Server RADIUS
Remote Authentication Dial-In User Service
Guida completa con esercizi pratici per Cisco Packet Tracer
Cos’è il Server RADIUS?
Il server RADIUS (Remote Authentication Dial-In User Service) è un protocollo di rete utilizzato per la gestione centralizzata dell’autenticazione, autorizzazione e contabilizzazione (AAA) degli utenti che si connettono a una rete.
🎯 Soluzione Centralizzata
È particolarmente utile in ambienti aziendali o grandi reti, dove è necessario gestire l’accesso degli utenti in modo sicuro e centralizzato.
💡 Spiegazione Semplice — Il Buttafuori della Rete
Immagina di entrare in una discoteca. All’ingresso c’è un buttafuori che controlla i documenti di tutti. Il server RADIUS funziona esattamente così, ma per le reti informatiche:
Senza RADIUS: è come se ogni porta dell’edificio avesse un buttafuori diverso, ognuno con la propria lista di invitati. Se aggiungi un nuovo dipendente, devi andare porta per porta ad aggiornare ogni lista. Un incubo!
Con RADIUS: c’è un unico ufficio centrale che gestisce tutte le liste. Quando qualcuno si presenta a qualsiasi porta, il buttafuori chiama l’ufficio centrale e chiede: “Questo tizio può entrare?”. L’ufficio risponde sì o no, e dice anche in quali stanze può andare.
In termini informatici: quando un utente prova a connettersi al Wi-Fi aziendale, il router/access point (il buttafuori) chiede al server RADIUS (l’ufficio centrale) se quell’utente è autorizzato. Il server controlla le credenziali (nome utente e password) e risponde con un “accesso consentito” o “accesso negato”.
🏢 Perché Serve in Azienda?
Pensa a un’azienda con 200 dipendenti, 10 access point Wi-Fi e 3 sedi diverse. Senza un server RADIUS dovresti:
→ Configurare manualmente ogni utente su ogni singolo dispositivo di rete
→ Quando un dipendente se ne va, ricordarti di rimuoverlo da tutti i dispositivi
→ Usare una password Wi-Fi condivisa (poco sicuro: se la conosce uno, la conoscono tutti)
→ Non avere alcun modo di sapere chi si è connesso e quando
Con RADIUS, tutto questo si gestisce da un unico punto: aggiungi un utente una volta sola e può accedere da qualsiasi punto della rete. Lo rimuovi una volta sola e perde accesso ovunque.
Le 3A del RADIUS (AAA)
Il cuore del funzionamento di RADIUS si basa su tre concetti fondamentali, chiamati le 3A (o AAA). Ogni volta che un utente tenta di accedere alla rete, il server esegue questi tre passaggi in sequenza:
Autenticazione
Verifica l’identità dell’utente tramite nome utente/password, certificati o autenticazione multi-fattore
Esempio pratico: Mario inserisce username “mario.rossi” e password “MiaPass123” per collegarsi al Wi-Fi. Il server RADIUS controlla se queste credenziali esistono nel suo database. È come mostrare il badge all’ingresso: se il nome corrisponde, passi.
Autorizzazione
Determina i privilegi di accesso e le risorse a cui l’utente può accedere nella rete
Esempio pratico: Mario è autenticato, ma che cosa può fare? Il server decide: Mario è del reparto Marketing, quindi può accedere alla cartella condivisa del Marketing e a Internet, ma NON ai server del reparto IT. È come avere un badge che apre solo certe porte.
Contabilizzazione
Registra sessioni di accesso, durata connessioni, dati trasferiti per monitoraggio e gestione
Esempio pratico: Il server registra: “Mario si è connesso alle 9:00, ha trasferito 500 MB di dati, si è disconnesso alle 17:30”. Queste informazioni servono per sicurezza (chi ha fatto cosa), fatturazione (quanto traffico ha usato) e diagnostica (perché la rete è lenta?).
Come Funziona RADIUS — Passo dopo Passo
Vediamo nel dettaglio cosa succede quando un utente prova a connettersi a una rete protetta da RADIUS. Ci sono tre attori principali: l’utente (Supplicant), il dispositivo di rete come un router o access point (NAS – Network Access Server), e il Server RADIUS.
