RADIUS 服务器高可用性：主-主架构 vs 主-备架构

# RADIUS 服务器高可用性：主-主 vs 主-备 ## Purple 技术简报 — 播客脚本 (~10 分钟) --- **第一部分 — 引言与背景（大约 1 分钟）** 欢迎收听 Purple 技术简报。我是主持人，今天我们要讨论的是对于任何运行企业 WiFi 的组织来说最重要的基础设施决策之一：RADIUS 服务器高可用性。 如果您是负责酒店集团、零售连锁店、体育场馆或公共部门设施认证基础设施的网络架构师或 IT 主管，本次简报将为您提供做出正确决策所需的框架和具体技术细节——并避免在最糟糕的时刻导致认证中断的错误。 让我先设定一下场景。RADIUS——远程认证拨号用户服务——是您网络的门卫。每当员工通过 802.1X 连接，或者访客通过您的捕获门户进行认证时，RADIUS 就是检查凭据并授权访问的引擎。它是 IEEE 802.1X 和 WPA3 企业部署的支柱。与大多数在故障时会优雅降级的 IT 服务不同，RADIUS 是二元的：要么工作，要么没人能上网。这种不对称性使得高可用性如此关键。 --- **第二部分 — 技术深入探讨（大约 5 分钟）** 让我们从基础开始。RADIUS 通过 UDP 运行——通常使用端口 1812 进行认证，端口 1813 进行计费。UDP 的无状态特性实际上对于 HA 设计来说是一个优势：因为每个认证请求都是自包含的，集群中的任何服务器都可以处理任何请求，而无需知道之前发生了什么。这就是使得主-主部署如此优雅的架构特性。 现在，您需要了解两种主要的高可用性模型。 **主-备**是传统方法。您有一个处理所有认证流量的主 RADIUS 服务器，还有一个处于待机状态的备用服务器，接收复制的数据但不处理请求。当主服务器发生故障时，网络接入设备——您的接入点、交换机或 VPN 网关——检测到故障并将流量重定向到备用服务器。 故障转移需要多长时间？这正是细节所在。NAS 发送 RADIUS 请求并等待。默认的数据包超时通常是两秒。之后，它会重试——通常每个服务器尝试三次。配置了两台服务器时，在调优良好的部署中，最大故障转移检测时间大约为六到十二秒。在最坏的情况下，配置了三台服务器并使用默认计时器，这可能延长到十八秒。对于试图在入住时连接的酒店客人，或者试图处理交易的零售店员来说，这是一个痛苦的窗口。 **主-主**是更复杂的方法，对于大多数企业部署来说，这是正确的方法。两台——或所有——RADIUS 服务器同时处理认证请求。流量通过轮询轮转或专用负载均衡器分布到集群中。当一个节点发生故障时，其余节点立即吸收其流量。没有传统意义上的故障转移检测延迟，因为没有故障转移：负载均衡器只是根据健康检查间隔，通常在一到两秒内停止向不健康的节点发送请求。 性能优势是复合的。在大型场馆——比如六万座位的体育场或举办大型展览的会议中心——当开门或中场休息时，您可能会看到数千个同时的认证请求。单个 RADIUS 服务器，即使配置良好，也可能成为瓶颈。主-主集群可以水平扩展：添加另一个节点，您就增加了相应的容量。 现在，让我们谈谈数据库层，因为许多部署在这里遇到麻烦。RADIUS 认证本身基本上是无状态的——服务器根据目录检查凭据并返回接受或拒绝。但 RADIUS 计费是有状态的：它跟踪会话开始、临时更新和会话停止事件。如果您使用计费进行计费、合规日志记录或会话管理，您需要这些数据在所有节点上保持一致。 标准方法是为您的 RADIUS 集群配备一个复制数据库。全球部署最广泛的开源 RADIUS 服务器 FreeRADIUS 与 MySQL 和 MariaDB 集成。对于主-主部署，您有两个主要选项：MySQL NDB Cluster，它提供亚秒级故障转移的同步多主复制，或者 Galera Cluster，它提供类似的同步复制，运营管理稍简单。两者都消除了节点故障时数据丢失的风险。异步复制——标准 MySQL 主从复制——更便宜，但会引入复制延迟，如果主节点在更改被复制之前发生故障，可能导致计费记录丢失。 让我谈谈地理分布的问题，因为这对于多站点运营商来说越来越相关。如果您经营一家拥有 200 家门店的零售连锁店，或者一家在多个国家拥有物业的酒店集团，问题不仅仅是“我如何使我的 RADIUS 服务器冗余？”——而是“我的 RADIUS 服务器应该相对于我的接入点位于何处？” 将认证流量从远程站点回传到中央数据中心会引入 WAN 延迟，并在 WAN 链路处造成单点故障。如果该链路中断，远程站点无法对任何人进行认证，无论您的中央 RADIUS 集群多么冗余。解决方案要么是在每个站点部署本地 RADIUS 实例——这会带来巨大的运维开销——要么是使用具有地理分布式边缘节点的云 RADIUS 服务。 云 RADIUS 平台在架构层面解决了 HA 问题。提供商不是在构建和管理冗余基础设施，而是在多个可用区和区域运行 RADIUS。节点之间的故障转移自动发生，通常在不到一秒内完成，因为它由平台的内部负载均衡处理，而不是由 NAS 重试计时器处理。