RADIUS Accounting: seguimiento de sesiones, uso y registros de auditoría
Esta guía proporciona una referencia técnica completa sobre RADIUS accounting - cómo registra los datos de inicio, finalización y actualizaciones provisionales de las sesiones WiFi, qué atributos se capturan y cómo aprovechar esos datos para auditorías de seguridad, cumplimiento de GDPR y planificación de capacidad. Es una lectura esencial para los equipos de seguridad y operaciones de red que necesitan pistas de auditoría defendibles de los eventos de autenticación WiFi, y para los operadores de recintos que buscan integrar los datos de sesión en plataformas SIEM y tableros de análisis.
Video overview
Escucha esta guía
Ver transcripción del podcast
Parte de nuestra serie principal: La guía de seguridad WiFi para empresas →
RADIUS accounting sizing and session audit advisor
Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.
RADIUS packet rate and database write analysis
RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.
- Accounting-Start: 0.04 req/s average baseline
- Interim-Update: 3.33 req/s continuous heartbeat flow
- Accounting-Stop: 0.04 req/s closure telemetry
- Morning rush burst (2.5x): 8.5 requests per second peak
- Daily table growth: 39.3 MB / 24-hour cycle
- 90-day retention total: 3.5 GB uncompressed index pool
- Recommended SQL pooling: Minimum 8 worker threads
- Table partitioning: Standard B-tree indexes sufficient
Resumen Ejecutivo
Para los equipos de TI empresarial y operaciones de red, autenticar a los usuarios en una red WiFi es solo la mitad de la batalla. Una vez que un dispositivo está conectado, comprender qué hace ese dispositivo - cuánto tiempo permanece conectado, cuántos datos consume y cuándo se desconecta - es fundamental para la seguridad, la planificación de la capacidad y el cumplimiento normativo. Aquí es donde el registro de conexiones (accounting) de RADIUS se vuelve indispensable. Mientras que la autenticación RADIUS maneja el quién y el cómo del acceso a la red, el registro de conexiones de RADIUS registra meticulosamente el qué, el cuándo y el cuánto.
Esta guía proporciona un análisis técnico profundo del registro de conexiones de RADIUS, explorando el funcionamiento de los paquetes Start, Stop e Interim-Update, y los atributos que los hacen valiosos. Explica cómo los operadores de establecimientos en sectores como la Hospitalidad, el Comercio Minorista y otros pueden aprovechar estos datos para mantener pistas de auditoría sólidas, garantizar el cumplimiento de GDPR y alimentar con inteligencia accionable las plataformas SIEM o los sistemas de WiFi Analytics. Al dominar el registro de conexiones de RADIUS, los arquitectos de red pueden transformar los registros de sesión sin procesar en activos estratégicos que impulsan la eficiencia operativa y mitigan el riesgo.
Análisis Técnico Profundo
Registro de conexiones de RADIUS frente a Autenticación RADIUS
RADIUS (Remote Authentication Dial-In User Service), definido en RFC 2865 y ampliado para el registro de conexiones en RFC 2866, funciona bajo un modelo cliente - servidor. En una implementación típica de WiFi empresarial, el Punto de Acceso (AP) o el Controlador de LAN Inalámbrica (WLC) actúa como el Servidor de Acceso a la Red (NAS), es decir, el cliente RADIUS. El servidor RADIUS (por ejemplo, FreeRADIUS, Cisco ISE, Aruba ClearPass) recibe y procesa las solicitudes.
La distinción entre autenticación y registro de conexiones es fundamental:
| Dimensión | Autenticación RADIUS | Registro de conexiones de RADIUS |
|---|---|---|
| Propósito | Verificar la identidad y otorgar/denegar el acceso | Registrar el uso y la actividad de la sesión |
| Puerto UDP | 1812 | 1813 |
| Referencia RFC | RFC 2865 | RFC 2866 |
| Tipos de Paquetes | Access-Request, Access-Accept, Access-Reject | Accounting-Request (Start/Stop/Interim) |
| Datos Capturados | Credenciales, asignación de VLAN, política | Tiempo de sesión, bytes transferidos, dirección IP |
| Rol de Cumplimiento | Control de acceso | Pista de auditoría, interceptación legal |
Para los equipos que implementan Guest WiFi a gran escala, ambas funciones son necesarias, pero el registro de conexiones es el que le permite mantener el cumplimiento y la defensa legal.
