RADIUS Accounting: Rastreamento de Sessões, Uso e Logs de Auditoria
Este guia fornece uma referência técnica abrangente sobre RADIUS accounting - como ele registra os dados de início, fim e atualizações provisórias de sessões WiFi, quais atributos são capturados e como aproveitar esses dados para auditoria de segurança, conformidade com a GDPR e planejamento de capacidade. É uma leitura essencial para equipes de operações de rede e segurança que precisam de trilhas de auditoria defensáveis a partir de eventos de autenticação WiFi, e para operadores de locais que buscam integrar dados de sessão em plataformas SIEM e painéis de análise.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: O Guia de Segurança WiFi Corporativa →
RADIUS accounting sizing and session audit advisor
Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.
RADIUS packet rate and database write analysis
RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.
- Accounting-Start: 0.04 req/s average baseline
- Interim-Update: 3.33 req/s continuous heartbeat flow
- Accounting-Stop: 0.04 req/s closure telemetry
- Morning rush burst (2.5x): 8.5 requests per second peak
- Daily table growth: 39.3 MB / 24-hour cycle
- 90-day retention total: 3.5 GB uncompressed index pool
- Recommended SQL pooling: Minimum 8 worker threads
- Table partitioning: Standard B-tree indexes sufficient
Resumo Executivo
Para as equipes de TI corporativa e de operações de rede, autenticar os usuários em uma rede WiFi é apenas metade da batalha. Uma vez que um dispositivo é conectado, entender o que esse dispositivo faz - quanto tempo ele permanece conectado, quantos dados ele consome e quando ele se desconecta - é fundamental para a segurança, planejamento de capacidade e conformidade regulatória. É aqui que o RADIUS accounting se torna indispensável. Enquanto a autenticação RADIUS lida com o quem e o como do acesso à rede, o RADIUS accounting registra meticulosamente o o quê, o quando e o quanto.
Este guia fornece uma análise técnica detalhada sobre o RADIUS accounting, explorando a mecânica dos pacotes Start, Stop e Interim-Update, e os atributos que os tornam valiosos. Ele descreve como os operadores de locais em Hospitalidade, Varejo e outros setores podem aproveitar esses dados para manter trilhas de auditoria robustas, garantir a conformidade com a GDPR e alimentar informações acionáveis em plataformas SIEM ou sistemas de WiFi Analytics. Ao dominar o RADIUS accounting, os arquitetos de rede podem transformar registros de sessão brutos em ativos estratégicos que impulsionam a eficiência operacional e mitigam riscos.
Análise Técnica Detalhada
RADIUS Accounting vs. RADIUS Authentication
O RADIUS (Remote Authentication Dial-In User Service), definido na RFC 2865 e estendido para contabilização na RFC 2866, opera em um modelo cliente-servidor. Em uma implantação típica de WiFi corporativa, o Access Point (AP) ou Wireless LAN Controller (WLC) atua como o Network Access Server (NAS) - o cliente RADIUS. O servidor RADIUS (por exemplo, FreeRADIUS, Cisco ISE, Aruba ClearPass) recebe e processa as solicitações.
A distinção entre autenticação e accounting é fundamental:
| Dimensão | RADIUS Authentication | RADIUS Accounting |
|---|---|---|
| Objetivo | Verificar identidade e conceder/negar acesso | Registrar o uso e a atividade da sessão |
| Porta UDP | 1812 | 1813 |
| Referência RFC | RFC 2865 | RFC 2866 |
| Tipos de Pacote | Access-Request, Access-Accept, Access-Reject | Accounting-Request (Start/Stop/Interim) |
| Dados Capturados | Credenciais, atribuição de VLAN, política | Tempo de sessão, bytes transferidos, endereço IP |
| Papel na Conformidade | Controle de acesso | Trilha de auditoria, interceptação legal |
Para as equipes que implantam Guest WiFi em escala, ambas as funções são necessárias - mas o accounting é o que mantém você em conformidade e protegido juridicamente.
