Zusammenfassung

  • Ein authentisierter CoA- oder Disconnect-Request belegt einen akzeptierten RADIUS-Hop. Er belegt weder die Mandantenbefugnis des Senders noch eine eindeutige aktuelle Sitzung oder die Fähigkeit des NAS, die verlangte Änderung auszuführen.
  • Belastbare Evidenz verbindet ursprünglichen Access und Accounting mit Proxy-Pfad, Realm, NAS, Sitzungsschlüssel, Attributen, Wiederholungsidentität, ACK/NAK, installiertem Zustand und Verkehr. RADIUS/1.1 verbessert den Transport, nicht diese Zuordnung.

Ein Benutzername trifft zwei laufende Zustände

Der Einstieg ist ein Prüffall, kein gemeldeter Vorfall. Ein Teilnehmer nutzt einen Laptop im Büronetz und ein Telefon im besuchten Netz. Beide Sitzungen tragen denselben Namen, aber verschiedene Acct-Session-Id, NAS, Anschlusspunkte und Policies.

Ein Risikosystem will nur den Laptop begrenzen und sendet einen gültigen CoA-Request mit Name und Filter. Wendet der Empfänger ihn auf beide Treffer an, wird ein schwacher Suchbegriff zu sitzungsübergreifender Macht. Wählt er den neuesten Treffer, erfindet er eine nicht übermittelte Regel. Die richtige Antwort auf Mehrdeutigkeit ist Ablehnung.

RFC 5176 trennt Dynamic Authorization Client, Dynamic Authorization Server, NAS und Sitzung. Eine Person kann mehrere Sitzungen gleichzeitig oder nacheinander besitzen. Deshalb ist die Client-Adresse kein Teilnehmer, das NAS keine einzelne Sitzung und der Kontoname kein eindeutiger Anschluss.

CoA ändert Autorisierung; Disconnect beendet Dienst und verwirft Kontext. Ein Disconnect nach gescheitertem Filter ist kein neutraler Fallback. Er vergrößert die Entscheidung und vernichtet Diagnosezustand.

Trefferzahl gehört in die Autorisierung

Zur Identifikation lassen sich Acct-Session-Id, NAS-Port, zugewiesene Adresse sowie Called- und Calling-Station-Daten kombinieren. User-Name oder Chargeable-User-Identity helfen gegen Verwechslung, garantieren aber keine globale Eindeutigkeit.

Der Empfänger muss null, genau einen oder mehrere aktuelle Treffer unterscheiden. Session Context Not Found und Multiple Session Selection Unsupported verhindern, dass eine unvollständige Suche still durch geratenes Ziel ersetzt wird.

Auch die Herkunft des Schlüssels zählt. Benötigt werden ausstellendes NAS, Realm oder Mandant, Startzeit und Zuweisungsattribute. Nach Neustart oder Wiederverwendung kann derselbe Wert einen anderen Kontext bezeichnen. Der Join mit Accounting ist damit eine Autorisierungsentscheidung.

Ein gültiger Hop ist kein allgemeines Mandat

Historisches RADIUS wählt über die UDP-Quelladresse das Shared Secret. Ein richtiger Authenticator passt zu einer konfigurierten Hop-Beziehung. Er beweist nicht die menschliche Freigabe, den Mandantenumfang oder unveränderte End-to-End-Herkunft.

RFC 5176 nennt das Risiko eines gemeinsam genutzten NAS: Ohne Zusatzprüfung könnte ein Provider fremde Sitzungen verändern. Eigene Secrets, Netzfilter und Reverse-Path-Prüfung verkleinern die Fläche. Lokal bleiben Sender, Realm, NAS, Mandant, Sitzung und Aktion einzeln zuzulassen.

RFC 8559 führt CoA im Roaming über Operator-Name und das vom besuchten Netz erzeugte opaque Operator-NAS-Identifier zurück. Der Pfad folgt dem Betreiber der aktiven Sitzung, nicht einfach dem Realm im Benutzernamen. Das besuchte Netz löst den Token zum internen NAS auf und entfernt Proxy-Signale vor dem letzten Hop.

Jeder Proxy kann die verarbeiteten Daten sehen und ändern. Integrität entsteht pro Hop neu. Ein Audit muss deshalb Vermittler und delegierte Reichweite aufzeichnen, statt dem letzten Paket eine durchgehende entfernte Urheberschaft zuzuschreiben.