Los Tres Tipos de Paquetes de Registro de Conexiones
El registro de conexiones de RADIUS se basa en tres tipos principales de paquetes Accounting-Request, cada uno definido por el atributo Acct-Status-Type:
Start (Acct-Status-Type = 1): Enviado por el NAS cuando un usuario se conecta con éxito y comienza una sesión. Establece el registro de referencia en la base de datos de contabilidad, capturando la identidad del usuario, la dirección MAC del dispositivo, la dirección IP asignada y el AP al que se conectó el usuario.
Interim-Update (Acct-Status-Type = 3): Enviado periódicamente durante una sesión activa. Estos paquetes proporcionan instantáneas continuas del uso actual: bytes transferidos, duración de la sesión y recuento de paquetes. Actúan como un latido para confirmar que la sesión sigue activa y proporcionan visibilidad de las sesiones de larga duración sin tener que esperar a la desconexión.
Stop (Acct-Status-Type = 2): Enviado cuando la sesión finaliza, ya sea por una desconexión iniciada por el usuario, un reinicio del AP, un tiempo de espera por inactividad o un tiempo de espera de la sesión. Contiene las estadísticas finales y acumulativas de toda la sesión.
Figura 1: El ciclo de vida del paquete de contabilidad RADIUS a lo largo de una sesión de WiFi.
Atributos clave de contabilidad
Para rastrear sesiones de manera efectiva y crear registros de auditoría defendibles, el NAS llena los paquetes Accounting-Request con atributos específicos. Los siguientes son los más significativos a nivel operativo:
| Atributo | Descripción | Relevancia para el cumplimiento |
|---|---|---|
| Acct-Session-Id | Identificador de sesión único generado por el NAS | Clave primaria para correlacionar registros Start, Interim y Stop |
| User-Name | Identidad autenticada (nombre de usuario o dirección MAC) | Vincula la sesión con un usuario o dispositivo específico |
| NAS-IP-Address | Dirección IP del AP o WLC informante | Identifica el segmento de red y la ubicación física |
| Framed-IP-Address | Dirección IP asignada al dispositivo del cliente | Crítica para la correlación con registros de firewall y proxy web |
| Calling-Station-Id | Dirección MAC del dispositivo del cliente | Identidad a nivel de dispositivo para el historial de auditoría |
| Called-Station-Id | Dirección MAC del AP y SSID | Identifica la radio y red específica a la que se conectó el usuario |
| Acct-Input-Octets | Bytes recibidos del cliente | Monitoreo de ancho de banda y planificación de capacidad |
| Acct-Output-Octets | Bytes enviados al cliente | Monitoreo de ancho de banda y planificación de capacidad |
| Acct-Session-Time | Duración de la sesión en segundos | Análisis de tiempo de permanencia y facturación |
| Acct-Terminate-Cause | Razón por la que finalizó la sesión | Resolución de problemas y detección de anomalías |
Para los equipos que trabajan con Autenticación 802.1X, el atributo User-Name contendrá la identidad autenticada del intercambio EAP, lo que proporciona un historial de auditoría más completo que el Bypass de Autenticación MAC (MAB) por sí solo.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.
Guía de implementación
Implementar una infraestructura de contabilidad RADIUS sólida requiere una configuración cuidadosa tanto a nivel del NAS como del servidor RADIUS. A continuación se presenta un enfoque neutral del proveedor para establecer un pipeline de contabilidad confiable.
Paso 1: Configurar el NAS (puntos de acceso / controladores)
La configuración del NAS es donde la mayoría de las implementaciones fallan. Los administradores a menudo configuran la autenticación correctamente, pero dejan la contabilidad en la configuración predeterminada o completamente deshabilitada.
