# DIAMETER против RADIUS: почему DIAMETER заменил RADIUS

> DIAMETER заменил RADIUS в AAA операторского масштаба, потому что RADIUS работает поверх ненадёжного UDP без failover, с 1-октетным пространством атрибутов и слабой безопасностью. DIAMETER добавляет надёжный транспорт SCTP/TCP, явное согласование возможностей, 32-битное пространство AVP, обнаружение пиров, коды ошибок для каждого сообщения и TLS/IPsec — сохраняя ту же модель на основе AVP, поэтому агенты трансляции могут связать оба.

- Канонический URL: https://www.broadnet.me/ru/reference/diameter-vs-radius
- Язык: ru
- Последнее обновление: 2026-07-18
- Издатель: BroadNet (https://www.broadnet.me)

Почему DIAMETER (RFC 6733) вытеснил RADIUS (RFC 2865) в операторском AAA: надёжный транспорт SCTP и failover, согласование возможностей, гораздо большее 32-битное пространство AVP, обнаружение пиров, богатая обработка ошибок и более сильная безопасность — со сравнительной таблицей и заметками о миграции.

## Где RADIUS оказался недостаточен

RADIUS (RFC 2865) был спроектирован в 1990-х для доступа по коммутируемым линиям: клиент отправляет Access-Request поверх UDP и надеется на Access-Accept. Эта модель не масштабируется на мобильное ядро. UDP не даёт надёжной доставки, поэтому обнаружение потерь и повторная передача возложены на приложение. Нет сообщения, инициируемого сервером, поэтому сеть не может проактивно завершить или переавторизовать сессию. Поле Type атрибута — это один октет (256 значений), безопасность на общем секрете слабая, а встроенного failover между серверами нет. Когда LTE потребовал переавторизации по инициативе сервера, надёжного транспорта и гораздо большего пространства атрибутов, RADIUS исчерпал ресурсы.

## Что добавил DIAMETER

DIAMETER сохранил идею AVP, но перестроил протокол вокруг требований оператора. Он работает поверх надёжного SCTP или TCP, поэтому доставка, упорядочивание и повторная передача обрабатываются транспортом, и он определяет явный failover между пирами с помощью watchdog. Он согласует возможности при установлении соединения (CER/CEA), чтобы пиры договорились о приложениях до того, как пойдёт трафик. Его AVP Code имеет 32 бита с вендорским пространством, что даёт практически неограниченное число атрибутов. Он поддерживает сообщения, инициируемые сервером (Re-Auth, Abort-Session). И он определяет структурированную модель ошибок с раздельными временными и постоянными кодами результата, плюс TLS/DTLS и IPsec для безопасности.

## DIAMETER против RADIUS с первого взгляда

Оба протокола имеют общее происхождение, но различаются по каждому свойству, важному для плоскости управления оператора. В таблице ниже сведены практические различия, которые оператор взвешивает при переносе AAA с RADIUS на DIAMETER.

*DIAMETER (RFC 6733) против RADIUS (RFC 2865)*

| Свойство | RADIUS | Diameter |
|---|---|---|
| Транспорт | UDP (ненадёжный) | SCTP или TCP (надёжный) |
| Доставка / переключение при отказе | На уровне приложений, стандартного переключения при сбое нет | Надёжный транспорт + переключение по watchdog (RFC 3539) |
| Пространство атрибутов | Тип размером 1 октет (256 значений) | 32-битный AVP Code + пространство производителя |
| Размер атрибута | Длина 1 октет (максимум 255 октетов) | 24-битная длина (большие значения, Grouped AVP) |
| Согласование возможностей | Нет | CER/CEA при установлении соединения |
| Сообщения, инициированные сервером | Нет (CoA/Disconnect добавлены позже, RFC 5176) | Да — Re-Auth (RAR), Abort-Session (ASR) |
| Обнаружение пиров | Статическая конфигурация | Маршрутизация по realm + динамическое обнаружение (DNS/SRV) |
| Обработка ошибок | Неявно (принять/отклонить) | Явные диапазоны Result-Code 1xxx–5xxx |
| Безопасность | Общий секрет, сокрытие с помощью MD5 | TLS / DTLS / IPsec |

## Маршрутизация по реалмам и обнаружение пиров

RADIUS проксирует по статической конфигурации. DIAMETER маршрутизирует по AVP Destination-Realm: узел пересылает сообщение в сторону реалма, которому принадлежит пользователь, используя таблицу маршрутизации на основе реалмов, и может обнаруживать пиры динамически через записи DNS NAPTR/SRV, а не через жёстко заданные хосты. Именно эта модель реалмов заставляет работать межоператорский роуминг DIAMETER — гостевая сеть маршрутизирует запрос S6a в домашний реалм, не зная заранее адреса домашнего HSS, — и это та же маршрутизация, которую контролируют Diameter Routing Agent и Edge Agent на границе.

