¿Qué es Cloud RADIUS? Una guía completa de RADIUS-as-a-Service

¿Qué es Cloud RADIUS? Una guía completa de RADIUS-as-a-Service. Bienvenido al podcast de Purple WiFi Intelligence. Soy su anfitrión, y hoy analizaremos a fondo Cloud RADIUS: qué es, cómo funciona internamente y, lo más importante, cómo evaluar si es la opción adecuada para su organización en este trimestre. Ya sea que dirija un grupo hotelero, una red de retail, un estadio o una red del sector público, este episodio es para usted. Comencemos a preparar el escenario. Introducción y contexto. Si alguna vez ha tenido que explicar a un consejo de administración por qué se cayó el servidor de autenticación de su red a las 2 a. m. - y por qué tardó tres horas en restablecerse - ya entiende el problema central que resuelve Cloud RADIUS. La infraestructura tradicional de RADIUS en sitio es potente, pero conlleva una carga operativa considerable. Hardware que adquirir, ciclos de parches que gestionar, redundancia que diseñar de forma manual y un único punto de fallo ubicado en su sala de servidores. Cloud RADIUS, o RADIUS-as-a-Service, traslada esa capa de autenticación a un entorno en la nube administrado y de alta disponibilidad. El protocolo en sí - Remote Authentication Dial-In User Service - no ha cambiado. Sigue siendo la columna vertebral del control de acceso a redes IEEE 802.1X, el mecanismo que utilizan sus puntos de acceso para validar quién entra a su red. Pero la infraestructura que lo ejecuta ahora es problema de otra persona. Y en la TI empresarial, eso representa un cambio muy importante. Así que entremos en los detalles técnicos. Análisis técnico profundo. RADIUS se definió originalmente en la norma RFC 2865, publicada en el año 2000, y ha mantenido una durabilidad notable. El protocolo funciona bajo un modelo cliente-servidor. Su dispositivo de acceso a la red - ya sea un punto de acceso WiFi, un concentrador de VPN o un switch cableado - actúa como el cliente RADIUS, también llamado Servidor de Acceso a la Red o NAS. Cuando un usuario intenta conectarse, el NAS reenvía un paquete Access-Request al servidor RADIUS, el cual valida las credenciales frente a un directorio de usuarios - por lo general, Active Directory, LDAP o un proveedor de identidad en la nube - y devuelve un Access-Accept o un Access-Reject. Ese es el intercambio principal. Pero la verdadera complejidad radica en lo que ocurre a su alrededor: métodos EAP, asignación de VLAN, aplicación de políticas, registros de contabilidad (accounting) y gestión de certificados. En una implementación tradicional en sitio, usted ejecuta FreeRADIUS o Microsoft NPS en hardware dedicado, gestionando sus propios certificados, configurando su propio esquema de failover y manteniendo la sincronización de su propia base de datos de usuarios. Para una implementación en un solo sitio con un equipo de TI competente, esto es manejable. Para una red de retail de 50 sitios o un grupo hotelero con propiedades en varios países, se convierte en una carga operativa muy pesada. Cloud RADIUS abstrae todo eso. La lógica de autenticación, la infraestructura de certificados, la redundancia y el motor de políticas se entregan como un servicio administrado. Sus puntos de acceso apuntan a endpoints de RADIUS alojados en la nube — normalmente una dirección IP primaria y secundaria — y el servicio se encarga de todo lo que está detrás de eso. Ahora, hablemos de los métodos de autenticación, porque aquí es donde las decisiones técnicas realmente importan. El método EAP más común en WiFi empresarial es PEAP - Protected EAP - que tuneliza MSCHAPv2 dentro de una sesión TLS. Es ampliamente compatible, funciona con Active Directory de forma nativa y es el valor predeterminado para la mayoría de los dispositivos Windows y Android. Sin embargo, PEAP tiene vulnerabilidades conocidas, particularmente en torno a la validación de certificados. Si sus dispositivos cliente no están configurados para verificar el certificado del servidor, queda expuesto a ataques de recopilación de credenciales a través de puntos de acceso no autorizados. EAP-TLS es el estándar de oro. Utiliza autenticación mutua de certificados — tanto el servidor como el cliente presentan certificados — lo que elimina por completo la superficie de ataque de contraseñas. La desventaja es la implementación de certificados de cliente, que requiere una infraestructura PKI e integración con MDM. Para flotas de dispositivos administrados, esta es absolutamente la opción correcta. Para entornos