Comptabilité RADIUS : suivi des sessions, de l'utilisation et des journaux d'audit

Résumé exécutif

Pour les équipes informatiques et opérationnelles des entreprises, l'authentification des utilisateurs sur un réseau WiFi ne représente que la moitié de la bataille. Une fois qu'un appareil est connecté, comprendre ce qu'il fait - combien de temps il reste connecté, quelle quantité de données il consomme et quand il se déconnecte - est essentiel pour la sécurité, la planification des capacités et la conformité réglementaire. C'est là que le RADIUS accounting devient indispensable. Alors que l'authentification RADIUS gère le qui et le comment de l'accès au réseau, le RADIUS accounting enregistre méticuleusement le quoi, le quand et le combien.

Ce guide propose une analyse technique approfondie du RADIUS accounting, en explorant le fonctionnement des paquets Start, Stop et Interim-Update, ainsi que les attributs qui font leur valeur. Il explique comment les exploitants de sites dans l'Hôtellerie, le Commerce de détail et d'autres secteurs peuvent exploiter ces données pour maintenir des pistes d'audit robustes, garantir la conformité au GDPR et fournir des informations exploitables aux plateformes SIEM ou aux systèmes de WiFi Analytics. En maîtrisant le RADIUS accounting, les architectes réseau peuvent transformer les journaux de session bruts en actifs stratégiques qui améliorent l'efficacité opérationnelle et limitent les risques.

Analyse technique approfondie

RADIUS Accounting vs. Authentification RADIUS

Le protocole RADIUS (Remote Authentication Dial-In User Service), défini dans la spécification RFC 2865 et étendu pour la comptabilisation dans la spécification RFC 2866, fonctionne sur un modèle client - serveur. Dans un déploiement WiFi d'entreprise classique, le point d'accès (AP) ou le contrôleur LAN sans fil (WLC) fait office de Network Access Server (NAS) - le client RADIUS. Le serveur RADIUS (par exemple, FreeRADIUS, Cisco ISE, Aruba ClearPass) reçoit et traite les demandes.

La distinction entre l'authentification et la comptabilisation est fondamentale :

Pour les équipes qui déploient un Guest WiFi à grande échelle, ces deux fonctions sont nécessaires - mais la comptabilisation est celle qui vous permet de rester conforme et protégé.

Les trois types de paquets de comptabilisation

Le RADIUS accounting s'appuie sur trois types de paquets Accounting-Request principaux, chacun étant défini par l'attribut Acct-Status-Type :

1. Start (Acct-Status-Type = 1) : Envoyé par le NAS lorsqu'un utilisateur se connecte avec succès et qu'une session commence. Il établit l'enregistrement de base dans la base de données de comptabilité, capturant l'identité de l'utilisateur, l'adresse MAC de l'appareil, l'adresse IP attribuée et l'AP auquel l'utilisateur s'est connecté.

2. Interim-Update (Acct-Status-Type = 3) : Envoyé périodiquement au cours d'une session active. Ces paquets fournissent des instantanés de l'utilisation actuelle - octets transférés, durée de la session et nombre de paquets. Ils agissent comme un signal d'activité pour confirmer que la session est toujours active et offrent une visibilité sur les sessions de longue durée sans attendre la déconnexion.

3. Stop (Acct-Status-Type = 2) : Envoyé lorsque la session se termine - que ce soit en raison d'une déconnexion initiée par l'utilisateur, d'un redémarrage de l'AP, d'une expiration pour inactivité ou d'une expiration de session. Il contient les statistiques cumulées finales pour l'ensemble de la session.

Figure 1 : Le cycle de vie des paquets de comptabilité RADIUS au cours d'une session WiFi.

Attributs de comptabilité clés

Pour suivre efficacement les sessions et créer des journaux d'audit défendables, le NAS remplit les paquets Accounting-Request avec des attributs spécifiques. Les suivants sont les plus importants sur le plan opérationnel :

Pour les équipes travaillant avec l'authentification 802.1X, l'attribut User-Name contiendra l'identité authentifiée issue de l'échange EAP, offrant ainsi une piste d'audit plus riche que le simple contournement de l'authentification MAC (MAB).

Guide d'implémentation

Déployer une infrastructure de comptabilisation RADIUS robuste exige une configuration minutieuse tant au niveau du NAS qu'à celui du serveur RADIUS. Voici une approche neutre vis-à-vis des constructeurs pour établir un flux de comptabilisation fiable.

Étape 1 : Configurer le NAS (points d'accès / contrôleurs)

La configuration du NAS est l'étape où la plupart des déploiements échouent. Les administrateurs configurent souvent l'authentification correctement mais laissent la comptabilisation sur les paramètres par défaut ou la désactivent complètement.

