¿Qué es la AAA?

La autenticación, autorización y contabilidad (AAA) es un marco de seguridad que verifica la identidad de un usuario o dispositivo, determina qué acciones está autorizado a realizar y registra las acciones que ha llevado a cabo. Los sistemas operativos de red y las plataformas de gestión implementan el AAA mediante protocolos como RADIUS y TACACS+, o a través de una base de datos de usuarios local.

Puntos clave

• La autenticación verifica la identidad; la autorización establece los permisos; la contabilidad registra el uso.
• RADIUS y TACACS+ son los dos protocolos principales que se utilizan para centralizar la gestión de AAA.
• AAA puede ejecutarse de forma local en un dispositivo o de forma centralizada a través de un servidor de directorios.
• El sistema AAA centralizado gestiona el control de acceso administrativo en grandes parques de dispositivos.
• Versa Tanto el director como los dispositivos VOS son compatibles con RADIUS, TACACS+ y AAA local.

En esta página: Por qué es importante · Cómo funciona · Tipos · AAA y Versa · Preguntas frecuentes

¿Por qué es importante la AAA?

Cada red debe responder a tres preguntas para cada inicio de sesión y cada acción: quién es el usuario, qué está autorizado a hacer y qué ha hecho realmente. El sistema AAA responde a estas tres preguntas en un único marco, por lo que constituye la base de prácticamente todos los componentes de la infraestructura que requieren un acceso controlado: routers, cortafuegos, concentradores VPN y consolas de gestión, entre otros.

La centralización de AAA también elimina una fuente real de riesgo: las credenciales de uso exclusivamente local repartidas por cientos de dispositivos, cada una de las cuales requiere su propia contraseña, que debe rotarse, desactivarse o investigarse tras una brecha de seguridad. Un servidor RADIUS o TACACS+ centralizado permite al administrador revocar una sola cuenta y bloquear el acceso en todas partes a la vez, además de proporcionar a los auditores un único registro de actividad, lo que suele ser un requisito de cumplimiento normativo en los sectores regulados.

¿Qué es la AAA?

AAA divide el control de acceso en tres pasos independientes. La autenticación verifica la identidad —un nombre de usuario y una contraseña, un certificado o un token— comparándola con una base de datos local o un servidor externo como Active Directory, LDAP, RADIUS o TACACS+. La autorización tiene lugar una vez que la autenticación se ha realizado con éxito: el sistema consulta qué acciones está autorizado a realizar el usuario, comparando los atributos de su rol o grupo con una base de datos de políticas. La contabilidad se ejecuta de forma continua a continuación, registrando los datos de la sesión —horas de inicio y fin de sesión, comandos ejecutados, bytes transferidos— con fines de facturación, auditoría o análisis forense.

Estos pasos son independientes por diseño: un sistema puede autenticar localmente, pero autorizar y contabilizar de forma remota, o bien autenticar en un servidor mientras se contabiliza en otro. RADIUS y TACACS+ son los protocolos habituales que transmiten las solicitudes AAA entre un dispositivo y un servidor centralizado, pero el modelo de tres pasos se aplica en cualquier caso.

Tipos de AAA

Las implementaciones de AAA suelen seguir unos pocos patrones. El AAA local almacena la base de datos de usuarios en el propio dispositivo: es la opción más sencilla de configurar, pero no se puede ampliar más allá de unos pocos dispositivos y no deja un registro de auditoría centralizado. El AAA basado en RADIUS centraliza las tres funciones en un servidor RADIUS, cifrando únicamente la contraseña, y es habitual para el control de acceso a la red, como el inicio de sesión en VPN y Wi-Fi. El AAA basado en TACACS+ cifra toda la sesión y separa las tres funciones de forma más detallada, lo que lo convierte en la opción habitual para el acceso administrativo a la infraestructura de red. El AAA basado en directorios realiza la autenticación mediante Active Directory o LDAP, a menudo combinado con el inicio de sesión único y la autenticación de dos factores, y delega la autorización en la pertenencia a un grupo.

AAA y Versa

Versa Implementa el sistema AAA en dos niveles. En un director de «Versa », los inicios de sesión de los administradores y los usuarios de los inquilinos se autentican mediante una base de datos de usuarios local o un servidor externo de Active Directory, LDAP, RADIUS o TACACS+, con autenticación de dos factores opcional e inicio de sesión único a través de un proveedor como Okta o Azure AD. Las implementaciones con varios directores pueden designar un nodo como nodo central de autenticación, que valida todos los inicios de sesión de toda la topología desde un único punto.

En los dispositivos VOS —ramas, controladores y concentradores—, el protocolo AAA controla el acceso a la CLI y al shell. La autenticación local utiliza roles predefinidos como «admin», «operator», «tenant-admin» y «security-admin»; la autenticación externa se delega a RADIUS o TACACS+, utilizando pares de atributos y valores como « versa-user-group» para asignar una cuenta remota a un rol. La guía de refuerzo de seguridad de Versarecomienda la autenticación centralizada mediante RADIUS o TACACS+ en todas las sucursales, controladores y concentradores, ya que elimina el riesgo que supone gestionar contraseñas locales a gran escala.

Preguntas frecuentes

¿Cuál es la diferencia entre autenticación y autorización?

La autenticación verifica la identidad de un usuario, normalmente mediante una contraseña, un certificado o un token. La autorización tiene lugar una vez que la autenticación se ha realizado con éxito y determina qué acciones puede realizar ese usuario, en función del rol o grupo que se le haya asignado. Un usuario puede estar autenticado, pero tener muy pocas acciones autorizadas.

¿Cuál es la diferencia entre RADIUS y TACACS+?

RADIUS cifra únicamente la contraseña en una solicitud de autenticación y combina la autenticación y la autorización en un único intercambio; es el protocolo predominante en casos de acceso a la red como las VPN y el Wi-Fi. TACACS+ cifra toda la sesión y separa las tres funciones, por lo que es más habitual en el acceso administrativo a dispositivos de red.

¿Por qué es mejor el sistema AAA centralizado que las cuentas locales de los dispositivos?

El AAA centralizado, a través de RADIUS, TACACS+ o un servidor de directorios, permite al administrador gestionar las credenciales y los permisos desde un único lugar, en lugar de tener que hacerlo en cada dispositivo por separado. Revocar el acceso requiere un solo cambio en lugar de cientos, y los registros de contabilidad se almacenan en un único sistema, en lugar de estar dispersos por todos los dispositivos.

¿Requiere AAA el protocolo RADIUS o TACACS+?

No. AAA es un marco de trabajo, no un protocolo: un dispositivo puede llevar a cabo las funciones de autenticación, autorización y contabilidad íntegramente a partir de una base de datos de usuarios local, sin necesidad de recurrir a ningún servidor externo. RADIUS y TACACS+ son simplemente los protocolos más habituales que se utilizan para centralizar las funciones AAA en numerosos dispositivos.

¿Qué es lo que registra realmente el departamento de contabilidad de AAA?

Los registros contables recogen datos a nivel de sesión: quién inició sesión, cuándo comenzó y terminó la sesión, qué comandos se ejecutaron y cuánto tráfico —paquetes o bytes— generó la sesión. Estos datos sirven de base para la facturación, las auditorías de seguridad y las investigaciones forenses tras un incidente.

Más información sobre AAA

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre la AAA, te recomiendo que eches un vistazo a lo siguiente.