BYOD, es más complejo. También vale la pena conocer EAP-TTLS y EAP-FAST. TTLS es particularmente común en entornos donde necesita soportar una amplia gama de dispositivos cliente, incluidos sistemas Linux. EAP-FAST fue desarrollado por Cisco como una alternativa a PEAP que evita la dependencia de la validación de certificados, utilizando en su lugar Protected Access Credentials. Un servicio Cloud RADIUS bien diseñado es compatible con todos estos métodos y le permite configurar políticas por SSID - para que su SSID corporativo utilice EAP-TLS con validación de certificados, su SSID de personal utilice PEAP con Active Directory y su red de invitados utilice un flujo de Captive Portal o inicio de sesión de redes sociales completamente independiente de la pila RADIUS. Hablando de lo cual — RADIUS y WiFi para invitados a menudo se confunden, pero sirven para propósitos diferentes. RADIUS es su capa de autenticación y autorización para usuarios y dispositivos conocidos. El WiFi para invitados generalmente utiliza un flujo de Captive Portal, que es un mecanismo completamente diferente. La plataforma de Purple, por ejemplo, maneja la autenticación de invitados a través de una capa de identidad independiente, capturando datos de primera mano y habilitando la automatización de marketing, mientras que RADIUS maneja el control de acceso a la red corporativa y del personal. Estos son sistemas complementarios, no de la competencia. Ahora, hablemos de lo que realmente significa "alojado en la nube" en la práctica. Un servicio Cloud RADIUS correctamente diseñado se ejecuta en múltiples zonas de disponibilidad, con conmutación por error automática. Las solicitudes de autenticación se equilibran en cuanto a carga entre los nodos, y el servicio mantiene tiempos de respuesta inferiores a 100 milisegundos incluso bajo picos de carga. Para un estadio que gestiona 40,000 conexiones concurrentes durante un evento, ese perfil de latencia y rendimiento es fundamental. Un solo servidor local simplemente no puede igualar esa elasticidad. Desde la perspectiva del cumplimiento, los proveedores de Cloud RADIUS que operan en el Reino Unido y la UE deben cumplir con el GDPR en la forma en que manejan los registros de autenticación y los datos de los usuarios. Para los entornos de retail y hotelería que también procesan datos de tarjetas de pago, los requisitos de PCI-DSS sobre segmentación de red y control de acceso son directamente relevantes - RADIUS es parte de su entorno de control, y su QSA querrá ver pruebas de una configuración adecuada y registro de auditoría. También vale la pena abordar WPA3. La transición de WPA2 a WPA3 introduce la Autenticación Simultánea de Iguales - SAE - para redes personales, y WPA3-Enterprise para entornos corporativos. WPA3-Enterprise exige el modo de seguridad de 192 bits para la clasificación más alta, lo que requiere métodos EAP y conjuntos de cifrado específicos. Un servicio Cloud RADIUS necesita admitir estas configuraciones para estar preparado para el futuro. Recomendaciones de implementación y errores comunes. Bien, seamos prácticos. Si está evaluando Cloud RADIUS para su implementación en este trimestre, esto es en lo que yo me enfocaría. Primero, la integración con su proveedor de identidad. Su servicio Cloud RADIUS debe sincronizarse con el lugar donde realmente residen sus usuarios - ya sea Microsoft Entra ID, antes Azure AD, Google Workspace, Okta o un Active Directory local a través de un proxy LDAP. La calidad de esta integración determina sus costos operativos. El aprovisionamiento nativo de SAML o SCIM es muy preferible a las importaciones manuales de CSV. Segundo, la gestión de certificados. Si está implementando EAP-TLS, necesita una respuesta clara sobre cómo se emiten, renuevan y revocan los certificados de cliente. Los mejores servicios de Cloud RADIUS incluyen una PKI integrada o se integran de forma limpia con su autoridad de certificación existente. El vencimiento de los certificados es una de las causas más comunes de fallas de autenticación en las redes WiFi empresariales - algo que se puede evitar por completo con una automatización adecuada. Tercero, la compatibilidad de los dispositivos de red. Sus puntos de acceso deben admitir la autenticación RADIUS - prácticamente todos los AP de nivel empresarial lo hacen - pero debe verificar los métodos EAP específicos y los atributos RADIUS que admite el servicio elegido frente a la implementación del proveedor de sus AP. Cisco, Aruba, Juniper Mist y Ruckus tienen sus