Contabilidad RADIUS: seguimiento de sesiones, uso y registros de auditoría
Esta guía proporciona una referencia técnica completa sobre la contabilidad RADIUS: cómo registra los datos de inicio, finalización y actualización intermedia de las sesiones WiFi, qué atributos se capturan y cómo aprovechar esos datos para la auditoría de seguridad, el cumplimiento del GDPR y la planificación de capacidad. Es una lectura esencial para los equipos de operaciones de red y de seguridad que necesitan pistas de auditoría defendibles a partir de eventos de autenticación WiFi, y para los operadores de recintos que buscan integrar los datos de sesión en plataformas SIEM y paneles de analítica.
Video overview
Escuchar esta guía
Ver transcripción del podcast
Parte de nuestra serie principal: La guía de seguridad WiFi para empresas →
RADIUS accounting sizing and session audit advisor
Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.
RADIUS packet rate and database write analysis
RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.
- Accounting-Start: 0.04 req/s average baseline
- Interim-Update: 3.33 req/s continuous heartbeat flow
- Accounting-Stop: 0.04 req/s closure telemetry
- Morning rush burst (2.5x): 8.5 requests per second peak
- Daily table growth: 39.3 MB / 24-hour cycle
- 90-day retention total: 3.5 GB uncompressed index pool
- Recommended SQL pooling: Minimum 8 worker threads
- Table partitioning: Standard B-tree indexes sufficient
Resumen Ejecutivo
Para los equipos de operaciones de red y de TI empresariales, autenticar a los usuarios en una red WiFi es solo la mitad de la batalla. Una vez que un dispositivo está conectado, comprender qué hace ese dispositivo (cuánto tiempo permanece conectado, cuántos datos consume y cuándo se desconecta) es fundamental para la seguridad, la planificación de la capacidad y el cumplimiento normativo. Aquí es donde el registro de conexiones (accounting) de RADIUS se vuelve indispensable. Mientras que la autenticación RADIUS gestiona el quién y el cómo del acceso a la red, el accounting de RADIUS registra minuciosamente el qué, el cuándo y el cuánto.
Esta guía ofrece un análisis técnico profundo del accounting de RADIUS, explorando el funcionamiento de los paquetes Start, Stop e Interim-Update, así como los atributos que los hacen valiosos. Describe cómo los operadores de espacios en los sectores de Hostelería, Retail y otros pueden aprovechar estos datos para mantener pistas de auditoría robustas, garantizar el cumplimiento de la GDPR y proporcionar información procesable a plataformas SIEM o sistemas de WiFi Analytics. Al dominar el accounting de RADIUS, los arquitectos de red pueden transformar los registros de sesión sin procesar en activos estratégicos que impulsan la eficiencia operativa y mitigan los riesgos.
Análisis Técnico Profundo
RADIUS Accounting frente a RADIUS Authentication
RADIUS (Remote Authentication Dial-In User Service), definido en el RFC 2865 y ampliado para el registro de conexiones en el RFC 2866, opera en un modelo cliente - servidor. En un despliegue de WiFi empresarial típico, el punto de acceso (AP) o el controlador de LAN inalámbrica (WLC) actúa como el Network Access Server (NAS), es decir, el cliente RADIUS. El servidor RADIUS (por ejemplo, FreeRADIUS, Cisco ISE, Aruba ClearPass) recibe y procesa las solicitudes.
La distinción entre autenticación y accounting es fundamental:
| Dimensión | RADIUS Authentication | RADIUS Accounting |
|---|---|---|
| Propósito | Verificar la identidad y conceder/denegar el acceso | Registrar el uso y la actividad de la sesión |
| Puerto UDP | 1812 | 1813 |
| Referencia RFC | RFC 2865 | RFC 2866 |
| Tipos de Paquetes | Access-Request, Access-Accept, Access-Reject | Accounting-Request (Start/Stop/Interim) |
| Datos Capturados | Credenciales, asignación de VLAN, política | Tiempo de sesión, bytes transferidos, dirección IP |
| Rol de Cumplimiento | Control de acceso | Pista de auditoría, interceptación legal |
Para los equipos que despliegan Guest WiFi a gran escala, ambas funciones son necesarias, pero el accounting es lo que le mantiene conforme a las normativas y protegido.
