मुख्य सामग्री पर जाएं
हिन्दी

RADIUS Accounting: सेशन, उपयोग और ऑडिट लॉग को ट्रैक करना

यह गाइड RADIUS accounting पर एक व्यापक तकनीकी संदर्भ प्रदान करती है - कैसे यह WiFi सेशन के शुरू होने, समाप्त होने और अंतरिम-अपडेट (interim-update) डेटा को रिकॉर्ड करती है, कौन-से गुण (attributes) कैप्चर किए जाते हैं, और सुरक्षा ऑडिटिंग, GDPR अनुपालन और क्षमता नियोजन के लिए उस डेटा का लाभ कैसे उठाया जाए। यह उन नेटवर्क संचालन और सुरक्षा टीमों के लिए आवश्यक अध्ययन है जिन्हें WiFi प्रमाणीकरण घटनाओं से बचाव योग्य ऑडिट ट्रेल्स की आवश्यकता होती है, और उन वेन्यू ऑपरेटरों के लिए जो सेशन डेटा को SIEM प्लेटफॉर्म और एनालिटिक्स डैशबोर्ड में एकीकृत करना चाहते हैं।

Iain Jewitt द्वाराप्रकाशित अपडेट किया गया
📖 9 मिनट का पाठ2,379 शब्द2 हल किए गए उदाहरण3 अभ्यास प्रश्न9 मुख्य परिभाषाएं

