¿Qué es Cloud RADIUS? Una guía completa de RADIUS como servicio

¿Qué es Cloud RADIUS? Una guía completa de RADIUS como servicio. Bienvenido al podcast de inteligencia de Purple WiFi. Soy su anfitrión, y hoy realizaremos una sesión informativa detallada sobre Cloud RADIUS: qué es, cómo funciona internamente y, fundamentalmente, cómo evaluar si es la decisión correcta para su organización este trimestre. Ya sea que dirija un grupo hotelero, una cadena minorista, un estadio o una red del sector público, esto es para usted. Preparemos el escenario. Introducción y contexto. Si alguna vez ha tenido que explicar a una junta directiva por qué se cayó su servidor de autenticación de red a las 2:00 a. m. y por qué tomó tres horas restablecerlo, ya comprende el problema central que resuelve Cloud RADIUS. La infraestructura RADIUS local tradicional es potente, pero conlleva una carga operativa significativa. Hardware que adquirir, ciclos de parches que gestionar, redundancia que diseñar manualmente y un único punto de falla ubicado en su sala de servidores. Cloud RADIUS, o RADIUS como servicio, traslada esa capa de autenticación a un entorno de nube administrado y de alta disponibilidad. El protocolo en sí (Remote Authentication Dial-In User Service) no ha cambiado. Sigue siendo la columna vertebral del control de acceso a la red IEEE 802.1X, el mismo mecanismo que utilizan sus puntos de acceso para validar quién ingresa a su red. Pero la infraestructura que lo ejecuta ahora es problema de otra persona. Y en el sector de TI empresarial, ese es un cambio significativo. Así que entremos en los detalles técnicos. Análisis técnico detallado. RADIUS se definió originalmente en el RFC 2865, publicado en el año 2000, y ha demostrado ser notablemente duradero. El protocolo funciona bajo un modelo cliente-servidor. Su dispositivo de acceso a la red, ya sea un punto de acceso WiFi, un concentrador VPN o un switch cableado, actúa como el cliente RADIUS, también llamado Network Access Server o NAS. Cuando un usuario intenta conectarse, el NAS reenvía un paquete Access-Request al servidor RADIUS, el cual valida las credenciales frente a un directorio de usuarios (normalmente Active Directory, LDAP o un proveedor de identidad en la nube) y devuelve un Access-Accept o un Access-Reject. Ese es el intercambio principal. Pero la verdadera complejidad radica en lo que sucede a su alrededor: métodos EAP, asignación de VLAN, aplicación de políticas, registros de contabilidad y gestión de certificados. En una implementación local tradicional, usted ejecuta FreeRADIUS o Microsoft NPS en hardware dedicado, gestionando sus propios certificados, configurando su propia conmutación por error y manteniendo su propia sincronización de base de datos de usuarios. Para una implementación en un solo sitio con un equipo de TI competente, eso es manejable. Para una cadena minorista de 50 sitios o un grupo hotelero con propiedades en varios países, se convierte en una carga operativa significativa. Cloud RADIUS abstrae todo eso. La lógica de autenticación, la infraestructura de certificados, la redundancia y el motor de políticas se entregan como un servicio administrado. Sus puntos de acceso apuntan a endpoints de RADIUS alojados en la nube (normalmente una dirección IP primaria y secundaria) y el servicio se encarga de todo lo que hay detrás. Ahora, hablemos de los métodos de autenticación, porque aquí es donde las decisiones técnicas realmente importan. El método EAP más común en el WiFi empresarial es PEAP (Protected EAP), que canaliza MSCHAPv2 dentro de una sesión TLS. Es ampliamente compatible, funciona con Active Directory de forma nativa y es el predeterminado para la mayoría de los dispositivos Windows y Android. Sin embargo, PEAP tiene vulnerabilidades conocidas, particularmente en torno a la validación de certificados. Si sus dispositivos cliente no están configurados para verificar el certificado del servidor, queda expuesto a ataques de recopilación de credenciales a través de puntos de acceso no autorizados. EAP-TLS es el estándar de oro. Utiliza autenticación mutua de certificados (tanto el servidor como el cliente presentan certificados), lo que elimina por completo la superficie de ataque de contraseñas. La desventaja es la implementación de certificados de cliente, que requiere una infraestructura PKI y la integración con un MDM. Para flotas de dispositivos administrados, esta es absolutamente la opción correcta. Para entornos BYOD, es más complejo. También