RADIUS

RADIUS Nedir?

RADIUS, kullanıcının giriş formuna yazdığı kullanıcı adı ve parolayı bir RADIUS sunucusunda (Microsoft NPS, FreeRADIUS, çok faktörlü doğrulama sunucuları gibi) doğrulayan Authentication Providers türüdür. Bağlantı ayarları (adres, port, paylaşılan gizli anahtar) Authentication Servers ekranındaki bir RADIUS sunucu profilinden alınır.

Nasıl çalışır?

1. Authentication Servers ekranında RADIUS protokollü bir sunucu profili tanımlanır; TR7, RADIUS sunucusunda istemci olarak kaydedilir.
2. Bu ekranda Provider Type olarak RADIUS seçilir; sunucu ve doğrulama türü girilir.
3. Profil, erişim akışına giriş formundan sonra Authentication Provider adımı olarak eklenir.
4. Kullanıcı adı ve parola RADIUS sunucusuna gönderilir; sunucu kabul ederse akış success, reddederse fail geçişinden devam eder.

Operasyonel En İyi Uygulamalar

• Doğrulama türü sunucuyla aynı. RADIUS Authentication Type, RADIUS sunucusunda izin verilen yöntemle aynı seçilmelidir.
• Öznitelikler elle eşlenir. Bu türde otomatik öznitelik eşlemesi yoktur; formdaki User Attribute Mapping bölümünde No automatic mapping for this provider - every attribute has to be mapped below bilgisi görüntülenir. E-posta ya da grup gibi bilgiler gerekiyorsa Custom User Attribute Mapping ile eşlenmelidir.
• Kilitleme. Parola doğrulayan bu türde Account Lockout Policies atanmalıdır.

Nasıl Eklenir?

Yeni bir RADIUS sağlayıcısı, TR7 web yönetim arayüzü üzerinden aşağıdaki adımlarla eklenir:

1. Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır.
2. AGS → Authentication → Authentication Providers → Add adımları takip edilir.
3. Profil için benzersiz ve açıklayıcı bir isim girilir; Provider Type olarak RADIUS seçilir.
4. Authentication Server ve RADIUS Authentication Type seçilir.
5. Add butonuna tıklanarak profil eklenir.

Profil Ekleme Formu

AGS → Authentication → Authentication Providers → Add adımları takip edilerek Provider Type alanında RADIUS seçildiğinde form aşağıdaki alanlarla açılır.

RADIUS Seçiliyken Form

INFO

Provider Name Zorunlu

Profilin adı; listede, akış şemasındaki adım seçiminde, oturum listesinde ve loglarda profili tanımlar. Ad cihazda benzersiz olmalıdır; aynı adla ikinci bir profil kaydedilmez ve Name is used uyarısı görüntülenir. Boş bırakıldığında Required field uyarısı görüntülenir.

INFO

Provider Type Zorunlu

Sağlayıcı türü; bu sayfada RADIUS seçilidir. Tür değiştirildiğinde yalnızca yeni türün alanları görüntülenir ve kaydedilir; tür düzenleme formunda da değiştirilir.

INFO

Authentication Server

Authentication Servers ekranındaki sunucu profilleri listelenir; RADIUS protokollü bir profil seçilmelidir. Seçici protokole göre süzmez, RADIUS dışındaki bir profil de seçilebilir ve kayıt kabul edilir. Tanımlı profil varsa listedeki ilk profil seçili gelir; hiç profil tanımlı değilse alan boş açılır ve alanda uyarı simgesi görüntülenir. Alan şemada zorunludur, ancak formda zorunlu işareti ve Required field uyarısı görüntülenmez. Açılan listenin üstündeki + Add satırıyla sayfadan ayrılmadan yeni bir profil tanımlanır ve alanda seçili gelir. İsteğin çıkacağı route tablosu bu alanda seçilen sunucu profilinin Route Table ayarından gelir; bu türde formda ayrı bir route tablosu alanı bulunmaz.