Video overview

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple Technical Briefing में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एंटरप्राइज WiFi इंफ्रास्ट्रक्चर के एक महत्वपूर्ण, लेकिन अक्सर गलत समझे जाने वाले घटक: RADIUS Accounting में गहराई से उतर रहे हैं। विशेष रूप से, हम यह देखेंगे कि हम सेशन को कैसे ट्रैक करते हैं, उपयोग की निगरानी कैसे करते हैं, और मजबूत ऑडिट लॉग कैसे बनाते हैं। यदि आप एक IT मैनेजर, नेटवर्क आर्किटेक्ट, या वेन्यू ऑपरेशन्स डायरेक्टर हैं, तो यह आपके लिए है। हम अकादमिक थ्योरी को छोड़कर सीधे व्यावहारिक अनुप्रयोग पर आ रहे हैं। आइए बुनियादी बातों से शुरू करते हैं। उस CTO के लिए जिसे 60 सेकंड की संक्षिप्त जानकारी चाहिए: RADIUS accounting क्या है, और यह RADIUS authentication से कैसे भिन्न है? सरल शब्दों में कहें तो, authentication दरवाजे पर खड़ा वह बाउंसर है जो आपकी ID चेक करता है। Accounting वह बारटेंडर है जो यह ट्रैक करता है कि आप कितने समय तक रुकते हैं और कितना उपभोग करते हैं। Authentication UDP पोर्ट 1812 का उपयोग करता है और नेटवर्क एक्सेस के कौन और कैसे को संभालता है। Accounting UDP पोर्ट 1813 का उपयोग करता है और क्या, कब और कितना का सावधानीपूर्वक रिकॉर्ड रखता है। यह ट्रैक करता है कि एक सेशन कब शुरू होता है, कब समाप्त होता है, कितने बाइट्स ट्रांसफर किए गए, और क्लाइंट डिवाइस को कौन सा IP एड्रेस असाइन किया गया था। तो यह ऑडिट ट्रेल है। लेकिन यह इस डेटा को सटीक रूप से कैसे कैप्चर करता है? इसकी प्रणाली क्या है? यह नेटवर्क एक्सेस सर्वर - आमतौर पर आपके एक्सेस पॉइंट या वायरलेस कंट्रोलर - से RADIUS सर्वर पर भेजे जाने वाले तीन प्राथमिक पैकेट प्रकारों पर निर्भर करता है। इन्हें Accounting-Request पैकेट कहा जाता है। सबसे पहले, आपके पास Start पैकेट होता है। यह यूजर के सफलतापूर्वक कनेक्ट होने के ठीक उसी समय भेजा जाता है। यह यूजर की पहचान, डिवाइस का MAC एड्रेस, असाइन किया गया IP एड्रेस, और यूजर जिस AP से कनेक्ट हुआ है उसे कैप्चर करके accounting डेटाबेस में आधारभूत रिकॉर्ड स्थापित करता है। फिर, आपके पास Stop पैकेट होता है, जो यूजर के डिस्कनेक्ट होने पर भेजा जाता है, जिसमें पूरे सेशन के लिए अंतिम संचयी आंकड़े शामिल होते हैं। यह तो बहुत सीधा लग रहा है। Start और Stop। काम पूरा। पूरी तरह से नहीं। केवल Start और Stop पैकेट्स पर निर्भर रहना एक बड़ा परिचालन जोखिम है। इस पर विचार करें: क्या होगा यदि कोई गेस्ट होटल में कनेक्ट होता है और तीन दिनों तक कनेक्टेड रहता है? यदि आप केवल Start और Stop पर निर्भर रहते हैं, तो उन तीन दिनों के लिए उनके उपयोग पर आपकी विजिबिलिटी शून्य होगी। या इससे भी बदतर, क्या होगा यदि एक्सेस पॉइंट की पावर चली जाए? यह कभी Stop पैकेट नहीं भेजता है, और आपके डेटाबेस में एक पुराना सेशन बच जाता है जो ऐसा दिखता है जैसे कि वह अभी भी अनिश्चित काल के लिए सक्रिय है। तो इसका समाधान क्या है? तीसरा पैकेट प्रकार: Interim-Update। यह महत्वपूर्ण है, और RADIUS accounting कॉन्फ़िगरेशन में यह सबसे अधिक गलत कॉन्फ़िगर किया जाने वाला तत्व है। आप वायरलेस कंट्रोलर को एक सक्रिय सेशन के दौरान प्रत्येक, मान लीजिए, 15 मिनट में एक अपडेट भेजने के लिए कॉन्फ़िगर करते हैं। यह एक हार्टबीट के रूप में कार्य करता है और वर्तमान उपयोग - ट्रांसफर किए गए बाइट्स, सेशन की अवधि और पैकेट संख्या का एक रनिंग स्नैपशॉट प्रदान करता है। यदि RADIUS सर्वर को किसी विशेष सेशन से अंतरिम अपडेट प्राप्त होना बंद हो जाता है, तो आप जान जाते हैं कि सेशन समाप्त हो चुका है, भले ही आपको कभी Stop पैकेट प्राप्त न हुआ हो। यहाँ का सामान्य नियम बहुत सरल है: अंतरिम अपडेट नहीं, तो कोई जानकारी नहीं।अब बात करते हैं खुद डेटा के बारे में। ऑडिट लॉग और अनुपालन (compliance) रिपोर्टिंग के लिए इन पैकेटों में हम किन विशिष्ट विशेषताओं को देख रहे हैं जो इतनी मूल्यवान हैं? इसमें कई प्रमुख विशेषताएं हैं। Acct-Session-Id मुख्य कुंजी (primary key) है जो Start, Interim-Update, और Stop पैकेटों को एक सुसंगत सत्र रिकॉर्ड (session record) में जोड़ती है। इसके बिना, आप तीनों पैकेट प्रकारों में संबंध स्थापित नहीं कर सकते। फिर आता है Calling-Station-Id, जो आमतौर पर क्लाइंट का MAC एड्रेस होता है - यानी डिवाइस का हार्डवेयर पहचानकर्ता। Framed-IP-Address वह IP एड्रेस है जो उस सत्र के लिए क्लाइंट को दिया जाता है। Acct-Input-Octets और Acct-Output-Octets क्लाइंट से प्राप्त और भेजे गए डेटा की मात्रा को ट्रैक करते हैं। और Acct-Terminate-Cause, जो Stop पैकेटों में शामिल होता है, आपको बताता है कि सत्र क्यों समाप्त हुआ - क्या उपयोगकर्ता ने मैन्युअल रूप से डिस्कनेक्ट किया, कोई निष्क्रिय टाइमआउट हुआ, या कैरियर खो गया था। हम वास्तविक दुनिया के परिदृश्य में उन विशेषताओं का उपयोग कैसे करते हैं? आइए GDPR अनुपालन (compliance) या कानूनी हस्तक्षेप (lawful intercept) के अनुरोध का उदाहरण लें। यही वह जगह है जहां RADIUS अकाउंटिंग अपने निवेश पर रिटर्न (ROI) साबित करता है। मान लीजिए कि कानून प्रवर्तन एजेंसियां एक रिटेल चेन के पास जाती हैं और कहती हैं: पिछले मंगलवार को दोपहर 2 बजे आपके गेस्ट WiFi पर एक IP एड्रेस का उपयोग दुर्भावनापूर्ण सामग्री तक पहुँचने के लिए किया गया था। वह कौन था? यदि आपके पास केवल फ़ायरवॉल लॉग हैं, तो आपके पास केवल एक IP एड्रेस होगा। लेकिन DHCP के साथ IP एड्रेस लगातार बदलते रहते हैं। आपको उस IP को एक विशिष्ट समय पर एक विशिष्ट डिवाइस से जोड़ना होगा। इसलिए, आप अपने RADIUS अकाउंटिंग डेटाबेस में क्वेरी करते हैं। आप एक ऐसे सत्र की खोज करते हैं जहाँ Framed-IP-Address फ़ायरवॉल लॉग के IP से मेल खाता हो, और जहाँ घटना का टाइमस्टैम्प सत्र के Start समय और Stop समय के बीच आता हो। वह रिकॉर्ड आपको Calling-Station-Id देगा - जो कि डिवाइस का MAC एड्रेस है। आपने नेटवर्क लेयर को डिवाइस लेयर से जोड़ दिया है। यही आपका पूरा ऑडिट ट्रेल है। आइए एक और परिदृश्य देखें: एक बड़ा होटल। आतिथ्य (hospitality) क्षेत्र इस मामले में विशेष रूप से संवेदनशील है। कॉन्फ्रेंस सुविधाओं वाले 300 कमरों के होटल में एक साथ हजारों WiFi सत्र चल सकते हैं। संचालन टीम को क्षमता योजना (capacity planning) के लिए पीक उपयोग अवधि को समझने की आवश्यकता होती है, जबकि अनुपालन (compliance) टीम को यह प्रदर्शित करने की आवश्यकता होती है कि GDPR के तहत मेहमानों के डेटा को उचित रूप से संभाला गया है। इस माहौल में, RADIUS अकाउंटिंग दोनों चीजें प्रदान करता है। सत्र का डेटा एक WiFi एनालिटिक्स प्लेटफॉर्म में जाता है, जो कच्चे बाइट्स और सत्र की अवधि को फुटफॉल मेट्रिक्स और बैंडविड्थ खपत के रुझानों में बदल देता है। साथ ही, यही डेटा एक अनुपालन (compliance) रिपोर्टिंग मॉड्यूल में भी जाता है जो ऑडिटर्स को यह स्पष्ट रूप से दिखा सकता है कि कौन सा डेटा एकत्र किया गया था, इसे कितने समय तक रखा गया था, और इसे कैसे सुरक्षित किया गया था। तो, इस सब को साकार करने के लिए, हमें इस डेटा को RADIUS सर्वर से बाहर निकालना होगा और उन सिस्टम में ले जाना होगा जहाँ हम इस पर क्वेरी कर सकें और कार्रवाई कर सकें। टीमों को उस पाइपलाइन को कैसे आर्किटेक्ट करना चाहिए? पहला नियम यह है: लॉग को RADIUS सर्वर पर फ़्लैट टेक्स्ट फ़ाइलों में मत छोड़ें। एकाउंटिंग डेटा को एक संरचित रिलेशनल डेटाबेस - PostgreSQL या MySQL सामान्य विकल्प हैं - में लिखने के लिए सर्वर को कॉन्फ़िगर करें। वहां से, आपके पास दो मुख्य उपयोग मार्ग हैं। पहला, Syslog या REST API का उपयोग करके लॉग को अपने SIEM - Splunk, Microsoft Sentinel, या IBM QRadar - पर फ़ॉरवर्ड करें। यह आपकी सुरक्षा टीम को फ़ायरवॉल ब्लॉक, घुसपैठ का पता लगाने वाले अलर्ट, या डेटा हानि रोकथाम ट्रिगर्स के साथ WiFi प्रमाणीकरण घटनाओं को सहसंबंधित करने में सक्षम बनाता है। दूसरा, डेटा को अपने एनालिटिक्स प्लेटफ़ॉर्म पर भेजें। उदाहरण के लिए, Purple का WiFi Analytics इस सत्र डेटा को ले सकता है और इसे फुटफ़ॉल, ड्वेल टाइम और क्षमता उपयोग के बारे में कार्रवाई योग्य अंतर्दृष्टि में बदल सकता है। अब आइए सामान्य कमियों के बारे में बात करते हैं। डिप्लॉयमेंट कहाँ गलत हो जाते हैं? दो मुख्य विफलता मोड। पहला, जैसा कि हमने चर्चा की है, Interim-Updates को बिल्कुल भी सक्षम न करना। यह आश्चर्यजनक रूप से सामान्य है। एडमिनिस्ट्रेटर प्रमाणीकरण को सही ढंग से कॉन्फ़िगर करते हैं लेकिन एकाउंटिंग सेटिंग्स को कभी नहीं छूते हैं। दूसरा, और यह भी उतना ही नुकसानदेह है, Interim-Update अंतराल को बहुत आक्रामक रूप से सेट करना। यदि आपके पास 10,000 समवर्ती उपयोगकर्ता हैं और आप अंतराल को 1 मिनट पर सेट करते हैं, तो आप केवल एकाउंटिंग अपडेट के लिए प्रति मिनट 10,000 डेटाबेस राइट ऑपरेशन उत्पन्न कर रहे हैं। यह आपके RADIUS सर्वर की I/O क्षमता को बहुत तेज़ी से संतृप्त कर देगा। अधिकांश एंटरप्राइज़ डिप्लॉयमेंट के लिए सबसे सही अंतराल 10 से 15 मिनट का है। यह बिना किसी अस्थिर राइट लोड के परिचालन दृश्यता के लिए पर्याप्त स्पष्टता प्रदान करता है। आइए परिदृश्यों के एक रैपिड-फायर सेट को समझते हैं। परिदृश्य एक: एक वेन्यू मैनेजर रिपोर्ट करता है कि एनालिटिक्स डैशबोर्ड उपयोगकर्ताओं को 48 घंटे तक कनेक्टेड दिखाता है, लेकिन वेन्यू रात भर बंद रहता है। यह एक बासी सत्र (स्टेल सेशन) की समस्या है। Access Points स्टॉप पैकेट नहीं भेज रहे हैं - संभवतः पावर साइकल या नेटवर्क रुकावट के कारण - और डेटाबेस में सत्र कभी बंद नहीं हो रहे हैं। इसका समाधान RADIUS सर्वर पर एक डेड-सत्र क्लीन-अप स्क्रिप्ट लागू करना है। कोई भी सत्र जिसे कॉन्फ़िगर किए गए अंतराल के दो से तीन गुना के भीतर अंतरिम अपडेट नहीं मिला है, उसे स्वचालित रूप से बंद कर दिया जाना चाहिए। परिदृश्य दो: एक रिटेल चेन की सुरक्षा टीम का कहना है कि फ़ायरवॉल लॉग केवल IP एड्रेस दिखाते हैं, जिससे यह ऑडिट करना असंभव हो जाता है कि किस विशिष्ट पॉइंट-ऑफ़-सेल टर्मिनल ने संदिग्ध बाहरी IP को एक्सेस किया। यह सुनिश्चित करें कि Access Points को RADIUS एकाउंटिंग पैकेट में Framed-IP-Address एट्रिब्यूट को शामिल करने के लिए कॉन्फ़िगर किया गया है, और IP एड्रेस को MAC एड्रेस से सहसंबंधित करने के लिए उस RADIUS एकाउंटिंग डेटाबेस को SIEM के साथ एकीकृत करें। परिदृश्य तीन: व्यस्त घंटों के दौरान RADIUS सर्वर पर उच्च CPU लोड का अनुभव हो रहा है, जिससे प्रमाणीकरण में देरी हो रही है।सबसे पहले अंतरिम अपडेट अंतराल (interim update interval) की जांच करें। यदि यह एक बड़े एस्टेट में 1 या 2 मिनट पर सेट है, तो इसे बढ़ाकर 15 मिनट कर दें। यह भी सत्यापित करें कि एकाउंटिंग डेटाबेस में Acct-Session-Id और User-Name कॉलम पर उचित इंडेक्स हैं। बिना इंडेक्स वाले टेबल हर बार डेटा लिखने पर पूरे टेबल को स्कैन करेंगे, जो बड़े पैमाने पर विनाशकारी होता है। और अपने ऑथेंटिकेशन और एकाउंटिंग वर्कलोड को समर्पित सर्वर इंस्टेंस पर अलग करने पर विचार करें। संक्षेप में, अपनी RADIUS एकाउंटिंग इन्फ्रास्ट्रक्चर को लागू करने या उसका ऑडिट करने वाले किसी भी IT मैनेजर या नेटवर्क आर्किटेक्ट के लिए मुख्य निष्कर्ष यहां दिए गए हैं। पहला: RADIUS एकाउंटिंग ऑथेंटिकेशन से अलग है। यह सेशन डेटा को ट्रैक करता है, न कि एक्सेस निर्णयों को। दोनों ही आवश्यक हैं, लेकिन वे विभिन्न परिचालन और अनुपालन उद्देश्यों को पूरा करते हैं। दूसरा: हमेशा Interim-Updates को सक्षम करें। उनके बिना, आपके पास सक्रिय सेशनों में कोई दृश्यता नहीं होगी और बासी रिकॉर्ड का पता लगाने के लिए कोई तंत्र नहीं होगा। तीसरा: वे तीन एट्रिब्यूट जिन्हें आपको हमेशा कैप्चर करना चाहिए, वे हैं Acct-Session-Id, Framed-IP-Address, और Calling-Station-Id। ये तीनों किसी भी सार्थक ऑडिट ट्रेल की नींव बनाते हैं। चौथा: अपने एकाउंटिंग डेटा को एक्सपोर्ट करें। इसे फ्लैट फाइलों में न छोड़ें। इसे एक स्ट्रक्चर्ड डेटाबेस में लिखें, SIEM पर फॉरवर्ड करें, और एक एनालिटिक्स प्लेटफॉर्म में फीड करें। पांचवां: बड़े पैमाने के लिए डिज़ाइन करें। अधिकांश उद्यम डिप्लॉयमेंट के लिए 15 मिनट का अंतरिम अपडेट अंतराल सही संतुलन है। अपनी विशिष्ट अनुपालन आवश्यकताओं और इन्फ्रास्ट्रक्चर क्षमता के आधार पर इसे एडजस्ट करें। मुख्य बात यह है: RADIUS एकाउंटिंग केवल एक अच्छी सुविधा नहीं है। किसी भी विनियमित वातावरण - आतिथ्य, खुदरा, स्वास्थ्य सेवा, सार्वजनिक क्षेत्र में - यह आपके WiFi ऑडिट ट्रेल की नींव है। इसे सही से करें, और आपके पास सुरक्षा, अनुपालन और परिचालन बुद्धिमत्ता के लिए एक शक्तिशाली उपकरण होगा। इसे गलत करें, और आपके ऑडिट ट्रेल में एक कमी रह जाएगी जो बहुत महंगी साबित हो सकती है। Purple टेक्निकल ब्रीफिंग सुनने के लिए धन्यवाद। अगली बार तक।

