Configuring RADIUS Authentication for Guest and Staff WiFi Networks

Resumen Ejecutivo

En los entornos empresariales modernos, garantizar la seguridad de las redes inalámbricas es un requisito operativo crítico. Los métodos de seguridad heredados, como las claves previamente compartidas (PSK), introducen importantes vulnerabilidades de seguridad. Si un solo empleado abandona la organización, o si un invitado pone en peligro una contraseña compartida, toda la seguridad de la red se ve comprometida. Esta guía detalla cómo implementar el Servicio de autenticación de usuarios de acceso telefónico (RADIUS) para centralizar el control de acceso, aplicar políticas de seguridad granulares y segmentar el tráfico de invitados y del personal.

Al realizar la transición a una arquitectura RADIUS centralizada, las organizaciones pueden implementar la autenticación 802.1X para el personal - garantizando que cada dispositivo se autentique con credenciales únicas y revocables - al tiempo que utilizan Captive Portals seguros y la derivación de autenticación de direcciones MAC (MAB) para los usuarios invitados. Esta referencia técnica proporciona los planos arquitectónicos, los pasos de configuración y los marcos de resolución de problemas necesarios para desplegar una infraestructura de autenticación inalámbrica resistente y de nivel empresarial.

Análisis Técnico Detallado

El Marco AAA

RADIUS opera bajo el marco AAA, que define las fases principales del control de acceso:

1. Autenticación (Authentication): Verificación de la identidad del usuario o dispositivo que intenta conectarse a la red WiFi. Esto se consigue mediante credenciales, certificados digitales o tokens.
2. Autorización (Authorization): Determinación del nivel de acceso a la red concedido a la entidad autenticada. Esto incluye la asignación de VLANs específicas, la aplicación de listas de control de acceso (ACL) o la imposición de límites de ancho de banda.
3. Contabilidad (Accounting): Seguimiento del consumo de recursos de la red, incluida la duración de la sesión, los datos transferidos y las horas de inicio y cierre de sesión. Estos datos son fundamentales para la auditoría, el cumplimiento y la planificación de la red.
4. Auditoría (Auditing): Revisión de los datos de contabilidad recopilados para identificar anomalías, brechas de seguridad o infracciones de las políticas.

Componentes de la Arquitectura RADIUS

Un despliegue de RADIUS empresarial estándar consta de tres componentes principales:

• El Suplicante (Supplicant): El software cliente que se ejecuta en el dispositivo del usuario (por ejemplo, ordenador portátil, smartphone) que solicita acceso a la red y proporciona credenciales o certificados.
• El Autenticador (Servidor de Acceso a la Red / NAS): El dispositivo de red físico o virtual - normalmente un controlador de LAN inalámbrica (WLC) o un punto de acceso (AP) - que controla el acceso físico a la red. El autenticador no decide si las credenciales son válidas; actúa como un proxy, empaquetando la solicitud de autenticación en paquetes RADIUS y reenviándolos al servidor RADIUS.
• El Servidor de Autenticación: El servidor central (como FreeRADIUS, Cisco ISE, Aruba ClearPass o el motor RADIUS basado en la nube de Purple) que valida las credenciales frente a un almacén de identidades (por ejemplo, Active Directory, LDAP o un proveedor de identidades en la nube) y devuelve un mensaje Access-Accept o Access-Reject al autenticador.

Métodos EAP para el WiFi del Personal

Para las redes de personal, se utiliza el Protocolo de Autenticación Extensible (EAP) dentro del marco 802.1X para negociar la autenticación. Los dos métodos EAP empresariales más comunes son:

• PEAP-MSCHAPv2 (EAP protegido): Este método establece un túnel TLS seguro y cifrado entre el suplicante y el servidor RADIUS mediante el certificado digital del servidor. Dentro de este túnel seguro, el nombre de usuario y la contraseña del usuario se autentican mediante el protocolo MSCHAPv2. Es muy popular por su facilidad de despliegue, ya que no requiere la instalación de certificados en los dispositivos cliente.
• EAP-TLS: El método de autenticación más seguro disponible. Requiere autenticación mutua, lo que significa que tanto el servidor RADIUS como el dispositivo cliente deben presentar certificados digitales válidos. Esto elimina los ataques basados en contraseñas, pero requiere una Infraestructura de Clave Pública (PKI) robusta para gestionar la distribución y revocación de certificados.

Flujo de autenticación de WiFi de invitados

Las redes de invitados suelen utilizar un flujo diferente para equilibrar la seguridad con la comodidad del usuario. En lugar de 802.1X, las redes de invitados a menudo utilizan un SSID abierto combinado con un Captive Portal.

Cuando un invitado se conecta, el autenticador utiliza el bypass de autenticación MAC (MAB) o una política de redirección para enviar al usuario a un Captive Portal alojado por una plataforma como Purple. Una vez que el usuario completa el proceso de registro o inicio de sesión en el portal, la plataforma del portal se comunica con el servidor RADIUS, que luego envía un mensaje de Access-Accept al WLC/AP, autorizando la dirección MAC del invitado para el acceso a la red durante una duración de sesión específica.

