¿Qué es la autenticación RADIUS? Cómo funciona y por qué
Published
La autenticación RADIUS utiliza un servidor central para decidir si un usuario o dispositivo puede unirse a una red y qué puede hacer una vez dentro, de modo que un punto de acceso consulta a ese servidor en lugar de comprobar su propia lista de contraseñas. Pero si un inicio de sesión tiene éxito, ¿quién decide si ese dispositivo puede acceder a los sistemas del personal, usar solo el acceso a internet para invitados o permanecer conectado indefinidamente?
Esa es la parte que pasa por alto una simple explicación basada en la comprobación de contraseñas. RADIUS es también un canal de directivas: el equipo de red recibe instrucciones sobre cómo tratar la conexión, no solo sobre si debe permitirla.
Índice de contenidos
- Qué significa RADIUS y por qué se creó
- Cómo funciona un inicio de sesión RADIUS paso a paso
- EAP-TLS y certificados para una identidad de dispositivo sólida
- Atributos de RADIUS que determinan el acceso a la red
- Casos de uso habituales de RADIUS y qué determina cada uno
- Límites y equívocos que deben evitarse
- Determine si RADIUS se adapta a su red
Qué significa RADIUS y por qué se creó
RADIUS significa Remote Authentication Dial-In User Service. Técnicamente, es un protocolo, un conjunto compartido de reglas para intercambiar mensajes, en lugar del propio servidor. Un servidor RADIUS implementa esas reglas y toma decisiones de acceso.
Imagine una organización con puntos de acceso inalámbricos, conmutadores de oficina y una pasarela de acceso remoto. Si cada dispositivo gestionara sus propias credenciales, los administradores tendrían que actualizar listas independientes cada vez que alguien se incorporara o dejara la empresa. Centralizar estas decisiones ofrece al equipamiento un lugar común al que consultar.
Ese problema es anterior al WiFi empresarial. Según la historia de RADIUS, Livingston Enterprises desarrolló el protocolo en 1991 en respuesta a una solicitud de Merit Network relacionada con el control de acceso a NSFNET, una de las primeras redes troncales de internet. Los servidores de acceso telefónico podían consultar a un servidor de autenticación compartido en lugar de mantener credenciales independientes.
La lista de invitados compartida
Piense en un recinto con varias entradas. Cada puerta tiene un personal de seguridad, pero todos consultan la misma lista de invitados. La lista también puede distinguir la entrada ordinaria del acceso al camerino, mientras que el recinto registra quién ha entrado y salido.
RADIUS separa esas responsabilidades en AAA:
- La autenticación establece quién es el usuario o dispositivo.
- La autorización determina qué servicios y recursos de red puede utilizar.
- La contabilidad (accounting) registra la actividad de la sesión, incluidos los eventos de conexión y desconexión.
La ilustración muestra la diferencia entre un dispositivo que solicita acceso y el servidor que decide si lo permite.
El equipo que aplica el resultado se denomina Servidor de acceso a la red, o NAS. A pesar de su nombre, puede ser un punto de acceso, un conmutador, un controlador inalámbrico o una pasarela de red privada virtual.
Para los equipos que coordinan la conectividad física y los controles de identidad, la implementación y mantenimiento de banda ancha de Southern Tier Resources es un recurso de infraestructura relevante. Mantenga las responsabilidades diferenciadas: instalar y mantener la conectividad no es la misma tarea que definir quién puede utilizarla.
RADIUS sigue siendo fundamental en el WiFi corporativo, el acceso remoto y la seguridad de puertos cableados porque los administradores pueden separar las decisiones de identidad del equipo que las aplica, al tiempo que utilizan un protocolo común entre diferentes fabricantes.
Cómo funciona un inicio de sesión en RADIUS, paso a paso
Comience por separar a los participantes:
- Punto final o suplicante hace referencia al portátil, teléfono o software de autenticación que solicita acceso.
- Autenticador hace referencia al NAS que controla la conexión.
- Servidor de autenticación hace referencia al servidor RADIUS que evalúa la identidad y la política.
Existe una trampa de nomenclatura en este punto. En la documentación del protocolo, el RADIUS cliente suele ser el NAS, no el portátil del empleado. El portátil es el extremo que intenta conectarse.
El diagrama ofrece una vista simplificada de esas funciones.
