RADIUS Accounting: Protokollierung von Sitzungen, Nutzung und Audit-Logs
Dieser Leitfaden bietet eine umfassende technische Referenz zum RADIUS Accounting - wie es Daten zum Start, Stopp und zu Zwischenaktualisierungen (Interim-Updates) von WiFi Sitzungen aufzeichnet, welche Attribute erfasst werden und wie diese Daten für Sicherheitsprüfungen, die Einhaltung der GDPR und die Kapazitätsplanung genutzt werden können. Es ist eine unverzichtbare Lektüre für Netzwerkbetriebs- und Sicherheitsteams, die belastbare Audit-Trails aus WiFi Authentifizierungsereignissen benötigen, sowie für Betreiber von Veranstaltungsorten, die Sitzungsdaten in SIEM-Plattformen und Analyse-Dashboards integrieren möchten.
Video overview
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Teil unserer Kernserie: The Enterprise WiFi Security Guide →
RADIUS accounting sizing and session audit advisor
Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.
RADIUS packet rate and database write analysis
RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.
- Accounting-Start: 0.04 req/s average baseline
- Interim-Update: 3.33 req/s continuous heartbeat flow
- Accounting-Stop: 0.04 req/s closure telemetry
- Morning rush burst (2.5x): 8.5 requests per second peak
- Daily table growth: 39.3 MB / 24-hour cycle
- 90-day retention total: 3.5 GB uncompressed index pool
- Recommended SQL pooling: Minimum 8 worker threads
- Table partitioning: Standard B-tree indexes sufficient
Executive Summary
Für Enterprise-IT- und Netzwerkbetriebsteams ist die Authentifizierung von Benutzern in einem WiFi Netzwerk nur die halbe Miete. Sobald ein Gerät verbunden ist, ist es für die Sicherheit, die Kapazitätsplanung und die Einhaltung gesetzlicher Vorschriften von entscheidender Bedeutung zu verstehen, was dieses Gerät tut - wie lange es verbunden bleibt, wie viele Daten es verbraucht und wann es die Verbindung trennt. Hier wird RADIUS accounting unverzichtbar. Während die RADIUS Authentifizierung das Wer und Wie des Netzwerkzugriffs regelt, zeichnet RADIUS accounting akribisch das Was, Wann und Wie viel auf.
Dieser Leitfaden bietet einen tiefen technischen Einblick in das RADIUS accounting und untersucht die Funktionsweise von Start-, Stop- und Interim-Update-Paketen sowie die Attribute, die sie so wertvoll machen. Er beschreibt, wie Betreiber von Standorten in den Bereichen Hotellerie, Einzelhandel und anderen Sektoren diese Daten nutzen können, um lückenlose Audit Trails zu führen, die Einhaltung der GDPR zu gewährleisten und verwertbare Informationen in SIEM-Plattformen oder WiFi Analytics-Systeme einzuspeisen. Durch die Beherrschung von RADIUS accounting können Netzwerkarchitekten rohe Sitzungsprotokolle in strategische Vermögenswerte verwandeln, die die betriebliche Effizienz steigern und Risiken minimieren.
Technischer Deep-Dive
RADIUS accounting vs. RADIUS Authentifizierung
RADIUS (Remote Authentication Dial-In User Service), definiert in RFC 2865 und für das Accounting in RFC 2866 erweitert, arbeitet nach einem Client-Server-Modell. In einer typischen Enterprise WiFi Bereitstellung fungiert der Access Point (AP) oder Wireless LAN Controller (WLC) als Network Access Server (NAS) - der RADIUS Client. Der RADIUS Server (z. B. FreeRADIUS, Cisco ISE, Aruba ClearPass) empfängt und verarbeitet Anfragen.
Die Unterscheidung zwischen Authentifizierung und Accounting ist grundlegend:
| Dimension | RADIUS Authentifizierung | RADIUS accounting |
|---|---|---|
| Zweck | Identität überprüfen und Zugriff gewähren/verweigern | Sitzungsnutzung und -aktivität aufzeichnen |
| UDP-Port | 1812 | 1813 |
| RFC-Referenz | RFC 2865 | RFC 2866 |
| Pakettypen | Access-Request, Access-Accept, Access-Reject | Accounting-Request (Start/Stop/Interim) |
| Erfasste Daten | Anmeldedaten, VLAN-Zuweisung, Richtlinie | Sitzungsdauer, übertragene Bytes, IP-Adresse |
| Rolle bei Compliance | Zugriffskontrolle | Audit Trail, rechtmäßige Überwachung |
Für Teams, die Guest WiFi in großem Umfang bereitstellen, sind beide Funktionen erforderlich - aber das Accounting ist diejenige, die Ihre Compliance sichert und Sie rechtlich absichert.
