¿Qué es 802.1X?

IEEE 802.1X es un estándar de control de acceso basado en puertos que autentica un dispositivo antes de que este pueda enviar tráfico a través de un puerto de conmutador o de un punto de acceso inalámbrico. Un solicitante en el terminal proporciona sus credenciales, un autenticador las transmite y un servidor de autenticación —normalmente RADIUS— decide si abrir el puerto y qué VLAN asignarle.

Puntos clave

• Autentifica los dispositivos antes de que lleguen a un puerto del conmutador o a una red inalámbrica.
• Tres roles: solicitante, autenticador y servidor de autenticación.
• EAPOL transporta credenciales; RADIUS suele validarlas de forma centralizada.
• La función «MAC Authentication Bypass» (MAB) es compatible con dispositivos que no admiten el protocolo EAPOL.
• RADIUS puede asignar dinámicamente una VLAN una vez que se haya completado con éxito la autenticación.

En esta página: Por qué es importante · Cómo funciona · Tipos · 802.1X y Versa · Preguntas frecuentes

¿Por qué es importante el estándar 802.1X?

Los puertos de conmutadores no gestionados y las redes Wi-Fi abiertas son una vía de acceso fácil a una red: basta con conectar un ordenador portátil o un punto de acceso no autorizado para acceder a la LAN. El estándar 802.1X cierra esa brecha al exigir una autenticación antes de que un puerto o un SSID permita el paso de cualquier tráfico, ampliando los controles de identidad hasta la capa física y la capa de enlace.

Esto cobra especial importancia en aquellos lugares donde un dispositivo no autorizado pueda acceder a cualquier señal por cable o inalámbrica: oficinas diáfanas, edificios de campus, locales comerciales y redes LAN de sucursales. Dado que 802.1X es un estándar del IEEE, los suplicantes integrados en todos los principales sistemas operativos son compatibles con los autenticadores y los servidores RADIUS de cualquier proveedor, razón por la cual sigue siendo el método de control predeterminado para el acceso a redes LAN y Wi-Fi de tipo «Zero Trust» décadas después de su ratificación.

¿Qué es 802.1X?

El estándar 802.1X define tres funciones que actúan de forma coordinada. El «supplicant» es el software cliente del terminal que envía las credenciales. El «authenticator» es el dispositivo de acceso a la red —un puerto de conmutador o un punto de acceso— que transmite dichas credenciales y aplica la decisión de acceso resultante, sin decidir por sí mismo si admite o no al dispositivo. El servidor de autenticación valida las credenciales y decide qué acceso conceder; suele tratarse de un servidor RADIUS, aunque en algunas implementaciones la autenticación se realiza de forma local.

La comunicación entre el solicitante y el autenticador se realiza a través de EAPOL (Protocolo de Autenticación Extensible sobre LAN). El autenticador reenvía el intercambio al servidor de autenticación utilizando atributos RADIUS como User-Name, NAS-Port y Framed-IP-Address. Los dispositivos que no son compatibles con EAPOL se identifican mediante su dirección MAC, a través de la función «MAC Authentication Bypass», y se colocan en una VLAN de invitados hasta que se autentiquen. Una vez que la autenticación se ha realizado con éxito, el puerto se abre y el servidor puede devolver una asignación de VLAN junto con la aceptación.

Tipos de 802.1X

Las implementaciones de 802.1X varían en función de dos aspectos: cómo se validan las credenciales y cuántos dispositivos finales admite un puerto. La autenticación local valida el certificado del solicitante comparándolo con una base de datos de certificados de confianza presente en el propio autenticador, mediante EAP-TLS, sin necesidad de un servidor externo. La autenticación RADIUS delega esa decisión a un servidor externo, lo cual es la opción más habitual, ya que centraliza la política en numerosos conmutadores.

