Server RADIUS VoIP: Autenticazione e Autorizzazione per Reti Vocali
Un server RADIUS (Remote Authentication Dial-In User Service) in contesto VoIP fornisce AAA centralizzato (Autenticazione, Autorizzazione, Contabilità) per endpoint SIP, softphone, gateway e utenti che accedono alla rete voce.
Funzioni Principali
1. Autenticazione (Chi Sei?)
- Valida credenziali: nome utente/password, certificato, token, indirizzo MAC
- Protocolli: PAP, CHAP, MS-CHAPv2, EAP-TLS, EAP-TTLS, EAP-PEAP
- Controlla su: DB locale, LDAP/Active Directory, SQL, identity provider esterno
2. Autorizzazione (Cosa Puoi Fare?)
- Restituisce attributi di sessione tramite AVP RADIUS (Attribute-Value Pairs):
| Attributo | Significato VoIP |
|---|---|
| Session-Timeout | Durata massima chiamata (secondi) |
| Acct-Interim-Interval | Frequenza aggiornamento contabilità |
| Framed-IP-Address | IP assegnato per media |
| Vendor-Specific (VSAs) | Lista codec consentiti, limite bitrate, marcatura QoS, regole inoltro chiamata, abilitazione registrazione |
| Cisco-AVpair / Juniper-AVpair | Policy dispositivo-specifico (piano numerazione, COR, VRF) |
3. Contabilità (Cosa Hai Fatto?)
- Record Start / Interim-Update / Stop
- Campi: Utente, NAS-IP, Call-ID, Durata, Byte In/Out, Causa Terminazione
- Alimenta: sistemi fatturazione, mediazione CDR, rilevamento frodi, pianificazione capacità
Integrazione Architettura VoIP
Endpoint SIP → Proxy SIP/SBC → RADIUS (Auth) → Proxy SIP → Percorso Media
↓
RADIUS (Acct) → Fatturazione/CDR
- Proxy SIP / SBC (Session Border Controller) agisce come client RADIUS (NAS)
- RADIUS su UDP 1812 (auth), 1813 (acct) – oppure TCP/TLS (RadSec)
- Segreto condiviso tra NAS e server RADIUS
Distribuzioni VoIP RADIUS Comuni
| Scenario | Ruolo RADIUS |
|---|---|
| PBX ospitato / UCaaS | Autenticazione tenant/utente, diritto alle funzioni, CDR |
| SIP Trunking (operatore → cliente) | Autenticazione cliente, limiti chiamate concorrenti, limiti frodi |
| Wi-Fi Calling / VoWiFi | Auth EAP-SIM/AKA tramite HSS/AAA |
| Lavoratore remoto / softphone | Certificato + password, controllo postura dispositivo |
| Agenti contact center | Login/logout, routing skill, controllo registrazione |
Vantaggi
- Policy centralizzata: unica fonte di verità per 10–100K+ endpoint
- Scalabilità: clustering orizzontale, bilanciamento carico, replicazione
- Flessibilità: attributi dinamici per utente/gruppo/orario/posizione
- Sicurezza: RadSec (TLS), CoA (Change of Authorization) per aggiornamenti mid-session
- Pista di controllo: log contabilità immutabili per compliance
Implementazioni RADIUS Popolari
- FreeRADIUS – open source, standard industriale, vasto ecosistema moduli
- Cisco ISE / Aruba ClearPass / FortiAuthenticator – Enterprise NAC con RADIUS
- Radiator (Open System Consultants) – carrier-grade, Perl, alte prestazioni
- Microsoft NPS – ruolo Windows Server, integrato AD
- OpenWrt / pfSense / OPNsense – RADIUS embedded/firewall
Considerazioni Configurazione Chiave
- File dizionario: devono includere VSAs del vendor per il tuo SBC/PBX
- Catene proxy: proxy RADIUS → RADIUS upstream (roaming, wholesale)
- Failover: primario + secondario RADIUS; logica failover NAS
- Rate limiting: proteggi RADIUS da DoS (flood autenticazione)
- Logging: strutturato (JSON) → SIEM per rilevamento anomalie
Un server RADIUS VoIP è il punto di applicazione delle policy che trasforma "chi sei" in "cosa puoi fare" sulla rete voce—essenziale per qualsiasi distribuzione voce multi-tenant, carrier o enterprise.