Configuración de autenticación RADIUS para redes WiFi de invitados y personal

Resumen Ejecutivo

En los entornos empresariales modernos, asegurar las redes inalámbricas es un requisito operativo crítico. Los métodos de seguridad heredados, como las claves precompartidas (PSK) compartidas, introducen vulnerabilidades de seguridad significativas. Si un solo empleado deja la organización, o si un invitado compromete una contraseña compartida, toda la postura de seguridad de la red se ve comprometida. Esta guía detalla cómo implementar RADIUS para centralizar el control de acceso, aplicar políticas de seguridad granulares y segmentar el tráfico de invitados y del personal.

Al realizar la transición a una arquitectura RADIUS centralizada, las organizaciones pueden implementar la autenticación 802.1X para el personal - asegurando que cada dispositivo se autentique con credenciales únicas y revocables - mientras utilizan Captive Portals seguros y la omisión de autenticación MAC (MAB) para los usuarios invitados. Esta referencia técnica proporciona los planos arquitectónicos, los pasos de configuración y los marcos de resolución de problemas necesarios para implementar una infraestructura de autenticación WiFi inalámbrica resistente y de clase empresarial.

Profundización Técnica

El Marco AAA

RADIUS opera bajo el marco AAA, el cual define las fases principales del control de acceso:

1. Autenticación: Verificar la identidad del usuario o dispositivo que intenta conectarse a la red WiFi. Esto se logra mediante credenciales, certificados digitales o tokens.
2. Autorización: Determinar el nivel de acceso a la red otorgado a la entidad autenticada. Esto incluye asignar VLANs específicas, aplicar Listas de Control de Acceso (ACLs) o imponer límites de ancho de banda.
3. Contabilidad (Accounting): Rastrear el consumo de recursos de la red, incluyendo la duración de la sesión, los datos transferidos y las horas de inicio/cierre de sesión. Estos datos son críticos para la auditoría, el cumplimiento y la planificación de la red.
4. Auditoría: Revisar los datos de contabilidad recopilados para identificar anomalías, brechas de seguridad o violaciones de políticas.

Componentes de la Arquitectura RADIUS

Una implementación RADIUS empresarial estándar consta de tres componentes principales:

• El Suplicante: El software cliente que se ejecuta en el dispositivo del usuario (por ejemplo, laptop, smartphone) que solicita acceso a la red y proporciona credenciales o certificados.
• El Autenticador (Servidor de Acceso a la Red / NAS): El dispositivo de red físico o virtual - típicamente un controlador de LAN inalámbrica (WLC) o un punto de acceso (AP) - que controla el acceso físico a la red. El autenticador no decide si las credenciales son válidas; actúa como un proxy, empaquetando la solicitud de autenticación en paquetes RADIUS y reenviándolos al servidor RADIUS.
• El servidor de autenticación: el servidor central (como FreeRADIUS, Cisco ISE, Aruba ClearPass o el motor RADIUS basado en la nube de Purple) que valida las credenciales frente a un almacén de identidad (por ejemplo, Active Directory, LDAP o un proveedor de identidad en la nube) y devuelve un mensaje de Access-Accept o Access-Reject al autenticador.

Métodos EAP para WiFi del personal

Para las redes del personal, se utiliza el Protocolo de Autenticación Extensible (EAP) dentro de la estructura de 802.1X para negociar la autenticación. Los dos métodos EAP empresariales más comunes son:

• PEAP-MSCHAPv2 (PEAP protegido): este método establece un túnel TLS seguro y cifrado entre el suplicante y el servidor RADIUS utilizando el certificado digital del servidor. Dentro de este túnel seguro, el nombre de usuario y la contraseña del usuario se autentican mediante el protocolo MSCHAPv2. Esto es muy popular debido a su facilidad de implementación, ya que no requiere la instalación de certificados en los dispositivos de los clientes.
• EAP-TLS: el método de autenticación más seguro disponible. Requiere autenticación mutua, lo que significa que tanto el servidor RADIUS como el dispositivo cliente deben presentar certificados digitales válidos. Esto elimina los ataques basados en contraseñas, pero requiere una Infraestructura de Clave Pública (PKI) robusta para gestionar la distribución y revocación de certificados.

Flujo de autenticación de WiFi para invitados

Las redes de invitados suelen utilizar un flujo diferente para equilibrar la seguridad con la comodidad del usuario. En lugar de 802.1X, las redes de invitados a menudo utilizan un SSID abierto combinado con un Captive Portal.

Cuando un invitado se conecta, el autenticador utiliza la omisión de autenticación MAC (MAB) o una política de redirección para enviar al usuario a un Captive Portal alojado en una plataforma como Purple. Una vez que el usuario completa el proceso de registro o inicio de sesión en el portal, la plataforma del portal se comunica con el servidor RADIUS, que luego envía un mensaje de Access-Accept al WLC/AP, autorizando la dirección MAC del invitado para el acceso a la red durante una duración de sesión específica.

