Migrazione a radius1.eduroam.it¶

Questo avviso si rivolge ai contatti tecnici di tutti gli enti federati in eduroam, sia Identity Provider sia Resource Provider.

Perché questo cambiamento¶

Il sito che ospita radius.garr.net sta per essere dismesso: il server verrà quindi spento e sostituito da un nuovo server nazionale, radius1.eduroam.it, ospitato in un'altra sede e con un nuovo indirizzo IP.

Non si tratta di un semplice trasloco. Il nuovo server è il primo passo di un percorso di rinnovamento del servizio eduroam nazionale, che ha l'obiettivo di:

renderlo più robusto e sicuro, con una piattaforma aggiornata e verifiche più complete sul funzionamento dei server degli enti, eseguite da tutti i server nazionali;
semplificarne la gestione, collegando sempre di più la configurazione dei server nazionali al Self Service, così da ridurre gli interventi manuali e i tempi di attivazione;
prepararlo ai prossimi sviluppi, come RadSec, il trasporto RADIUS cifrato su TLS.

Per ogni ente l'intervento è semplice e richiede pochi minuti: si tratta di aggiornare la configurazione dei server RADIUS e del firewall, come descritto in questa pagina. Non sono richiesti attributi o impostazioni aggiuntive rispetto alla configurazione attuale.

Cosa cambia e perché¶

Il sito che ospita il server nazionale radius.garr.net sta per essere dismesso: il server verrà spento venerdì 13 novembre 2026. Lo sostituisce un nuovo server nazionale, radius1.eduroam.it, ospitato in un'altra sede e con un indirizzo IP diverso. Il secondo server nazionale, radius2.garr.net, resta invariato.

Server	IPv4	Stato
radius1.eduroam.it (nuovo)	`90.147.160.227`	in produzione dall'8 ottobre 2026
radius2.garr.net	`193.206.158.71`	invariato
radius.garr.net	`192.84.145.15`	spento il 13 novembre 2026

Restano invariati:

il secret: per radius1.eduroam.it si usa lo stesso secret già concordato con il GARR e configurato per radius.garr.net e radius2.garr.net. Non va comunicato di nuovo. Gli enti che usano secret diversi per radius.garr.net e radius2.garr.net dovranno scrivere a eduroam@garr.it prima di configurare radius1.eduroam.it;
le porte: UDP 1812 (autenticazione) e 1813 (accounting).

radius1.eduroam.it è raggiungibile solo in IPv4. Fino al 13 novembre radius.garr.net continua a funzionare come oggi.

Accesso al Self Service

Il Self Service è all'indirizzo https://selfservice.eduroam.it. Lì si trovano l'ordine dei server nazionali da configurare (Resource Provider) e la procedura guidata per verificare e completare la migrazione (tutti gli enti). Gli enti i cui contatti tecnici non hanno ancora accesso al portale devono chiedere l'invito subito, scrivendo a eduroam@garr.it.

Solo porte 1812 e 1813

radius1.eduroam.it risponde solo sulle porte UDP 1812 e 1813. Chi usa ancora le vecchie porte RADIUS (1645, 1646) deve passare a 1812 e 1813.

Calendario¶

8 ottobre 2026

radius1.eduroam.it in produzione.

Da questa data Resource Provider e Identity Provider possono aggiornare la configurazione dei propri server.
Dal 14 ottobre 2026

Procedura guidata sul Self Service aperta a tutti gli enti. I Resource Provider vi trovano l'ordine dei server nazionali da configurare; Resource Provider e Identity Provider verificano la configurazione e completano la migrazione.
Entro il 13 novembre 2026

Resource Provider: configurazione e procedura sul Self Service completate (obbligatorio).

Identity Provider: radius1.eduroam.it tra i client, firewall aggiornato e procedura completata (fortemente consigliato: chi non ha migrato continua a essere servito tramite radius2.garr.net).
13 novembre 2026

radius.garr.net viene spento.

