构建可靠的Radius系统
2017-11-07
Radius系统现状及存在的问题
现状
济宁分公司的Radius系统应该运行了两年多，期间经过了若干次重要的系统升级，目前已经承载了15万余户的宽带用户认证工作。
网络拓扑结果如图1所示，核心路由器与Radius系统之间通过交换机进行通讯，目前只有核心路由器1与Radius系统通讯，核心路由器直接连接强推服务器，为用户强推到期提醒，Radius App1的第二块网卡接入EBOSS系统交换机，完成EBOSS与Radius之间的数据交互。在BRAS上设置NAS服务器地址（Radius App地址），实现用户的AAA认证。
承载用户的情况：
系统上线之初承载用户数 ：5000。
目前每天增加的用户数：150。
到2016年底，计划承载的用户数：25万。
图1 Radius系统组网拓扑图
图2 原有认证模式
存在的问题
随着用户持续不断的增长，该系统出现几次故障，有网络故障、数据库故障、Radius与EBOSS数据交互故障等，网络故障主要体现在核心路由器与交换机之间网络不通，将原来的电口连接改为光口连接后故障排除。
数据库异常故障，用户拨号大面积 691，原因是Radius老版本不带旁路功能，Radius与EBOSS数据交互故障主要表现是在EBOSS中新开的账户，没有成功被Radius系统接收，导致用户拨号错误代码606，原因是数据库异常，接口无法新增授权信息。
数据库单台服务器，如果数据库出现问题，会导致系统旁路，数据库服务器遇到硬件问题时，数据难以恢复。
整改计划
（1）Radius版本改进
原有的认证模式如图2所示。
用户拨号上网，BRAS发送认证请求到App前置机服务器，当前置机服务器接受到认证命令时，发送获取数据的信息到DB数据服务器，DB数据服务器通过查询用户信息，将用户资料信息反馈给App服务器，App服务器通过检测获取到的数据，对用户本次的认证请求做出相应的回执结果。
该认证模式中，每次用户的认证请求都会发送到数据库服务器执行，数据库服务器的运行性能决定了整个认证性能，当上网用户激增时，往往会出现无法认的问题。
改进的认证模式如图3所示。
用户拨号上网，BRAS发送认证请求到App前置机服务器，当前置机服务器接受到认证命令时，检测缓存服务器是否存活，当缓存服务处于存活状态时，前置机直接从缓存服务器中，读取用户数据，由于用户数据从缓存中读取，大大减轻了数据库服务器的压力，同时提高了认证的性能。当缓存服务器不存活时，前置机自动的寻找数据库服务器，获取认证信息完成用户认证。
Bbn后台管理系统、EBOSS接口提供用户属性信息的修改，分发服务器检测数据库用户信息更改的情况，发现用户信息被更改，获取更改后的用户信息，立即分发到每个缓存服务器。
图3 改进的认证模式
图4 Radius双机示意图
图5 数据库双机示意图
缓存服务器与分发服务器实现心跳检测连接，当缓存服务器发现分发服务器不可用时，标记缓存服务器为不可用状态。
Radius双机
Radius系统通过分别与BRAS设备实现了双机热备（如图4）。
用户拨号信息发送到BRAS设备，BRAS设备通过配置，通过主要认证路径，发送认证信息到Radius App前置机一，当前置机一正确响应时，BRAS收到Radius认证反馈结果信息，执行上线认证操作主要认证前置机一不响应时，BRAS更换到备用认证路径，发送认证系统到App前置机二进行认证。
数据库双机
通过第三方软件实现Oracle数据库服务的双机，增加数据库服务的安全性（如图5）。
通过atang的双机业务软件，实现两个数据库服务器的镜像数据同步，两个数据库服务器同时映射出虚拟服务器，供程序使用。
安全可靠的Radius系统的构建方案
功能描述
网络拓扑结构如图6所示，引进用户到期提醒强推功能后，用户强推是以Web的形式体现，用户可以根据强推服务器的地址进而攻击Radius系统，网络的安全性受到威胁。计划在Radius系统与用户、强推服务器之间新增一台防火墙，要满足以下三点要求，一是强推服务器只与用户之间进行通讯，而且强推服务器使用虚拟机实现，方便用户攻击后通过镜像快速恢复强推功能。二是核心路由器与Radius之间互相通讯。三是只有网管人员方可登录Radius系统。
关键技术点
在Radius系统中，我们要特别关注硬件防火墙、核心路由器和Radius系统之间的协同配合关系，具体内容如下所示。
硬件防火墙配置
防火墙在网络中有效阻止来自网络内部攻击同时，有效定义可以访问Radius服务器的IP地址，从而在用户和Radius建立一个安全屏障。
防火墙上的配置主要是在核心路由器和Radius交换机创建互联地址（如图7），然后在交换机上配置默认路由，最后需要在防火墙上回指访问Radius服务器的路由即可。具体配置如图8所示。
过期强推服务器的配置（通过虚拟机实现）
强推服务，该界面是静态的，通过虚拟机实现。
系 统 ：Windows Server 2008R2，内存1GB以上。
服务 ：tomcat7，jdk7。
物理存储位于RAID5硬盘集群中，为虚拟机分配40GB硬盘。
物理处理器为E5-2650v3，取其中一个内核虚拟成一颗单核虚拟CPU。
图6 完善的Radius系统拓扑图
图7 防火墙端口配置示意图
图8 防火墙回指路由配置示意图
虚拟机内存分配2GB，保证1GB，动态分配1GB。
虚拟网卡依照常规设置，接入本网络。
Tomcat7与jdk7使用官方安装包，并打上了最新的补丁。
T8000路由器及BRAS配置
在T8000上设置和防火墙的互联地址，然后在防火墙和路由器上互指下静态路由即可，在T8000上的BGP路由已经重分发静态和直连路由，这样就保证BRAS可以和Radius正常通信。
interfacegei-0/15/0/5
description DP-RADIUS
ip address 172.28.0.49 255.255.255.252
interfacegei-0/3/0/17
description DP-RADIUS
ip address 172.28.0.53 255.255.255.252
ip route 10.253.141.0 255.255.255.224 gei-0/15/0/5 172.28.0.50
ip route 10.253.141.0 255.255.255.224 gei-0/3/0/17 172.28.0.54
（4）Radius系统配置
Radius服务器1:10.253.141.7、10.66.6.178。
R a d i u s服 务 器2:10.253.141.8。
数据库服务器 :1 0.2 5 3.1 4 1.4、10.253.141.5，生成虚拟IP地址 ：10.253.141.6。
Radius主要服务是10.253.141.7，如 果 系 统出现问题时，BRAS可以通过Server2的方式跳转到10.253.141.8进行认证。
两台Radius服务的版本是一致的。
10.66.6.178是EBOSS接口服务地址，接受EBOSS授权服务。
结论
Radius系统是我公司宽带业务系统的重要组成部分，这套系统是否可以安全、可靠、稳定地运行，直接决定了宽带业务是否可以顺利的开展。
我公司开展大规模的双向网络之初，就建立了Radisu系统，随着宽带业务的不断发展，Radius系统也逐渐暴露出一些问题，在一定程度上影响了宽带业务的发展。针过这个问题，我们通过增加硬件防火墙，实施双机热备，将强推服务器设置在虚拟机系统上等一序列的措施，进一步提高了Radius系统的安全性和可靠性，使之与快速发展的宽带接入业务相适应。实际应用结果证明，这些措施是确实有效的。
