Configuring RADIUS Authentication for Guest and Staff WiFi Networks

Resumen Ejecutivo

En los entornos empresariales modernos, proteger las redes inalámbricas es un requisito operativo crítico. Los métodos de seguridad heredados, como las claves previamente compartidas (PSKs), introducen vulnerabilidades de seguridad significativas. Si un solo empleado deja una organización, o si un invitado compromete una contraseña compartida, la postura de seguridad de toda la red se ve comprometida. Esta guía detalla cómo implementar Remote Authentication Dial-In User Service (RADIUS) para centralizar el control de acceso, aplicar políticas de seguridad granulares y segmentar el tráfico de invitados y del personal.

Al realizar la transición a una arquitectura RADIUS centralizada, las organizaciones pueden implementar la autenticación 802.1X para el personal - garantizando que cada dispositivo se autentique con credenciales únicas y revocables - al mismo tiempo que utilizan Captive Portals seguros y MAC Authentication Bypass (MAB) para los usuarios invitados. Esta referencia técnica proporciona los planos arquitectónicos, los pasos de configuración y los marcos de solución de problemas necesarios para implementar una infraestructura de autenticación inalámbrica resistente y de clase empresarial.

Análisis Técnico Detallado

El Marco AAA

RADIUS opera bajo el marco AAA, que define las fases principales del control de acceso:

1. Autenticación: Verificar la identidad del usuario o dispositivo que intenta conectarse a la red WiFi. Esto se logra mediante credenciales, certificados digitales o tokens.
2. Autorización: Determinar el nivel de acceso a la red otorgado a la entidad autenticada. Esto incluye la asignación de VLANs específicas, la aplicación de Listas de Control de Acceso (ACLs) o la imposición de límites de ancho de banda.
3. Contabilidad (Accounting): Monitorear el consumo de recursos de la red, incluyendo la duración de la sesión, los datos transferidos y las horas de inicio/cierre de sesión. Estos datos son críticos para la auditoría, el cumplimiento y la planificación de la red.
4. Auditoría: Revisar los datos de contabilidad recopilados para identificar anomalías, violaciones de seguridad o incumplimientos de políticas.

Componentes de la Arquitectura RADIUS

Una implementación estándar de RADIUS para empresas consta de tres componentes principales:

• El Suplicante (Supplicant): El software cliente que se ejecuta en el dispositivo del usuario (por ejemplo, laptop, smartphone) que solicita acceso a la red y proporciona credenciales o certificados.
• El Autenticador (Servidor de Acceso a la Red / NAS): El dispositivo de red físico o virtual - típicamente un controlador de LAN inalámbrica (WLC) o un punto de acceso (AP) - que controla el acceso físico a la red. El autenticador no decide si las credenciales son válidas; actúa como un proxy, empaquetando la solicitud de autenticación en paquetes RADIUS y reenviándolos al servidor RADIUS.
• El Servidor de Autenticación: El servidor central (como FreeRADIUS, Cisco ISE, Aruba ClearPass o el motor RADIUS basado en la nube de Purple) que valida las credenciales frente a un almacén de identidades (por ejemplo, Active Directory, LDAP o un proveedor de identidad en la nube) y devuelve un mensaje de Access-Accept o Access-Reject al autenticador.

Métodos EAP para el WiFi del Personal

Para redes del personal, se utiliza el Protocolo de Autenticación Extensible (EAP) dentro del marco de trabajo 802.1X para negociar la autenticación. Los dos métodos EAP empresariales más comunes son:

• PEAP-MSCHAPv2 (EAP protegido): Este método establece un túnel TLS seguro y cifrado entre el suplicante y el servidor RADIUS utilizando el certificado digital del servidor. Dentro de este túnel seguro, el nombre de usuario y la contraseña del usuario se autentican mediante el protocolo MSCHAPv2. Esto es muy popular debido a su facilidad de implementación, ya que no requiere la instalación de certificados en los dispositivos cliente.
• EAP-TLS: El método de autenticación más seguro disponible. Requiere autenticación mutua, lo que significa que tanto el servidor RADIUS como el dispositivo cliente deben presentar certificados digitales válidos. Esto elimina los ataques basados en contraseñas, pero requiere una Infraestructura de Clave Pública (PKI) sólida para gestionar la distribución y revocación de certificados.

Flujo de autenticación de WiFi para invitados

Las redes de invitados suelen utilizar un flujo diferente para equilibrar la seguridad con la comodidad del usuario. En lugar de 802.1X, las redes de invitados a menudo utilizan un SSID abierto combinado con un Captive Portal.

Cuando un invitado se conecta, el autenticador utiliza la omisión de autenticación MAC (MAB) o una política de redirección para enviar al usuario a un captive portal alojado por una plataforma como Purple. Una vez que el usuario completa el proceso de registro o inicio de sesión en el portal, la plataforma del portal se comunica con el servidor RADIUS, que luego envía un mensaje Access-Accept al WLC/AP, autorizando la dirección MAC del invitado para el acceso a la red durante una duración de sesión específica.