Die drei Accounting-Pakettypen
RADIUS accounting basiert auf drei primären Accounting-Request-Pakettypen, die jeweils durch das Attribut Acct-Status-Type definiert sind:
Start (Acct-Status-Type = 1): Wird vom NAS gesendet, wenn sich ein Benutzer erfolgreich verbindet und eine Sitzung beginnt. Es erstellt den Basisdatensatz in der Accounting-Datenbank und erfasst die Benutzeridentität, die MAC-Adresse des Geräts, die zugewiesene IP-Adresse und den AP, mit dem sich der Benutzer verbunden hat.
Interim-Update (Acct-Status-Type = 3): Wird regelmäßig während einer aktiven Sitzung gesendet. Diese Pakete liefern laufende Momentaufnahmen der aktuellen Nutzung - übertragene Bytes, Sitzungsdauer und Paketanzahl. Sie fungieren als Heartbeat, um zu bestätigen, dass die Sitzung noch aktiv ist, und bieten Einblick in lang laufende Sitzungen, ohne auf die Trennung der Verbindung warten zu müssen.
Stop (Acct-Status-Type = 2): Wird gesendet, wenn die Sitzung beendet wird - sei es durch eine vom Benutzer initiierte Trennung, einen AP-Reboot, ein Idle-Timeout oder ein Session-Timeout. Es enthält die finalen, kumulierten Statistiken für die gesamte Sitzung.
Abbildung 1: Der Lebenszyklus von RADIUS Accounting-Paketen während einer WiFi Sitzung.
Wichtige Accounting-Attribute
Um Sitzungen effektiv zu verfolgen und rechtssichere Audit-Logs zu erstellen, befüllt das NAS Accounting-Request-Pakete mit spezifischen Attributen. Die folgenden sind operativ am bedeutsamsten:
| Attribut | Beschreibung | Compliance-Relevanz |
|---|---|---|
| Acct-Session-Id | Eindeutige Sitzungskennung, die vom NAS generiert wird | Primärschlüssel zur Korrelation von Start-, Interim- und Stop-Datensätzen |
| User-Name | Authentifizierte Identität (Benutzername oder MAC-Adresse) | Ordnet die Sitzung einem bestimmten Benutzer oder Gerät zu |
| NAS-IP-Address | IP-Adresse des meldenden AP oder WLC | Identifiziert das Netzwerksegment und den physischen Standort |
| Framed-IP-Address | Dem Client-Gerät zugewiesene IP-Adresse | Kritisch für die Korrelation mit Firewall- und Web-Proxy-Protokollen |
| Calling-Station-Id | MAC-Adresse des Client-Geräts | Identität auf Geräteebene für den Audit-Trail |
| Called-Station-Id | MAC-Adresse des AP und SSID | Identifiziert das spezifische Funkmodul und Netzwerk, mit dem sich der Benutzer verbunden hat |
| Acct-Input-Octets | Vom Client empfangene Bytes | Bandbreitenüberwachung und Kapazitätsplanung |
| Acct-Output-Octets | An den Client gesendete Bytes | Bandbreitenüberwachung und Kapazitätsplanung |
| Acct-Session-Time | Sitzungsdauer in Sekunden | Verweildauer-Analysen und Abrechnung |
| Acct-Terminate-Cause | Grund für das Ende der Sitzung | Fehlerbehebung und Anomalieerkennung |
Für Teams, die mit 802.1X Authentifizierung arbeiten, enthält das Attribut User-Name die authentifizierte Identität aus dem EAP-Austausch, was einen umfassenderen Audit-Trail als die reine MAC-Authentication-Bypass (MAB) ermöglicht.
Implementierungsleitfaden
Die Bereitstellung einer robusten RADIUS-Accounting-Infrastruktur erfordert eine sorgfältige Konfiguration sowohl auf NAS- als auch auf RADIUS-Server-Ebene. Im Folgenden finden Sie einen herstellerneutralen Ansatz zur Einrichtung einer zuverlässigen Accounting-Pipeline.
Schritt 1: Konfigurieren des NAS (Access Points / Controller)
Die NAS-Konfiguration ist die Stelle, an der die meisten Implementierungen scheitern. Administratoren konfigurieren oft die Authentifizierung korrekt, belassen das Accounting jedoch auf den Standardeinstellungen oder deaktivieren es vollständig.
- Accounting-Server definieren: Geben Sie die IP-Adresse des RADIUS-Servers und das Shared Secret für den UDP-Port 1813 an. Konfigurieren Sie in High-Availability-Szenarien einen sekundären Accounting-Server, um Datenverlust bei Nichterreichbarkeit des primären Servers zu verhindern.
- Interim Updates aktivieren: Dies ist der wichtigste Konfigurationsschritt überhaupt. Legen Sie ein angemessenes Intervall fest - in der Regel 10 bis 15 Minuten für Enterprise-Bereitstellungen. Kürzere Intervalle (z. B. 1 Minute) bieten granularere Daten, erzeugen jedoch bei hoher Auslastung eine nicht tragbare Schreiblast; längere Intervalle (z. B. 30 Minuten) reduzieren den Overhead, verzögern jedoch die Sichtbarkeit aktiver Sitzungen.