Os Três Tipos de Pacotes de Accounting
O RADIUS accounting depende de três tipos principais de pacotes Accounting-Request, cada um definido pelo atributo Acct-Status-Type:
Start (Acct-Status-Type = 1): Enviado pelo NAS quando um usuário se conecta com sucesso e uma sessão é iniciada. Ele estabelece o registro de linha de base no banco de dados de tarifação, capturando a identidade do usuário, o endereço MAC do dispositivo, o endereço IP atribuído e o AP ao qual o usuário se conectou.
Interim-Update (Acct-Status-Type = 3): Enviado periodicamente durante uma sessão ativa. Esses pacotes fornecem instantâneos contínuos do uso atual - bytes transferidos, duração da sessão e contagem de pacotes. Eles agem como um batimento cardíaco (heartbeat) para confirmar que a sessão ainda está ativa e fornecer visibilidade sobre sessões de longa duração sem esperar pela desconexão.
Stop (Acct-Status-Type = 2): Enviado quando a sessão é encerrada - seja devido a uma desconexão iniciada pelo usuário, reinicialização do AP, limite de tempo ocioso ou limite de tempo da sessão. Contém as estatísticas cumulativas finais de toda a sessão.
Figura 1: O ciclo de vida do pacote de tarifação RADIUS em uma sessão WiFi.
Atributos Principais de Tarifação
Para rastrear sessões de forma eficaz e criar registros de auditoria defensáveis, o NAS preenche os pacotes Accounting-Request com atributos específicos. Os seguintes são os mais significativos operacionalmente:
| Atributo | Descrição | Relevância para Conformidade |
|---|---|---|
| Acct-Session-Id | Identificador de sessão exclusivo gerado pelo NAS | Chave primária para correlacionar registros Start, Interim e Stop |
| User-Name | Identidade autenticada (nome de usuário ou endereço MAC) | Mapeia a sessão para um usuário ou dispositivo específico |
| NAS-IP-Address | Endereço IP do AP ou WLC de origem | Identifica o segmento de rede e a localização física |
| Framed-IP-Address | Endereço IP atribuído ao dispositivo do cliente | Crítico para correlação com logs de firewall e proxy web |
| Calling-Station-Id | Endereço MAC do dispositivo do cliente | Identidade na camada de dispositivo para trilha de auditoria |
| Called-Station-Id | Endereço MAC do AP e SSID | Identifica o rádio e a rede específicos aos quais o usuário se conectou |
| Acct-Input-Octets | Bytes recebidos do cliente | Monitoramento de largura de banda e planejamento de capacidade |
| Acct-Output-Octets | Bytes enviados ao cliente | Monitoramento de largura de banda e planejamento de capacidade |
| Acct-Session-Time | Duração da sessão em segundos | Análise de tempo de permanência e faturamento |
| Acct-Terminate-Cause | Motivo do encerramento da sessão | Resolução de problemas e detecção de anomalias |
Para equipes que trabalham com 802.1X Authentication, o atributo User-Name conterá a identidade autenticada da troca EAP, fornecendo uma trilha de auditoria mais rica do que apenas o MAC Authentication Bypass (MAB).
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.
Guia de Implementação
A implantação de uma infraestrutura robusta de bilhetagem RADIUS exige uma configuração cuidadosa tanto nos níveis do NAS quanto do servidor RADIUS. A seguir, apresenta-se uma abordagem neutra em relação ao fornecedor para estabelecer um fluxo de bilhetagem confiável.
Passo 1: Configurar o NAS (Access Points / Controladoras)
A configuração do NAS é onde a maioria das implantações falha. Os administradores frequentemente configuram a autenticação corretamente, mas deixam a bilhetagem nas configurações padrão ou totalmente desativada.