Transporte seguro: RadSec

El tráfico RADIUS tradicional se envía a través de UDP (puertos 1812 para autenticación y 1813 para contabilidad) en texto claro, con solo el campo de contraseña del usuario ofuscado mediante un secreto compartido. Esto introduce riesgos de seguridad al enrutar el tráfico de autenticación a través de conexiones WAN públicas o Internet.

Para mitigar esto, se debe implementar RadSec (RADIUS sobre TLS). RadSec envuelve los paquetes RADIUS estándar dentro de un túnel TLS seguro (normalmente utilizando el puerto TCP 2083). Esto garantiza que todos los datos de autenticación y contabilidad, incluidos los nombres de usuario, las direcciones MAC y los atributos de la sesión, estén completamente cifrados durante el tránsito entre la red local y los servidores RADIUS basados en la nube.

Guía de implementación

Paso 1: Definir los clientes RADIUS en el servidor

Antes de que cualquier dispositivo de red pueda comunicarse con el servidor RADIUS, debe estar registrado como cliente.

1. Inicie sesión en la consola de administración de su servidor RADIUS.
2. Vaya a la sección Clientes o Dispositivos de red.
3. Añada una nueva entrada de cliente para cada WLC o AP.
4. Introduzca la dirección IP o la subred del autenticador.
5. Genere un secreto compartido de alta entropía. Este secreto debe tener al menos 22 caracteres de longitud y contener una mezcla de letras mayúsculas, letras minúsculas, números y caracteres especiales. Evite el uso de palabras sencillas de diccionario.

Paso 2: Configurar el controlador de LAN inalámbrica (WLC) / puntos de acceso

Configure su hardware inalámbrico para que apunte al servidor RADIUS para la autenticación y la contabilidad (accounting).

1. Inicie sesión en la interfaz de gestión de su WLC o AP.
2. Vaya a Security > AAA > RADIUS > Authentication.
3. Añada un nuevo servidor de autenticación RADIUS:
   • Server IP Address: Introduzca la dirección IP de su servidor RADIUS principal.
   • Shared Secret: Introduzca el secreto compartido exacto configurado en el paso 1.
   • Port: 1812 (o 2083 si utiliza RadSec).
   • Timeout: Establézcalo en 5 segundos para tener en cuenta la latencia de la red.
   • Retry Count: Establézcalo en 3.
4. Vaya a RADIUS Accounting y añada una nueva entrada de servidor utilizando el puerto 1813 (o 2083 para RadSec).
5. Repita estos pasos para añadir un servidor RADIUS secundario (de respaldo) para garantizar la alta disponibilidad.

Paso 3: Configurar el SSID del personal (802.1X)

1. Cree un nuevo SSID llamado Staff_Enterprise.
2. Establezca el tipo de seguridad en WPA3-Enterprise (o modo de transición WPA2/WPA3-Enterprise si se requiere compatibilidad con dispositivos heredados).
3. Seleccione 802.1X como protocolo de gestión de claves.
4. Asocie el SSID con los servidores de autenticación y contabilidad RADIUS configurados en el paso 2.
5. Asocie el SSID a la VLAN segura del personal (por ejemplo, VLAN 10).

Paso 4: Configurar el SSID de invitados con Captive Portal

1. Cree un nuevo SSID llamado Guest_WiFi.
2. Establezca el tipo de seguridad en Open (o Enhanced Open / OWE para cifrado inalámbrico oportunista).
3. Habilite MAC Filtering o MAC Authentication y apunte al servidor RADIUS.
4. Habilite la redirección de Captive Portal / Web Portal.
5. Configure la URL de redirección para que apunte a la página de inicio de sesión del Captive Portal de Purple.
6. Configure el Walled Garden (ACL de preautenticación) para permitir el tráfico al dominio del Captive Portal, a los servidores DNS y a los recursos CDN necesarios antes de que se complete la autenticación.
7. Asocie el SSID a una VLAN de invitados aislada (por ejemplo, VLAN 20).

Mejores prácticas

Alta disponibilidad y redundancia

Despliegue siempre servidores RADIUS en pares redundantes (primario y secundario). Asegúrese de que estos servidores estén ubicados en hardware físico diferente o en diferentes zonas de disponibilidad de la nube. Configure sus WLC para realizar una conmutación por error sin problemas al servidor secundario si el servidor primario deja de responder. Implemente el equilibrio de carga cuando sea apropiado para distribuir el tráfico de autenticación de manera uniforme.

Gestión de certificados

Para los despliegues PEAP y EAP-TLS, la validez y la confianza del certificado del servidor RADIUS son fundamentales.

• Utilice un certificado emitido por una Autoridad de Certificación (CA) pública de confianza para los portales de invitados y los despliegues PEAP para evitar avisos de advertencia de certificado en los dispositivos de los usuarios.
• Para EAP-TLS, establezca una CA privada interna dedicada para emitir y gestionar certificados de cliente y servidor.
• Supervise de cerca las fechas de caducidad de los certificados e implemente procesos de renovación automatizados (como SCEP o ACME) para evitar fallos repentinos de autenticación en toda la red.

