背景介绍
竹云 IDaaS 提供 Radius Server 能力，支持各类 VPN （深信服、华为、网御等）、云桌面（华为）等企业设备通过 Radius 协议配置后，进行认证。
本章节为您介绍设备映射定义以及 RADIUS 属性等相关信息。
设备的映射定义
竹云 IDaaS 设备的映射定义主要是在厂商设备认证成功/失败/挑战码状态下，将厂商设备需要的属性返回给厂商。
因此在映射定义选择上，设备属性名来源于厂商，而每种设备厂商的属性不同。本文主要列出现在支持的厂商的属性，以供大家配置。 映射定义的映射类型同产品其他位置映射一样。
IDaaS 可以选择不同的认证状态下返回不同的属性，注意由【适用场景】决定。 Access-Accept （成功）、 Access-Reject （失败）、 Access-Challenge （挑战码），即认证报文对应场景下属性才能返回。
| 映射类型 | 说明 |
|---|---|
| 用户属性 | 可以选择用户属性上具有的属性 |
| 固定属性值 | 固定文本 |
| 动态脚本 | 脚本的语法可以参照开发映射定义里的动态脚本。需要注意的是，设备的脚本对象只有User 对象 |
RADIUS 属性
协议 RFC2865 、 RFC2866 和 RFC3576 标准规定了以下RADIUS 标准属性，所有主流设备厂商基本上都支持。 RADIUS 协议具有良好的可扩展性，协议（ RFC2865 ）中定义的 26 号属性（ Vendor-Specific ）用于设备厂商对 RADIUS 进行扩展，以实现标准 RADIUS 没有定义的功能。
RADIUS 属性在认证报文中并不是所有情况下都有返回值，取决于属性本身以及在 IDaaS 中的配置。 RADIUS 认证报文中属性一共有四种状态： Access-Request （请求）、 Access-Accept （成功）、 Access-Reject （失败）、 Access-Challenge （挑战码）。
以下介绍一下 IDaaS 支持的厂商属性。
| 属性名 | 编码 | 属性说明 |
|---|---|---|
| User-Name | 1 | 进行认证的用户名 |
| User-Password | 2 | 进行认证的用户密码，仅对 PAP 认证有效 |
| Challenge-Password | 3 | 进行认证的用户密码，仅对 CHAP 认证有效 |
| NAS-IP-Address | 4 | 设备 IP 地址。如果 RADIUS 服务器组绑定了接口地址，则取绑定的接口地址。否则取发送报文的接口地址 |
| NAS-Port | 5 | 用户接入端口，格式为“4 位槽位号+2 位卡号+5 位端口号+21 位 VLAN” |
| Service-Type | 6 | 用户业务类型，接入用户为 2 ，操作用户为 6 |
| Framed-Protocol | 7 | 固定为 1 ，表示 PPP 类型 |
| Framed-IP-Address | 8 | RADIUS 服务器为用户分配的 IP 地址， 0xFFFFFFFE 表示 RADIUS 服务器不分配地址，而由设备为用户分配 IP 地址 |
| Framed-Netmask | 9 | RADIUS 服务器为用户分配的 IP 地址掩码 |
| Filter-ID | 11 | 表示用户组 |
| Login-IP-Host | 14 | Login 连接用户的主机 IP 地址 |
| Login-Service | 15 | Login 业务类型----Telnet ， Rlogin ， TCP Clear ， PortMaster (proprietary)， LAT |
| Reply-Message | 18 | 认证成功或拒绝消息 |
| Callback-Number | 19 | 认证服务器传递过来可以显示给用户的信息，如移动电话号码等 |
| State | 24 | 如果 RADIUS 服务器发送给设备的接入质询报文中包含该值，则设备在后续的接入请求报文中必须包含相同的值 |
| Class | 25 | 如果 RADIUS 服务器发送给设备的认证接受报文中包含该值，则设备在后续的计费请求报文中必须包含相同的值；对于标准 RADIUS 服务器，设备可以使用 Class 属性表示 CAR 参数 |
| Session-Timeout | 27 | 用户可用的剩余时间，以秒为单位；在 EAP 质询报文中作为用户的重认证时长 |