RICHIESTA
L’utente tenta di connettersi (Wi-Fi, VPN) e inserisce le proprie credenziali. Il dispositivo di rete (es. Home Router) riceve la richiesta e la inoltra al server RADIUS.
VERIFICA
Il server RADIUS riceve le credenziali e le confronta con il suo database interno (oppure con sistemi esterni come LDAP o Active Directory). Controlla se username e password corrispondono.
RISPOSTA
Il server invia una risposta: Access-Accept (credenziali corrette, accesso consentito) oppure Access-Reject (credenziali errate, accesso negato). Se accettato, invia anche le configurazioni di rete.
MONITORAGGIO
Una volta connesso, il server monitora la sessione: registra quando l’utente si è connesso, quanti dati trasferisce e quando si disconnette (Accounting).
📡 Schema del Flusso di Comunicazione
💻 Utente (PC/Smartphone)
⬇️ Inserisce username e password
📶 Home Router / Access Point (NAS)
⬇️ Inoltra le credenziali al server
🖥️ Server RADIUS
⬇️ Controlla nel database
✅ Access-Accept
oppure
❌ Access-Reject
📌 Concetti Chiave da Ricordare
Supplicant: È il dispositivo dell’utente (PC, smartphone, tablet) che chiede di accedere alla rete. In Packet Tracer è il PC o il laptop.
NAS (Network Access Server): È il dispositivo intermedio (router, access point, switch) che riceve la richiesta dell’utente e la passa al server RADIUS. In Packet Tracer, quando usiamo l’Home Router, questo fa da NAS perché include l’access point integrato.
Server RADIUS: È il server che contiene il database degli utenti e decide chi può entrare e chi no. In Packet Tracer si usa un Server generico con il servizio AAA abilitato.
Shared Secret: È una password condivisa tra il NAS e il server RADIUS. Serve a garantire che la comunicazione tra i due sia sicura e che nessuno possa fingersi un dispositivo autorizzato.
⚠️ Attenzione — NAS: Due Significati Diversi!
L’acronimo NAS ha due significati completamente diversi nell’informatica, e questo genera spesso confusione. È fondamentale saperli distinguere:
NAS — Network Access Server
È il significato che usiamo nel contesto RADIUS. Si tratta di un dispositivo di rete (router, access point, switch) che funge da “intermediario” tra l’utente e il server RADIUS.
Cosa fa: Riceve la richiesta di connessione dall’utente, la inoltra al server RADIUS per la verifica, e poi concede o nega l’accesso in base alla risposta.
Esempi: Un access point Wi-Fi aziendale, un Home Router in Packet Tracer configurato con WPA2-Enterprise, un concentratore VPN.
💡 Analogia: È il buttafuori all’ingresso del locale che chiama l’ufficio centrale per verificare se il tuo nome è in lista.
NAS — Network Attached Storage
Questo è l’altro significato, molto comune in ambito informatico. Si tratta di un dispositivo di archiviazione (storage) collegato alla rete, usato per salvare e condividere file.
Cosa fa: Funziona come un “hard disk condiviso” accessibile da tutti i dispositivi della rete. Permette di salvare, leggere e condividere file (documenti, foto, backup) senza bisogno di un PC sempre acceso.
Esempi: Synology DiskStation, QNAP, Western Digital My Cloud. Molto usati in casa e in piccoli uffici per backup e condivisione file.
💡 Analogia: È come un grande armadio condiviso in ufficio dove tutti possono mettere e prendere documenti.
🔑 Come distinguerli? Basta guardare il contesto: se si parla di autenticazione, RADIUS, accesso alla rete, allora NAS = Network Access Server. Se si parla di file, backup, storage, dischi, allora NAS = Network Attached Storage. Sono due cose completamente diverse che condividono lo stesso acronimo!
Applicazioni Pratiche nella Vita Reale
Il protocollo RADIUS viene usato quotidianamente in moltissimi contesti, spesso senza che gli utenti se ne rendano conto. Ecco i casi d’uso più comuni:
📶 Wi-Fi Aziendali
Autentica utenti che si connettono alla rete wireless aziendale, garantendo accesso solo a personale autorizzato.
