Găzduire FreeRADIUS pe VPS: cerințe și cost real

Pentru majoritatea implementărilor FreeRADIUS de producție, pornește cu 2 vCPU, 2 GB RAM, 25 GB stocare SSD și o adresă IPv4 publică. Pe planurile ServerSpan actuale, ct.Ready costă 5,99 EUR pe lună fără TVA. Alege 4 vCPU, 4 GB RAM și 50 GB stocare la 9,99 EUR atunci când același VPS rulează și MariaDB sau PostgreSQL, păstrează actualizări frecvente de accounting ori deservește mai multe locații. Planul ct.Entry cu 512 MB RAM, la 2,99 EUR, este potrivit pentru laborator și teste, nu ca alegere implicită pentru producție. Două noduri redundante costă 11,98 sau 19,98 EUR pe lună, înainte de costurile pentru baze de date, backup și administrare.

Scris de echipa tehnică ServerSpan

FreeRADIUS consumă puține resurse, dar traseul autentificării poate deveni complex

FreeRADIUS poate procesa cereri de autentificare, autorizare și contabilizare fără să necesite un server mare. Proiectul este folosit atât pe sisteme mici, cât și în rețele cu volume foarte mari. Asta nu înseamnă că fiecare instalare de producție trebuie plasată pe un VPS cu numai 512 MB RAM.

Serviciul FreeRADIUS reprezintă numai o parte din traseul unei cereri. O implementare reală poate interoga LDAP, Active Directory, MariaDB, PostgreSQL, un API REST sau un alt server RADIUS. Poate executa mai multe schimburi EAP pentru 802.1X, poate scrie date despre sesiuni, poate evalua politici custom și poate genera loguri necesare pentru depanare.

În multe cazuri, cel mai lent backend limitează capacitatea înainte ca procesul FreeRADIUS să epuizeze CPU-ul. Dimensionează VPS-ul după rata maximă de cereri și latența serviciilor din spate, nu după numărul total de utilizatori. Zece mii de conturi care se autentifică de câteva ori pe zi pot produce o sarcină mai mică decât 300 de access point-uri care reconectează simultan clienții după o pană de curent.

Un VPS cu 2 GB RAM este punctul practic de pornire pentru producție

Tabelul următor este un model de planificare, nu un tabel oficial de capacitate FreeRADIUS. Complexitatea cererilor, metoda EAP, latența bazei de date, frecvența accountingului și comportamentul echipamentelor NAS la retry pot muta o implementare într-un alt nivel.

Profilul implementării	Resurse recomandate	Plan ServerSpan actual	Cost VPS lunar	Regulă de alegere
Laborator, proof of concept și testarea configurației	1 vCPU, 512 MB RAM, 10 GB SSD	ct.Entry	2,99 EUR fără TVA	Folosește-l numai când downtime-ul, presiunea asupra memoriei și spațiul redus pentru loguri sunt acceptabile
Birou mic, VPN, Wi-Fi sau 802.1X cu un backend extern pentru identități	2 vCPU, 2 GB RAM, 25 GB SSD	ct.Ready	5,99 EUR fără TVA	Punctul implicit de pornire pentru un nod RADIUS de producție
Autentificare și accounting SQL local, mai multe echipamente NAS sau utilizare EAP mai intensă	4 vCPU, 4 GB RAM, 50 GB SSD	ct.Steady	9,99 EUR fără TVA	Alege-l când baza de date și datele de accounting sunt păstrate pe același VPS
KVM, Docker, networking custom la nivel de kernel sau izolare mai puternică	2 vCPU, 2 GB RAM, 25 GB SSD	vm.Ready	9,99 EUR fără TVA	Folosește KVM când implementarea necesită o mașină virtuală completă
Stack KVM mai mare, cu SQL local, monitorizare și servicii suplimentare	4 vCPU, 4 GB RAM, 100 GB SSD	vm.Steady	17,99 EUR fără TVA	Alege-l când spațiul suplimentar sau stack-ul mai larg justifică următorul nivel

Prețurile și specificațiile provin din planurile ServerSpan actuale de găzduire VPS. FreeRADIUS nu necesită KVM prin natura aplicației. Un VPS containerizat este potrivit pentru o instalare convențională din pachetele distribuției, atunci când nu ai nevoie de Docker, module custom de kernel sau namespace-uri de rețea neobișnuite.

