Server RADIUS: una guía completa para empresas

Resumen ejecutivo

Para los responsables de TI, arquitectos de red y directores de tecnología (CTO) que operan en los sectores de hostelería , comercio minorista , transporte y grandes espacios públicos, proteger el acceso inalámbrico es un requisito operativo fundamental, no una mejora opcional. Confiar en una clave precompartida (PSK) para el acceso WiFi es un riesgo de seguridad importante. Una sola credencial comprometida expone toda la red, y revocar el acceso requiere cambiar la contraseña de todos los dispositivos de la instalación. La implementación de la autenticación 802.1X a través de una arquitectura de servidor RADIUS (Remote Authentication Dial-In User Service) elimina este problema. Cada usuario se autentica individualmente, el acceso se puede revocar al instante y la segmentación de la red se aplica de forma dinámica.

El servidor RADIUS implementa el marco AAA: Autenticación, Autorización y Contabilidad (Accounting). Valida las identidades frente a directorios como Microsoft Entra ID, Okta o Google Workspace, asigna a los usuarios al segmento de red correcto mediante la asignación dinámica de VLAN y mantiene un registro de auditoría detallado para cada sesión. Para las organizaciones sujetas a PCI DSS, GDPR o Cyber Essentials, este registro de auditoría no es opcional. Es un requisito estricto de cumplimiento. El servidor Cloud RADIUS de Purple protege al personal y a los dispositivos corporativos mediante la autenticación 802.1X basada en certificados, integrándose con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet en más de 80.000 sedes activas.

Análisis técnico detallado: arquitectura de servidor RADIUS

El estándar IEEE 802.1X define el control de acceso a la red basado en puertos (PNAC). En un contexto inalámbrico, implica tres roles principales que funcionan en conjunto para proteger el extremo de la red.

Cuando un suplicante se asocia con un punto de acceso, el AP bloquea todo el tráfico de datos excepto los mensajes del Protocolo de Autenticación Extensible (EAP). El AP encapsula estos mensajes EAP en paquetes RADIUS y los reenvía al servidor RADIUS a través del puerto UDP 1812. El servidor verifica las credenciales con un directorio backend y devuelve un mensaje Access-Accept o Access-Reject. Si se acepta, el AP desbloquea el puerto y el tráfico del cliente fluye libremente.

El framework AAA en la práctica

La Autenticación es el primer pilar: verificar la identidad de alguien. Cuando un dispositivo se conecta a un SSID WPA3-Enterprise, el servidor RADIUS comprueba las credenciales o el certificado presentados con la fuente de identidad configurada. Microsoft Entra ID, Okta y Google Workspace son los proveedores de identidad en la nube canónicos que se integran directamente con las plataformas modernas de Cloud RADIUS.

La Autorización es el segundo pilar: determinar qué puede hacer el usuario autenticado. El servidor RADIUS devuelve los atributos RADIUS al punto de acceso, siendo el más crítico el ID de VLAN. Un miembro del equipo de finanzas aterriza en la VLAN 10 con acceso a los sistemas internos. Un contratista aterriza en la VLAN 20 con acceso exclusivo a internet. Un invitado aterriza en la VLAN 30, aislado de todos los recursos corporativos. Esta asignación dinámica de VLAN es el mecanismo que permite una segmentación de red adecuada, un control obligatorio para el cumplimiento de PCI DSS en entornos de retail .

La Contabilidad (Accounting) es el tercer pilar: registrar lo que realmente sucedió. El servidor RADIUS registra las horas de inicio y finalización de la sesión, la duración de la misma, los datos transferidos y la dirección MAC de cada dispositivo. Según PCI DSS v4.0, este registro es un requisito estricto. En caso de un incidente de seguridad, estos registros son la base de cualquier investigación forense.

Selección del método EAP

La seguridad de la implementación de su servidor RADIUS depende en gran medida del método EAP seleccionado. Los tres métodos más comunes en WiFi empresarial son PEAP, EAP-TTLS y EAP-TLS.

PEAP-MSCHAPv2 es el método más implementado. Crea un túnel TLS cifrado utilizando un certificado del lado del servidor, dentro del cual el usuario se autentica con un nombre de usuario y contraseña. Es relativamente sencillo de implementar porque solo necesita gestionar un certificado: el del servidor. Sin embargo, si los dispositivos cliente no están configurados explícitamente para validar el certificado del servidor, son vulnerables a ataques de puntos de acceso no autorizados. Un atacante puede presentar un certificado fraudulento y capturar las credenciales. Esta es una amenaza real documentada, no teórica. Aplique una validación estricta de certificados mediante Objetos de Directiva de Grupo o perfiles MDM sin excepción.

EAP-TLS es el estándar de oro. Requiere certificados digitales tanto en el servidor RADIUS como en cada dispositivo cliente, eliminando las contraseñas por completo. Incluso si un atacante captura todo el intercambio de autenticación, no hay credenciales que extraer. La contrapartida es la sobrecarga administrativa: la implementación y gestión de certificados de cliente requiere una Infraestructura de Clave Pública (PKI) y una plataforma MDM como Microsoft Intune o Jamf. Para los dispositivos corporativos, EAP-TLS es el método de autenticación hacia el que debería avanzar. El Cloud RADIUS de Purple es compatible con EAP-TLS de forma nativa, con una gestión automatizada del ciclo de vida de los certificados.

