Configuración de la autenticación RADIUS para redes WiFi de invitados y personal

Resumen ejecutivo

En los entornos empresariales modernos, proteger las redes inalámbricas es un requisito operativo crítico. Los métodos de seguridad heredados, como las claves previamente compartidas (PSK), introducen vulnerabilidades de seguridad significativas. Si un solo empleado deja la organización, o si un invitado compromete una contraseña compartida, toda la seguridad de la red se ve comprometida. Esta guía detalla cómo implementar el servicio de usuario de marcación de autenticación remota (RADIUS) para centralizar el control de acceso, aplicar políticas de seguridad granulares y segmentar el tráfico de invitados y del personal.

Al realizar la transición a una arquitectura RADIUS centralizada, las organizaciones pueden implementar la autenticación 802.1X para el personal - garantizando que cada dispositivo se autentique con credenciales únicas y revocables - al tiempo que utilizan Captive Portals seguros y la derivación de autenticación MAC (MAB) para los usuarios invitados. Esta referencia técnica proporciona los planos arquitectónicos, los pasos de configuración y los marcos de resolución de problemas necesarios para desplegar una infraestructura de autenticación WiFi inalámbrica resistente y de nivel empresarial.

Análisis técnico profundo

El marco AAA

RADIUS opera bajo el marco AAA, que define las fases principales del control de acceso:

1. Autenticación: verificar la identidad del usuario o dispositivo que intenta conectarse a la red WiFi. Esto se logra mediante credenciales, certificados digitales o tokens.
2. Autorización: determinar el nivel de acceso a la red otorgado a la entidad autenticada. Esto incluye asignar VLANs específicas, aplicar listas de control de acceso (ACL) o imponer límites de ancho de banda.
3. Contabilidad (Accounting): realizar el seguimiento del consumo de recursos de la red, incluida la duración de la sesión, los datos transferidos y las horas de inicio y cierre de sesión. Estos datos son críticos para la auditoría, el cumplimiento y la planificación de la red.
4. Auditoría: revisar los datos de contabilidad recopilados para identificar anomalías, brechas de seguridad o violaciones de políticas.

Componentes de la arquitectura RADIUS

Un despliegue RADIUS empresarial estándar consta de tres componentes principales:

• El suplicante: el software cliente que se ejecuta en el dispositivo del usuario (por ejemplo, ordenador portátil, smartphone) que solicita acceso a la red y proporciona credenciales o certificados.
• El autenticador (servidor de acceso a la red / NAS): el dispositivo de red físico o virtual - normalmente un controlador de LAN inalámbrica (WLC) o un punto de acceso (AP) - que controla el acceso físico a la red. El autenticador no decide si las credenciales son válidas; actúa como un proxy, empaquetando la solicitud de autenticación en paquetes RADIUS y reenviándolos al servidor RADIUS.* El servidor de autenticación: el servidor central (como FreeRADIUS, Cisco ISE, Aruba ClearPass o el motor RADIUS en la nube de Purple) que valida las credenciales frente a un almacén de identidad (por ejemplo, Active Directory, LDAP o un proveedor de identidad en la nube) y devuelve un mensaje de aceptación de acceso (Access-Accept) o rechazo de acceso (Access-Reject) al autenticador.

Métodos EAP para el WiFi del personal

Para las redes del personal, se utiliza el Protocolo de autenticación extensible (EAP) dentro del marco de trabajo 802.1X para negociar la autenticación. Los dos métodos EAP empresariales más comunes son:

• PEAP-MSCHAPv2 (EAP protegido): este método establece un túnel TLS cifrado y seguro entre el suplicante y el servidor RADIUS utilizando el certificado digital del servidor. Dentro de este túnel seguro, el nombre de usuario y la contraseña del usuario se autentican mediante el protocolo MSCHAPv2. Es muy popular debido a su facilidad de implementación, ya que no requiere la instalación de certificados en los dispositivos cliente.
• EAP-TLS: el método de autenticación más seguro disponible. Requiere autenticación mutua, lo que significa que tanto el servidor RADIUS como el dispositivo cliente deben presentar certificados digitales válidos. Esto elimina los ataques basados en contraseñas, pero requiere una infraestructura de clave pública (PKI) robusta para gestionar la distribución y revocación de certificados.

Flujo de autenticación del WiFi de invitados

Las redes de invitados suelen utilizar un flujo diferente para equilibrar la seguridad con la comodidad del usuario. En lugar de 802.1X, las redes de invitados a menudo utilizan un SSID abierto combinado con un Captive Portal.

Cuando un invitado se conecta, el autenticador utiliza la omisión de autenticación MAC (MAB) o una política de redirección para enviar al usuario a un Captive Portal alojado en una plataforma como Purple. Una vez que el usuario completa el proceso de registro o inicio de sesión en el portal, la plataforma del portal se comunica con el servidor RADIUS, que luego envía un mensaje Access-Accept al WLC/AP, autorizando la dirección MAC del invitado para el acceso a la red durante una duración de sesión específica.