Esempio: In un ufficio con 50 dipendenti, ognuno si collega al Wi-Fi con le proprie credenziali personali, non con una password condivisa. Se un dipendente lascia l’azienda, basta disattivare il suo account.
🔒 VPN
Gestisce accesso remoto sicuro per utenti che si collegano tramite Virtual Private Network.
Esempio: Un dipendente lavora da casa e si collega alla VPN aziendale. RADIUS verifica le sue credenziali prima di permettergli di accedere alle risorse interne dell’azienda come se fosse in ufficio.
🌐 Accesso a Internet (ISP)
I provider Internet (come TIM, Vodafone, Fastweb) usano RADIUS per autenticare i clienti quando si connettono a Internet.
Esempio: Quando il tuo modem si accende e si collega alla rete del provider, il server RADIUS del provider verifica che il tuo contratto sia attivo e ti assegna l’indirizzo IP.
🏢 Reti Scolastiche e Universitarie
Scuole e università usano RADIUS per gestire l’accesso di studenti e docenti alla rete Wi-Fi del campus.
Esempio: Il sistema Eduroam (usato in molte università italiane e del mondo) si basa proprio su RADIUS. Uno studente può collegarsi al Wi-Fi della propria università e anche di altre università convenzionate.
L’Home Router in Packet Tracer
In Cisco Packet Tracer, l’Home Router (detto anche Wireless Router o Linksys) è un dispositivo “tutto-in-uno” che integra diverse funzionalità in un unico apparecchio. È perfetto per simulare scenari RADIUS perché include già tutto il necessario.
🔧 Cosa Include l’Home Router
📡
Router
Instrada il traffico tra reti diverse (già configurato con il routing statico)
🔀
Switch
4 porte LAN per collegare dispositivi via cavo Ethernet
📶
Access Point Wi-Fi
Permette connessioni wireless — è qui che entra in gioco RADIUS!
🏷️
Server DHCP
Assegna automaticamente gli indirizzi IP ai dispositivi (già configurato)
📋 Come si Configura RADIUS sull’Home Router
Nell’interfaccia GUI dell’Home Router, alla sezione Wireless, è possibile impostare la sicurezza Wi-Fi su WPA2-Enterprise. A differenza di WPA2-Personal (dove usi una password unica per tutti), WPA2-Enterprise richiede un server RADIUS esterno per autenticare ogni singolo utente con credenziali personali.
I campi da compilare sono:
→ RADIUS Server IP: l’indirizzo IP del server RADIUS nella rete
→ RADIUS Port: la porta di comunicazione (di solito 1645 o 1812)
→ Shared Secret: la password segreta condivisa tra il router e il server RADIUS
Risorse Aggiuntive
🎥 Video Esplicativo
Server RADIUS – Spiegazione completa
Esercizi con Cisco Packet Tracer
Metti in pratica quello che hai imparato! Questi esercizi sono pensati per chi ha già esperienza con subnetting, routing statico, DHCP e l’utilizzo dell’Home Router in Packet Tracer.
Gli esercizi sono in ordine crescente di difficoltà: parti dal primo per prendere confidenza e poi prova quelli più avanzati.
Esercizio 1 — La Prima Rete RADIUS
Obiettivo: Creare una rete semplice con autenticazione Wi-Fi tramite server RADIUS. Un laptop deve connettersi al Wi-Fi dell’Home Router usando credenziali personali verificate dal server RADIUS.
Topologia richiesta:
→ 1x Server generico (Server RADIUS) — collegato via cavo a una porta LAN dell’Home Router
→ 1x Home Router (Wireless Router)
→ 1x Laptop con scheda wireless — connessione Wi-Fi
Indirizzamento (rete unica):
Rete: 192.168.1.0/24
Home Router (LAN/gateway): 192.168.1.1
Server RADIUS: 192.168.1.100 (IP statico)
Laptop: IP assegnato tramite DHCP dall’Home Router
Cosa devi fare:
1. Posiziona i dispositivi e collegali. Collega il Server a una porta LAN dell’Home Router con un cavo dritto. Il laptop si connetterà via Wi-Fi.