I Resource Provider che non hanno aggiornato la configurazione restano senza server secondario oppure, se usano solo radius.garr.net, senza servizio.

La migrazione è stata progettata perché ogni ente possa aggiornarsi con i propri tempi e senza interruzioni del servizio. Si chiede comunque di completarla il prima possibile.

Come funziona durante la transizione¶

Dopo l'aggiornamento, i Resource Provider invieranno le richieste a entrambi i server nazionali, in fail-over, al posto di radius.garr.net. Per distribuire il traffico, il Self Service indica a ogni ente quale dei due è il primario: per alcuni enti è radius2.garr.net, per altri radius1.eduroam.it. L'altro fa da secondario (2°: backup nel riepilogo del Self Service). L'ordine è lo stesso per tutti i server dell'ente.

Quando radius1.eduroam.it riceve una richiesta per il realm di un Identity Provider non ancora migrato, la inoltra a radius2.garr.net, che la consegna ai server dell'ente come fa oggi: per gli utenti non cambia nulla.

Quando un Identity Provider dichiara la migrazione sul Self Service e la verifica va a buon fine, radius1.eduroam.it inizia a inviare le richieste per i suoi realm direttamente ai server dell'ente.

flowchart LR
    SP["📡 Resource Provider"]
    R2["radius2.garr.net<br/>193.206.158.71"]
    R1["radius1.eduroam.it<br/>90.147.160.227"]
    OLD["radius.garr.net<br/>spento il 13/11"]
    IDP["🆔 Identity Provider<br/>non ancora migrato"]
    IDPM["🆔 Identity Provider<br/>migrato"]

    SP -- "primario o secondario<br/>(ordine dal Self Service)" --> R2
    SP -- "primario o secondario<br/>(ordine dal Self Service)" --> R1
    SP -. "da rimuovere" .-> OLD
    R2 --> IDP
    R2 --> IDPM
    R1 -- "realm non migrati" --> R2
    R1 -- "realm migrati" --> IDPM

    classDef new fill:#e8f5e9,stroke:#2e7d32,color:#1b5e20
    classDef old fill:#ffebee,stroke:#c62828,color:#b71c1c,stroke-dasharray: 5 5
    class R1 new
    class OLD old

Resource Provider¶

Il Resource Provider è l'ente che offre la rete eduroam ai visitatori e inoltra ai server nazionali le richieste degli utenti di altri realm.

Gli enti che aderiscono come Resource Provider dovranno:

Leggere l'ordine assegnato all'ente (dal 14 ottobre), prima di toccare la configurazione: sul Self Service, voce Migrazione a radius1, passo Service Provider, la tabella L'ordine da configurare su tutti i tuoi server SP indica il server in posizione 1 (primario) e quello in posizione 2 (secondario). Lo stesso ordine è applicato anche alla configurazione scaricabile dalla sezione Server radius. Prima del 14 ottobre si può già aggiornare il firewall; l'ordine dei server di inoltro va impostato solo dopo averlo letto nella procedura.
Firewall: consentire il traffico in uscita verso 90.147.160.227 sulle porte UDP 1812 e 1813 (e le relative risposte).
Server di inoltro: configurare radius1.eduroam.it (90.147.160.227) e radius2.garr.net (193.206.158.71) come server di inoltro (home server in FreeRADIUS, remote RADIUS server in NPS), in fail-over: prima il primario, poi il secondario. Le richieste non vanno bilanciate tra i due server: una sessione EAP deve restare sempre sullo stesso server.
Rimuovere radius.garr.net dalla configurazione.
Riavviare il servizio RADIUS per applicare le modifiche.
Completare la procedura sul Self Service: verifica del primario, prova del secondario e conferma finale (vedi Self Service: la procedura guidata).

Esempi completi: FreeRADIUS (proxy.conf) e NPS (Remote RADIUS Server Groups).