हमारी मुख्य श्रृंखला का हिस्सा: The Enterprise WiFi Security Guide →

RFC 2866 & 802.1X Architecture Sizer

RADIUS accounting sizing and session audit advisor

Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.

1,200
10015,000 devices
360s (6 min)
60s (aggressive)1800s (30m)
8h
30 mins16 hours
Drives the daily session count, and so every storage figure below. This was fixed at 24 hours, which has an 8-hour-dwell office taking new sessions all night.
Peak accounting throughput
8.5 PPS
Steady: 3.4 PPS
WAN uplink bandwidth
32.6 Kbps
Steady: 13.1 Kbps (480 B/pkt)
Daily turnover sessions
1,800
~82 pkts per session
Storage (90d retention)
3.5 GB
+39.3 MB / day
Interim interval in the practical band (120s - 900s)
RFC 2869 defines Acct-Interim-Interval and sets a floor rather than a band, so 120-900s is operational practice, not a standard. Session state stays fresh to within one interval, which is also the worst-case lag on quota enforcement.

RADIUS packet rate and database write analysis

RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.

Packet rate breakdown
  • Accounting-Start: 0.04 req/s average baseline
  • Interim-Update: 3.33 req/s continuous heartbeat flow
  • Accounting-Stop: 0.04 req/s closure telemetry
  • Morning rush burst (2.5x): 8.5 requests per second peak
Database storage & buffer strategy
  • Daily table growth: 39.3 MB / 24-hour cycle
  • 90-day retention total: 3.5 GB uncompressed index pool
  • Recommended SQL pooling: Minimum 8 worker threads
  • Table partitioning: Standard B-tree indexes sufficient
Scale your cloud RADIUS and session telemetry with Purple
Deploy resilient cloud AAA infrastructure with automated interim accounting, audit logs, and compliance reporting.
Explore enterprise security guide
Useful? Link to this tool

RADIUS Accounting: सेशन, उपयोग और ऑडिट लॉग को ट्रैक करना

कार्यकारी सारांश

एंटरप्राइज IT और नेटवर्क ऑपरेशंस टीमों के लिए, WiFi नेटवर्क पर उपयोगकर्ताओं को प्रमाणित करना केवल आधी लड़ाई है। एक बार जब कोई डिवाइस कनेक्ट हो जाता है, तो यह समझना कि वह डिवाइस क्या करता है - वह कितने समय तक कनेक्टेड रहता है, कितना डेटा उपभोग करता है, और कब डिस्कनेक्ट होता है - सुरक्षा, क्षमता योजना और नियामक अनुपालन के लिए महत्वपूर्ण है। यही वह जगह है जहां RADIUS accounting अनिवार्य हो जाता है। जबकि RADIUS प्रमाणीकरण नेटवर्क एक्सेस के कौन और कैसे को संभालता है, RADIUS accounting क्या, कब और कितना को सावधानीपूर्वक रिकॉर्ड करता है।

यह गाइड RADIUS accounting का एक तकनीकी विश्लेषण प्रदान करती है, जिसमें Start, Stop, और Interim-Update पैकेट्स की कार्यप्रणाली और उन्हें मूल्यवान बनाने वाले एट्रिब्यूट्स की खोज की गई है। यह रेखांकित करता है कि कैसे Hospitality, Retail, और अन्य क्षेत्रों में वेन्यू ऑपरेटर्स मजबूत ऑडिट ट्रेल्स बनाए रखने, GDPR अनुपालन सुनिश्चित करने और SIEM प्लेटफॉर्म या WiFi Analytics सिस्टम में उपयोगी इंटेलिजेंस फीड करने के लिए इस डेटा का लाभ उठा सकते हैं। RADIUS accounting में महारत हासिल करके, नेटवर्क आर्किटेक्ट्स कच्चे सेशन लॉग्स को रणनीतिक संपत्तियों में बदल सकते हैं जो परिचालन दक्षता को बढ़ाते हैं और जोखिम को कम करते हैं।

तकनीकी विश्लेषण

RADIUS Accounting बनाम RADIUS Authentication

RFC 2865 में परिभाषित और RFC 2866 में एकाउंटिंग के लिए विस्तारित RADIUS (रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस), एक क्लाइंट-सर्वर मॉडल पर काम करता है। एक सामान्य एंटरप्राइज WiFi परिनियोजन में, एक्सेस पॉइंट (AP) या वायरलेस LAN कंट्रोलर (WLC) Network Access Server (NAS) - RADIUS क्लाइंट के रूप में कार्य करता है। RADIUS सर्वर (जैसे, FreeRADIUS, Cisco ISE, Aruba ClearPass) अनुरोधों को प्राप्त और संसाधित करता है।

प्रमाणीकरण और एकाउंटिंग के बीच का अंतर मौलिक है:

आयाम RADIUS Authentication RADIUS Accounting
उद्देश्य पहचान सत्यापित करना और पहुंच प्रदान करना/अस्वीकार करना सेशन के उपयोग और गतिविधि को रिकॉर्ड करना
UDP पोर्ट 1812 1813
RFC संदर्भ RFC 2865 RFC 2866
पैकेट प्रकार Access-Request, Access-Accept, Access-Reject Accounting-Request (Start/Stop/Interim)
कैप्चर किया गया डेटा क्रेडेंशियल, VLAN असाइनमेंट, पॉलिसी सेशन का समय, ट्रांसफर किए गए बाइट्स, IP पता
अनुपालन भूमिका एक्सेस कंट्रोल ऑडिट ट्रेल, वैध इंटरसेप्ट

बड़े पैमाने पर Guest WiFi को परिनियोजित करने वाली टीमों के लिए, दोनों कार्य आवश्यक हैं - लेकिन एकाउंटिंग वह है जो आपको अनुपालन और सुरक्षित रखता है।

तीन एकाउंटिंग पैकेट प्रकार

RADIUS accounting तीन प्राथमिक Accounting-Request पैकेट प्रकारों पर निर्भर करता है, जिनमें से प्रत्येक Acct-Status-Type एट्रिब्यूट द्वारा परिभाषित होता है:

  1. Start (Acct-Status-Type = 1): NAS द्वारा तब भेजा जाता है जब कोई उपयोगकर्ता सफलतापूर्वक कनेक्ट होता है और एक सत्र शुरू होता है। यह उपयोगकर्ता की पहचान, डिवाइस का MAC एड्रेस, असाइन किया गया IP एड्रेस और उपयोगकर्ता जिस AP से कनेक्ट हुआ है, उसे कैप्चर करके एकाउंटिंग डेटाबेस में बेसलाइन रिकॉर्ड स्थापित करता है।