Los Tres Tipos de Paquetes de Accounting
El accounting de RADIUS se basa en tres tipos principales de paquetes Accounting-Request, cada uno definido por el atributo Acct-Status-Type:
Start (Acct-Status-Type = 1): enviado por el NAS cuando un usuario se conecta con éxito y comienza una sesión. Establece el registro de referencia en la base de datos de contabilidad, registrando la identidad del usuario, la dirección MAC del dispositivo, la dirección IP asignada y el AP al que se ha conectado el usuario.
Interim-Update (Acct-Status-Type = 3): enviado periódicamente durante una sesión activa. Estos paquetes proporcionan capturas instantáneas y continuas del uso actual: bytes transferidos, duración de la sesión y recuento de paquetes. Actúan como un latido para confirmar que la sesión sigue activa y ofrecen visibilidad de las sesiones de larga duración sin tener que esperar a la desconexión.
Stop (Acct-Status-Type = 2): enviado cuando finaliza la sesión, ya sea por una desconexión iniciada por el usuario, un reinicio del AP, un tiempo de espera por inactividad o un tiempo de espera de la sesión. Contiene las estadísticas acumuladas finales de toda la sesión.
Figura 1: El ciclo de vida de los paquetes de contabilidad RADIUS a lo largo de una sesión WiFi.
Atributos clave de contabilidad
Para realizar un seguimiento eficaz de las sesiones y crear registros de auditoría justificables, el NAS rellena los paquetes Accounting-Request con atributos específicos. Los siguientes son los más significativos desde el punto de vista operativo:
| Atributo | Descripción | Relevancia para el cumplimiento |
|---|---|---|
| Acct-Session-Id | Identificador único de sesión generado por el NAS | Clave primaria para correlacionar registros Start, Interim y Stop |
| User-Name | Identidad autenticada (nombre de usuario o dirección MAC) | Vincula la sesión a un usuario o dispositivo específico |
| NAS-IP-Address | Dirección IP del AP o WLC emisor | Identifica el segmento de red y la ubicación física |
| Framed-IP-Address | Dirección IP asignada al dispositivo cliente | Crítico para correlacionar con registros de firewall y proxy web |
| Calling-Station-Id | Dirección MAC del dispositivo cliente | Identidad a nivel de dispositivo para el registro de auditoría |
| Called-Station-Id | Dirección MAC del AP y SSID | Identifica la radio y red específica a la que se ha conectado el usuario |
| Acct-Input-Octets | Bytes recibidos desde el cliente | Supervisión de ancho de banda y planificación de capacidad |
| Acct-Output-Octets | Bytes enviados al cliente | Supervisión de ancho de banda y planificación de capacidad |
| Acct-Session-Time | Duración de la sesión en segundos | Análisis de tiempo de permanencia y facturación |
| Acct-Terminate-Cause | Motivo por el que finalizó la sesión | Resolución de problemas y detección de anomalías |
Para los equipos que trabajan con 802.1X Authentication, el atributo User-Name contendrá la identidad autenticada del intercambio EAP, proporcionando un registro de auditoría más completo que el Bypass de Autenticación MAC (MAB) por sí solo.
Guía de implementación
Desplegar una infraestructura robusta de contabilidad RADIUS requiere una configuración cuidadosa tanto a nivel de NAS como de servidor RADIUS. A continuación se presenta un enfoque neutral respecto al proveedor para establecer un flujo de contabilidad fiable.
Paso 1: Configurar el NAS (Puntos de acceso / Controladores)
La configuración del NAS es donde fallan la mayoría de los despliegues. Los administradores a menudo configuran la autenticación correctamente pero dejan la contabilidad con los ajustes predeterminados o desactivada por completo.
- Definir el servidor de contabilidad: Especifique la dirección IP del servidor RADIUS y el secreto compartido para el puerto UDP 1813. En despliegues de alta disponibilidad, configure un servidor de contabilidad secundario para evitar la pérdida de datos si el principal deja de estar accesible.