2. Configura l’Home Router: imposta l’IP LAN su 192.168.1.1, abilita il DHCP, e nella sezione Wireless imposta il Security Mode su WPA2-Enterprise. Inserisci l’IP del server RADIUS (192.168.1.100), la porta (1645) e uno Shared Secret (es: “segreto123”).
3. Configura il Server: assegna IP statico 192.168.1.100, gateway 192.168.1.1. Vai nel tab Services → AAA, abilita il servizio. Aggiungi il client RADIUS (Home Router): inserisci il suo IP, la porta e lo stesso Shared Secret. Poi crea almeno un utente (es: username “studente1”, password “pass123”).
4. Configura il Laptop: assicurati che abbia la scheda wireless installata (se necessario, spegni il laptop, rimuovi la scheda Ethernet e inserisci una scheda Wireless). Nella configurazione Wi-Fi, seleziona la rete dell’Home Router, scegli WPA2-Enterprise e inserisci le credenziali dell’utente creato.
Verifica:
✅ Il laptop si connette correttamente al Wi-Fi con le credenziali
✅ Il laptop riceve un IP dal DHCP dell’Home Router
✅ Il laptop riesce a fare ping al Server RADIUS (192.168.1.100)
❌ Se inserisci credenziali errate, la connessione viene rifiutata
Esercizio 2 — Più Utenti, Più Dispositivi
Obiettivo: Simulare un piccolo ufficio con più utenti wireless e un PC cablato. Verificare che solo gli utenti registrati nel server RADIUS possano connettersi al Wi-Fi, mentre i PC via cavo non necessitano di autenticazione RADIUS.
Topologia richiesta:
→ 1x Server generico (Server RADIUS) — collegato via cavo
→ 1x Home Router
→ 3x Laptop con scheda wireless
→ 1x PC desktop collegato via cavo a una porta LAN dell’Home Router
Indirizzamento:
Rete: 192.168.10.0/24
Home Router: 192.168.10.1
Server RADIUS: 192.168.10.50
DHCP range: da 192.168.10.100 a 192.168.10.200
Cosa devi fare:
1. Costruisci la topologia e configura l’Home Router con la rete 192.168.10.0/24 e DHCP.
2. Configura il Server RADIUS con IP statico e crea 3 utenti diversi (es: “mario/pass1”, “giulia/pass2”, “luca/pass3”).
3. Imposta il Wi-Fi dell’Home Router su WPA2-Enterprise con i parametri del server RADIUS.
4. Configura i 3 laptop con le credenziali dei rispettivi utenti. Connetti il PC desktop via cavo.
5. Prova a connettere un laptop con credenziali errate per verificare che venga rifiutato.
Verifica:
✅ Tutti e 3 i laptop si connettono con le proprie credenziali
✅ Il PC desktop si connette via cavo senza problemi (non passa da RADIUS)
✅ Tutti i dispositivi riescono a fare ping tra loro
❌ Un laptop con credenziali errate non riesce a connettersi
Esercizio 3 — Due Reti con Routing Statico e RADIUS
Obiettivo: Creare due reti separate collegate da routing statico. Il server RADIUS si trova in una rete diversa da quella dell’Home Router. Questo simula uno scenario realistico dove il server RADIUS è centralizzato nel data center aziendale.
Topologia richiesta:
Rete A — Ufficio (192.168.1.0/24):
→ 1x Home Router (LAN: 192.168.1.1)
→ 2x Laptop wireless
→ Connessione WAN dell’Home Router al Router centrale
Rete B — Data Center (10.0.0.0/24):
→ 1x Router (Cisco 2911 o simile)
→ 1x Server RADIUS (10.0.0.10)
→ 1x Server Web o FTP (opzionale, 10.0.0.20)
Link tra le reti:
Collegamento tra porta WAN dell’Home Router e una interfaccia del Router Cisco
Subnet del link: 172.16.0.0/30
Home Router WAN: 172.16.0.1 — Router Cisco: 172.16.0.2
Configurare routing statico su entrambi i dispositivi per raggiungere le reti remote
Cosa devi fare:
1. Costruisci la topologia con le due reti e il link tra Home Router e Router Cisco.
2. Configura il routing statico: sull’Home Router aggiungi una rotta verso 10.0.0.0/24 via 172.16.0.2. Sul Router Cisco, aggiungi una rotta verso 192.168.1.0/24 via 172.16.0.1.