- Zeitsynchronisation sicherstellen: Konfigurieren Sie NTP auf allen NAS-Geräten und dem RADIUS-Server. Genaue Zeitstempel sind für Audit-Logs und die SIEM-Korrelation unverzichtbar. Eine Abweichung der Systemzeit von bereits 5 Minuten kann ein Audit-Trail in einem rechtmäßigen Überwachungsszenario ungültig machen.
Schritt 2: Konfigurieren des RADIUS-Servers
- Datenbank-Integration: Konfigurieren Sie den RADIUS-Server so, dass Accounting-Daten in einer strukturierten relationalen Datenbank (z. B. PostgreSQL, MySQL) statt in einfachen Textdateien protokolliert werden. Die strukturierte Speicherung ermöglicht effiziente Abfragen, Indizierungen und die Integration in nachgelagerte Systeme. Stellen Sie sicher, dass Indizes für
Acct-Session-Id,User-Name,Framed-IP-Addressund den Sitzungsstart-Zeitstempel vorhanden sind. - Datenaufbewahrungsrichtlinien: Implementieren Sie automatisierte Archivierungs- oder Löschskripte, die Ihren Compliance-Anforderungen entsprechen. Die GDPR Artikel 5(1)(e) verlangt, dass Daten nicht länger als nötig aufbewahrt werden; die Gesetze zur rechtmäßigen Überwachung in vielen Ländern verlangen jedoch möglicherweise eine Aufbewahrung von bis zu 12 Monaten.
Schritt 3: Aufbau der Daten-Pipeline
Um den Wert von Accounting-Daten zu maximieren, müssen diese an Plattformen exportiert werden, auf denen sie abgefragt, korreliert und visualisiert werden können.
- SIEM-Integration: Konfigurieren Sie den RADIUS-Server oder die zugrunde liegende Datenbank so, dass Protokolle über Syslog oder eine REST API an Ihr SIEM (z. B. Splunk, Microsoft Sentinel, IBM QRadar) weitergeleitet werden. Dies ermöglicht es Sicherheitsteams, WiFi Authentifizierungsereignisse mit Firewall-Sperren, Einbruchserkennungsalarmen oder Triggern zur Vermeidung von Datenverlust zu korrelieren.
- Analyse-Integration: Leiten Sie Sitzungsdaten in Plattformen wie die WiFi Analytics von Purple weiter, um Rohdaten und MAC-Adressen in verwertbare Erkenntnisse über Besucherzahlen, Verweildauer und Spitzenzeiten umzuwandeln. Dies ist besonders wertvoll für Betreiber in den Bereichen Retail und Hospitality, die ihre Personaleinsatz- und Infrastrukturinvestitionen an tatsächlichen Nutzungsmustern ausrichten müssen.
Abbildung 2: Die RADIUS-Accounting-Datenpipeline von Access Points zu SIEM- und Analyseplattformen.
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.
Best Practices
Interim Updates immer verwenden. Sich ausschließlich auf Start- und Stop-Pakete zu verlassen, führt zu betrieblichen Blind Spots. Eine getrennte Verbindung oder ein Stromausfall am AP kann dazu führen, dass kein Stop-Paket gesendet wird, wodurch eine veraltete Sitzung dauerhaft in der Datenbank verbleibt. Interim Updates bieten den Mechanismus, um diese veralteten Sitzungen zu erkennen und zu schließen. Die Faustregel lautet: Wenn eine Sitzung innerhalb des Zwei- bis Dreifachen des konfigurierten Intervalls kein Interim Update gesendet hat, betrachten Sie sie als beendet.
RADIUS Accounting mit DHCP-Protokollen korrelieren. RADIUS Accounting liefert die Framed-IP-Address, aber die DHCP-Lease-Zeiten können in einigen Umgebungen kürzer sein als die Sitzungsdauer. Das Führen von DHCP-Protokollen parallel zu RADIUS-Protokollen bietet einen stabileren Audit-Trail, insbesondere an Standorten mit hoher Dichte, an denen IP-Adressen häufig neu vergeben werden.
Transport mit RadSec sichern. Herkömmlicher RADIUS-Verkehr wird über UDP mit minimaler Verschlüsselung übertragen - nur das Benutzerpasswort-Feld wird unkenntlich gemacht. Verwenden Sie in verteilten Implementierungen, insbesondere bei solchen, die sich über mehrere Standorte erstrecken oder auf in der Cloud gehosteten RADIUS-Servern basieren, RadSec (RADIUS über TLS, definiert in RFC 6614) oder IPsec-Tunnel, um Accounting-Daten während der Übertragung zu schützen. Dies ist eine Anforderung gemäß PCI-DSS 4.0 für jedes Netzwerk, das Karteninhaberdaten verarbeitet.
