RADIUS Accounting: tracciamento delle sessioni, dell'utilizzo e dei log di audit

Executive Summary

Per i team IT e di network operations aziendali, l'autenticazione degli utenti su una rete WiFi è solo metà dell'opera. Una volta che un dispositivo è connesso, capire cosa fa — quanto tempo rimane connesso, quanti dati consuma e quando si disconnette — è fondamentale per la sicurezza, la pianificazione della capacità e la conformità normativa. È qui che il RADIUS accounting diventa indispensabile. Mentre l'autenticazione RADIUS gestisce il chi e il come dell'accesso alla rete, il RADIUS accounting registra meticolosamente il cosa, il quando e il quanto.

Questa guida fornisce un approfondimento tecnico sul RADIUS accounting, esplorando i meccanismi dei pacchetti Start, Stop e Interim-Update, e gli attributi che li rendono preziosi. Descrive come i gestori di sedi nei settori Hospitality , Retail e altri comparti possano sfruttare questi dati per mantenere audit trail robusti, garantire la conformità al GDPR e alimentare con informazioni utili le piattaforme SIEM o i sistemi di WiFi Analytics . Padroneggiando il RADIUS accounting, i network architect possono trasformare i log di sessione grezzi in asset strategici che guidano l'efficienza operativa e mitigano i rischi.

Technical Deep-Dive

RADIUS Accounting vs. RADIUS Authentication

Il protocollo RADIUS (Remote Authentication Dial-In User Service), definito nella specifica RFC 2865 ed esteso per l'accounting nella specifica RFC 2866 , opera su un modello client-server. In una tipica implementazione WiFi aziendale, l'Access Point (AP) o il Wireless LAN Controller (WLC) funge da Network Access Server (NAS) — il client RADIUS. Il server RADIUS (ad es., FreeRADIUS, Cisco ISE, Aruba ClearPass) riceve ed elabora le richieste.

La distinzione tra autenticazione e accounting è fondamentale:

Per i team che distribuiscono il Guest WiFi su larga scala, entrambe le funzioni sono necessarie — ma l'accounting è quella che garantisce la conformità e la tutelabilità.

I Tre Tipi di Pacchetto di Accounting

Il RADIUS accounting si basa su tre tipi principali di pacchetti Accounting-Request, ciascuno definito dall'attributo Acct-Status-Type:

1. Start (Acct-Status-Type = 1): inviato dal NAS quando un utente si connette con successo e inizia una sessione. Stabilisce il record di base nel database di accounting, registrando l'identità dell'utente, l'indirizzo MAC del dispositivo, l'indirizzo IP assegnato e l'AP a cui l'utente si è connesso.

2. Interim-Update (Acct-Status-Type = 3): inviato periodicamente durante una sessione attiva. Questi pacchetti forniscono istantanee in tempo reale dell'utilizzo corrente: byte trasferiti, durata della sessione e conteggio dei pacchetti. Fungono da heartbeat per confermare che la sessione è ancora attiva e offrono visibilità sulle sessioni a lungo termine senza attendere la disconnessione.

3. Stop (Acct-Status-Type = 2): inviato al termine della sessione, sia a causa di una disconnessione avviata dall'utente, di un riavvio dell'AP, di un timeout di inattività o di un timeout di sessione. Contiene le statistiche finali e cumulative per l'intera sessione.

Figura 1: Il ciclo di vita del pacchetto di accounting RADIUS durante una sessione WiFi.

Attributi di Accounting Chiave

Per tracciare efficacemente le sessioni e creare log di audit difendibili, il NAS popola i pacchetti Accounting-Request con attributi specifici. Di seguito sono riportati i più significativi a livello operativo:

Per i team che lavorano con l'autenticazione 802.1X , l'attributo User-Name conterrà l'identità autenticata dallo scambio EAP, fornendo una traccia di audit più ricca rispetto al solo MAC Authentication Bypass (MAB).

Guida all'Implementazione

L'implementazione di un'infrastruttura di accounting RADIUS robusta richiede una configurazione accurata sia a livello di NAS che di server RADIUS. Di seguito viene descritto un approccio indipendente dal fornitore per stabilire una pipeline di accounting affidabile.

Passaggio 1: Configurare il NAS (Access Point / Controller)

La configurazione del NAS è il punto in cui fallisce la maggior parte delle implementazioni. Gli amministratori spesso configurano correttamente l'autenticazione, ma lasciano l'accounting con le impostazioni predefinite o completamente disabilitato.

