ISP Radius 2.0: configurazione e gestione completa

Ordine corretto di configurazione

ISP Radius 2.0 collega il servizio commerciale alla vera autenticazione di rete. Prima di creare account occorre preparare, nell’ordine, collegamento al database Radius, NAS, eventuali pool IP, realm, profili e regole generali. Solo dopo si associano gli account ai clienti e ai servizi.

Una credenziale salvata in ISP Billing non prova che l’accesso PPPoE funzioni: il NAS deve raggiungere il server, usare lo stesso secret, inviare accounting e riconoscere gli attributi restituiti.

Server Radius e sicurezza

In Impostazioni → Server si indicano host, database, utente e password del database Radius. Il server primario di fallback, la porta API e la Reboot API Key servono alle operazioni remote previste dall’installazione. Usare un utente database dedicato, limitato alle sole tabelle necessarie, e consentire la rete dell’applicazione nel firewall.

Non pubblicare database, API o porta accounting su Internet senza filtraggio. Verificare separatamente connessione SQL, raggiungibilità del server e permessi; una prova riuscita non sostituisce il controllo di autenticazione e accounting.

NAS: cosa inserire e perché

Ogni router, concentratore PPPoE o apparato che interroga Radius va registrato come NAS. Indirizzo IP deve corrispondere alla sorgente vista dal server; Nome e descrizione servono agli operatori; tipo identifica il vendor, porta indica normalmente il servizio di autenticazione, secret deve coincidere sui due lati. Server e community sono opzionali e dipendono dall’infrastruttura.

Se il traffico attraversa NAT, registrare l’indirizzo realmente ricevuto dal Radius. Dopo il salvataggio eseguire una prova controllata e leggere access request e sessione, senza duplicare il NAS con indirizzi ambigui.

Pool IPv4 e IPv6

Con la gestione locale disattiva, gli indirizzi vengono assegnati dal NAS e il profilo può richiamare un Framed-Pool. Attivandola, ISP Radius 2.0 assegna direttamente gli IP: il primo pool Master è obbligatorio e i pool successivi possono essere limitati a NAS specifici.

Il nome non contiene spazi; ogni intervallo IPv4 usa inizio e fine, non deve sovrapporsi a DHCP, management o altri pool. Per IPv6 si abilita il pool, si definiscono i range di prefissi e si può usare il calcolatore per suddividere un prefisso base. Controllare capacità, prefisso assegnato e delega prima della produzione.

Profili e attributi Radius

Il profilo è un gruppo di attributi riutilizzabile dagli account. Inserire un nome stabile e, per ogni riga, attributo, operatore e valore. := imposta o sostituisce un valore; operatori differenti hanno semantica Radius diversa e non vanno copiati senza conoscere il dizionario del NAS.

Tra gli esempi comuni rientrano velocità vendor-specific, Framed-Pool, timeout e filtri. Il parental control può collegare un secondo profilo dedicato. Prima di modificare un profilo già usato, controllare quanti account ne dipendono; Sposta account consente una migrazione esplicita.

Realm PPPoE

Il realm è il suffisso del nome utente, per esempio @isp.example. Va creato prima degli account quando il modello di autenticazione lo richiede e deve essere coerente con CPE, concentratore e regole di routing. Evitare di aggiungere due volte la chiocciola o di cambiare un realm già distribuito senza un piano di migrazione.

Creare e collegare un account

Selezionare cliente e indirizzo di installazione, impostare username, password, profilo e stato. L’account può essere creato dalla sezione Radius o collegato durante la configurazione di un servizio. Il servizio resta il riferimento commerciale; l’account governa l’accesso tecnico.

Usare credenziali uniche, associare l’indirizzo corretto e verificare eventuale IP pubblico o statico. Sospensione, riattivazione e cessazione cambiano il ciclo di vita; disconnessione termina soltanto la sessione corrente e non equivale a disabilitare l’account.

Dashboard, sessioni e diagnostica

La dashboard riassume account, online, offline, mai connessi, NAS, PPPoE senza servizio e sessioni più lunghe. Le liste dedicate separano problemi differenti: mai connesso indica assenza di una prima sessione, offline uno storico senza collegamento corrente, non fatturato un account tecnicamente attivo che richiede controllo commerciale.

Sessioni e access request mostrano tempi, NAS, indirizzi, traffico e risultati di autenticazione. Esportare solo l’intervallo necessario e proteggere i file, perché contengono dati di rete e utilizzo.

