RADIUS Accounting: monitoraggio delle sessioni, dell'utilizzo e dei log di controllo
Questa guida fornisce un riferimento tecnico completo sul RADIUS accounting: come registra i dati di inizio, fine e aggiornamento intermedio delle sessioni WiFi, quali attributi vengono acquisiti e come sfruttare tali dati per il controllo della sicurezza, la conformità al GDPR e la pianificazione della capacità. È una lettura essenziale per i team addetti alle operazioni di rete e alla sicurezza che necessitano di tracciati di controllo difendibili dagli eventi di autenticazione WiFi, e per i gestori di sedi che desiderano integrare i dati delle sessioni nelle piattaforme SIEM e nelle dashboard di analisi.
Video overview
Ascolta questa guida
Visualizza trascrizione del podcast
Parte della nostra serie principale: The Enterprise WiFi Security Guide →
RADIUS accounting sizing and session audit advisor
Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.
RADIUS packet rate and database write analysis
RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.
- Accounting-Start: 0.04 req/s average baseline
- Interim-Update: 3.33 req/s continuous heartbeat flow
- Accounting-Stop: 0.04 req/s closure telemetry
- Morning rush burst (2.5x): 8.5 requests per second peak
- Daily table growth: 39.3 MB / 24-hour cycle
- 90-day retention total: 3.5 GB uncompressed index pool
- Recommended SQL pooling: Minimum 8 worker threads
- Table partitioning: Standard B-tree indexes sufficient
Executive Summary
Per i team di IT aziendale e network operations, autenticare gli utenti su una rete WiFi è solo metà dell'opera. Una volta che un dispositivo è connesso, comprendere cosa fa quel dispositivo - quanto tempo rimane connesso, quanti dati consuma e quando si disconnette - è fondamentale per la sicurezza, la pianificazione della capacità e la conformità normativa. È qui che il RADIUS accounting diventa indispensabile. Mentre l'autenticazione RADIUS gestisce il chi e il come dell'accesso alla rete, il RADIUS accounting registra meticolosamente il cosa, il quando e il quanto.
Questa guida fornisce un approfondimento tecnico sul RADIUS accounting, esplorando i meccanismi dei pacchetti Start, Stop e Interim-Update e gli attributi che li rendono preziosi. Descrive come i gestori di sedi nei settori dell'Ospitalità, del Retail e in altri settori possano sfruttare questi dati per mantenere audit trail robusti, garantire la conformità al GDPR e inserire informazioni fruibili nelle piattaforme SIEM o nei sistemi di WiFi Analytics. Padroneggiando il RADIUS accounting, i network architect possono trasformare i log di sessione grezzi in asset strategici che guidano l'efficienza operativa e mitigano i rischi.
Approfondimento Tecnico
RADIUS Accounting vs. RADIUS Authentication
Il RADIUS (Remote Authentication Dial-In User Service), definito nello standard RFC 2865 ed esteso per l'accounting in RFC 2866, opera su un modello client-server. In un tipico deployment WiFi aziendale, l'Access Point (AP) o il Wireless LAN Controller (WLC) funge da Network Access Server (NAS) - il client RADIUS. Il server RADIUS (ad es. FreeRADIUS, Cisco ISE, Aruba ClearPass) riceve ed elabora le richieste.
La distinzione tra autenticazione e accounting è fondamentale:
| Dimensione | RADIUS Authentication | RADIUS Accounting |
|---|---|---|
| Scopo | Verificare l'identità e concedere/negare l'accesso | Registrare l'utilizzo e l'attività della sessione |
| Porta UDP | 1812 | 1813 |
| Riferimento RFC | RFC 2865 | RFC 2866 |
| Tipi di Pacchetto | Access-Request, Access-Accept, Access-Reject | Accounting-Request (Start/Stop/Interim) |
| Dati Acquisiti | Credenziali, assegnazione VLAN, policy | Durata della sessione, byte trasferiti, indirizzo IP |
| Ruolo di Conformità | Controllo degli accessi | Audit trail, intercettazione legale |
Per i team che distribuiscono il Guest WiFi su larga scala, entrambe le funzioni sono necessarie - ma l'accounting è quella che garantisce la conformità e la difendibilità.