- Definir o Servidor de Bilhetagem: Especifique o endereço IP do servidor RADIUS e o segredo compartilhado para a porta UDP 1813. Em implantações de alta disponibilidade, configure um servidor de bilhetagem secundário para evitar a perda de dados caso o primário fique inacessível.
- Habilitar Atualizações Provisórias: Este é o passo de configuração mais importante de todos. Defina um intervalo adequado - normalmente de 10 a 15 minutos para implantações corporativas. Intervalos mais curtos (por exemplo, 1 minuto) fornecem dados mais detalhados, mas geram uma carga de gravação insustentável em grande escala; intervalos mais longos (por exemplo, 30 minutos) reduzem o processamento, mas atrasam a visibilidade das sessões ativas.
- Garantir a Sincronização de Horário: Configure o NTP em todos os dispositivos NAS e no servidor RADIUS. Carimbos de data/hora precisos são inegociáveis para logs de auditoria e correlação de SIEM. Um desvio de relógio de 5 minutos pode invalidar uma trilha de auditoria em um cenário de interceptação legal.
Passo 2: Configurar o Servidor RADIUS
- Integração com Banco de Dados: Configure o servidor RADIUS para registrar os dados de bilhetagem em um banco de dados relacional estruturado (por exemplo, PostgreSQL, MySQL) em vez de arquivos de texto simples. O armazenamento estruturado permite consultas eficientes, indexação e integração com sistemas de fluxo de dados seguintes. Certifique-se de que existam índices em
Acct-Session-Id,User-Name,Framed-IP-Addresse no carimbo de data/hora de início da sessão. - Políticas de Retenção de Dados: Implemente scripts automatizados de arquivamento ou exclusão alinhados com seus requisitos de conformidade. O Artigo 5(1)(e) do GDPR exige que os dados sejam mantidos pelo tempo estritamente necessário; no entanto, as regulamentações de interceptação legal em muitas jurisdições (por exemplo, a Investigatory Powers Act 2016 do Reino Unido) podem exigir a retenção por até 12 meses.
Passo 3: Construir o Fluxo de Dados
Para maximizar o valor dos dados de bilhetagem, eles devem ser exportados para plataformas de consumo onde possam ser consultados, correlacionados e visualizados.
- Integração com SIEM: Configure o servidor RADIUS ou o banco de dados subjacente para encaminhar logs ao seu SIEM (por exemplo, Splunk, Microsoft Sentinel, IBM QRadar) usando Syslog ou uma API REST. Isso permite que as equipes de segurança correlacionem eventos de autenticação WiFi com bloqueios de firewall, alertas de detecção de intrusão ou gatilhos de prevenção de perda de dados.- Integração de Analytics: Insira dados de sessão em plataformas como o WiFi Analytics do Purple para transformar bytes brutos e endereços MAC em insights acionáveis sobre fluxo de pessoas, tempo de permanência e períodos de pico de uso. Isso é particularmente valioso para operadores de Varejo e Hotelaria que precisam alinhar a equipe e os investimentos em infraestrutura com os padrões reais de uso.
Figura 2: O pipeline de dados de accounting RADIUS dos Access Points para plataformas de SIEM e analytics.
Melhores Práticas
Sempre use Atualizações Interinas. Depender apenas de pacotes Start e Stop cria pontos cegos operacionais. Uma queda de conexão ou falha de energia no AP pode impedir que um pacote Stop seja enviado, deixando uma sessão inativa no banco de dados indefinidamente. As atualizações interinas fornecem o mecanismo para detectar e fechar essas sessões inativas. A regra geral é: se uma sessão não enviou uma atualização interina dentro de duas a três vezes o intervalo configurado, trate-a como encerrada.
Correlacione o Accounting RADIUS com os Logs de DHCP. O accounting RADIUS fornece o Framed-IP-Address, mas os tempos de concessão de DHCP podem ser menores do que a duração das sessões em alguns ambientes. Manter os logs de DHCP ao lado dos logs de RADIUS fornece uma trilha de auditoria mais resiliente, particularmente em locais de alta densidade onde a reciclagem de endereços IP é frequente.