- Habilitar actualizaciones provisionales: Este es el paso de configuración más importante. Establezca un intervalo adecuado, normalmente de 10 a 15 minutos para despliegues empresariales. Los intervalos más cortos (por ejemplo, 1 minuto) proporcionan datos más detallados pero generan una carga de escritura insostenible a gran escala; los intervalos más largos (por ejemplo, 30 minutos) reducen la sobrecarga pero retrasan la visibilidad de las sesiones activas.
- Garantizar la sincronización horaria: Configure NTP en todos los dispositivos NAS y en el servidor RADIUS. Las marcas de tiempo precisas son innegociables para los registros de auditoría y la correlación en sistemas SIEM. Un desfase de reloj de 5 minutos puede invalidar una pista de auditoría en un escenario de interceptación legal.
Paso 2: Configurar el servidor RADIUS
- Integración de base de datos: Configure el servidor RADIUS para registrar los datos de contabilidad en una base de datos relacional estructurada (por ejemplo, PostgreSQL, MySQL) en lugar de en archivos de texto plano. El almacenamiento estructurado permite realizar consultas eficientes, indexar e integrarse con sistemas downstream. Asegúrese de que existan índices en
Acct-Session-Id,User-Name,Framed-IP-Addressy en la marca de tiempo de inicio de la sesión. - Políticas de retención de datos: Implemente scripts automatizados de archivo o purga que cumplan con sus requisitos de conformidad. El Artículo 5(1)(e) del GDPR exige que los datos no se conserven más tiempo del necesario; sin embargo, las normativas de interceptación legal en muchas jurisdicciones pueden exigir una retención de hasta 12 meses.
Paso 3: Crear el pipeline de datos
Para maximizar el valor de los datos de contabilidad, estos deben exportarse a plataformas de consumo donde puedan ser consultados, correlacionados y visualizados.
- Integración con SIEM: Configure el servidor RADIUS o la base de datos subyacente para reenviar los registros a su SIEM (por ejemplo, Splunk, Microsoft Sentinel, IBM QRadar) mediante Syslog o una API REST. Esto permite a los equipos de seguridad correlacionar los eventos de autenticación de WiFi con bloqueos de firewall, alertas de detección de intrusiones o activadores de prevención de pérdida de datos.- Integración de Analytics: introduzca los datos de sesión en plataformas como WiFi Analytics de Purple para transformar los bytes sin procesar y las direcciones MAC en información útil sobre la afluencia, el tiempo de permanencia y los periodos de mayor uso. Esto es especialmente valioso para los operadores de Retail y Hospitality que necesitan alinear el personal y la inversión en infraestructura con los patrones de uso reales.
Figura 2: El flujo de datos de contabilidad RADIUS desde los puntos de acceso a las plataformas SIEM y de analytics.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con operadores de recintos, responsables de TI e ingenieros de redes en 80 000 espacios. Reserve una llamada de 20 minutos y le mostraremos cómo lo han solucionado otros profesionales como usted.
Prácticas recomendadas
Utilice siempre Interim Updates. Depender únicamente de los paquetes Start y Stop genera puntos ciegos operativos. Una caída de la conexión o un fallo de alimentación en el punto de acceso pueden impedir que se envíe un paquete Stop, dejando una sesión inactiva en la base de datos de forma indefinida. Las actualizaciones provisionales (Interim Updates) proporcionan el mecanismo para detectar y cerrar estas sesiones inactivas. La regla general: si una sesión no ha enviado un Interim Update en un plazo de dos a tres veces el intervalo configurado, considérela finalizada.
Correlacione el registro de RADIUS con los registros de DHCP. El registro de RADIUS proporciona la dirección Framed-IP-Address, pero los tiempos de concesión de DHCP pueden ser más cortos que la duración de las sesiones en algunos entornos. Mantener los registros de DHCP junto con los registros de RADIUS proporciona un registro de auditoría más resiliente, especialmente en espacios de alta densidad donde el reciclaje de direcciones IP es frecuente.