  2. Interim-Update (Acct-Status-Type = 3): एक सक्रिय सत्र के दौरान समय-समय पर भेजा जाता है। ये पैकेट वर्तमान उपयोग का विवरण प्रदान करते हैं - जैसे ट्रांसफर किए गए बाइट्स, सत्र की अवधि और पैकेट की संख्या। ये यह पुष्टि करने के लिए एक हार्टबीट के रूप में कार्य करते हैं कि सत्र अभी भी सक्रिय है और डिस्कनेक्ट होने की प्रतीक्षा किए बिना लंबे समय तक चलने वाले सत्रों की दृश्यता प्रदान करते हैं।

  3. Stop (Acct-Status-Type = 2): सत्र समाप्त होने पर भेजा जाता है - चाहे वह उपयोगकर्ता द्वारा डिस्कनेक्ट करने, AP रीबूट, निष्क्रिय टाइमआउट, या सत्र टाइमआउट के कारण हो। इसमें पूरे सत्र के लिए अंतिम, संचयी आँकड़े होते हैं।

RADIUS Accounting: सेशन, उपयोग और ऑडिट लॉग को ट्रैक करना - radius packet flow diagram

चित्र 1: एक WiFi सत्र में RADIUS एकाउंटिंग पैकेट का लाइफसाइकल।

प्रमुख एकाउंटिंग एट्रिब्यूट्स

सत्रों को प्रभावी ढंग से ट्रैक करने और मजबूत ऑडिट लॉग बनाने के लिए, NAS विशिष्ट एट्रिब्यूट्स के साथ Accounting-Request पैकेट भरता है। निम्नलिखित परिचालन रूप से सबसे महत्वपूर्ण हैं:

एट्रिब्यूट विवरण अनुपालन प्रासंगिकता
Acct-Session-Id NAS द्वारा जनरेट किया गया विशिष्ट सत्र पहचानकर्ता Start, Interim, और Stop रिकॉर्ड को सहसंबद्ध करने के लिए प्राथमिक कुंजी
User-Name प्रमाणित पहचान (यूज़रनेम या MAC एड्रेस) सत्र को किसी विशिष्ट उपयोगकर्ता या डिवाइस से मैप करता है
NAS-IP-Address रिपोर्टिंग AP या WLC का IP एड्रेस नेटवर्क सेगमेंट और भौतिक स्थान की पहचान करता है
Framed-IP-Address क्लाइंट डिवाइस को असाइन किया गया IP एड्रेस फ़ायरवॉल और वेब प्रॉक्सी लॉग के साथ सहसंबंध के लिए महत्वपूर्ण
Calling-Station-Id क्लाइंट डिवाइस का MAC एड्रेस ऑडिट ट्रेल के लिए डिवाइस-लेयर पहचान
Called-Station-Id AP और SSID का MAC एड्रेस उस विशिष्ट रेडियो और नेटवर्क की पहचान करता है जिससे उपयोगकर्ता कनेक्ट हुआ है
Acct-Input-Octets क्लाइंट से प्राप्त बाइट्स बैंडविड्थ मॉनिटरिंग और क्षमता योजना
Acct-Output-Octets क्लाइंट को भेजे गए बाइट्स बैंडविड्थ मॉनिटरिंग और क्षमता योजना
Acct-Session-Time सेकंड में सत्र की अवधि ड्वेल टाइम एनालिटिक्स और बिलिंग
Acct-Terminate-Cause सत्र समाप्त होने का कारण समस्या निवारण और विसंगति का पता लगाना

802.1X प्रमाणीकरण के साथ काम करने वाली टीमों के लिए, User-Name एट्रिब्यूट में EAP एक्सचेंज से प्रमाणित पहचान शामिल होगी, जो अकेले MAC Authentication Bypass (MAB) की तुलना में अधिक समृद्ध ऑडिट ट्रेल प्रदान करती है।

-

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।

कार्यान्वयन गाइड

एक मजबूत RADIUS accounting इंफ्रास्ट्रक्चर को तैनात करने के लिए NAS और RADIUS सर्वर दोनों स्तरों पर सावधानीपूर्वक कॉन्फ़िगरेशन की आवश्यकता होती है। एक विश्वसनीय accounting पाइपलाइन स्थापित करने के लिए विक्रेता-तटस्थ (vendor-neutral) दृष्टिकोण नीचे दिया गया है।

चरण 1: NAS (Access Points / Controllers) को कॉन्फ़िगर करें

NAS कॉन्फ़िगरेशन वह जगह है जहाँ अधिकांश परिनियोजन (deployments) विफल हो जाते हैं। एडमिनिस्ट्रेटर अक्सर प्रमाणीकरण को सही ढंग से कॉन्फ़िगर करते हैं लेकिन accounting को डिफ़ॉल्ट सेटिंग्स पर छोड़ देते हैं या पूरी तरह से अक्षम कर देते हैं।

  • Accounting सर्वर को परिभाषित करें: RADIUS सर्वर का IP एड्रेस और UDP पोर्ट 1813 के लिए साझा रहस्य (shared secret) निर्दिष्ट करें। उच्च-उपलब्धता (high-availability) वाले परिनियोजन में, प्राथमिक सर्वर के अनुपलब्ध होने पर डेटा हानि को रोकने के लिए एक माध्यमिक (secondary) accounting सर्वर कॉन्फ़िगर करें।
  • Interim Updates सक्षम करें: यह सबसे महत्वपूर्ण कॉन्फ़िगरेशन चरण है। एक उपयुक्त अंतराल सेट करें - आमतौर पर उद्यम परिनियोजन के लिए 10 से 15 मिनट। कम अंतराल (जैसे, 1 मिनट) अधिक विस्तृत डेटा प्रदान करते हैं लेकिन बड़े पैमाने पर अस्थिर राइट लोड उत्पन्न करते हैं; लंबे अंतराल (जैसे, 30 मिनट) ओवरहेड को कम करते हैं लेकिन सक्रिय सत्रों की दृश्यता में देरी करते हैं।
  • समय सिंक्रनाइज़ेशन सुनिश्चित करें: सभी NAS उपकरणों और RADIUS सर्वर पर NTP कॉन्फ़िगर करें। ऑडिट लॉग और SIEM सहसंबंध के लिए सटीक टाइमस्टैम्प गैर-परक्राम्य हैं। कानूनी इंटरसेप्ट परिदृश्य में 5-मिनट का क्लॉक ड्रिफ्ट ऑडिट ट्रेल को अमान्य कर सकता है।

चरण 2: RADIUS सर्वर को कॉन्फ़िगर करें

  • डेटाबेस एकीकरण: RADIUS सर्वर को फ्लैट टेक्स्ट फ़ाइलों के बजाय एक संरचित रिलेशनल डेटाबेस (जैसे, PostgreSQL, MySQL) में accounting डेटा लॉग करने के लिए कॉन्फ़िगर करें। संरचित स्टोरेज कुशल क्वेरी, इंडेक्सिंग और डाउनस्ट्रीम सिस्टम के साथ एकीकरण को सक्षम बनाता है। सुनिश्चित करें कि Acct-Session-Id, User-Name, Framed-IP-Address, और सत्र प्रारंभ टाइमस्टैम्प पर इंडेक्स मौजूद हैं।
  • डेटा प्रतिधारण नीतियां (Data Retention Policies): अपनी अनुपालन आवश्यकताओं के अनुरूप स्वचालित संग्रह (archival) या पर्ज स्क्रिप्ट लागू करें। GDPR अनुच्छेद 5(1)(e) के तहत डेटा को आवश्यकता से अधिक समय तक न रखने की आवश्यकता होती है; हालाँकि, कई न्यायक्षेत्रों में कानूनी इंटरसेप्ट नियम (जैसे, यूके का Investigatory Powers Act 2016) 12 महीने तक डेटा प्रतिधारण की आवश्यकता रख सकते हैं।

चरण 3: डेटा पाइपलाइन का निर्माण करें

Accounting डेटा के मूल्य को अधिकतम करने के लिए, इसे उपभोग प्लेटफार्मों पर निर्यात किया जाना चाहिए जहाँ इसे क्वेरी, सहसंबद्ध (correlate) और विज़ुअलाइज़ किया जा सके।