Proteja o Transporte com RadSec. O tráfego RADIUS tradicional é transmitido por UDP com criptografia mínima - apenas o campo de senha do usuário é ocultado. Em implantações distribuídas, especialmente aquelas que abrangem vários locais ou servidores RADIUS hospedados na nuvem, use RadSec (RADIUS sobre TLS, definido no RFC 6614) ou túneis IPsec para proteger os dados de accounting em trânsito. Esse é um requisito sob a PCI-DSS 4.0 para qualquer rede que manipule dados de portadores de cartão.
Monitore a Fila de Accounting. Se o servidor RADIUS ficar inacessível, os dispositivos NAS colocarão os pacotes de accounting em uma fila local. Monitore o tamanho dessa fila; uma fila cheia resultará em pacotes descartados e perda de dados de auditoria. Configure alertas sobre a profundidade da fila e implemente um servidor de accounting secundário para implantações de alta disponibilidade.
Separe os Servidores de Autenticação e Accounting em Larga Escala. Em implantações que excedem 5.000 usuários simultâneos, a carga de gravação do accounting pode degradar os tempos de resposta de autenticação. Servidores de accounting dedicados com instâncias de banco de dados separadas evitam essa disputa.
Solução de Problemas e Mitigação de Riscos
O Problema da Sessão Inativa
Sintoma: O banco de dados RADIUS mostra que um usuário está conectado há 48 horas, mas o local fechou durante a noite.
Causa Raiz: O NAS falhou ao enviar um pacote Stop - normalmente devido a uma falha de energia, reinicialização do AP ou interrupção de rede - e o pacote nunca foi recebido pelo servidor RADIUS.
Mitigação: Implemente um script de limpeza de sessões inativas no servidor RADIUS. O script deve verificar periodicamente as sessões ativas onde o último pacote recebido (Start ou Interim-Update) é mais antigo do que um limite definido (por exemplo, 2,5 vezes o intervalo de atualização interina). As sessões que excederem esse limite devem ser encerradas à força com um registro Stop sintético, anotando a causa do encerramento como "Lost-Carrier" ou "Admin-Reset".
Alta CPU e Carga de I/O no Servidor RADIUS
Sintoma: Os tempos de resposta de autenticação degradam durante as horas de pico; o servidor RADIUS relata alta CPU e gravação em disco.
Causa Raiz: Um intervalo de atualização interina excessivamente agressivo (por exemplo, 1 minuto) em milhares de APs gera um volume insustentável de gravações no banco de dados.
Mitigação: Aumente o intervalo de atualização provisória (interim update) para 15 minutos. Verifique se o banco de dados de tarifação possui os índices apropriados. Considere separar a autenticação e a tarifação em instâncias de servidores dedicados. Avalie se um banco de dados de série temporal (ex: InfluxDB) é mais adequado do que um banco de dados relacional para volumes elevados de dados de tarifação.
Framed-IP-Address Ausente nos Registros de Tarifação
Sintoma: Os registros de tarifação RADIUS existem, mas o campo Framed-IP-Address está vazio ou ausente, tornando impossível a correlação entre IP e MAC.
Causa Raiz: O NAS pode estar enviando o pacote Start antes que o DHCP tenha atribuído um endereço IP ao cliente. O IP só fica disponível após a conclusão da troca de mensagens do DHCP.
Mitigação: Configure o NAS para atrasar o envio do pacote Start até após a atribuição do DHCP, caso a plataforma ofereça suporte. Como alternativa, dependa dos pacotes Interim-Update, que são enviados após a atribuição do DHCP e conterão o Framed-IP-Address. Certifique-se de que suas consultas de auditoria considerem isso, verificando os registros de Interim-Update caso o registro Start não possua um IP.
