Documentação Técnica
RADIUS e AAA
Autenticação, autorização e contabilidade em tempo real.
Autenticação, autorização e contabilidade em tempo real.
01Como o RADIUS funciona aqui
RADIUS é o protocolo que o seu NAS (MikroTik ou outro dispositivo de acesso) usa para fazer três perguntas ao Daddy SAS sobre cada ligação de subscritor.
- Autenticação — "Estas credenciais são válidas?" O NAS reencaminha as credenciais do subscritor; o Daddy SAS responde Access-Accept ou Access-Reject.
- Autorização — "O que pode este subscritor fazer?" O Access-Accept transporta o perfil de serviço: limites de taxa, pool de IPs ou endereço estático, timeouts de sessão e inatividade.
- Contabilidade — "O que usaram?" O NAS reporta início de sessão, uso intermédio e paragem; o Daddy SAS armazena contadores que alimentam o estado online, relatórios de uso e faturação.
02Autenticação e autorização
- Métodos de autenticação padrão: PAP, CHAP, MSCHAP e variantes EAP (confirmado pelo proprietário).
- Tipos de acesso: PPPoE, portal cativo Hotspot, IPoE/DHCP e contas por endereço MAC.
- Políticas e restrições de autenticação por conta e por perfil.
- Os estados de conta (ativa, suspensa, expirada) conduzem diretamente a decisão Access-Accept/Reject.
03Contabilidade e sessões
- Contabilidade de sessão em tempo real com eventos start/stop e atualizações interim.
- Uma lista de sessões ao vivo mostra quais subscritores estão online, em que NAS e quanto dado usaram.
- Os limites de uso simultâneo restringem quantas sessões concorrentes uma conta pode ter.
- Registos de contabilidade em falta ou atrasados podem fazer uma sessão fechada parecer aberta — ative as interim updates no NAS.
04Controlo de sessão — CoA e Disconnect
- Change of Authorization (CoA) aplica uma nova velocidade/política a uma sessão ao vivo — sem necessidade de desligar.
- Disconnect-Message termina uma sessão do painel imediatamente.
- Requer que o NAS aceite pedidos de autorização dinâmica RADIUS em UDP 3799 (no MikroTik, ative "radius incoming").
05Referência de atributos
Atributos comuns numa implementação Daddy SAS. A existência de um atributo padrão não prova por si só o suporte do produto — esta tabela reflete os tipos de acesso e políticas documentados.
| Atributo | Direção | Uso |
|---|---|---|
| User-Name | NAS → Server | Identidade de credencial para o pedido de auth |
| NAS-IP-Address / NAS-Identifier | NAS → Server | Identifica de que router veio o pedido |
| Calling-Station-Id | NAS → Server | MAC do cliente — usado para MAC binding / contas MAC |
| Service-Type | Ambas | Distingue PPPoE, Hotspot e logins de admin |
| Framed-IP-Address / Framed-Pool | Server → NAS | Atribuição de IP estático ou pool nomeado |
| Session-Timeout / Idle-Timeout | Server → NAS | Duração máxima de sessão / desconexão por inatividade |
| Mikrotik-Rate-Limit | Server → NAS | Limites de upload/download por subscritor |
| Acct-Status-Type | NAS → Server | Eventos de contabilidade Start / Interim-Update / Stop |
| Acct-Input/Output-Octets (+Gigawords) | NAS → Server | Contadores de uso → quotas, FUP, relatórios |
| Acct-Session-Id | NAS → Server | Correlaciona todos os registos de uma sessão |
06Fiabilidade e segurança
- Autenticação UDP 1812 · Contabilidade UDP 1813 · Autorização dinâmica UDP 3799 no NAS.
- Os shared secrets autenticam o tráfego NAS↔servidor — use um segredo aleatório longo por NAS e restrinja RADIUS a endereços de routers na firewall.
- RADIUS padrão corre sobre UDP e não é encriptado por design — coloque NAS e servidor numa rede privada ou VPN em ligações não confiáveis.
- Os eventos de autenticação e contabilidade são registados e aparecem nos relatórios.
07Verificações rápidas de resolução
- Não chegam pedidos: verifique o IP do NAS na entrada do painel, as regras da firewall e que o router aponta para o IP/portas do servidor.
- Access-Reject para credenciais válidas: verifique o estado da conta (expirada/suspensa) e o perfil de serviço.
- Sessões parecem presas online: registos Stop em falta — verifique o intervalo interim-update no NAS.
Para o fluxo de diagnóstico completo, consulte a página de Resolução de problemas.