I Tre Tipi di Pacchetto di Accounting
Il RADIUS accounting si basa su tre tipi di pacchetti Accounting-Request principali, ciascuno definito dall'attributo Acct-Status-Type:
Start (Acct-Status-Type = 1): Inviato dal NAS quando un utente si connette con successo e inizia una sessione. Stabilisce il record di base nel database di accounting, acquisendo l'identità dell'utente, l'indirizzo MAC del dispositivo, l'indirizzo IP assegnato e l'AP a cui l'utente si è connesso.
Interim-Update (Acct-Status-Type = 3): Inviato periodicamente durante una sessione attiva. Questi pacchetti forniscono istantanee in tempo reale dell'utilizzo corrente - byte trasferiti, durata della sessione e conteggio dei pacchetti. Fungono da heartbeat per confermare che la sessione sia ancora attiva e offrono visibilità sulle sessioni a lungo termine senza dover attendere la disconnessione.
Stop (Acct-Status-Type = 2): Inviato quando la sessione termina - a causa di una disconnessione avviata dall'utente, riavvio dell'AP, timeout per inattività o timeout della sessione. Contiene le statistiche cumulative finali per l'intera sessione.
Figura 1: Il ciclo di vita del pacchetto di accounting RADIUS attraverso una sessione WiFi.
Attributi di Accounting Chiave
Per monitorare efficacemente le sessioni e creare log di controllo difendibili, il NAS popola i pacchetti Accounting-Request con attributi specifici. Di seguito sono riportati i più significativi a livello operativo:
| Attributo | Descrizione | Rilevanza per la Conformità |
|---|---|---|
| Acct-Session-Id | Identificatore univoco della sessione generato dal NAS | Chiave primaria per correlare i record Start, Interim e Stop |
| User-Name | Identità autenticata (nome utente o indirizzo MAC) | Mappa la sessione su uno specifico utente o dispositivo |
| NAS-IP-Address | Indirizzo IP dell'AP o WLC segnalante | Identifica il segmento di rete e la posizione fisica |
| Framed-IP-Address | Indirizzo IP assegnato al dispositivo client | Fondamentale per la correlazione con i log del firewall e del proxy web |
| Calling-Station-Id | Indirizzo MAC del dispositivo client | Identità a livello di dispositivo per il registro di controllo |
| Called-Station-Id | Indirizzo MAC dell'AP e SSID | Identifica la radio specifica e la rete a cui l'utente si è connesso |
| Acct-Input-Octets | Byte ricevuti dal client | Monitoraggio della larghezza di banda e pianificazione della capacità |
| Acct-Output-Octets | Byte inviati al client | Monitoraggio della larghezza di banda e pianificazione della capacità |
| Acct-Session-Time | Durata della sessione in secondi | Analisi del tempo di permanenza e fatturazione |
| Acct-Terminate-Cause | Motivo per cui la sessione è terminata | Risoluzione dei problemi e rilevamento delle anomalie |
Per i team che lavorano con l'autenticazione 802.1X, l'attributo User-Name conterrà l'identità autenticata dello scambio EAP, fornendo un registro di controllo più ricco rispetto al solo MAC Authentication Bypass (MAB).
Guida all'Implementazione
La distribuzione di un'infrastruttura robusta di RADIUS accounting richiede un'attenta configurazione sia a livello NAS che a livello di server RADIUS. Di seguito è riportato un approccio neutrale rispetto ai fornitori per stabilire una pipeline di accounting affidabile.
Passaggio 1: Configurare il NAS (Access Points / Controller)
La configurazione del NAS è il punto in cui la maggior parte delle distribuzioni fallisce. Gli amministratori spesso configurano correttamente l'autenticazione, ma lasciano l'accounting alle impostazioni predefinite o completamente disabilitato.