3. Configura il Server RADIUS nella Rete B (IP: 10.0.0.10). Crea utenti e imposta il client RADIUS con l’IP dell’Home Router.
4. Sull’Home Router, configura il Wi-Fi WPA2-Enterprise puntando al server RADIUS remoto (10.0.0.10).
5. Configura i laptop e prova la connessione.
Verifica:
✅ I laptop si autenticano via Wi-Fi anche se il server RADIUS è in un’altra rete
✅ I laptop riescono a fare ping al server RADIUS (10.0.0.10) e al server Web (10.0.0.20)
✅ Il routing statico funziona correttamente in entrambe le direzioni
❌ Se rimuovi la rotta statica, il RADIUS smette di funzionare (perché il router non raggiunge più il server)
Esercizio 4 — Azienda Multi-Sede con RADIUS Centralizzato
Obiettivo: Simulare un’azienda con due sedi (uffici) e un data center centrale. Entrambe le sedi utilizzano lo stesso server RADIUS centralizzato per autenticare gli utenti Wi-Fi. Questo esercizio mette insieme tutte le competenze: subnetting, routing statico, DHCP e RADIUS.
Topologia richiesta:
Sede A — Ufficio Milano (192.168.1.0/24):
→ 1x Home Router (LAN: 192.168.1.1)
→ 2x Laptop wireless + 1x PC cablato
→ DHCP attivo sull’Home Router
Sede B — Ufficio Roma (192.168.2.0/24):
→ 1x Home Router (LAN: 192.168.2.1)
→ 2x Laptop wireless + 1x PC cablato
→ DHCP attivo sull’Home Router
Data Center (10.0.0.0/24):
→ 1x Router Cisco centrale (collega le tre reti)
→ 1x Server RADIUS (10.0.0.10)
→ 1x Server Web aziendale (10.0.0.20)
Link tra le reti:
Home Router Milano (WAN) ↔ Router Cisco: subnet 172.16.1.0/30
Home Router Roma (WAN) ↔ Router Cisco: subnet 172.16.2.0/30
Configura routing statico su tutti i dispositivi affinché tutte le reti siano raggiungibili
Cosa devi fare:
1. Effettua il subnetting per le 5 reti necessarie (Sede A, Sede B, Data Center, link 1, link 2).
2. Costruisci la topologia completa e configura tutti gli IP.
3. Configura il routing statico su tutti i router (Home Router Milano, Home Router Roma, Router Cisco) per garantire connettività completa tra tutte le reti.
4. Configura il Server RADIUS con gli utenti di entrambe le sedi. Importante: devi aggiungere come client RADIUS entrambi gli Home Router (con i rispettivi IP).
5. Configura il Wi-Fi WPA2-Enterprise su entrambi gli Home Router, puntando allo stesso server RADIUS (10.0.0.10).
6. Testa che un utente creato per Milano possa autenticarsi SOLO a Milano (oppure, se lo preferisci, permetti l’accesso da entrambe le sedi — proprio come il sistema Eduroam).
Verifica:
✅ I laptop di entrambe le sedi si autenticano tramite lo stesso server RADIUS centralizzato
✅ Tutti i dispositivi (wireless e cablati) di tutte le sedi possono raggiungere il server Web (10.0.0.20)
✅ I PC cablati possono fare ping ai laptop wireless della stessa sede e dell’altra sede
✅ Il routing statico funziona in tutte le direzioni
❌ Credenziali errate vengono rifiutate da entrambe le sedi
Esercizio 5 — Rete Completa: RADIUS + DHCP + DNS + Web Server
Obiettivo: Costruire un’infrastruttura di rete completa dove gli utenti si autenticano via RADIUS, ricevono IP via DHCP, risolvono nomi di dominio via DNS e accedono a un sito web aziendale interno. Questo esercizio simula un ambiente aziendale realistico e completo.
