¿Qué es Cloud RADIUS? Una guía completa sobre RADIUS-as-a-Service

¿Qué es Cloud RADIUS? Una guía completa de RADIUS-as-a-Service. Le damos la bienvenida al podcast de Purple WiFi Intelligence. Soy su anfitrión, y hoy vamos a analizar a fondo Cloud RADIUS: qué es, cómo funciona internamente y, lo que es más importante, cómo evaluar si es la opción adecuada para su organización este trimestre. Tanto si gestiona un grupo hotelero, una cadena de tiendas, un estadio o una red del sector público, este contenido es para usted. Pongámonos en situación. Introducción y contexto. Si alguna vez ha tenido que explicar a un consejo de administración por qué el servidor de autenticación de su red se cayó a las 2 de la mañana - y por qué se tardó tres horas en restablecerlo - ya comprende el problema fundamental que resuelve Cloud RADIUS. La infraestructura tradicional de RADIUS local es potente, pero conlleva una carga operativa considerable. Hardware que adquirir, ciclos de parches que gestionar, redundancia que diseñar manualmente y un único punto de fallo ubicado en su sala de servidores. Cloud RADIUS, o RADIUS-as-a-Service, traslada esa capa de autenticación a un entorno de nube gestionado y de alta disponibilidad. El protocolo en sí - Remote Authentication Dial-In User Service - no ha cambiado. Sigue siendo la columna vertebral del control de acceso a redes IEEE 802.1X, el mismo mecanismo que utilizan sus puntos de acceso para validar quién entra en su red. Pero la infraestructura que lo ejecuta ahora es problema de otro. Y en el sector de TI empresarial, eso supone un cambio de gran importancia. Entremos en los detalles técnicos. Análisis técnico en profundidad. RADIUS se definió originalmente en la norma RFC 2865, publicada en el año 2000, y ha demostrado ser extraordinariamente duradero. El protocolo funciona bajo un modelo cliente - servidor. Su dispositivo de acceso a la red - ya sea un punto de acceso WiFi, un concentrador VPN o un switch por cable - actúa como cliente RADIUS, también denominado servidor de acceso a la red o NAS. Cuando un usuario intenta conectarse, el NAS reenvía un paquete de solicitud de acceso (Access-Request) al servidor RADIUS, que valida las credenciales contrastándolas con un directorio de usuarios - normalmente Active Directory, LDAP o un proveedor de identidad en la nube - y devuelve una respuesta de aceptación de acceso (Access-Accept) o de rechazo de acceso (Access-Reject). Ese es el intercambio principal. Pero la verdadera complejidad reside en lo que ocurre a su alrededor: métodos EAP, asignación de VLAN, aplicación de políticas, registros de contabilidad (accounting) y gestión de certificados. En una implementación local tradicional, se ejecuta FreeRADIUS o Microsoft NPS en hardware dedicado, gestionando sus propios certificados, configurando su propia conmutación por error y manteniendo su propia sincronización de bases de datos de usuarios. Para una implementación en un único centro con un equipo de TI competente, esto es manejable. Para una cadena de tiendas de 50 establecimientos o un grupo hotelero con propiedades en varios países, se convierte en una carga operativa muy significativa.Cloud RADIUS simplifica todo eso. La lógica de autenticación, la infraestructura de certificados, la redundancia y el motor de políticas se entregan como un servicio gestionado. Sus puntos de acceso apuntan a extremos de RADIUS alojados en la nube - normalmente una dirección IP principal y otra secundaria - y el servicio se encarga de todo lo que hay detrás. Ahora, hablemos de los métodos de autenticación, porque aquí es donde las decisiones técnicas realmente importan. El método EAP más común en el sector empresarial de WiFi es PEAP - Protected EAP -, que tuneliza MSCHAPv2 dentro de una sesión TLS. Cuenta con un amplio soporte, funciona con Active Directory de forma nativa y es el valor predeterminado para la mayoría de los dispositivos Windows y Android. Sin embargo, PEAP presenta vulnerabilidades conocidas, especialmente en lo que respecta a la validación de certificados. Si sus dispositivos cliente no están configurados para verificar el certificado del servidor, queda expuesto a ataques de recopilación de credenciales a través de puntos de acceso no autorizados. EAP-TLS es el estándar de oro. Utiliza autenticación mutua mediante certificados - tanto el servidor como el cliente presentan certificados -, lo que elimina por completo la superficie de ataque basada en contraseñas. La contrapartida es el despliegue de certificados de cliente, que requiere una infraestructura de PKI e integración con MDM. Para flotas de dispositivos