- Definire il server di accounting: Specificare l'indirizzo IP del server RADIUS e la shared secret per la porta UDP 1813. Nelle distribuzioni ad alta disponibilità, configurare un server di accounting secondario per prevenire la perdita di dati se il primario diventa irraggiungibile.
- Abilitare gli Interim Updates: Questo è il singolo passaggio di configurazione più importante. Impostare un intervallo appropriato - in genere da 10 a 15 minuti per le distribuzioni aziendali. Intervalli più brevi (ad esempio, 1 minuto) forniscono dati più granulari ma generano un carico di scrittura insostenibile su larga scala; intervalli più lunghi (ad esempio, 30 minuti) riducono l'overhead ma ritardano la visibilità sulle sessioni attive.
- Garantire la sincronizzazione dell'ora: Configurare l'NTP su tutti i dispositivi NAS e sul server RADIUS. Timestamp accurati non sono negoziabili per i log di controllo e la correlazione SIEM. Un disallineamento dell'orologio di 5 minuti può invalidare una traccia di controllo in uno scenario di intercettazione legale.
Passaggio 2: Configurare il server RADIUS
- Integrazione del database: Configurare il server RADIUS per registrare i dati di accounting in un database relazionale strutturato (ad esempio, PostgreSQL, MySQL) anziché in file di testo semplice. L'archiviazione strutturata consente interrogazioni efficienti, indicizzazione e integrazione con i sistemi a valle. Assicurarsi che esistano indici su
Acct-Session-Id,User-Name,Framed-IP-Addresse sul timestamp di inizio sessione. - Politiche di conservazione dei dati: Implementare script automatizzati di archiviazione o eliminazione in linea con i requisiti di conformità. L'Articolo 5(1)(e) del GDPR richiede che i dati siano conservati non più a lungo del necessario; tuttavia, le normative sulle intercettazioni legali in molte giurisdizioni (ad esempio, l'Investigatory Powers Act 2016 del Regno Unito) possono richiedere una conservazione fino a 12 mesi.
Passaggio 3: Costruire la pipeline di dati
Per massimizzare il valore dei dati di accounting, questi devono essere esportati verso piattaforme di fruizione dove possono essere interrogati, correlati e visualizzati.
- Integrazione SIEM: Configurare il server RADIUS o il database sottostante per inoltrare i log al SIEM (ad esempio, Splunk, Microsoft Sentinel, IBM QRadar) utilizzando Syslog o una REST API. Ciò consente ai team di sicurezza di correlare gli eventi di autenticazione WiFi con i blocchi del firewall, gli avvisi di rilevamento delle intrusioni o i trigger di prevenzione della perdita di dati.- Integrazione di Analytics: Invia i dati di sessione a piattaforme come WiFi Analytics di Purple per trasformare byte grezzi e indirizzi MAC in informazioni utili relative a presenze, tempo di permanenza e periodi di picco di utilizzo. Questo è particolarmente prezioso per gli operatori del settore Retail e Hospitality che devono allineare il personale e gli investimenti infrastrutturali con i modelli di utilizzo effettivi.
Figura 2: La pipeline dei dati di accounting RADIUS dagli Access Point alle piattaforme SIEM e di analytics.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.
Best Practices
Utilizza sempre gli Interim Updates. Affidarsi esclusivamente ai pacchetti Start e Stop crea punti ciechi operativi. Una connessione interrotta o un'interruzione di corrente dell'AP possono impedire l'invio di un pacchetto Stop, lasciando una sessione obsoleta nel database a tempo indeterminato. Gli interim updates forniscono il meccanismo per rilevare e chiudere queste sessioni obsolete. La regola empirica: se una sessione non ha inviato un interim update entro due o tre volte l'intervallo configurato, considerala terminata.
Correla RADIUS Accounting con i Log DHCP. RADIUS accounting fornisce il parametro Framed-IP-Address, ma in alcuni contesti la durata del lease DHCP può essere inferiore alla durata della sessione. Mantenere i log DHCP insieme ai log RADIUS garantisce un audit trail più resiliente, in particolare nei luoghi ad alta densità dove il riciclo degli indirizzi IP è frequente.