Planul cel mai ieftin poate rula serviciul, dar 512 MB RAM lasă puțin spațiu pentru actualizări, certificate, vârfuri de loguri, o bază de date locală sau o sesiune de depanare. ct.Ready oferă 2 GB RAM pentru o diferență de 3 EUR pe lună și reprezintă baza mai echilibrată pentru producție.

Volumul autentificărilor contează mai mult decât dimensiunea bazei de utilizatori

Capacitatea FreeRADIUS trebuie descrisă prin cereri pe secundă și latența fiecărei cereri. Numărul de conturi este util pentru dimensionarea bazei de date, dar nu arată câte autentificări sosesc simultan.

O autentificare PAP sau CHAP simplă poate necesita un singur pachet Access-Request și un răspuns. O autentificare 802.1X bazată pe EAP poate implica mai multe schimburi înainte ca dispozitivul să fie acceptat. O școală, un birou sau un hotel poate genera astfel un vârf puternic atunci când multe dispozitive se reconectează după repornirea unui access point, switch sau link WAN.

Măsoară cea mai aglomerată perioadă de cinci minute. Nu împărți numărul zilnic de autentificări la 86.400 de secunde. Media zilnică ascunde exact evenimentul care poate umple coada workerilor.

FreeRADIUS folosește un grup de fire de execuție și o coadă internă pentru cereri. Documentația arată că o coadă plină indică frecvent o bază de date lentă în timpul unui vârf de trafic. Mărirea repetată a limitei de workeri nu repară un backend care răspunde prea greu.

Măsoară latența SQL sau LDAP, verifică indexurile, ajustează grupurile de conexiuni și elimină operațiunile sincrone inutile din traseul autentificării înainte de a cumpăra mai multe nuclee CPU.

Traficul de accounting poate ocupa mai mult spațiu decât autentificările

Înregistrările de autentificare sunt de obicei mici. Păstrarea pe termen lung a datelor de accounting RADIUS poate deveni principala sarcină de stocare, deoarece fiecare sesiune poate genera o înregistrare de pornire, una de oprire și numeroase actualizări interimare.

Ia exemplul a 1.000 de sesiuni conectate permanent, cu un interval de actualizare de cinci minute. Acestea pot produce până la 288.000 de actualizări interimare pe zi, înainte de a număra pornirile, opririle, reautentificările și retransmisiile.

Perioada de păstrare trebuie stabilită în funcție de facturare, audit, suport și obligațiile legale. Păstrarea tuturor înregistrărilor pe termen nelimitat pe un disc de sistem de 25 GB nu reprezintă o politică de retenție.

Modulul SQL FreeRADIUS acceptă baze de date compatibile MySQL, PostgreSQL, Microsoft SQL Server și Oracle prin drivere separate. Schema furnizată include tabele pentru verificări, răspunsuri, autentificări și accounting.

Când scrierile SQL lungi încep să întârzie procesarea cererilor RADIUS, configurația buffered SQL poate separa primirea pachetelor de introducerea lor ulterioară în baza de date. Pachetele sunt scrise mai întâi în fișiere detail, apoi sunt procesate separat.

Folosește 4 GB RAM și 50 GB stocare atunci când MariaDB sau PostgreSQL rulează local și accountingul este activ. Monitorizează creșterea tabelelor, șterge datele conform unei politici documentate și păstrează backupurile bazei de date în afara VPS-ului.

Un server de baze de date separat devine justificat atunci când scrierile de accounting concurează cu interogările de autentificare sau când mai multe noduri RADIUS folosesc același depozit de identități.

Disponibilitatea ridicată necesită două noduri RADIUS, nu un singur VPS mai mare

Un server mai mare oferă rezervă de resurse, dar nu elimină punctul unic de eșec. Clienții RADIUS precum gateway-urile VPN, controllerele wireless, switch-urile și echipamentele NAS permit în mod obișnuit configurarea unui server RADIUS principal și a unuia secundar.

Folosește mecanismul de failover al echipamentelor de rețea. Nu plasa autentificarea și accountingul în spatele unui load balancer HTTP generic.

