Documentación Técnica
RADIUS y AAA
Autenticación, autorización y contabilidad en tiempo real.
Autenticación, autorización y contabilidad en tiempo real.
01Cómo funciona RADIUS aquí
RADIUS es el protocolo que tu NAS (MikroTik u otro dispositivo de acceso) usa para hacerle a Daddy SAS tres preguntas sobre cada conexión de suscriptor.
- Autenticación — "¿Son válidas estas credenciales?" El NAS reenvía las credenciales del suscriptor; Daddy SAS responde Access-Accept o Access-Reject.
- Autorización — "¿Qué puede hacer este suscriptor?" El Access-Accept lleva el perfil de servicio: límites de velocidad, pool de IPs o dirección estática, timeouts de sesión e inactividad.
- Contabilidad — "¿Qué usaron?" El NAS reporta inicio de sesión, uso intermedio y detención; Daddy SAS almacena contadores que alimentan el estado en línea, informes de uso y facturación.
02Autenticación y autorización
- Métodos de autenticación estándar: PAP, CHAP, MSCHAP y variantes EAP (confirmado por el propietario).
- Tipos de acceso: PPPoE, portal cautivo Hotspot, IPoE/DHCP y cuentas por dirección MAC.
- Políticas y restricciones de autenticación por cuenta y por perfil.
- Los estados de cuenta (activa, suspendida, expirada) impulsan directamente la decisión Access-Accept/Reject.
03Contabilidad y sesiones
- Contabilidad de sesiones en tiempo real con eventos start/stop y actualizaciones interim.
- Una lista de sesiones en vivo muestra qué suscriptores están en línea, en qué NAS y cuánto dato han usado.
- Los límites de uso simultáneo restringen cuántas sesiones concurrentes puede tener una cuenta.
- Registros de contabilidad faltantes o retrasados pueden hacer que una sesión cerrada parezca abierta — habilita interim updates en el NAS.
04Control de sesión — CoA y Disconnect
- Change of Authorization (CoA) aplica una nueva velocidad/política a una sesión en vivo — sin necesidad de desconectar.
- Disconnect-Message termina una sesión desde el panel inmediatamente.
- Requiere que el NAS acepte solicitudes de autorización dinámica RADIUS en UDP 3799 (en MikroTik, habilita "radius incoming").
05Referencia de atributos
Atributos comunes en un despliegue de Daddy SAS. La existencia de un atributo estándar no prueba por sí sola el soporte del producto — esta tabla refleja los tipos de acceso y políticas documentados.
| Atributo | Dirección | Uso |
|---|---|---|
| User-Name | NAS → Server | Identidad de credencial para la solicitud de auth |
| NAS-IP-Address / NAS-Identifier | NAS → Server | Identifica de qué router provino la solicitud |
| Calling-Station-Id | NAS → Server | MAC del cliente — usado para MAC binding / cuentas MAC |
| Service-Type | Ambos | Distingue PPPoE, Hotspot y logins de admin |
| Framed-IP-Address / Framed-Pool | Server → NAS | Asignación de IP estática o pool nombrado |
| Session-Timeout / Idle-Timeout | Server → NAS | Duración máxima de sesión / desconexión por inactividad |
| Mikrotik-Rate-Limit | Server → NAS | Límites de subida/bajada por suscriptor |
| Acct-Status-Type | NAS → Server | Eventos de contabilidad Start / Interim-Update / Stop |
| Acct-Input/Output-Octets (+Gigawords) | NAS → Server | Contadores de uso → cuotas, FUP, informes |
| Acct-Session-Id | NAS → Server | Correlaciona todos los registros de una sesión |
06Fiabilidad y seguridad
- Autenticación UDP 1812 · Contabilidad UDP 1813 · Autorización dinámica UDP 3799 en el NAS.
- Los shared secrets autentican el tráfico NAS↔servidor — usa un secreto aleatorio largo por NAS y restringe RADIUS a direcciones de routers en el firewall.
- RADIUS estándar corre sobre UDP y no está cifrado por diseño — coloca NAS y servidor en una red privada o VPN en enlaces no confiables.
- Los eventos de autenticación y contabilidad se registran y aparecen en los informes.
07Comprobaciones rápidas de resolución
- No llegan solicitudes: verifica la IP del NAS en la entrada del panel, las reglas del firewall y que el router apunte a la IP/puertos del servidor.
- Access-Reject para credenciales válidas: revisa el estado de la cuenta (expirada/suspendida) y el perfil de servicio.
- Las sesiones parecen atascadas en línea: registros Stop faltantes — revisa el intervalo interim-update en el NAS.
Para el flujo de diagnóstico completo, consulta la página de Resolución de problemas.