Siga la solicitud y la respuesta
Para despliegues tradicionales basados en UDP, la referencia de Wireshark RADIUS identifica el puerto UDP 1812 para autenticación y autorización y el puerto UDP 1813 para contabilidad. UDP, o protocolo de datagramas de usuario, transmite mensajes individuales de red sin establecer una conexión de transporte persistente.
El punto de finalización solicita acceso. Un ordenador portátil se conecta a la red WiFi empresarial, por ejemplo, y el autenticador inicia el intercambio de identidades. El acceso ordinario a la red permanece controlado mientras avanza la autenticación.
El NAS envía una solicitud Access-Request. Reenvía la información de autenticación y el contexto de la conexión al punto de finalización de autenticación de RADIUS. La solicitud identifica tanto a la persona o dispositivo que solicita el acceso como al equipo de red que gestiona la conexión.
El servidor comprueba las evidencias. Según el método de autenticación, puede consultar un directorio, validar la confianza de certificados o utilizar un servicio de tokens. Un directorio es una base de datos de identidades, no necesariamente el propio servidor de RADIUS.
Un desafío continúa la conversación. Un mensaje Access-Challenge solicita otro intercambio de autenticación cuando el método lo requiere. No significa automáticamente que una persona deba escribir un código adicional.
El servidor devuelve una decisión. Access-Accept permite el acceso y puede incluir campos de directivas. Access-Reject deniega el intento.
El autenticador aplica la respuesta. Abre la conexión controlada y aplica las instrucciones compatibles, como la ubicación de la segmentación de red. En este flujo, el NAS aplica la decisión del servidor en lugar de aprobar la identidad de forma independiente.
El registro de contabilidad registra la sesión. Mensajes independientes notifican el inicio de la sesión, las actualizaciones intermedias y los eventos de parada. Estos registros ayudan a los administradores a distinguir un inicio de sesión correcto de una conexión que ha permanecido activa.
Regla de resolución de problemas: busque el último intercambio correcto antes de cambiar las credenciales. Una solicitud que nunca llega al servidor es un problema distinto a una identidad rechazada.
Utilice el filtro de visualización radius de Wireshark o el registro de autenticación del NAS para seguir la secuencia. Concatene la solicitud, la respuesta y el contexto de la sesión; compruebe si el NAS ha aplicado la directiva devuelta en lugar de detenerse en un mensaje de aceptación.
Para ver un recorrido visual del intercambio, consulte este vídeo adjunto.
EAP-TLS y certificados para una identidad de dispositivo sólida
Protocolo de autenticación extensible, o EAP, es un marco de trabajo para llevar a cabo una conversación de autenticación. En redes WiFi empresariales WiFi y 802.1X cableadas, el estándar de control de acceso basado en puertos, el autenticador retransmite esa conversación al servidor dentro de los atributos RADIUS EAP-Message.
El punto de acceso no necesita implementar por sí mismo cada método de autenticación. Su función es retransmitir el intercambio y aplicar el resultado.
EAP-TLS utiliza Transport Layer Security con certificados para la autenticación mutua. El dispositivo demuestra la posesión de la clave privada de su certificado, mientras que también valida el servidor. Las especificaciones EAP del RFC Editor describen la autenticación basada en certificados y cómo la identidad autenticada puede fundamentar la autorización y la contabilidad.
El diagrama muestra el punto final, el punto de acceso y el servidor de autenticación que intervienen en ese intercambio.
Los certificados necesitan un propietario
Un certificado vincula una identidad a una clave criptográfica pública. La clave privada correspondiente debe permanecer protegida; copiar solo un archivo de certificado no debería ser suficiente para suplantar al dispositivo.
A diferencia del WiFi de contraseña compartida, EAP-TLS no requiere una contraseña común para el personal. Sin embargo, sí necesita una infraestructura de clave pública gestionada, o PKI, que emita certificados y mantenga la confianza.
Incorpore el ciclo de vida al despliegue:
- Emita certificados de forma automática. Utilice la gestión de dispositivos móviles, o MDM, con el Protocolo de inscripción de certificados simple, SCEP, o un conector de inscripción compatible.
- Instale el certificado y el perfil de red juntos para que los dispositivos sepan en qué identidad de servidor confiar.
- Renueve antes del vencimiento, incluso en el caso de los dispositivos que pasan largos períodos fuera de la oficina.
- Revoque las credenciales tras una pérdida, retirada o cambio de directiva de acceso, y asegúrese de que el servicio de autenticación compruebe la revocación.