Arhitectură	Cost VPS lunar	Protecție oferită	Ce rămâne de rezolvat separat
Un nod ct.Ready	5,99 EUR fără TVA	Fără redundanță	Backupuri, monitorizare și procedura de recuperare
Două noduri ct.Ready	11,98 EUR fără TVA	Defectarea sau mentenanța unui VPS RADIUS	Disponibilitatea serviciului SQL sau LDAP comun
Două noduri ct.Steady	19,98 EUR fără TVA	Mai multe resurse locale și redundanța nodurilor RADIUS	Replicarea bazei de date și sincronizarea configurației
Două noduri vm.Ready	19,98 EUR fără TVA	Izolare KVM și redundanța nodurilor RADIUS	Disponibilitatea backendului și backupurile externe

Configurează ambele noduri în echipamentele NAS și testează comportamentul real la failover. Unele dispozitive retrimit cererea de mai multe ori către serverul principal înainte de a-l folosi pe cel secundar. Altele comută rapid. Arhitectura redundantă nu este completă până când nu măsori timpul necesar autentificării unui client real în timp ce un server este indisponibil.

Configurația trebuie sincronizată între noduri, dar secretele partajate și cheile private nu trebuie copiate printr-un repository public sau nesecurizat. Păstrează configurația într-un sistem privat de deployment, separă secretele de fișierele obișnuite și testează fiecare nod independent.

Expune serviciul RADIUS numai către echipamente cunoscute

RADIUS clasic folosește în mod obișnuit portul UDP 1812 pentru autentificare și UDP 1813 pentru accounting. Nu deschide aceste porturi către întregul internet. Restricționează firewallul VPS-ului la adresele IP publice ale controllerelor wireless, gateway-urilor VPN, switch-urilor și celorlalte echipamente NAS care trimit cereri.

Definițiile clienților FreeRADIUS ar trebui să folosească adrese IP fixe când este posibil. Folosirea unui hostname introduce o dependență de DNS la pornirea serviciului, iar adresa este rezolvată atunci când serverul pornește.

Fiecare client trebuie să aibă un secret partajat aleatoriu și unic. Nu păstra secretul implicit folosit în exemplele de testare într-o configurație reală.

RADIUS clasic peste UDP nu criptează integral conținutul pachetului. Atunci când cererile traversează o rețea în care nu ai încredere, folosește un traseu privat criptat prin WireGuard sau IPsec ori implementează RADIUS over TLS dacă toate echipamentele participante îl acceptă.

RadSec transportă RADIUS prin TLS peste TCP și protejează conținutul transmis între participanți. Un VPS public permite mai multor sedii și utilizatorilor aflați la distanță să ajungă la același serviciu AAA, dar necesită filtrare strictă după sursă, secrete unice, validarea certificatelor și un al doilea endpoint RADIUS.

Validează serviciul înainte de a-i măsura capacitatea

Începe cu verificări read-only. Numele pachetelor și căile de configurare diferă între distribuții. Debian și Ubuntu folosesc de obicei serviciul freeradius și configurația din /etc/freeradius/. Pachetele pentru distribuțiile din familia RHEL pot folosi radiusd și /etc/raddb/.

sudo systemctl status freeradius --no-pager
sudo ss -lunp | grep -E ':(1812|1813)([[:space:]]|$)'
sudo journalctl -u freeradius --since "30 minutes ago" --no-pager
sudo freeradius -XC

Serviciul trebuie să fie activ și să nu se afle într-o buclă de restart. Verificarea socketurilor trebuie să arate numai listener-ele RADIUS așteptate. Journalul nu ar trebui să conțină repetat erori de secret partajat, clienți necunoscuți, timeout-uri SQL, probleme de certificate sau avertismente privind coada workerilor.

Verificarea configurației trebuie să se încheie cu succes fără să pornească un al doilea daemon. Dacă distribuția folosește radiusd, înlocuiește numele serviciului și al executabilului.

Nu rula freeradius -X cât timp serviciul de producție este deja legat de aceleași porturi. Modul debug este util deoarece afișează traseul complet al cererii, dar trebuie folosit pe un nod de rezervă sau într-o fereastră de mentenanță planificată.

Poți executa un test local cu un cont și un secret temporar:

radtest test-user 'parola-temporara' 127.0.0.1 0 'secret-partajat-temporar'

Folosește un cont de test care poate fi șters după validare. Un rezultat corect este Access-Accept. Access-Reject dovedește că serverul a răspuns, dar politica sau credențialele au eșuat. Un timeout indică o problemă cu serviciul, listenerul, definiția clientului local, secretul sau firewallul.

Nu introduce secrete de producție direct într-un terminal comun. Argumentele comenzilor pot ajunge în istoricul shellului sau pot fi vizibile temporar în lista proceselor.

