Documentation Technique
RADIUS et AAA
Authentification, autorisation et comptabilité en temps réel.
Authentification, autorisation et comptabilité en temps réel.
01Comment RADIUS fonctionne ici
RADIUS est le protocole que votre NAS (MikroTik ou autre équipement d'accès) utilise pour poser trois questions à Daddy SAS sur chaque connexion d'abonné.
- Authentification — « Ces identifiants sont-ils valides ? » Le NAS transmet les identifiants de l'abonné ; Daddy SAS répond Access-Accept ou Access-Reject.
- Autorisation — « Que peut faire cet abonné ? » L'Access-Accept porte le profil de service : limites de débit, pool IP ou adresse statique, timeouts de session et d'inactivité.
- Comptabilité — « Qu'ont-ils utilisé ? » Le NAS rapporte le début de session, l'usage intermédiaire et l'arrêt ; Daddy SAS stocke les compteurs qui alimentent le statut en ligne, les rapports d'usage et la facturation.
02Authentification et autorisation
- Méthodes d'authentification standard : PAP, CHAP, MSCHAP et les variantes EAP (confirmé par le propriétaire).
- Types d'accès : PPPoE, portail captif Hotspot, IPoE/DHCP et comptes par adresse MAC.
- Politiques et restrictions d'authentification par compte et par profil.
- Les états de compte (actif, suspendu, expiré) pilotent directement la décision Access-Accept/Reject.
03Comptabilité et sessions
- Comptabilité de session en temps réel avec événements start/stop et mises à jour interim.
- Une liste de sessions en direct montre quels abonnés sont en ligne, sur quel NAS et combien de données ils ont utilisées.
- Les limites d'utilisation simultanée restreignent le nombre de sessions concurrentes d'un compte.
- Des enregistrements comptables manquants ou retardés peuvent faire apparaître une session fermée comme ouverte — activez les interim updates sur le NAS.
04Contrôle de session — CoA et Disconnect
- Change of Authorization (CoA) applique un nouveau débit/une nouvelle politique à une session en direct — sans déconnexion nécessaire.
- Disconnect-Message termine une session depuis le panneau immédiatement.
- Nécessite que le NAS accepte les requêtes d'autorisation dynamique RADIUS sur UDP 3799 (sur MikroTik, activez « radius incoming »).
05Référence des attributs
Attributs courants dans un déploiement Daddy SAS. L'existence d'un attribut standard ne prouve pas à elle seule le support du produit — ce tableau reflète les types d'accès et politiques documentés.
| Attribut | Direction | Utilisation |
|---|---|---|
| User-Name | NAS → Server | Identité d'identifiant pour la requête d'auth |
| NAS-IP-Address / NAS-Identifier | NAS → Server | Identifie de quel routeur provient la requête |
| Calling-Station-Id | NAS → Server | MAC client — utilisé pour le MAC binding / comptes MAC |
| Service-Type | Les deux | Distingue PPPoE, Hotspot et les logins admin |
| Framed-IP-Address / Framed-Pool | Server → NAS | Attribution d'IP statique ou de pool nommé |
| Session-Timeout / Idle-Timeout | Server → NAS | Durée max de session / déconnexion d'inactivité |
| Mikrotik-Rate-Limit | Server → NAS | Limites upload/download par abonné |
| Acct-Status-Type | NAS → Server | Événements comptables Start / Interim-Update / Stop |
| Acct-Input/Output-Octets (+Gigawords) | NAS → Server | Compteurs d'usage → quotas, FUP, rapports |
| Acct-Session-Id | NAS → Server | Corrèle tous les enregistrements d'une session |
06Fiabilité et sécurité
- Authentification UDP 1812 · Comptabilité UDP 1813 · Autorisation dynamique UDP 3799 sur le NAS.
- Les secrets partagés authentifient le trafic NAS↔serveur — utilisez un secret aléatoire long par NAS et restreignez RADIUS aux adresses des routeurs dans le pare-feu.
- RADIUS standard fonctionne sur UDP et n'est pas chiffré par conception — placez NAS et serveur sur un réseau privé ou un VPN sur les liens non fiables.
- Les événements d'authentification et de comptabilité sont journalisés et apparaissent dans les rapports.
07Vérifications rapides de dépannage
- Aucune requête n'arrive : vérifiez l'IP du NAS dans l'entrée du panneau, les règles du pare-feu et que le routeur pointe vers l'IP/les ports du serveur.
- Access-Reject pour des identifiants valides : vérifiez l'état du compte (expiré/suspendu) et le profil de service.
- Les sessions semblent bloquées en ligne : enregistrements Stop manquants — vérifiez l'intervalle interim-update sur le NAS.
Pour le flux de diagnostic complet, consultez la page Dépannage.