Mai senza server secondario

Vanno configurati sempre entrambi i server nazionali. Dopo il 13 novembre un Resource Provider che non ha aggiunto radius1.eduroam.it resterà servito solo da radius2.garr.net, senza alcun server secondario; se non ha nemmeno radius2.garr.net, i suoi visitatori non potranno più autenticarsi.

Identity Provider¶

L'Identity Provider è l'ente che autentica i propri utenti, anche quando sono in visita presso altri enti. La migrazione si fa in due tempi: prima la configurazione dei server dell'ente, poi la verifica e la dichiarazione sul Self Service.

Da subito: configurazione dei server¶

Gli enti che aderiscono come Identity Provider dovranno:

Client RADIUS: su ogni server RADIUS che gestisce i realm dell'ente, aggiungere radius1.eduroam.it (90.147.160.227) tra i client, con lo stesso secret usato per radius2.garr.net.
Firewall: consentire il traffico in ingresso da 90.147.160.227 sulle porte UDP 1812 e 1813.
Riavviare il servizio RADIUS per caricare il nuovo client (in FreeRADIUS è necessario).
Mantenere radius2.garr.net tra i client: resta un server nazionale a tutti gli effetti. Lato Identity Provider i due server nazionali sono client equivalenti e non va impostato alcun ordine.
Non rimuovere radius.garr.net dai client prima del 13 novembre: fino allo spegnimento continua a inoltrare richieste ai server dell'ente. Dopo il 13 novembre andranno rimossi sia il client sia le regole firewall per 192.84.145.15.
Account di test IdP: sul Self Service, nella sezione Account di test, controllare che per ogni server IdP dell'ente esista un account di test valido (username e password) di uno dei realm gestiti da quel server, così come registrati nella sezione Server radius; crearlo o aggiornarlo se manca o se la password è cambiata. Si consiglia un account dedicato, senza privilegi e con password senza scadenza, perché viene usato anche per i controlli notturni.

Esempi completi: FreeRADIUS (clients.conf) e NPS (RADIUS Clients).

Poi: verifica e conferma sul Self Service¶

La verifica dei server IdP e la conferma della migrazione si fanno nella procedura guidata del Self Service: vedi Self Service: la procedura guidata.

Dopo la migrazione

Non è possibile annullare la migrazione dal Self Service: per qualsiasi necessità scrivere a eduroam@garr.it.
Per ogni server IdP deve restare almeno un account di test: il Self Service non permette di spostare su un altro realm l'ultimo account che copre un server. La password va tenuta aggiornata, perché l'account viene usato ogni notte per controllare che i server dell'ente rispondano a tutti i server nazionali.
In caso di aggiunta o sostituzione di un server RADIUS, su quel server vanno configurati entrambi i server nazionali come client prima di comunicarlo al GARR (eduroam@garr.it).

Enti sia Identity Provider sia Resource Provider¶

Gli enti con entrambi i ruoli seguono tutte e due le sezioni. Nella procedura guidata il passo Identity Provider si apre solo dopo aver completato il passo Service Provider, cioè con primario e secondario verificati o dichiarati su tutti i server dell'ente: conviene quindi aggiornare per primi i server di inoltro.

Se lo stesso server svolge entrambi i ruoli, radius1.eduroam.it deve comparire sia tra i client (parte Identity Provider) sia tra i server di inoltro (parte Resource Provider), con lo stesso secret.

radius.garr.net su un server con entrambi i ruoli

radius.garr.net va tolto subito dai server di inoltro (parte Resource Provider), ma va lasciato tra i client (parte Identity Provider) fino al 13 novembre.

Self Service: la procedura guidata¶

Nel menu del Self Service è presente la voce Migrazione a radius1. La voce apre una procedura guidata: ogni passo si apre solo quando il precedente è completo; ci si può fermare in qualsiasi momento e riprendere più tardi.

Introduzione: cosa cambia e cosa preparare.

