¿Qué es Cloud RADIUS? Una guía completa de RADIUS como servicio

¿Qué es Cloud RADIUS? Una guía completa de RADIUS como servicio. Bienvenido al podcast de inteligencia de Purple WiFi. Soy su anfitrión, y hoy realizaremos una sesión informativa detallada sobre Cloud RADIUS: qué es, cómo funciona internamente y, fundamentalmente, cómo evaluar si es el paso adecuado para su organización este trimestre. Ya sea que dirija un grupo hotelero, una red minorista, un estadio o una red del sector público, esto es para usted. Pongámonos en situación. Introducción y contexto. Si alguna vez ha tenido que explicar a un consejo de administración por qué se cayó el servidor de autenticación de su red a las 2 de la madrugada, y por qué se tardó tres horas en restablecerlo, ya comprende el problema principal que resuelve Cloud RADIUS. La infraestructura RADIUS local tradicional es potente, pero conlleva una carga operativa significativa. Hardware que adquirir, ciclos de parches que gestionar, redundancia que estructurar manualmente y un único punto de fallo situado en su sala de servidores. Cloud RADIUS, o RADIUS como servicio, traslada esa capa de autenticación a un entorno de nube gestionado y de alta disponibilidad. El protocolo en sí (Remote Authentication Dial-In User Service) no ha cambiado. Sigue siendo la columna vertebral del control de acceso a la red IEEE 802.1X, el mecanismo que utilizan sus puntos de acceso para validar quién entra en su red. Pero la infraestructura que lo ejecuta ahora es problema de otro. Y en el sector de TI empresarial, eso representa un cambio significativo. Así que entremos en los detalles técnicos. Análisis técnico detallado. RADIUS se definió originalmente en el RFC 2865, publicado en el año 2000, y ha demostrado ser extraordinariamente duradero. El protocolo funciona con un modelo cliente-servidor. Su dispositivo de acceso a la red (ya sea un punto de acceso WiFi, un concentrador VPN o un conmutador por cable) actúa como cliente RADIUS, también llamado Network Access Server o NAS. Cuando un usuario intenta conectarse, el NAS reenvía un paquete Access-Request al servidor RADIUS, que valida las credenciales frente a un directorio de usuarios (normalmente Active Directory, LDAP o un proveedor de identidad en la nube) y devuelve un Access-Accept o un Access-Reject. Ese es el intercambio principal. Pero la verdadera complejidad radica en lo que sucede a su alrededor: métodos EAP, asignación de VLAN, aplicación de políticas, registros de contabilidad y gestión de certificados. En una implementación local tradicional, se ejecuta FreeRADIUS o Microsoft NPS en hardware dedicado, gestionando sus propios certificados, configurando su propia conmutación por error y manteniendo su propia sincronización de base de datos de usuarios. Para una implementación en un solo sitio con un equipo de TI competente, esto es manejable. Para una red minorista de 50 sitios o un grupo hotelero con propiedades en varios países, se convierte en una carga operativa importante. Cloud RADIUS abstrae todo eso. La lógica de autenticación, la infraestructura de certificados, la redundancia y el motor de políticas se entregan como un servicio gestionado. Sus puntos de acceso apuntan a extremos de RADIUS alojados en la nube (normalmente una dirección IP primaria y otra secundaria) y el servicio se encarga de todo lo demás. Ahora, hablemos de los métodos de autenticación, porque aquí es donde las decisiones técnicas realmente importan. El método EAP más común en la WiFi empresarial es PEAP (Protected EAP), que tuneliza MSCHAPv2 dentro de una sesión TLS. Es ampliamente compatible, funciona con Active Directory de forma nativa y es el predeterminado para la mayoría de los dispositivos Windows y Android. Sin embargo, PEAP presenta vulnerabilidades conocidas, especialmente en lo que respecta a la validación de certificados. Si sus dispositivos cliente no están configurados para verificar el certificado del servidor, queda expuesto a ataques de recopilación de credenciales a través de puntos de acceso no autorizados. EAP-TLS es el estándar de oro. Utiliza la autenticación mutua de certificados (tanto el servidor como el cliente presentan certificados), lo que elimina por completo la superficie de ataque de contraseñas. La contrapartida es el despliegue de certificados de cliente, que requiere una infraestructura PKI y la integración con un MDM. Para flotas de dispositivos gestionados, esta es sin duda la opción correcta. Para entornos BYOD, es más complejo. También vale la pena conocer EAP-TTLS y