Lista de atributos
******************

Las secciones siguientes describen los atributos del Radius frecuentemente usados. Cada atributo se describe como sigue:

NOMBRE,VALOR,TIPO,USER-OP,HINTS-OP,HUNTGROUP-OP,ADITIVIDAD,PROP

Estos valores tienen el siguiente significado:

nombre
     El nombre del atributo.

valor
     El valor númerico del atributo.

tipo
     El tipo del atributo.

user-op
     Opciones que definen en que parte de la entrada del raddb/users este atributo puede usarse. Las opciones consisten en dos símbolos: L significa que el atributo puede usarse en LHS, R que puede usarse en RHS.

hints-op
     Opciones que definen en que parte de la entrada del raddb/hints este atributo puede usarse.

huntgroups-op
     Opciones que definen en que parte de la entrada del raddb/huntgroups este atributo puede usarse.

aditividad
     Aditividad del atributo determina lo que pasa si una regla intenta agregar a la lista el atributo que ya está presente en esta lista. Dependiendo de su valor, las acciones del servidor son:

     Append
          El nuevo atributo se añade al fin de la lista.

     Replace
          El nuevo atributo reemplaza el viejo.

     Drop
          El nuevo atributo se pasa por alto. El viejo permanece en la lista.

prop
     La propagación del atributo. Controla si el atributo es propagado al NAS cuando el servidor trabaja en el modo proxy.

El valor de N/A en cualquiera de estos campos significa No aplicable.

Los atributos de la autenticación
=================================

Éstos son los atributos que el NAS usa en las peticiones de autentificación y espera a recibir en las contestaciones del servidor. Éstos atributos pueden usarse en las reglas de comparación.

User-Name
---------

User-Name,1,string,LR,-R,LR,Replace,Yes

Este atributo indica el nombre del usuario a ser autenticado o considerado. Se usa en las peticiones tipo Access-Request y las de contabilidad. La longitud del nombre del usuario está normalmente limitada por algún valor arbitrario. Por defecto, el Radius soporta los nombres con una longitud hasta 32 caracteres. Este valor puede modificarse redefiniendo la macro RUT_USERNAME en el archivo include/radutmp.h en el directorio de la distribución y recompilando el programa.

Algunos NAS es tienen las peculiaridades en enviar los nombres de usuarios largos. Por ejemplo, el servidor de aceso ``Specialix Jetstream 8500 24'' inserta el carácter / después del décimo carácter si el nombre del usuario es más largo que 10 carácteres. En estos casos se recomienda usar las funciones Rewrite para convertir el nombre del usuario a su formato normal

Password
--------

Password,2,string,L-,--,--,NÅ,No

Este atributo contiene la contraseña del usuario o la cadena de entrada del usuario después de recibir el paquete tipo Access-Challenge. El atributo sólo se usa en las peticiones Access-Request.

Antes de enviar el paquete, este atributo se cifra. Primero, el valor de atributo se rellena con los nulos a un múltiplo de 16 octetos de longitud. Luego se calcula una suma MD5 de la cadena de octetos que consiste en el secreto compartido seguido por el authenticator de la petición. El valor recibido se combina con los primeros 16 octetos de contraseña por la operación XOR y se pone en los primeros 16 octetos del atributo Password.

Si la contraseña es más larga que 16 carácteres, se calcula la suma MD5 de la cadena de octetos formada por el secreto compartido seguido por el resultado de la primera operación XOR. El valor así recibido se combina con los segundos 16 octetos de contraseña por la operación XOR y se pone en los segundos 16 octetos del atributo Password.

Si es necesario, este funcionamiento se repite, usando cada resultado del XOR y el secreto compartido para formar la suma MD5 con que se cifra cada segmento de la contraseña.

La longitud del valor de este atributo no puede ser más que 128 octetos.

CHAP-Password
-------------

CHAP-Password,3,string,L-,--,--,NÅ,No

Este Atributo indica el valor de la contestación proporcionado por el usuario del protocolo CHAP como la respuesta a la peticion Access-Challenge del servidor. El atributo sólo se usa en los paquetes Access-Request.

El valor de desafío del servidor se encuentra en el atributo CHAP-Challenge si este se presenta en el paquete, o en el campo del autentificador de la petición.

NAS-IP-Address
--------------

NAS-IP-Address,4,ipaddr,L-,-R,LR,Append,No

Este Atributo indica la dirección IP del NAS que está pidiendo autenticación del usuario. El atributo sólo se usa en los paquetes Access-Request. Cada paquete de la Access-Request debe contener el atributo NAS-IP-Address o NAS-Identifier

NAS-Port-Id
-----------

NAS-Port-Id,5,integer,LR,-R,LR,Append,No

Este atributo indica el número del puerto físico del NAS que está autenticando el usuario. Sólo se usa en los paquetes Access-Request. Notese que la palabra ``puerto'' significa aquí una conexión física en el NAS, y no un número de puerto TCP o UDP.

