RADIUS动态授权

RADIUS动态授权

RADIUS动态授权

RADIUS协议支持CoA（Change of Authorization，授权变更）功能。用户认证成功后，RADIUS服务器能够通过RADIUS协议修改在线用户的权限。CoA报文包含CoA-Request、CoA-ACK和CoA-NAK三种类型，分别为动态授权请求报文、动态授权请求接收报文和动态授权请求拒绝报文。CoA的报文交互流程如下图所示。

CoA的报文交互流程

1. RADIUS服务器根据业务信息，向RADIUS客户端发送CoA-Request报文，请求更改用户的授权信息。该报文中可以包括ACL规则等授权。

2. RADIUS客户端收到CoA-Request报文后，与RADIUS客户端上的用户信息匹配来识别用户。如果匹配成功，则更改用户的授权信息；如果匹配失败，则保持用户原有授权信息。

3. RADIUS客户端回应CoA-ACK/NAK报文。

   • 如果更改成功，则RADIUS客户端向RADIUS服务器回应CoA-ACK报文。

   • 如果更改失败，则RADIUS客户端向RADIUS服务器回应CoA-NAK报文。

与用户上线授权或用户主动下线过程相比，CoA的特点是请求报文是由服务器发送的，回应报文是由客户端发送的，成功则回应ACK报文、失败则回应NAK报文。