Segmentación de VLAN

Segmente estrictamente el tráfico de su red utilizando VLANs. El tráfico de invitados debe estar completamente aislado de los recursos corporativos. Implemente reglas de firewall en el switch principal o gateway para evitar el enrutamiento inter-VLAN entre la VLAN de invitados y las VLANs de empleados/gestión. Permita únicamente que el tráfico de invitados se enrute directamente a Internet.

Tiempo de espera de sesión e intervalos de contabilidad

Configure tiempos de espera de sesión adecuados para evitar que las sesiones inactivas consuman direcciones IP y recursos de red.

• Para redes de empleados, establezca un tiempo de espera de sesión de 8 a 12 horas, alineándose con un turno de trabajo estándar.
• Para redes de invitados, establezca un tiempo de espera de sesión más corto, de 2 a 4 horas.
• Configure el intervalo de actualización intermedia (interim-update) de contabilidad RADIUS a 10 o 15 minutos. Esto garantiza que el servidor RADIUS reciba actualizaciones periódicas sobre la conectividad del dispositivo y el uso de datos sin saturar el servidor con paquetes de contabilidad.

Resolución de problemas y mitigación de riesgos

Fallos comunes y soluciones

1. Discordancia en el secreto compartido

• Síntoma: Los logs del WLC muestran "RADIUS server not responding" (el servidor RADIUS no responde) y los logs del servidor RADIUS muestran "Packet dropped - invalid authenticator" (paquete descartado: autenticador no válido) o "Bad authenticator in request" (autenticador incorrecto en la solicitud).
• Causa principal: El secreto compartido configurado en el WLC no coincide con el secreto configurado en el servidor RADIUS.
• Mitigación: Vuelva a introducir el secreto compartido en ambos dispositivos, asegurándose de que no se hayan copiado espacios finales ni caracteres ocultos.

2. Problemas de confianza con los certificados

• Síntoma: Los dispositivos de los clientes no logran conectarse al SSID de empleados, mostrando errores como "Untrusted Server Certificate" (certificado de servidor no confiable) o "Connection Rejected" (conexión rechazada).
• Causa principal: El dispositivo del cliente no confía en la CA que firmó el certificado del servidor RADIUS, o el certificado ha caducado.
• Mitigación: Asegúrese de que los certificados de CA raíz e intermediarios estén instalados en el almacén de entidades de certificación raíz de confianza del dispositivo cliente. Para dispositivos gestionados por la empresa, distribuya estos certificados mediante MDM o directivas de grupo.

3. Bloqueos de firewall

• Síntoma: El servidor RADIUS no recibe tráfico del WLC, a pesar de que se ha verificado el enrutamiento.
• Causa principal: Los firewalls intermedios están bloqueando los puertos UDP 1812 y 1813.
• Mitigación: Cree reglas de firewall explícitas para permitir UDP 1812 y 1813 (o TCP 2083 para RadSec) entre la IP de gestión del WLC y la IP del servidor RADIUS.

4. Tiempos de espera provocados por la latencia

• Síntoma: Fallos de autenticación intermitentes, especialmente durante las horas de mayor actividad o al utilizar servidores RADIUS basados en la nube.
• Causa principal: La latencia de la red supera el umbral de tiempo de espera de RADIUS del WLC, lo que hace que el WLC asuma que el servidor está fuera de línea.
• Mitigación: Aumente el ajuste de tiempo de espera de RADIUS del WLC del valor predeterminado (normalmente 2 segundos) a 5 o 7 segundos. Optimice el enrutamiento WAN o implemente proxies RADIUS locales para almacenar en caché las solicitudes de autenticación.

ROI e impacto empresarial

La transición a un modelo de autenticación RADIUS centralizado ofrece un valor empresarial medible en varias áreas clave:

• Menor sobrecarga operativa: elimina el esfuerzo manual requerido para cambiar las contraseñas de WiFi compartidas cuando el personal deja la organización. Las cuentas de usuario se pueden desactivar instantáneamente en Active Directory o en su proveedor de identidad, revocando inmediatamente su acceso a la red.
• Mejora de la postura de seguridad: mitiga el riesgo de brechas de datos causadas por el robo de credenciales o el acceso no autorizado a la red. Al aplicar 802.1X y la autenticación basada en certificados, las organizaciones garantizan que solo los dispositivos autorizados y conformes puedan acceder a los recursos corporativos confidenciales.
• Operaciones de recintos optimizadas: al integrar el WiFi de invitados con la plataforma RADIUS en la nube de Purple, los operadores de los recintos capturan valiosos datos demográficos y de comportamiento. Estos datos se pueden utilizar para diseñar campañas de marketing personalizadas, mejorar la interacción con los visitantes y optimizar el uso del espacio físico basándose en análisis de afluencia.
• Cumplimiento normativo: los registros de contabilidad de RADIUS centralizados proporcionan una pista de auditoría del acceso a la red, lo que ayuda a las organizaciones a cumplir con los requisitos de conformidad de estándares como PCI-DSS, ISO 27001 y GDPR.