¿Qué es la autenticación RADIUS y cómo funciona?

### ¿Qué es la autenticación RADIUS y cómo funciona? — Resumen técnico de Purple **[INTRODUCCIÓN — 1 minuto]** Bienvenido al resumen técnico de Purple. Soy su anfitrión, y en los próximos diez minutos vamos a desmitificar una de las tecnologías más críticas para la seguridad de las redes empresariales: la autenticación RADIUS. Si usted es un gerente de TI, un arquitecto de redes o un CTO responsable del WiFi en un recinto de gran tamaño (un hotel, una cadena de tiendas, un estadio o un centro de convenciones), este resumen está diseñado específicamente para usted. Dejaremos de lado los tecnicismos, explicaremos la arquitectura con claridad y le ofreceremos la información práctica que necesita para tomar decisiones fundamentadas este trimestre. Comencemos con el panorama general. ¿Por qué es importante todo esto? Si todavía opera el WiFi de sus invitados o de su personal con una sola contraseña compartida (una clave precompartida o PSK), está operando bajo un riesgo de seguridad significativo y en constante crecimiento. Esa contraseña se comparte, se escribe en recibos, se fotografía en pizarrones y se reenvía a través de aplicaciones de mensajería. Una vez que se divulga, usted pierde la visibilidad de quién está en su red, la capacidad de revocar el acceso a un solo usuario sin interrumpir a los demás y el historial de auditoría en caso de que algo salga mal. Para las organizaciones sujetas a PCI DSS, GDPR o HIPAA, esto no es solo un problema técnico. Es una responsabilidad de cumplimiento normativo. RADIUS es la solución en la que la industria ha convergido para resolver esto. Así que entendamos exactamente qué es y cómo funciona. **[ANÁLISIS TÉCNICO DETALLADO — 5 minutos]** RADIUS significa Remote Authentication Dial-In User Service (Servicio de usuario de acceso telefónico de autenticación remota). El nombre es un artefacto histórico de los inicios del internet por marcación telefónica, pero el protocolo ha evolucionado significativamente y sigue siendo la columna vertebral del control de acceso a redes empresariales en la actualidad. En su núcleo, RADIUS es un sistema centralizado basado en servidores que gestiona el acceso a la red mediante un marco de trabajo llamado AAA: Autenticación, Autorización y Contabilidad (Authentication, Authorization, and Accounting). Estos tres pilares son la base de todo lo que analizaremos hoy. La autenticación es el primer pilar: verificar quién es alguien. La autorización es el segundo: determinar qué tiene permitido hacer. Y la contabilidad es el tercero: registrar lo que realmente hizo. Exploremos cada uno de ellos. Autenticación. Cuando un usuario intenta conectarse a una red WiFi protegida con WPA2-Enterprise o WPA3-Enterprise, su dispositivo (al que llamamos el Suplicante) envía una solicitud de conexión al punto de acceso inalámbrico. El punto de acceso, al que llamamos el Autenticador, no toma la decisión de autenticación por sí mismo. Actúa como un intermediario, reenviando la solicitud al servidor RADIUS. Luego, el servidor RADIUS valida la identidad del usuario frente a una fuente de identidad configurada. Esta podría ser Microsoft Active Directory, Azure Active Directory, Google Workspace, Okta o una base de datos de usuarios local. La fuente de identidad es la única fuente de verdad sobre quién tiene permitido acceder a su red. El servidor RADIUS puede validar la identidad de varias maneras. Las más comunes en entornos empresariales son los métodos basados en credenciales, donde el usuario proporciona un nombre de usuario y contraseña, y los métodos basados en certificados, donde el dispositivo del usuario presenta un certificado digital. Hablaremos de las implicaciones de seguridad de cada uno en breve. Autorización. Una vez que el usuario está autenticado, el servidor RADIUS no solo dice que sí y se hace a un lado. También le indica al punto de acceso exactamente qué hacer con este usuario. Envía de vuelta un conjunto de atributos —instrucciones, esencialmente— que definen la experiencia de red del usuario. El más importante de estos suele ser la asignación de VLAN. El servidor RADIUS podría decir: este usuario es miembro del grupo de personal corporativo, asígnalo a la VLAN diez, que tiene acceso a servidores de archivos e impresoras internos. O: este usuario es un invitado, asígnalo a la VLAN veinte, que solo tiene acceso a internet y está completamente aislada de la red corporativa. Esta asignación dinámica de VLAN es una de las funciones más potentes de RADIUS, y es el mecanismo que permite una segmentación de red adecuada. Contabilidad (Accounting). El tercer pilar a menudo se pasa por alto, pero es de vital importancia para el cumplimiento y las operaciones. A medida que avanza la sesión de un usuario, el servidor RADIUS registra información clave: la hora en que se conectó, la hora en que se desconectó, la duración total de la sesión, la cantidad de datos que transfirió y la dirección MAC de su dispositivo. Esto crea un registro de auditoría detallado para cada conexión en su red. Bajo PCI DSS 4.0, este tipo de registro no es opcional, es un requisito estricto. Y en caso de un incidente de seguridad, estos registros son invaluables para la investigación forense. Ahora, hablemos del estándar técnico que hace que todo esto funcione: IEEE 