RADIUS Accounting : suivi des sessions, de l'utilisation et des journaux d'audit

Résumé exécutif

Pour les équipes informatiques et d'exploitation réseau des entreprises, l'authentification des utilisateurs sur un réseau WiFi ne représente que la moitié du chemin. Une fois qu'un appareil est connecté, comprendre ce qu'il fait — combien de temps il reste connecté, quelle quantité de données il consomme et quand il se déconnecte — est crucial pour la sécurité, la planification des capacités et la conformité réglementaire. C'est là que la comptabilisation RADIUS devient indispensable. Alors que l'authentification RADIUS gère le qui et le comment de l'accès au réseau, la comptabilisation RADIUS enregistre méticuleusement le quoi, le quand et le combien.

Ce guide propose une analyse technique approfondie de la comptabilisation RADIUS, en explorant les mécanismes des paquets Start, Stop et Interim-Update, ainsi que les attributs qui font leur valeur. Il explique comment les exploitants de sites dans les secteurs de l' Hôtellerie , du Commerce de détail et d'autres domaines peuvent exploiter ces données pour maintenir des pistes d'audit solides, garantir la conformité GDPR et alimenter des informations exploitables dans des plateformes SIEM ou des systèmes de WiFi Analytics . En maîtrisant la comptabilisation RADIUS, les architectes réseau peuvent transformer les journaux de session bruts en actifs stratégiques qui améliorent l'efficacité opérationnelle et réduisent les risques.

Analyse technique approfondie

Comptabilisation RADIUS vs. Authentification RADIUS

Le protocole RADIUS (Remote Authentication Dial-In User Service), défini dans la norme RFC 2865 et étendu pour la comptabilisation dans la norme RFC 2866 , fonctionne sur un modèle client-serveur. Dans un déploiement WiFi d'entreprise classique, le point d'accès (AP) ou le contrôleur LAN sans fil (WLC) fait office de Network Access Server (NAS) — le client RADIUS. Le serveur RADIUS (par exemple, FreeRADIUS, Cisco ISE, Aruba ClearPass) reçoit et traite les requêtes.

La distinction entre l'authentification et la comptabilisation est fondamentale :

Pour les équipes déployant du Guest WiFi à grande échelle, les deux fonctions sont nécessaires — mais la comptabilisation est celle qui vous maintient en conformité et vous protège juridiquement.

Les trois types de paquets de comptabilisation

La comptabilisation RADIUS s'appuie sur trois principaux types de paquets Accounting-Request, chacun étant défini par l'attribut Acct-Status-Type :

1. Start (Acct-Status-Type = 1) : Envoyé par le NAS lorsqu'un utilisateur se connecte avec succès et qu'une session commence. Il établit l'enregistrement de référence dans la base de données d'accounting, en capturant l'identité de l'utilisateur, l'adresse MAC de l'appareil, l'adresse IP attribuée et l'AP auquel l'utilisateur s'est connecté.

2. Interim-Update (Acct-Status-Type = 3) : Envoyé périodiquement au cours d'une session active. Ces paquets fournissent des instantanés en temps réel de l'utilisation actuelle — octets transférés, durée de la session et nombre de paquets. Ils agissent comme un signal de présence pour confirmer que la session est toujours active et offrent une visibilité sur les sessions de longue durée sans attendre la déconnexion.

3. Stop (Acct-Status-Type = 2) : Envoyé à la fin de la session — que ce soit en raison d'une déconnexion initiée par l'utilisateur, d'un redémarrage de l'AP, d'une expiration pour inactivité ou d'une expiration de session. Il contient les statistiques cumulées finales pour l'ensemble de la session.

Figure 1 : Le cycle de vie des paquets d'accounting RADIUS au cours d'une session WiFi.

