RADIUS Accounting: Rastreando Sessões, Uso e Logs de Auditoria

Resumo Executivo

Para equipes de TI corporativas e operações de rede, autenticar usuários em uma rede WiFi é apenas metade da batalha. Uma vez que um dispositivo está conectado, entender o que esse dispositivo faz — quanto tempo ele permanece conectado, quanto dado ele consome e quando ele se desconecta — é crítico para a segurança, planejamento de capacidade e conformidade regulatória. É aqui que o RADIUS accounting se torna indispensável. Enquanto a autenticação RADIUS lida com o quem e o como do acesso à rede, o RADIUS accounting registra meticulosamente o o quê, quando e quanto.

Este guia fornece um aprofundamento técnico no RADIUS accounting, explorando a mecânica dos pacotes Start, Stop e Interim-Update, e os atributos que os tornam valiosos. Ele descreve como operadores de locais em Hospitalidade , Varejo e outros setores podem aproveitar esses dados para manter trilhas de auditoria robustas, garantir a conformidade com a GDPR e alimentar plataformas SIEM ou sistemas de WiFi Analytics com inteligência acionável. Ao dominar o RADIUS accounting, os arquitetos de rede podem transformar logs de sessão brutos em ativos estratégicos que impulsionam a eficiência operacional e mitigam riscos.

Aprofundamento Técnico

RADIUS Accounting vs. Autenticação RADIUS

O RADIUS (Remote Authentication Dial-In User Service), definido na RFC 2865 e estendido para accounting na RFC 2866 , opera em um modelo cliente-servidor. Em uma implantação típica de WiFi corporativo, o Access Point (AP) ou o Wireless LAN Controller (WLC) atua como o Network Access Server (NAS) — o cliente RADIUS. O servidor RADIUS (por exemplo, FreeRADIUS, Cisco ISE, Aruba ClearPass) recebe e processa as solicitações.

A distinção entre autenticação e accounting é fundamental:

Para equipes que implantam Guest WiFi em escala, ambas as funções são necessárias — mas o accounting é o que mantém você em conformidade e defensável.

Os Três Tipos de Pacotes de Accounting

O RADIUS accounting depende de três tipos principais de pacotes Accounting-Request, cada um definido pelo atributo Acct-Status-Type:

1. Start (Acct-Status-Type = 1): Enviado pelo NAS quando um usuário se conecta com sucesso e uma sessão é iniciada. Ele estabelece o registro de linha de base no banco de dados de accounting, capturando a identidade do usuário, o endereço MAC do dispositivo, o endereço IP atribuído e o AP ao qual o usuário se conectou.

2. Interim-Update (Acct-Status-Type = 3): Enviado periodicamente durante uma sessão ativa. Esses pacotes fornecem instantâneos contínuos do uso atual — bytes transferidos, duração da sessão e contagem de pacotes. Eles funcionam como um heartbeat para confirmar que a sessão ainda está ativa e fornecer visibilidade sobre sessões de longa duração sem esperar pela desconexão.

3. Stop (Acct-Status-Type = 2): Enviado quando a sessão é encerrada — seja por uma desconexão iniciada pelo usuário, reinicialização do AP, tempo limite de inatividade (idle timeout) ou tempo limite de sessão (session timeout). Ele contém as estatísticas finais e cumulativas de toda a sessão.

Figura 1: O ciclo de vida do pacote de accounting RADIUS em uma sessão WiFi.

Atributos Chave de Accounting

Para rastrear sessões de forma eficaz e criar logs de auditoria defensáveis, o NAS preenche os pacotes Accounting-Request com atributos específicos. Os seguintes são os mais significativos operacionalmente:

Para equipes que trabalham com Autenticação 802.1X , o atributo User-Name conterá a identidade autenticada da troca EAP, fornecendo uma trilha de auditoria mais rica do que apenas o MAC Authentication Bypass (MAB).

Guia de Implementação

A implantação de uma infraestrutura robusta de tarifação RADIUS exige uma configuração cuidadosa tanto no nível do NAS quanto no do servidor RADIUS. A seguir, apresenta-se uma abordagem neutra em relação ao fornecedor para estabelecer um pipeline de tarifação confiável.

Passo 1: Configurar o NAS (Pontos de Acesso / Controladoras)

A configuração do NAS é onde a maioria das implantações falha. Os administradores frequentemente configuram a autenticação corretamente, mas deixam a tarifação nas configurações padrão ou totalmente desativada.