Die Accounting-Warteschlange überwachen. Wenn der RADIUS-Server nicht erreichbar ist, stellen NAS-Geräte Accounting-Pakete lokal in eine Warteschlange. Überwachen Sie diese Warteschlangenlänge; eine volle Warteschlange führt zu verworfenen Paketen und verlorenen Audit-Daten. Konfigurieren Sie Warnmeldungen für die Warteschlangentiefe und implementieren Sie einen sekundären Accounting-Server für Hochverfügbarkeits-Bereitstellungen.
Authentifizierungs- und Accounting-Server bei hoher Skalierung trennen. In Umgebungen mit mehr als 5.000 gleichzeitigen Benutzern kann die Schreiblast durch das Accounting die Antwortzeiten bei der Authentifizierung beeinträchtigen. Dedizierte Accounting-Server mit separaten Datenbankinstanzen verhindern diese Konflikte.
Fehlerbehebung & Risikominderung
Das Problem veralteter Sitzungen (Stale Sessions)
Symptom: Die RADIUS-Datenbank zeigt an, dass ein Benutzer seit 48 Stunden verbunden ist, obwohl der Standort über Nacht geschlossen war.
Ursache: Das NAS hat kein Stop-Paket gesendet - meist aufgrund eines Stromausfalls, eines AP-Neustarts oder einer Netzwerkunterbrechung - und das Paket wurde nie vom RADIUS-Server empfangen.
Fehlerbehebung: Implementieren Sie ein Bereinigungsskript für abgelaufene Sitzungen auf dem RADIUS-Server. Das Skript sollte regelmäßig nach aktiven Sitzungen suchen, bei denen das letzte empfangene Paket (Start oder Interim-Update) älter als ein definierter Schwellenwert ist (z. B. das 2,5-fache des Interim-Update-Intervalls). Sitzungen, die diesen Schwellenwert überschreiten, sollten manuell mit einem künstlichen Stop-Datensatz geschlossen werden, wobei die Ursache für die Beendigung als "Lost-Carrier" oder "Admin-Reset" angegeben wird.
Hohe RADIUS-Server-CPU- und I/O-Last
Symptom: Die Antwortzeiten bei der Authentifizierung verschlechtern sich während der Stoßzeiten; der RADIUS-Server meldet eine hohe CPU- und Festplatten-I/O-Last.
Ursache: Ein zu aggressiv gewähltes Interim-Update-Intervall (z. B. 1 Minute) auf Tausenden von APs erzeugt ein nicht tragbares Volumen an Datenbank-Schreibvorgängen.
Mitigation: Erhöhen Sie das Interim-Update-Intervall auf 15 Minuten. Überprüfen Sie, ob die Accounting-Datenbank über geeignete Indizes verfügt. Erwägen Sie die Aufteilung von Authentifizierung und Accounting auf dedizierte Serverinstanzen. Prüfen Sie, ob eine Time-Series-Datenbank (z. B. InfluxDB) für große Mengen an Accounting-Daten besser geeignet ist als eine relationale Datenbank.
Fehlende Framed-IP-Address in Accounting-Datensätzen
Symptom: RADIUS-Accounting-Datensätze sind vorhanden, aber das Feld Framed-IP-Address ist leer oder fehlt, was eine IP-zu-MAC-Korrelation unmöglich macht.
Fehlerursache: Der NAS sendet das Start-Paket möglicherweise, bevor der DHCP-Server dem Client eine IP-Adresse zugewiesen hat. Die IP ist erst nach Abschluss des DHCP-Austauschs verfügbar.
Mitigation: Konfigurieren Sie den NAS so, dass das Senden des Start-Pakets bis nach der DHCP-Zuweisung verzögert wird, sofern die Plattform dies unterstützt. Weichen Sie alternativ auf die Interim-Update-Pakete aus, die nach der DHCP-Zuweisung gesendet werden und die Framed-IP-Address enthalten. Stellen Sie sicher, dass Ihre Audit-Abfragen dies berücksichtigen, indem Sie Interim-Update-Datensätze prüfen, falls der Start-Datensatz keine IP enthält.
ROI & geschäftliche Auswirkungen
Die Implementierung eines robusten RADIUS-Accountings liefert messbaren geschäftlichen Nutzen in drei Dimensionen:
Compliance und Minimierung rechtlicher Risiken. Im Falle eines Sicherheitsvorfalls, einer Auskunftsanfrage betroffener Personen gemäß GDPR oder einer rechtmäßigen Überwachungsanordnung liefern präzise Accounting-Protokolle den erforderlichen Audit-Trail, um festzustellen, welcher Benutzer oder welches Gerät zu einem bestimmten Zeitpunkt eine bestimmte IP-Adresse zugewiesen hatte. Ohne diese Daten drohen Unternehmen regulatorische Strafen gemäß GDPR (bis zu 4 % des weltweiten Jahresumsatzes) und Reputationsschäden. Die Kosten für die Implementierung einer ordnungsgemäßen Accounting-Infrastruktur sind ein Bruchteil der Kosten eines einzigen behördlichen Durchsetzungsverfahrens.