Attributs d'Accounting Clés

Pour suivre efficacement les sessions et générer des journaux d'audit robustes, le NAS renseigne les paquets Accounting-Request avec des attributs spécifiques. Voici les plus importants sur le plan opérationnel :

Pour les équipes travaillant avec l' Authentification 802.1X , l'attribut User-Name contiendra l'identité authentifiée issue de l'échange EAP, offrant une piste d'audit plus riche que le simple contournement de l'authentification MAC (MAB).

Guide d'Implémentation

Le déploiement d'une infrastructure de comptabilisation RADIUS robuste nécessite une configuration minutieuse tant au niveau du NAS qu'à celui du serveur RADIUS. Voici une approche neutre vis-à-vis des fournisseurs pour établir un pipeline de comptabilisation fiable.

Étape 1 : Configurer le NAS (points d'accès / contrôleurs)

La configuration du NAS est le point de départ de nombreux échecs de déploiement. Les administrateurs configurent souvent correctement l'authentification, mais laissent la comptabilisation sur les paramètres par défaut ou la désactivent complètement.

• Définir le serveur de comptabilisation : Spécifiez l'adresse IP du serveur RADIUS et le secret partagé pour le port UDP 1813. Dans les déploiements à haute disponibilité, configurez un serveur de comptabilisation secondaire pour éviter toute perte de données si le serveur principal devient injoignable.
• Activer les mises à jour intermédiaires : C'est l'étape de configuration la plus importante. Définissez un intervalle approprié — généralement de 10 à 15 minutes pour les déploiements d'entreprise. Des intervalles plus courts (par exemple, 1 minute) fournissent des données plus précises mais génèrent une charge d'écriture insoutenable à grande échelle ; des intervalles plus longs (par exemple, 30 minutes) réduisent la charge mais retardent la visibilité sur les sessions actives.
• Assurer la synchronisation de l'heure : Configurez le protocole NTP sur tous les appareils NAS et sur le serveur RADIUS. Des horodatages précis sont indispensables pour les journaux d'audit et la corrélation SIEM. Un décalage d'horloge de 5 minutes peut invalider une piste d'audit dans un scénario d'interception légale.

Étape 2 : Configurer le serveur RADIUS

• Intégration de la base de données : Configurez le serveur RADIUS pour enregistrer les données de comptabilisation dans une base de données relationnelle structurée (par exemple, PostgreSQL, MySQL) plutôt que dans des fichiers texte plats. Le stockage structuré permet d'effectuer des requêtes et un indexage efficaces, ainsi qu'une intégration aisée avec les systèmes en aval. Assurez-vous que des index existent sur Acct-Session-Id, User-Name, Framed-IP-Address et l'horodatage de début de session.
• Politiques de conservation des données : Mettez en œuvre des scripts d'archivage ou de purge automatisés conformes à vos exigences de conformité. L'article 5(1)(e) du GDPR exige que les données ne soient pas conservées plus longtemps que nécessaire ; cependant, les réglementations relatives à l'interception légale dans de nombreuses juridictions (par exemple, l'Investigatory Powers Act 2016 au Royaume-Uni) peuvent exiger une conservation allant jusqu'à 12 mois.

Étape 3 : Créer le pipeline de données

Pour maximiser la valeur des données de comptabilisation, celles-ci doivent être exportées vers des plateformes d'analyse où elles peuvent être interrogées, corrélées et visualisées.

• Intégration SIEM : Configurez le serveur RADIUS ou la base de données sous-jacente pour transférer les journaux vers votre SIEM (par exemple, Splunk, Microsoft Sentinel, IBM QRadar) à l'aide de Syslog ou d'une API REST. Cela permet aux équipes de sécurité de corréler les événements d'authentification WiFi avec les blocages de pare-feu, les alertes de détection d'intrusion ou les déclencheurs de prévention des pertes de données.- Intégration Analytics : Alimentez des plateformes comme l'outil de WiFi Analytics de Purple avec des données de session afin de transformer les octets bruts et les adresses MAC en informations exploitables concernant la fréquentation, le temps de présence et les périodes de pointe. Cela est particulièrement précieux pour les opérateurs du Commerce de détail et de l' Hôtellerie qui doivent aligner la dotation en personnel et les investissements d'infrastructure sur les schémas d'utilisation réels.