Transporte seguro: RadSec

El tráfico RADIUS tradicional se envía a través de UDP (puertos 1812 para autenticación y 1813 para contabilidad) en texto claro, con solo el campo de contraseña de usuario ofuscado mediante un secreto compartido. Esto introduce riesgos de seguridad cuando se enruta el tráfico de autenticación a través de conexiones WAN públicas o de internet.

Para mitigar esto, se debe implementar RadSec (RADIUS sobre TLS). RadSec envuelve los paquetes RADIUS estándar dentro de un túnel TLS seguro (normalmente utilizando el puerto TCP 2083). Esto garantiza que todos los datos de autenticación y contabilidad, incluidos los nombres de usuario, las direcciones MAC y los atributos de sesión, estén completamente cifrados durante el tránsito entre la red local y los servidores RADIUS basados en la nube.

Guía de implementación

Paso 1: Definir clientes RADIUS en el servidor

Antes de que cualquier dispositivo de red pueda comunicarse con el servidor RADIUS, debe registrarse como cliente.

1. Inicie sesión en la consola de administración de su servidor RADIUS.
2. Navegue hasta la sección Clientes o Dispositivos de red.
3. Añada una nueva entrada de cliente para cada WLC o AP.
4. Introduzca la dirección IP o subred del autenticador.
5. Genere un Secreto Compartido de alta entropía. Este secreto debe tener al menos 22 caracteres de longitud y contener una mezcla de letras mayúsculas, letras minúsculas, números y caracteres especiales. Evite el uso de palabras sencillas del diccionario.

Paso 2: Configurar el Wireless LAN Controller (WLC) / Puntos de Acceso

Configure su hardware inalámbrico para que apunte al servidor RADIUS para la autenticación y la contabilidad (accounting).

1. Inicie sesión en la interfaz de gestión de su WLC o AP.
2. Vaya a Seguridad > AAA > RADIUS > Autenticación.
3. Añada un nuevo Servidor de Autenticación RADIUS:
   • Dirección IP del servidor: Introduzca la dirección IP de su servidor RADIUS principal.
   • Secreto Compartido: Introduzca exactamente el secreto compartido configurado en el Paso 1.
   • Puerto: 1812 (o 2083 si utiliza RadSec).
   • Tiempo de espera: Establézcalo en 5 segundos para permitir la latencia de la red.
   • Número de reintentos: Establézcalo en 3.
4. Vaya a Contabilidad RADIUS y añada una nueva entrada de servidor utilizando el puerto 1813 (o 2083 para RadSec).
5. Repita estos pasos para añadir un servidor RADIUS secundario (de respaldo) para garantizar la alta disponibilidad.

Paso 3: Configurar el SSID del personal (802.1X)

1. Cree un nuevo SSID llamado Staff_Enterprise.
2. Establezca el Tipo de Seguridad en WPA3-Enterprise (o modo de transición WPA2/WPA3-Enterprise si se requiere compatibilidad con dispositivos heredados).
3. Seleccione 802.1X como protocolo de gestión de claves.
4. Asocie el SSID con los servidores de autenticación y contabilidad RADIUS configurados en el Paso 2.
5. Asocie el SSID a la VLAN segura del personal (por ejemplo, VLAN 10).

Paso 4: Configurar el SSID de invitados con Captive Portal

1. Cree un nuevo SSID llamado Guest_WiFi.
2. Establezca el Tipo de Seguridad en Open (o Enhanced Open / OWE para cifrado inalámbrico oportunista).
3. Habilite el Filtrado MAC o la Autenticación MAC y apúntelo al servidor RADIUS.
4. Habilite la redirección de Captive Portal / Portal Web.
5. Configure la URL de redirección para que apunte a la página de inicio de sesión del Captive Portal de Purple.
6. Configure el Walled Garden (ACL previas a la autenticación) para permitir el tráfico al dominio del Captive Portal, a los servidores DNS y a los recursos CDN necesarios antes de que se complete la autenticación.
7. Asocie el SSID a una VLAN de invitados aislada (por ejemplo, VLAN 20).

Buenas Prácticas

Alta Disponibilidad y Redundancia

Despliegue siempre los servidores RADIUS en parejas redundantes (primario y secundario). Asegúrese de que estos servidores estén ubicados en hardware físico diferente o en diferentes zonas de disponibilidad de la nube. Configure sus WLC para que realicen una conmutación por error de manera fluida al servidor secundario si el servidor principal deja de responder. Implemente el equilibrio de carga cuando sea apropiado para distribuir el tráfico de autenticación de manera uniforme.

Gestión de Certificados

Para despliegues PEAP y EAP-TLS, la validez y la confianza del certificado del servidor RADIUS son de suma importancia.

• Utilice un certificado emitido por una Autoridad de Certificación (CA) pública de confianza para los portales de invitados y los despliegues PEAP para evitar avisos de advertencia de certificados en los dispositivos de los usuarios.
• Para EAP-TLS, establezca una CA privada interna dedicada para emitir y gestionar los certificados de cliente y servidor.
• Supervise de cerca las fechas de caducidad de los certificados e implemente procesos de renovación automatizados (como SCEP o ACME) para evitar fallos repentinos de autenticación en toda la red.