- Definir el servidor de contabilidad: Especifique la dirección IP del servidor RADIUS y el secreto compartido para el puerto UDP 1813. En implementaciones de alta disponibilidad, configure un servidor de contabilidad secundario para evitar la pérdida de datos si el principal no está disponible.
- Habilitar actualizaciones provisionales (Interim Updates): Este es el paso de configuración más importante de todos. Establezca un intervalo adecuado - por lo general de 10 a 15 minutos para implementaciones empresariales. Los intervalos más cortos (por ejemplo, 1 minuto) proporcionan datos más detallados pero generan una carga de escritura insostenible a gran escala; los intervalos más largos (por ejemplo, 30 minutos) reducen el consumo de recursos pero retrasan la visibilidad de las sesiones activas.
- Garantizar la sincronización de la hora: Configure NTP en todos los dispositivos NAS y en el servidor RADIUS. Las marcas de tiempo precisas son indispensables para los registros de auditoría y la correlación de SIEM. Una desviación del reloj de 5 minutos puede invalidar una pista de auditoría en un escenario de interceptación legal.
Paso 2: Configurar el servidor RADIUS
- Integración de base de datos: Configure el servidor RADIUS para registrar los datos de contabilidad en una base de datos relacional estructurada (por ejemplo, PostgreSQL, MySQL) en lugar de archivos de texto plano. El almacenamiento estructurado permite realizar consultas eficientes, indexación e integración con sistemas secundarios. Asegúrese de que existan índices en
Acct-Session-Id,User-Name,Framed-IP-Addressy en la marca de tiempo de inicio de la sesión. - Políticas de retención de datos: Implemente scripts automatizados de archivado o depuración que cumplan con sus requisitos de cumplimiento normativo. El Artículo 5(1)(e) del GDPR exige que los datos no se conserven más tiempo del necesario; sin embargo, las regulaciones de interceptación legal en muchas jurisdicciones pueden exigir una retención de hasta 12 meses.
Paso 3: Construir el pipeline de datos
Para maximizar el valor de los datos de contabilidad, estos deben exportarse a plataformas de consumo donde puedan ser consultados, correlacionados y visualizados.
- Integración con SIEM: Configure el servidor RADIUS o la base de datos subyacente para reenviar los registros a su SIEM (por ejemplo, Splunk, Microsoft Sentinel, IBM QRadar) mediante Syslog o una API REST. Esto permite a los equipos de seguridad correlacionar los eventos de autenticación WiFi con bloqueos de firewall, alertas de detección de intrusos o activadores de prevención de pérdida de datos.- Integración de Analytics: Incorpore los datos de las sesiones en plataformas como WiFi Analytics de Purple para transformar los bytes crudos y las direcciones MAC en información procesable sobre la afluencia de personas, el tiempo de permanencia y los periodos de mayor uso. Esto es especialmente valioso para los operadores de Retail y de la industria de la Hospitalidad que necesitan alinear el personal y la inversión en infraestructura con los patrones de uso reales.
Figura 2: El flujo de datos de contabilidad de RADIUS desde los puntos de acceso hacia las plataformas de SIEM y analytics.
Mejores prácticas
Utilice siempre actualizaciones provisionales (Interim Updates). Depender únicamente de los paquetes Start y Stop crea puntos ciegos operativos. Una conexión caída o una falla de energía en el AP puede evitar que se envíe un paquete Stop, dejando una sesión obsoleta en la base de datos de forma indefinida. Las actualizaciones provisionales proporcionan el mecanismo para detectar y cerrar estas sesiones obsoletas. La regla general es: si una sesión no ha enviado una actualización provisional dentro de dos a tres veces el intervalo configurado, considérela terminada.
Correlacione el registro de RADIUS con los registros de DHCP. El registro de RADIUS proporciona la dirección Framed-IP-Address, pero los tiempos de concesión de DHCP pueden ser más cortos que la duración de las sesiones en algunos entornos. Mantener los registros de DHCP junto con los de RADIUS proporciona un historial de auditoría más sólido, particularmente en ubicaciones de alta densidad donde el reciclaje de direcciones IP es frecuente.