Algunos NAS os intentan codificar harta información en el valor del atributo NAS-Port-Id. Por ejemplo, los NAS os tipo ``MAX Ascend'' construyen este atributo encadenando el tipo de la línea (dos dígitos), número de la línea (dos dígitos), y el numero del canal (dos dígitos) produciendo así un número de puerto de 5-dígitos. Para decifrar estos números de puertos se puede usar una funcion Rewrite. La función para decifrar los puertos de MAX Ascend se proporciona en la distribución.

Service-Type
------------

Service-Type,6,integer,LR,-R,LR,Replace,Yes

     VALUE      Service-Type      Login-User           1
     VALUE      Service-Type      Framed-User          2
     VALUE      Service-Type      Callback-Login-User  3
     VALUE      Service-Type      Callback-Framed-User 4
     VALUE      Service-Type      Outbound-User        5
     VALUE      Service-Type      Administrative-User  6
     VALUE      Service-Type      NAS-Prompt-User      7
     VALUE      Service-Type      Authenticate-Only    8
     VALUE      Service-Type      Call-Check           10

Este atributo indica el tipo de servicio que el usuario ha pedido, o el tipo de servicio a ser proporcionado. Puede usarse en los paquetes Access-Request y Access-Accept.

Cuando se usa en un paquete Access-Request el atributo representa una indicación al servidor Radius que el NAS tiene algun razón para creer que el usuario preferiría el tipo de servicio indicado.

Cuando se usa en un paquete Access-Accept, el atributo es una indicación al NAS que este tipo de servicio debe ser proporcionado al usuario.

El significado de varios tipos de servicio se describe a continuacion:

Login-User
     El usuario debe conectarse a un host.

Framed-User
     Debe ser iniciado un protócolo cuadrado, como PPP o SLIP. El atributo Framed-IP-Address (see Framed-IP-Address) proporcionaría la dirección IP.

Callback-Login-User
     El usuario debe ser desconectado y el NAS debe llamarle para iniciar la conexión.

Callback-Framed-User
     El usuario debe ser desconectado y el NAS debe llamarle para iniciar una conexión PPP o SLIP.

Outbound-User
     El usuario debe concederse el acceso a los dispositivos de salida.

Administrative-User
     El usuario debe concederse el acceso a la interfaz administrativa al NAS de que pueden ejecutarse las órdenes privilegiadas.

NAS-Prompt
     El usuario debe proporcionarse el acceso a la interfaz del NAS de que pueden ejecutarse las órdenes non-privilegiadas.

Authenticate-Only
     Se pide sólo Autenticación, no se necesita ninguna información de la autorización.

Call-Check
Callback-NAS-Prompt
     El usuario debe ser desconectado y el NAS debe llamarle para proporcionarle el acceso a la interfaz del NAS de que pueden ejecutarse las órdenes non-privilegiadas.

Framed-Protocol
---------------

Framed-Protocol,7,integer,LR,-R,LR,Replace,Yes

     VALUE      Framed-Protocol   PPP                  1
     VALUE      Framed-Protocol   SLIP                 2

Este Atributo indica el tipo del protócolo. Puede usarse en los paquetes Access-Request y Access-Accept.

Framed-IP-Address
-----------------

Framed-IP-Address,8,ipaddr,LR,-R,LR,Replace,No

Este atributo indica la dirección IP para designar a la sesión del usuario. Puede usarse en los paquetes Access-Accept. Se admite su uso en paquetes Access-Request como una indicación al servidor que el NAS preferiría esa dirección, pero el servidor no se exige honrar la indicación.

El valor 0xFFFFFFFF (255.255.255.255) indica que el NAS debe permitirle al usuario seleccionar una dirección. El valor 0xFFFFFFFE (255.255.255.254) indica que el NAS mismo debe seleccionar una dirección para el usuario (por ejemplo asignarle una dirección de un grupo de direcciones guardada por el NAS). Otros valores válidos indican que el NAS debe usar el valor dado como la dirección IP del usuario.

Cuando se usa en RHS, el valor de este atributo puede seguirse opcionalmente por una señal +. Este uso significa que el valor del atributo NAS-Port-Id debe ser agregado a esta dirección IP antes de contestar. Por ejemplo

     Framed-IP-Address = 10.10.0.1+

Framed-IP-Netmask
-----------------

Framed-IP-Netmask,9,ipaddr,LR,-R,LR,Replace,No

Este atributo indica la máscara de red ser configurado para el usuario cuando el usuario es un ruteador. Puede usarse en los paquetes Access-Accept. Puede usarse en paquetes Access-Request como una indicacion al servidor que el NAS preferiría este valor de la máscara, pero el servidor no se exige honrar la indicación.

Framed-Routing
--------------

Framed-Routing,10,integer,-R,-R,-R,Replace,No

     VALUE      Framed-Routing    None                 0
     VALUE      Framed-Routing    Broadcast            1
     VALUE      Framed-Routing    Listen               2
     VALUE      Framed-Routing    Broadcast-Listen     3

Este atributo indica el método de la asignación de ruta para el usuario, cuando el usuario es un router en  una red. Sólo se usa los paquetes Access-Accept.