- Mantenga el almacén de confianza, la lista del dispositivo de autoridades de certificación de confianza y la configuración de validación del servidor.
Para una alternativa basada en contraseña, compare EAP-TLS y PEAP antes de elegir un método de incorporación.
Los certificados caducados pueden causar interrupciones en el servicio. La asignación incorrecta del Subject Alternative Name del certificado, que es un campo de identidad, puede asociar un dispositivo con la política equivocada. Un servidor inaccesible o una regla de contingencia demasiado permisiva pueden provocar fallos de funcionamiento o accesos no deseados.
Una identidad de dispositivo sólida depende de la gestión del ciclo de vida, no solo de seleccionar EAP-TLS en un menú de configuración.
atributos de RADIUS que determinan el acceso a la red
Los atributos de ubicación de VLAN muestran por qué RADIUS es más que una verificación de inicio de sesión. Una red de área local virtual, o VLAN, es un segmento lógico de red: el personal y los invitados pueden utilizar la misma infraestructura de acceso mientras reciben accesos de red diferentes.
Los atributos son campos etiquetados dentro de los mensajes RADIUS. Transportan datos de entrada de autenticación, contexto de conexión y resultados de autorización; la especificación RADIUS define el mecanismo de atributos extensibles que posibilita dichos intercambios de políticas.
Atributos clave de RADIUS y qué controlan
Estos son valores de configuración meramente ilustrativos, no predeterminados obligatorios. El ejemplo de sesión de invitado expresa la regla de tiempo de espera agotado en lugar de prescribir una duración universal.
| Atributo | Lo que transmite | Valor de ejemplo | Efecto en el acceso |
|---|---|---|---|
| User-Name | Identidad presentada | jsmith@example.com | Identifica de quién se aplica la directiva |
| EAP-Message | Paquetes del intercambio de autenticación | Datos de la negociación EAP-TLS | Transmite la conversación de autenticación |
| Message-Authenticator | Comprobación de integridad de paquetes | Valor HMAC | Ayuda a rechazar respuestas falsificadas cuando se requiere y valida |
| Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID | Asignación de VLAN | VLAN, Ethernet, identificador de VLAN del personal | Coloca el dispositivo en la VLAN del personal configurada |
| Session-Timeout | Duración máxima de la sesión en segundos | Duración de la sesión de invitado convertida a segundos | Finaliza la sesión de invitado ilustrativa de ocho horas |
| Filter-Id | Nombre de una directiva o filtro local del dispositivo | guest-limited | Selecciona las restricciones configuradas en el dispositivo de aplicación |
| Calling-Station-Id | Dirección MAC del cliente | AA:BB:CC:DD:EE:FF | Asocia la sesión con una dirección de dispositivo notificada |
| NAS-IP-Address o NAS-Identifier | Equipo de red solicitante | ap-floor2 como NAS-Identifier | Proporciona contexto para las reglas específicas del sitio |
| Acct-Session-Id | Identificador de sesión de contabilidad | 1A2B3C4D | Vincule registros de inicio, intermedios y de parada |
HMAC significa código de autenticación de mensajes basado en hash, una comprobación de integridad mediante clave. No sustituye al cifrado del transporte.
Al leer esta tabla, hay que tener en cuenta varias distinciones importantes. User-Name identifica la identidad declarada, pero el método de autenticación proporciona la prueba. Calling-Station-Id proporciona el contexto del dispositivo, pero la dirección de hardware notificada no es, por sí sola, una prueba sólida de identidad.
Para la ubicación de VLAN, envíe la combinación completa de atributos de túnel esperada por el equipo. La VLAN de destino ya debe existir y ser accesible a través de las rutas de red pertinentes; recibir su identificador no crea el segmento.
Filter-Id nombra una directiva, en lugar de contener necesariamente las restricciones en sí. Una limitación de ancho de banda solo se aplica si el equipo que la ejecuta admite y mapea correctamente dicha directiva.
Un mensaje Access-Accept no es prueba de que se hayan aplicado las restricciones previstas. Verifique en el NAS el comportamiento resultante de la VLAN, el filtro y la sesión.
El registro de actividad (Accounting) añade la pista de auditoría. Hacer coincidir un identificador de sesión entre eventos de conexión ayuda a los investigadores a distinguir visitas independientes de una misma identidad.