Guía de implementación: nube frente a local (on-premises)

Al desplegar una arquitectura de servidor RADIUS, los equipos de TI deben elegir entre un despliegue alojado en la nube o local. Esta es la decisión arquitectónica de mayor repercusión en el proyecto.

RADIUS local (on-premises), utilizando plataformas como FreeRADIUS o Microsoft Network Policy Server (NPS), le ofrece un control total sobre la infraestructura. Para un único centro de gran tamaño (un estadio, un hospital o una instalación gubernamental), esta puede ser la opción adecuada. Las solicitudes de autenticación viajan a través de la LAN local, ofreciendo tiempos de respuesta de menos de un milisegundo. Si su directorio de identidad es un Active Directory local que no se puede exponer a Internet por razones de soberanía de datos, un servidor RADIUS local suele ser su única opción viable.

Sin embargo, para organizaciones con múltiples sedes, el RADIUS local introduce una sobrecarga operativa significativa. Deberá gestionar instancias de servidor independientes en cada ubicación, gestionar las renovaciones de certificados manualmente y responder a las caídas del servicio a las dos de la mañana cuando caduque un certificado. Para una cadena de tiendas con 50 ubicaciones, esto significa 50 instancias RADIUS independientes que parchear, monitorizar y mantener.

Cloud RADIUS cambia esto por completo. La infraestructura se aloja de forma global en múltiples zonas de disponibilidad. Cuando un usuario se conecta en una sucursal, la solicitud se enruta al nodo perimetral de la nube más cercano. La alta disponibilidad está integrada por defecto. La rotación de certificados está automatizada, lo que elimina la causa más común de caídas de autenticación en despliegues locales. Para organizaciones con múltiples sedes que disponen de proveedores de identidad nativos de la nube como Microsoft Entra ID, Okta o Google Workspace, Cloud RADIUS es casi siempre la mejor opción a nivel operativo.

Cloud RADIUS de Purple se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Realice el despliegue en toda su infraestructura de hardware sin tener que sustituir ni un solo punto de acceso.

Despliegue paso a paso

Paso 1: Elija su modelo de despliegue. Audite tres factores: su proveedor de identidad actual y si es nativo de la nube; la resiliencia de su WAN en cada sede; y la capacidad de su equipo para gestionar el mantenimiento continuo. Estos tres factores determinan si la opción en la nube o local es la adecuada.

Paso 2: Integre su origen de identidad. Conecte su servidor RADIUS al directorio de identidad de su organización. La mayoría de las plataformas Cloud RADIUS admiten la integración directa con Microsoft Entra ID, Okta y Google Workspace a través de LDAP o SAML. Para Active Directory local, utilice LDAP a través de un conector seguro.

Paso 3: Configure el hardware de su red. Cree un nuevo SSID configurado para WPA2-Enterprise o WPA3-Enterprise y apúntelo a su servidor RADIUS. Configure el secreto compartido (la contraseña que cifra la comunicación entre el punto de acceso y el servidor RADIUS). Este secreto compartido debe coincidir exactamente en ambos lados. Una discrepancia es una de las causas más comunes de fallos de autenticación durante el despliegue inicial.

Paso 4: Defina las políticas de autorización. Asocie los grupos de usuarios de su directorio de identidad con las políticas de red. El personal obtiene acceso total en la VLAN 10. Los invitados obtienen acceso exclusivo a internet en la VLAN 20. Los dispositivos IoT obtienen una VLAN restringida con reglas de firewall que bloquean el movimiento lateral.

Paso 5: Incorpore a sus usuarios. Para el personal corporativo, despliegue perfiles de WiFi a través de su plataforma MDM. Para los invitados, utilice un Captive Portal. La plataforma Guest WiFi de Purple automatiza el flujo de incorporación de invitados, admitiendo el inicio de sesión a través de redes sociales, formularios de registro y códigos de cupón. El personal y los dispositivos corporativos se autentican de forma silenciosa a través de 802.1X, mientras que los invitados son dirigidos a un portal personalizado, un modelo de acceso por niveles que ofrece tanto seguridad como WiFi Analytics .

Para profundizar en la arquitectura de SSID en redes de invitados, personal e IoT, consulte Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi .

Buenas prácticas

Fuerce la validación estricta de certificados en cada dispositivo cliente. Utilice objetos de política de grupo para dispositivos Windows y perfiles MDM para macOS y dispositivos móviles. El perfil debe especificar exactamente en qué autoridad de certificación confiar y cuál es el nombre de servidor esperado. No deje esto a la elección del usuario para que lo configure manualmente. No aplicar esta medida es el principal vector de ataque para el robo de credenciales en despliegues PEAP.

Despliegue al menos dos instancias de servidor RADIUS. Configure todos los puntos de acceso para que realicen una conmutación por error al secundario si el principal deja de estar accesible. En el caso de Cloud RADIUS, esta redundancia está integrada y la gestiona el proveedor. Para instalaciones locales (on-premises), despliegue un clúster activo-activo en dos ubicaciones separadas geográficamente.