Proteja el transporte con RadSec. El tráfico de RADIUS tradicional se transmite a través de UDP con un cifrado mínimo - solo el campo de la contraseña de usuario se oculta. En implementaciones distribuidas, particularmente aquellas que abarcan múltiples sitios o servidores RADIUS alojados en la nube, utilice RadSec (RADIUS sobre TLS, definido en RFC 6614) o túneles IPsec para proteger los datos de registro en tránsito. Este es un requisito bajo PCI-DSS 4.0 para cualquier red que maneje datos de titulares de tarjetas.
Monitoree la cola de registro. Si el servidor RADIUS deja de estar disponible, los dispositivos NAS pondrán en cola los paquetes de registro de forma local. Monitoree la longitud de esta cola; una cola llena provocará la pérdida de paquetes y la pérdida de datos de auditoría. Configure alertas sobre la saturación de la cola e implemente un servidor de registro secundario para implementaciones de alta disponibilidad.
Separe los servidores de autenticación y de registro a gran escala. En implementaciones que superen los 5,000 usuarios concurrentes, la carga de escritura generada por el registro de conexiones puede ralentizar los tiempos de respuesta de autenticación. Los servidores de registro dedicados con instancias de base de datos independientes evitan este conflicto.
Resolución de problemas y mitigación de riesgos
El problema de la sesión obsoleta
Síntoma: La base de datos RADIUS muestra que un usuario ha estado conectado durante 48 horas, pero el establecimiento cerró durante la noche.
Causa raíz: El NAS no pudo enviar un paquete Stop - normalmente debido a una falla de energía, reinicio del AP o interrupción de la red - y el paquete nunca fue recibido por el servidor RADIUS.
Mitigación: Implemente un script de limpieza de sesiones inactivas en el servidor RADIUS. El script debe buscar periódicamente sesiones activas donde el último paquete recibido (Start o Interim-Update) sea más antiguo que un límite definido (por ejemplo, 2.5 veces el intervalo de actualización provisional). Las sesiones que superen este límite deben cerrarse de forma forzada con un registro Stop sintético, registrando la causa de finalización como "Lost-Carrier" o "Admin-Reset".
Alta carga de CPU e E/S en el servidor RADIUS
Síntoma: Los tiempos de respuesta de autenticación se degradan durante las horas pico; el servidor RADIUS reporta un alto uso de CPU e E/S de disco.
Causa raíz: Un intervalo de actualización provisional demasiado agresivo (por ejemplo, 1 minuto) a lo largo de miles de AP genera un volumen insostenible de escrituras en la base de datos.
Mitigation: Incremente el intervalo de actualización provisional (interim update) a 15 minutos. Verifique que la base de datos de contabilidad tenga los índices adecuados. Considere separar la autenticación y la contabilidad en instancias de servidor dedicadas. Evalúe si una base de datos de series temporales (por ejemplo, InfluxDB) es más adecuada que una base de datos relacional para datos de contabilidad de alto volumen.
Falta de Framed-IP-Address en los registros de contabilidad
Symptom: Existen registros de contabilidad RADIUS, pero el campo Framed-IP-Address está vacío o ausente, lo que imposibilita la correlación de IP a MAC.
Root Cause: Es posible que el NAS esté enviando el paquete Start antes de que DHCP haya asignado una dirección IP al cliente. La IP solo está disponible después de que se completa el intercambio DHCP.
Mitigation: Configure el NAS para retrasar el envío del paquete Start hasta después de la asignación de DHCP, si la plataforma lo admite. Alternativamente, confíe en los paquetes Interim-Update, que se envían después de la asignación de DHCP y contendrán la Framed-IP-Address. Asegúrese de que sus consultas de auditoría tengan esto en cuenta al verificar los registros Interim-Update si el registro Start carece de una IP.