Transporte seguro: RadSec

El tráfico RADIUS tradicional se envía a través de UDP (puertos 1812 para autenticación y 1813 para contabilidad) en texto plano, con solo el campo de contraseña de usuario ofuscado mediante un secreto compartido. Esto introduce riesgos de seguridad al enrutar el tráfico de autenticación a través de conexiones WAN públicas o internet.

Para mitigar esto, se debe implementar RadSec (RADIUS sobre TLS). RadSec envuelve los paquetes RADIUS estándar dentro de un túnel TLS seguro (normalmente utilizando el puerto TCP 2083). Esto garantiza que todos los datos de autenticación y contabilidad, incluidos los nombres de usuario, las direcciones MAC y los atributos de la sesión, estén completamente cifrados durante el tránsito entre la red local y los servidores RADIUS basados en la nube.

Guía de implementación

Paso 1: Definir clientes RADIUS en el servidor

Antes de que cualquier dispositivo de red pueda comunicarse con el servidor RADIUS, debe registrarse como cliente.

1. Inicie sesión en la consola de administración de su servidor RADIUS.
2. Navegue a la sección de Clientes o Dispositivos de red.
3. Agregue una nueva entrada de cliente para cada WLC o AP.
4. Ingrese la dirección IP o subred del autenticador.
5. Genere un secreto compartido de alta entropía. Este secreto debe tener al menos 22 caracteres de longitud y contener una combinación de letras mayúsculas, letras minúsculas, números y caracteres especiales. Evite el uso de palabras sencillas de diccionario.

Paso 2: Configurar el Controlador de LAN Inalámbrica (WLC) / Puntos de Acceso

Configure su hardware inalámbrico para que apunte al servidor RADIUS para la autenticación y la contabilidad.

1. Inicie sesión en la interfaz de administración de su WLC o AP.
2. Navegue a Seguridad > AAA > RADIUS > Autenticación.
3. Agregue un nuevo Servidor de Autenticación RADIUS:
   • Dirección IP del Servidor: Ingrese la dirección IP de su servidor RADIUS principal.
   • Secreto Compartido: Ingrese exactamente el secreto compartido configurado en el Paso 1.
   • Puerto: 1812 (o 2083 si utiliza RadSec).
   • Tiempo de Espera: Establézcalo en 5 segundos para permitir la latencia de la red.
   • Recuento de Reintentos: Establézcalo en 3.
4. Navegue a Contabilidad RADIUS y agregue una nueva entrada de servidor utilizando el puerto 1813 (o 2083 para RadSec).
5. Repita estos pasos para agregar un servidor RADIUS secundario (de respaldo) para una alta disponibilidad.

Paso 3: Configurar el SSID del Personal (802.1X)

1. Cree un nuevo SSID llamado Staff_Enterprise.
2. Establezca el Tipo de Seguridad en WPA3-Enterprise (o modo de transición WPA2/WPA3-Enterprise si se requiere compatibilidad con dispositivos heredados).
3. Seleccione 802.1X como el protocolo de administración de claves.
4. Asocie el SSID con los servidores de autenticación y contabilidad RADIUS configurados en el Paso 2.
5. Vincule el SSID a la VLAN segura del personal (por ejemplo, VLAN 10).

Paso 4: Configurar el SSID de Invitados con Captive Portal

1. Cree un nuevo SSID llamado Guest_WiFi.
2. Establezca el Tipo de Seguridad en Abierto (o Abierto Mejorado / OWE para cifrado inalámbrico oportunista).
3. Habilite el Filtrado MAC o la Autenticación MAC y apúntelo al servidor RADIUS.
4. Habilite la redirección de Captive Portal / Portal Web.
5. Configure la URL de redirección para que apunte a la página de inicio de sesión de Purple captive portal.
6. Configure el Walled Garden (ACLs de preautenticación) para permitir el tráfico al dominio de captive portal, servidores DNS y los recursos de CDN necesarios antes de que se complete la autenticación.
7. Vincule el SSID a una VLAN de invitados aislada (por ejemplo, VLAN 20).

Mejores Prácticas

Alta Disponibilidad y Redundancia

Despliegue siempre servidores RADIUS en pares redundantes (principal y secundario). Asegúrese de que estos servidores estén ubicados en hardware físico diferente o en diferentes zonas de disponibilidad en la nube. Configure sus WLCs para realizar una conmutación por error sin problemas al servidor secundario si el servidor principal deja de responder. Implemente el equilibrio de carga donde sea apropiado para distribuir el tráfico de autenticación de manera uniforme.

Administración de Certificados

Para implementaciones de PEAP y EAP-TLS, la validez y la confianza del certificado del servidor RADIUS son primordiales.

• Utilice un certificado emitido por una Autoridad de Certificación (CA) pública de confianza para los portales de invitados y los despliegues PEAP con el fin de evitar avisos de advertencia de certificado en los dispositivos de los usuarios.
• Para EAP-TLS, establezca una CA privada interna dedicada para emitir y gestionar los certificados de cliente y servidor.
• Supervise de cerca las fechas de caducidad de los certificados e implemente procesos de renovación automatizados (como SCEP o ACME) para evitar fallos repentinos de autenticación en toda la red.

