RADIUS Accounting: Rastreio de Sessões, Utilização e Registos de Auditoria
Este guia fornece uma referência técnica abrangente sobre RADIUS accounting - como regista dados de início, fim e atualizações intermédias de sessões WiFi, quais os atributos recolhidos e como tirar partido desses dados para auditoria de segurança, conformidade com o GDPR e planeamento de capacidade. É uma leitura essencial para equipas de operações de rede e segurança que necessitam de registos de auditoria defensáveis a partir de eventos de autenticação WiFi, e para operadores de espaços que procuram integrar dados de sessões em plataformas SIEM e painéis de analítica.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: O Guia de Segurança WiFi Corporativo →
RADIUS accounting sizing and session audit advisor
Calculate steady-state packet throughput (PPS), database log expansion, WAN bandwidth overhead, and generate turnkey AAA accounting profiles across enterprise network controllers.
RADIUS packet rate and database write analysis
RFC 2866 dictates that Network Access Servers (NAS) transmit an Accounting-Start packet when a client associates, periodic Interim-Update packets during the session, and an Accounting-Stop packet upon termination. Sizing your AAA layer requires modeling peak connection rushes alongside ongoing heartbeat load.
- Accounting-Start: 0.04 req/s average baseline
- Interim-Update: 3.33 req/s continuous heartbeat flow
- Accounting-Stop: 0.04 req/s closure telemetry
- Morning rush burst (2.5x): 8.5 requests per second peak
- Daily table growth: 39.3 MB / 24-hour cycle
- 90-day retention total: 3.5 GB uncompressed index pool
- Recommended SQL pooling: Minimum 8 worker threads
- Table partitioning: Standard B-tree indexes sufficient
Resumo Executivo
Para as equipas de TI e de operações de rede empresariais, a autenticação de utilizadores numa rede WiFi é apenas metade da batalha. Assim que um dispositivo se liga, compreender o que esse dispositivo faz - quanto tempo permanece ligado, quantos dados consome e quando se desliga - é fundamental para a segurança, planeamento de capacidade e conformidade regulamentar. É aqui que o RADIUS accounting se torna indispensável. Enquanto a autenticação RADIUS lida com o quem e o como do acesso à rede, o RADIUS accounting regista meticulosamente o quê, o quando e o quanto.
Este guia fornece uma análise técnica aprofundada sobre o RADIUS accounting, explorando o funcionamento dos pacotes Start, Stop e Interim-Update, bem como os atributos que os tornam valiosos. Descreve como os operadores de espaços em Hospitalidade, Retalho e outros setores podem tirar partido destes dados para manter registos de auditoria robustos, garantir a conformidade com o GDPR e alimentar plataformas SIEM ou sistemas de WiFi Analytics com informações acionáveis. Ao dominarem o RADIUS accounting, os arquitetos de rede podem transformar registos de sessão puros em ativos estratégicos que impulsionam a eficiência operacional e mitigam riscos.
-
Análise Técnica Aprofundada
RADIUS Accounting vs. Autenticação RADIUS
O RADIUS (Remote Authentication Dial-In User Service), definido no RFC 2865 e alargado para accounting no RFC 2866, funciona num modelo cliente-servidor. Numa implementação típica de WiFi empresarial, o Ponto de Acesso (AP) ou o Controlador de LAN Sem Fios (WLC) atua como o Network Access Server (NAS) - o cliente RADIUS. O servidor RADIUS (por exemplo, FreeRADIUS, Cisco ISE, Aruba ClearPass) recebe e processa os pedidos.
A distinção entre autenticação e accounting é fundamental:
| Dimensão | Autenticação RADIUS | RADIUS Accounting |
|---|---|---|
| Objetivo | Verificar identidade e conceder/recusar acesso | Registar a utilização e atividade da sessão |
| Porta UDP | 1812 | 1813 |
| Referência RFC | RFC 2865 | RFC 2866 |
| Tipos de Pacotes | Access-Request, Access-Accept, Access-Reject | Accounting-Request (Start/Stop/Interim) |
| Dados Capturados | Credenciais, atribuição de VLAN, política | Tempo de sessão, bytes transferidos, endereço IP |
| Função de Conformidade | Controlo de acessos | Registo de auditoria, interceção legal |
Para as equipas que implementam Guest WiFi em grande escala, ambas as funções são necessárias - mas o accounting é aquela que o mantém em conformidade e protegido.