ROI e Impacto no Negócio
A implementação de uma tarifação RADIUS robusta entrega valor comercial mensurável em três dimensões:
Mitigação de Riscos de Conformidade e Legais. Em caso de incidente de segurança, uma solicitação de acesso a dados pessoais sob a GDPR, ou uma ordem de interceptação legal, logs de tarifação precisos fornecem a trilha de auditoria necessária para identificar qual usuário ou dispositivo possuía um endereço IP específico em um momento determinado. Sem isso, as organizações enfrentam possíveis penalidades regulatórias sob a GDPR (até 4% do faturamento anual global) e danos à reputação. O custo de implementar uma infraestrutura de tarifação adequada é uma fração do custo de uma única ação de fiscalização regulatória.
Planejamento de Capacidade e ROI de Infraestrutura. Ao analisar as tendências de Acct-Input-Octets e Acct-Output-Octets ao longo do tempo, os arquitetos de rede podem identificar padrões de consumo de largura de banda, períodos de pico de uso e os APs ou SSIDs específicos que geram a maior carga. Esses dados informam diretamente as decisões de atualização de WAN e as estratégias de posicionamento de APs, garantindo que o investimento em infraestrutura seja direcionado para onde oferece o maior impacto. Para centros de Transporte e grandes locais de eventos, isso pode representar uma economia significativa de despesas de capital.Analytics Avançado e Inteligência de Espaço. Quando os dados de sessão RADIUS são combinados com plataformas como o WiFi Analytics e Sensors do Purple, os dados brutos de accounting são transformados em inteligência de espaço. Métricas de tempo de permanência derivadas da duração da sessão, identificação de visitantes recorrentes a partir do histórico de Calling-Station-Id e análise de pico de ocupação a partir de contagens de sessões simultâneas ficam disponíveis. Para operadores de Hotelaria, esses dados informam diretamente os modelos de dimensionamento de equipe, posicionamento de alimentos e bebidas e estratégias de personalização de marketing. Para obter mais contexto sobre como a infraestrutura de WiFi apoia esses recursos, consulte nossos guias sobre Wireless Access Points e Modern Hospitality WiFi Solutions.
Definições principais
RADIUS Accounting
O processo de coleta e registro de dados sobre o consumo de recursos de rede do usuário, incluindo horários de início e término da sessão, volume de dados transferidos e atribuição de endereço IP. Definido na RFC 2866.
Essencial para faturamento, planejamento de capacidade, conformidade com GDPR e manutenção de trilhas de auditoria de segurança em qualquer implantação de WiFi corporativo.
Acct-Status-Type
Um atributo RADIUS (ID de atributo 40) que indica a finalidade de um pacote de tarifação. Os valores incluem Start (1), Stop (2) e Interim-Update (3).
Usado pelo servidor RADIUS para determinar se deve criar um novo registro de sessão, atualizar um existente ou fechá-lo. O atributo mais fundamental em qualquer pacote de tarifação.
Interim-Update
Um pacote periódico de RADIUS Accounting enviado pelo NAS durante uma sessão ativa para relatar estatísticas de uso atuais, incluindo bytes transferidos e duração da sessão.
Crítico para rastrear sessões de longa duração e detectar sessões inativas se um cliente se desconectar inesperadamente sem enviar um pacote Stop.
Acct-Session-Id
Uma string exclusiva gerada pelo NAS para identificar uma instância específica de conexão de usuário. Esse valor é consistente em todos os pacotes de tarifação (Start, Interim-Update, Stop) para a mesma sessão.
A chave primária usada para correlacionar todos os registros de tarifação que pertencem à mesma sessão. Sem isso, é impossível reconstruir um histórico de sessão completo.
NAS (Network Access Server)
O dispositivo - normalmente um ponto de acesso sem fio ou controlador de LAN sem fio - que controla o acesso físico à rede e atua como o cliente RADIUS, gerando e enviando pacotes de tarifação.