| Idle-Timeout | 28 | 用户的闲置切断时间，以秒为单位 |
| Termination-Action | 29 | 指定的业务终止方式，重认证或者强制用户下线等 |
| Called-Station-Id | 30 | 允许 NAS 发送被叫号码 |
| Calling-Station-Id | 31 | 允许 NAS 发送主叫号码 |
| NAS-Identifier | 32 | 设备主机名 |
| Acct-Status-Type | 40 | 计费报文类型， 1 表示开始计费报文， 2 表示停止计费报文， 3 表示实时计费报文 |
| Acct-Delay-Time | 41 | 生成计费报文花费的时间，以秒为单位 |
| Acct-Input-Octets | 42 | 上行字节数，单位为 Byte 、 kbyte 、 Mbyte 、 Gbyte ，具体使用何种单位可通过命令配置 |
| Acct-Output-Octets | 43 | 下行字节数，单位为 Byte 、 kbyte 、 Mbyte 、 Gbyte ，具体使用何种单位可通过命令配置 |
| Acct-Session-Id | 44 | 计费的连接号，对于同一个连接的开始计费、实时计费和停止计费报文，其中的连接号必须相同 |
| Acct-Authentic | 45 | 用户的认证模式， 1 表示 RADIUS 认证， 2 表示本地认证 |
| Acct-Session-Time | 46 | 用户的上线时间，以秒为单位 |
| Acct-Input-Packets | 47 | 上行的报文数 |
| Acct-Output-Packets | 48 | 下行的报文数 |
| Acct-Terminate-Cause | 49 | 用户连接中断的原因 |
| Acct-Multi-Session-ID | 50 | 多会话 ID ，用于识别日志中的相关会话 |
| Acct-Input-Gigawords | 52 | 表示上行字节数是 4G(232)Byte 、 kbyte 、 Mbyte 、 Gbyte （单位取何值由命令配置决定）的多少倍 |
| Acct-Output-Gigawords | 53 | 表示下行字节数是 4G(232)Byte 、 kbyte 、 Mbyte 、 Gbyte （单位取何值由命令配置决定）的多少倍 |
| Event-Timestamp | 55 | 生成计费报文的时间，以秒为单位，表示从 1970 年 1 月 1 日零点零分零秒以来的绝对秒数 |
| CHAP-Challenge | 60 | CHAP 认证的质询字，只用于 CHAP 认证 |
| NAS-Port-Type | 61 | NAS 的端口类型，可在 BAS 接口视图下配置 |
| Tunnel-Type | 64 | 隧道的协议类型，固定为 3 ，表示 L2TP 隧道 |
| Tunnel-Medium-Type | 65 | 隧道承载的媒介类型，固定为 1 ，表示 IPv4 |
| Tunnel-Server-Endpoint | 67 | 隧道服务器端的 IP 地址 |
| Tunnel-Password | 69 | 隧道验证的密码，前两字节为 SALT ，后 16 字节为加密后的密码 |
| Tunnel-Private-Group-ID | 81 | 隧道组名 |
| Tunnel-Assignment-ID | 82 | 隧道标识名 |
| Tunnel-Preference | 83 | 隧道优先级 |
| Acct-Interim-Interval | 85 | 实时计费的间隔，以秒为单位 |
| NAS-Port-Id | 87 | 用户接入的端口号，格式为“slot=XX;subslot=XX;port=XXX;VLANID=XXXX;”或者“slot=XX;subslot=XX;port=XXX;VPI=XXX;VCI=XXXX” |
| Framed-Pool | 88 | 地址池的名称和地址段号，只对从设备的本地地址池为 PPP 分配 IP 地址有效，格式为“地址池名#地址段号” |
| Tunnel-Client-Auth-ID | 90 | 隧道认证中传递的本端用户名 |
| Tunnel_Server_Auth_id | 91 | 隧道认证中传递的服务器端用户名 |