Transporte seguro: RadSec

El tráfico RADIUS tradicional se envía a través de UDP (puertos 1812 para autenticación y 1813 para contabilidad) en texto claro, con solo el campo de contraseña del usuario ofuscado mediante un secreto compartido. Esto introduce riesgos de seguridad al enrutar el tráfico de autenticación a través de conexiones WAN públicas o internet.

Para mitigar esto, se debe implementar RadSec (RADIUS sobre TLS). RadSec envuelve los paquetes RADIUS estándar dentro de un túnel TLS seguro (normalmente utilizando el puerto TCP 2083). Esto garantiza que todos los datos de autenticación y contabilidad, incluidos los nombres de usuario, las direcciones MAC y los atributos de la sesión, estén completamente cifrados durante el tránsito entre la red local y los servidores RADIUS basados en la nube.

Guía de implementación

Paso 1: Definir clientes RADIUS en el servidor

Antes de que cualquier dispositivo de red pueda comunicarse con el servidor RADIUS, debe registrarse como cliente.

1. Inicie sesión en la consola de administración de su servidor RADIUS.
2. Navegue a la sección Clientes o Dispositivos de red.
3. Añada una nueva entrada de cliente para cada WLC o AP.
4. Introduzca la dirección IP o subred del autenticador.
5. Genere un secreto compartido de alta entropía. Este secreto debe tener al menos 22 caracteres de longitud y contener una mezcla de letras mayúsculas, letras minúsculas, números y caracteres especiales. Evite el uso de palabras sencillas de diccionario.

Paso 2: Configurar el controlador de LAN inalámbrica (WLC) / puntos de acceso

Configure su hardware inalámbrico para que apunte al servidor RADIUS para la autenticación y el registro de actividad (accounting).

1. Inicie sesión en la interfaz de administración de su WLC o AP.
2. Vaya a Security > AAA > RADIUS > Authentication.
3. Agregue un nuevo servidor de autenticación RADIUS:
   • Server IP Address: Ingrese la dirección IP de su servidor RADIUS primario.
   • Shared Secret: Ingrese la clave secreta compartida exacta configurada en el Paso 1.
   • Port: 1812 (o 2083 si utiliza RadSec).
   • Timeout: Establézcalo en 5 segundos para permitir la latencia de red.
   • Retry Count: Establézcalo en 3.
4. Vaya a RADIUS Accounting y agregue una nueva entrada de servidor utilizando el puerto 1813 (o 2083 para RadSec).
5. Repita estos pasos para agregar un servidor RADIUS secundario (de respaldo) para alta disponibilidad.

Step 3: Configure the Staff SSID (802.1X)

1. Cree un nuevo SSID llamado Staff_Enterprise.
2. Establezca el tipo de seguridad en WPA3-Enterprise (o modo de transición WPA2/WPA3-Enterprise si se requiere compatibilidad con dispositivos heredados).
3. Seleccione 802.1X como el protocolo de gestión de claves.
4. Asocie el SSID con los servidores de autenticación y registro RADIUS configurados en el Paso 2.
5. Asigne el SSID a la VLAN segura de personal (por ejemplo, VLAN 10).

Step 4: Configure the Guest SSID with Captive Portal

1. Cree un nuevo SSID llamado Guest_WiFi.
2. Establezca el tipo de seguridad en Open (o Enhanced Open / OWE para cifrado inalámbrico oportunista).
3. Habilite MAC Filtering o MAC Authentication y apúntelo al servidor RADIUS.
4. Habilite la redirección de Captive Portal / Web Portal.
5. Configure la URL de redirección para que apunte a la página de inicio de sesión del Captive Portal de Purple.
6. Configure el Walled Garden (ACL previas a la autenticación) para permitir el tráfico al dominio del Captive Portal, servidores DNS y los recursos de CDN necesarios antes de que se complete la autenticación.
7. Asigne el SSID a una VLAN de invitados aislada (por ejemplo, VLAN 20).

Mejores prácticas

Alta disponibilidad y redundancia

Implemente siempre servidores RADIUS en pares redundantes (primario y secundario). Asegúrese de que estos servidores estén ubicados en hardware físico diferente o en diferentes zonas de disponibilidad en la nube. Configure sus WLC para realizar una conmutación por error sin problemas al servidor secundario si el servidor primario deja de responder. Implemente el equilibrio de carga cuando sea apropiado para distribuir el tráfico de autenticación de manera uniforme.

Gestión de certificados

Para implementaciones PEAP y EAP-TLS, la validez y la confianza del certificado del servidor RADIUS son primordiales.

• Utilice un certificado emitido por una Autoridad de Certificación (CA) pública de confianza para los portales de invitados y las implementaciones PEAP para evitar avisos de advertencia de certificado en los dispositivos de los usuarios.
• Para EAP-TLS, establezca una CA privada interna dedicada para emitir y gestionar certificados de cliente y servidor.
• Monitoree de cerca las fechas de vencimiento de los certificados e implemente procesos de renovación automatizados (como SCEP o ACME) para evitar fallas repentinas de autenticación en toda la red.