O NAS é responsável pela precisão e integridade dos dados de tarifação. A configuração incorreta no nível do NAS (por exemplo, tarifação desativada, atributos ausentes) não pode ser corrigida no nível do servidor RADIUS.
Framed-IP-Address
O endereço IP atribuído ao dispositivo do cliente durante a sessão, incluído nos pacotes de RADIUS Accounting.
Crítico para correlacionar logs de RADIUS Accounting com outros logs de rede, como firewall, proxy web ou logs de DNS. A ausência deste atributo impossibilita a correlação de IP para dispositivo.
Calling-Station-Id
Normalmente, o endereço MAC do dispositivo do cliente que se conecta à rede, formatado como uma string hexadecimal separada por dois pontos (por exemplo, AA:BB:CC:DD:EE:FF).
Usado para identificar o dispositivo de hardware específico, independentemente do endereço IP que lhe foi atribuído. A âncora na camada de dispositivo para a trilha de auditoria.
Acct-Terminate-Cause
Um atributo incluído nos pacotes Stop que especifica o motivo pelo qual uma sessão foi encerrada. Os valores comuns incluem User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout e Admin-Reset.
Valioso para solucionar problemas de conectividade e para detecção de anomalias - por exemplo, uma alta taxa de terminações Lost-Carrier em um AP específico pode indicar um problema de hardware ou interferência.
RadSec
RADIUS sobre TLS (Transport Layer Security), definido na RFC 6614. Fornece transporte criptografado e autenticado para pacotes RADIUS, substituindo o transporte tradicional baseado em UDP.
Necessário em qualquer implantação onde o tráfego RADIUS atravessa redes não confiáveis (por exemplo, servidores RADIUS na nuvem conectados à internet). Cada vez mais exigido pelo PCI DSS 4.0 para ambientes de dados de portadores de cartão.
Exemplos práticos
Um hotel de 300 quartos com instalações para conferências está implantando uma nova rede WiFi para hóspedes. O gerente de TI precisa garantir que a implantação atenda aos requisitos da GDPR para minimização de dados e integridade da trilha de auditoria, ao mesmo tempo em que fornece à equipe de marketing análises de tempo de permanência e visitantes recorrentes. O hotel utiliza um servidor RADIUS hospedado na nuvem e APs Cisco Meraki.
A implantação deve ser configurada da seguinte forma. No painel do Meraki, navegue até Configurações de Rede > Servidores RADIUS e adicione o servidor RADIUS na nuvem na porta 1813 com um segredo compartilhado forte. Ative o accounting e defina o intervalo de atualização provisória para 15 minutos. No servidor RADIUS, configure o accounting para gravar em um banco de dados PostgreSQL com o seguinte esquema: session_id (chave primária), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause. Implemente uma política de retenção de dados que arquive automaticamente registros com mais de 12 meses em armazenamento frio e elimine registros com mais de 24 meses, documentada no Registro de Atividades de Processamento da GDPR do hotel. Configure uma integração com o Purple WiFi Analytics para ingerir os dados da sessão, permitindo que a equipe de marketing acesse relatórios de tempo de permanência e painéis de frequência de visitantes recorrentes. Garanta que o NTP esteja sincronizado em todos os APs Meraki e no servidor RADIUS com precisão de 1 segundo.
Uma rede de varejo com 150 lojas precisa cumprir os requisitos do PCI-DSS 4.0 para monitoramento de acesso à rede. Seus terminais de ponto de venda utilizam MAC Authentication Bypass (MAB) na rede WiFi. A equipe de segurança recebeu uma solicitação de seu QSA (Qualified Security Assessor) para demonstrar que eles conseguem identificar qual terminal de PDV específico acessou a rede de pagamento em qualquer momento, usando apenas um endereço IP de origem e um carimbo de data/hora de um log de firewall.