Proteggi il Trasporto con RadSec. Il traffico RADIUS tradizionale viene trasmesso su UDP con una crittografia minima - solo il campo della password utente viene offuscato. Nelle implementazioni distribuite, in particolare quelle che si estendono su più siti o che utilizzano server RADIUS ospitati in cloud, utilizza RadSec (RADIUS su TLS, definito in RFC 6614) o tunnel IPsec per proteggere i dati di accounting in transito. Questo è un requisito previsto dallo standard PCI-DSS 4.0 per qualsiasi rete che gestisce dati di titolari di carte di credito.
Monitora la Coda di Accounting. Se il server RADIUS diventa irraggiungibile, i dispositivi NAS metteranno in coda i pacchetti di accounting localmente. Monitora la lunghezza di questa coda; una coda piena causerà la perdita di pacchetti e dei dati di audit. Configura gli avvisi sulla dimensione della coda e implementa un server di accounting secondario per le installazioni ad alta affidabilità.
Separa i Server di Autenticazione e Accounting su Larga Scala. Nelle implementazioni che superano i 5.000 utenti simultanei, il carico di scrittura derivante dall'accounting può rallentare i tempi di risposta dell'autenticazione. L'utilizzo di server di accounting dedicati con istanze di database separate previene questo conflitto.
Troubleshooting e Mitigazione dei Rischi
Il Problema della Sessione Obsoleta
Sintomo: Il database RADIUS mostra che un utente è connesso da 48 ore, ma il locale ha chiuso durante la notte.
Causa Principale: Il NAS non è riuscito a inviare un pacchetto Stop - di solito a causa di un'interruzione di corrente, del riavvio dell'AP o di un'interruzione di rete - e il pacchetto non è mai stato ricevuto dal server RADIUS.
Mitigazione: Implementa uno script di pulizia delle sessioni inattive sul server RADIUS. Lo script deve verificare periodicamente le sessioni attive in cui l'ultimo pacchetto ricevuto (Start o Interim-Update) è più vecchio di una soglia definita (ad esempio, 2,5 volte l'intervallo di interim update). Le sessioni che superano questa soglia devono essere chiuse forzatamente con un record di Stop sintetico, indicando come causa di terminazione 'Lost-Carrier' o 'Admin-Reset'.
CPU Elevata e Carico di I/O sul Server RADIUS
Sintomo: I tempi di risposta dell'autenticazione peggiorano durante le ore di punta; il server RADIUS segnala un utilizzo elevato di CPU e I/O del disco.
Causa Principale: Un intervallo di interim update eccessivamente aggressivo (ad esempio, 1 minuto) applicato a migliaia di AP genera un volume insostenibile di scritture sul database.
Mitigazione: incrementare l'intervallo di interim update a 15 minuti. Verificare che il database di accounting disponga degli indici appropriati. Considerare la separazione di autenticazione e accounting su istanze di server dedicate. Valutare se un database time-series (ad es. InfluxDB) sia più appropriato rispetto a un database relazionale per volumi elevati di dati di accounting.
Framed-IP-Address mancante nei registri di accounting
Sintomo: i registri di accounting RADIUS esistono, ma il campo Framed-IP-Address è vuoto o assente, rendendo impossibile la correlazione da IP a MAC.
Causa principale: il NAS potrebbe inviare il pacchetto di Start prima che il DHCP abbia assegnato un indirizzo IP al client. L'IP è disponibile solo dopo il completamento dello scambio DHCP.
Mitigazione: configurare il NAS per ritardare l'invio del pacchetto di Start fino a dopo l'assegnazione del DHCP, se la piattaforma lo supporta. In alternativa, affidarsi ai pacchetti di Interim-Update, che vengono inviati dopo l'assegnazione del DHCP e conterranno il Framed-IP-Address. Assicurarsi che le query di audit ne tengano conto controllando i record di Interim-Update se il record di Start è privo di IP.