vale la pena conocer EAP-TTLS y EAP-FAST. TTLS es particularmente común en entornos donde se necesita admitir una amplia gama de dispositivos cliente, incluidos sistemas Linux. EAP-FAST fue desarrollado por Cisco como una alternativa a PEAP que evita la dependencia de la validación de certificados, utilizando en su lugar Credenciales de Acceso Protegido. Un servicio Cloud RADIUS bien diseñado admite todos estos métodos y le permite configurar políticas por SSID; de modo que su SSID corporativo utilice EAP-TLS con validación de certificados, el SSID de su personal utilice PEAP con Active Directory y su red de invitados utilice un Captive Portal o un flujo de inicio de sesión social completamente independiente de la pila de RADIUS. Hablando de eso, a menudo se confunden RADIUS y el WiFi para invitados, pero sirven para propósitos diferentes. RADIUS es su capa de autenticación y autorización para usuarios y dispositivos conocidos. El WiFi para invitados suele utilizar un flujo de Captive Portal, que es un mecanismo completamente diferente. La plataforma de Purple, por ejemplo, gestiona la autenticación de invitados a través de una capa de identidad independiente, capturando datos de primera mano y permitiendo la automatización del marketing, mientras que RADIUS gestiona el control de acceso a la red corporativa y del personal. Estos son sistemas complementarios, no competidores. Ahora, hablemos de lo que significa realmente "alojado en la nube" en la práctica. Un servicio Cloud RADIUS diseñado correctamente se ejecuta en múltiples zonas de disponibilidad, con conmutación por error automática. Las solicitudes de autenticación se equilibran de forma equilibrada entre los nodos, y el servicio mantiene tiempos de respuesta inferiores a 100 milisegundos incluso bajo carga máxima. Para un estadio que gestiona 40,000 conexiones simultáneas durante un evento, ese perfil de latencia y rendimiento es crítico. Un solo servidor local simplemente no puede igualar esa elasticidad. Desde la perspectiva del cumplimiento, los proveedores de Cloud RADIUS que operan en el Reino Unido y la UE deben cumplir con el GDPR en la forma en que manejan los registros de autenticación y los datos de los usuarios. Para los entornos de comercio minorista y hotelería que también procesan datos de tarjetas de pago, los requisitos de PCI DSS sobre segmentación de red y control de acceso son directamente relevantes: RADIUS es parte de su entorno de control, y su QSA querrá ver pruebas de una configuración y un registro de auditoría adecuados. También vale la pena abordar WPA3. La transición de WPA2 a WPA3 introduce la Autenticación Simultánea de Iguales (SAE) para redes personales, y WPA3-Enterprise para entornos corporativos. WPA3-Enterprise exige un modo de seguridad de 192 bits para la clasificación más alta, lo que requiere métodos EAP y suites de cifrado específicos. Un servicio Cloud RADIUS debe admitir estas configuraciones para estar preparado para el futuro. Recomendaciones de implementación y errores comunes. Muy bien, seamos prácticos. Si está evaluando Cloud RADIUS para su implementación este trimestre, esto es en lo que me enfocaría. Primero, la integración con su proveedor de identidad. Su servicio Cloud RADIUS debe sincronizarse con el lugar donde realmente residen sus usuarios, ya sea Microsoft Entra ID (anteriormente Azure AD), Google Workspace, Okta o un Active Directory local a través de un proxy LDAP. La calidad de esta integración determina su costo operativo. El aprovisionamiento nativo de SAML o SCIM es muy preferible a las importaciones manuales de archivos CSV. Segundo, la gestión de certificados. Si está implementando EAP-TLS, necesita una respuesta clara sobre cómo se emiten, renuevan y revocan los certificados de cliente. Los mejores servicios de Cloud RADIUS incluyen una PKI integrada o se integran limpiamente con su autoridad de certificación existente. El vencimiento de los certificados es una de las causas más comunes de fallas de autenticación en el WiFi empresarial; esto es completamente evitable con una automatización adecuada. Tercero, la compatibilidad de los dispositivos de red. Sus puntos de acceso deben admitir la autenticación RADIUS (prácticamente todos los AP de nivel empresarial lo hacen), pero debe verificar los métodos EAP específicos y los atributos de RADIUS que admite el servicio elegido frente a la implementación del proveedor de su AP. Cisco, Aruba, Juniper Mist y Ruckus tienen sus propios matices en la forma