Eindeutiges Ziel, unzulässige Aktion

Ein Filter, VLAN, Rate Limit oder Vendor-Attribut kann unbekannt, am Zugang nicht anwendbar oder für den Mandanten verboten sein. Der finale Empfänger muss den gesamten verlangten Änderungssatz erfüllen können; andernfalls folgt NAK statt verdecktem Teilerfolg.

Selector und Action dürfen nicht im selben Vendor-Attribut verschmelzen. Erst wird entschieden, wer betroffen ist, dann was geschehen darf. Manche Änderungen brauchen eine Aushandlung in unteren Schichten. Dass ein Controller ein Attribut senden kann, verleiht dem laufenden NAS keine Fähigkeit.

Running Code ist der Kompatibilitätsnachweis. Ein zentraler Katalog darf beobachtete Funktionen beschreiben, sie aber nicht für alle Geräte erklären.

Retransmission ist keine zweite Entscheidung

Ein unveränderter UDP-Retry zum gleichen Server behält Source Port, Identifier und Request Authenticator. Geänderte Attribute erzeugen eine neue Request-Identität. Der Empfänger muss Duplikate lange genug erkennen.

Ohne IPsec-Replay-Schutz begrenzt Event-Timestamp die Frische. Der Wert bleibt bei der Wiederholung unverändert. Zeitfenster und Duplicate Memory müssen zusammenpassen; sonst kann ein noch frisches altes Paket nach Ablauf des Speichers erneut wirken.

Der Timestamp ist keine Ticketfreigabe und bestätigt keinen fortbestehenden Sitzungskontext. Ein Response Cache kann zwei ACKs für eine Ausführung liefern. Telemetrie trennt daher ersten Request, Retry, unterdrücktes Duplikat, Cache-Antwort und neue spätere Absicht.

RADIUS/1.1 modernisiert den Schutz, nicht das Ziel

RFC 9765 definiert ALPN radius/1.1 und verlangt TLS 1.3 oder neuer. Nach beidseitiger Aushandlung übernimmt TLS Verbindungsauthentisierung, Integrität und Vertraulichkeit. Historische Request- und Response-Authenticator-Berechnungen entfallen; Message-Authenticator erfüllt in diesem Modus keine Paketauthentisierung.

Ein vier Oktett großer Token ordnet Requests und Replies zu. Neue Pakete einer Verbindung erhalten neue Werte; identische DTLS-Retransmissions behalten ihren Token. Deduplication ist verbindungsbezogen.

Das beseitigt eine historische kryptografische Abhängigkeit. CoA- und Disconnect-Codes sowie die meisten Attribute behalten jedoch ihre Semantik. Ein Transport-Ledger braucht Zertifikat, ALPN, TLS, Verbindung und Token; ein Autorisierungs-Ledger braucht Realm, NAS, Mandant, Sitzung, Aktion, lokale Entscheidung und Wirkung.

ACK bleibt eine zu prüfende Aussage

CoA-ACK ist die Aussage des NAS, dass die Änderung gelang. NAK und Error-Cause klassifizieren Ablehnung. Danach sind Filter oder VLAN, Rate Policy, Accounting-Kontinuität und repräsentativer Verkehr zu prüfen.

ACK ohne Zustandsänderung ist ein Enforcement-Defekt. Änderung ohne Antwort ist ein Transportbeobachtungs-Defekt. NAK nach Teiländerung ist ein Atomicity-Defekt. Eine Sammelmeldung „CoA fehlgeschlagen“ verwischt die Reparaturkante.

Die minimale Kette enthält Access, Accounting, Live-Inventar, Sender und Proxies, Request-Fingerprint, Identifier oder Token, Timestamp, Trefferzahl, Capability- und Policy-Entscheid, Antwort, installierten Zustand, Pakete und begrenzte Umkehrung.

Zwei absichtlich ähnliche Sitzungen testen

In einer isolierten Umgebung zwei gleichnamige Sitzungen mit verschiedenen Acct-Session-Id und NAS-Kontexten öffnen. Ein enger CoA-Request darf genau eine verändern. Ohne das unterscheidende Feld muss die Anfrage scheitern, nicht nach Alter oder Datenbankreihenfolge entscheiden.

Eine Wiederholung darf den Effekt nicht verdoppeln. Zusätzlich veralteten Timestamp, falschen Realm, falsches NAS und nicht unterstützte Aktion prüfen. Rollback stellt den vorherigen Zustand in gleicher Reichweite wieder her; Disconnect ist nur dann Rücknahme, wenn Beendigung ursprünglich genehmigt war.

Quellen