Os Três Tipos de Pacotes de Accounting
O RADIUS accounting baseia-se em três tipos principais de pacotes Accounting-Request, cada um definido pelo atributo Acct-Status-Type:
Start (Acct-Status-Type = 1): Enviado pelo NAS quando um utilizador se liga com sucesso e uma sessão é iniciada. Estabelece o registo de base na base de dados de accounting, capturando a identidade do utilizador, o endereço MAC do dispositivo, o endereço IP atribuído e o AP ao qual o utilizador se ligou.
Interim-Update (Acct-Status-Type = 3): Enviado periodicamente durante uma sessão ativa. Estes pacotes fornecem instantâneos contínuos da utilização atual - bytes transferidos, duração da sessão e contagem de pacotes. Funcionam como um batimento cardíaco para confirmar que a sessão ainda está ativa e fornecem visibilidade sobre sessões de longa duração sem esperar pela desligação.
Stop (Acct-Status-Type = 2): Enviado quando a sessão termina - quer seja devido a uma desligação iniciada pelo utilizador, reinicialização do AP, limite de tempo por inatividade ou limite de tempo da sessão. Contém as estatísticas acumuladas finais de toda a sessão.
Figura 1: O ciclo de vida do pacote de accounting RADIUS ao longo de uma sessão WiFi.
Atributos Chave de Accounting
Para monitorizar sessões eficazmente e criar registos de auditoria defensáveis, o NAS preenche os pacotes Accounting-Request com atributos específicos. Os seguintes são os mais significativos a nível operacional:
| Atributo | Descrição | Relevância de Conformidade |
|---|---|---|
| Acct-Session-Id | Identificador de sessão único gerado pelo NAS | Chave primária para correlacionar registos Start, Interim e Stop |
| User-Name | Identidade autenticada (nome de utilizador ou endereço MAC) | Mapeia a sessão para um utilizador ou dispositivo específico |
| NAS-IP-Address | Endereço IP do AP ou WLC reportador | Identifica o segmento de rede e a localização física |
| Framed-IP-Address | Endereço IP atribuído ao dispositivo cliente | Crítico para correlacionar com registos de firewall e proxy web |
| Calling-Station-Id | Endereço MAC do dispositivo cliente | Identidade ao nível do dispositivo para pista de auditoria |
| Called-Station-Id | Endereço MAC do AP e SSID | Identifica o rádio e a rede específicos aos quais o utilizador se ligou |
| Acct-Input-Octets | Bytes recebidos do cliente | Monitorização de largura de banda e planeamento de capacidade |
| Acct-Output-Octets | Bytes enviados para o cliente | Monitorização de largura de banda e planeamento de capacidade |
| Acct-Session-Time | Duração da sessão em segundos | Análise de tempo de permanência e faturação |
| Acct-Terminate-Cause | Motivo do fim da sessão | Resolução de problemas e deteção de anomalias |
Para as equipas que trabalham com 802.1X Authentication, o atributo User-Name conterá a identidade autenticada da troca EAP, fornecendo uma pista de auditoria mais rica do que apenas o Bypass de Autenticação MAC (MAB).
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.
Guia de Implementação
A implementação de uma infraestrutura robusta de monitorização de acessos RADIUS (RADIUS accounting) exige uma configuração cuidadosa tanto ao nível do NAS como do servidor RADIUS. O que se segue é uma abordagem neutra em termos de fornecedor para estabelecer um fluxo de monitorização fiável.
Passo 1: Configurar o NAS (Pontos de Acesso / Controladoras)
A configuração do NAS é onde a maioria das implementações falha. Os administradores configuram frequentemente a autenticação de forma correta, mas deixam a monitorização com as definições predefinidas ou totalmente desativada.
- Definir o Servidor de Monitorização: Especifique o endereço IP do servidor RADIUS e o segredo partilhado para a porta UDP 1813. Em implementações de elevada disponibilidade, configure um servidor de monitorização secundário para evitar a perda de dados caso o principal fique inacessível.