Kapazitätsplanung und Infrastruktur-ROI. Durch die Analyse der Trends von Acct-Input-Octets und Acct-Output-Octets im Laufe der Zeit können Netzwerkarchitekten Muster beim Bandbreitenverbrauch, Spitzenlastzeiten und die spezifischen APs oder SSIDs identifizieren, die die höchste Last verursachen. Diese Daten fließen direkt in Entscheidungen über WAN-Upgrades und Strategien zur Platzierung von APs ein, um sicherzustellen, dass Investitionen in die Infrastruktur dort getätigt werden, wo sie die größte Wirkung erzielen. Für Transport-Knotenpunkte und große Veranstaltungsorte kann dies erhebliche Einsparungen bei den Investitionsausgaben bedeuten.
Erweiterte Analysen und Venue Intelligence. Wenn RADIUS-Sitzungsdaten mit Plattformen wie Purple's WiFi Analytics und Sensors kombiniert werden, verwandeln sich die rohen Accounting-Daten in wertvolle Erkenntnisse für Ihren Standort. Kennzahlen zur Verweildauer basierend auf der Sitzungsdauer, die Identifizierung wiederkehrender Besucher anhand des Verlaufs der Calling-Station-Id und Analysen der Spitzenbelegung durch gleichzeitige Sitzungszahlen werden damit nutzbar. Für Betreiber im Bereich Hospitality liefert diese Datenbasis direkte Erkenntnisse für Personalmodelle, die Platzierung von Speisen und Getränken sowie personalisierte Marketingstrategien. Weitere Informationen darüber, wie die WiFi-Infrastruktur diese Funktionen unterstützt, finden Sie in unseren Leitfäden über Wireless Access Points und Moderne WiFi-Lösungen für das Gastgewerbe.
Schlüsseldefinitionen
RADIUS-Accounting
Der Prozess des Erfassens und Aufzeichnens von Daten über den Netzwerkressourcenverbrauch von Benutzern, einschließlich der Start- und Endzeiten von Sitzungen, des übertragenen Datenvolumens und der IP-Adresszuweisung. Definiert in RFC 2866.
Unerlässlich für Abrechnung, Kapazitätsplanung, GDPR-Konformität und die Aufrechterhaltung von Sicherheits-Audit-Trails in jeder WiFi-Bereitstellung in Unternehmen.
Acct-Status-Type
Ein RADIUS-Attribut (Attribut-ID 40), das den Zweck eines Accounting-Pakets angibt. Zu den Werten gehören Start (1), Stop (2) und Interim-Update (3).
Wird vom RADIUS-Server verwendet, um zu bestimmen, ob ein neuer Sitzungsdatensatz erstellt, ein bestehender aktualisiert oder geschlossen werden soll. Das grundlegendste Attribut in jedem Accounting-Paket.
Interim-Update
Ein periodisches RADIUS-Accounting-Paket, das während einer aktiven Sitzung vom NAS gesendet wird, um aktuelle Nutzungsstatistiken wie übertragene Bytes und Sitzungsdauer zu melden.
Kritisch für die Verfolgung langlebiger Sitzungen und die Erkennung inaktiver Sitzungen, wenn ein Client die Verbindung unerwartet trennt, ohne ein Stop-Paket zu senden.
Acct-Session-Id
Eine vom NAS generierte eindeutige Zeichenfolge zur Identifizierung einer bestimmten Benutzerverbindungsinstanz. Dieser Wert ist über alle Accounting-Pakete (Start, Interim-Update, Stop) für dieselbe Sitzung hinweg konsistent.
Der Primärschlüssel zur Korrelation aller Accounting-Datensätze, die zur selben Sitzung gehören. Ohne diesen ist es unmöglich, einen vollständigen Sitzungsverlauf zu rekonstruieren.
NAS (Network Access Server)
Das Gerät - in der Regel ein Wireless Access Point oder Wireless LAN Controller -, das den physischen Zugriff auf das Netzwerk steuert und als RADIUS-Client fungiert, der Accounting-Pakete generiert und sendet.
Der NAS ist für die Richtigkeit und Vollständigkeit der Accounting-Daten verantwortlich. Fehlkonfigurationen auf NAS-Ebene (z. B. deaktiviertes Accounting, fehlende Attribute) können auf RADIUS-Server-Ebene nicht behoben werden.
Framed-IP-Address
Die dem Client-Gerät für die Dauer der Sitzung zugewiesene IP-Adresse, die in den RADIUS-Accounting-Paketen enthalten ist.