INFO

RADIUS Authentication Type Varsayılan: PAP (Password Authentication Protocol)

Parolanın RADIUS sunucusuna nasıl iletileceği seçilir:

Seçenek	Anlamı
PAP (Password Authentication Protocol)	Parola, paylaşılan gizli anahtarla gizlenerek gönderilir; RADIUS sunucularının çoğu ve dizin tabanlı arka uçlar destekler.
CHAP (Challenge Handshake)	Parolanın kendisi yerine sınama-yanıt özeti gönderilir; sunucunun parolayı çözülebilir biçimde saklaması gerekir.

INFO

RADIUS Username Zorunlu

Sunucuya gönderilecek kullanıcı adı ifadesi. Alan, giriş formundan gelen değeri taşıyan AGS input (username) değişkeniyle (%AGS_USER_INPUT(username)) dolu gelir; ƒx simgesiyle başka bir smart değişken seçilir.

INFO

RADIUS Password Zorunlu

Sunucuya gönderilecek parola ifadesi. Alan, giriş formundan gelen değeri taşıyan AGS input (password) değişkeniyle (%AGS_USER_INPUT(password)) dolu gelir; ƒx simgesiyle başka bir smart değişken seçilir.

INFO

RADIUS Extra Attributes Varsayılan: Automatic

İsteğe eklenecek ek RADIUS öznitelikleri. Anahtar Automatic konumundayken öznitelik listesi verilmez ve istek erişim motorunun kendi varsayılanlarıyla gönderilir; Choose konumuna alındığında Attribute Name ve Attribute Value tablosu açılır (ör. NAS-Identifier). Tabloda Attribute Name zorunludur, Attribute Value zorunlu değildir ve ƒx simgesiyle smart değişken kabul eder. Choose konumunda hiç satır eklenmeden de kayıt yapılabilir.

User Attribute Mapping

INFO

Custom User Attribute Mapping Varsayılan: No customisation

Sağlayıcı yanıtındaki alanların oturum özniteliklerine nasıl eşleneceği yönetilir. Bu türde otomatik eşleme yoktur; alanın solundaki bilgi çubuğunda No automatic mapping for this provider - every attribute has to be mapped below yazar ve gerekli her öznitelik bu alanda elle eşlenir.

Sağdaki anahtar Customised konumuna alındığında AGS Attribute ve Source Attribute tablosu görüntülenir: sol kolonda oturum özniteliği (öneri listesiyle), sağ kolonda sağlayıcı yanıtı üzerinde değerlendirilen JSONata ifadesi girilir. Anahtar açıldığında çubuğun sağında satır ekleyen + Add bağlantısı belirir. AGS'nin standart öznitelikleri dışında bir ad girildiğinde bu öznitelik vService'te özel kullanıcı alanı olarak tanımlanır; _ ile başlayan adlar gizli alan sayılır ve özel kullanıcı alanı üretmez.

Lockout Configuration

INFO

Lockout Behavior Varsayılan: Use gateway defaults

Bu sağlayıcıdaki başarısız denemelerin hangi kilitleme politikalarıyla sayılacağı seçilir:

Seçenek	Anlamı
Use Gateway Defaults	vService'in Default Lockout Policies listesindeki politikalar kullanılır.
Replace Defaults	Yalnızca Lockout Policies alanında seçilen politikalar kullanılır.
Add to Defaults	vService'in varsayılan politikalarına ek olarak Lockout Policies alanında seçilenler de kullanılır.
No Lockout	Bu sağlayıcıda başarısız denemeler sayılmaz, kilitleme yapılmaz.

Lockout Policies

Replace Defaults ya da Add to Defaults seçiliyken görüntülenir; Account Lockout Policies ekranındaki hazır ve tanımlı politikalar seçilir.

INFO

Add

Add butonuna tıklanarak profil eklenir; sekme kapanır ve profil listede görüntülenir.