Monitorizează latența și respingerile înainte de upgrade

Utilizarea ridicată a CPU-ului nu este singurul semn că serverul trebuie mărit. Un server RADIUS poate părea aproape liber în timp ce autentificările sunt lente, deoarece firele sale de execuție așteaptă după SQL, LDAP, DNS, un serviciu REST extern sau un server RADIUS remote.

uptime
free -h
vmstat 1 5
ps -C freeradius -o pid,pcpu,pmem,rss,etime,cmd --sort=-rss
sudo journalctl -u freeradius --since "1 hour ago" --no-pager | \
  grep -Ei 'timeout|failed|reject|unknown client|sql|ldap|pool|queue'

Valorile repetate diferite de zero în coloanele si și so din vmstat indică activitate de swap. Saturarea susținută a CPU-ului poate justifica trecerea la mai multe nuclee. CPU redus împreună cu timeout-uri sau mesaje despre pool indică mai degrabă o problemă de backend.

Creșterea numărului de respingeri poate fi provocată de o regulă de politică, un certificat expirat, un secret greșit, ora incorectă pe un client sau un atac. Nu înseamnă automat că VPS-ul este prea mic.

Traseul de rețea contează deoarece RADIUS rulează de obicei peste UDP, iar echipamentele NAS retransmit cereri atunci când răspunsurile întârzie. Folosește procesul din ghidul Comenzi de depanare a rețelei pe VPS Linux pentru a verifica rutele, pierderea de pachete, socketurile, firewallul și capturile de trafic înainte de a cumpăra mai mult CPU.

Configurează monitorizare externă pentru ambele noduri de autentificare și monitorizare internă pentru memorie, disc, starea serviciului, latența cererilor, conexiunile bazei de date, expirarea certificatelor și creșterea tabelelor de accounting.

Ghidul ServerSpan despre monitorizarea uptime-ului și stării unui VPS explică de ce verificarea externă a accesibilității și metricile interne ale sistemului răspund la întrebări diferite.

Alege un VPS containerizat pentru instalarea nativă și KVM pentru un stack mai larg

Un pachet FreeRADIUS instalat nativ nu are nevoie de propriul kernel. Un VPS containerizat este suficient pentru numeroase implementări și menține costul lunar redus. KVM devine alegerea mai bună atunci când rulezi Docker, ai nevoie de funcții de rețea la nivel de kernel, vrei separare mai puternică față de host sau combini FreeRADIUS cu un stack de tip appliance.

Nu alege KVM numai pentru că RADIUS este sensibil din punct de vedere al securității și nu presupune că tipul de virtualizare rezolvă proiectarea aplicației. Controalele importante rămân restricțiile firewallului, secretele unice, transportul criptat prin rețele nesigure, actualizarea pachetelor, backupurile și nodurile redundante.

Comparația KVM VPS vs VPS containerizat explică diferențele de infrastructură și cazurile în care propriul kernel este necesar.

Costul lunar real include mai mult decât factura VPS-ului

Un singur nod mic de producție pornește de la 5,99 EUR pe lună. O pereche redundantă practică pornește de la 11,98 EUR. Două noduri cu resurse suficiente pentru baze de date locale pornesc de la 19,98 EUR. Aceste valori acoperă numai resursele VPS listate.

Adaugă stocarea externă pentru backup, monitorizarea, administrarea bazei de date, gestionarea certificatelor, deploymentul configurației și timpul necesar pentru testarea failoverului.

O interfață web precum daloRADIUS adaugă un server web, PHP, acces la baza de date, patching și o nouă suprafață administrativă. Nu o expune public fără autentificare suplimentară și restricții de acces.

Costul serverului este redus deoarece FreeRADIUS este eficient. Fiabilitatea reală depinde de politici corecte, disponibilitatea backendului și un failover predictibil. Pentru un birou mic, o rețea Wi-Fi sau un VPN, pornește cu ct.Ready. Treci la ct.Steady atunci când accountingul SQL și alte servicii rulează pe același nod. Instalează două noduri când o eroare de autentificare ar împiedica angajații, clienții sau abonații să acceseze rețeaua.

ServerSpan oferă VPS-uri containerizate și KVM, iar serviciul de administrare Linux poate acoperi configurarea firewallului, depanarea rețelei, bazele de date, actualizările și operațiunile de recuperare, în limitele unei arii convenite.