- Ativar Atualizações Provisórias: Este é o passo de configuração mais importante de todos. Defina um intervalo adequado - normalmente entre 10 a 15 minutos para implementações empresariais. Intervalos mais curtos (ex. 1 minuto) fornecem dados mais detalhados, mas geram uma carga de gravação insustentável em grande escala; intervalos mais longos (ex. 30 minutos) reduzem o processamento, mas atrasam a visibilidade sobre as sessões ativas.
- Garantir a Sincronização Temporal: Configure o NTP em todos os dispositivos NAS e no servidor RADIUS. Carimbos de data/hora precisos são inegociáveis para registos de auditoria e correlação em SIEM. Um desvio de relógio de apenas 5 minutos pode invalidar uma pista de auditoria num cenário de interceção legal.
Passo 2: Configurar o Servidor RADIUS
- Integração com Base de Dados: Configure o servidor RADIUS para registar os dados de monitorização numa base de dados relacional estruturada (ex. PostgreSQL, MySQL) em vez de ficheiros de texto simples. O armazenamento estruturado permite consultas eficientes, indexação e integração com sistemas a jusante. Garanta a existência de índices em
Acct-Session-Id,User-Name,Framed-IP-Addresse no carimbo de data/hora de início da sessão. - Políticas de Retenção de Dados: Implemente scripts automatizados de arquivo ou eliminação alinhados com os seus requisitos de conformidade. O Artigo 5.º, n.º 1, alínea e) do GDPR exige que os dados não sejam mantidos por mais tempo do que o necessário; no entanto, os regulamentos de interceção legal em muitas jurisdições podem exigir a retenção por um período de até 12 meses.
Passo 3: Construir o Fluxo de Dados
Para maximizar o valor dos dados de monitorização, estes devem ser exportados para plataformas de consumo onde possam ser consultados, correlacionados e visualizados.
- Integração com SIEM: Configure o servidor RADIUS ou a base de dados subjacente para encaminhar os registos para o seu SIEM (ex. Splunk, Microsoft Sentinel, IBM QRadar) utilizando Syslog ou uma REST API. Isto permite que as equipas de segurança correlacionem eventos de autenticação WiFi com bloqueios de firewall, alertas de deteção de intrusões ou acionadores de prevenção de perda de dados.
- Integração de Analytics: Insira dados de sessão em plataformas como o WiFi Analytics da Purple para transformar bytes brutos e endereços MAC em informações acionáveis sobre afluência, tempo de permanência e períodos de pico de utilização. Isto é particularmente valioso para operadores de Retalho e Hotelaria que precisam de alinhar as suas equipas e investimento em infraestruturas com os padrões reais de utilização.
Figura 2: O pipeline de dados de contabilidade RADIUS desde os Pontos de Acesso até às plataformas de SIEM e analytics.
Melhores Práticas
Utilize Sempre Interim Updates. Depender exclusivamente de pacotes Start e Stop cria pontos cegos operacionais. Uma queda de ligação ou falha de energia no AP pode impedir o envio de um pacote Stop, deixando uma sessão inativa na base de dados indefinidamente. Os interim updates fornecem o mecanismo para detetar e fechar estas sessões inativas. A regra geral: se uma sessão não enviar um interim update no espaço de duas a três vezes o intervalo configurado, trate-a como terminada.
Correlacione o RADIUS Accounting com os Registos de DHCP. O RADIUS accounting fornece o Framed-IP-Address, mas os tempos de concessão de DHCP podem ser mais curtos do que a duração das sessões em alguns ambientes. Manter os registos de DHCP juntamente com os registos de RADIUS garante um rasto de auditoria mais resiliente, especialmente em locais de elevada densidade onde a reciclagem de endereços IP é frequente.
Proteja o Transporte com RadSec. O tráfego de RADIUS tradicional é transmitido através de UDP com encriptação mínima - apenas o campo da palavra-passe do utilizador é ofuscado. Em implementações distribuídas, particularmente as que abrangem múltiplos locais ou servidores RADIUS alojados na cloud, utilize RadSec (RADIUS sobre TLS, definido na RFC 6614) ou túneis IPsec para proteger os dados de accounting em trânsito. Este é um requisito do PCI-DSS 4.0 para qualquer rede que processe dados de titulares de cartões.
Monitorize a Fila de Espera de Accounting. Se o servidor RADIUS ficar inacessível, os dispositivos NAS irão colocar os pacotes de accounting em fila localmente. Monitorize o comprimento desta fila; uma fila cheia resultará em pacotes perdidos e dados de auditoria em falta. Configure alertas para a profundidade da fila e implemente um servidor de accounting secundário para implementações de alta disponibilidade.
