DIAMETER löste RADIUS für AAA in Betreibergröße ab, weil RADIUS über unzuverlässiges UDP ohne Failover, mit einem 1-Oktett-Attributraum und schwacher Sicherheit läuft. DIAMETER ergänzt zuverlässigen SCTP/TCP-Transport, explizite Fähigkeitsverhandlung, einen 32-Bit-AVP-Raum, Peer-Discovery, Fehlercodes pro Nachricht und TLS/IPsec — bei Beibehaltung desselben AVP-basierten Modells, sodass Translation-Agents beide verbinden können.
Wo RADIUS zu kurz griff
RADIUS (RFC 2865) wurde in den 1990er-Jahren für den Einwahl-Netzzugang entworfen: Ein Client sendet einen Access-Request über UDP und hofft auf ein Access-Accept. Dieses Modell skaliert nicht für einen Mobilfunk-Core. UDP bietet keine zuverlässige Zustellung, sodass Verlusterkennung und erneute Übertragung der Anwendung überlassen bleiben. Es gibt keine server-initiierte Nachricht, sodass ein Netz eine Sitzung nicht proaktiv beenden oder neu autorisieren kann. Das Attribut-Type-Feld ist ein einzelnes Oktett (256 Werte), die Shared-Secret-Sicherheit ist schwach, und es gibt kein eingebautes Failover zwischen Servern. Als LTE server-initiierte Neuautorisierung, zuverlässigen Transport und einen weit größeren Attributraum verlangte, wurde RADIUS zu eng.
Was DIAMETER hinzufügte
DIAMETER behielt die AVP-Idee, baute das Protokoll aber um die Betreiberanforderungen herum neu auf. Es läuft über zuverlässiges SCTP oder TCP, sodass Zustellung, Reihenfolge und erneute Übertragung vom Transport erledigt werden, und es definiert explizites Failover zwischen Peers mithilfe des Watchdog. Es verhandelt Fähigkeiten zum Verbindungszeitpunkt (CER/CEA), sodass Peers sich auf Anwendungen einigen, bevor Verkehr fließt. Sein AVP Code ist 32 Bit mit einem Vendor-Raum, was praktisch unbegrenzte Attribute ergibt. Es unterstützt server-initiierte Nachrichten (Re-Auth, Abort-Session). Und es definiert ein strukturiertes Fehlermodell mit getrennten transienten und dauerhaften Result-Codes sowie TLS/DTLS und IPsec für die Sicherheit.
DIAMETER vs. RADIUS auf einen Blick
Die beiden Protokolle teilen eine Abstammung, unterscheiden sich aber in jeder Eigenschaft, die für eine Carrier-Steuerungsebene zählt. Die folgende Tabelle fasst die praktischen Unterschiede zusammen, die ein Betreiber abwägt, wenn er AAA von RADIUS auf DIAMETER umstellt.
| Eigenschaft | RADIUS | Diameter |
|---|---|---|
| Transport | UDP (unzuverlässig) | SCTP oder TCP (zuverlässig) |
| Zustellung / Ausfallsicherung | Anwendungsebene, kein Standard-Failover | Zuverlässiger Transport + Watchdog-Failover (RFC 3539) |
| Attributraum | 1-Oktett-Typ (256 Werte) | 32-Bit-AVP-Code + Vendor-Bereich |
| Attributgröße | 1-Oktett-Länge (max. 255 Oktette) | 24-Bit-Länge (große Werte, gruppierte AVPs) |
| Fähigkeitsverhandlung | Keine | CER/CEA bei Verbindungsaufbau |
| Serverinitiierte Nachrichten | Nein (CoA/Disconnect wurde später hinzugefügt, RFC 5176) | Ja — Re-Auth (RAR), Abort-Session (ASR) |
| Peer-Erkennung | Statische Konfiguration | Realm-Routing + dynamische Erkennung (DNS/SRV) |
| Fehlerbehandlung | Implizit (annehmen/ablehnen) | Explizite Result-Code-Bereiche 1xxx–5xxx |
| Sicherheit | Gemeinsames Geheimnis, MD5-Verschleierung | TLS / DTLS / IPsec |
Realm-Routing und Peer-Discovery
RADIUS proxyt über statische Konfiguration. DIAMETER routet anhand des AVP Destination-Realm: Ein Knoten leitet eine Nachricht zu dem Realm weiter, dem der Nutzer gehört, mithilfe einer realm-basierten Routing-Tabelle, und kann Peers dynamisch über DNS-NAPTR/SRV-Records statt handkonfigurierter Hosts entdecken. Dieses Realm-Modell macht DIAMETER-Roaming zwischen Betreibern möglich — ein besuchtes Netz routet einen S6a-Request an den Heimat-Realm, ohne die Adresse des Heimat-HSS im Voraus zu kennen — und es ist dasselbe Routing, das Diameter Routing Agents und Edge Agents an der Grenze überwachen.