ROI e impatto aziendale
L'implementazione di un solido sistema di accounting RADIUS offre un valore aziendale misurabile su tre dimensioni:
Mitigazione della conformità e del rischio legale. In caso di incidente di sicurezza, di una richiesta di accesso ai dati da parte dell'interessato ai sensi del GDPR o di un ordine di intercettazione legale, registri di accounting accurati forniscono la traccia di audit necessaria per identificare quale utente o dispositivo possedeva uno specifico indirizzo IP in un determinato momento. Senza questo, le organizzazioni rischiano potenziali sanzioni normative ai sensi del GDPR (fino al 4% del fatturato annuo globale) e danni reputazionali. Il costo per l'implementazione di un'adeguata infrastruttura di accounting è una frazione del costo di una singola azione sanzionatoria.
Pianificazione della capacità e ROI dell'infrastruttura. Analizzando le tendenze di Acct-Input-Octets e Acct-Output-Octets nel tempo, i progettisti di rete possono identificare i modelli di consumo della larghezza di banda, i periodi di picco di utilizzo e gli specifici AP o SSID che generano il carico maggiore. Questi dati informano direttamente le decisioni di aggiornamento WAN e le strategie di posizionamento degli AP, garantendo che gli investimenti infrastrutturali siano diretti dove offrono il massimo impatto. Per gli hub di trasporto e le grandi strutture, ciò può rappresentare un risparmio significativo sulle spese in conto capitale.Analytics avanzate e Venue Intelligence. Quando i dati delle sessioni RADIUS vengono combinati con piattaforme come WiFi Analytics e Sensors di Purple, i dati grezzi di accounting si trasformano in venue intelligence. Diventano così disponibili metriche sul tempo di permanenza derivate dalla durata delle sessioni, identificazione dei visitatori ricorrenti dalla cronologia di Calling-Station-Id e analisi dell'occupazione di picco dal conteggio delle sessioni simultanee. Per gli operatori del settore Hospitality, questi dati informano direttamente i modelli di turnazione del personale, il posizionamento di cibo e bevande e le strategie di personalizzazione del marketing. Per ulteriori informazioni su come l'infrastruttura WiFi supporti queste funzionalità, consulta le nostre guide su Wireless Access Points e Modern Hospitality WiFi Solutions.
Definizioni chiave
RADIUS Accounting
Il processo di raccolta e registrazione dei dati relativi al consumo di risorse di rete da parte degli utenti, inclusi gli orari di inizio e fine sessione, il volume di dati trasferiti e l'assegnazione dell'indirizzo IP. Definito in RFC 2866.
Essenziale per la fatturazione, la pianificazione della capacità, la conformità GDPR e il mantenimento dei registri di controllo della sicurezza in qualsiasi implementazione WiFi aziendale.
Acct-Status-Type
Un attributo RADIUS (ID attributo 40) che indica lo scopo di un pacchetto di accounting. I valori includono Start (1), Stop (2) e Interim-Update (3).
Utilizzato dal server RADIUS per determinare se creare un nuovo record di sessione, aggiornarne uno esistente o chiuderlo. L'attributo più fondamentale in qualsiasi pacchetto di accounting.
Interim-Update
Un pacchetto periodico di RADIUS accounting inviato dal NAS durante una sessione attiva per segnalare le statistiche di utilizzo correnti, inclusi i byte trasferiti e la durata della sessione.
Critico per il tracciamento di sessioni di lunga durata e per il rilevamento di sessioni inattive se un client si disconnette in modo imprevisto senza inviare un pacchetto Stop.
Acct-Session-Id
Una stringa univoca generata dal NAS per identificare una specifica istanza di connessione utente. Questo valore è coerente in tutti i pacchetti di accounting (Start, Interim-Update, Stop) per la stessa sessione.
La chiave primaria utilizzata per correlare tutti i record di accounting appartenenti alla stessa sessione. Senza di essa, è impossibile ricostruire una cronologia di sessione completa.
NAS (Network Access Server)
Il dispositivo - tipicamente un Wireless Access Point o un Wireless LAN Controller - che controlla l'accesso fisico alla rete e funge da client RADIUS, generando e inviando pacchetti di accounting.