Proteja el transporte con RadSec. El tráfico de RADIUS tradicional se transmite a través de UDP con un cifrado mínimo: solo se oculta el campo de la contraseña de usuario. En despliegues distribuidos, especialmente aquellos que abarcan varias ubicaciones o servidores RADIUS alojados en la nube, utilice RadSec (RADIUS sobre TLS, definido en el RFC 6614) o túneles IPsec para proteger los datos de registro en tránsito. Este es un requisito bajo PCI-DSS 4.0 para cualquier red que gestione datos de titulares de tarjetas.
Supervise la cola de registro. Si el servidor RADIUS deja de estar accesible, los dispositivos NAS pondrán en cola los paquetes de registro localmente. Supervise la longitud de esta cola; una cola llena provocará la pérdida de paquetes y de datos de auditoría. Configure alertas sobre la profundidad de la cola e implemente un servidor de registro secundario para despliegues de alta disponibilidad.
Separe los servidores de autenticación y de registro a gran escala. En despliegues que superen los 5000 usuarios simultáneos, la carga de escritura del registro puede degradar los tiempos de respuesta de la autenticación. Disponer de servidores de registro dedicados con instancias de base de datos independientes evita este conflicto.
Resolución de problemas y mitigación de riesgos
El problema de la sesión inactiva
Síntoma: La base de datos de RADIUS muestra que un usuario ha estado conectado durante 48 horas, pero el establecimiento cerró por la noche.
Causa raíz: El NAS no pudo enviar un paquete Stop - normalmente debido a un fallo de alimentación, un reinicio del punto de acceso o una interrupción de la red - y el paquete nunca fue recibido por el servidor RADIUS.
Mitigación: Implemente un script de limpieza de sesiones inactivas en el servidor RADIUS. El script debe buscar periódicamente sesiones activas donde el último paquete recibido (Start o Interim-Update) sea más antiguo que un umbral definido (por ejemplo, 2,5 veces el intervalo de Interim Update). Las sesiones que superen este umbral deben cerrarse de forma forzada con un registro Stop sintético, indicando la causa de la finalización como 'Lost-Carrier' o 'Admin-Reset'.
Carga elevada de CPU e E/S en el servidor RADIUS
Síntoma: Los tiempos de respuesta de autenticación se degradan durante las horas punta; el servidor RADIUS informa de un uso elevado de CPU y de E/S de disco.
Causa raíz: Un intervalo de Interim Update excesivamente agresivo (por ejemplo, de 1 minuto) en miles de puntos de acceso genera un volumen insostenible de escrituras en la base de datos.
Mitigación: Aumente el intervalo de actualizaciones provisionales (interim updates) a 15 minutos. Verifique que la base de datos de contabilidad tenga los índices adecuados. Considere la posibilidad de separar la autenticación y la contabilidad en instancias de servidor dedicadas. Evalúe si una base de datos de series temporales (por ejemplo, InfluxDB) es más adecuada que una base de datos relacional para gestionar un alto volumen de datos de contabilidad.
Falta de Framed-IP-Address en los registros de contabilidad
Síntoma: Existen registros de contabilidad de RADIUS, pero el campo Framed-IP-Address está vacío o ausente, lo que imposibilita la correlación entre IP y dirección MAC.
Causa raíz: Es posible que el NAS esté enviando el paquete Start antes de que el DHCP haya asignado una dirección IP al cliente. La IP solo está disponible una vez que se completa el intercambio de DHCP.
Mitigación: Configure el NAS para retrasar el envío del paquete Start hasta después de la asignación de DHCP, si la plataforma lo admite. Como alternativa, confíe en los paquetes Interim-Update, que se envían después de la asignación de DHCP y contendrán el campo Framed-IP-Address. Asegúrese de que sus consultas de auditoría tengan esto en cuenta comprobando los registros Interim-Update si el registro Start carece de una IP.
