no response from RADIUS accounting server Сетевое оборудование и VPN

MikroTik: no response from RADIUS accounting server — Устранение сбоя

Обновлено: 24.08.2026 · Официальная документация ↗

В логах MikroTik фиксируется предупреждение: radius,warning no response from RADIUS accounting server <IP>.
Не ведется учет трафика сессий (Accounting-Requests) для PPPoE, HotSpot, IKEv2 или Dot1x.
Очередь неотправленных аккаунтинг-пакетов на маршрутизаторе растет, вызывая утечку памяти.
Пользователи успешно авторизуются, но не отключаются по исчерпании лимита времени или квоты.

1. Проверка конфигурации клиента RADIUS в RouterOS

/radius
print detail
set [ find address="192.168.1.50" ] \
    service=hotspot,login,ppp,wireless \
    accounting-port=1813 \
    authentication-port=1812 \
    timeout=3s \
    accounting-backup=no

2. Проверка доступности портов и статуса сервиса на RADIUS-сервере

Убедитесь, что демон (FreeRADIUS, Microsoft NPS, LinOTP) запущен и слушает порт UDP 1813:

# На Linux-сервере (FreeRADIUS):
ss -unlp | grep 1813
tail -f /var/log/freeradius/radius.log

3. Проверка сетевого экрана (IP Firewall) на маршрутизаторе

Убедитесь, что исходящие и ответные UDP пакеты не блокируются:

/ip firewall filter
add chain=input action=accept protocol=udp src-port=1813 \
    src-address=192.168.1.50 comment="Allow RADIUS Accounting Inbound"

4. Мониторинг очереди Accounting в RouterOS

/radius monitor [ find address="192.168.1.50" ]

Обратите внимание на счетчики requests, resends и timeouts.

💡 Практика специалистов: В Microsoft Windows Server Network Policy Server (NPS) убедитесь, что в свойствах сетевой политики явно включена опция учета (Accounting) и служба `IAS / NPS` имеет разрешения на запись в текстовый лог или SQL-базу.

Частые вопросы (FAQ)

Почему авторизация (Auth) работает, а аккаунтинг (Acct) падает?

Аутентификация использует порт UDP 1812, а аккаунтинг — UDP 1813. Сетевой экран, промежуточный фаервол или конфигурация NPS могут блокировать только порт 1813.

Что происходит с неотправленными пакетами учета при сбое сервера?

RouterOS сохраняет их во временном буфере и повторяет отправку с интервалом, заданным в параметре timeout, до восстановления ответа.

Как проверить секретный ключ (Shared Secret) для Accounting?

В RADIUS secret общий для Auth и Acct. Если сервер отвечает 'Access-Reject' на аутентификацию, но полностью игнорирует Accounting — проверьте настройки клиентов (clients.conf) на самом RADIUS сервере.

Может ли NAT ломать Accounting пакеты?

Да, если между MikroTik и RADIUS есть NAT без сохранения портов, сервер может отбрасывать ответы или отправлять их на измененный порт источника.