• Definir o Servidor de Tarifação: Especifique o endereço IP do servidor RADIUS e o segredo compartilhado para a porta UDP 1813. Em implantações de alta disponibilidade, configure um servidor de tarifação secundário para evitar a perda de dados caso o primário fique inacessível.
• Habilitar Atualizações Interinas (Interim Updates): Este é o passo de configuração mais importante. Defina um intervalo adequado — normalmente de 10 a 15 minutos para implantações corporativas. Intervalos mais curtos (por exemplo, 1 minuto) fornecem dados mais detalhados, mas geram uma carga de gravação insustentável em escala; intervalos mais longos (por exemplo, 30 minutos) reduzem o consumo de recursos, mas atrasam a visibilidade das sessões ativas.
• Garantir a Sincronização de Horário: Configure o NTP em todos os dispositivos NAS e no servidor RADIUS. Carimbos de data/hora (timestamps) precisos são inegociáveis para logs de auditoria e correlação em SIEM. Um desvio de relógio de apenas 5 minutos pode invalidar uma trilha de auditoria em um cenário de interceptação legal.

Passo 2: Configurar o Servidor RADIUS

• Integração com Banco de Dados: Configure o servidor RADIUS para registrar os dados de tarifação em um banco de dados relacional estruturado (por exemplo, PostgreSQL, MySQL) em vez de arquivos de texto simples. O armazenamento estruturado permite consultas eficientes, indexação e integração com sistemas downstream. Certifique-se de que existam índices em Acct-Session-Id, User-Name, Framed-IP-Address e no timestamp de início da sessão.
• Políticas de Retenção de Dados: Implemente scripts automatizados de arquivamento ou exclusão alinhados com seus requisitos de conformidade. O Artigo 5(1)(e) do GDPR exige que os dados não sejam mantidos por mais tempo do que o necessário; no entanto, as regulamentações de interceptação legal em muitas jurisdições podem exigir a retenção por até 12 meses.

Passo 3: Construir o Pipeline de Dados

Para maximizar o valor dos dados de tarifação, eles devem ser exportados para plataformas de consumo onde possam ser consultados, correlacionados e visualizados.

• Integração com SIEM: Configure o servidor RADIUS ou o banco de dados subjacente para encaminhar logs para o seu SIEM (por exemplo, Splunk, Microsoft Sentinel, IBM QRadar) usando Syslog ou uma API REST. Isso permite que as equipes de segurança correlacionem eventos de autenticação WiFi com bloqueios de firewall, alertas de detecção de intrusão ou gatilhos de prevenção de perda de dados.- Integração de Analytics: Insira dados de sessão em plataformas como o WiFi Analytics da Purple para transformar bytes brutos e endereços MAC em insights acionáveis sobre fluxo de pessoas, tempo de permanência e períodos de pico de uso. Isso é particularmente valioso para operadores de Varejo e Hospitalidade que precisam alinhar o investimento em equipe e infraestrutura com os padrões reais de uso.

Figura 2: O pipeline de dados de accounting RADIUS dos Access Points para plataformas de SIEM e analytics.

Melhores Práticas

Sempre Use Atualizações Interinas (Interim Updates). Confiar apenas em pacotes Start e Stop cria pontos cegos operacionais. Uma conexão interrompida ou falha de energia no AP pode impedir o envio de um pacote Stop, deixando uma sessão inativa no banco de dados indefinidamente. As atualizações interinas fornecem o mecanismo para detectar e encerrar essas sessões inativas. A regra geral: se uma sessão não enviou uma atualização interina dentro de duas a três vezes o intervalo configurado, trate-a como encerrada.

Correlacione o Accounting RADIUS com Logs de DHCP. O accounting RADIUS fornece o Framed-IP-Address, mas os tempos de concessão (lease) do DHCP podem ser menores do que a duração das sessões em alguns ambientes. Manter os logs de DHCP junto com os logs do RADIUS fornece uma trilha de auditoria mais resiliente, particularmente em locais de alta densidade onde a reciclagem de endereços IP é frequente.

Proteja o Transporte com RadSec. O tráfego RADIUS tradicional é transmitido via UDP com criptografia mínima — apenas o campo de senha do usuário é ofuscado. Em implantações distribuídas, especialmente aquelas que abrangem vários locais ou servidores RADIUS hospedados na nuvem, use RadSec (RADIUS sobre TLS, definido na RFC 6614) ou túneis IPsec para proteger os dados de accounting em trânsito. Este é um requisito do PCI DSS 4.0 para qualquer rede que processe dados de portadores de cartão.

Monitore a Fila de Accounting. Se o servidor RADIUS ficar inacessível, os dispositivos NAS colocarão os pacotes de accounting em uma fila local. Monitore o tamanho dessa fila; uma fila cheia resultará em pacotes descartados e perda de dados de auditoria. Configure alertas para o tamanho da fila e implemente um servidor de accounting secundário para implantações de alta disponibilidade.

Separe os Servidores de Autenticação e Accounting em Larga Escala. Em implantações que excedem 5.000 usuários simultâneos, a carga de gravação do accounting pode degradar os tempos de resposta de autenticação. Servidores de accounting dedicados com instâncias de banco de dados separadas evitam essa disputa por recursos.