Migration und Translation-Agents
Da beide Protokolle AVP-basiert sind, wurde DIAMETER so entworfen, dass es über einen Translation-Agent mit RADIUS zusammenwirkt, der RADIUS-Attribute auf Diameter-AVPs und zurück abbildet, sodass ein Betreiber schrittweise statt in einem einzigen Cutover migrieren kann. Ein gängiges Muster belässt RADIUS am Zugangsrand (WLAN, Festnetz-Breitband), während der Core-AAA, Policy und Charging auf DIAMETER laufen, mit einem Translation-Gateway dazwischen. Neue LTE-, IMS- und 5G-Schnittstellen sind DIAMETER-nativ, sodass der RADIUS-Fußabdruck mit der Zeit auf den Legacy-Zugang schrumpft.
Häufig gestellte Fragen
Warum löste DIAMETER RADIUS ab?
Weil RADIUS über unzuverlässiges UDP läuft, nur einen 256-Werte-Attributraum hat, keine Fähigkeitsverhandlung oder Standard-Failover und keine server-initiierten Nachrichten bietet. DIAMETER ergänzt zuverlässigen SCTP/TCP-Transport, Watchdog-Failover, einen 32-Bit-AVP-Raum, CER/CEA-Fähigkeitsverhandlung, server-initiierte Neuautorisierung, Realm-Routing und TLS/IPsec — alles, was ein Mobilfunk-Core braucht.
Ist DIAMETER abwärtskompatibel mit RADIUS?
Nicht auf der Wire — es sind verschiedene Protokolle —, aber DIAMETER wurde so entworfen, dass es über einen Translation-Agent zusammenwirkt, der RADIUS-Attribute auf Diameter-AVPs und zurück abbildet. So können Betreiber RADIUS am Zugangsrand belassen, während sie DIAMETER im Core betreiben, und schrittweise statt in einem Cutover migrieren.
Welchen Transport nutzt DIAMETER statt UDP?
DIAMETER läuft über SCTP oder TCP, beide zuverlässig, wobei SCTP für die Signalisierung wegen Multi-Streaming und Multi-Homing bevorzugt wird. Zuverlässiger Transport plus der Watchdog aus RFC 3539 gibt DIAMETER die Zustellgarantien und das Peer-Failover, die RADIUS über UDP nie hatte.
Wie ist der DIAMETER-AVP-Raum größer als RADIUS-Attribute?
RADIUS nutzt einen Ein-Oktett-Attribut-Type (256 Werte) und eine Ein-Oktett-Länge (max. 255 Oktette). DIAMETER nutzt einen 32-Bit-AVP-Code mit einem Vendor-Namensraum und eine 24-Bit-Länge, plus Grouped-AVPs, was praktisch unbegrenzte Attribute und große, strukturierte Werte ergibt.
Können DIAMETER und RADIUS im selben Netz laufen?
Ja. Ein typisches Deployment belässt RADIUS am Zugangsrand (WLAN, Festnetz-Breitband) und betreibt DIAMETER für Core-AAA, Policy (Gx) und Charging (Gy), mit einem Translation-Gateway dazwischen. LTE-, IMS- und 5G-Schnittstellen sind DIAMETER-nativ, sodass der RADIUS-Fußabdruck allmählich auf den Legacy-Zugang schrumpft.
Quellenspezifikationen
Diese Seite basiert auf den veröffentlichten Standards. (Wird in einem neuen Tab geöffnet.)