Separe os Servidores de Autenticação e Accounting à Escala. Em implementações que excedam os 5.000 utilizadores simultâneos, a carga de escrita proveniente do accounting pode degradar os tempos de resposta da autenticação. Servidores de accounting dedicados com instâncias de base de dados separadas evitam esta contenção.
Resolução de Problemas e Mitigação de Riscos
O Problema da Sessão Inativa
Sintoma: A base de dados do RADIUS mostra que um utilizador está ligado há 48 horas, mas o local encerrou durante a noite.
Causa Raiz: O NAS falhou o envio de um pacote Stop - tipicamente devido a uma falha de energia, reinicialização do AP ou interrupção de rede - e o pacote nunca foi recebido pelo servidor RADIUS.
Mitigação: Implemente um script de limpeza de sessões inativas no servidor RADIUS. O script deve analisar periodicamente as sessões ativas onde o último pacote recebido (Start ou Interim-Update) é anterior a um limite definido (por exemplo, 2,5 vezes o intervalo do interim update). As sessões que excedam este limite devem ser terminadas à força com um registo Stop sintético, registando a causa de terminação como "Lost-Carrier" ou "Admin-Reset".
Elevada Utilização de CPU e I/O do Servidor RADIUS
Sintoma: Os tempos de resposta de autenticação degradam-se durante as horas de ponta; o servidor RADIUS reporta uma elevada utilização de CPU e de I/O de disco.
Causa Raiz: Um intervalo de interim update excessivamente agressivo (por exemplo, 1 minuto) em milhares de APs gera um volume insustentável de escritas na base de dados.
Mitigação: Aumente o intervalo de atualização provisório (interim update) para 15 minutos. Verifique se a base de dados de accounting possui os índices apropriados. Considere separar a autenticação e o accounting em instâncias de servidor dedicadas. Avalie se uma base de dados de séries temporais (ex. InfluxDB) é mais adequada do que uma base de dados relacional para volumes elevados de dados de accounting.
Framed-IP-Address em Falta nos Registos de Accounting
Sintoma: Existem registos de accounting RADIUS, mas o campo Framed-IP-Address está vazio ou ausente, impossibilitando a correlação IP-para-MAC.
Causa Raiz: O NAS pode estar a enviar o pacote Start antes de o DHCP ter atribuído um endereço IP ao cliente. O IP só fica disponível após a conclusão da troca de mensagens DHCP.
Mitigação: Configure o NAS para atrasar o envio do pacote Start até após a atribuição de DHCP, se a plataforma o suportar. Alternativamente, confie nos pacotes Interim-Update, que são enviados após a atribuição de DHCP e conterão o Framed-IP-Address. Certifique-se de que as suas consultas de auditoria contemplam esta situação, verificando os registos Interim-Update caso o registo Start não tenha um IP.
ROI e Impacto no Negócio
A implementação de um sistema robusto de accounting RADIUS proporciona um valor de negócio mensurável em três dimensões:
Conformidade e Mitigação de Riscos Legais. Na eventualidade de um incidente de segurança, de um pedido de acesso do titular dos dados ao abrigo do GDPR, ou de uma ordem de interceção legal, os registos de accounting precisos fornecem a pista de auditoria necessária para identificar qual o utilizador ou dispositivo que detinha um endereço IP específico num momento específico. Sem isto, as organizações enfrentam potenciais sanções regulatórias ao abrigo do GDPR (até 4% do volume de negócios anual global) e danos reputacionais. O custo de implementar uma infraestrutura de accounting adequada é uma fração do custo de uma única ação de execução regulatória.