  • SIEM एकीकरण: Syslog या REST API का उपयोग करके अपने SIEM (जैसे, Splunk, Microsoft Sentinel, IBM QRadar) को लॉग अग्रेषित करने के लिए RADIUS सर्वर या अंतर्निहित डेटाबेस को कॉन्फ़िगर करें। यह सुरक्षा टीमों को फ़ायरवॉल ब्लॉक, घुसपैठ का पता लगाने वाले अलर्ट, या डेटा हानि की रोकथाम के ट्रिगर के साथ WiFi प्रमाणीकरण घटनाओं को सहसंबद्ध करने में सक्षम बनाता है।- एनालिटिक्स एकीकरण: सेशन डेटा को Purple के WiFi Analytics जैसे प्लेटफॉर्म पर भेजें ताकि रॉ बाइट्स और MAC एड्रेस को फुटफॉल, ड्वेल टाइम (ठहराव समय) और पीक उपयोग अवधि के व्यावहारिक विश्लेषण में बदला जा सके। यह विशेष रूप से Retail और Hospitality ऑपरेटरों के लिए मूल्यवान है जिन्हें वास्तविक उपयोग पैटर्न के साथ स्टाफिंग और इंफ्रास्ट्रक्चर निवेश को संरेखित करने की आवश्यकता होती है।

RADIUS Accounting: सेशन, उपयोग और ऑडिट लॉग को ट्रैक करना - siem integration overview

चित्र 2: Access Points से SIEM और एनालिटिक्स प्लेटफॉर्म तक का RADIUS एकाउंटिंग डेटा पाइपलाइन।

सर्वश्रेष्ठ अभ्यास (Best Practices)

हमेशा Interim Updates का उपयोग करें। केवल Start और Stop पैकेट्स पर निर्भर रहने से ऑपरेशनल ब्लाइंड स्पॉट बनते हैं। कनेक्शन टूटने या AP पावर फेल होने से Stop पैकेट भेजने में रुकावट आ सकती है, जिससे डेटाबेस में एक पुराना सेशन हमेशा के लिए बना रह सकता है। Interim updates इन पुराने सेशन का पता लगाने और उन्हें बंद करने का तंत्र प्रदान करते हैं। सामान्य नियम: यदि किसी सेशन ने कॉन्फ़िगर किए गए अंतराल के दो से तीन गुना के भीतर interim update नहीं भेजा है, तो इसे समाप्त मान लें।

DHCP लॉग के साथ RADIUS Accounting को सहसंबंधित करें। RADIUS accounting Framed-IP-Address प्रदान करता है, लेकिन कुछ वातावरणों में DHCP लीज का समय सेशन की अवधि से कम हो सकता है। RADIUS लॉग के साथ DHCP लॉग बनाए रखना अधिक लचीला ऑडिट ट्रेल प्रदान करता है, विशेष रूप से उच्च घनत्व वाले स्थानों में जहां IP एड्रेस रीसाइक्लिंग अक्सर होती है।

RadSec के साथ ट्रांसपोर्ट को सुरक्षित करें। पारंपरिक RADIUS ट्रैफ़िक न्यूनतम एन्क्रिप्शन के साथ UDP पर प्रेषित किया जाता है - केवल यूजर पासवर्ड फ़ील्ड को अस्पष्ट किया जाता है। वितरित डिप्लॉयमेंट में, विशेष रूप से कई साइटों या क्लाउड-होस्टेड RADIUS सर्वर वाले डिप्लॉयमेंट में, ट्रांजिट में अकाउंटिंग डेटा को सुरक्षित रखने के लिए RadSec (TLS पर RADIUS, RFC 6614 में परिभाषित) या IPsec टनल का उपयोग करें। कार्डधारक डेटा को संभालने वाले किसी भी नेटवर्क के लिए PCI-DSS 4.0 के तहत यह एक आवश्यकता है।

अकाउंटिंग कतार (Accounting Queue) की निगरानी करें। यदि RADIUS सर्वर अनुपलब्ध हो जाता है, तो NAS डिवाइस अकाउंटिंग पैकेट्स को स्थानीय रूप से कतारबद्ध करेंगे। इस कतार की लंबाई की निगरानी करें; कतार भरने के परिणामस्वरूप पैकेट ड्रॉप हो सकते हैं और ऑडिट डेटा खो सकता है। कतार की गहराई पर अलर्ट कॉन्फ़िगर करें और उच्च-उपलब्धता वाले डिप्लॉयमेंट के लिए एक सेकेंडरी अकाउंटिंग सर्वर लागू करें।

बड़े पैमाने पर प्रमाणीकरण और अकाउंटिंग सर्वर को अलग करें। 5,000 से अधिक समवर्ती उपयोगकर्ताओं वाले डिप्लॉयमेंट में, अकाउंटिंग से होने वाला राइट लोड प्रमाणीकरण प्रतिक्रिया समय को धीमा कर सकता है। अलग डेटाबेस इंस्टेंस वाले समर्पित अकाउंटिंग सर्वर इस टकराव को रोकते हैं।

समस्या निवारण और जोखिम न्यूनीकरण

पुराना सेशन (Stale Session) की समस्या

लक्षण: RADIUS डेटाबेस दिखाता है कि एक उपयोगकर्ता 48 घंटों से कनेक्टेड है, लेकिन स्थान रात भर के लिए बंद था।

मूल कारण: NAS एक Stop पैकेट भेजने में विफल रहा - आमतौर पर पावर फेल होने, AP रीबूट होने, या नेटवर्क में व्यवधान के कारण - और पैकेट RADIUS सर्वर द्वारा कभी प्राप्त नहीं हुआ था।

शमन: RADIUS सर्वर पर एक डेड-सेशन क्लीन-अप स्क्रिप्ट लागू करें। स्क्रिप्ट को समय-समय पर सक्रिय सेशन को स्कैन करना चाहिए जहां अंतिम प्राप्त पैकेट (Start या Interim-Update) एक परिभाषित सीमा (जैसे, interim update अंतराल का 2.5 गुना) से पुराना हो। इस सीमा से अधिक होने वाले सेशन को एक कृत्रिम Stop रिकॉर्ड के साथ जबरन बंद कर दिया जाना चाहिए, जिसमें समाप्ति का कारण 'Lost-Carrier' या 'Admin-Reset' दर्ज किया जाए।

उच्च RADIUS सर्वर CPU और I/O लोड

लक्षण: पीक आवर्स के दौरान प्रमाणीकरण प्रतिक्रिया समय धीमा हो जाता है; RADIUS सर्वर उच्च CPU और डिस्क I/O की रिपोर्ट करता है।

मूल कारण: हजारों APs पर एक अत्यधिक आक्रामक interim update अंतराल (जैसे, 1 मिनट) डेटाबेस राइट्स की एक अस्थिर मात्रा उत्पन्न करता है।

Mitigation: अंतरिम अपडेट अंतराल को बढ़ाकर 15 मिनट करें। सत्यापित करें कि अकाउंटिंग डेटाबेस में उचित इंडेक्स हैं। प्रमाणीकरण (authentication) और अकाउंटिंग को समर्पित सर्वर इंस्टेंस पर अलग करने पर विचार करें। यह मूल्यांकन करें कि क्या उच्च-मात्रा वाले अकाउंटिंग डेटा के लिए रिलेशनल डेटाबेस की तुलना में टाइम-सीरीज डेटाबेस (जैसे, InfluxDB) अधिक उपयुक्त है।

अकाउंटिंग रिकॉर्ड में Framed-IP-Address का अनुपस्थित होना

Symptom: RADIUS अकाउंटिंग रिकॉर्ड मौजूद हैं, लेकिन Framed-IP-Address फ़ील्ड खाली या अनुपस्थित है, जिससे IP-to-MAC सहसंबंध असंभव हो जाता है।

Root Cause: DHCP द्वारा क्लाइंट को IP एड्रेस असाइन करने से पहले NAS शायद Start पैकेट भेज रहा है। IP केवल DHCP एक्सचेंज पूरा होने के बाद ही उपलब्ध होता है।

Mitigation: यदि प्लेटफ़ॉर्म इसका समर्थन करता है, तो DHCP असाइनमेंट के बाद तक Start पैकेट भेजने में देरी करने के लिए NAS को कॉन्फ़िगर करें। वैकल्पिक रूप से, Interim-Update पैकेट्स पर भरोसा करें, जो DHCP असाइनमेंट के बाद भेजे जाते हैं और जिनमें Framed-IP-Address शामिल होगा। सुनिश्चित करें कि आपके ऑडिट प्रश्न Interim-Update रिकॉर्ड्स की जांच करके इसका ध्यान रखें यदि Start रिकॉर्ड में IP की कमी है।

ROI और व्यावसायिक प्रभाव

मजबूत RADIUS अकाउंटिंग को लागू करना तीन आयामों में मापने योग्य व्यावसायिक मूल्य प्रदान करता है:

अनुपालन और कानूनी जोखिम न्यूनीकरण। सुरक्षा घटना, GDPR के तहत डेटा विषय पहुंच अनुरोध, या एक वैध इंटरसेप्ट ऑर्डर के मामले में, सटीक अकाउंटिंग लॉग आवश्यक ऑडिट ट्रेल प्रदान करते हैं ताकि यह पहचाना जा सके कि किस उपयोगकर्ता या डिवाइस के पास एक विशिष्ट समय पर एक विशिष्ट IP एड्रेस था। इसके बिना, संगठनों को GDPR के तहत संभावित नियामक दंड (वैश्विक वार्षिक कारोबार का 4% तक) और प्रतिष्ठा को नुकसान का सामना करना पड़ता है। उचित अकाउंटिंग इंफ्रास्ट्रक्चर को लागू करने की लागत एकल नियामक प्रवर्तन कार्रवाई की लागत का एक छोटा सा अंश है।

क्षमता नियोजन और इंफ्रास्ट्रक्चर ROI। समय के साथ Acct-Input-Octets और Acct-Output-Octets रुझानों का विश्लेषण करके, नेटवर्क आर्किटेक्ट बैंडविड्थ खपत पैटर्न, चरम उपयोग अवधि और उच्चतम लोड उत्पन्न करने वाले विशिष्ट AP या SSIDs की पहचान कर सकते हैं। यह डेटा सीधे WAN अपग्रेड निर्णयों और AP प्लेसमेंट रणनीतियों को सूचित करता है, यह सुनिश्चित करता है कि इंफ्रास्ट्रक्चर निवेश को वहां निर्देशित किया जाए जहां यह सबसे बड़ा प्रभाव प्रदान करता है। परिवहन केंद्रों और बड़े स्थानों के लिए, यह महत्वपूर्ण पूंजीगत व्यय बचत का प्रतिनिधित्व कर सकता है।

उन्नत एनालिटिक्स और वेन्यू इंटेलिजेंस। जब RADIUS सेशन डेटा को Purple के WiFi Analytics और Sensors जैसे प्लेटफॉर्म के साथ जोड़ा जाता है, तो रॉ एकाउंटिंग डेटा वेन्यू इंटेलिजेंस में बदल जाता है। सेशन की अवधि से प्राप्त ड्वेल टाइम मेट्रिक्स, Calling-Station-Id इतिहास से बार-बार आने वाले विजिटर्स की पहचान, और समवर्ती सेशन काउंट से पीक ऑक्यूपेंसी विश्लेषण सभी उपलब्ध हो जाते हैं। Hospitality ऑपरेटरों के लिए, यह डेटा सीधे स्टाफिंग मॉडल, F&B प्लेसमेंट और मार्केटिंग वैयक्तिकरण रणनीतियों को सूचित करता है। WiFi इंफ्रास्ट्रक्चर इन क्षमताओं को कैसे मजबूत बनाता है, इस पर अधिक संदर्भ के लिए Wireless Access Points और Modern Hospitality WiFi Solutions पर हमारे गाइड देखें।

मुख्य परिभाषाएं

RADIUS Accounting

उपयोगकर्ता नेटवर्क संसाधन खपत के बारे में डेटा एकत्र करने और रिकॉर्ड करने की प्रक्रिया, जिसमें सत्र शुरू और समाप्त होने का समय, ट्रांसफर किया गया डेटा वॉल्यूम और IP एड्रेस असाइनमेंट शामिल है। RFC 2866 में परिभाषित।

किसी भी एंटरप्राइज़ WiFi परिनियोजन में बिलिंग, क्षमता योजना, GDPR अनुपालन और सुरक्षा ऑडिट ट्रेल्स को बनाए रखने के लिए आवश्यक है।

Acct-Status-Type

एक RADIUS एट्रिब्यूट (एट्रिब्यूट ID 40) जो अकाउंटिंग पैकेट के उद्देश्य को दर्शाता है। मानों में Start (1), Stop (2), और Interim-Update (3) शामिल हैं।

RADIUS सर्वर द्वारा यह निर्धारित करने के लिए उपयोग किया जाता है कि नया सत्र रिकॉर्ड बनाना है, किसी मौजूदा रिकॉर्ड को अपडेट करना है, या इसे बंद करना है। किसी भी अकाउंटिंग पैकेट में सबसे मौलिक एट्रिब्यूट।

Interim-Update

सक्रिय सत्र के दौरान NAS द्वारा भेजे जाने वाला एक आवधिक RADIUS अकाउंटिंग पैकेट जो वर्तमान उपयोग के आंकड़े रिपोर्ट करता है, जिसमें ट्रांसफर किए गए बाइट्स और सत्र की अवधि शामिल है।

लंबे समय तक चलने वाले सत्रों को ट्रैक करने और यदि कोई क्लाइंट Stop पैकेट भेजे बिना अप्रत्याशित रूप से डिस्कनेक्ट हो जाता है तो निष्क्रिय सत्रों का पता लगाने के लिए महत्वपूर्ण है।

Acct-Session-Id

एक विशिष्ट उपयोगकर्ता कनेक्शन इंस्टेंस की पहचान करने के लिए NAS द्वारा जनरेट की गई एक अद्वितीय स्ट्रिंग। यह मान उसी सत्र के लिए सभी अकाउंटिंग पैकेट्स (Start, Interim-Update, Stop) में सुसंगत रहता है।

एक ही सत्र से संबंधित सभी अकाउंटिंग रिकॉर्ड्स को सहसंबद्ध करने के लिए उपयोग की जाने वाली प्राथमिक कुंजी। इसके बिना, एक पूर्ण सत्र इतिहास को पुनर्गठित करना असंभव है।

NAS (Network Access Server)

वह डिवाइस - आमतौर पर एक वायरलेस एक्सेस पॉइंट या वायरलेस LAN कंट्रोलर - जो नेटवर्क तक भौतिक पहुंच को नियंत्रित करता है और RADIUS क्लाइंट के रूप में कार्य करता है, जो अकाउंटिंग पैकेट जनरेट और भेजता है।

NAS अकाउंटिंग डेटा की सटीकता और पूर्णता के लिए जिम्मेदार है। NAS स्तर पर गलत कॉन्फ़िगरेशन (जैसे अक्षम अकाउंटिंग, गुम एट्रिब्यूट्स) को RADIUS सर्वर स्तर पर ठीक नहीं किया जा सकता है।

Framed-IP-Address

सत्र की अवधि के लिए क्लाइंट डिवाइस को असाइन किया गया IP एड्रेस, जो RADIUS अकाउंटिंग पैकेट्स में शामिल होता है।

RADIUS अकाउंटिंग लॉग को फ़ायरवॉल, वेब प्रॉक्सी, या DNS लॉग जैसे अन्य नेटवर्क लॉग के साथ सहसंबद्ध करने के लिए महत्वपूर्ण है। इस एट्रिब्यूट की अनुपस्थिति IP-से-डिवाइस सहसंबंध को असंभव बनाती है।

Calling-Station-Id

आमतौर पर नेटवर्क से कनेक्ट होने वाले क्लाइंट डिवाइस का MAC एड्रेस, जो कोलन-सेपरेटेड हेक्साडेसिमल स्ट्रिंग (जैसे AA:BB:CC:DD:EE:FF) के रूप में स्वरूपित होता है।

विशिष्ट हार्डवेयर डिवाइस की पहचान करने के लिए उपयोग किया जाता है, चाहे उसे कोई भी IP एड्रेस असाइन किया गया हो। ऑडिट ट्रेल का डिवाइस-लेयर एंकर।

Acct-Terminate-Cause

Stop पैकेट्स में शामिल एक एट्रिब्यूट जो सत्र समाप्त होने का कारण निर्दिष्ट करता है। सामान्य मानों में User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout, और Admin-Reset शामिल हैं।

कनेक्टिविटी समस्याओं के निवारण और विसंगति का पता लगाने के लिए मूल्यवान - उदाहरण के लिए, एक विशिष्ट AP पर Lost-Carrier टर्मिनेशन की उच्च दर हार्डवेयर या हस्तक्षेप की समस्या का संकेत दे सकती है।

RadSec

TLS (Transport Layer Security) पर RADIUS, जो RFC 6614 में परिभाषित है। पारंपरिक UDP-आधारित ट्रांसपोर्ट को प्रतिस्थापित करते हुए RADIUS पैकेट्स के लिए एन्क्रिप्टेड और प्रमाणित ट्रांसपोर्ट प्रदान करता है।

ऐसे किसी भी परिनियोजन में आवश्यक है जहाँ RADIUS ट्रैफ़िक अविश्वसनीय नेटवर्क (जैसे इंटरनेट-कनेक्टेड क्लाउड RADIUS सर्वर) से होकर गुजरता है। कार्डधारक डेटा वातावरण के लिए PCI-DSS 4.0 द्वारा तेजी से अनिवार्य किया जा रहा है।