-
ROI e impacto empresarial
La implementación de una contabilidad RADIUS sólida ofrece un valor empresarial medible en tres dimensiones:
Mitigación de riesgos legales y de cumplimiento. En caso de un incidente de seguridad, una solicitud de acceso de datos por parte del interesado bajo la GDPR, o una orden de interceptación legal, los registros de contabilidad precisos proporcionan la pista de auditoría necesaria para identificar qué usuario o dispositivo tenía una dirección IP específica en un momento determinado. Sin esto, las organizaciones se enfrentan a posibles sanciones regulatorias bajo la GDPR (de hasta el 4% de la facturación anual global) y daños a la reputación. El costo de implementar una infraestructura de contabilidad adecuada es una fracción del costo de una sola acción de cumplimiento regulatorio.
Planificación de capacidad y ROI de infraestructura. Al analizar las tendencias de Acct-Input-Octets y Acct-Output-Octets a lo largo del tiempo, los arquitectos de red pueden identificar patrones de consumo de ancho de banda, períodos de uso máximo y los AP o SSID específicos que generan la mayor carga. Estos datos informan directamente las decisiones de actualización de WAN y las estrategias de ubicación de AP, lo que garantiza que la inversión en infraestructura se dirija a donde genere el mayor impacto. Para centros de Transport y grandes recintos, esto puede representar ahorros significativos en gastos de capital.Analytics mejorado e inteligencia del espacio. Cuando los datos de sesión de RADIUS se combinan con plataformas como WiFi Analytics y Sensors de Purple, los datos brutos de contabilidad se transforman en inteligencia del espacio. Se vuelven disponibles las métricas de tiempo de permanencia derivadas de la duración de las sesiones, la identificación de visitantes frecuentes a partir del historial de Calling-Station-Id y el análisis de ocupación máxima a partir del recuento de sesiones simultáneas. Para los operadores de la industria de la Hospitalidad, estos datos informan directamente los modelos de dotación de personal, la distribución de alimentos y bebidas, y las estrategias de personalización de marketing. Para obtener más contexto sobre cómo la infraestructura WiFi respalda estas capacidades, consulte nuestras guías sobre Puntos de acceso inalámbrico y Soluciones modernas de WiFi para hotelería.
Definiciones clave
RADIUS Accounting
El proceso de recopilar y registrar datos sobre el consumo de recursos de red del usuario, incluidos los tiempos de inicio y finalización de la sesión, el volumen de datos transferidos y la asignación de direcciones IP. Definido en el RFC 2866.
Esencial para la facturación, la planificación de capacidad, el cumplimiento de GDPR y el mantenimiento de registros de auditoría de seguridad en cualquier implementación de WiFi empresarial.
Acct-Status-Type
Un atributo RADIUS (ID de atributo 40) que indica el propósito de un paquete de contabilidad. Los valores incluyen Start (1), Stop (2) e Interim-Update (3).
Utilizado por el servidor RADIUS para determinar si debe crear un nuevo registro de sesión, actualizar uno existente o cerrarlo. El atributo más fundamental en cualquier paquete de contabilidad.
Interim-Update
Un paquete de contabilidad RADIUS periódico enviado por el NAS durante una sesión activa para reportar estadísticas de uso actuales, incluidos los bytes transferidos y la duración de la sesión.
Crítico para rastrear sesiones de larga duración y detectar sesiones inactivas si un cliente se desconecta inesperadamente sin enviar un paquete Stop.
Acct-Session-Id
Una cadena única generada por el NAS para identificar una instancia de conexión de usuario específica. Este valor es consistente en todos los paquetes de contabilidad (Start, Interim-Update, Stop) para la misma sesión.
La clave primaria utilizada para correlacionar todos los registros de contabilidad que pertenecen a la misma sesión. Sin esto, es imposible reconstruir un historial de sesión completo.
NAS (Network Access Server)
El dispositivo - típicamente un Punto de Acceso Inalámbrico o Controlador de LAN Inalámbrica - que controla el acceso físico a la red y actúa como el cliente RADIUS, generando y enviando paquetes de contabilidad.