Utilice la omisión de autenticación MAC (MAB) para dispositivos IoT sin interfaz. Las impresoras, los sensores y la señalización digital no pueden presentar credenciales 802.1X. MAB permite la autenticación basada en la dirección MAC. Dado que las direcciones MAC se pueden suplantar fácilmente, asocie siempre los dispositivos autenticados por MAB con una VLAN restrictiva y reglas de firewall que bloqueen el acceso a los recursos corporativos.

Rote los secretos compartidos con regularidad. El secreto compartido entre sus puntos de acceso y su servidor RADIUS debe ser largo, aleatorio y rotarse periódicamente. Un secreto compartido débil o predeterminado debilita toda la cadena de autenticación.

Valide la segmentación con pruebas de penetración. La configuración por sí sola no constituye una prueba. Encargue una prueba de penetración que incluya explícitamente el entorno inalámbrico y la validación de la segmentación VLAN. Un evaluador debe intentar activamente acceder a los recursos corporativos desde la VLAN de invitados y documentar que todos los intentos son bloqueados. Esta es la prueba que su Qualified Security Assessor de PCI DSS necesita.

Resolución de problemas y mitigación de riesgos

Los fallos más comunes en los despliegues de servidores RADIUS se dividen en cuatro categorías.

Discrepancia en el secreto compartido. Si el secreto compartido configurado en el punto de acceso no coincide con el secreto del servidor RADIUS, todos los intentos de autenticación fallarán silenciosamente. Copie y pegue siempre los secretos compartidos en lugar de escribirlos manualmente. Verifique la configuración en ambos lados antes de realizar las pruebas.

Caducidad del certificado. En los despliegues locales, si el certificado del servidor caduca, todos los dispositivos cliente rechazarán la conexión. Esto provoca una interrupción total de la autenticación sin una degradación gradual. Los proveedores de Cloud RADIUS automatizan la rotación de certificados, eliminando este riesgo. Para despliegues locales, configure alertas de monitorización a los 60, 30 y siete días antes de la caducidad.

No se exige la validación del certificado del cliente. Si los clientes PEAP no están configurados para validar el certificado del servidor, se conectarán a cualquier servidor RADIUS que responda, incluidos los puntos de acceso no autorizados. Exija la validación de certificados mediante perfiles GPO o MDM en cada dispositivo gestionado.

Dependencia de la red WAN para Cloud RADIUS. Cloud RADIUS depende por completo del enlace WAN de cada establecimiento. Si la conexión a Internet se cae, la autenticación falla. Implemente una estrategia de supervivencia local: configure los puntos de acceso para almacenar en caché las credenciales del personal crítico o utilice SD-WAN para garantizar la alta disponibilidad del enlace de Internet. Configure siempre una política de respaldo, ya sea el acceso abierto a una VLAN restringida o credenciales almacenadas localmente en caché.

ROI e impacto empresarial

El despliegue de una arquitectura de servidor RADIUS transforma la red inalámbrica de una vulnerabilidad a un activo gestionado y seguro con beneficios operativos medibles.

Para un grupo hotelero europeo con 45 propiedades, la migración de 45 instancias locales de FreeRADIUS a Cloud RADIUS recuperó aproximadamente el 40 % del tiempo de mantenimiento del equipo de TI central (datos internos de Purple). Se trata de capacidad de ingeniería redirigida del mantenimiento básico a iniciativas estratégicas.

Para una cadena minorista que se prepara para una auditoría de PCI DSS, la segmentación de red adecuada mediante la asignación dinámica de VLAN elimina por completo la red WiFi de invitados del alcance del Entorno de Datos de Tarjetas de Pago. Las plataformas como Guest WiFi de Purple funcionan en la VLAN orientada a los invitados, completamente aisladas del tráfico de pago. La plataforma de análisis queda fuera del alcance de PCI y la empresa conserva la libertad de desplegar herramientas que generen ingresos (análisis de invitados, programas de fidelización, captación de clientes) de forma segura y fiable.

Para organizaciones con más de 10 sedes y menos de cinco ingenieros de red, el gasto operativo predecible de Cloud RADIUS suele ofrecer un retorno de la inversión positivo en un plazo de 18 meses en comparación con el mantenimiento de la infraestructura local (datos internos de Purple). La adquisición de hardware, la energía, la refrigeración y el tiempo de ingeniería para implementaciones locales a escala superan sistemáticamente el coste de suscripción de un servicio gestionado de Cloud RADIUS.

Purple opera en más de 80.000 recintos activos con un tiempo de actividad del 99,999 %, certificación ISO 27001, conformidad con GDPR y CCPA, y certificación Cyber Essentials. Para los equipos de TI que necesitan demostrar la diligencia debida a su junta directiva o auditores, estas certificaciones proporcionan la validación de terceros que una implementación local autogestionada no puede ofrecer.

Para obtener una comparación detallada de Cloud RADIUS de Purple frente a otras plataformas alternativas, consulte la comparación de funciones y coimplementación de Aruba ClearPass frente a Purple WiFi .