Topologia richiesta:
Rete Ufficio (192.168.1.0/24):
→ 1x Home Router (192.168.1.1) — DHCP + Wi-Fi WPA2-Enterprise
→ 3x Laptop wireless
→ 1x PC cablato
Rete Server (10.10.10.0/24):
→ 1x Router Cisco (fa da gateway tra le due reti)
→ 1x Server RADIUS (10.10.10.10)
→ 1x Server DNS (10.10.10.20) — risolve “www.azienda.local” → 10.10.10.30
→ 1x Server Web (10.10.10.30) — ospita una pagina web di test
Cosa devi fare:
1. Costruisci tutta la topologia e configura gli IP. Usa la subnet 172.16.0.0/30 per il link tra Home Router e Router Cisco.
2. Configura il routing statico su entrambi i router.
3. Configura il Server RADIUS con almeno 3 utenti.
4. Configura il Server DNS per risolvere il nome “www.azienda.local” all’IP del Server Web.
5. Configura il Server Web con una semplice pagina HTML (es: “Benvenuto nella Intranet Aziendale!”).
6. Configura il DHCP dell’Home Router in modo che assegni anche il server DNS (10.10.10.20) ai client.
7. Configura il Wi-Fi WPA2-Enterprise sull’Home Router.
8. Connetti i laptop, autenticali e verifica che possano navigare su “www.azienda.local” dal browser.
Verifica:
✅ I laptop si autenticano via RADIUS e ricevono un IP dal DHCP
✅ Dal browser dei laptop, digitando www.azienda.local appare la pagina web
✅ Il comando nslookup www.azienda.local restituisce l’IP corretto (10.10.10.30)
✅ Tutti i servizi funzionano insieme: RADIUS + DHCP + DNS + HTTP
❌ Senza autenticazione RADIUS, i laptop non possono accedere a nessuna risorsa
💡 Suggerimenti Utili per gli Esercizi
Scheda wireless del Laptop: In Packet Tracer, i laptop di default hanno una scheda Ethernet. Per usare il Wi-Fi, devi spegnere il laptop (tab Physical → pulsante di accensione), rimuovere la scheda Ethernet trascinandola fuori, e inserire una scheda wireless (es: WPC300N). Poi riaccendi il laptop.
Ordine di configurazione consigliato: Prima configura tutti gli IP e il routing statico, poi verifica la connettività base con dei ping. Solo dopo configura il RADIUS. In questo modo, se qualcosa non funziona, sai che il problema è nel RADIUS e non nel routing.
Shared Secret: La password condivisa deve essere identica sia sull’Home Router che sul Server RADIUS. Anche un singolo spazio o una lettera maiuscola in più causeranno il fallimento dell’autenticazione.
Troubleshooting: Se la connessione Wi-Fi non funziona, verifica nell’ordine: (1) il laptop ha la scheda wireless? (2) L’Home Router ha il Wi-Fi attivo? (3) Il server RADIUS è raggiungibile con un ping dall’Home Router? (4) Lo Shared Secret è identico? (5) L’utente esiste nel database del server RADIUS?
Salva spesso! Packet Tracer potrebbe bloccarsi con topologie complesse. Salva il tuo lavoro frequentemente.
🎯 In Sintesi
Un server RADIUS è essenziale per mantenere la sicurezza e l’efficienza nella gestione dell’accesso alle risorse di rete, soprattutto in contesti aziendali che richiedono un elevato livello di controllo. È il “buttafuori digitale” che decide chi può entrare nella rete e cosa può fare.
Gestione centralizzata autenticazione AAA
Ideale per reti aziendali e grandi infrastrutture
Supporta Wi-Fi, VPN, accesso remoto
Monitoraggio e contabilizzazione attività
Configurabile con Home Router in Packet Tracer
Integrabile con DHCP, DNS e servizi Web
Senza RADIUS, la gestione sicura degli accessi in grandi reti sarebbe estremamente complessa e poco scalabile. Ogni utente avrebbe la stessa password, non ci sarebbe modo di sapere chi si è connesso, e revocare un accesso significherebbe cambiare la password a tutti.