• Definire il server di accounting: Specificare l'indirizzo IP del server RADIUS e il segreto condiviso per la porta UDP 1813. Nelle implementazioni ad alta disponibilità, configurare un server di accounting secondario per prevenire la perdita di dati nel caso in cui il primario diventi irraggiungibile.
• Abilitare gli aggiornamenti intermedi (Interim Updates): Questo è il passaggio di configurazione in assoluto più importante. Impostare un intervallo appropriato, in genere da 10 a 15 minuti per le implementazioni aziendali. Intervalli più brevi (ad es. 1 minuto) forniscono dati più granulari ma generano un carico di scrittura insostenibile su larga scala; intervalli più lunghi (ad es. 30 minuti) riducono il sovraccarico ma ritardano la visibilità sulle sessioni attive.
• Garantire la sincronizzazione dell'ora: Configurare l'NTP su tutti i dispositivi NAS e sul server RADIUS. Timestamp precisi sono indispensabili per i log di audit e la correlazione SIEM. Una sfasatura dell'orologio anche solo di 5 minuti può invalidare una traccia di audit in uno scenario di intercettazione legale.

Passaggio 2: Configurare il server RADIUS

• Integrazione del database: Configurare il server RADIUS per registrare i dati di accounting in un database relazionale strutturato (ad es. PostgreSQL, MySQL) anziché in file di testo piatto. L'archiviazione strutturata consente di eseguire query, indicizzazioni e integrazioni efficienti con i sistemi a valle. Assicurarsi che esistano indici su Acct-Session-Id, User-Name, Framed-IP-Address e sul timestamp di inizio sessione.
• Criteri di conservazione dei dati: Implementare script automatizzati di archiviazione o eliminazione in linea con i requisiti di conformità. L'articolo 5, paragrafo 1, lettera e) del GDPR richiede che i dati siano conservati per un tempo non superiore a quello necessario; tuttavia, le normative sulle intercettazioni legali in molte giurisdizioni (ad es. l'Investigatory Powers Act 2016 del Regno Unito) possono richiedere una conservazione fino a 12 mesi.

Passaggio 3: Costruire la pipeline di dati

Per massimizzare il valore dei dati di accounting, questi devono essere esportati verso piattaforme di consumo dove possono essere interrogati, correlati e visualizzati.

• Integrazione SIEM: Configurare il server RADIUS o il database sottostante per inoltrare i log al SIEM (ad es. Splunk, Microsoft Sentinel, IBM QRadar) utilizzando Syslog o una API REST. Ciò consente ai team di sicurezza di correlare gli eventi di autenticazione WiFi con i blocchi del firewall, gli avvisi di rilevamento delle intrusioni o i trigger di prevenzione della perdita di dati.
• Analytics Integration: Feed session data into platforms like Purple's WiFi Analytics to transform raw bytes and MAC addresses into actionable insights regarding footfall, dwell time, and peak usage periods. This is particularly valuable for Retail and Hospitality operators who need to align staffing and infrastructure investment with actual usage patterns.

Figure 2: The RADIUS accounting data pipeline from Access Points to SIEM and analytics platforms.

Best Practices

Always Use Interim Updates. Relying solely on Start and Stop packets creates operational blind spots. A dropped connection or AP power failure may prevent a Stop packet from being sent, leaving a stale session in the database indefinitely. Interim updates provide the mechanism to detect and close these stale sessions. The rule of thumb: if a session hasn't sent an interim update within two to three times the configured interval, treat it as terminated.

Correlate RADIUS Accounting with DHCP Logs. RADIUS accounting provides the Framed-IP-Address, but DHCP lease times can be shorter than session durations in some environments. Maintaining DHCP logs alongside RADIUS logs provides a more resilient audit trail, particularly in high-density venues where IP address recycling is frequent.

Secure the Transport with RadSec. Traditional RADIUS traffic is transmitted over UDP with minimal encryption — only the user password field is obfuscated. In distributed deployments, particularly those spanning multiple sites or cloud-hosted RADIUS servers, use RadSec (RADIUS over TLS, defined in RFC 6614) or IPsec tunnels to protect accounting data in transit. This is a requirement under PCI DSS 4.0 for any network handling cardholder data.

Monitor the Accounting Queue. If the RADIUS server becomes unreachable, NAS devices will queue accounting packets locally. Monitor this queue length; a full queue will result in dropped packets and lost audit data. Configure alerting on queue depth and implement a secondary accounting server for high-availability deployments.

Separate Authentication and Accounting Servers at Scale. In deployments exceeding 5,000 concurrent users, the write load from accounting can degrade authentication response times. Dedicated accounting servers with separate database instances prevent this contention.

Troubleshooting & Risk Mitigation

The Stale Session Problem

Sintomo: Il database RADIUS mostra che un utente è connesso da 48 ore, ma la sede ha chiuso durante la notte.