Entscheidend für die Korrelation von RADIUS-Accounting-Protokollen mit anderen Netzwerkprotokollen wie Firewall-, Web-Proxy- oder DNS-Protokollen. Das Fehlen dieses Attributs macht eine IP-zu-Gerät-Korrelation unmöglich.
Calling-Station-Id
In der Regel die MAC-Adresse des Client-Geräts, das eine Verbindung zum Netzwerk herstellt, formatiert als hexadezimale Zeichenfolge mit Doppelpunkten (z. B. AA:BB:CC:DD:EE:FF).
Wird verwendet, um das spezifische Hardwaregerät unabhängig von der ihm zugewiesenen IP-Adresse zu identifizieren. Der Anker auf Geräteebene des Audit-Trails.
Acct-Terminate-Cause
Ein in Stop-Paketen enthaltenes Attribut, das den Grund für das Ende einer Sitzung angibt. Zu den gängigen Werten gehören User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout und Admin-Reset.
Wertvoll für die Fehlerbehebung bei Konnektivitätsproblemen und für die Erkennung von Anomalien - beispielsweise kann eine hohe Rate an Lost-Carrier-Beendigungen an einem bestimmten AP auf ein Hardware- oder Interferenzproblem hinweisen.
RadSec
RADIUS über TLS (Transport Layer Security), definiert in RFC 6614. Bietet einen verschlüsselten und authentifizierten Transport für RADIUS-Pakete und ersetzt den herkömmlichen UDP-basierten Transport.
Erforderlich in jeder Bereitstellung, bei der der RADIUS-Verkehr über nicht vertrauenswürdige Netzwerke läuft (z. B. mit dem Internet verbundene Cloud-RADIUS-Server). Wird von PCI-DSS 4.0 zunehmend für Karteninhaber-Datenumgebungen vorgeschrieben.
Ausgearbeitete Beispiele
Ein Hotel mit 300 Zimmern und Konferenzeinrichtungen führt ein neues Gäste-WiFi-Netzwerk ein. Der IT-Leiter muss sicherstellen, dass die Bereitstellung die Anforderungen der GDPR zur Datenminimierung und Vollständigkeit der Audit-Trails erfüllt und gleichzeitig dem Marketingteam Analysen zur Verweildauer und zu wiederkehrenden Besuchern liefert. Das Hotel nutzt einen in der Cloud gehosteten RADIUS Server und Cisco Meraki APs.
Die Bereitstellung sollte wie folgt konfiguriert werden: Navigieren Sie im Meraki-Dashboard zu "Netzwerkweit > RADIUS-Server" und fügen Sie den Cloud-RADIUS-Server auf Port 1813 mit einem starken gemeinsamen Geheimnis (Shared Secret) hinzu. Aktivieren Sie das Accounting und stellen Sie das Intervall für Zwischenaktualisierungen (Interim-Updates) auf 15 Minuten ein. Konfigurieren Sie auf dem RADIUS Server das Accounting so, dass in eine PostgreSQL-Datenbank mit folgendem Schema geschrieben wird: session_id (Primärschlüssel), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause. Implementieren Sie eine Richtlinie zur Datenaufbewahrung, die Datensätze, die älter als 12 Monate sind, automatisch in einen Cold Storage archiviert und Datensätze, die älter als 24 Monate sind, löscht, was im Verzeichnis von Verarbeitungstätigkeiten des Hotels gemäß GDPR dokumentiert wird. Konfigurieren Sie eine Purple WiFi Analytics-Integration zur Erfassung der Sitzungsdaten, um dem Marketingteam Zugriff auf Berichte zur Verweildauer und Dashboards zur Häufigkeit wiederkehrender Besucher zu ermöglichen. Stellen Sie sicher, dass NTP auf allen Meraki APs und dem RADIUS Server auf 1 Sekunde genau synchronisiert ist.
Eine Einzelhandelskette mit 150 Filialen muss die Anforderungen von PCI-DSS 4.0 zur Überwachung des Netzwerkzugriffs erfüllen. Ihre Point-of-Sale-Terminals verwenden MAC-Authentication-Bypass (MAB) im WiFi Netzwerk. Das Sicherheitsteam hat von seinem QSA (Qualified Security Assessor) die Aufforderung erhalten, nachzuweisen, dass es mithilfe einer Quell-IP-Adresse und eines Zeitstempels aus einem Firewall-Protokoll jederzeit genau identifizieren kann, welches POS-Terminal auf das Zahlungsnetzwerk zugegriffen hat.