Figure 2 : Le pipeline de données d'accounting RADIUS, des points d'accès aux plateformes SIEM et d'analytics.

Bonnes Pratiques

Utilisez toujours les mises à jour intermédiaires (Interim Updates). S'appuyer uniquement sur les paquets Start et Stop crée des zones d'ombre opérationnelles. Une connexion coupée ou une panne de courant du point d'accès peut empêcher l'envoi d'un paquet Stop, laissant indéfiniment une session obsolète dans la base de données. Les mises à jour intermédiaires fournissent le mécanisme nécessaire pour détecter et fermer ces sessions obsolètes. La règle empirique : si une session n'a pas envoyé de mise à jour intermédiaire dans un délai correspondant à deux ou trois fois l'intervalle configuré, considérez-la comme terminée.

Corrélez l'accounting RADIUS avec les journaux DHCP. L'accounting RADIUS fournit le Framed-IP-Address, mais les durées de bail DHCP peuvent être plus courtes que la durée des sessions dans certains environnements. Conserver les journaux DHCP aux côtés des journaux RADIUS offre une piste d'audit plus résiliente, en particulier dans les espaces à haute densité où le recyclage d'adresses IP est fréquent.

Sécurisez le transport avec RadSec. Le trafic RADIUS traditionnel est transmis sur UDP avec un chiffrement minimal — seul le champ de mot de passe utilisateur est obscurci. Dans les déploiements distribués, en particulier ceux qui couvrent plusieurs sites ou des serveurs RADIUS hébergés dans le cloud, utilisez RadSec (RADIUS sur TLS, défini dans la RFC 6614) ou des tunnels IPsec pour protéger les données d'accounting en transit. Il s'agit d'une exigence de la norme PCI DSS 4.0 pour tout réseau traitant des données de titulaires de cartes.

Surveillez la file d'attente d'accounting. Si le serveur RADIUS devient inaccessible, les périphériques NAS mettront les paquets d'accounting en attente localement. Surveillez la taille de cette file d'attente ; une file d'attente pleine entraînera la perte de paquets et de données d'audit. Configurez des alertes sur la profondeur de la file d'attente et implémentez un serveur d'accounting secondaire pour les déploiements à haute disponibilité.

Séparez les serveurs d'authentification et d'accounting à grande échelle. Dans les déploiements dépassant 5 000 utilisateurs simultanés, la charge d'écriture générée par l'accounting peut dégrader les temps de réponse d'authentification. Des serveurs d'accounting dédiés avec des instances de base de données distinctes permettent d'éviter ce conflit.

Dépannage et atténuation des risques

Le problème de la session obsolète (Stale Session)

Symptom : La base de données RADIUS indique qu'un utilisateur est connecté depuis 48 heures, alors que l'établissement a fermé ses portes pour la nuit.

Root Cause : Le NAS n'a pas réussi à envoyer un paquet Stop — généralement en raison d'une panne de courant, d'un redémarrage de l'AP ou d'une interruption du réseau — et le paquet n'a jamais été reçu par le serveur RADIUS.

Mitigation : Implémentez un script de nettoyage des sessions mortes sur le serveur RADIUS. Le script doit scanner périodiquement les sessions actives pour lesquelles le dernier paquet reçu (Start ou Interim-Update) est plus ancien qu'un seuil défini (par exemple, 2,5 fois l'intervalle d'Interim-Update). Les sessions dépassant ce seuil doivent être fermées de force avec un enregistrement Stop synthétique, en indiquant comme cause de résiliation "Lost-Carrier" ou "Admin-Reset".

Charge CPU et E/S élevée du serveur RADIUS

Symptom : Les temps de réponse d'authentification se dégradent pendant les heures de pointe ; le serveur RADIUS signale une utilisation élevée de la CPU et des E/S disque.