propios matices en la forma en que manejan los atributos RADIUS y los mensajes CoA - Cambio de Autorización.Cuarto, configuración de redundancia. Configure siempre una IP de servidor RADIUS principal y secundaria. El tiempo de espera de failover en sus dispositivos NAS es importante - si se configura demasiado alto, los usuarios experimentarán un retraso de autenticación de 30 segundos cuando el servidor principal no esté accesible. Un tiempo de espera de 3 a 5 segundos con failover inmediato es la configuración correcta para la mayoría de los entornos. Quinto - y este es el que la gente pasa por alto - la contabilidad. Los registros de contabilidad de RADIUS son su pista de auditoría. Le dicen quién se conectó, desde qué dispositivo, a qué hora y por cuánto tiempo. Para fines de cumplimiento, particularmente en entornos de atención médica y del sector público, estos registros deben retenerse y estar accesibles. Asegúrese de que su proveedor de Cloud RADIUS le brinde acceso a los datos de contabilidad, no solo a los registros de autenticación. Errores comunes: complejidad del secreto compartido. Su secreto compartido de RADIUS - la clave precompartida entre su NAS y el servidor RADIUS - debe ser larga y aleatoria. Los secretos compartidos cortos o fáciles de adivinar son un vector de ataque real. Utilice al menos 32 caracteres, generados aleatoriamente, y rótelos de forma programada. También tenga cuidado con la lista blanca de IPs. Muchos servicios de Cloud RADIUS requieren que configure en la lista blanca las IPs de origen de sus dispositivos NAS. En un entorno de nube dinámico donde su plataforma de gestión de AP podría utilizar NAT, esto puede causar fallas de autenticación inesperadas. Confirme el comportamiento de NAT de su red antes de la implementación. Preguntas y respuestas rápidas. Permítame repasar algunas preguntas que me hacen con regularidad. ¿Puede Cloud RADIUS admitir entornos multi-tenant? Sí - la mayoría de los servicios de Cloud RADIUS para empresas admiten el aislamiento de inquilinos, por lo que un proveedor de servicios gestionados puede ejecutar políticas de RADIUS independientes para múltiples clientes desde una sola plataforma. ¿Cuál es la latencia típica para una autenticación de Cloud RADIUS? Menos de 100 milisegundos para un servicio bien diseñado. El saludo 802.1X en sí mismo añade algo de sobrecarga, pero para la mayoría de los métodos EAP, el tiempo total de autenticación debe ser inferior a 500 milisegundos de extremo a extremo. ¿Funciona Cloud RADIUS con OpenRoaming? Sí. OpenRoaming - el marco de roaming de la Wireless Broadband Alliance - utiliza la federación RADIUS en su núcleo. Un servicio de Cloud RADIUS que admite Hotspot 2.0 y OpenRoaming permite a sus usuarios autenticarse automáticamente a través de las redes participantes a nivel global. Purple admite OpenRoaming bajo su licencia Connect, actuando como un proveedor de identidad en la federación. ¿Es Cloud RADIUS adecuado para entornos de alta seguridad? Para la mayoría de los entornos empresariales, sí. Para entornos con datos clasificados o clasificaciones de seguridad gubernamentales específicas, es posible que deba evaluar si un servicio en la nube gestionado cumple con sus requisitos específicos de acreditación. Resumen y próximos pasos. En resumen: Cloud RADIUS es un enfoque maduro y listo para producción para el control de acceso a la red que elimina la carga operativa de la infraestructura RADIUS local sin comprometer la seguridad o la capacidad. Para las organizaciones con múltiples sedes, el caso de ROI es sencillo - se elimina el capex de hardware, se reduce la carga de TI, se obtiene redundancia integrada y se consigue un servicio que se escala con su propiedad. Las decisiones clave son: qué método EAP es el adecuado para su flota de dispositivos, cómo se integra con su proveedor de identidad existente y si el servicio elegido le brinda las capacidades de cumplimiento y auditoría que su organización requiere. Si dirige un grupo hotelero, una cadena de tiendas de retail o administra redes del sector público, le recomendaría comenzar con una prueba de concepto en un solo sitio - configure correctamente su RADIUS, valide la integración con su proveedor de identidad y mida la latencia de autenticación antes de implementarlo en toda su propiedad. Para obtener más información sobre analítica de WiFi, gestión de redes de invitados y cómo la plataforma de Purple se integra con la autenticación basada en RADIUS, visite purple.ai. Gracias por escuchar.