有屬性編號。撥號上網使用PPP時針對PPP用的驗證協議PAP、CHAP、EAP均備有各自的屬性編號。為實現計費,有使用秒數、收發資料量等的屬性編號。  RADIUS分組的最大長度,在RADIUS驗證協議中是4096個8位元、RADIUS計費協議中是4095個8位元,這個差異據說並沒有特殊含義,而是 RFC 當初的錯字將錯就錯地沿用下來的緣故。

  一個常見的RADIUS認證、計費協議的流程如下。

  UDP與TCP不同,無法識別偽裝送信者和資料篡改。因此僅靠通訊對方的IP地址是不足以信任通訊內容的。為了防止偽裝和篡改,RADIUS客戶端和伺服器之間共享一個叫“共享密碼”的金鑰字串,將資料包的內容和共享密碼得到的摘要資訊配給驗證符號和屬性值。應該為每對 RADIUS客戶端和伺服器準備一個共享密碼。針對一個RADIUS伺服器只用一個密碼而與所有RADIUS客戶端都共享會造成安全上的重大隱患。另外,從安全的角度來說,共享密碼的內容若被第三方洩露也是一大問題。

  自身作為RADIUS伺服器,而把實際的驗證和計費處理委託其他RADIUS伺服器的情況即為“RADIUS代理伺服器”。也就是說本身既是RADIUS伺服器也是RADIUS客戶端,將需求“轉送”。  可以通過判斷使用者名稱的字串改變轉送地址。比如使用者名稱做成含有電子郵件地址“@”符號和域名的字串,根據不同的域名部分字串轉送到其他RADIUS伺服器上。這種技術廣泛被利用於 ISP(網際網路服務提供商)之間的漫遊服務等。上述例子中用於判斷轉送目的類似域名的部分通常被稱為 Realm。

  RADIUS協議是一種AAA protocol協議,但由於RADIUS協議本身建立於AAA模式之前,因此,RADIUS協議中並沒有區分“驗證”和“授權”,而是合為“驗證”處理, 因此RADIUS客戶端在實際操作中無法知道被拒絕的原因是由於密碼錯誤還是因為沒有許可權。

  IEEE 802.1X是乙太網中一個控制可否使用區域網的一個協議。通過使用IEEE 802.1X和RADIUS協議,可以對僅通過RADIUS伺服器驗證的使用者允許區域網服務。當然,為此需要配備IEEE 802.1X以及RADIUS協議雙方能使用的無線接入點或VLAN開關。另外“802.1x”中的 X 一般為大寫,這是因為小寫x易被人誤解其像數學中 formula_1 一樣可代表任意引數。  IEEE802.1X和RADIUS協議均沒有規定實際的驗證步驟。實際的驗證中通常使用 EAP-TLS、PEAP、EAP-TTLS 等 EAP上的驗證步驟進行。為實現 EAP 驗證的資料交換,使用者終端和接入點或開關之間的乙太網使用 IEEE 802.1X,接入點或開關與RADIUS伺服器之間使用RADIUS協議進行中継。  EAP-TLS 對於基於TLS數字證書進行相互驗證(為防止偽裝服務提供者)這一點雖然很重要,但數字證書的管理和運用對於一般機構是一個很大的負擔。PEAP 和 EAP-TTLS 的驗證步驟是在建立以 TLS 加密的通訊線路後再進行密碼資訊的交換 。EAP-TLS 與 PEAP・EAP-TTLS 的對比可以參照比較是通過網頁瀏覽器的TLS中利用數字證書進行相互驗證還是 SSL 上的密碼驗證。

  通過下述 RFC 檔案定義:
遠端使用者撥入驗證服務(RADIUS, Remote Authentication Dial In User Service)是一個AAA protocol協議,通常用於網路存取、或流動IP服務,適用於區域網及漫遊服務。