Die Lösung erfordert eine dreiteilige Integration. Stellen Sie zunächst sicher, dass alle Wireless LAN Controller so konfiguriert sind, dass sie das Attribut "Framed-IP-Address" in den RADIUS-Accounting-Paketen übertragen. Dies ist nicht immer standardmäßig aktiviert und muss explizit konfiguriert werden. Integrieren Sie zweitens die RADIUS-Accounting-Datenbank in die SIEM-Plattform (z. B. Splunk). Erstellen Sie in Splunk eine Lookup-Tabelle, die "Framed-IP-Address" und die Sitzungszeiträume auf die "Calling-Station-Id" (MAC-Adresse) abbildet. Erstellen Sie drittens eine gespeicherte Suche in Splunk, die eine Quell-IP und einen Zeitstempel als Eingabe akzeptiert und die entsprechende MAC-Adresse, die "NAS-IP-Address" (zur Identifizierung der Filiale und des AP) und den "User-Name" aus den RADIUS-Accounting-Datensätzen zurückgibt. Dem QSA kann dieser Workflow dann wie folgt demonstriert werden: Bei einem Firewall-Protokolleintrag mit der Quell-IP 10.5.12.44 um 14:23:07 Uhr an einem bestimmten Datum liefert die Suche die MAC-Adresse des POS-Terminals, den AP, mit dem es verbunden war, sowie den Standort der Filiale.
Übungsfragen
Q1. Der IT-Manager eines Hotels stellt fest, dass das WiFi-Analyse-Dashboard tagsüber nur sehr wenige aktive Nutzer anzeigt, obwohl die Lobby und das Restaurant sichtlich belebt sind. Die historischen Berichte für den Vortag zeigen jedoch einen massiven Anstieg der Datennutzung. Die RADIUS-Serverprotokolle bestätigen, dass Start-Pakete empfangen werden, aber die Datenbank zeigt nur sehr wenige Interim-Update-Datensätze. Was ist die wahrscheinlichste Fehlkonfiguration und wie würden Sie diese beheben?
Hinweis: Überlegen Sie, wie die Datennutzung während einer aktiven Sitzung im Vergleich zum Zeitpunkt der Verbindungsunterbrechung gemeldet wird.
Musterlösung anzeigen
Die wahrscheinlichste Ursache ist, dass Interim-Updates auf dem Wireless LAN Controller deaktiviert oder nicht konfiguriert sind. Ohne Interim-Updates empfängt der RADIUS-Server nur ein Start-Paket, wenn sich der Benutzer verbindet, und ein Stop-Paket, wenn er die Verbindung trennt. Das Analyse-Dashboard kann die aktuelle Nutzung nicht anzeigen, da keine Daten während der laufenden Sitzung übermittelt werden. Sobald die Benutzer den Bereich verlassen und die Verbindung trennen, treffen die Stop-Pakete mit den gesamten kumulierten Daten ein, was zu dem verzögerten Anstieg in den historischen Berichten führt. Die Lösung besteht darin, Interim-Updates auf dem WLC zu aktivieren und ein angemessenes Intervall festzulegen - für eine Hotelumgebung werden 15 Minuten empfohlen. Überprüfen Sie nach der Aktivierung, ob der RADIUS-Server Interim-Update-Pakete empfängt, indem Sie die Accounting-Datenbank auf Datensätze mit Acct-Status-Type = 3 überprüfen.
Q2. Während der Untersuchung eines Sicherheitsvorfalls hat Ihr SIEM gemeldet, dass eine IP-Adresse im Gast-WiFi-Netzwerk an einem bestimmten Datum um 09:47:23 Uhr auf einen bekannten Command-and-Control-Server zugegriffen hat. Sie müssen das verantwortliche physische Gerät identifizieren. Ihre DHCP-Lease-Zeit ist auf 30 Minuten eingestellt. Beschreiben Sie die genaue Abfragelogik, die Sie auf der RADIUS-Accounting-Datenbank anwenden würden, um das Gerät zu identifizieren.
Hinweis: IP-Adressen sind nicht statisch. Sie müssen eine Abfrage über einen Zeitraum verwenden, nicht über einen bestimmten Zeitpunkt, und das Recycling von DHCP-Leases berücksichtigen.
Musterlösung anzeigen
Sie müssen die RADIUS-Accounting-Datenbank nach Sitzungen abfragen, bei denen: (1) die Framed-IP-Address der gemeldeten IP-Adresse entspricht, UND (2) der Zeitstempel für session_start vor oder gleich 09:47:23 Uhr liegt, UND (3) entweder der Zeitstempel für session_end nach oder gleich 09:47:23 Uhr liegt ODER session_end gleich NULL ist (Sitzung zum Zeitpunkt der Abfrage noch aktiv). Wenn mehrere Sitzungen übereinstimmen (was bei einer 30-minütigen DHCP-Lease möglich ist), überprüfen Sie die Interim-Update-Datensätze, um zu bestätigen, welche Sitzung um 09:47:23 Uhr aktiv Daten gemeldet hat. Der passende Sitzungsdatensatz enthält die Calling-Station-Id (MAC-Adresse des Geräts) und den User-Name (authentifizierte Identität, falls 802.1X verwendet wurde). Gleichen Sie die MAC-Adresse mit Ihrem Geräteinventar oder den DHCP-Serverprotokollen ab, um das physische Gerät und seinen Eigentümer zu identifizieren.