Planeamento de Capacidade e ROI de Infraestrutura. Ao analisar as tendências de Acct-Input-Octets e Acct-Output-Octets ao longo do tempo, os arquitetos de rede podem identificar padrões de consumo de largura de banda, períodos de pico de utilização e os APs ou SSIDs específicos que geram a maior carga. Estes dados informam diretamente as decisões de atualização de WAN e as estratégias de colocação de APs, garantindo que o investimento em infraestrutura seja direcionado para onde gera o maior impacto. Para interfaces de Transporte e grandes recintos, isto pode representar poupanças significativas em despesas de capital.Analytics Avançado e Inteligência de Espaço. Quando os dados de sessão RADIUS são combinados com plataformas como o WiFi Analytics e Sensors da Purple, os dados brutos de contabilidade são transformados em inteligência de espaço. Ficam disponíveis métricas de tempo de permanência derivadas da duração das sessões, a identificação de visitantes repetidos a partir do histórico de Calling-Station-Id e a análise de pico de ocupação a partir de contagens de sessões simultâneas. Para operadores de Hotelaria, estes dados informam diretamente os modelos de escala de pessoal, colocação de F&B e estratégias de personalização de marketing. Para obter mais contexto sobre como a infraestrutura de WiFi sustenta estas capacidades, consulte os nossos guias sobre Pontos de Acesso Sem Fios e Soluções Modernas de WiFi para Hotelaria.
Definições Principais
RADIUS Accounting
O processo de recolha e registo de dados sobre o consumo de recursos de rede do utilizador, incluindo as horas de início e fim da sessão, o volume de dados transferido e a atribuição de endereço IP. Definido na RFC 2866.
Essencial para faturação, planeamento de capacidade, conformidade com o GDPR e manutenção de registos de auditoria de segurança em qualquer implementação de WiFi empresarial.
Acct-Status-Type
Um atributo RADIUS (ID de Atributo 40) que indica a finalidade de um pacote de accounting. Os valores incluem Start (1), Stop (2) e Interim-Update (3).
Utilizado pelo servidor RADIUS para determinar se deve criar um novo registo de sessão, atualizar um já existente ou fechá-lo. O atributo mais fundamental em qualquer pacote de accounting.
Interim-Update
Um pacote de RADIUS accounting periódico enviado pelo NAS durante uma sessão ativa para reportar estatísticas de utilização atuais, incluindo bytes transferidos e duração da sessão.
Crítico para monitorizar sessões de longa duração e detetar sessões obsoletas se um cliente se desligar inesperadamente sem enviar um pacote Stop.
Acct-Session-Id
Uma cadeia de caracteres única gerada pelo NAS para identificar uma instância específica de ligação de utilizador. Este valor é consistente em todos os pacotes de accounting (Start, Interim-Update, Stop) para a mesma sessão.
A chave primária utilizada para correlacionar todos os registos de accounting pertencentes à mesma sessão. Sem isto, é impossível reconstruir um histórico de sessão completo.
NAS (Network Access Server)
O dispositivo - normalmente um Ponto de Acesso Sem Fios ou Controlador LAN Sem Fios - que controla o acesso físico à rede e atua como o cliente RADIUS, gerando e enviando pacotes de accounting.
O NAS é responsável pela precisão e integridade dos dados de accounting. Erros de configuração ao nível do NAS (ex. accounting desativado, atributos em falta) não podem ser corrigidos ao nível do servidor RADIUS.
Framed-IP-Address
O endereço IP atribuído ao dispositivo cliente durante a sessão, incluído nos pacotes de RADIUS accounting.
Crítico para correlacionar registos de RADIUS accounting com outros registos de rede, tais como registos de firewall, proxy web ou DNS. A ausência deste atributo torna impossível a correlação entre IP e dispositivo.
Calling-Station-Id
Normalmente o endereço MAC do dispositivo cliente que se liga à rede, formatado como uma cadeia hexadecimal separada por dois-pontos (ex. AA:BB:CC:DD:EE:FF).
Utilizado para identificar o dispositivo de hardware específico, independentemente do endereço IP que lhe foi atribuído. O ponto de fixação na camada de dispositivo do registo de auditoria.
Acct-Terminate-Cause
Um atributo incluído nos pacotes Stop que especifica o motivo pelo qual uma sessão terminou. Os valores comuns incluem User-Request, Lost-Carrier, Idle-Timeout, Session-Timeout e Admin-Reset.
Valioso para a resolução de problemas de conectividade e para a deteção de anomalias - por exemplo, uma taxa elevada de terminações Lost-Carrier num AP específico pode indicar um problema de hardware ou de interferência.
RadSec
RADIUS sobre TLS (Transport Layer Security), definido na RFC 6614. Fornece transporte encriptado e autenticado para pacotes RADIUS, substituindo o transporte tradicional baseado em UDP.