Los modos de suplicante controlan los puertos para múltiples dispositivos: el modo «Single» solo autentica el primer dispositivo y permite que los demás se conecten a esa sesión; el modo «Single-secure» solo admite un dispositivo a la vez; y el modo «Multiple» autentica cada dispositivo de forma individual. Además de la autenticación EAPOL estándar, la función MAC Authentication Bypass (MAB) recurre a la autenticación por dirección MAC, en lugar de mediante credenciales, para impresoras, cámaras y otros dispositivos que carecen de suplicante.

802.1X y Versa

Los dispositivos VOS implementan las tres funciones de 802.1X. Una interfaz VNI configurada como autenticador aplica el protocolo 802.1X en un puerto de conmutador, ya sea validando a los solicitantes de forma local frente a una base de datos de certificados de confianza o reenviando las solicitudes a un servidor RADIUS externo a través de un perfil de autenticación, tal y como se describe en «Configuración de la autenticación de dispositivos IEEE 802.1X». Dicho artículo también aborda el MAB, el modo «fail-open» de RADIUS (el acceso sigue funcionando si no se puede acceder al servidor) y el seguimiento de RADIUS para detectar cuándo vuelve a estar disponible un servidor.

La asignación dinámica de VLAN permite que, tras una autenticación 802.1X o MAB satisfactoria, un dispositivo pase de la VLAN de invitados a la VLAN que devuelve el servidor RADIUS. En las implementaciones de SD-LAN, el protocolo 802.1X se configura mediante perfiles de puerto y de autenticación reutilizables; véanse «Configurar SD-LAN mediante plantillas de flujo de trabajo (versiones 22.1.4 y posteriores) » y «Configurar SD-LAN mediante plantillas de flujo de trabajo (versión 22.1.3)», que crean un perfil de puerto 802.1X —modo suplicante, VLAN de invitado y de autenticación— y un perfil que apunta a uno o varios servidores RADIUS.

Preguntas frecuentes

¿Cuál es la diferencia entre 802.1X y la omisión de la autenticación MAC?

El protocolo 802.1X autentica un dispositivo validando las credenciales que este proporciona de forma activa a través de EAPOL. Por su parte, la autenticación por omisión de la dirección MAC (MAB) autentica mediante la dirección MAC del dispositivo, en el caso de impresoras, cámaras y otros terminales que no dispongan de un suplicante 802.1X. La MAB suele configurarse como alternativa cuando EAPOL no responde.

¿Cuáles son los tres roles de la autenticación 802.1X?

El solicitante es el cliente que pide acceso; el autenticador es el puerto del conmutador o el punto de acceso que aplica la decisión; el servidor de autenticación valida las credenciales y decide el resultado. Un dispositivo puede validarse localmente o mediante un servidor RADIUS externo.

¿Qué es la asignación dinámica de VLAN en 802.1X?

Es la capacidad que tiene un servidor de autenticación de devolver un identificador de VLAN (VLAN ID) tras una autenticación correcta, trasladando el dispositivo desde una VLAN predeterminada o de invitados a la VLAN que se corresponde con su identidad; por ejemplo, separando automáticamente los ordenadores portátiles de los empleados autenticados de los de los invitados no autenticados.

¿Puede el protocolo 802.1X autenticar dispositivos sin RADIUS?

Sí. La autenticación 802.1X local valida el certificado del solicitante comparándolo con una base de datos de certificados de confianza presente en el propio autenticador, mediante EAP-TLS, sin necesidad de conectarse a un servidor externo. La mayoría de las grandes implementaciones siguen utilizando RADIUS en su lugar, ya que permite centralizar la política de autenticación en numerosos conmutadores, en lugar de tener que configurar cada uno de ellos individualmente.

¿Cuál es la diferencia entre EAPOL y MAB?

EAPOL (Protocolo de autenticación extensible sobre LAN) es el protocolo de transporte que transmite las credenciales de un solicitante al autenticador para la autenticación estándar 802.1X. MAB no implica ningún intercambio de credenciales: autentica los dispositivos no compatibles con EAPOL enviando su dirección MAC al servidor de autenticación.

Más información sobre 802.1X

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el estándar 802.1X, te conviene echar un vistazo a lo siguiente.