Causa principale: Il NAS non ha inviato un pacchetto di Stop — solitamente a causa di un'interruzione di corrente, del riavvio di un AP o di un'interruzione di rete — e il pacchetto non è mai stato ricevuto dal server RADIUS.

Risoluzione: Implementare uno script di pulizia delle sessioni inattive sul server RADIUS. Lo script deve scansionare periodicamente le sessioni attive in cui l'ultimo pacchetto ricevuto (Start o Interim-Update) è più vecchio di una soglia definita (ad es. 2,5 volte l'intervallo di aggiornamento provvisorio). Le sessioni che superano questa soglia devono essere chiuse forzatamente con un record di Stop sintetico, indicando come causa di terminazione 'Lost-Carrier' o 'Admin-Reset'.

Carico elevato di CPU e I/O sul server RADIUS

Sintomo: I tempi di risposta dell'autenticazione peggiorano durante le ore di punta; il server RADIUS segnala un utilizzo elevato di CPU e I/O del disco.

Causa principale: Un intervallo di aggiornamento provvisorio eccessivamente aggressivo (ad es. 1 minuto) su migliaia di AP genera un volume insostenibile di scritture sul database.

Risoluzione: Aumentare l'intervallo di aggiornamento provvisorio a 15 minuti. Verificare che il database di accounting disponga degli indici appropriati. Valutare la possibilità di separare l'autenticazione e l'accounting su istanze di server dedicate. Valutare se un database di serie temporali (ad es. InfluxDB) sia più appropriato di un database relazionale per dati di accounting ad alto volume.

Framed-IP-Address mancante nei record di accounting

Sintomo: I record di accounting RADIUS esistono, ma il campo Framed-IP-Address è vuoto o assente, rendendo impossibile la correlazione IP-to-MAC.

Causa principale: Il NAS potrebbe inviare il pacchetto di Start prima che il DHCP abbia assegnato un indirizzo IP al client. L'IP è disponibile solo al completamento dello scambio DHCP.

Risoluzione: Configurare il NAS per ritardare l'invio del pacchetto di Start a dopo l'assegnazione del DHCP, se la piattaforma lo supporta. In alternativa, fare affidamento sui pacchetti di Interim-Update, che vengono inviati dopo l'assegnazione del DHCP e conterranno il Framed-IP-Address. Assicurarsi che le query di audit ne tengano conto controllando i record di Interim-Update se il record di Start è privo di IP.

ROI e impatto aziendale

L'implementazione di un solido sistema di accounting RADIUS offre un valore aziendale misurabile su tre dimensioni:

Mitigazione della conformità e del rischio legale. In caso di incidente di sicurezza, di una richiesta di accesso ai dati da parte dell'interessato ai sensi del GDPR o di un ordine di intercettazione legale, registri di accounting accurati forniscono la traccia di controllo necessaria per identificare quale utente o dispositivo possedeva uno specifico indirizzo IP in un momento specifico. Senza questo, le organizzazioni rischiano potenziali sanzioni normative ai sensi del GDPR (fino al 4% del fatturato annuo globale) e danni alla reputazione. Il costo per l'implementazione di un'adeguata infrastruttura di accounting è una frazione del costo di una singola azione sanzionatoria.

Pianificazione della capacità e ROI dell'infrastruttura. Analizzando le tendenze di Acct-Input-Octets e Acct-Output-Octets nel tempo, i progettisti di rete possono identificare i modelli di consumo della larghezza di banda, i periodi di picco di utilizzo e gli specifici AP o SSID che generano il carico maggiore. Questi dati informano direttamente le decisioni di aggiornamento della WAN e le strategie di posizionamento degli AP, garantendo che gli investimenti infrastrutturali siano indirizzati dove offrono il massimo impatto. Per gli hub di Trasporto e le grandi strutture, questo può rappresentare un risparmio significativo in termini di spese in conto capitale.

Analisi avanzata e Venue Intelligence. Quando i dati di sessione RADIUS vengono combinati con piattaforme come WiFi Analytics e Sensors di Purple, i dati contabili grezzi si trasformano in intelligenza per i locali. Diventano così disponibili metriche sul tempo di permanenza derivate dalla durata delle sessioni, l'identificazione dei visitatori ricorrenti dalla cronologia di Calling-Station-Id e l'analisi dell'occupazione di picco dal conteggio delle sessioni simultanee. Per gli operatori del settore Hospitality , questi dati informano direttamente i modelli di turnazione del personale, il posizionamento di cibo e bevande (F&B) e le strategie di personalizzazione del marketing. Per ulteriori informazioni su come l'infrastruttura WiFi supporti queste funzionalità, consulta le nostre guide sui Wireless Access Points e sulle Soluzioni WiFi moderne per l'Hospitality .