Necessário em qualquer implementação onde o tráfego RADIUS atravesse redes não confiáveis (ex. servidores RADIUS na nuvem ligados à Internet). Cada vez mais exigido pelo PCI DSS 4.0 para ambientes de dados de titulares de cartões.
Exemplos Práticos
Um hotel de 300 quartos com instalações para conferências está a implementar uma nova rede WiFi para convidados. O gestor de TI precisa de garantir que a implementação cumpre os requisitos do GDPR para a minimização de dados e integridade do registo de auditoria, ao mesmo tempo que fornece à equipa de marketing analíticas de tempo de permanência e visitantes repetidos. O hotel utiliza um servidor RADIUS alojado na nuvem e APs Cisco Meraki.
A implementação deve ser configurada da seguinte forma. No painel da Meraki, navegue para Network-wide > RADIUS servers e adicione o servidor RADIUS na nuvem na porta 1813 com um segredo partilhado forte. Ative o accounting e defina o intervalo de atualização intermédia para 15 minutos. No servidor RADIUS, configure o accounting para escrever numa base de dados PostgreSQL com o seguinte esquema: session_id (chave primária), user_name, nas_ip, framed_ip, calling_station_id, called_station_id, session_start, session_end, input_octets, output_octets, terminate_cause. Implemente uma política de retenção de dados que arquive automaticamente registos com mais de 12 meses para armazenamento frio e elimine registos com mais de 24 meses, documentada no Registo de Atividades de Tratamento do GDPR do hotel. Configure uma integração com o Purple WiFi Analytics para ingerir os dados da sessão, permitindo que a equipa de marketing aceda a relatórios de tempo de permanência e painéis de frequência de visitantes repetidos. Garanta que o NTP está sincronizado em todos os APs Meraki e no servidor RADIUS com uma diferença máxima de 1 segundo.
Uma cadeia de retalho com 150 lojas precisa de cumprir os requisitos do PCI-DSS 4.0 para monitorização de acessos à rede. Os seus terminais de ponto de venda utilizam MAC Authentication Bypass (MAB) na rede WiFi. A equipa de segurança recebeu um pedido do seu QSA (Qualified Security Assessor) para demonstrar que conseguem identificar qual o terminal POS específico que acedeu à rede de pagamentos num determinado momento, utilizando apenas um endereço IP de origem e um carimbo de data/hora de um registo de firewall.
A solução requer uma integração de três componentes. Primeiro, verifique se todos os controladores LAN sem fios estão configurados para incluir o atributo Framed-IP-Address nos pacotes de RADIUS accounting. Isto nem sempre está ativado por defeito e deve ser configurado explicitamente. Segundo, integre a base de dados de RADIUS accounting com a plataforma SIEM (ex. Splunk). Crie uma tabela de pesquisa no Splunk que mapeie o Framed-IP-Address e os intervalos de tempo da sessão para o Calling-Station-Id (endereço MAC). Terceiro, crie uma pesquisa guardada no Splunk que aceite um IP de origem e um carimbo de data/hora como dados de entrada e devolva o endereço MAC correspondente, o NAS-IP-Address (que identifica a loja e o AP) e o User-Name a partir dos registos de RADIUS accounting. O QSA poderá então visualizar este fluxo de trabalho: dado um registo de firewall que mostra o IP de origem 10.5.12.44 às 14:23:07 numa data específica, a pesquisa devolve o endereço MAC do terminal POS, o AP ao qual estava ligado e a localização da loja.
Perguntas de Prática
Q1. Um gestor de TI de um hotel nota que o painel de analytics do WiFi mostra muito poucos utilizadores ativos durante o dia, embora o lobby e o restaurante estejam visivelmente cheios. No entanto, os relatórios históricos do dia anterior mostram um pico massivo no uso de dados. Os registos do servidor RADIUS confirmam que os pacotes Start estão a ser recebidos, mas a base de dados mostra muito poucos registos de Interim-Update. Qual é a configuração incorreta mais provável e como a resolveria?
Dica: Considere como a utilização de dados é reportada durante uma sessão ativa em comparação com o momento em que ocorre a desconexão.