El NAS es responsable de la precisión e integridad de los datos de contabilidad. Una configuración incorrecta a nivel de NAS (por ejemplo, contabilidad deshabilitada, atributos faltantes) no se puede remediar a nivel de servidor RADIUS.
Framed-IP-Address
La dirección IP asignada al dispositivo del cliente durante la sesión, incluida en los paquetes de contabilidad de RADIUS.
Crítico para correlacionar los registros de contabilidad de RADIUS con otros registros de red, como los de firewall, proxy web o registros DNS. La ausencia de este atributo hace imposible la correlación entre IP y dispositivo.
Calling-Station-Id
Típicamente la dirección MAC del dispositivo cliente que se conecta a la red, formateada como una cadena hexadecimal separada por dos puntos (por ejemplo, AA:BB:CC:DD:EE:FF).
Se utiliza para identificar el dispositivo de hardware específico, independientemente de la dirección IP que tenga asignada. El ancla en la capa de dispositivo para el registro de auditoría.
Acct-Terminate-Cause
Un atributo incluido en los paquetes Stop que especifica el motivo por el cual finalizó una sesión. Los valores comunes incluyen User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout y Admin-Reset.
Valioso para la resolución de problemas de conectividad y para la detección de anomalías; por ejemplo, una alta tasa de terminaciones por Lost-Carrier en un AP específico puede indicar un problema de hardware o de interferencia.
RadSec
RADIUS sobre TLS (Transport Layer Security), definido en el RFC 6614. Proporciona transporte cifrado y autenticado para paquetes RADIUS, reemplazando el transporte tradicional basado en UDP.
Requerido en cualquier implementación donde el tráfico de RADIUS atraviese redes no confiables (por ejemplo, servidores RADIUS en la nube conectados a Internet). Exigido cada vez más por PCI DSS 4.0 para entornos de datos de titulares de tarjetas.
Ejemplos resueltos
Un hotel de 300 habitaciones con instalaciones para conferencias está implementando una nueva red WiFi para huéspedes. El gerente de TI debe asegurarse de que la implementación cumpla con los requisitos de GDPR para la minimización de datos y la integridad de la pista de auditoría, al mismo tiempo que proporciona al equipo de marketing análisis de tiempo de permanencia y visitantes recurrentes. El hotel utiliza un servidor RADIUS alojado en la nube y AP de Cisco Meraki.
La implementación debe configurarse de la siguiente manera. En el panel de Meraki, navegue a Todo el sitio de red > Servidores RADIUS y agregue el servidor RADIUS en la nube en el puerto 1813 con un secreto compartido seguro. Habilite el registro (accounting) y establezca el intervalo de actualización provisional en 15 minutos. En el servidor RADIUS, configure accounting para escribir en una base de datos PostgreSQL con el siguiente esquema: session_id (clave primaria), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause. Implemente una política de retención de datos que archive automáticamente los registros de más de 12 meses en almacenamiento en frío y elimine los registros de más de 24 meses, documentado en el Registro de Actividades de Procesamiento de GDPR del hotel. Configure una integración de Purple WiFi Analytics para ingerir los datos de la sesión, lo que permitirá al equipo de marketing acceder a informes de tiempo de permanencia y paneles de frecuencia de visitantes recurrentes. Asegúrese de que el NTP esté sincronizado en todos los AP de Meraki y el servidor RADIUS dentro de 1 segundo.
Una cadena de tiendas de autoservicio con 150 sucursales necesita cumplir con los requisitos de PCI-DSS 4.0 para el monitoreo del acceso a la red. Sus terminales de punto de venta utilizan la omisión de autenticación MAC (MAB) en la red WiFi. El equipo de seguridad recibió una solicitud de su QSA (Asesor de Seguridad Calificado) para demostrar que pueden identificar qué terminal de POS específica accedió a la red de pago en cualquier momento dado, utilizando únicamente una dirección IP de origen y una marca de tiempo de un registro de firewall.