Pruebe las definiciones del NAS, los secretos compartidos, los reintentos y la entrega de contabilidad junto con los atributos. Una comprobación de identidad satisfactoria con campos de autorización que faltan o registros incompletos ofrece a los administradores mucho menos control del que sugiere el resultado del inicio de sesión.
Casos de uso habituales de RADIUS y qué decide cada uno
Un servicio RADIUS compartido puede admitir diferentes implementaciones, siempre que los administradores definan el método de autenticación y la directiva adecuados para cada una.
Implementaciones habituales de RADIUS y lo que determinan
| Caso de uso | Dispositivo de aplicación | Lo que decide RADIUS | Método habitual |
|---|---|---|---|
| WiFi para empleadosWiFi | Punto de acceso o controlador | Admite el dispositivo y selecciona la VLAN para empleados | EAP-TLS o PEAP-MSCHAPv2 |
| WiFi para invitadosWiFi | Punto de acceso con portal cautivo | Concede acceso tras iniciar sesión y aplica límites de sesión | Inicio de sesión web o perfil de Passpoint/OpenRoaming |
| Acceso VPN remoto | Concentrador VPN | Verifica al usuario y asigna una directiva de grupo o un grupo de direcciones | Contraseña con código de un solo uso o EAP |
| Puerto de conmutador cableado | Conmutador de red | Abre el puerto para dispositivos aprobados y asigna una VLAN | EAP-TLS, o omisión de autenticación MAC para dispositivos sin suplicante |
| Administración de dispositivos de red | Inicio de sesión en enrutador o conmutador | Confirma los privilegios de administrador y admite la contabilidad; los controles a nivel de comando requieren compatibilidad explícita con la plataforma | RADIUS o TACACS+ con una cuenta de directorio |
PEAP-MSCHAPv2 es una opción basada en contraseña: Protected EAP crea un túnel TLS alrededor del método interno de autenticación por contraseña. Requiere una validación cuidadosa del certificado del servidor y suele ser una opción de transición cuando no hay certificados de cliente implementados.
Los métodos de invitados resuelven un problema diferente. Un portal cautivo presenta una página web de inicio de sesión, mientras que Passpoint y OpenRoaming utilizan perfiles compatibles y acuerdos de identidad para el descubrimiento de redes y la autenticación. Ninguno de los dos debería implicar un acceso a nivel de personal.
Omisión de autenticación MAC, o MAB, comprueba la dirección de Control de Acceso al Medio declarada por un dispositivo cuando este no puede ejecutar un suplicante. Dado que las direcciones se pueden clonar, ubique estos dispositivos en segmentos restringidos en lugar de tratar esta comprobación como algo equivalente a la autenticación por certificado.
Acceso a la red frente a acceso de administrador
TACACS+, siglas de Terminal Access Controller Access-Control System Plus, es otro protocolo AAA utilizado comúnmente para la administración de equipos. Separa la autenticación, la autorización y la contabilidad, lo que resulta adecuado para flujos de trabajo detallados de permisos administrativos.
RADIUS suele devolver la autenticación y la autorización conjuntamente. El RADIUS tradicional no cifra todo el paquete, mientras que TACACS+ protege el cuerpo de su paquete; ninguna de las dos diferencias elimina la necesidad de un transporte seguro y una configuración sólida.
Comience con el caso de uso en el que el acceso individual es lo más importante. Para redes de personal distribuido, una migración multisede de contraseñas compartidas a autenticación empresarial debe incluir la preparación de los puntos finales, la asignación de directivas y una ruta de reversión comprobada.
Límites y equívocos que deben evitarse
El hecho de que un atacante cambie Access-Reject por Access-Accept pone de manifiesto la debilidad de considerar automáticamente seguro cualquier servicio de autenticación centralizado. Las RADIUSindicaciones de seguridad de JumpCloud describen cómo un atacante interceptor puede explotar las implementaciones heredadas aplicables cuando no se fuerza la validación de Message-Authenticator, el riesgo asociado con Blast-RADIUS.
El RADIUS tradicional utiliza habitualmente UDP y mecanismos antiguos basados en MD5. La solidez de las credenciales, la integridad de la respuesta y la confidencialidad del transporte son aspectos independientes: mejorar uno no soluciona automáticamente los demás.
Proteja el intercambio de directivas
- Exija la validación de Message-Authenticator para el tráfico relevante de acuerdo con las indicaciones actuales del proveedor. Confirme que los valores faltantes o no válidos provoquen el rechazo.