हल किए गए उदाहरण

कॉन्फ्रेंस सुविधाओं वाला एक 300 कमरों का होटल एक नया गेस्ट WiFi नेटवर्क तैनात कर रहा है। IT मैनेजर को यह सुनिश्चित करने की आवश्यकता है कि यह तैनाती डेटा न्यूनीकरण और ऑडिट ट्रेल की पूर्णता के लिए GDPR आवश्यकताओं को पूरा करती है, जबकि मार्केटिंग टीम को ड्वेल टाइम (निवास समय) और दोबारा आने वाले विजिटर्स का एनालिटिक्स भी प्रदान करती है। होटल क्लाउड-होस्टेड RADIUS सर्वर और Cisco Meraki APs का उपयोग करता है।

तैनाती को निम्नानुसार कॉन्फ़िगर किया जाना चाहिए। Meraki डैशबोर्ड पर, Network-wide > RADIUS servers पर जाएं और एक मजबूत साझा रहस्य (shared secret) के साथ पोर्ट 1813 पर क्लाउड RADIUS सर्वर जोड़ें। accounting को सक्षम करें और अंतरिम अपडेट अंतराल को 15 मिनट पर सेट करें। RADIUS सर्वर पर, निम्नलिखित स्कीमा के साथ PostgreSQL डेटाबेस में लिखने के लिए accounting कॉन्फ़िगर करें: session_id (प्राथमिक कुंजी), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause। एक डेटा प्रतिधारण नीति (data retention policy) लागू करें जो 12 महीने से पुराने रिकॉर्ड को स्वचालित रूप से कोल्ड स्टोरेज में आर्काइव करती है और 24 महीने से पुराने रिकॉर्ड को हटा देती है, जिसे होटल के GDPR प्रोसेसिंग गतिविधियों के रिकॉर्ड में प्रलेखित किया गया है। सेशन डेटा को इनगेस्ट करने के लिए एक Purple WiFi Analytics एकीकरण कॉन्फ़िगर करें, जिससे मार्केटिंग टीम ड्वेल टाइम रिपोर्ट और दोबारा आने वाले विजिटर्स की आवृत्ति के डैशबोर्ड तक पहुंच सके। यह सुनिश्चित करें कि NTP सभी Meraki APs और RADIUS सर्वर पर 1 सेकंड के भीतर सिंक्रनाइज़ हो।

परीक्षक की टिप्पणी: यह परिदृश्य RADIUS accounting के दोहरे उद्देश्य को प्रदर्शित करता है: अनुपालन और एनालिटिक्स। 15 मिनट का अंतरिम अपडेट अंतराल होटल के माहौल के लिए उपयुक्त है जहां सेशन दिनों तक चल सकते हैं। PostgreSQL स्कीमा डिज़ाइन यह सुनिश्चित करता है कि अनावश्यक डेटा संग्रह से बचते हुए सभी GDPR-प्रासंगिक फ़ील्ड कैप्चर किए जाएं। 12/24 महीने की प्रतिधारण नीति UK इन्वेस्टिगेटरी पावर्स एक्ट की आवश्यकताओं को GDPR डेटा न्यूनीकरण सिद्धांतों के साथ संतुलित करती है।

150 स्टोर वाली एक रिटेल श्रृंखला को नेटवर्क एक्सेस मॉनिटरिंग के लिए PCI DSS 4.0 आवश्यकताओं का अनुपालन करना आवश्यक है। उनके पॉइंट-ऑफ-सेल टर्मिनल WiFi नेटवर्क पर MAC Authentication Bypass (MAB) का उपयोग करते हैं। सुरक्षा टीम को उनके QSA (क्वालीफाइड सिक्योरिटी एसेसर) से यह प्रदर्शित करने का अनुरोध प्राप्त हुआ है कि वे फ़ायरवॉल लॉग से केवल एक सोर्स IP एड्रेस और टाइमस्टैम्प का उपयोग करके यह पहचान कर सकते हैं कि किसी दिए गए समय पर किस विशिष्ट POS टर्मिनल ने भुगतान नेटवर्क तक पहुंच बनाई थी।

इस समाधान के लिए तीन-घटक एकीकरण की आवश्यकता है। पहला, सत्यापित करें कि सभी वायरलेस LAN कंट्रोलर RADIUS accounting पैकेट में Framed-IP-Address गुण को शामिल करने के लिए कॉन्फ़िगर किए गए हैं। यह हमेशा डिफ़ॉल्ट रूप से सक्षम नहीं होता है और इसे स्पष्ट रूप से कॉन्फ़िगर किया जाना चाहिए। दूसरा, RADIUS accounting डेटाबेस को SIEM प्लेटफॉर्म (जैसे, Splunk) के साथ एकीकृत करें। Splunk में एक लुकअप टेबल बनाएं जो Framed-IP-Address और सेशन समय सीमा को Calling-Station-Id (MAC एड्रेस) से मैप करती है। तीसरा, एक Splunk सहेजा गया खोज (saved search) बनाएं जो इनपुट के रूप में एक सोर्स IP और टाइमस्टैम्प को स्वीकार करता है और RADIUS accounting रिकॉर्ड से संबंधित MAC एड्रेस, NAS-IP-Address (स्टोर और AP की पहचान करने वाला), और User-Name लौटाता है। फिर QSA को यह वर्कफ़्लो प्रदर्शित किया जा सकता है: एक विशिष्ट तिथि पर 14:23:07 बजे सोर्स IP 10.5.12.44 दिखाने वाली फ़ायरवॉल लॉग प्रविष्टि दिए जाने पर, खोज POS टर्मिनल का MAC एड्रेस, वह AP जिससे वह जुड़ा था, और स्टोर का स्थान लौटाती है।

परीक्षक की टिप्पणी: यह परिदृश्य नेटवर्क-लेयर पहचान (IP एड्रेस) और डिवाइस-लेयर पहचान (MAC एड्रेस) के बीच के अंतर को पाटने में Framed-IP-Address एट्रिब्यूट की महत्वपूर्ण भूमिका पर प्रकाश डालता है। इस प्रकार के सहसंबंध के लिए SIEM लुकअप टेबल दृष्टिकोण उद्योग-मानक तरीका है। ध्यान दें कि बहुत कम DHCP लीज समय वाले वातावरणों में, सहसंबंध को पॉइंट-इन-टाइम लुकअप के बजाय टाइम-रेंज क्वेरी का उपयोग करना चाहिए, क्योंकि एक ही IP को एक छोटी अवधि के भीतर कई डिवाइसों को असाइन किया जा सकता है।

अभ्यास प्रश्न

Q1. एक होटल IT मैनेजर ने देखा कि लॉबी और रेस्टोरेंट में अच्छी-खासी भीड़ होने के बावजूद WiFi एनालिटिक्स डैशबोर्ड दिन के दौरान बहुत कम एक्टिव यूजर्स दिखाता है। हालांकि, पिछले दिन की हिस्टोरिकल रिपोर्ट डेटा यूसेज में भारी उछाल दिखाती हैं। RADIUS सर्वर लॉग्स पुष्टि करते हैं कि Start पैकेट प्राप्त हो रहे हैं, लेकिन डेटाबेस बहुत कम Interim-Update रिकॉर्ड दिखाता है। सबसे संभावित मिसकॉन्फ़िगरेशन क्या है, और आप इसे कैसे हल करेंगे?

संकेत: विचार करें कि एक सक्रिय सत्र के दौरान बनाम डिस्कनेक्शन के बिंदु पर डेटा उपयोग की रिपोर्ट कैसे की जाती है।

मॉडल उत्तर देखें

सबसे संभावित कारण यह है कि वायरलेस LAN कंट्रोलर पर Interim-Updates अक्षम हैं या कॉन्फ़िगर नहीं हैं। अंतरिम अपडेट के बिना, RADIUS सर्वर को केवल तब Start पैकेट प्राप्त होता है जब यूजर कनेक्ट होता है और जब वे डिस्कनेक्ट होते हैं तो Stop पैकेट प्राप्त होता है। एनालिटिक्स डैशबोर्ड वर्तमान यूसेज को प्रदर्शित नहीं कर सकता क्योंकि कोई इन-सेशन डेटा रिपोर्ट नहीं किया जा रहा है। एक बार जब यूजर चले जाते हैं और डिस्कनेक्ट हो जाते हैं, तो कुल संचित डेटा के साथ Stop पैकेट आते हैं, जिससे हिस्टोरिकल रिपोर्ट में देरी से उछाल दिखाई देता है। इसका समाधान WLC पर Interim-Updates को सक्षम करना और एक उपयुक्त अंतराल सेट करना है - होटल के माहौल के लिए 15 मिनट की सिफारिश की जाती है। सक्षम करने के बाद, Acct-Status-Type = 3 वाले रिकॉर्ड के लिए एकाउंटिंग डेटाबेस की जांच करके पुष्टि करें कि RADIUS सर्वर को Interim-Update पैकेट प्राप्त हो रहे हैं।

