mfsecurity/aaf-radiusd Docker 镜像 - 轩辕镜像

RADIUS认证服务镜像文档

镜像概述

本镜像提供基于RADIUS（远程认证拨号用户服务）协议的认证服务，实现网络访问控制中的认证（Authentication）、授权（Authorization）和计费（Accounting）功能，即AAA服务。适用于需要集中式用户身份管理的网络环境，可与各类支持RADIUS协议的网络设备（如路由器、交换机、***网关、Wi-Fi接入点等）集成。

核心功能与特性

• AAA核心功能：
  • 认证：验证用户提供的凭据（如用户名/密码）有效性
  • 授权：基于用户权限策略允许或拒绝访问请求
  • 计费：记录用户网络资源使用情况（连接时长、数据流量等）
• 协议兼容性：支持标准RADIUS协议（RFC 2865认证、RFC 2866计费）
• 灵活配置：支持自定义共享密钥、客户端IP授权、用户账号管理
• 轻量部署：基于精简基础镜像，资源占用低，启动快速
• 日志记录：提供详细的认证/授权/计费日志，便于审计与问题排查

使用场景与适用范围

• 企业网络接入控制：Wi-Fi（802.1X）、***接入认证
• 网络设备管理：交换机、路由器等网络设备的管理员登录认证
• ISP服务：宽带拨号用户、专线用户的身份验证与计费
• 教育/机构网络：校园网、企业内网的集中式用户认证管理
• 云环境：私有云/公有云环境中的多租户访问控制

使用方法与配置说明

基本使用（Docker Run）

bash
docker run -d \
  --name radius-server \
  -p 1812:1812/udp \  # 认证端口（RFC标准）
  -p 1813:1813/udp \  # 计费端口（RFC标准）
  -e RADIUS_SECRET=my_shared_secret \  # RADIUS客户端共享密钥
  -e CLIENT_***_IP=192.168.1.100 \    # ***服务器客户端IP
  -e USER_alice_PASS=SecurePass123 \   # 用户alice的密码
  -e USER_bob_PASS=SecurePass456 \     # 用户bob的密码
  radius-auth-service

Docker Compose配置

yaml
version: '3'
services:
  radius:
    image: radius-auth-service
    container_name: radius-server
    ports:
      - "1812:1812/udp"
      - "1813:1813/udp"
    environment:
      - RADIUS_SECRET=my_org_secret  # 与客户端共享的密钥，必须与网络设备配置一致
      - CLIENT_WIFI_IP=10.0.0.200    # Wi-Fi控制器IP
      - CLIENT_***_IP=10.0.0.201     # ***服务器IP
      - USER_admin_PASS=Admin123!    # 管理员用户密码
      - USER_employee_PASS=Emp456?   # 普通员工用户密码
    volumes:
      - ./radius-config:/etc/radius  # 挂载自定义配置文件（可选）
    restart: unless-stopped

核心配置参数

环境变量

配置文件挂载（高级）

如需更复杂配置（如策略授权、计费规则），可通过挂载配置文件自定义：

• 挂载路径：/etc/radius
• 核心配置文件：
  • clients.conf：客户端详细配置（IP、密钥、支持的服务等）
  • users：用户账号、密码及授权属性（如允许访问的服务类型）
  • radiusd.conf：服务器全局配置（端口、日志级别等）

验证服务运行

1. 检查容器状态：docker ps | grep radius-server
2. 查看日志：docker logs radius-server（正常启动会显示"Listening on UDP port 1812"）
3. 测试认证（需安装radtest工具）：
   radtest alice Alice789 127.0.0.1 0 my_org_secret
   成功响应会显示"Access-Accept"

注意事项

• 共享密钥（RADIUS_SECRET）必须与所有RADIUS客户端（如Wi-Fi控制器、***服务器）配置一致，否则认证会失败
• 生产环境建议通过配置文件挂载方式管理用户和客户端，避免敏感信息暴露在环境变量中
• 确保主机防火墙开放UDP 1812（认证）和1813（计费）端口，允许客户端IP访问
• 高并发场景建议调整容器资源限制（如--memory=1g --cpus=0.5）并优化配置文件中的连接池参数