Segmentación de VLAN

Segmente estrictamente el tráfico de su red mediante VLAN. El tráfico de invitados debe estar completamente aislado de los recursos corporativos. Implemente reglas de firewall en el switch principal o gateway para evitar el enrutamiento inter-VLAN entre la VLAN de invitados y las VLAN de personal/gestión. Permita únicamente que el tráfico de invitados se enrute directamente a internet.

Tiempo de Espera de Sesión e Intervalos de Contabilidad

Configure tiempos de espera de sesión adecuados para evitar que las sesiones inactivas consuman direcciones IP y recursos de red.

• Para redes de personal, establezca un tiempo de espera de sesión de 8 a 12 horas, alineándose con un turno de trabajo estándar.
• Para redes de invitados, establezca un tiempo de espera de sesión más corto, de 2 a 4 horas.
• Configure el intervalo de actualización intermedia de contabilidad RADIUS en 10 o 15 minutos. Esto garantiza que el servidor RADIUS reciba actualizaciones periódicas sobre la conectividad del dispositivo y el uso de datos sin saturar el servidor con paquetes de contabilidad.

Resolución de Problemas y Mitigación de Riesgos

Modos de Fallo Comunes y Soluciones

1. Discrepancia en el Secreto Compartido

• Síntoma: Los logs del WLC muestran "El servidor RADIUS no responde" y los logs del servidor RADIUS muestran "Paquete descartado - autenticador no válido" o "Autenticador incorrecto en la solicitud".
• Causa Raíz: El secreto compartido configurado en el WLC no coincide con el secreto compartido configurado en el servidor RADIUS.
• Mitigación: Vuelva a introducir el secreto compartido en ambos dispositivos, asegurándose de que no se copien espacios finales ni caracteres ocultos.

2. Problemas de Confianza en los Certificados

• Síntoma: Los dispositivos cliente no logran conectarse al SSID de personal, mostrando errores como "Certificado de servidor no confiable" o "Conexión rechazada".
• Causa Raíz: El dispositivo cliente no confía en la CA que firmó el certificado del servidor RADIUS, o el certificado ha caducado.
• Mitigación: Asegúrese de que los certificados de la CA raíz e intermedia estén instalados en el almacén de raíces de confianza del dispositivo cliente. Para dispositivos gestionados por la empresa, distribuya estos certificados a través de MDM o políticas de grupo.

3. Bloqueos de Firewall

• Síntoma: El servidor RADIUS no recibe tráfico desde el WLC, a pesar de que se ha verificado el enrutamiento.
• Causa Raíz: Los firewalls intermedios están bloqueando los puertos UDP 1812 y 1813.
• Mitigación: Cree reglas de firewall explícitas para permitir UDP 1812 y 1813 (o TCP 2083 para RadSec) entre la IP de gestión del WLC y la IP del servidor RADIUS.

4. Tiempos de Espera Inducidos por la Latencia

• Síntoma: Fallos de autenticación intermitentes, especialmente durante las horas de mayor actividad o al utilizar servidores RADIUS basados en la nube.
• Causa raíz: La latencia de la red supera el umbral de tiempo de espera de RADIUS del WLC, lo que hace que este asuma que el servidor está fuera de línea.
• Mitigación: Aumente el ajuste del tiempo de espera de RADIUS del WLC desde el valor predeterminado (normalmente 2 segundos) a 5 o 7 segundos. Optimice el enrutamiento WAN o implemente proxies RADIUS locales para almacenar en caché las solicitudes de autenticación.

ROI e impacto empresarial

La transición a un modelo de autenticación RADIUS centralizado aporta un valor empresarial mensurable en varias áreas clave:

• Reducción de los costes operativos: Elimina el esfuerzo manual necesario para rotar las contraseñas de WiFi compartidas cuando el personal abandona la organización. Las cuentas de usuario se pueden desactivar instantáneamente en Active Directory o en su proveedor de identidad, revocando de inmediato su acceso a la red.
• Mayor seguridad: Mitiga el riesgo de filtraciones de datos causadas por el robo de credenciales o el acceso no autorizado a la red. Al aplicar 802.1X y la autenticación basada en certificados, las organizaciones garantizan que solo los dispositivos autorizados y que cumplen las normativas puedan acceder a los recursos corporativos confidenciales.
• Operaciones del recinto optimizadas: Al integrar el WiFi de invitados con la plataforma de RADIUS en la nube de Purple, los operadores del recinto capturan valiosos datos demográficos y de comportamiento. Estos datos se pueden utilizar para diseñar campañas de marketing personalizadas, mejorar la interacción con los visitantes y optimizar el uso del espacio físico basándose en análisis de afluencia.
• Cumplimiento normativo: Los registros de contabilidad de RADIUS centralizados proporcionan una pista de auditoría del acceso a la red, lo que ayuda a las organizaciones a cumplir con los requisitos de normativas como PCI-DSS, ISO 27001 y GDPR.