Q2. एक सुरक्षा घटना की जांच के दौरान, आपके SIEM ने फ्लैग किया है कि गेस्ट WiFi नेटवर्क पर एक IP एड्रेस ने किसी विशिष्ट तिथि को 09:47:23 पर एक ज्ञात कमांड-एंड-कंट्रोल सर्वर को एक्सेस किया था। आपको जिम्मेदार फिजिकल डिवाइस की पहचान करने की आवश्यकता है। आपका DHCP लीज टाइम 30 मिनट पर सेट है। उस सटीक क्वेरी लॉजिक का वर्णन करें जिसका उपयोग आप डिवाइस की पहचान करने के लिए RADIUS एकाउंटिंग डेटाबेस के विरुद्ध करेंगे।

संकेत: IP एड्रेस स्टेटिक नहीं होते हैं। आपको पॉइंट-इन-टाइम लुकअप के बजाय टाइम-रेंज क्वेरी का उपयोग करना चाहिए, और DHCP लीज रीसाइक्लिंग का ध्यान रखना चाहिए।

मॉडल उत्तर देखें

आपको उन सेशन के लिए RADIUS एकाउंटिंग डेटाबेस से क्वेरी करनी होगी जहां: (1) Framed-IP-Address फ्लैग किए गए IP एड्रेस के बराबर हो, AND (2) session_start टाइमस्टैम्प 09:47:23 से पहले या उसके बराबर हो, AND (3) या तो session_end टाइमस्टैम्प 09:47:23 के बाद या उसके बराबर हो, OR session_end NULL हो (क्वेरी के समय सेशन अभी भी एक्टिव है)। यदि कई सेशन मेल खाते हैं (30 मिनट के DHCP लीज के साथ संभव है), तो यह पुष्टि करने के लिए Interim-Update रिकॉर्ड की समीक्षा करें कि कौन सा सेशन 09:47:23 पर सक्रिय रूप से यूसेज रिपोर्ट कर रहा था। मैचिंग सेशन रिकॉर्ड में Calling-Station-Id (डिवाइस का MAC एड्रेस) और User-Name (प्रमाणित पहचान, यदि 802.1X का उपयोग किया गया था) शामिल होंगे। फिजिकल डिवाइस और उसके मालिक की पहचान करने के लिए अपने डिवाइस इन्वेंट्री या DHCP सर्वर लॉग्स के साथ MAC एड्रेस को क्रॉस-रेफरेंस करें।

Q3. आप एक कॉन्फ्रेंस सेंटर के लिए नेटवर्क आर्किटेक्ट हैं जो 8,000 तक समवर्ती WiFi यूजर्स वाले इवेंट्स को होस्ट करता है। आपका वर्तमान RADIUS सर्वर पीक इवेंट्स के दौरान डेटाबेस राइट सैचुरेशन का अनुभव कर रहा है, जिससे 3 - 5 सेकंड का ऑथेंटिकेशन डिले हो रहा है। आपका वर्तमान अंतरिम अपडेट अंतराल 2 मिनट पर सेट है। एक मल्टी-स्टेप रेमेडिएशन प्लान का वर्णन करें जो तत्काल परफॉर्मेंस समस्या और अंतर्निहित आर्किटेक्चरल जोखिम दोनों को संबोधित करता हो।

संकेत: कॉन्फ़िगरेशन परिवर्तन और आर्किटेक्चरल परिवर्तन दोनों पर विचार करें। इसका उद्देश्य राइट लोड को कम करते हुए ऑडिट ट्रेल की पूर्णता को बनाए रखना है।

मॉडल उत्तर देखें

उपचार योजना (remediation plan) को तीन स्तरों पर काम करना चाहिए। पहला, तत्काल समाधान के रूप में, सभी वायरलेस कंट्रोलर पर अंतरिम अपडेट अंतराल (interim update interval) को 2 मिनट से बढ़ाकर 15 मिनट करें। इससे अकाउंटिंग राइट लोड (accounting write load) लगभग 87% कम हो जाता है (प्रति सत्र 2 मिनट में एक राइट के बजाय 15 मिनट में एक राइट), जिससे डेटाबेस I/O दबाव में तुरंत राहत मिलनी चाहिए। दूसरा, प्रमाणीकरण (authentication) और अकाउंटिंग वर्कलोड को समर्पित सर्वर इंस्टेंस पर अलग करें। प्रमाणीकरण सर्वर Access-Request/Accept/Reject पैकेट को संभालता है, जबकि एक समर्पित अकाउंटिंग सर्वर Accounting-Request पैकेट को संभालता है और एक अलग डेटाबेस में लिखता है। यह अकाउंटिंग राइट लोड को प्रमाणीकरण प्रतिक्रिया समय को प्रभावित करने से रोकता है। तीसरा, अंतर्निहित आर्किटेक्चरल जोखिम के लिए, यह मूल्यांकन करें कि अकाउंटिंग वर्कलोड के लिए रिलेशनल डेटाबेस की तुलना में टाइम-सीरीज डेटाबेस (जैसे, InfluxDB या TimescaleDB) अधिक उपयुक्त है या नहीं। टाइम-सीरीज डेटाबेस उच्च-मात्रा वाले अनुक्रमिक राइट्स (high-volume sequential writes) और समय-सीमा प्रश्नों के लिए अनुकूलित होते हैं, जो बिल्कुल अकाउंटिंग डेटा पैटर्न से मेल खाते हैं। अनुपालन रिपोर्टिंग प्रश्नों के लिए रिलेशनल डेटाबेस को बनाए रखते हुए अकाउंटिंग राइट्स को टाइम-सीरीज डेटाबेस में स्थानांतरित करें।

अक्सर पूछे जाने वाले प्रश्न

What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?

RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.

How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?

Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.

How does RADIUS accounting track client bandwidth consumption accurately?

Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.

Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?

When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.

How should network administrators prevent database bottlenecks from RADIUS accounting logs?

Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.

How does Purple utilize RADIUS accounting for enterprise analytics and compliance?

Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.

स्रोत

  1. RFC 2865
  2. RFC 2866

इस श्रृंखला में आगे पढ़ें

Cyber Essentials और Staff WiFi: अपने वायरलेस नेटवर्क पर पांच नियंत्रणों को पास करना

आप अपने staff WiFi के लिए पांच Cyber Essentials नियंत्रणों में से प्रत्येक का मिलान करने और मूल्यांकनकर्ताओं को मिलने वाली कमियों को दूर करने में सक्षम होंगे। फिर आप प्रत्येक डिवाइस श्रेणी के लिए 802.1X, iPSK और एक अलग किए गए WPA2-PSK नेटवर्क के बीच चयन कर सकते हैं। अंत में, आप जानेंगे कि Cyber Essentials Plus ऑडिट के लिए एक्सेस पॉइंट्स, कंट्रोलर्स और BYOD को कैसे तैयार किया जाए।

गाइड पढ़ें →

HPE Aruba Central presence analytics: सेटअप, एक्सपोर्ट और सीमाएं

आप प्रति साइट Aruba Central presence analytics को सक्षम करने, ग्राउंड-ट्रुथ काउंट के आधार पर RSSI थ्रेशोल्ड और ड्वेल सीमाओं को कैलिब्रेट करने, और Central REST API के माध्यम से साइट-स्तरीय एग्रीगेट्स को एक्सपोर्ट करने में सक्षम होंगे। आप यह भी जानेंगे कि मूल presence analytics कहाँ समाप्त होती है और आपके मौजूदा Aruba एक्सेस पॉइंट्स पर Purple जैसे हार्डवेयर-अज्ञेयवादी प्लेटफॉर्म लेयर की आवश्यकता कब होती है।

गाइड पढ़ें →

CIPA अनुपालन: वेन्यू ऑपरेटरों के लिए अनुपालन चेकलिस्ट

आप यह तय कर सकेंगे कि CIPA आपके WiFi को बाध्य करता है या नहीं, फिर नेटवर्क को विभाजित करें, DNS को Purple Shield के माध्यम से रूट करें और बाईपास मार्गों को बंद करें। आपको यह भी पता चल जाएगा कि Form 486 या Form 479 प्रमाणन के लिए कौन से साक्ष्य रखने हैं। चेकलिस्ट प्रत्येक आवश्यकता के लिए एक मालिक सौंपती है, ताकि आपके अगले फंडिंग वर्ष के प्रमाणन में कुछ भी न छूटे।

गाइड पढ़ें →

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।