Realm-Tagging für das RADIUS-Forwarding

Die Authentifizierungsanfragen der beiden Benutzergruppen müssen separat behandelt werden. Damit der WLAN Controller diese beiden Gruppen unterscheiden kann, nutzt er sogenannte "Realms". Realms dienen der Adressierung von Domänen, innerhalb derer Benutzeraccounts gültig sind. Der WLAN Controller kann die Realms mit der Authentifizierungsanfrage an den internen RADIUS-Server übermitteln. Alternativ kann der RADIUS-Server nach folgenden Regeln die Realms der Benutzernamen verändern, um das RADIUS-Forwarding zu steuern:

Der als "Standard-Realm" definierte Wert ersetzt einen vorhandenen Realm einer eingehenden Anfrage, wenn für diesen Realm keine Weiterleitung definiert ist.
Der RADIUS-Server verwendet den unter "Leerer-Realm" definierten Wert nur dann, wenn der eingehende Benutzername noch keinen Realm enthält.

Über einen Eintrag in der Weiterleitungstabelle leitet der WLAN Controller alle Authentifizierungsanfragen mit einem bestimmten Realm an einen RADIUS-Server weiter. Wenn in der Weiterleitungstabelle kein passender Eintrag vorhanden ist, lehnt er die Anfrage ab.

Anmerkung: Stellt der WLAN Controller nach der Ermittlung eines Realms einen leeren Realm fest, so prüft er die Authentifizierungsanfrage immer mit der internen RADIUS-Datenbank.

Das folgende Flussdiagramm zeigt schematisch die Arbeitsweise des RADIUS-Server bei der Verarbeitung von Realms:

Durch ein unterschiedliches Realm-Tagging können somit verschiedene RADIUS-Server angesprochen werden. Den Entscheidungsweg im RADIUS-Server des Gerätes können Sie im Diagramm für die beiden Anfragen verfolgen:

Da die Benutzernamen für die Gastzugänge automatisch erzeugt werden, wird für diese Benutzernamen der Realm "PSpot" verwendet. Da in der Weiterleitungstabelle kein entsprechender Eintrag vorhanden ist und der Standard-Realm leer ist, leitet der WLAN Controller alle Authentifizierungsanfragen mit diesem Realm an den internen RADIUS-Server weiter.
Um den Konfigurationsaufwand zu begrenzen, werden die internen Benutzer weiterhin ohne Realm geführt. Der RADIUS-Server im Gerät kann einen leeren Realm automatisch durch einen anderen Realm ersetzen, mit dem er die internen Benutzer identifiziert. In diesem Beispiel ersetzt er den leeren Realm durch die Domäne der Firma "firma.de". Mit den Angaben in der Weiterleitungstabelle können alle Authentifizierungsanfragen mit diesem Realm an den externen RADIUS-Server weitergeleitet werden.