-
ROI e impacto empresarial
La implementación de una contabilidad RADIUS robusta aporta un valor empresarial cuantificable en tres dimensiones:
Mitigación de riesgos legales y cumplimiento normativo. En caso de que se produzca un incidente de seguridad, una solicitud de acceso a datos personales en virtud del GDPR o una orden de interceptación legal, los registros de contabilidad precisos proporcionan la pista de auditoría necesaria para identificar qué usuario o dispositivo tenía una dirección IP específica en un momento determinado. Sin esto, las organizaciones se enfrentan a posibles sanciones normativas en virtud del GDPR (de hasta el 4 % de la facturación anual global) y a daños reputacionales. El coste de implementar una infraestructura de contabilidad adecuada es una fracción del coste de una sola acción de ejecución regulatoria.
Planificación de capacidad y ROI de infraestructura. Al analizar las tendencias de Acct-Input-Octets y Acct-Output-Octets a lo largo del tiempo, los arquitectos de red pueden identificar patrones de consumo de ancho de banda, periodos de pico de uso y los AP o SSID específicos que generan la mayor carga. Estos datos fundamentan directamente las decisiones de actualización de WAN y las estrategias de ubicación de AP, garantizando que la inversión en infraestructura se dirija allí donde genere el mayor impacto. Para centros de Transporte y grandes recintos, esto puede representar un ahorro significativo de costes de capital.
Analytics mejorado e inteligencia de espacios. Cuando los datos de sesión de RADIUS se combinan con plataformas como WiFi Analytics y Sensors de Purple, los datos de contabilidad sin procesar se transforman en inteligencia de espacios. Las métricas de tiempo de permanencia derivadas de la duración de la sesión, la identificación de visitantes recurrentes a partir del historial de Calling-Station-Id y el análisis de ocupación máxima a partir del recuento de sesiones simultáneas están disponibles. Para los operadores de Hospitality, estos datos informan directamente a los modelos de dotación de personal, la colocación de F&B y las estrategias de personalización de marketing. Para obtener más información sobre cómo la infraestructura WiFi respalda estas capacidades, consulte nuestras guías sobre Puntos de acceso inalámbrico y Soluciones modernas de WiFi para el sector hotelero.
Definiciones clave
RADIUS Accounting
El proceso de recopilación y registro de datos sobre el consumo de recursos de red por parte de los usuarios, incluidos los tiempos de inicio y finalización de la sesión, el volumen de datos transferidos y la asignación de direcciones IP. Definido en la RFC 2866.
Esencial para la facturación, la planificación de la capacidad, el cumplimiento de GDPR y el mantenimiento de registros de auditoría de seguridad en cualquier despliegue de WiFi corporativo.
Acct-Status-Type
Atributo de RADIUS (ID de atributo 40) que indica el propósito de un paquete de contabilidad. Los valores incluyen Start (1), Stop (2) e Interim-Update (3).
Utilizado por el servidor RADIUS para determinar si debe crear un nuevo registro de sesión, actualizar uno existente o cerrarlo. El atributo más fundamental en cualquier paquete de contabilidad.
Interim-Update
Paquete periódico de contabilidad de RADIUS enviado por el NAS durante una sesión activa para informar sobre las estadísticas de uso actuales, incluidos los bytes transferidos y la duración de la sesión.
Crítico para realizar el seguimiento de sesiones de larga duración y detectar sesiones inactivas si un cliente se desconecta inesperadamente sin enviar un paquete Stop.
Acct-Session-Id
Cadena única generada por el NAS para identificar una instancia específica de conexión de usuario. Este valor es coherente en todos los paquetes de contabilidad (Start, Interim-Update, Stop) para la misma sesión.
La clave primaria utilizada para correlacionar todos los registros de contabilidad que pertenecen a la misma sesión. Sin esto, es imposible reconstruir un historial de sesión completo.
NAS (Network Access Server)
El dispositivo - típicamente un punto de acceso inalámbrico o controlador de LAN inalámbrica - que controla el acceso físico a la red y actúa como cliente RADIUS, generando y enviando paquetes de contabilidad.
El NAS es responsable de la exactitud e integridad de los datos de contabilidad. Los errores de configuración a nivel de NAS (por ejemplo, contabilidad deshabilitada, falta de atributos) no se pueden subsanar a nivel de servidor RADIUS.