La solución requiere una integración de tres componentes. Primero, verifique que todos los controladores de LAN inalámbrica estén configurados para incluir el atributo Framed-IP-Address en los paquetes de RADIUS accounting. Esto no siempre está habilitado de forma predeterminada y debe configurarse explícitamente. Segundo, integre la base de datos de RADIUS accounting con la plataforma SIEM (por ejemplo, Splunk). Cree una tabla de búsqueda en Splunk que asocie Framed-IP-Address y los rangos de tiempo de la sesión con Calling-Station-Id (dirección MAC). Tercero, cree una búsqueda guardada en Splunk que acepte una IP de origen y una marca de tiempo como entradas y devuelva la dirección MAC correspondiente, NAS-IP-Address (que identifica la tienda y el AP) y User-Name de los registros de RADIUS accounting. Luego se puede demostrar este flujo de trabajo al QSA: dada una entrada de registro de firewall que muestra la IP de origen 10.5.12.44 a las 14:23:07 en una fecha específica, la búsqueda devuelve la dirección MAC de la terminal POS, el AP al que estaba conectada y la ubicación de la tienda.
Preguntas de práctica
Q1. Un administrador de TI de un hotel nota que el panel de WiFi analytics muestra muy pocos usuarios activos durante el día, a pesar de que el lobby y el restaurante están visiblemente ocupados. Sin embargo, los informes históricos del día anterior muestran un pico masivo en el uso de datos. Los registros del servidor RADIUS confirman que se están recibiendo paquetes Start, pero la base de datos muestra muy pocos registros Interim-Update. ¿Cuál es la configuración incorrecta más probable y cómo la resolvería?
Sugerencia: Considere cómo se reporta el uso de datos durante una sesión activa en comparación con el momento de la desconexión.
Ver respuesta modelo
La causa más probable es que los Interim-Updates estén desactivados o no configurados en el controlador de red LAN inalámbrica. Sin actualizaciones provisionales, el servidor RADIUS solo recibe un paquete Start cuando el usuario se conecta y un paquete Stop cuando se desconecta. El panel de analíticas no puede mostrar el uso actual porque no se están reportando datos dentro de la sesión. Una vez que los usuarios se van y se desconectan, los paquetes Stop llegan con el total de datos acumulados, lo que provoca el pico retrasado en los informes históricos. La solución es habilitar los Interim-Updates en el controlador de red y establecer un intervalo adecuado; se recomiendan 15 minutos para el entorno de un hotel. Después de habilitarlo, verifique que el servidor RADIUS esté recibiendo paquetes Interim-Update revisando la base de datos de contabilidad en busca de registros con Acct-Status-Type = 3.
Q2. Durante la investigación de un incidente de seguridad, su SIEM ha señalado que una dirección IP en la red WiFi de invitados accedió a un servidor de comando y control conocido a las 09:47:23 en una fecha específica. Debe identificar el dispositivo físico responsable. El tiempo de concesión de DHCP está configurado en 30 minutos. Describa la lógica de consulta exacta que utilizaría contra la base de datos de contabilidad de RADIUS para identificar el dispositivo.
Sugerencia: Las direcciones IP no son estáticas. Debe utilizar una consulta de rango de tiempo, no una búsqueda de punto en el tiempo, y tener en cuenta el reciclaje de concesiones DHCP.
Ver respuesta modelo
Debe consultar la base de datos de contabilidad de RADIUS para buscar sesiones donde: (1) el Framed-IP-Address sea igual a la dirección IP señalada, Y (2) la marca de tiempo session_start sea anterior o igual a las 09:47:23, Y (3) la marca de tiempo session_end sea posterior o igual a las 09:47:23, O la session_end sea NULL (la sesión sigue activa al momento de la consulta). Si coinciden varias sesiones (lo cual es posible con una concesión DHCP de 30 minutos), revise los registros Interim-Update para confirmar qué sesión estaba reportando activamente el uso a las 09:47:23. El registro de la sesión coincidente contendrá el Calling-Station-Id (dirección MAC del dispositivo) y el User-Name (identidad autenticada, si se utilizó 802.1X). Compare la dirección MAC con su inventario de dispositivos o con los registros del servidor DHCP para identificar el dispositivo físico y a su propietario.
