Serveur RADIUS VoIP : Authentification et autorisation pour réseaux voix
Un serveur RADIUS (Remote Authentication Dial-In User Service) en contexte VoIP fournit un AAA centralisé (Authentification, Autorisation, Comptabilisation) pour terminaux SIP, softphones, passerelles, et utilisateurs accédant au réseau vocal.
Fonctions principales
1. Authentification (Qui êtes-vous ?)
- Valide identifiants : Nom utilisateur/mot de passe, certificat, jeton, adresse MAC
- Protocoles : PAP, CHAP, MS-CHAPv2, EAP-TLS, EAP-TTLS, EAP-PEAP
- Vérifie contre : Base locale, LDAP/Active Directory, SQL, fournisseur identité externe
2. Autorisation (Que pouvez-vous faire ?)
- Retourne attributs session via AVP RADIUS (Attribute-Value Pairs) :
| Attribut | Signification VoIP |
|---|---|
| Session-Timeout | Durée max appel (secondes) |
| Acct-Interim-Interval | Fréquence mise à jour comptabilité |
| Framed-IP-Address | IP assignée pour média |
| Vendor-Specific (VSAs) | Liste codecs autorisés, limite débit, marquage QoS, règles renvoi, activation enregistrement |
| Cisco-AVpair / Juniper-AVpair | Politique équipement-specific (plan numérotation, COR, VRF) |
3. Comptabilisation (Qu'avez-vous fait ?)
- Enregistrements Start / Interim-Update / Stop
- Champs : Utilisateur, NAS-IP, Call-ID, Durée, Octets In/Out, Cause-Termination
- Alimente : Systèmes facturation, médiation CDR, détection fraude, planification capacité
Intégration architecture VoIP
Terminal SIP → Proxy SIP/SBC → RADIUS (Auth) → Proxy SIP → Chemin média ↓ RADIUS (Acct) → Facturation/CDR
- Proxy SIP / SBC (Session Border Controller) agit comme client RADIUS (NAS)
- RADIUS tourne sur UDP 1812 (auth), 1813 (acct) – ou TCP/TLS (RadSec)
- Secret partagé entre NAS et serveur RADIUS
Déploiements RADIUS VoIP courants
| Scénario | Rôle RADIUS |
|---|---|
| PBX hébergé / UCaaS | Auth locataire/utilisateur, droits fonctionnalités, CDR |
| Trunking SIP (opérateur → client) | Auth client, limites appels simultanés, limites fraude |
| Wi-Fi Calling / VoWiFi | Auth EAP-SIM/AKA via HSS/AAA |
| Télétravailleur / softphone | Certificat + mot de passe, vérification posture appareil |
| Agents centre contact | Connexion/déconnexion, routage compétences, contrôle enregistrement |
Avantages
- Politique centralisée : Source unique vérité pour 10–100K+ terminaux
- Scalabilité : Clustering horizontal, load balancing, réplication
- Flexibilité : Attributs dynamiques par utilisateur/groupe/temps/emplacement
- Sécurité : RadSec (TLS), CoA (Change of Authorization) pour mises à jour mid-session
- Piste audit : Logs comptabilité immuables pour conformité
Implémentations RADIUS populaires
- FreeRADIUS – Open source, standard industrie, écosystème modules massif
- Cisco ISE / Aruba ClearPass / FortiAuthenticator – NAC entreprise avec RADIUS
- Radiator (Open System Consultants) – Carrier-grade, Perl, haute performance
- Microsoft NPS – Rôle Windows Server, intégré AD
- OpenWrt / pfSense / OPNsense – RADIUS embarqué/pare-feu
Considérations configuration clés
- Fichiers dictionnaire : Doivent inclure VSAs fournisseur pour votre SBC/PBX
- Chaînes proxy : Proxy RADIUS → RADIUS amont (itinérance, gros)
- Basculement : RADIUS primaire + secondaire ; logique basculement NAS
- Limitation taux : Protéger RADIUS contre DoS (inondation auth)
- Journalisation : Structurée (JSON) → SIEM pour détection anomalies
Un serveur RADIUS VoIP est le point d'application des politiques qui transforme « qui vous êtes » en « ce que vous pouvez faire » sur le réseau vocal — essentiel pour tout déploiement voix multi-locataire, opérateur, ou entreprise.