Ver resposta modelo
A causa mais provável é que os Interim-Updates estão desativados ou não configurados no Wireless LAN Controller. Sem atualizações intermédias, o servidor RADIUS apenas recebe um pacote Start quando o utilizador se liga e um pacote Stop quando se desliga. O painel de analytics não consegue exibir o uso atual porque não estão a ser reportados dados em sessão. Assim que os utilizadores saem e se desligam, os pacotes Stop chegam com o total de dados acumulados, causando o pico atrasado nos relatórios históricos. A resolução é ativar os Interim-Updates no WLC e definir um intervalo adequado - 15 minutos é recomendado para um ambiente hoteleiro. Após a ativação, verifique se o servidor RADIUS está a receber pacotes Interim-Update consultando a base de dados de accounting para encontrar registos com Acct-Status-Type = 3.
Q2. Durante uma investigação de incidente de segurança, o seu SIEM sinalizou que um endereço IP na rede WiFi de convidados acedeu a um servidor de comando e controlo conhecido às 09:47:23 numa data específica. Precisa de identificar o dispositivo físico responsável. O seu tempo de concessão DHCP está definido para 30 minutos. Descreva a lógica exata de consulta que utilizaria na base de dados de accounting do RADIUS para identificar o dispositivo.
Dica: Os endereços IP não são estáticos. Deve utilizar uma consulta de intervalo de tempo, e não uma pesquisa de ponto específico no tempo, e ter em conta a reciclagem de concessões DHCP.
Ver resposta modelo
Deve consultar a base de dados de accounting do RADIUS para sessões onde: (1) o Framed-IP-Address seja igual ao endereço IP sinalizado, E (2) o timestamp session_start seja anterior ou igual a 09:47:23, E (3) ou o timestamp session_end seja posterior ou igual a 09:47:23, OU o session_end seja NULL (sessão ainda ativa no momento da consulta). Se múltiplas sessões corresponderem (possível com uma concessão DHCP de 30 minutos), analise os registos de Interim-Update para confirmar qual a sessão que estava a reportar utilização ativamente às 09:47:23. O registo de sessão correspondente conterá o Calling-Station-Id (endereço MAC do dispositivo) e o User-Name (identidade autenticada, caso o 802.1X tenha sido utilizado). Cruze o endereço MAC com o seu inventário de dispositivos ou com os registos do servidor DHCP para identificar o dispositivo físico e o seu proprietário.
Q3. É o arquiteto de rede de um centro de conferências que acolhe eventos com até 8.000 utilizadores WiFi simultâneos. O seu servidor RADIUS atual está a sofrer saturação de gravação na base de dados durante eventos de pico, causando atrasos na autenticação de 3 - 5 segundos. O seu intervalo atual de interim update está definido para 2 minutos. Descreva um plano de mitigação em várias etapas que aborde tanto o problema de desempenho imediato como o risco arquitetural subjacente.
Dica: Considere tanto alterações de configuração como alterações arquiteturais. O objetivo é manter a integridade do registo de auditoria ao mesmo tempo que reduz a carga de gravação.
Ver resposta modelo
O plano de remediação deve abordar três camadas. Primeiro, como correção imediata, aumente o intervalo de atualização provisória (interim update) de 2 minutos para 15 minutos em todos os Controladores Sem Fios. Isto reduz a carga de escrita de contabilidade (accounting) em cerca de 87% (de uma escrita a cada 2 minutos para uma a cada 15 minutos por sessão), o que deve aliviar imediatamente a pressão de I/O da base de dados. Segundo, separe as cargas de trabalho de autenticação e contabilidade em instâncias de servidor dedicadas. O servidor de autenticação lida com pacotes Access-Request/Accept/Reject, enquanto um servidor de contabilidade dedicado trata dos pacotes Accounting-Request e escreve numa base de dados separada. Isto evita que a carga de escrita de contabilidade afete os tempos de resposta da autenticação. Terceiro, para o risco de arquitetura subjacente, avalie se uma base de dados de séries temporais (ex. InfluxDB ou TimescaleDB) é mais adequada do que uma base de dados relacional para a carga de trabalho de contabilidade. As bases de dados de séries temporais estão otimizadas para escritas sequenciais de grande volume e consultas de intervalo de tempo, o que se ajusta exatamente ao padrão de dados de contabilidade. Migre as escritas de contabilidade para a base de dados de séries temporais, mantendo a base de dados relacional para consultas de relatórios de conformidade.
Perguntas frequentes
What is RFC 2866 RADIUS accounting and how does it differ from RADIUS authentication?