EAP-FAST. TTLS es especialmente común en entornos donde se necesita dar soporte a una amplia gama de dispositivos cliente, incluidos sistemas Linux. EAP-FAST fue desarrollado por Cisco como una alternativa a PEAP que evita la dependencia de la validación de certificados, utilizando en su lugar credenciales de acceso protegido (Protected Access Credentials). Un servicio Cloud RADIUS bien estructurado admite todos estos métodos y le permite configurar políticas por SSID; de este modo, su SSID corporativo utiliza EAP-TLS con validación de certificados, el SSID de su personal utiliza PEAP con Active Directory y su red de invitados utiliza un flujo de Captive Portal o inicio de sesión social totalmente independiente de la pila de RADIUS. Hablando de eso, a menudo se confunden RADIUS y la WiFi para invitados, pero sirven para propósitos diferentes. RADIUS es su capa de autenticación y autorización para usuarios y dispositivos conocidos. La WiFi para invitados suele utilizar un flujo de Captive Portal, que es un mecanismo totalmente diferente. La plataforma de Purple, por ejemplo, gestiona la autenticación de invitados a través de una capa de identidad independiente, capturando datos de primera mano y permitiendo la automatización del marketing, mientras que RADIUS gestiona el control de acceso a la red corporativa y del personal. Son sistemas complementarios, no competidores. Ahora, hablemos de lo que significa realmente "alojado en la nube" en la práctica. Un servicio Cloud RADIUS correctamente estructurado se ejecuta en múltiples zonas de disponibilidad, con conmutación por error automática. Las solicitudes de autenticación se equilibran de forma equilibrada entre los nodos, y el servicio mantiene tiempos de respuesta inferiores a 100 milisegundos incluso bajo carga máxima. Para un estadio que gestiona 40.000 conexiones simultáneas durante un evento, ese perfil de latencia y rendimiento es fundamental. Un único servidor local sencillamente no puede igualar esa elasticidad. Desde la perspectiva del cumplimiento normativo, los proveedores de Cloud RADIUS que operan en el Reino Unido y la UE deben cumplir con el GDPR en la forma en que gestionan los registros de autenticación y los datos de los usuarios. Para los entornos de comercio minorista y hostelería que también procesan datos de tarjetas de pago, los requisitos de PCI DSS sobre segmentación de red y control de acceso son directamente aplicables: RADIUS forma parte de su entorno de control, y su QSA querrá ver pruebas de una configuración y un registro de auditoría adecuados. También vale la pena abordar WPA3. La transición de WPA2 a WPA3 introduce la autenticación simultánea de iguales (SAE) para redes personales, y WPA3-Enterprise para entornos corporativos. WPA3-Enterprise exige un modo de seguridad de 192 bits para la clasificación más alta, lo que requiere métodos EAP y conjuntos de cifrado específicos. Un servicio Cloud RADIUS debe admitir estas configuraciones para estar preparado para el futuro. Recomendaciones de implementación y errores comunes. Muy bien, pasemos a la práctica. Si está evaluando Cloud RADIUS para su implementación este trimestre, esto es en lo que me centraría. En primer lugar, la integración con su proveedor de identidad. Su servicio Cloud RADIUS debe sincronizarse con el lugar donde residen realmente sus usuarios, ya sea Microsoft Entra ID (anteriormente Azure AD), Google Workspace, Okta o un Active Directory local a través de un proxy LDAP. La calidad de esta integración determina su carga operativa. El aprovisionamiento nativo mediante SAML o SCIM es muy preferible a las importaciones manuales de archivos CSV. En segundo lugar, la gestión de certificados. Si va a implementar EAP-TLS, necesita una respuesta clara sobre cómo se emiten, renuevan y revocan los certificados de cliente. Los mejores servicios de Cloud RADIUS incluyen una PKI integrada o se integran limpiamente con su autoridad de certificación existente. La caducidad de los certificados es una de las causas más comunes de fallos de autenticación en la WiFi empresarial; esto se puede evitar por completo con una automatización adecuada. En tercer lugar, la compatibilidad de los dispositivos de red. Sus puntos de acceso deben admitir la autenticación RADIUS (prácticamente todos los AP de calidad empresarial lo hacen), pero debe verificar los métodos EAP específicos y los atributos de RADIUS que admite el servicio elegido frente a la implementación del proveedor de sus AP. Cisco, Aruba, Juniper Mist y Ruckus tienen sus propios matices en la forma de