A solução requer uma integração de três componentes. Primeiro, verifique se todos os controladores de LAN sem fio estão configurados para incluir o atributo Framed-IP-Address nos pacotes de RADIUS accounting. Isso nem sempre vem ativado por padrão e deve ser configurado explicitamente. Segundo, integre o banco de dados de RADIUS accounting com a plataforma SIEM (por exemplo, Splunk). Crie uma tabela de busca no Splunk que mapeie o Framed-IP-Address e os intervalos de tempo da sessão para o Calling-Station-Id (endereço MAC). Terceiro, crie uma pesquisa salva no Splunk que aceite um IP de origem e um carimbo de data/hora como entradas e retorne o endereço MAC correspondente, o NAS-IP-Address (identificando a loja e o AP) e o User-Name dos registros de RADIUS accounting. O QSA poderá então ver a demonstração deste fluxo de trabalho: dado um registro de log de firewall que mostra o IP de origem 10.5.12.44 às 14:23:07 em uma data específica, a pesquisa retorna o endereço MAC do terminal de PDV, o AP ao qual ele estava conectado e a localização da loja.
Questões práticas
Q1. Um gerente de TI de hotel percebe que o painel de análise de WiFi mostra pouquíssimos usuários ativos durante o dia, mesmo que o lobby e o restaurante estejam visivelmente movimentados. No entanto, os relatórios históricos do dia anterior mostram um pico massivo no uso de dados. Os logs do servidor RADIUS confirmam que os pacotes Start estão sendo recebidos, mas o banco de dados mostra pouquíssimos registros de Interim-Update. Qual é a configuração incorreta mais provável e como você a resolveria?
Dica: Considere como o uso de dados é relatado durante uma sessão ativa versus no momento da desconexão.
Ver resposta modelo
A causa mais provável é que os Interim-Updates estão desativados ou não configurados no Wireless LAN Controller. Sem atualizações intermediárias, o servidor RADIUS recebe apenas um pacote Start quando o usuário se conecta e um pacote Stop quando ele se desconecta. O painel de análise não consegue exibir o uso atual porque nenhum dado em sessão está sendo reportado. Quando os usuários saem e se desconectam, os pacotes Stop chegam com o total de dados acumulados, causando o pico atrasado nos relatórios históricos. A resolução é ativar os Interim-Updates no WLC e definir um intervalo adequado - 15 minutos é o recomendado para um ambiente de hotel. Após ativar, verifique se o servidor RADIUS está recebendo pacotes Interim-Update consultando no banco de dados de tarifação por registros com Acct-Status-Type = 3.
Q2. Durante a investigação de um incidente de segurança, seu SIEM sinalizou que um endereço IP na rede WiFi de visitantes acessou um servidor de comando e controle conhecido às 09:47:23 em uma data específica. Você precisa identificar o dispositivo físico responsável. O tempo de concessão do seu DHCP está definido para 30 minutos. Descreva a lógica exata de consulta que você usaria no banco de dados de tarifação RADIUS para identificar o dispositivo.
Dica: Os endereços IP não são estáticos. Você deve usar uma consulta de intervalo de tempo, e não uma busca de ponto específico no tempo, e considerar a reciclagem de concessão DHCP.
Ver resposta modelo
Você deve consultar o banco de dados de tarifação RADIUS por sessões onde: (1) o Framed-IP-Address seja igual ao endereço IP sinalizado, E (2) o timestamp session_start seja anterior ou igual a 09:47:23, E (3) o timestamp session_end seja posterior ou igual a 09:47:23, OU o session_end seja NULL (sessão ainda ativa no momento da consulta). Se houver correspondência com múltiplas sessões (o que é possível com uma concessão DHCP de 30 minutos), revise os registros de Interim-Update para confirmar qual sessão estava reportando uso ativamente às 09:47:23. O registro da sessão correspondente conterá o Calling-Station-Id (endereço MAC do dispositivo) e o User-Name (identidade autenticada, caso o 802.1X tenha sido usado). Cruze o endereço MAC com o seu inventário de dispositivos ou logs do servidor DHCP para identificar o dispositivo físico e seu proprietário.