en que manejan los atributos de RADIUS y los mensajes de CoA (Change of Authorization). Cuarto, la configuración de redundancia. Configure siempre una dirección IP de servidor RADIUS primaria y secundaria. El tiempo de espera de conmutación por error en sus dispositivos NAS es importante: si se configura demasiado alto, los usuarios experimentarán un retraso de autenticación de 30 segundos cuando el primario no esté disponible. Un tiempo de espera de 3 a 5 segundos con conmutación por error inmediata es la configuración adecuada para la mayoría de los entornos. Quinto, y este es el que la gente suele pasar por alto, la contabilidad. Los registros de contabilidad de RADIUS son su pista de auditoría. Le indican quién se conectó, desde qué dispositivo, a qué hora y durante cuánto tiempo. Para fines de cumplimiento, particularmente en entornos de atención médica y del sector público, estos registros deben retenerse y ser accesibles. Asegúrese de que su proveedor de Cloud RADIUS le brinde acceso a los datos de contabilidad, no solo a los registros de autenticación. Errores comunes: complejidad del secreto compartido. Su secreto compartido de RADIUS (la clave precompartida entre su NAS y el servidor RADIUS) debe ser largo y aleatorio. Los secretos compartidos cortos o predecibles son un vector de ataque real. Utilice al menos 32 caracteres, generados aleatoriamente, y rótelos según un calendario. También tenga cuidado con la lista blanca de IP. Muchos servicios de Cloud RADIUS requieren que incluya en una lista blanca las IP de origen de sus dispositivos NAS. En un entorno de nube dinámico donde su plataforma de gestión de AP podría utilizar NAT, esto puede causar fallas de autenticación inesperadas. Confirme el comportamiento de NAT de su red antes de la implementación. Preguntas y respuestas rápidas. Permítame repasar algunas preguntas que me hacen con regularidad. ¿Puede Cloud RADIUS admitir entornos multi-inquilino? Sí, la mayoría de los servicios de Cloud RADIUS para empresas admiten el aislamiento de inquilinos, por lo que un proveedor de servicios administrados puede ejecutar políticas de RADIUS independientes para múltiples clientes desde una sola plataforma. ¿Cuál es la latencia típica para una autenticación de Cloud RADIUS? Menos de 100 milisegundos para un servicio bien diseñado. El saludo 802.1X en sí añade algo de sobrecarga, pero para la mayoría de los métodos EAP, el tiempo total de autenticación debería ser inferior a 500 milisegundos de extremo a extremo. ¿Funciona Cloud RADIUS con OpenRoaming? Sí. OpenRoaming (el marco de roaming de la Wireless Broadband Alliance) utiliza la federación RADIUS en su núcleo. Un servicio Cloud RADIUS que admita Hotspot 2.0 y OpenRoaming permite a sus usuarios autenticarse automáticamente en las redes participantes a nivel mundial. Purple admite OpenRoaming bajo su licencia Connect, actuando como un proveedor de identidad en la federación. ¿Es adecuado Cloud RADIUS para entornos de alta seguridad? Para la mayoría de los entornos empresariales, sí. Para entornos con datos clasificados o clasificaciones de seguridad gubernamentales específicas, es posible que deba evaluar si un servicio en la nube administrado cumple con sus requisitos de acreditación específicos. Resumen y próximos pasos. Para resumir: Cloud RADIUS es un enfoque maduro y listo para producción para el control de acceso a la red que elimina la carga operativa de la infraestructura RADIUS local sin comprometer la seguridad ni la capacidad. Para organizaciones con múltiples sitios, el caso de ROI es sencillo: elimina el gasto de capital en hardware, reduce los costos de TI, obtiene redundancia integrada y obtiene un servicio que se escala con su patrimonio. Las decisiones clave son: qué método EAP es el adecuado para su flota de dispositivos, cómo se integra con su proveedor de identidad existente y si el servicio elegido le brinda las capacidades de cumplimiento y auditoría que su organización requiere. Si dirige un grupo hotelero, una cadena minorista o gestiona redes del sector público, le recomendaría comenzar con una prueba de concepto en un solo sitio: configure correctamente su RADIUS, valide la integración con su proveedor de identidad y mida la latencia de autenticación antes de implementarlo en todo su patrimonio. Para obtener más información sobre análisis de WiFi, gestión de redes de invitados y cómo la plataforma de Purple se integra con la autenticación basada en RADIUS, visite purple.ai. Gracias por escuchar.