Il NAS è responsabile dell'accuratezza e della completezza dei dati di accounting. Una configurazione errata a livello di NAS (es. accounting disabilitato, attributi mancanti) non può essere risolta a livello di server RADIUS.
Framed-IP-Address
L'indirizzo IP assegnato al dispositivo client per la durata della sessione, incluso nei pacchetti di RADIUS accounting.
Critico per correlare i log di RADIUS accounting con altri log di rete come quelli di firewall, web proxy o DNS. L'assenza di questo attributo rende impossibile la correlazione tra IP e dispositivo.
Calling-Station-Id
In genere l'indirizzo MAC del dispositivo client che si connette alla rete, formattato come stringa esadecimale separata da due punti (es. AA:BB:CC:DD:EE:FF).
Utilizzato per identificare lo specifico dispositivo hardware, indipendentemente dall'indirizzo IP assegnato. L'ancora a livello di dispositivo del registro di controllo.
Acct-Terminate-Cause
Un attributo incluso nei pacchetti Stop che specifica il motivo per cui una sessione è terminata. I valori comuni includono User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout e Admin-Reset.
Prezioso per la risoluzione dei problemi di connettività e per il rilevamento di anomalie - ad esempio, un tasso elevato di terminazioni Lost-Carrier su uno specifico AP può indicare un problema hardware o di interferenza.
RadSec
RADIUS su TLS (Transport Layer Security), definito in RFC 6614. Fornisce un trasporto crittografato e autenticato per i pacchetti RADIUS, sostituendo il tradizionale trasporto basato su UDP.
Richiesto in qualsiasi implementazione in cui il traffico RADIUS attraversa reti non affidabili (es. server RADIUS cloud connessi a Internet). Sempre più richiesto dallo standard PCI-DSS 4.0 per gli ambienti con dati dei titolari di carta.
Esempi pratici
Un hotel di 300 camere con strutture congressuali sta implementando una nuova rete WiFi per gli ospiti. Il responsabile IT deve garantire che l'implementazione soddisfi i requisiti GDPR in materia di minimizzazione dei dati e completezza del tracciato di controllo, fornendo al contempo al team di marketing analisi sul tempo di permanenza e sui visitatori ricorrenti. L'hotel utilizza un server RADIUS ospitato in cloud e AP Cisco Meraki.
L'implementazione deve essere configurata come segue. Sulla dashboard Meraki, accedere a Rete intera > Server RADIUS e aggiungere il server RADIUS cloud sulla porta 1813 con un segreto condiviso robusto. Abilitare l'accounting e impostare l'intervallo di aggiornamento intermedio a 15 minuti. Sul server RADIUS, configurare l'accounting in modo che scriva su un database PostgreSQL con il seguente schema: session_id (chiave primaria), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause. Implementare una policy di conservazione dei dati che archivi automaticamente i record più vecchi di 12 mesi in un archivio a freddo e cancelli i record più vecchi di 24 mesi, documentata nel Registro delle attività di trattamento GDPR dell'hotel. Configurare un'integrazione di Purple WiFi Analytics per inserire i dati della sessione, consentendo al team di marketing di accedere ai report sul tempo di permanenza e alle dashboard sulla frequenza dei visitatori ricorrenti. Assicurarsi che l'NTP sia sincronizzato su tutti gli AP Meraki e sul server RADIUS entro 1 secondo.
Una catena di negozi al dettaglio con 150 punti vendita deve conformarsi ai requisiti PCI-DSS 4.0 per il monitoraggio degli accessi alla rete. I loro terminali POS utilizzano il MAC Authentication Bypass (MAB) sulla rete WiFi. Il team di sicurezza ha ricevuto una richiesta dal proprio QSA (Qualified Security Assessor) per dimostrare di essere in grado di identificare quale specifico terminale POS ha effettuato l'accesso alla rete di pagamento in un dato momento, utilizzando solo un indirizzo IP di origine e un timestamp da un registro del firewall.