企业云 RADIUS 提供商通常承诺 99.99% 的正常运行时间 SLA——即每年停机时间少于 53 分钟。 这里还有一个重要的合规维度。PCI DSS 要求对持卡人数据环境进行强认证控制。GDPR 将认证日志视为个人数据，需要适当的处理和数据驻留控制。云 RADIUS 提供商通常持有 SOC 2 Type II 认证，并提供带有区域数据驻留选项的 GDPR 数据处理协议。本地部署使您能够完全控制数据位置，这在 NHS 数据治理框架下的医疗保健环境中，或在有数据主权要求***的政府设施中很重要。 --- **第三部分 — 实施建议与陷阱（大约 2 分钟）** 让我通过两个现实场景来说明这些原则的实践。 首先：一家欧洲酒店集团在六个国家管理着 45 家酒店。他们的 IT 团队只有三名工程师，在每个酒店运行 FreeRADIUS 虚拟机——要修补、监控和维护 45 个独立实例。当一家酒店的 TLS 证书过期时，导致在大型会议期间整个访客 WiFi 中断。修复需要工程师远程登录并手动更新证书——这个过程花了 40 分钟，而客人无法连接。 在迁移到具有集中策略管理的云 RADIUS 服务后，团队消除了每个站点的维护工作。证书轮换变得自动化。三名工程师收回了之前花在 RADIUS 运营上的约 40% 的时间。更重要的是，平台跨多个云区域的主-主架构意味着以前会导致站点中断的单个节点故障变成了一个非事件。 第二个场景：一个国家体育场正在举办一场有 60,000 名粉丝的大型活动。网络团队部署了主-备 RADIUS 配置，包括一个主服务器和一个热备。在活动前的负载测试中，他们发现当闸门打开时，主服务器在认证激增期间变得饱和——每分钟处理 8,000 个认证请求。备用辅助服务器闲置，而主服务器努力应对。 解决方案是重新配置 NAS 设备以使用轮询负载均衡跨两台服务器，有效地将部署转换为主-主模式。认证吞吐量立即翻倍。他们还增加了第三台服务器以提供峰值负载的余量，并为计费数据库配置了 Galera Cluster 复制。结果是部署可以吸收任何单个节点的丢失，而不会对用户造成任何可见影响。 现在，陷阱。最常见的错误是将备用 RADIUS 服务器视为“设置后就忘记”的备份。配置漂移。备用服务器上的证书在主服务器正常运行期间过期。当主服务器最终发生故障并且备用服务器接管时，它也故障了——原因完全不同。解决方法很简单：定期测试您的故障转移，至少每季度一次，并将两个节点都视为生产系统。 第二个陷阱是忽视数据库复制延迟。如果您使用异步复制并且主数据库节点发生故障，您可能会丢失在故障发生时处于活动状态的会话的计费记录。对于 PCI DSS 合规性，这是一个严重的差距。对于任何将计费数据完整性作为合规要求的部署，请使用同步复制——Galera 或 NDB。 --- **第四部分 — 快速问答（大约 1 分钟）** 让我回答我经常从网络架构师那里听到的问题。 “最低可行 HA 配置是什么？”两台 RADIUS 服务器，具有主-备故障转移、共享密钥同步和复制数据库后端。这是您的底线。对于超过 500 个并发用户的情况，转向主-主模式。 “我可以为 RADIUS 使用硬件负载均衡器吗？”可以，但 RADIUS 使用 UDP，许多负载均衡器针对 TCP 进行了优化。确保您的负载均衡器支持带有健康检查的 UDP 负载均衡。HAProxy Enterprise 有一个专用的 RADIUS UDP 模块。F5 BIG-IP 原生支持它。 “如何在 HA 集群中处理 EAP 证书信任？”所有节点必须提供相同的服务器证书，或者至少是来自同一 CA 链的证书。客户端在 EAP-TLS 和 PEAP 握手期间验证服务器证书——如果节点提供不同的证书，您将在故障转移后遇到认证失败。 “云 RADIUS 能与本地 Active Directory 配合使用吗？”可以，通过一个轻量级连接器或 LDAP 代理，查询您的本地 AD，而不直接将其暴露到互联网。这是混合环境的标准集成模式。 --- **第五部分 — 总结与后续步骤（大约 1 分钟）** 让我以您需要做出的关键决策作为结束。 如果您在单个站点运行不到 500 个并发用户，并且有一个稳定的团队来管理基础设施，那么具有良好测试的故障转移程序的主-备模式是一个可辩护的选择。保持简单，定期测试，并使用同步数据库复制。 如果您在运行多站点资产、高密度场馆，或者您的团队带宽有限，主-主是正确的架构——而云 RADIUS 是实现这一目标的最快途径，无需自己构建基础设施。 无论您选择哪种模式，原则都是一样的：分布而非复制，自动化故障转移决策，并在故障场景测试您之前进行测试。 有关 Purple 平台如何大规模处理 RADIUS 认证的更多信息——包括与 802.1X、WPA3 企业和访客 WiFi 门户的集成——请访问 purple.ai。下次再见。 --- *脚本结束。按每分钟 150 词的速度，大约阅读时间：10 分钟。*