Segmentación de VLAN

Segmente estrictamente el tráfico de su red utilizando VLAN. El tráfico de invitados debe estar completamente aislado de los recursos corporativos. Implemente reglas de firewall en el switch principal o gateway para evitar el enrutamiento inter-VLAN entre la VLAN de invitados y las VLAN de personal/administración. Permita únicamente que el tráfico de invitados se enrute directamente a internet.

Tiempo de Espera de la Sesión e Intervalos de Contabilidad

Configure tiempos de espera de sesión adecuados para evitar que las sesiones inactivas consuman direcciones IP y recursos de red.

• Para las redes de personal, establezca un tiempo de espera de sesión de 8 a 12 horas, alineándose con un turno de trabajo estándar.
• Para las redes de invitados, establezca un tiempo de espera de sesión más corto, de 2 a 4 horas.
• Configure el intervalo de actualización provisional de contabilidad de RADIUS entre 10 o 15 minutos. Esto garantiza que el servidor RADIUS reciba actualizaciones periódicas sobre la conectividad del dispositivo y el uso de datos sin saturar al servidor con paquetes de contabilidad.

Resolución de Problemas y Mitigación de Riesgos

Modos de Fallo Comunes y Soluciones

1. Discrepancia en el Secreto Compartido

• Síntoma: Los logs del WLC muestran "El servidor RADIUS no responde" y los logs del servidor RADIUS muestran "Paquete descartado - autenticador no válido" o "Autenticador incorrecto en la solicitud".
• Causa Raíz: El secreto compartido configurado en el WLC no coincide con el secreto compartido configurado en el servidor RADIUS.
• Mitigación: Vuelva a introducir el secreto compartido en ambos dispositivos, asegurándose de que no se copien espacios al final ni caracteres ocultos.

2. Problemas de Confianza en los Certificados

• Síntoma: Los dispositivos cliente no logran conectarse al SSID de personal, mostrando errores como "Certificado de servidor no confiable" o "Conexión rechazada".
• Causa Raíz: El dispositivo cliente no confía en la CA que firmó el certificado del servidor RADIUS, o el certificado ha caducado.
• Mitigación: Asegúrese de que los certificados de la CA raíz e intermedia estén instalados en el almacén de raíces de confianza del dispositivo cliente. Para los dispositivos gestionados por la empresa, distribuya estos certificados a través de un MDM o directivas de grupo.

3. Bloqueos de Firewall

• Síntoma: El servidor RADIUS no recibe tráfico del WLC, a pesar de que se ha verificado el enrutamiento.
• Causa Raíz: Los firewalls intermedios están bloqueando los puertos UDP 1812 y 1813.
• Mitigación: Cree reglas de firewall explícitas para permitir UDP 1812 y 1813 (o TCP 2083 para RadSec) entre la IP de administración del WLC y la IP del servidor RADIUS.

4. Tiempos de Espera Inducidos por la Latencia

• Síntoma: Fallos de autenticación intermitentes, particularmente durante las horas pico o al utilizar servidores RADIUS basados en la nube.
• Causa raíz: La latencia de la red supera el umbral de tiempo de espera de RADIUS del WLC, lo que hace que el WLC asuma que el servidor está fuera de línea.
• Mitigación: Incremente la configuración del tiempo de espera de RADIUS del WLC del valor predeterminado (normalmente 2 segundos) a 5 o 7 segundos. Optimice el enrutamiento WAN o implemente proxies RADIUS locales para almacenar en caché las solicitudes de autenticación.

ROI e impacto empresarial

La transición a un modelo de autenticación RADIUS centralizado ofrece un valor empresarial medible en varias áreas clave:

• Reducción de los gastos operativos: Elimina el esfuerzo manual necesario para rotar las contraseñas compartidas de WiFi cuando el personal deja la organización. Las cuentas de usuario se pueden desactivar instantáneamente en Active Directory o en su proveedor de identidad, revocando de inmediato su acceso a la red.
• Mejora de la postura de seguridad: Mitiga el riesgo de filtraciones de datos causadas por el robo de credenciales o el acceso no autorizado a la red. Al aplicar 802.1X y la autenticación basada en certificados, las organizaciones garantizan que solo los dispositivos autorizados y que cumplen con las normativas puedan acceder a los recursos corporativos confidenciales.
• Optimización de las operaciones del recinto: Al integrar el WiFi para invitados con la plataforma RADIUS en la nube de Purple, los operadores de los recintos capturan valiosos datos demográficos y de comportamiento. Estos datos se pueden utilizar para diseñar campañas de marketing dirigidas, mejorar la interacción con los visitantes y optimizar el uso del espacio físico en función del análisis de afluencia.
• Cumplimiento normativo: Los registros de contabilidad centralizados de RADIUS proporcionan una pista de auditoría del acceso a la red, lo que ayuda a las organizaciones a cumplir con los requisitos de conformidad para estándares como PCI-DSS, ISO 27001 y GDPR.