Q3. Você é o arquiteto de rede de um centro de convenções que hospeda eventos com até 8.000 usuários de WiFi simultâneos. Seu servidor RADIUS atual está enfrentando saturação de gravação no banco de dados durante picos de eventos, causando atrasos de autenticação de 3 a 5 segundos. Seu intervalo atual de atualização intermediária está definido para 2 minutos. Descreva um plano de remediação de várias etapas que aborde tanto o problema imediato de desempenho quanto o risco arquitetônico subjacente.
Dica: Considere tanto mudanças de configuração quanto mudanças arquitetônicas. O objetivo é manter a integridade da trilha de auditoria enquanto reduz a carga de gravação.
Ver resposta modelo
O plano de remediação deve abordar três camadas. Primeiro, como correção imediata, aumente o intervalo de atualização provisória (interim update) de 2 minutos para 15 minutos em todos os controladores sem fio. Isso reduz a carga de gravação de contabilização em aproximadamente 87% (de uma gravação a cada 2 minutos para uma a cada 15 minutos por sessão), o que deve aliviar imediatamente a pressão de I/O do banco de dados. Segundo, separe as cargas de trabalho de autenticação e contabilização em instâncias de servidor dedicadas. O servidor de autenticação lida com pacotes Access-Request/Accept/Reject, enquanto um servidor de contabilização dedicado lida com pacotes Accounting-Request e grava em um banco de dados separado. Isso evita que a carga de gravação de contabilização afete os tempos de resposta de autenticação. Terceiro, para o risco arquitetônico subjacente, avalie se um banco de dados de séries temporais (por exemplo, InfluxDB ou TimescaleDB) é mais adequado do que um banco de dados relacional para a carga de trabalho de contabilização. Os bancos de dados de séries temporais são otimizados para gravações sequenciais de alto volume e consultas de intervalo de tempo, o que corresponde exatamente ao padrão de dados de contabilização. Migre as gravações de contabilização para o banco de dados de séries temporais, mantendo o banco de dados relacional para consultas de relatórios de conformidade.
Perguntas frequentes
What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?
RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.
How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?
Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.
How does RADIUS accounting track client bandwidth consumption accurately?
Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.
Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?
When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.
How should network administrators prevent database bottlenecks from RADIUS accounting logs?
Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.
How does Purple utilize RADIUS accounting for enterprise analytics and compliance?
Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.
Continue a ler esta série
Cyber Essentials e WiFi para Funcionários: Passando nos Cinco Controles em Sua Rede Sem Fio
Você será capaz de mapear cada um dos cinco controles do Cyber Essentials para o seu WiFi de funcionários e corrigir as falhas que os avaliadores encontram. Você poderá escolher entre 802.1X, iPSK e uma rede WPA2-PSK segregada para cada classe de dispositivo. Finalmente, você saberá como preparar pontos de acesso, controladores e BYOD para uma auditoria Cyber Essentials Plus.
HPE Aruba Central presence analytics: setup, exports and limits
Você poderá habilitar o HPE Aruba Central presence analytics por local, calibrar o limite de RSSI e os limites de permanência em relação a uma contagem real e exportar agregados em nível de local por meio da REST API do Central. Você também saberá onde o presence analytics nativo termina e quando uma camada de plataforma independente de hardware como o Purple se faz necessária em seus pontos de acesso Aruba existentes.
Conformidade com a CIPA: checklist de conformidade para operadores de locais
Você será capaz de decidir se a CIPA se aplica ao seu WiFi, depois segmentar redes, rotear o DNS através do Purple Shield e fechar rotas de desvio. Você também saberá quais evidências guardar para a certificação do Formulário 486 ou Formulário 479. O checklist atribui cada requisito a um responsável, para que sua certificação do próximo ano de financiamento não tenha nenhuma pendência.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.