Framed-IP-Address
La dirección IP asignada al dispositivo cliente durante la sesión, incluida en los paquetes de contabilidad de RADIUS.
Crítico para correlacionar los registros de contabilidad de RADIUS con otros registros de red, como los del cortafuegos, el proxy web o los registros de DNS. La ausencia de este atributo imposibilita la correlación entre la IP y el dispositivo.
Calling-Station-Id
Típicamente la dirección MAC del dispositivo cliente que se conecta a la red, formateada como una cadena hexadecimal separada por dos puntos (por ejemplo, AA:BB:CC:DD:EE:FF).
Se utiliza para identificar el dispositivo de hardware específico, independientemente de la dirección IP que tenga asignada. El anclaje a nivel de dispositivo del registro de auditoría.
Acct-Terminate-Cause
Atributo incluido en los paquetes Stop que especifica el motivo por el cual finalizó una sesión. Los valores comunes incluyen User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout y Admin-Reset.
Muy valioso para la resolución de problemas de conectividad y para la detección de anomalías - por ejemplo, una tasa elevada de finalizaciones por Lost-Carrier en un AP específico puede indicar un problema de hardware o de interferencias.
RadSec
RADIUS sobre TLS (Transport Layer Security), definido en la RFC 6614. Proporciona transporte cifrado y autenticado para paquetes RADIUS, sustituyendo al transporte tradicional basado en UDP.
Obligatorio en cualquier despliegue donde el tráfico RADIUS atraviese redes no seguras (por ejemplo, servidores RADIUS en la nube conectados a Internet). Exigido cada vez más por PCI-DSS 4.0 para entornos con datos de titulares de tarjetas.
Ejemplos prácticos
Un hotel de 300 habitaciones con instalaciones para conferencias está desplegando una nueva red WiFi para invitados. El director de TI debe asegurarse de que el despliegue cumpla con los requisitos del GDPR en materia de minimización de datos e integridad de las pistas de auditoría, al tiempo que proporciona al equipo de marketing análisis de tiempo de permanencia y de visitantes recurrentes. El hotel utiliza un servidor RADIUS alojado en la nube y AP de Cisco Meraki.
El despliegue debe configurarse de la siguiente manera. En el panel de Meraki, navegue a Todo el sitio de red > Servidores RADIUS y añada el servidor RADIUS en la nube en el puerto 1813 con un secreto compartido fuerte. Active la contabilidad y establezca el intervalo de actualización intermedia en 15 minutos. En el servidor RADIUS, configure la contabilidad para escribir en una base de datos PostgreSQL con el siguiente esquema: session_id (clave primaria), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause. Implemente una política de retención de datos que archive automáticamente los registros de más de 12 meses en almacenamiento en frío y purgue los registros de más de 24 meses, documentado en el Registro de Actividades de Tratamiento GDPR del hotel. Configure una integración con Purple WiFi Analytics para ingerir los datos de las sesiones, lo que permitirá al equipo de marketing acceder a informes de tiempo de permanencia y paneles de frecuencia de visitantes recurrentes. Asegúrese de que el NTP esté sincronizado en todos los AP de Meraki y en el servidor RADIUS con un margen de 1 segundo.
Una cadena minorista con 150 tiendas necesita cumplir con los requisitos de PCI-DSS 4.0 para la supervisión del acceso a la red. Sus terminales de punto de venta utilizan MAC Authentication Bypass (MAB) en la red WiFi. El equipo de seguridad ha recibido una solicitud de su QSA (Asesor de Seguridad Cualificado) para demostrar que pueden identificar qué terminal de POS específico accedió a la red de pago en cualquier momento dado, utilizando únicamente una dirección IP de origen y una marca de tiempo de un registro de cortafuegos.