Service Provider (solo per i Resource Provider): l'ordine assegnato all'ente e, per FreeRADIUS, l'estratto di proxy.conf già in quell'ordine. Sotto, una tabella con una riga per ogni server dell'ente, lo stato delle verifiche e le richieste ricevute da ciascun server nazionale nell'ultima ora. La tabella si aggiorna da sola e non serve premere nulla: le verifiche sono automatiche.

Configurare i server nell'ordine assegnato e riavviare.
Attendere che il primario risulti verificato: succede quando, nell'ultima ora, il server invia al primario più richieste che all'altro server nazionale. Contano solo le richieste successive all'ultima inviata a radius.garr.net. Tenendo aperta la pagina, se un server non invia richieste da qualche minuto il portale gliene manda una di prova (sotto il nome del server compare richiesta di prova alle HH:MM): il server la inoltra ai server nazionali nel proprio ordine e viene contata come le altre.
Solo dopo, fare la prova del secondario: il secondario riceve richieste solo quando il primario non risponde, quindi si mette per qualche minuto il secondario per primo. Appena risulta verificato, si rimette il primario per primo.
- FreeRADIUS: invertire le due righe home_server del pool in proxy.conf e riavviare; poi ripristinarle e riavviare di nuovo.
- NPS: nel gruppo di server remoti scambiare le priorità 1 e 2, poi ripristinarle.
Dichiarare solo i server che non si possono verificare: nella colonna Troppo poco traffico? il pulsante Dichiara apre una dichiarazione da spuntare e confermare, con cui l'ente dichiara che il server invia per primo al primario e ha il secondario configurato.

La richiesta di prova arriva solo ai server che accettano i server nazionali come client RADIUS. I server che fanno solo da Resource Provider di solito non li hanno tra i client: per loro la tabella indica non accetta richieste dai server nazionali. È normale e non va aggiunto nulla: si attende traffico reale oppure si usa Dichiara.

Cosa indica la tabella Service Provider

Nella tabella	Significato	Cosa fare
verificato (verde)	Il server invia le richieste a quel server nazionale come previsto.	Niente.
dichiarato (blu)	L'ente ha dichiarato la configurazione con Dichiara.	Niente.
in attesa di traffico (grigio, primario)	Nell'ultima ora non ci sono abbastanza richieste del server dopo il cambio di configurazione.	Tenere aperta la pagina: la richiesta di prova arriva entro una decina di minuti.
da verificare (grigio, secondario)	Il secondario non ha ancora ricevuto richieste.	Fare la prova del secondario, dopo la verifica del primario.
metti … per primo (arancione, sotto il nome del server)	Il server invia più richieste all'altro server nazionale: l'ordine configurato non è quello assegnato.	Correggere l'ordine dei server di inoltro e riavviare. Compare anche se la prova del secondario si fa prima della verifica del primario.
non accetta richieste dai server nazionali (arancione)	La richiesta di prova non ha avuto risposta.	Normale per i server solo Resource Provider: attendere traffico reale o premere Dichiara.
colonna radius.garr.net: ancora in uso (rosso)	Il server inoltra ancora richieste a radius.garr.net.	Rimuovere radius.garr.net dai server di inoltro e riavviare. Finché resta in uso, il primario non può risultare verificato.
colonna radius.garr.net: non più usato dalle HH:MM o non usato nell'ultima ora (verde)	Il server non inoltra più a radius.garr.net.	Niente.
Dati sul traffico non disponibili al momento, nuovo tentativo in corso.	Problema temporaneo lato GARR.	Attendere; se dura, scrivere a eduroam@garr.it.

I log dei server nazionali arrivano con qualche minuto di ritardo: dopo una modifica, attendere 5-10 minuti. Se un server non risulta mai verificato, controllare l'ordine e il firewall in uscita, poi scrivere a eduroam@garr.it indicando il nome del server, l'ora della modifica e uno screenshot della tabella. Va segnalato anche un server dell'ente che inoltra richieste ma non compare nella tabella.