gestionar los atributos de RADIUS y los mensajes CoA (Change of Authorization). En cuarto lugar, la configuración de la redundancia. Configure siempre una IP de servidor RADIUS primaria y otra secundaria. El tiempo de espera de conmutación por error en sus dispositivos NAS es importante: si se configura demasiado alto, los usuarios experimentarán un retraso de autenticación de 30 segundos cuando el servidor principal no esté disponible. Un tiempo de espera de 3 a 5 segundos con conmutación por error inmediata es la configuración adecuada para la mayoría de los entornos. En quinto lugar (y esto es lo que la gente suele pasar por alto), la contabilidad. Los registros de contabilidad de RADIUS son su pista de auditoría. Le indican quién se conectó, desde qué dispositivo, a qué hora y durante cuánto tiempo. Para fines de cumplimiento normativo, especialmente en entornos sanitarios y del sector público, estos registros deben conservarse y ser accesibles. Asegúrese de que su proveedor de Cloud RADIUS le ofrezca acceso a los datos de contabilidad, no solo a los registros de autenticación. Errores comunes: la complejidad del secreto compartido. El secreto compartido de RADIUS (la clave precompartida entre su NAS y el servidor RADIUS) debe ser largo y aleatorio. Los secretos compartidos cortos o predecibles son un vector de ataque real. Utilice al menos 32 caracteres, generados aleatoriamente, y rótelos de forma programada. Tenga cuidado también con la lista blanca de IP. Muchos servicios de Cloud RADIUS requieren que incluya en una lista blanca las IP de origen de sus dispositivos NAS. En un entorno de nube dinámico donde su plataforma de gestión de AP podría utilizar NAT, esto puede causar fallos de autenticación inesperados. Confirme el comportamiento de NAT de su red antes de la implementación. Preguntas y respuestas rápidas. Permítame repasar algunas preguntas que me hacen con frecuencia. ¿Puede Cloud RADIUS admitir entornos multiinquilino? Sí, la mayoría de los servicios de Cloud RADIUS para empresas admiten el aislamiento de inquilinos, por lo que un proveedor de servicios gestionados puede ejecutar políticas de RADIUS independientes para múltiples clientes desde una única plataforma. ¿Cuál es la latencia típica para una autenticación de Cloud RADIUS? Menos de 100 milisegundos para un servicio bien estructurado. El propio protocolo de enlace 802.1X añade algo de sobrecarga, pero para la mayoría de los métodos EAP, el tiempo total de autenticación debería ser inferior a 500 milisegundos de extremo a extremo. ¿Funciona Cloud RADIUS con OpenRoaming? Sí. OpenRoaming (el marco de itinerancia de la Wireless Broadband Alliance) utiliza la federación RADIUS en su núcleo. Un servicio Cloud RADIUS que admita Hotspot 2.0 y OpenRoaming permite a sus usuarios autenticarse automáticamente en las redes participantes de todo el mundo. Purple admite OpenRoaming bajo su licencia Connect, actuando como proveedor de identidad en la federación. ¿Es adecuado Cloud RADIUS para entornos de alta seguridad? Para la mayoría de los entornos empresariales, sí. Para entornos con datos clasificados o clasificaciones de seguridad gubernamentales específicas, es posible que deba evaluar si un servicio en la nube gestionado cumple con sus requisitos específicos de acreditación. Resumen y próximos pasos. Para resumir: Cloud RADIUS es un enfoque maduro y listo para producción para el control de acceso a la red que elimina la carga operativa de la infraestructura RADIUS local sin comprometer la seguridad ni la capacidad. Para las organizaciones con múltiples sedes, el caso de ROI es sencillo: se elimina el capex de hardware, se reducen los costes de TI, se obtiene redundancia integrada y se dispone de un servicio que se escala con su patrimonio. Las decisiones clave son: qué método EAP es el adecuado para su flota de dispositivos, cómo se integra con su proveedor de identidad existente y si el servicio elegido le ofrece las capacidades de cumplimiento y auditoría que su organización requiere. Si dirige un grupo hotelero, una cadena minorista o gestiona redes del sector público, le recomendaría comenzar con una prueba de concepto en un solo sitio: configure correctamente su RADIUS, valide la integración con su proveedor de identidad y mida la latencia de autenticación antes de implementarlo en todo su patrimonio. Para obtener más información sobre análisis de WiFi, gestión de redes de invitados y cómo se integra la plataforma de Purple con la autenticación basada en RADIUS, visite purple.ai. Gracias por escucharnos.