- Utilice RADIUS sobre TLS, también denominado RadSec, donde sea compatible, para proteger el intercambio entre el servidor y el NAS.
- Rotar secretos compartidos y proteger su almacenamiento, o bien utilizar la confianza de transporte basada en certificados cuando el equipo lo admita.
- Aplique parches en servidores, switches, controladores y puntos de acceso. Pruebe la interoperabilidad tras cambiar los requisitos de validación.
Punto de control de seguridad: Compruebe lo que el NAS rechaza, no solo lo que envía el servidor.
RADIUS tampoco proporciona autenticación multifactor, o MFA, por sí mismo. Un proveedor de identidad, un flujo de trabajo de código de un solo uso u otro mecanismo integrado proporcionan factores adicionales; el borrador de revisión de la IETF RADIUS analiza por qué el protocolo y las suposiciones operativas siguen siendo importantes en relación con estas integraciones.
Un certificado de dispositivo por sí solo no garantiza que una persona haya completado la autenticación MFA. La autenticación del dispositivo establece qué dispositivo con credenciales se está conectando; la MFA del usuario aporta pruebas adicionales sobre la persona.
Por último, desactivar una identidad no finaliza universalmente una conexión ya activa. La reautenticación, la finalización de la sesión o la función compatible de Cambio de autorización, conocida como CoA, deben hacer cumplir ese resultado.
Trate el control de acceso WiFi como un sistema operativo: la revocación, los registros, la disponibilidad del servidor y el comportamiento de alternancia en caso de fallo requieren pruebas sistemáticas en las distintas ubicaciones.
Decida si RADIUS se adapta a su red
RADIUS es adecuado cuando el acceso debe regirse por identidades individuales y políticas de grupo, en lugar de por la posesión de una contraseña compartida. Una red pequeña e aislada puede no necesitar esta infraestructura adicional, pero la gestión de dispositivos, la rotación de personal y la asignación de permisos diferenciados para invitados o contratistas son razones de peso para considerarla.
Elija en función de los controles que necesite, no del número de puntos de acceso. Una ubicación modesta con sistemas de personal confidenciales puede requerir decisiones de acceso más estrictas que una red mucho más grande exclusiva para invitados.
Elabore un plan de despliegue viable
- Mapee los grupos de acceso. Registre a qué deben acceder el personal, los invitados, los contratistas y los dispositivos desatendidos.
- Compruebe la compatibilidad del equipo. Confirme los atributos RADIUS compatibles, la autenticación empresarial, el transporte protegido y el comportamiento de la contabilidad.
- Elija las rutas de incorporación. Utilice el acceso basado en certificados para puntos finales gestionados y un portal o perfil de roaming adecuado para los invitados.
- Asigne la propiedad de los certificados. Indique el equipo responsable del registro, la renovación, la configuración de confianza y la gestión de dispositivos perdidos.
- Defina el comportamiento ante fallos. Decida si un servicio de autenticación no disponible debe bloquear el acceso o permitir una alternativa estrictamente limitada.
- Pruebe antes de ampliar. Incluya identidades rechazadas, servidores no disponibles, cambios de directivas y registros de contabilidad incompletos.
Un servicio gestionado es una alternativa a mantener los servidores de autenticación por su cuenta. Nuestro Cloud RADIUS en Purple Access envía los dispositivos a la red abierta, segura o xPSK según la identidad, cada uno en su propia VLAN, y rechaza a los empleados salientes cuya cuenta esté desactivada. Nuestro cloud RADIUS incluye un SLA de tiempo de actividad del 99,9 % en el contrato.
Para un despliegue en hostelería, el personal de limpieza, recepción y operaciones puede autenticarse utilizando certificados de EAP-TLS entregados por MDM a través de SCEP, recibir la ubicación de VLAN por grupo de directorio y perder el acceso cuando se desactive su cuenta.
Comience con un sitio representativo. Confirme sus grupos, tipos de dispositivos, capacidades de aplicación y pruebas de fallos antes de extender la configuración a toda la infraestructura.
Purple Access combina un Cloud gestionado RADIUS, autenticación del personal basada en certificados y políticas de VLAN basadas en la identidad sobre sus puntos de acceso existentes. Visite Purple Access para analizar sus grupos de usuarios, la incorporación de dispositivos y un plan de despliegue práctico para su primera sede.