Identity Provider (solo per gli Identity Provider): una tabella con una riga per ogni server IdP dell'ente e una colonna per ogni server nazionale (visto da radius1.eduroam.it, visto da radius2.garr.net). Ogni cella è l'esito di un'autenticazione completa con l'account di test, inviata al server dell'ente da quel server nazionale. Il pulsante Verifica ora avvia i controlli e la tabella si aggiorna da sola al termine. Dallo stesso passo si può aggiungere un account di test.

Cosa indica la tabella Identity Provider

Esito	Significato	Cosa fare
OK (verde)	Il server ha autenticato l'account di test.	Niente.
Fallito (rosso), solo nella colonna radius1.eduroam.it	Il server non risponde a radius1.eduroam.it (il motivo è indicato sotto l'etichetta).	Controllare il client RADIUS (IP e secret), il firewall in ingresso e il riavvio del servizio.
Fallito (rosso), solo nella colonna radius2.garr.net	Il server non risponde a radius2.garr.net (il motivo è indicato sotto l'etichetta).	Controllare il client RADIUS e il firewall per `193.206.158.71`.
Fallito (rosso), in tutte le colonne	L'account di test viene rifiutato o il server non risponde.	Controllare l'account di test, la sua password e il server RADIUS.
Test non possibile da questo FLR, riprova più tardi (arancione; FLR indica il server nazionale)	Il controllo non si è potuto fare per un problema dei server nazionali, non dell'ente.	Riprovare più tardi; se il problema persiste, scrivere a eduroam@garr.it.
non ancora testato (grigio)	Il controllo non è ancora stato fatto.	Premere Verifica ora.
nessun account di test copre questo server	Manca un account di test per un realm gestito da quel server.	Aggiungere l'account dal passo stesso o nella sezione Account di test.
Nessun server IdP definito nei tuoi realm	Ai realm dell'ente non è associato alcun server autoritativo.	Associare i server ai realm nella sezione Server radius, o scrivere a eduroam@garr.it.

Conferma: un riepilogo e le dichiarazioni sulla configurazione dei server, da spuntare (una chiede di aver rimesso il primario per primo dopo la prova del secondario), poi il pulsante Completa la migrazione.
- Per un ente solo Resource Provider la migrazione è completata subito: i server nazionali accettano già le richieste dei suoi server.
- Per un Identity Provider il Self Service ripete la verifica tramite tutti i server nazionali: la pagina mostra Migrazione dichiarata: verifica in corso tramite tutti i server nazionali e si aggiorna da sola al termine. Superata la verifica, la migrazione è effettiva e i server nazionali si aggiornano automaticamente entro circa dieci minuti: da quel momento radius1.eduroam.it invia le richieste direttamente ai server dell'ente. Se la verifica non riesce, gli utenti dell'ente continuano a essere serviti tramite radius2.garr.net, senza disservizi. La pagina mostra Migrazione dichiarata, ma l'ultima verifica non è andata a buon fine… con il pulsante Vai al passo Identity Provider: occorre correggere i server in rosso e premere di nuovo Verifica ora.

A migrazione completata, la voce Migrazione a radius1 mostra solo il messaggio Il tuo ente è configurato correttamente per i nuovi server nazionali, con il riepilogo.

Come verificare¶

La verifica principale è la procedura guidata (vedi sopra). In aggiunta:

Resource Provider:

dalla sezione Account di test è possibile generare un account di test RP e provarlo sulla rete eduroam dell'ente: la tabella delle autenticazioni di test indica il server nazionale da cui è passata ciascuna richiesta. È la verifica consigliata anche per chi usa NPS;
nei log del server RADIUS, le richieste inoltrate devono andare al primario assegnato e nessuna a radius.garr.net. Con FreeRADIUS e status_check = status-server, entrambi i server nazionali devono risultare attivi, perché rispondono ai controlli Status-Server: si può controllare con radmin -e "show home_server list" (serve il virtual server control-socket abilitato).