gestionados, esta es, sin duda, la elección correcta. Para entornos BYOD, resulta más complejo. También merece la pena conocer EAP-TTLS y EAP-FAST. TTLS es especialmente común en entornos donde se necesita dar soporte a una amplia gama de dispositivos cliente, incluidos sistemas Linux. EAP-FAST fue desarrollado por Cisco como una alternativa a PEAP que evita la dependencia de la validación de certificados, utilizando en su lugar Protected Access Credentials. Un servicio Cloud RADIUS bien diseñado admite todos estos métodos y permite configurar políticas por SSID - de modo que su SSID corporativo utilice EAP-TLS con validación de certificados, su SSID de personal utilice PEAP con Active Directory y su red de invitados utilice un Captive Portal o un flujo de inicio de sesión social totalmente independiente de la pila RADIUS. Y hablando de esto: a menudo se confunden RADIUS y el WiFi para invitados, pero sirven para fines distintos. RADIUS es su capa de autenticación y autorización para usuarios y dispositivos conocidos. El WiFi de invitados suele utilizar un flujo de Captive Portal, que es un mecanismo totalmente diferente. La plataforma de Purple, por ejemplo, gestiona la autenticación de invitados a través de una capa de identidad independiente, capturando datos de primera mano y permitiendo la automatización del marketing, mientras que RADIUS se encarga del control de acceso a la red corporativa y de personal. Se trata de sistemas complementarios, no de la competencia. Ahora, hablemos de lo que significa realmente en la práctica estar "alojado en la nube". Un servicio Cloud RADIUS correctamente estructurado se ejecuta en múltiples zonas de disponibilidad, con conmutación por error automática. Las solicitudes de autenticación se equilibran de forma equilibrada entre los nodos, y el servicio mantiene tiempos de respuesta inferiores a 100 milisegundos incluso bajo cargas máximas. Para un estadio que gestiona 40 000 conexiones concurrentes durante un evento, ese perfil de latencia y rendimiento es fundamental. Un único servidor local simplemente no puede igualar esa elasticidad. Desde la perspectiva del cumplimiento, los proveedores de Cloud RADIUS que operan en el Reino Unido y la UE deben cumplir con el GDPR en la forma en que gestionan los registros de autenticación y los datos de los usuarios. Para los entornos de venta minorista y hostelería que también procesan datos de tarjetas de pago, los requisitos de PCI-DSS sobre segmentación de red y control de acceso son directamente aplicables; RADIUS forma parte de su entorno de control y su QSA querrá ver pruebas de una configuración y un registro de auditoría correctos. También vale la pena abordar WPA3. La transición de WPA2 a WPA3 introduce la Autenticación Simultánea de Iguales (SAE) para redes personales, y WPA3-Enterprise para entornos corporativos. WPA3-Enterprise exige un modo de seguridad de 192 bits para la clasificación más alta, lo que requiere métodos EAP y conjuntos de cifrado específicos. Un servicio Cloud RADIUS debe admitir estas configuraciones para estar preparado para el futuro. Recomendaciones de implementación y errores comunes. Bien, pasemos a la práctica. Si está evaluando la implementación de Cloud RADIUS para este trimestre, esto es en lo que me centraría. En primer lugar, la integración con su proveedor de identidad. Su servicio Cloud RADIUS debe sincronizarse con el lugar donde se encuentran realmente sus usuarios, ya sea Microsoft Entra ID (anteriormente Azure AD), Google Workspace, Okta o un Active Directory local mediante un proxy LDAP. La calidad de esta integración determina sus costes operativos. El aprovisionamiento nativo mediante SAML o SCIM es muy preferible a las importaciones manuales de archivos CSV. En segundo lugar, la gestión de certificados. Si está implementando EAP-TLS, necesita una respuesta clara sobre cómo se emiten, renuevan y revocan los certificados de cliente. Los mejores servicios de Cloud RADIUS incluyen una PKI integrada o se integran a la perfección con su autoridad de certificación existente. La expiración de los certificados es una de las causas más comunes de fallos de autenticación en las redes WiFi empresariales, y es algo que se puede evitar por completo con una automatización adecuada. En tercer lugar, la compatibilidad de los dispositivos de red. Sus puntos de acceso deben admitir la autenticación RADIUS (prácticamente todos los AP de nivel empresarial lo hacen), pero debe verificar los métodos EAP específicos y los atributos RADIUS que admite el servicio elegido con la implementación del fabricante de sus AP. Cisco, Aruba, Juniper