• Définir le serveur de comptabilisation : Spécifiez l'adresse IP du serveur RADIUS et le secret partagé pour le port UDP 1813. Dans les déploiements à haute disponibilité, configurez un serveur de comptabilisation secondaire pour éviter la perte de données si le serveur principal devient inaccessible.
• Activer les mises à jour intermédiaires (Interim Updates) : C'est l'étape de configuration la plus importante. Définissez un intervalle approprié - généralement de 10 à 15 minutes pour les déploiements d'entreprise. Des intervalles plus courts (par exemple, 1 minute) fournissent des données plus précises mais génèrent une charge d'écriture insoutenable à grande échelle ; des intervalles plus longs (par exemple, 30 minutes) réduisent la surcharge mais retardent la visibilité sur les sessions actives.
• Assurer la synchronisation temporelle : Configurez le protocole NTP sur tous les appareils NAS et le serveur RADIUS. Des horodatages précis sont indispensables pour les journaux d'audit et la corrélation SIEM. Un décalage d'horloge de 5 minutes peut invalider une piste d'audit dans un scénario d'interception légale.

Étape 2 : Configurer le serveur RADIUS

• Intégration de base de données : Configurez le serveur RADIUS pour enregistrer les données de comptabilisation dans une base de données relationnelle structurée (par exemple, PostgreSQL, MySQL) plutôt que dans des fichiers texte bruts. Le stockage structuré permet des requêtes efficaces, l'indexation et l'intégration avec les systèmes en aval. Assurez-vous que des index existent sur Acct-Session-Id, User-Name, Framed-IP-Address et l'horodatage de début de session.
• Politiques de rétention des données : Mettez en œuvre des scripts d'archivage ou de purge automatisés conformes à vos exigences de conformité. L'article 5(1)(e) du GDPR exige que les données ne soient pas conservées plus longtemps que nécessaire ; toutefois, les réglementations sur l'interception légale dans de nombreuses juridictions peuvent exiger une conservation allant jusqu'à 12 mois.

Étape 3 : Construire le flux de données

Pour maximiser la valeur des données de comptabilisation, celles-ci doivent être exportées vers des plateformes d'exploitation où elles peuvent être interrogées, corrélées et visualisées.

• Intégration SIEM : Configurez le serveur RADIUS ou la base de données sous-jacente pour transférer les journaux vers votre SIEM (par exemple, Splunk, Microsoft Sentinel, IBM QRadar) à l'aide de Syslog ou d'une API REST. Cela permet aux équipes de sécurité de corréler les événements d'authentification WiFi avec les blocages de pare-feu, les alertes de détection d'intrusion ou les déclencheurs de prévention des pertes de données.
• Intégration d'Analytics : Transférez les données de session vers des plateformes telles que WiFi Analytics de Purple pour transformer les octets bruts et les adresses MAC en informations exploitables concernant la fréquentation, le temps de séjour et les périodes de pointe. Ceci est particulièrement précieux pour les opérateurs du Retail et de l'Hôtellerie Hospitality qui ont besoin d'aligner la dotation en personnel et les investissements d'infrastructure avec les modèles d'utilisation réels.

Figure 2 : Le flux de données de comptabilité RADIUS depuis les points d'accès vers le SIEM et les plateformes d'analytics.

Bonnes pratiques

Utilisez toujours les mises à jour intermédiaires. S'appuyer uniquement sur les paquets Start et Stop crée des zones d'ombre opérationnelles. Une déconnexion ou une panne d'alimentation d'un point d'accès peut empêcher l'envoi d'un paquet Stop, laissant indéfiniment une session obsolète dans la base de données. Les mises à jour intermédiaires fournissent le mécanisme permettant de détecter et de fermer ces sessions obsolètes. Règle générale : si une session n'a pas envoyé de mise à jour intermédiaire dans un intervalle égal à deux ou trois fois l'intervalle configuré, considérez-la comme terminée.

Corrélez la comptabilité RADIUS avec les journaux DHCP. La comptabilité RADIUS fournit l'attribut Framed-IP-Address, mais la durée des baux DHCP peut être plus courte que la durée des sessions dans certains environnements. Le maintien des journaux DHCP aux côtés des journaux RADIUS offre une piste d'audit plus résiliente, en particulier dans les lieux à forte densité où le recyclage des adresses IP est fréquent.

Sécurisez le transport avec RadSec. Le trafic RADIUS traditionnel est transmis via UDP avec un chiffrement minimal - seul le champ du mot de passe utilisateur est masqué. Dans les déploiements distribués, en particulier ceux qui couvrent plusieurs sites ou des serveurs RADIUS hébergés dans le cloud, utilisez RadSec (RADIUS sur TLS, défini dans la RFC 6614) ou des tunnels IPsec pour protéger les données de comptabilité en transit. Il s'agit d'une exigence de la norme PCI-DSS 4.0 pour tout réseau traitant des données de titulaires de cartes.

Surveillez la file d'attente de comptabilité. Si le serveur RADIUS devient injoignable, les périphériques NAS mettront en file d'attente les paquets de comptabilité localement. Surveillez la taille de cette file d'attente ; une file d'attente pleine entraînera le rejet de paquets et la perte de données d'audit. Configurez des alertes sur la profondeur de la file d'attente et implémentez un serveur de comptabilité secondaire pour les déploiements à haute disponibilité.

Séparez les serveurs d'authentification et de comptabilité à grande échelle. Dans les déploiements dépassant 5 000 utilisateurs simultanés, la charge d'écriture générée par la comptabilité peut dégrader les temps de réponse de l'authentification. Des serveurs de comptabilité dédiés avec des instances de base de données distinctes évitent ce conflit.