La solución requiere una integración de tres componentes. Primero, verifique que todos los controladores de LAN inalámbrica estén configurados para incluir el atributo Framed-IP-Address en los paquetes de contabilidad RADIUS. Esto no siempre está activado de forma predeterminada y debe configurarse explícitamente. Segundo, integre la base de datos de contabilidad RADIUS con la plataforma SIEM (por ejemplo, Splunk). Cree una tabla de búsqueda en Splunk que asocie la dirección Framed-IP-Address y los rangos de tiempo de la sesión con el Calling-Station-Id (dirección MAC). Tercero, cree una búsqueda guardada en Splunk que acepte una IP de origen y una marca de tiempo como entradas y devuelva la dirección MAC correspondiente, la dirección NAS-IP-Address (que identifica la tienda y el AP) y el User-Name de los registros de contabilidad RADIUS. A continuación, se puede demostrar este flujo de trabajo al QSA: dada una entrada de registro del cortafuegos que muestra la IP de origen 10.5.12.44 a las 14:23:07 en una fecha específica, la búsqueda devuelve la dirección MAC del terminal de POS, el AP al que estaba conectado y la ubicación de la tienda.
Preguntas de práctica
Q1. El responsable de TI de un hotel observa que el panel de análisis de WiFi muestra muy pocos usuarios activos durante el día, a pesar de que el vestíbulo y el restaurante están visiblemente llenos. Sin embargo, los informes históricos del día anterior muestran un pico masivo en el uso de datos. Los registros del servidor RADIUS confirman que se están recibiendo paquetes Start, pero la base de datos muestra muy pocos registros Interim-Update. ¿Cuál es la configuración incorrecta más probable y cómo la resolvería?
Sugerencia: Considere cómo se informa del uso de datos durante una sesión activa en comparación con el momento de la desconexión.
Ver respuesta modelo
La causa más probable es que los Interim-Updates estén desactivados o no configurados en el controlador de LAN inalámbrica. Sin las actualizaciones provisionales, el servidor RADIUS solo recibe un paquete Start cuando el usuario se conecta y un paquete Stop cuando se desconecta. El panel de análisis no puede mostrar el uso actual porque no se están notificando datos de sesión en curso. Una vez que los usuarios se van y se desconectan, llegan los paquetes Stop con el total de datos acumulados, lo que provoca el pico retrasado en los informes históricos. La solución es activar los Interim-Updates en el controlador y establecer un intervalo adecuado; se recomiendan 15 minutos para el entorno de un hotel. Tras activarlo, verifique que el servidor RADIUS recibe los paquetes Interim-Update comprobando si en la base de datos de contabilidad hay registros con Acct-Status-Type = 3.
Q2. Durante la investigación de un incidente de seguridad, su SIEM ha señalado que una dirección IP de la red WiFi de invitados accedió a un servidor de comando y control conocido a las 09:47:23 en una fecha específica. Debe identificar el dispositivo físico responsable. El tiempo de concesión de DHCP está configurado en 30 minutos. Describa la lógica de consulta exacta que utilizaría en la base de datos de contabilidad de RADIUS para identificar el dispositivo.
Sugerencia: Las direcciones IP no son estáticas. Debe utilizar una consulta de intervalo de tiempo, no una búsqueda en un momento puntual, y tener en cuenta el reciclaje de concesiones DHCP.
Ver respuesta modelo
Debe consultar la base de datos de contabilidad de RADIUS en busca de sesiones en las que: (1) el Framed-IP-Address coincida con la dirección IP señalada, Y (2) la marca de tiempo session_start sea anterior o igual a las 09:47:23, Y (3) la marca de tiempo session_end sea posterior o igual a las 09:47:23, O session_end sea NULL (la sesión seguía activa en el momento de la consulta). Si coinciden varias sesiones (lo cual es posible con una concesión DHCP de 30 minutos), revise los registros Interim-Update para confirmar qué sesión estaba notificando activamente el uso a las 09:47:23. El registro de la sesión coincidente contendrá el Calling-Station-Id (dirección MAC del dispositivo) y el User-Name (identidad autenticada, si se utilizó 802.1X). Compare la dirección MAC con su inventario de dispositivos o con los registros del servidor DHCP para identificar el dispositivo físico y a su propietario.
