DIAMETER ha sostituito RADIUS per l'AAA su scala operatore perché RADIUS gira su UDP inaffidabile senza failover, uno spazio attributi di 1 ottetto e sicurezza debole. DIAMETER aggiunge trasporto affidabile SCTP/TCP, negoziazione esplicita delle capacità, uno spazio AVP a 32 bit, scoperta dei peer, codici di errore per messaggio e TLS/IPsec — mantenendo lo stesso modello basato su AVP, così i translation agent possono fare da ponte tra i due.
Dove RADIUS si è rivelato insufficiente
RADIUS (RFC 2865) fu progettato negli anni '90 per l'accesso di rete dial-up: un client invia un Access-Request su UDP e spera in un Access-Accept. Quel modello non scala verso un core mobile. UDP non offre consegna affidabile, quindi il rilevamento delle perdite e la ritrasmissione sono lasciati all'applicazione. Non esiste un messaggio avviato dal server, quindi una rete non può terminare o riautorizzare proattivamente una sessione. Il campo Type dell'attributo è un singolo ottetto (256 valori), la sicurezza a segreto condiviso è debole e non esiste failover integrato tra server. Quando LTE ha richiesto re-auth avviato dal server, trasporto affidabile e uno spazio attributi molto più ampio, RADIUS ha esaurito lo spazio.
Cosa ha aggiunto DIAMETER
DIAMETER ha mantenuto l'idea dell'AVP ma ha ricostruito il protocollo attorno ai requisiti dell'operatore. Gira su SCTP o TCP affidabili, quindi consegna, ordinamento e ritrasmissione sono gestiti dal trasporto, e definisce un failover esplicito tra peer usando il watchdog. Negozia le capacità al momento della connessione (CER/CEA) così i peer si accordano sulle applicazioni prima che scorra il traffico. Il suo AVP Code è a 32 bit con uno spazio vendor, offrendo attributi praticamente illimitati. Supporta messaggi avviati dal server (Re-Auth, Abort-Session). E definisce un modello di errore strutturato con codici di esito distinti transitori e permanenti, oltre a TLS/DTLS e IPsec per la sicurezza.
DIAMETER vs RADIUS a colpo d'occhio
I due protocolli condividono un'origine comune ma differiscono su ogni proprietà che conta per un piano di controllo di operatore. La tabella seguente riassume le differenze pratiche che un operatore valuta quando sposta l'AAA da RADIUS a DIAMETER.
| Proprietà | RADIUS | Diameter |
|---|---|---|
| Trasporto | UDP (non affidabile) | SCTP o TCP (affidabile) |
| Consegna / failover | A livello di applicazione, nessun failover standard | Trasporto affidabile + failover tramite watchdog (RFC 3539) |
| Spazio degli attributi | Tipo a 1 ottetto (256 valori) | Codice AVP a 32 bit + spazio del vendor |
| Dimensione dell'attributo | Lunghezza di 1 ottetto (massimo 255 ottetti) | Lunghezza a 24 bit (valori grandi, AVP raggruppati) |
| Negoziazione delle capacità | Nessuno | CER/CEA in fase di configurazione della connessione |
| Messaggi avviati dal server | No (CoA/Disconnessione aggiunti in seguito, RFC 5176) | Sì — Re-Auth (RAR), Abort-Session (ASR) |
| Rilevamento dei peer | Configurazione statica | Instradamento per realm + rilevamento dinamico (DNS/SRV) |
| Gestione degli errori | Implicito (accettare/rifiutare) | Intervalli di Result-Code espliciti 1xxx–5xxx |
| Sicurezza | Segreto condiviso, offuscamento MD5 | TLS / DTLS / IPsec |
Instradamento per realm e scoperta dei peer
RADIUS instrada tramite proxy con configurazione statica. DIAMETER instrada sull'AVP Destination-Realm: un nodo inoltra un messaggio verso il realm che possiede l'utente, usando una tabella di instradamento basata su realm, e può scoprire i peer dinamicamente tramite record DNS NAPTR/SRV anziché host configurati a mano. Questo modello a realm è ciò che fa funzionare il roaming DIAMETER inter-operatore — una rete visitata instrada una richiesta S6a verso il realm home senza conoscere in anticipo l'indirizzo dell'HSS home — ed è lo stesso instradamento che i Diameter Routing Agent ed Edge Agent controllano al confine.
Migrazione e translation agent
Poiché entrambi i protocolli sono basati su AVP, DIAMETER è stato progettato per interoperare con RADIUS tramite un translation agent che mappa gli attributi RADIUS su AVP DIAMETER e viceversa, così un operatore può migrare in modo incrementale anziché con un unico passaggio. Un pattern comune mantiene RADIUS al bordo di accesso (Wi-Fi, banda larga fissa) mentre l'AAA, la policy e il charging del core girano su DIAMETER, con un gateway di traduzione tra loro. Le nuove interfacce LTE, IMS e 5G sono native DIAMETER, quindi nel tempo l'impronta di RADIUS si riduce all'accesso legacy.
Domande frequenti
Perché DIAMETER ha sostituito RADIUS?
Perché RADIUS gira su UDP inaffidabile, ha uno spazio attributi di soli 256 valori, non offre negoziazione delle capacità né failover standard, e non ha messaggi avviati dal server. DIAMETER aggiunge trasporto affidabile SCTP/TCP, failover di watchdog, uno spazio AVP a 32 bit, negoziazione delle capacità CER/CEA, re-auth avviato dal server, instradamento per realm e TLS/IPsec — tutto ciò di cui un core mobile ha bisogno.
DIAMETER è retrocompatibile con RADIUS?
Non sul filo — sono protocolli diversi — ma DIAMETER è stato progettato per interoperare tramite un translation agent che mappa gli attributi RADIUS su AVP DIAMETER e viceversa. Questo consente agli operatori di mantenere RADIUS al bordo di accesso mentre eseguono DIAMETER nel core, migrando in modo incrementale anziché in un unico passaggio.
Quale trasporto usa DIAMETER al posto di UDP?
DIAMETER gira su SCTP o TCP, entrambi affidabili, con SCTP preferito per la segnalazione grazie a multi-streaming e multi-homing. Il trasporto affidabile più il watchdog della RFC 3539 conferiscono a DIAMETER le garanzie di consegna e il failover dei peer che RADIUS su UDP non ha mai avuto.
In che modo lo spazio AVP di DIAMETER è più ampio degli attributi RADIUS?
RADIUS usa un Type di attributo a singolo ottetto (256 valori) e una length a singolo ottetto (max 255 ottetti). DIAMETER usa un AVP Code a 32 bit con uno spazio di nomi vendor e una length a 24 bit, oltre agli AVP Grouped, offrendo attributi praticamente illimitati e valori ampi e strutturati.
DIAMETER e RADIUS possono coesistere nella stessa rete?
Sì. Un tipico dispiegamento mantiene RADIUS al bordo di accesso (Wi-Fi, banda larga fissa) ed esegue DIAMETER per l'AAA del core, la policy (Gx) e il charging (Gy), con un gateway di traduzione tra loro. Le interfacce LTE, IMS e 5G sono native DIAMETER, quindi l'impronta di RADIUS si riduce gradualmente all'accesso legacy.
Specifiche della fonte
Gli standard pubblicati su cui si basa questa pagina. Si apre in una nuova scheda.