Dépannage et atténuation des risques

Le problème des sessions obsolètes

Symptôme : La base de données RADIUS indique qu'un utilisateur est connecté depuis 48 heures, alors que l'établissement a fermé ses portes pour la nuit.

Cause d'origine : Le NAS n'a pas envoyé de paquet Stop - généralement en raison d'une panne de courant, d'un redémarrage du point d'accès ou d'une interruption du réseau - et le paquet n'a jamais été reçu par le serveur RADIUS.

Atténuation : Implémentez un script de nettoyage des sessions mortes sur le serveur RADIUS. Le script doit analyser périodiquement les sessions actives pour lesquelles le dernier paquet reçu (Start ou Interim-Update) est plus ancien qu'un seuil défini (par exemple, 2,5 fois l'intervalle de mise à jour intermédiaire). Les sessions dépassant ce seuil doivent être fermées de force avec un enregistrement Stop synthétique, en indiquant comme cause de résiliation 'Lost-Carrier' ou 'Admin-Reset'.

Charge CPU et I/O élevée sur le serveur RADIUS

Symptôme : Les temps de réponse d'authentification se dégradent pendant les heures de pointe ; le serveur RADIUS signale une utilisation élevée du processeur et des E/S disque.

Cause d'origine : Un intervalle de mise à jour intermédiaire trop agressif (par exemple, 1 minute) sur des milliers de points d'accès génère un volume insoutenable d'écritures en base de données.

Atténuation : Augmentez l'intervalle d'interim update à 15 minutes. Vérifiez que la base de données d'accounting possède les index appropriés. Envisagez de séparer l'authentification et l'accounting sur des instances de serveur dédiées. Évaluez si une base de données de séries chronologiques (par exemple, InfluxDB) est plus appropriée qu'une base de données relationnelle pour les volumes élevés de données d'accounting.

Framed-IP-Address manquant dans les enregistrements d'accounting

Symptôme : Les enregistrements d'accounting RADIUS existent, mais le champ Framed-IP-Address est vide ou absent, rendant la corrélation IP-vers-MAC impossible.

Cause racine : Le NAS peut envoyer le paquet Start avant que le serveur DHCP n'ait attribué une adresse IP au client. L'IP n'est disponible qu'une fois l'échange DHCP terminé.

Atténuation : Configurez le NAS pour retarder l'envoi du paquet Start jusqu'après l'attribution DHCP, si la plateforme le prend en charge. Alternativement, appuyez-vous sur les paquets Interim-Update, qui sont envoyés après l'attribution DHCP et contiendront le Framed-IP-Address. Assurez-vous que vos requêtes d'audit prennent cela en compte en vérifiant les enregistrements Interim-Update si l'enregistrement Start ne contient pas d'IP.

ROI et impact commercial

La mise en œuvre d'un accounting RADIUS robuste offre une valeur commerciale mesurable sur trois dimensions :

Conformité et atténuation des risques juridiques. En cas d'incident de sécurité, de demande d'accès aux données personnelles dans le cadre du GDPR ou d'une ordonnance d'interception légale, des journaux d'accounting précis fournissent la piste d'audit nécessaire pour identifier quel utilisateur ou appareil détenait une adresse IP spécifique à un moment précis. Sans cela, les entreprises s'exposent à d'éventuelles sanctions réglementaires en vertu du GDPR (jusqu'à 4 % du chiffre d'affaires annuel mondial) et à une atteinte à leur réputation. Le coût de la mise en œuvre d'une infrastructure d'accounting adéquate ne représente qu'une fraction du coût d'une seule mesure de contrôle réglementaire.

Planification des capacités et ROI des infrastructures. En analysant les tendances des champs Acct-Input-Octets et Acct-Output-Octets au fil du temps, les architectes réseau peuvent identifier les modèles de consommation de bande passante, les périodes de pointe et les AP ou SSID spécifiques qui génèrent la charge la plus élevée. Ces données orientent directement les décisions de mise à niveau du WAN et les stratégies de déploiement des AP, garantissant que l'investissement dans l'infrastructure est orienté là où il a le plus d'impact. Pour les hubs de Transport et les grands espaces événementiels, cela peut représenter des économies de dépenses d'investissement significatives.Analytics améliorés et intelligence des sites. Lorsque les données de session RADIUS sont combinées avec des plateformes comme WiFi Analytics et Sensors de Purple, les données comptables brutes sont transformées en intelligence de site. Les indicateurs de temps de séjour dérivés de la durée de session, l'identification des visiteurs récurrents à partir de l'historique Calling-Station-Id et l'analyse de l'occupation maximale à partir du nombre de sessions simultanées deviennent disponibles. Pour les opérateurs de l'Hôtellerie Hospitality, ces données orientent directement les modèles de dotation en personnel, le placement F&B et les stratégies de personnalisation marketing. Pour en savoir plus sur la façon dont l'infrastructure WiFi soutient ces capacités, consultez nos guides sur les points d'accès sans fil et les solutions Modern Hospitality WiFi Solutions.