Root Cause : Un intervalle d'Interim-Update trop agressif (par exemple, 1 minute) sur des milliers d'AP génère un volume insoutenable d'écritures dans la base de données.

Mitigation : Augmentez l'intervalle d'Interim-Update à 15 minutes. Vérifiez que la base de données de comptabilité possède les index appropriés. Envisagez de séparer l'authentification et la comptabilité sur des instances de serveur dédiées. Évaluez si une base de données de séries chronologiques (par exemple, InfluxDB) est plus appropriée qu'une base de données relationnelle pour les données de comptabilité à volume élevé.

Framed-IP-Address manquante dans les enregistrements de comptabilité

Symptom : Les enregistrements de comptabilité RADIUS existent, mais le champ Framed-IP-Address est vide ou absent, ce qui rend la corrélation IP-vers-MAC impossible.

Root Cause : Le NAS peut envoyer le paquet Start avant que le DHCP n'ait attribué une adresse IP au client. L'IP n'est disponible qu'une fois l'échange DHCP terminé.

Mitigation : Configurez le NAS pour retarder l'envoi du paquet Start jusqu'après l'attribution DHCP, si la plateforme le permet. Alternativement, appuyez-vous sur les paquets Interim-Update, qui sont envoyés après l'attribution DHCP et contiendront la Framed-IP-Address. Assurez-vous que vos requêtes d'audit en tiennent compte en vérifiant les enregistrements Interim-Update si l'enregistrement Start manque d'IP.

ROI & Business Impact

La mise en œuvre d'une comptabilité RADIUS robuste offre une valeur commerciale mesurable sur trois dimensions :

Conformité et atténuation des risques juridiques. En cas d'incident de sécurité, de demande d'accès d'une personne concernée en vertu du GDPR ou d'une ordonnance d'interception légale, des journaux de comptabilité précis fournissent la piste d'audit nécessaire pour identifier quel utilisateur ou appareil détenait une adresse IP spécifique à un moment précis. Sans cela, les organisations s'exposent à d'éventuelles sanctions réglementaires en vertu du GDPR (jusqu'à 4 % du chiffre d'affaires annuel mondial) et à des dommages réputationnels. Le coût de la mise en œuvre d'une infrastructure de comptabilité appropriée ne représente qu'une fraction du coût d'une seule mesure d'application de la réglementation.Planification de la capacité et ROI de l'infrastructure. En analysant les tendances de Acct-Input-Octets et Acct-Output-Octets au fil du temps, les architectes réseau peuvent identifier les schémas de consommation de bande passante, les périodes de pointe d'utilisation et les AP ou SSIDs spécifiques qui génèrent la charge la plus élevée. Ces données orientent directement les décisions de mise à niveau du WAN et les stratégies de placement des AP, garantissant que l'investissement dans l'infrastructure est dirigé là où il a le plus d'impact. Pour les hubs de Transport et les grands espaces, cela peut représenter des économies de dépenses d'investissement significatives.

Analyses améliorées et Venue Intelligence. Lorsque les données de session RADIUS sont combinées avec des plateformes comme WiFi Analytics et Sensors de Purple, les données brutes de comptabilité sont transformées en intelligence de site (venue intelligence). Les indicateurs de temps de séjour dérivés de la durée de la session, l'identification des visiteurs récurrents à partir de l'historique Calling-Station-Id et l'analyse de l'occupation de pointe à partir du nombre de sessions simultanées deviennent ainsi disponibles. Pour les opérateurs de l' Hospitality , ces données éclairent directement les modèles de dotation en personnel, l'emplacement de la restauration et les stratégies de personnalisation du marketing. Pour en savoir plus sur la manière dont l'infrastructure WiFi soutient ces capacités, consultez nos guides sur les Wireless Access Points et les Modern Hospitality WiFi Solutions .