Q3. Usted es el arquitecto de red de un centro de conferencias que alberga eventos con hasta 8000 usuarios simultáneos de WiFi. El servidor RADIUS actual está experimentando una saturación de escritura en la base de datos durante los picos de los eventos, lo que provoca retrasos en la autenticación de entre 3 y 5 segundos. El intervalo actual de actualización provisional está configurado en 2 minutos. Describa un plan de mitigación de varios pasos que aborde tanto el problema de rendimiento inmediato como el riesgo arquitectónico subyacente.
Sugerencia: Considere tanto los cambios de configuración como los cambios arquitectónicos. El objetivo es mantener la integridad de la pista de auditoría y, al mismo tiempo, reducir la carga de escritura.
Ver respuesta modelo
El plan de remediación debe abordar tres niveles. Primero, como solución inmediata, aumente el intervalo de actualización interina de 2 a 15 minutos en todos los controladores inalámbricos. Esto reduce la carga de escritura de contabilidad aproximadamente un 87% (de una escritura cada 2 minutos a una cada 15 minutos por sesión), lo que debería aliviar de inmediato la presión de E/S de la base de datos. Segundo, separe las cargas de trabajo de autenticación y contabilidad en instancias de servidor dedicadas. El servidor de autenticación gestiona los paquetes Access-Request/Accept/Reject, mientras que un servidor de contabilidad dedicado gestiona los paquetes Accounting-Request y escribe en una base de datos independiente. Esto evita que la carga de escritura de contabilidad afecte a los tiempos de respuesta de autenticación. Tercero, para el riesgo de arquitectura subyacente, evalúe si una base de datos de series temporales (por ejemplo, InfluxDB o TimescaleDB) es más adecuada que una base de datos relacional para la carga de trabajo de contabilidad. Las bases de datos de series temporales están optimizadas para escrituras secuenciales de gran volumen y consultas de rango de tiempo, lo que coincide exactamente con el patrón de datos de contabilidad. Migre las escrituras de contabilidad a la base de datos de series temporales mientras conserva la base de datos relacional para las consultas de informes de cumplimiento.
Preguntas frecuentes
What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?
RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.
How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?
Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.
How does RADIUS accounting track client bandwidth consumption accurately?
Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.
Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?
When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.
How should network administrators prevent database bottlenecks from RADIUS accounting logs?
Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.
How does Purple utilize RADIUS accounting for enterprise analytics and compliance?
Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.
Continúe leyendo esta serie
Cyber Essentials y WiFi para el personal: Cómo superar los cinco controles en su red inalámbrica
Podrá mapear cada uno de los cinco controles de Cyber Essentials en el WiFi de su personal y cerrar las brechas que encuentren los evaluadores. Después, podrá elegir entre 802.1X, iPSK y una red WPA2-PSK segregada para cada clase de dispositivo. Por último, sabrá cómo preparar los puntos de acceso, las controladoras y los dispositivos BYOD para una auditoría de Cyber Essentials Plus.
Analíticas de presencia de HPE Aruba Central: configuración, exportaciones y límites
Podrá habilitar las analíticas de presencia de Aruba Central por sitio, calibrar el umbral de RSSI y los límites de permanencia frente a un recuento real sobre el terreno, y exportar agregados a nivel de sitio a través de la API REST de Central. También conocerá dónde terminan las analíticas de presencia nativas y cuándo una capa de plataforma independiente del hardware como Purple se gana su lugar en sus puntos de acceso Aruba existentes.
Cumplimiento con CIPA: lista de verificación para operadores de establecimientos
Podrá decidir si CIPA vincula su WiFi, segmentar redes, enrutar DNS a través de Purple Shield y cerrar rutas de derivación. También sabrá qué pruebas conservar para la certificación del Formulario 486 o del Formulario 479. La lista de verificación asigna un responsable a cada requisito, para que no falte nada en la certificación de su próximo año de financiación.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con operadores de recintos, responsables de TI e ingenieros de redes en 80 000 espacios. Reserve una llamada de 20 minutos y le mostraremos cómo lo han solucionado otros profesionales como usted.