## Миграция и агенты трансляции

Поскольку оба протокола основаны на AVP, DIAMETER был спроектирован для взаимодействия с RADIUS через агент трансляции, который сопоставляет атрибуты RADIUS с AVP DIAMETER и обратно, чтобы оператор мог мигрировать поэтапно, а не одним переключением. Распространённый шаблон оставляет RADIUS на границе доступа (Wi-Fi, фиксированный ШПД), в то время как ядро AAA, политика и тарификация работают на DIAMETER, с трансляционным шлюзом между ними. Новые интерфейсы LTE, IMS и 5G изначально построены на DIAMETER, поэтому со временем присутствие RADIUS сокращается до унаследованного доступа.

## Частые вопросы

### Почему DIAMETER заменил RADIUS?

Потому что RADIUS работает поверх ненадёжного UDP, имеет пространство атрибутов всего в 256 значений, не предлагает согласования возможностей или стандартного failover, и не имеет сообщений, инициируемых сервером. DIAMETER добавляет надёжный транспорт SCTP/TCP, failover через watchdog, 32-битное пространство AVP, согласование возможностей CER/CEA, переавторизацию по инициативе сервера, маршрутизацию по реалмам и TLS/IPsec — всё, что нужно мобильному ядру.

### Обратно совместим ли DIAMETER с RADIUS?

Не на уровне канала — это разные протоколы, — но DIAMETER был спроектирован для взаимодействия через агент трансляции, который сопоставляет атрибуты RADIUS с AVP DIAMETER и обратно. Это позволяет операторам оставить RADIUS на границе доступа, запуская DIAMETER в ядре, и мигрировать поэтапно, а не одним переключением.

### Какой транспорт использует DIAMETER вместо UDP?

DIAMETER работает поверх SCTP или TCP, оба надёжны, причём для сигнализации предпочтителен SCTP из-за мультиплексирования потоков и мультихоуминга. Надёжный транспорт плюс watchdog из RFC 3539 дают DIAMETER гарантии доставки и failover пиров, которых у RADIUS поверх UDP никогда не было.

### Насколько пространство AVP DIAMETER больше атрибутов RADIUS?

RADIUS использует однооктетный Type атрибута (256 значений) и однооктетную длину (максимум 255 октетов). DIAMETER использует 32-битный AVP Code с вендорским пространством имён и 24-битную длину, плюс Grouped AVP, что даёт практически неограниченное число атрибутов и большие структурированные значения.

### Могут ли DIAMETER и RADIUS работать в одной сети?

Да. Типичное развёртывание оставляет RADIUS на границе доступа (Wi-Fi, фиксированный ШПД) и запускает DIAMETER для ядра AAA, политики (Gx) и тарификации (Gy), с трансляционным шлюзом между ними. Интерфейсы LTE, IMS и 5G изначально построены на DIAMETER, поэтому присутствие RADIUS постепенно сокращается до унаследованного доступа.

## Источники

- [IETF RFC 6733 — Diameter Base Protocol](https://datatracker.ietf.org/doc/html/rfc6733)
- [IETF RFC 2865 — Remote Authentication Dial In User Service (RADIUS)](https://datatracker.ietf.org/doc/html/rfc2865)

## См. также

- [Базовый протокол DIAMETER (RFC 6733)](https://www.broadnet.me/ru/reference/diameter-base-protocol)
- [AVP DIAMETER и формат сообщений](https://www.broadnet.me/ru/reference/diameter-avps-and-message-format)
- [DIAMETER S6a/S6d к HSS](https://www.broadnet.me/ru/reference/diameter-s6a-s6d-hss)
- [Безопасность роуминга DIAMETER (DRA/DEA)](https://www.broadnet.me/ru/reference/diameter-roaming-security-dra-dea)
- [Разработчикам](https://www.broadnet.me/ru/developers)