Identity Provider: nei log del server RADIUS devono arrivare richieste da 90.147.160.227. Rispondere ai pacchetti Status-Server non è obbligatorio.

Riepilogo¶

Firewall aggiornato per 90.147.160.227, UDP 1812 e 1813 (in uscita per i Resource Provider, in ingresso per gli Identity Provider).
Resource Provider: ordine dei server nazionali letto sul Self Service prima di modificare la configurazione.
Resource Provider: radius1.eduroam.it e radius2.garr.net in fail-over nell'ordine indicato dal Self Service, radius.garr.net rimosso, servizio riavviato.
Resource Provider: dopo la prova del secondario, primario rimesso per primo.
Identity Provider: radius1.eduroam.it tra i client di ogni server IdP, con lo stesso secret; radius2.garr.net mantenuto; radius.garr.net mantenuto fino al 13 novembre; servizio riavviato.
Identity Provider: un account di test valido per ogni server IdP sul Self Service.
Procedura guidata completata sul Self Service (per gli Identity Provider: migrazione effettiva).
Identity Provider, dopo il 13 novembre: client radius.garr.net e regole firewall per 192.84.145.15 rimossi.

FAQ¶

Il secret cambia?¶

No. Per radius1.eduroam.it si usa lo stesso secret già in uso con radius.garr.net e radius2.garr.net.

È possibile indicare i server per nome DNS invece che per IP?¶

Sì. FreeRADIUS e NPS però risolvono i nomi solo all'avvio: se l'indirizzo di un server nazionale cambiasse, andrebbero riavviati. Indicare l'indirizzo IP evita il problema.

Cosa succede agli enti che non aggiornano la configurazione entro il 13 novembre?¶

Resource Provider: se è configurato radius2.garr.net, i visitatori continueranno ad autenticarsi tramite radius2.garr.net, ma senza un server secondario. Se è configurato solo radius.garr.net, le autenticazioni dei visitatori smetteranno di funzionare.
Identity Provider: gli utenti dell'ente continueranno a essere serviti tramite radius2.garr.net, ma la migrazione resta necessaria e va completata il prima possibile.

Perché il Self Service indica radius1.eduroam.it come primario per il mio ente?¶

Per distribuire il traffico tra i due server nazionali: a ogni Resource Provider viene assegnato come primario radius2.garr.net o radius1.eduroam.it, in base al traffico già assegnato a ciascuno. I due server nazionali sono equivalenti. Chi aveva già configurato i propri server con un ordine diverso deve modificarlo come indicato dal Self Service: è l'unico modo per distribuire il traffico tra i due server.

radius2.garr.net va rimosso?¶

No. radius2.garr.net resta uno dei due server nazionali. In futuro cambierà nome in radius2.eduroam.it, mantenendo lo stesso indirizzo IP: il cambio sarà comunicato a parte e per ora non è richiesta alcuna azione.

Cosa cambia per gli enti che usano NPS?¶

Nulla nella sostanza: per gli Identity Provider si aggiunge un nuovo RADIUS Client, per i Resource Provider si aggiorna il Remote RADIUS Server Group. Vedi la guida NPS.

Enti con NAT o con più server RADIUS: cosa controllare?¶

Valgono le regole di sempre, descritte nella pagina Server radius: indirizzo pubblico senza asimmetria di traffico, un solo IP per ogni nome DNS, nessun bilanciamento attivo-attivo. Ogni server che parla con la federazione deve essere configurato verso entrambi i server nazionali.

È possibile annullare la migrazione?¶

Non dal Self Service. In caso di problemi dopo la migrazione, scrivere a eduroam@garr.it.

Il nuovo server supporta RadSec?¶

radius1.eduroam.it usa RadSec verso le altre federazioni, ma per i server degli enti, per ora, il collegamento resta RADIUS su UDP 1812 e 1813. Gli enti saranno informati quando sarà possibile collegarsi anche in RadSec.

A chi rivolgersi?¶

Per qualsiasi dubbio scrivere a eduroam@garr.it.