La soluzione richiede un'integrazione a tre componenti. Innanzitutto, verificare che tutti i controller LAN wireless siano configurati per includere l'attributo Framed-IP-Address nei pacchetti di RADIUS accounting. Questo non è sempre abilitato per impostazione predefinita e deve essere configurato esplicitamente. In secondo luogo, integrare il database di RADIUS accounting con la piattaforma SIEM (ad esempio, Splunk). Creare una tabella di ricerca in Splunk che mappi il Framed-IP-Address e gli intervalli di tempo della sessione al Calling-Station-Id (indirizzo MAC). Terzo, creare una ricerca salvata in Splunk che accetti un IP di origine e un timestamp come input e restituisca l'indirizzo MAC corrispondente, il NAS-IP-Address (che identifica il negozio e l'AP) e lo User-Name dai record di RADIUS accounting. Al QSA potrà quindi essere dimostrato questo flusso di lavoro: data una voce di registro del firewall che mostra l'IP di origine 10.5.12.44 alle 14:23:07 in una data specifica, la ricerca restituisce l'indirizzo MAC del terminale POS, l'AP a cui era connesso e l'ubicazione del negozio.
Domande di esercitazione
Q1. Un IT manager di un hotel nota che la dashboard di analisi WiFi mostra pochissimi utenti attivi durante il giorno, anche se la lobby e il ristorante sono visibilmente affollati. Tuttavia, i report storici del giorno precedente mostrano un picco enorme nell'utilizzo dei dati. I log del server RADIUS confermano che i pacchetti Start vengono ricevuti, ma il database mostra pochissimi record Interim-Update. Qual è la configurazione errata più probabile e come la risolveresti?
Suggerimento: Considera come viene segnalato l'utilizzo dei dati durante una sessione attiva rispetto al momento della disconnessione.
Visualizza risposta modello
La causa più probabile è che gli Interim-Update siano disabilitati o non configurati sul Wireless LAN Controller. Senza gli aggiornamenti intermedi, il server RADIUS riceve solo un pacchetto Start quando l'utente si connette e un pacchetto Stop quando si disconnette. La dashboard di analisi non può mostrare l'utilizzo corrente perché non viene segnalato alcun dato durante la sessione. Una volta che gli utenti se ne vanno e si disconnettono, arrivano i pacchetti Stop con il totale dei dati accumulati, causando il picco ritardato nei report storici. La soluzione consiste nell'abilitare gli Interim-Update sul WLC e impostare un intervallo appropriato - si consigliano 15 minuti per l'ambiente di un hotel. Dopo l'abilitazione, verifica che il server RADIUS riceva i pacchetti Interim-Update controllando nel database di accounting la presenza di record con Acct-Status-Type = 3.
Q2. Durante l'analisi di un incidente di sicurezza, il tuo SIEM ha segnalato che un indirizzo IP sulla rete WiFi ospiti ha effettuato l'accesso a un server di comando e controllo noto alle 09:47:23 di una data specifica. È necessario identificare il dispositivo fisico responsabile. Il tempo di lease DHCP è impostato su 30 minuti. Descrivi la logica di query esatta che utilizzeresti sul database di accounting RADIUS per identificare il dispositivo.
Suggerimento: Gli indirizzi IP non sono statici. È necessario utilizzare una query con intervallo di tempo, non una ricerca su un singolo istante, e tenere conto del riciclo dei lease DHCP.
Visualizza risposta modello
È necessario interrogare il database di accounting RADIUS per cercare le sessioni in cui: (1) il Framed-IP-Address corrisponde all'indirizzo IP segnalato, E (2) il timestamp session_start è precedente o uguale alle 09:47:23, E (3) il timestamp session_end è successivo o uguale alle 09:47:23, OPPURE session_end è NULL (sessione ancora attiva al momento della query). Se corrispondono più sessioni (possibile con un lease DHCP di 30 minuti), esamina i record Interim-Update per confermare quale sessione stesse registrando attivamente traffico alle 09:47:23. Il record della sessione corrispondente conterrà il Calling-Station-Id (indirizzo MAC del dispositivo) e lo User-Name (identità autenticata, se è stato utilizzato lo standard 802.1X). Confronta l'indirizzo MAC con l'inventario dei dispositivi o con i log del server DHCP per identificare il dispositivo fisico e il suo proprietario.