802.1X. 802.1X es el estándar que define el control de acceso a la red basado en puertos. Es el protocolo que permite a un punto de acceso bloquear todo el tráfico de red de un dispositivo hasta que el servidor RADIUS haya confirmado que el dispositivo está autorizado. La comunicación entre el dispositivo del usuario y el punto de acceso utiliza un protocolo llamado EAP (Extensible Authentication Protocol). EAP es esencialmente un marco de trabajo que admite múltiples métodos de autenticación. Los tres métodos EAP más comunes en WiFi empresarial son: PEAP, que significa Protected Extensible Authentication Protocol; EAP-TTLS; y EAP-TLS. PEAP y EAP-TTLS son métodos basados en credenciales. Crean un túnel cifrado entre el dispositivo y el servidor RADIUS, y luego el nombre de usuario y la contraseña del usuario se verifican dentro de ese túnel. Son relativamente fáciles de implementar y funcionan bien en entornos donde aún no se está listo para una infraestructura de certificados completa. EAP-TLS es el estándar de oro. Se basa en certificados, lo que significa que tanto el servidor como el dispositivo cliente presentan certificados digitales para autenticarse mutuamente. No hay ninguna contraseña de por medio. Esto elimina por completo el riesgo de robo de credenciales, ataques de phishing y ataques de intermediario (man-in-the-middle). Para los dispositivos corporativos, EAP-TLS es el método de autenticación al que deberías aspirar. **[IMPLEMENTACIÓN Y ERRORES COMUNES — 2 minutos]** Entonces, ¿cómo se implementa realmente todo esto? Permíteme guiarte a través de los pasos clave. Primero, elige tu servidor RADIUS. Puedes implementar un servidor local (Network Policy Server de Microsoft es una opción común en entornos Windows) o utilizar un servicio RADIUS basado en la nube. Las plataformas de cloud RADIUS, como la que ofrece Purple, proporcionan una infraestructura totalmente gestionada y de alta disponibilidad sin la carga operativa. Para organizaciones con múltiples sedes, el enfoque en la nube es casi siempre la opción correcta. Segundo, integra tu fuente de identidad. Conecta tu servidor RADIUS al directorio de identidad de tu organización. La mayoría de las plataformas modernas de cloud RADIUS admiten la integración directa con Azure AD, Google Workspace y Okta. Tercero, configura el hardware de tu red. Crea un nuevo SSID configurado para WPA2-Enterprise o WPA3-Enterprise y apúntalo a tu servidor RADIUS. También configurarás un secreto compartido: una contraseña que cifra la comunicación entre el punto de acceso y el servidor RADIUS. Este secreto compartido debe coincidir exactamente en ambos lados. Un error de coincidencia aquí es una de las causas más comunes de fallas de autenticación durante la implementación inicial. Cuarto, define tus políticas de autorización. Vincula los grupos de usuarios con las políticas de red: el personal obtiene acceso completo en la VLAN diez, los invitados obtienen acceso solo a internet en la VLAN veinte. Quinto, incorpora a tus usuarios. Para el personal corporativo, implementa perfiles de WiFi a través de tu plataforma MDM. Para los invitados, utiliza un Captive Portal. La plataforma de Purple automatiza el flujo de incorporación de invitados, admitiendo inicios de sesión con redes sociales, formularios de registro y códigos de cupón. **[PREGUNTAS Y RESPUESTAS RÁPIDAS — 1 minuto]** Hagamos una sesión de preguntas y respuestas rápidas sobre las dudas que escuchamos con más frecuencia. Primero: ¿Cuál es la diferencia entre RADIUS y un Captive Portal? Un Captive Portal es la página de inicio de sesión que ven los invitados cuando se conectan. Funciona con RADIUS. El portal es la interfaz de usuario; RADIUS es el motor de fondo. Segundo: ¿Puedo usar RADIUS para redes cableadas? Absolutamente. El estándar 802.1X se aplica por igual a redes Ethernet cableadas y a redes inalámbricas. Tercero: ¿Es difícil configurar RADIUS? Tiene reputación de ser complejo, pero las plataformas modernas en la nube han cambiado esto drásticamente. Con un servicio gestionado como Purple, puedes tener una implementación de RADIUS lista para producción y en funcionamiento rápidamente. **[RESUMEN Y PRÓXIMOS PASOS — 1 minuto]** En resumen: RADIUS es el protocolo centralizado que impulsa la seguridad de la red WiFi empresarial. Implementa el marco AAA para brindarle un control detallado sobre quién puede acceder a su red, qué puede hacer y un registro de auditoría completo de su actividad. Para operadores de recintos, hoteleros, minoristas y organizaciones del sector público, implementar RADIUS es el paso fundamental para construir una infraestructura de WiFi segura, que cumpla con las normativas y esté gestionada de manera profesional. Su siguiente paso es claro: si todavía utiliza claves precompartidas, comience a planificar su migración hoy mismo. Revise su hardware actual para verificar la compatibilidad con WPA3-Enterprise, evalúe sus opciones de integración con directorios de identidad y explore una plataforma RADIUS en la nube que pueda escalar con su organización. Eso es todo por hoy en este Informe Técnico de Purple. Gracias por escucharnos. Para obtener más información sobre cómo Purple puede ayudarle a implementar un WiFi seguro e inteligente en sus recintos, visítenos en purple punto ai. Hasta la próxima, manténgase seguro.