Solução de Problemas e Mitigação de Riscos

O Problema da Sessão Inativa (Stale Session)

Sintoma: O banco de dados RADIUS mostra que um usuário está conectado há 48 horas, mas o local fechou durante a noite.

Causa Raiz: O NAS falhou ao enviar um pacote Stop — normalmente devido a uma falha de energia, reinicialização do AP ou interrupção da rede — e o pacote nunca foi recebido pelo servidor RADIUS.

Mitigação: Implemente um script de limpeza de sessões inativas no servidor RADIUS. O script deve verificar periodicamente as sessões ativas onde o último pacote recebido (Start ou Interim-Update) é mais antigo do que um limite definido (por exemplo, 2,5 vezes o intervalo de atualização provisória). As sessões que excederem esse limite devem ser encerradas à força com um registro Stop sintético, observando a causa do término como 'Lost-Carrier' ou 'Admin-Reset'.

Alta Carga de CPU e I/O no Servidor RADIUS

Sintoma: Os tempos de resposta de autenticação degradam durante os horários de pico; o servidor RADIUS relata alta utilização de CPU e I/O de disco.

Causa Raiz: Um intervalo de atualização provisória excessivamente agressivo (por exemplo, 1 minuto) em milhares de APs gera um volume insustentável de gravações no banco de dados.

Mitigação: Aumente o intervalo de atualização provisória para 15 minutos. Verifique se o banco de dados de tarifação possui os índices apropriados. Considere separar a autenticação e a tarifação em instâncias de servidor dedicadas. Avalie se um banco de dados de séries temporais (por exemplo, InfluxDB) é mais adequado do que um banco de dados relacional para dados de tarifação de alto volume.

Framed-IP-Address Ausente nos Registros de Tarifação

Sintoma: Os registros de tarifação do RADIUS existem, mas o campo Framed-IP-Address está vazio ou ausente, impossibilitando a correlação IP-para-MAC.

Causa Raiz: O NAS pode estar enviando o pacote Start antes que o DHCP tenha atribuído um endereço IP ao cliente. O IP só fica disponível após a conclusão da troca de DHCP.

Mitigação: Configure o NAS para atrasar o envio do pacote Start até após a atribuição do DHCP, se a plataforma suportar isso. Como alternativa, dependa dos pacotes Interim-Update, que são enviados após a atribuição do DHCP e conterão o Framed-IP-Address. Certifique-se de que suas consultas de auditoria considerem isso, verificando os registros Interim-Update se o registro Start não tiver um IP.

ROI e Impacto nos Negócios

A implementação de uma tarifação RADIUS robusta entrega valor comercial mensurável em três dimensões:

Mitigação de Riscos de Conformidade e Legais. No caso de um incidente de segurança, uma solicitação de acesso a dados do titular sob a GDPR ou uma ordem de interceptação legal, registros de tarifação precisos fornecem a trilha de auditoria necessária para identificar qual usuário ou dispositivo possuía um endereço IP específico em um momento específico. Sem isso, as organizações enfrentam possíveis penalidades regulatórias sob a GDPR (até 4% do faturamento anual global) e danos à reputação. O custo de implementar uma infraestrutura de tarifação adequada é uma fração do custo de uma única ação de fiscalização regulatória.

Planejamento de Capacidade e ROI de Infraestrutura. Ao analisar as tendências de Acct-Input-Octets e Acct-Output-Octets ao longo do tempo, os arquitetos de rede podem identificar padrões de consumo de largura de banda, períodos de pico de uso e os APs ou SSIDs específicos que geram a maior carga. Esses dados informam diretamente as decisões de atualização de WAN e as estratégias de posicionamento de AP, garantindo que o investimento em infraestrutura seja direcionado para onde oferece o maior impacto. Para hubs de Transporte e grandes locais de eventos, isso pode representar economias significativas de despesas de capital.

Análises Avançadas e Inteligência de Espaço. Quando os dados de sessão RADIUS são combinados com plataformas como o WiFi Analytics e Sensors da Purple, os dados brutos de contabilização são transformados em inteligência de espaço. Métricas de tempo de permanência derivadas da duração da sessão, identificação de visitantes recorrentes a partir do histórico de Calling-Station-Id e análise de ocupação de pico a partir de contagens de sessões simultâneas tornam-se disponíveis. Para operadores de Hospitalidade , esses dados informam diretamente os modelos de dimensionamento de equipe, posicionamento de Alimentos e Bebidas (F&B) e estratégias de personalização de marketing. Para obter mais contexto sobre como a infraestrutura de WiFi sustenta esses recursos, consulte nossos guias sobre Pontos de Acesso Sem Fio e Soluções Modernas de WiFi para Hospitalidade .