Q3. Sei l'architetto di rete per un centro congressi che ospita eventi con un massimo di 8.000 utenti WiFi contemporanei. Il tuo server RADIUS attuale sta riscontrando una saturazione delle scritture sul database durante i picchi degli eventi, causando ritardi di autenticazione di 3-5 secondi. L'intervallo corrente di interim update è impostato su 2 minuti. Descrivi un piano di remediation multi-fase che affronti sia il problema di prestazioni immediato sia il rischio architetturale di fondo.
Suggerimento: Considera sia le modifiche di configurazione sia le modifiche architetturali. L'obiettivo è mantenere l'integrità del log di controllo riducendo al contempo il carico di scrittura.
Visualizza risposta modello
Il piano di rimedio dovrebbe affrontare tre livelli. Innanzitutto, come soluzione immediata, aumentare l'intervallo di interim update da 2 minuti a 15 minuti su tutti i Wireless Controller. Questo riduce il carico di scrittura dell'accounting di circa l'87% (da una scrittura ogni 2 minuti a una ogni 15 minuti per sessione), alleviando immediatamente la pressione di I/O del database. In secondo luogo, separare i carichi di lavoro di autenticazione e accounting su istanze server dedicate. Il server di autenticazione gestisce i pacchetti Access-Request/Accept/Reject, mentre un server di accounting dedicato gestisce i pacchetti Accounting-Request e scrive su un database separato. Questo evita che il carico di scrittura dell'accounting influisca sui tempi di risposta dell'autenticazione. In terzo luogo, per il rischio architetturale di fondo, valutare se un database di serie temporali (ad esempio, InfluxDB o TimescaleDB) sia più appropriato di un database relazionale per il carico di lavoro di accounting. I database di serie temporali sono ottimizzati per scritture sequenziali ad alto volume e query per intervalli temporali, il che corrisponde esattamente al pattern dei dati di accounting. Migrare le scritture di accounting sul database di serie temporali mantenendo il database relazionale per le query di reportistica di conformità.
Domande frequenti
What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?
RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.
How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?
Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.
How does RADIUS accounting track client bandwidth consumption accurately?
Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.
Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?
When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.
How should network administrators prevent database bottlenecks from RADIUS accounting logs?
Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.
How does Purple utilize RADIUS accounting for enterprise analytics and compliance?
Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.
Continua a leggere questa serie
Cyber Essentials and Staff WiFi: Passing the Five Controls on Your Wireless Network
Sarai in grado di mappare ciascuno dei cinque controlli Cyber Essentials sulla tua rete WiFi per il personale e colmare le lacune individuate dai valutatori. Potrai quindi scegliere tra 802.1X, iPSK e una rete WPA2-PSK segregata per ciascuna classe di dispositivi. Infine, saprai come preparare access point, controller e BYOD per un audit Cyber Essentials Plus.
Analisi delle presenze con HPE Aruba Central: configurazione, esportazioni e limiti
Sarà possibile abilitare l'analisi delle presenze di Aruba Central per singolo sito, calibrare la soglia RSSI e i limiti di permanenza rispetto a un conteggio reale e esportare gli aggregati a livello di sito tramite la Central REST API. Scoprirai inoltre dove si ferma l'analisi nativa delle presenze e quando un livello di piattaforma indipendente dall'hardware come Purple trova spazio sui tuoi access point Aruba esistenti.
Conformità CIPA: checklist di conformità per i gestori di sedi
Sarai in grado di decidere se la conformità CIPA vincola il tuo WiFi, quindi segmentare le reti, instradare il DNS tramite Purple Shield e chiudere i percorsi di bypass. Saprai anche quali prove conservare per la certificazione del Form 486 o del Form 479. La checklist assegna ogni requisito a un responsabile, in modo che la certificazione del prossimo anno di finanziamento non presenti lacune.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.