SNMP, Edge Agent e monitoraggio automatico

Nelle impostazioni generali si sceglie il metodo SNMP usato sia dai pulsanti manuali sia dal monitoraggio automatico. Un Edge Agent consente interrogazioni dalla rete privata senza esporre gli apparati al cloud. Prima si registra e abilita l’Agent, poi si seleziona nel modulo Radius.

Le azioni possono leggere configurazione e stato, produrre snapshot e alimentare controlli periodici. Community, versione, credenziali e OID devono corrispondere al vendor. Limitare l’SNMP alle sorgenti autorizzate, preferire SNMPv3 dove disponibile e non confondere un timeout con un account Radius offline.

Impostazioni generali e profili di sospensione

La voce Cambia profilo in base allo stato del servizio abilita due associazioni distinte: profilo da assegnare quando il servizio viene sospeso e profilo da assegnare quando viene terminato. Creare e provare prima entrambi i profili, verificando che blocchino o limitino davvero la navigazione prevista.

La riattivazione deve riportare l’account al profilo commerciale corretto. Non usare un profilo di sospensione come unico registro dello stato: servizio e account devono restare coerenti.

Interrogazione SNMP e snapshot

Dal dettaglio account, Interroga questo apparato usa il metodo selezionato nelle impostazioni generali: API MikroTik classica, se configurata, oppure un Edge Agent online dotato della capability SNMP. Il bersaglio deve essere un IP realmente raggiungibile dal metodo scelto e il tipo apparato deve corrispondere al catalogo OID.

I risultati validi vengono salvati come snapshot; lo storico conserva gli ultimi venti campioni per account. Un campione vuoto significa che nessun OID ha risposto e richiede controllo di IP, routing, firewall, versione, community/credenziali e vendor.

Monitoraggio SNMP automatico

Per un account si definiscono intervallo, numero massimo di esecuzioni e tag d’uso. Il processo pianificato interroga soltanto i monitor attivi e giunti a scadenza; con Edge Agent accoda la richiesta, attende il risultato e registra eventuali errori. Al raggiungimento del limite il monitor viene concluso automaticamente.

Controllare stato Agent, prossima esecuzione, conteggio e ultimo errore. Fermare esplicitamente un monitor non più necessario: la sola chiusura della pagina non interrompe il lavoro pianificato.

Metriche, filtri ed esportazione sessioni

Il dettaglio account calcola metriche delle connessioni degli ultimi trenta giorni e permette di filtrare lo storico. L’esportazione richiede obbligatoriamente un intervallo su inizio o fine sessione, viene preparata in background e produce file CSV o XLSX nella lista dedicata.

Scaricare solo i file necessari, limitarne i permessi e rimuoverli secondo la politica di conservazione. I dati di accounting descrivono utilizzo e indirizzi della connessione e non devono essere inclusi in screenshot pubblici.

Credenziali e comunicazioni al cliente

La funzione di invio e-mail usa il cliente associato e i modelli configurati. Prima dell’invio verificare destinatario, consenso, contenuto e ambiente. Una password Radius è una credenziale operativa: preferire processi che ne limitino esposizione e durata, senza copiarla in note, ticket o schermate.

Manutenzione pianificata del database Radius

Il vecchio richiamo HTTP è disattivato: la manutenzione usa gli script CLI. Il processo aggiorna l’ISP di appartenenza su accounting e post-auth, elimina le richieste post-auth più vecchie di 24 ore e chiude le sessioni duplicate lasciando aperta la più recente. Un secondo processo esegue il monitoraggio SNMP automatico.

Configurare scheduler, utente, log e alert sul server previsto dall’installazione. Non avviare gli script in parallelo senza controllo e verificare separatamente database di sistema e database Radius personalizzati.

Area Clienti e API

I widget dell’Area Clienti possono mostrare i dati consentiti dell’account e della connessione. Le API pubbliche espongono elenco, dettaglio, creazione, modifica, eliminazione, disconnessione, sospensione, attivazione, cessazione e stato traffico; i profili sono consultabili con i loro attributi.

Assegnare permessi API separati in lettura e gestione, rendere idempotenti le integrazioni e verificare l’esito nel modulo. Non mostrare password Radius o dati di altri clienti.

Checklist operativa

• Proteggere database e API Radius
• Registrare ogni NAS con IP sorgente e secret corretti
• Scegliere chi assegna gli indirizzi
• Evitare sovrapposizioni nei pool IPv4/IPv6
• Conoscere attributi e operatori dei profili
• Definire il realm prima degli account
• Collegare account, cliente, indirizzo e servizio
• Distinguere disconnessione e sospensione
• Controllare mai connessi e PPPoE senza servizio
• Configurare SNMP e Agent con minimo privilegio
• Proteggere esportazioni e credenziali