Segmentación de VLAN

Segmente estrictamente el tráfico de su red mediante VLANs. El tráfico de invitados debe estar completamente aislado de los recursos corporativos. Implemente reglas de firewall en el switch principal o gateway para evitar el enrutamiento inter-VLAN entre la VLAN de invitados y las VLANs de personal/administración. Permita únicamente que el tráfico de invitados se enrute directamente a internet.

Tiempo de espera de sesión e intervalos de contabilidad

Configure tiempos de espera de sesión adecuados para evitar que las sesiones inactivas consuman direcciones IP y recursos de red.

• Para redes de personal, establezca un tiempo de espera de sesión de 8 a 12 horas, alineándose con un turno de trabajo estándar.
• Para redes de invitados, establezca un tiempo de espera de sesión más corto, de 2 a 4 horas.
• Configure el intervalo de actualización provisional de contabilidad de RADIUS entre 10 y 15 minutos. Esto garantiza que el servidor RADIUS reciba actualizaciones periódicas sobre la conectividad del dispositivo y el uso de datos sin saturar al servidor con paquetes de contabilidad.

Solución de problemas y mitigación de riesgos

Errores comunes y soluciones

1. Discordancia de secreto compartido (Shared Secret)

• Síntoma: Los registros del WLC muestran "El servidor RADIUS no responde" y los registros del servidor RADIUS muestran "Paquete descartado - autenticador no válido" o "Autenticador incorrecto en la solicitud".
• Causa raíz: El secreto compartido configurado en el WLC no coincide con el secreto compartido configurado en el servidor RADIUS.
• Mitigación: Vuelva a ingresar el secreto compartido en ambos dispositivos, asegurándose de que no se copien espacios al final ni caracteres ocultos.

2. Problemas de confianza de certificados

• Síntoma: Los dispositivos cliente no pueden conectarse al SSID de personal, mostrando errores como "Certificado de servidor no confiable" o "Conexión rechazada".
• Causa raíz: El dispositivo cliente no confía en la CA que firmó el certificado del servidor RADIUS, o el certificado ha expirado.
• Mitigación: Asegúrese de que los certificados de CA raíz e intermedias estén instalados en el almacén de raíces de confianza del dispositivo cliente. Para dispositivos administrados por la empresa, distribuya estos certificados a través de MDM o políticas de grupo.

3. Bloqueos de firewall

• Síntoma: El servidor RADIUS no recibe tráfico del WLC, aunque se haya verificado el enrutamiento.
• Causa raíz: Los firewalls intermedios están bloqueando los puertos UDP 1812 y 1813.
• Mitigación: Cree reglas de firewall explícitas para permitir UDP 1812 y 1813 (o TCP 2083 para RadSec) entre la IP de administración del WLC y la IP del servidor RADIUS.

4. Tiempos de espera provocados por la latencia

• Síntoma: Fallas de autenticación intermitentes, particularmente durante las horas pico o al usar servidores RADIUS basados en la nube.
• Causa raíz: La latencia de la red supera el umbral de tiempo de espera de RADIUS del WLC, lo que hace que el WLC asuma que el servidor está fuera de línea.
• Mitigación: Aumente la configuración del tiempo de espera de RADIUS del WLC de su valor predeterminado (normalmente 2 segundos) a 5 o 7 segundos. Optimice el enrutamiento WAN o implemente proxies RADIUS locales para almacenar en caché las solicitudes de autenticación.

ROI e impacto empresarial

La transición a un modelo de autenticación RADIUS centralizado ofrece un valor empresarial medible en varias áreas clave:

• Reducción de la carga operativa: Elimina el esfuerzo manual requerido para rotar las contraseñas compartidas de WiFi cuando el personal deja la organización. Las cuentas de usuario se pueden deshabilitar instantáneamente en Active Directory o en su proveedor de identidad, revocando de inmediato su acceso a la red.
• Mejor postura de seguridad: Mitiga el riesgo de filtraciones de datos causadas por el robo de credenciales o el acceso no autorizado a la red. Al aplicar la autenticación basada en certificados y 802.1X, las organizaciones garantizan que solo los dispositivos autorizados y que cumplen con las normativas puedan acceder a los recursos corporativos confidenciales.
• Operaciones de recintos optimizadas: Al integrar el WiFi de invitados con la plataforma cloud RADIUS de Purple, los operadores de los recintos recopilan valiosos datos demográficos y de comportamiento. Estos datos se pueden utilizar para diseñar campañas de marketing dirigidas, mejorar la interacción con los visitantes y optimizar el uso del espacio físico con base en análisis de afluencia.
• Cumplimiento normativo: Los registros de contabilidad centralizados de RADIUS proporcionan un historial de auditoría del acceso a la red, lo que ayuda a las organizaciones a cumplir con los requisitos de cumplimiento de estándares como PCI-DSS, ISO 27001 y GDPR.