Q3. Sie sind der Netzwerkarchitekt für ein Konferenzzentrum, das Veranstaltungen mit bis zu 8.000 gleichzeitigen WiFi-Benutzern ausrichtet. Ihr aktueller RADIUS-Server ist bei Spitzenveranstaltungen mit der Schreiblast der Datenbank überlastet, was zu Authentifizierungsverzögerungen von 3 - 5 Sekunden führt. Ihr aktuelles Interim-Update-Intervall ist auf 2 Minuten eingestellt. Beschreiben Sie einen mehrstufigen Behebungsplan, der sowohl das unmittelbare Performance-Problem als auch das zugrundeliegende architektonische Risiko adressiert.
Hinweis: Berücksichtigen Sie sowohl Konfigurationsänderungen als auch architektonische Änderungen. Ziel ist es, die Vollständigkeit des Audit-Trails zu wahren und gleichzeitig die Schreiblast zu reduzieren.
Musterlösung anzeigen
Der Behebungsplan sollte drei Ebenen umfassen. Erstens, als Sofortmaßnahme, erhöhen Sie das Intervall für die zwischenzeitliche Aktualisierung (Interim-Update) auf allen Wireless-Controllern von 2 auf 15 Minuten. Dies reduziert die Schreiblast für das Accounting um etwa 87 % (von einem Schreibvorgang alle 2 Minuten auf einen alle 15 Minuten pro Sitzung), was die I/O-Last der Datenbank sofort entlasten sollte. Zweitens sollten Sie die Authentifizierungs- und Accounting-Workloads auf dedizierte Serverinstanzen aufteilen. Der Authentifizierungsserver verarbeitet Access-Request/Accept/Reject-Pakete, während ein dedizierter Accounting-Server Accounting-Request-Pakete verarbeitet und in eine separate Datenbank schreibt. Dies verhindert, dass sich die Schreiblast des Accountings auf die Antwortzeiten der Authentifizierung auswirkt. Drittens sollte im Hinblick auf das zugrunde liegende architektonische Risiko geprüft werden, ob eine Time-Series-Datenbank (z. B. InfluxDB oder TimescaleDB) für die Accounting-Workload besser geeignet ist als eine relationale Datenbank. Time-Series-Datenbanken sind für sequenzielle Schreibvorgänge mit hohem Volumen und Zeitbereichsabfragen optimiert, was genau dem Datenmuster des Accountings entspricht. Migrieren Sie die Accounting-Schreibvorgänge in die Time-Series-Datenbank, während Sie die relationale Datenbank für Compliance-Berichtsabfragen beibehalten.
Häufig gestellte Fragen
What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?
RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.
How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?
Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.
How does RADIUS accounting track client bandwidth consumption accurately?
Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.
Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?
When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.
How should network administrators prevent database bottlenecks from RADIUS accounting logs?
Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.
How does Purple utilize RADIUS accounting for enterprise analytics and compliance?
Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.
Weiterlesen in dieser Reihe
Cyber Essentials und Mitarbeiter-WiFi: Die fünf Kontrollen in Ihrem Wireless-Netzwerk bestehen
Sie werden in der Lage sein, jede der fünf Cyber Essentials-Kontrollen auf Ihr Mitarbeiter-WiFi zu übertragen und die Lücken zu schließen, die Auditoren finden. Sie können dann für jede Geräteklasse zwischen 802.1X, iPSK und einem segmentierten WPA2-PSK-Netzwerk wählen. Schließlich erfahren Sie, wie Sie Access Points, Controller und BYOD auf ein Cyber Essentials Plus-Audit vorbereiten.
HPE Aruba Central Präsenzanalyse: Einrichtung, Exporte und Grenzwerte
Sie können die Aruba Central Präsenzanalyse pro Standort aktivieren, den RSSI-Schwellenwert und die Verweildauer-Grenzwerte anhand einer realen Zählung kalibrieren und Standort-Aggregate über die Central REST API exportieren. Sie erfahren außerdem, wo die native Präsenzanalyse an ihre Grenzen stößt und wann eine hardwareunabhängige Plattform-Ebene wie Purple auf Ihren vorhandenen Aruba Access Points sinnvoll ist.
CIPA-Compliance: Checkliste für Betreiber von Veranstaltungsorten
Sie können entscheiden, ob CIPA für Ihr WiFi bindend ist, dann Netzwerke segmentieren, den DNS-Verkehr über Purple Shield leiten und Umgehungswege schließen. Sie wissen zudem, welche Nachweise Sie für die Zertifizierung nach Form 486 oder Form 479 aufbewahren müssen. Die Checkliste weist jeder Anforderung einen Verantwortlichen zu, damit bei Ihrer nächsten Zertifizierung für das Förderjahr nichts fehlt.
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.