Q3. Usted es el arquitecto de red de un centro de conferencias que alberga eventos con hasta 8,000 usuarios de WiFi simultáneos. Su servidor RADIUS actual está experimentando una saturación de escritura en la base de datos durante los eventos pico, lo que provoca retrasos en la autenticación de 3 a 5 segundos. Su intervalo actual de interim update está configurado en 2 minutos. Describa un plan de remediación de varios pasos que aborde tanto el problema de rendimiento inmediato como el riesgo arquitectónico subyacente.
Sugerencia: Considere tanto los cambios de configuración como los cambios de arquitectura. El objetivo es mantener la integridad de la pista de auditoría mientras se reduce la carga de escritura.
Ver respuesta modelo
El plan de remediación debe abordar tres capas. Primero, como solución inmediata, aumente el intervalo de actualización interina de 2 a 15 minutos en todos los controladores inalámbricos. Esto reduce la carga de escritura de contabilidad en aproximadamente un 87% (de una escritura cada 2 minutos a una cada 15 minutos por sesión), lo que debería aliviar de inmediato la presión de E/S de la base de datos. Segundo, separe las cargas de trabajo de autenticación y contabilidad en instancias de servidor dedicadas. El servidor de autenticación maneja los paquetes Access-Request/Accept/Reject, mientras que un servidor de contabilidad dedicado maneja los paquetes Accounting-Request y escribe en una base de datos separada. Esto evita que la carga de escritura de contabilidad afecte los tiempos de respuesta de la autenticación. Tercero, para el riesgo de arquitectura subyacente, evalúe si una base de datos de series temporales (por ejemplo, InfluxDB o TimescaleDB) es más adecuada que una base de datos relacional para la carga de trabajo de contabilidad. Las bases de datos de series temporales están optimizadas para escrituras secuenciales de gran volumen y consultas de rango de tiempo, lo que coincide exactamente con el patrón de datos de contabilidad. Migre las escrituras de contabilidad a la base de datos de series temporales mientras conserva la base de datos relacional para las consultas de informes de cumplimiento.
Preguntas frecuentes
What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?
RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.
How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?
Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.
How does RADIUS accounting track client bandwidth consumption accurately?
Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.
Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?
When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.
How should network administrators prevent database bottlenecks from RADIUS accounting logs?
Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.
How does Purple utilize RADIUS accounting for enterprise analytics and compliance?
Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.
Continúe leyendo esta serie
Cyber Essentials and Staff WiFi: Passing the Five Controls on Your Wireless Network
You will be able to map each of the five Cyber Essentials controls to your staff WiFi and close the gaps assessors find. You can then choose between 802.1X, iPSK and a segregated WPA2-PSK network for each device class. Finally, you will know how to prepare access points, controllers and BYOD for a Cyber Essentials Plus audit.
Analíticas de presencia de HPE Aruba Central: configuración, exportaciones y límites
Podrá habilitar las analíticas de presencia de Aruba Central por sitio, calibrar el umbral de RSSI y los límites de permanencia frente a un conteo real, y exportar agregados a nivel de sitio a través de la REST API de Central. También sabrá dónde se detienen las analíticas de presencia nativas y cuándo una capa de plataforma independiente del hardware como Purple se gana su lugar en sus puntos de acceso Aruba existentes.
Cumplimiento de CIPA: lista de verificación de cumplimiento para operadores de establecimientos
Podrá decidir si CIPA vincula su WiFi, luego segmentar redes, enrutar el DNS a través de Purple Shield y cerrar rutas de bypass. También sabrá qué evidencia conservar para la certificación del Form 486 o Form 479. La lista de verificación asigna un responsable a cada requisito, para que no falte nada en la certificación de su próximo año de financiamiento.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.