Una guía para administradores de red sobre la configuración de autenticación RADIUS para WiFi de invitados

Guía del administrador de red para configurar la autenticación RADIUS para WiFi de invitados - Guion de podcast [INTRODUCCIÓN - aproximadamente 1 minuto] Hola y bienvenidos. Los guiaré a través de todo lo que necesitan saber para configurar la autenticación RADIUS para WiFi de invitados, desde la arquitectura subyacente hasta los pasos prácticos que su equipo debe seguir y los errores comunes que afectan a la mayoría de las implementaciones. Esto no es una clase. Considérenlo como una sesión informativa de un consultor senior que se ha sentado frente a gerentes de TI en hoteles, cadenas de tiendas, estadios y centros de convenciones, y los ha ayudado a lograr esto con éxito. Cubriremos los fundamentos técnicos, los patrones de implementación del mundo real y dónde encaja la plataforma RADIUS nativa de la nube de Purple en este panorama. Comencemos. [ANÁLISIS TÉCNICO DETALLADO - aproximadamente 5 minutos] Entonces, ¿qué es realmente RADIUS? RADIUS significa Remote Authentication Dial-In User Service. Es un protocolo de red, definido en el RFC 2865, que proporciona autenticación, autorización y contabilidad centralizadas para el acceso a la red. En términos sencillos: es el sistema que decide si el dispositivo de un visitante tiene permitido ingresar a su red, bajo qué condiciones y por cuánto tiempo. Luego, registra toda la sesión. Específicamente para el WiFi de invitados, RADIUS se ubica entre sus puntos de acceso y su capa de identidad. Un visitante se conecta a su SSID, su dispositivo envía una solicitud de autenticación al punto de acceso, el punto de acceso la reenvía a un Servidor de Acceso a la Red - o NAS - que luego realiza una consulta al servidor RADIUS. El servidor RADIUS valida las credenciales, devuelve un Access-Accept o un Access-Reject, y la sesión inicia o se bloquea. Los paquetes de contabilidad luego registran la duración de la sesión, los datos consumidos y el motivo de la finalización. Las tres funciones principales a menudo se denominan AAA: Autenticación, Autorización y Contabilidad (Accounting). La autenticación confirma la identidad. La autorización define a qué puede acceder esa identidad: límites de ancho de banda, asignación de VLAN, duración de la sesión. La contabilidad crea la pista de auditoría. Ahora bien, para el WiFi de invitados, el método de autenticación es de suma importancia. En un entorno corporativo, normalmente se usaría 802.1X con EAP-TLS - basado en certificados, muy seguro. Para los invitados, eso resulta poco práctico. Los invitados no tienen certificados en sus dispositivos personales. Por lo tanto, el patrón común es un Captive Portal combinado con RADIUS. El visitante llega a una página de inicio, ingresa sus datos o se autentica mediante inicio de sesión social, y el Captive Portal intercambia esas credenciales con el servidor RADIUS en su nombre. El servidor RADIUS luego indica al punto de acceso que otorgue el acceso. Esta es exactamente la arquitectura que opera Purple. Nuestro servicio RADIUS nativo de la nube maneja el intercambio de autenticación, mientras que el Captive Portal - el cual usted personaliza con su marca y configura a través de la plataforma Purple - gestiona la experiencia del visitante. El punto de acceso simplemente necesita conocer la dirección del servidor RADIUS, el puerto y el secreto compartido. Purple proporciona los tres.Hablemos de puertos y protocolos. El tráfico de autenticación RADIUS se ejecuta en el puerto UDP 1812. El registro de conexiones (accounting) de RADIUS se ejecuta en el puerto UDP 1813. Configurará ambos en sus puntos de acceso. El secreto compartido es una clave previamente compartida entre su punto de acceso y el servidor RADIUS - trátelo como una contraseña. Utilice una cadena larga generada de forma aleatoria. Nunca la reutilice en distintas implementaciones. Por el lado del hardware, Purple es independiente del hardware. Trabajamos con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, entre otros. Los pasos de configuración varían según el proveedor, pero los parámetros RADIUS subyacentes son consistentes: IP o nombre de host del servidor, puerto de autenticación 1812, puerto de registro de conexiones 1813, secreto compartido e intervalo de registro de conexiones. Para los puntos de acceso Avaya, por ejemplo, usted configura los atributos RADIUS en la sección External RADIUS, establece el formato de Called-Station-Id en formato MAC con guion UC, habilita el registro de conexiones y luego configura el SSID con redirección de página web que apunte a las URL del Captive Portal de Purple. La documentación de soporte de Purple cubre los pasos exactos para Avaya en el enlace de la guía. Para los dispositivos de la serie Pepwave MAX, puede realizar la configuración a través de InControl2 - su plataforma de gestión en la nube - o directamente a través de la interfaz web local. De cualquier manera, estará configurando un Captive Portal externo, apuntando la autenticación y el registro de conexiones a los servidores RADIUS de Purple, y configurando el SSID con seguridad abierta y el Captive Portal asociado. Nuevamente, los pasos exactos se encuentran en los documentos de soporte de Purple. Una decisión de arquitectura que vale la pena señalar: servidores RADIUS primarios y secundarios. Siempre configure ambos. Purple proporciona dos direcciones de servidor RADIUS para redundancia. Si el primario no está disponible, el punto de acceso pasa automáticamente al secundario. Sin un secundario, un problema temporal en el servidor RADIUS significa que sus invitados no podrán conectarse. En un hotel con 300 habitaciones o un estadio con 40,000 aficionados, eso representa un incidente grave. La segmentación de VLAN es la otra pieza crítica. El tráfico de WiFi para invitados nunca debe tocar su red corporativa u operativa. Asigne las sesiones de invitados a una VLAN dedicada, dirija esa VLAN a un enlace ascendente de internet independiente o, como mínimo, a través de un firewall con reglas de salida estrictas. Este es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier lugar de la misma infraestructura física, y es simplemente una buena práctica en cualquier caso. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - aproximadamente 2 minutos] Permítame compartirle las tres cosas que fallan con más frecuencia. Primero: discrepancias en el secreto compartido. El secreto compartido en el punto de acceso debe coincidir exactamente con lo que está registrado en el servidor RADIUS. Distingue entre mayúsculas y minúsculas, carácter por carácter. Un solo carácter incorrecto produce un Access-Reject sin ningún mensaje de error útil. Siempre copie y pegue desde su panel de Purple en lugar de escribirlo manualmente. Segundo: brechas en la lista de permitidos. Antes de que el visitante se autentique, su dispositivo debe llegar al Captive Portal. Esto significa que ciertos dominios deben estar en la lista de permitidos en el punto de acceso - las URL del portal de Purple, los endpoints de autenticación y cualquier proveedor de inicio de sesión social que esté utilizando. Si la lista de permitidos está incompleta, los visitantes verán una página en blanco o un tiempo de espera agotado. Purple mantiene una lista actualizada de los dominios requeridos en la documentación de soporte - utilice esa lista, no adivine. Tercero: intervalo de contabilidad. Esto controla la frecuencia con la que el punto de acceso envía actualizaciones de contabilidad provisionales al servidor RADIUS. Si lo configura demasiado largo, perderá granularidad en la sesión. Si lo configura demasiado corto, generará tráfico innecesario. Para la mayoría de las implementaciones, el rango correcto es de 240 a 300 segundos. El intervalo recomendado de Avaya es de 300 segundos; el de Pepwave es de 180 a 240 segundos. Siga la guía específica del proveedor. Por el lado del cumplimiento: el GDPR exige que tenga una base legal para recopilar datos de los visitantes. Un Captive Portal bien configurado con casillas de verificación de consentimiento explícito cumple con esto. La plataforma de Purple cumple con el GDPR y cuenta con la certificación ISO 27001. Cada inicio de sesión a través de Purple es una aceptación de elección consciente - el visitante acepta activamente sus términos antes de conectarse. Ese registro de auditoría es su evidencia de cumplimiento. [PREGUNTAS Y RESPUESTAS RÁPIDAS - aproximadamente 1 minuto] Preguntas rápidas que me hacen con regularidad. "¿Necesito reemplazar mi hardware existente?" No. Purple se integra sobre su infraestructura existente. No se requiere desinstalar ni reemplazar nada. "¿Puedo usar RADIUS para el WiFi del personal en la misma plataforma?" Sí. Purple admite SSID independientes para invitados y personal, con diferentes políticas de autenticación en cada uno. "¿Qué pasa si mi establecimiento tiene varias sucursales?" Purple gestiona implementaciones en múltiples sitios desde un único panel de control. Configura una vez y replica en todas las sucursales. "¿Es el RADIUS en la nube menos seguro que el local?" No. El RADIUS en la nube de Purple opera con un 99.999% de tiempo de actividad, certificación ISO 27001 y cifrado de extremo a extremo. La superficie de ataque es menor que la de un servidor autogestionado porque los parches y el endurecimiento de seguridad se manejan de manera centralizada. "¿Cuánto tiempo toma una implementación completa?" Para un solo establecimiento con hardware compatible, un administrador de red puede completar la configuración de RADIUS en menos de dos horas. El equipo de incorporación de Purple está disponible para ayudarle. [RESUMEN Y PRÓXIMOS PASOS - aproximadamente 1 minuto] En resumen. La autenticación RADIUS para WiFi de invitados le brinda un control de acceso centralizado, un registro de contabilidad completo y la base de cumplimiento que necesita para GDPR y PCI-DSS. La arquitectura es sencilla: punto de acceso a NAS, de ahí al servidor RADIUS y luego a la plataforma en la nube de Purple. Las tres cosas que debe hacer bien son el secreto compartido, la lista de permitidos de dominios y el intervalo de contabilidad. Purple opera un RADIUS nativo de la nube en más de 80,000 establecimientos en todo el mundo, gestionando 440 millones de inicios de sesión en 2024. La plataforma es independiente del hardware, cuenta con la certificación ISO 27001 y cumple con el GDPR.Tus siguientes pasos: comprueba si tu hardware está en la lista de dispositivos compatibles de Purple, obtén las credenciales del servidor RADIUS desde tu panel de Purple y sigue la guía de configuración específica del proveedor en el centro de soporte de Purple. Si necesitas ayuda, el equipo técnico de Purple puede guiarte en el proceso. Gracias por escucharnos. La guía escrita completa con diagramas, ejemplos prácticos y referencias de configuración está enlazada a continuación.