RFC 2866 defines RADIUS accounting as a distinct UDP protocol (port 1813) decoupled from authentication (UDP 1812). While authentication validates client identity and authorizes access, accounting tracks session lifecycle events through three message types: Accounting-Start (session initiation), Accounting-Stop (disconnection), and periodic Interim-Update packets. These packets record connect timestamps, session durations, input and output octets, and termination reasons.
How do Acct-Interim-Interval timers impact network controllers and RADIUS servers?
Acct-Interim-Interval (Attribute 85) controls the heartbeat frequency at which Network Access Servers transmit session progress telemetry. Setting this interval too low (under 120 seconds) creates write amplification on backend database tables and consumes excess CPU on access points. Setting it too high (over 900 seconds) leaves ghost sessions active in analytics pipelines and delays bandwidth quota enforcement. An interval between 300 and 600 seconds offers the optimal balance between real-time accuracy and server capacity.
How does RADIUS accounting track client bandwidth consumption accurately?
Bandwidth utilization is reported using Acct-Input-Octets (Attribute 42) and Acct-Output-Octets (Attribute 43), representing bytes transmitted and received by the client. For high-throughput WiFi 6 and WiFi 7 connections that exceed 4GB of traffic during a single session, RFC 2869 attributes Acct-Input-Gigawords (Attribute 52) and Acct-Output-Gigawords (Attribute 53) track 32-bit counter rollovers to provide exact multi-gigabyte session accounting.
Why is Acct-Delay-Time essential when Network Access Servers buffer accounting packets?
When network congestion or temporary WAN outages prevent a NAS from reaching the RADIUS accounting server, the controller queues accounting packets in local memory. RFC 2866 Section 5.1 requires the NAS to populate Acct-Delay-Time (Attribute 41) with the number of seconds a packet sat in its queue before successful delivery. The RADIUS server subtracts this delay from the receipt timestamp to determine the exact historical event time, preventing audit log clock skew.
How should network administrators prevent database bottlenecks from RADIUS accounting logs?
Large campuses and high-density venues generate millions of accounting rows daily. To maintain sub-millisecond database insertion times and prevent table locking, administrators should implement monthly or daily table partitioning on the radacct table using AcctStartTime range keys. Indexing should be restricted to Acct-Unique-Id, UserName, and FramedIPAddress, while historical audit partitions older than the statutory retention window are archived to cold object storage.
How does Purple utilize RADIUS accounting for enterprise analytics and compliance?
Purple ingests RFC 2866 accounting streams from enterprise access points to power real-time visitor presence dashboards, dwell time metrics, and bandwidth policy enforcement. Purple automatically reconciles Acct-Session-Id telemetry across multi-vendor networks, correlates physical venue footfall with digital authentication events, and retains tamper-evident audit logs with a configurable retention window, so the period you keep visitor records for is one you can document and defend.
Continue a ler esta série
Cyber Essentials e WiFi para Colaboradores: Superar os Cinco Controlos na Sua Rede Sem Fios
Será capaz de mapear cada um dos cinco controlos Cyber Essentials para o seu WiFi de colaboradores e colmatar as lacunas identificadas pelos avaliadores. Poderá então escolher entre 802.1X, iPSK e uma rede WPA2-PSK segregada para cada classe de dispositivo. Por fim, saberá como preparar pontos de acesso, controladores e BYOD para uma auditoria Cyber Essentials Plus.
HPE Aruba Central presence analytics: setup, exports and limits
Poderá ativar as análises de presença de Aruba Central por local, calibrar o limiar RSSI e os limites de permanência em relação a uma contagem real, e exportar agregados ao nível do local através da Central REST API. Saberá também onde terminam as análises de presença nativas e quando é que uma camada de plataforma independente de hardware como a Purple ganha o seu lugar nos seus access points Aruba existentes.
Conformidade com a CIPA: lista de verificação de conformidade para operadores de locais públicos
Poderá decidir se a CIPA se aplica ao seu WiFi, depois segmentar redes, encaminhar o DNS através do Purple Shield e fechar caminhos de desvio. Saberá também quais as provas a conservar para a certificação do Form 486 ou Form 479. A lista de verificação atribui um proprietário a cada requisito, para que não falte nada na certificação do seu próximo ano de financiamento.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.