Mist y Ruckus tienen sus propios matices en la forma de gestionar los atributos RADIUS y los mensajes CoA (cambio de autorización).En cuarto lugar, la configuración de redundancia. Configure siempre una IP de servidor RADIUS principal y otra secundaria. El tiempo de espera de conmutación por error en sus dispositivos NAS es importante: si se establece un valor demasiado alto, los usuarios experimentarán un retraso de autenticación de 30 segundos cuando la IP principal no esté accesible. Un tiempo de espera de 3 a 5 segundos con conmutación por error inmediata es la configuración adecuada para la mayoría de los entornos. En quinto lugar - y esto es algo que se suele pasar por alto - la contabilidad. Los registros de contabilidad de RADIUS son su pista de auditoría. Le indican quién se conectó, desde qué dispositivo, a qué hora y durante cuánto tiempo. Para fines de cumplimiento, especialmente en entornos sanitarios y del sector público, estos registros deben conservarse y estar accesibles. Asegúrese de que su proveedor de Cloud RADIUS le ofrezca acceso a los datos de contabilidad, no solo a los registros de autenticación. Errores comunes: complejidad del secreto compartido. Su secreto compartido de RADIUS - la clave precompartida entre su NAS y el servidor RADIUS - debe ser largo y aleatorio. Los secretos compartidos cortos o predecibles son un vector de ataque real. Utilice al menos 32 caracteres, generados aleatoriamente, y rótelos de forma programada. También preste atención a las listas blancas de IP. Muchos servicios de Cloud RADIUS requieren que incluya en la lista blanca las IP de origen de sus dispositivos NAS. En un entorno de nube dinámico en el que su plataforma de gestión de puntos de acceso puede utilizar NAT, esto puede provocar fallos de autenticación inesperados. Confirme el comportamiento de NAT de su red antes del despliegue. Preguntas y respuestas rápidas. Permítame repasar algunas preguntas que me hacen habitualmente. ¿Puede Cloud RADIUS admitir entornos multi-tenant? Sí - la mayoría de los servicios de Cloud RADIUS para empresas admiten el aislamiento de inquilinos, por lo que un proveedor de servicios gestionados puede ejecutar políticas de RADIUS independientes para varios clientes desde una única plataforma. ¿Cuál es la latencia típica para una autenticación de Cloud RADIUS? Menos de 100 milisegundos para un servicio bien diseñado. El propio intercambio de información de 802.1X añade cierta sobrecarga, pero para la mayoría de los métodos EAP, el tiempo total de autenticación debería ser inferior a 500 milisegundos de extremo a extremo. ¿Funciona Cloud RADIUS con OpenRoaming? Sí. OpenRoaming - el marco de itinerancia de la Wireless Broadband Alliance - utiliza la federación RADIUS en su núcleo. Un servicio de Cloud RADIUS que admita Hotspot 2.0 y OpenRoaming permite a sus usuarios autenticarse automáticamente en las redes participantes de todo el mundo. Purple admite OpenRoaming bajo su licencia Connect, actuando como proveedor de identidad en la federación. ¿Es Cloud RADIUS adecuado para entornos de alta seguridad? Para la mayoría de los entornos empresariales, sí. En el caso de entornos con datos clasificados o clasificaciones de seguridad gubernamentales específicas, es posible que deba evaluar si un servicio de nube gestionado cumple con sus requisitos específicos de acreditación. Resumen y próximos pasos. En resumen: Cloud RADIUS es un enfoque maduro y listo para producción para el control de acceso a la red que elimina la carga operativa de la infraestructura RADIUS local sin comprometer la seguridad ni la capacidad. Para las organizaciones con múltiples sedes, el caso de ROI es sencillo: se elimina el capex de hardware, se reduce la sobrecarga de TI, se obtiene redundancia integrada y se consigue un servicio que se escala con su infraestructura. Las decisiones clave son: qué método EAP es el adecuado para su flota de dispositivos, cómo se integra con su proveedor de identidad existente y si el servicio elegido le ofrece las capacidades de cumplimiento y auditoría que su organización requiere. Si gestiona un grupo hotelero, una cadena de tiendas o redes del sector público, le recomendaría empezar con una prueba de concepto en una sola sede: configure correctamente su RADIUS, valide la integración con su proveedor de identidad y mida la latencia de autenticación antes de implementarlo en toda su infraestructura. Para obtener más información sobre analítica de WiFi, gestión de redes de invitados y cómo la plataforma de Purple se integra con la autenticación basada en RADIUS, visite purple.ai. Gracias por escuchar.