¿Qué es LDAP?

El Protocolo ligero de acceso a directorios (LDAP) es un protocolo cliente-servidor destinado a la lectura y búsqueda en servicios de directorio, como Microsoft Active Directory. Transmite consultas sobre nombres de usuario, pertenencia a grupos y otros atributos, lo que permite a los dispositivos de red autenticar a los usuarios y aplicar políticas basadas en roles o grupos sin necesidad de mantener su propia base de datos de usuarios.

Puntos clave

• LDAP consulta servidores de directorios, como Active Directory, en busca de usuarios y grupos.
• Una operación de vinculación autentica al cliente antes de que se pueda ejecutar cualquier búsqueda.
• Los nombres distinguidos (DN) identifican entradas concretas en el árbol de directorios.
• Versa Los dispositivos utilizan perfiles de servidor LDAP para autenticar a los usuarios y recuperar sus roles.
• LDAPS y StartTLS cifran las sesiones LDAP para que las credenciales no se envíen sin cifrar.

En esta página: Por qué es importante · Cómo funciona · Tipos · LDAP y Versa · Preguntas frecuentes

¿Por qué es importante el LDAP?

Casi todas las redes empresariales ya cuentan con un directorio —normalmente, Active Directory— que contiene el nombre de usuario, el hash de la contraseña y la pertenencia a grupos de cada empleado. El protocolo LDAP es importante porque permite que los dispositivos de red y de seguridad reutilicen ese directorio, en lugar de mantener una lista de usuarios separada y duplicada. Un cortafuegos o una pasarela compatible con LDAP puede autenticar a un usuario mediante la misma cuenta que utiliza para iniciar sesión en su ordenador portátil, y puede aplicar políticas basadas en los grupos a los que ya pertenece dicha cuenta.

Esto es tan importante desde el punto de vista operativo como desde el de la seguridad. Sin LDAP, los administradores tendrían que gestionar los derechos de acceso de los usuarios en cada dispositivo de forma individual; con LDAP, basta con añadir a alguien a un grupo de Active Directory para concederle o revocar su acceso en todos los lugares donde se haga referencia a ese grupo en la política de seguridad. Dado que LDAP es un estándar abierto e independiente del proveedor, también permite que los equipos de distintos fabricantes consulten el mismo directorio de la misma manera; por eso sigue siendo el punto de integración por defecto entre la infraestructura de red y la identidad empresarial, incluso aunque protocolos más recientes como SAML y RADIUS se encarguen de otras partes del proceso de autenticación.

¿Qué es LDAP?

LDAP organiza los datos del directorio en forma de árbol de entradas, denominado «árbol de información del directorio» (DIT). Cada entrada se identifica mediante un nombre distinguido (DN) —una ruta formada por componentes como el nombre común (CN), la unidad organizativa (OU) y el componente de dominio (DC)— y contiene atributos definidos por una clase de objeto, como la dirección de correo electrónico de un usuario o la lista de miembros de un grupo.

Un cliente interactúa con el directorio mediante un pequeño conjunto de operaciones. Encuadernar autentica al cliente utilizando el DN y la contraseña de una cuenta de servicio (el DN de enlace y la contraseña de enlace); solo tras un enlace correcto podrá el cliente realizar otras operaciones. Buscar en recoge las entradas que coinciden con un filtro, dentro del ámbito de un punto de partida denominado «DN base»; por ejemplo, todos los usuarios cuyo memberOf El atributo enumera un grupo determinado. LDAP suele ejecutarse a través del puerto TCP 389, o del puerto 636 cuando se utiliza TLS desde el principio.

Tipos de LDAP

Existen tres tipos de conexión que autentican a un cliente LDAP con distintos niveles de seguridad. La conexión anónima no envía credenciales y está desactivada en los directorios de producción. La conexión simple —el modo que utilizan la mayoría de los dispositivos de red— envía un DN y una contraseña en texto plano, por lo que debe realizarse a través de una sesión cifrada. La conexión SASL delega la autenticación a un mecanismo como Kerberos, lo que permite verificar la identidad sin transmitir la contraseña en absoluto.

La seguridad del transporte es una opción independiente que se superpone. El LDAP sin cifrar envía todo, incluidas las credenciales de «simple-bind», sin cifrar. El LDAPS envuelve toda la sesión en SSL/TLS desde el primer paquete, en un puerto dedicado. StartTLS comienza como una conexión sin cifrar en el puerto LDAP estándar y la actualiza a TLS a mitad de la sesión, evitando así un segundo puerto de escucha. Casi todos los directorios que se utilizan en la práctica son Microsoft Active Directory, aunque existen alternativas que cumplen con los estándares, como OpenLDAP y 389 Directory Server, que implementan el mismo protocolo y pueden servir como destino LDAP en su lugar.

LDAP también ha evolucionado a través de distintas versiones del protocolo. LDAPv2, definido a principios de la década de 1990, ha quedado obsoleto y ya no es compatible con los directorios modernos. LDAPv3, normalizado en los RFC 4510-4519, es la versión actual —que incorpora enlaces SASL, remisiones y operaciones ampliadas— y es la que utilizan hoy en día todas las integraciones en producción, incluida la de Versa.

LDAP y Versa

Versa Los dispositivos autentican a los usuarios en Active Directory a través de un perfil de servidor LDAP, que define el nombre de dominio, el DN base, el DN de enlace y la contraseña, los tiempos de espera de enlace y búsqueda, y el modo SSL (LDAPS o Start TLS con un certificado de CA). Si el nodo Director no puede conectarse directamente al servidor LDAP, se puede configurar un dispositivo VOS como proxy para que recupere la lista de usuarios y grupos en su nombre.

Un perfil independiente de mapeo de usuarios y grupos indica al dispositivo cómo interpretar el esquema de ese directorio —sus clases de objetos de grupo y de usuario, el atributo de pertenencia a un grupo, el formato del nombre de usuario y un intervalo de actualización (por defecto, 60 segundos)—, y Director almacena en caché la lista resultante, actualizándola aproximadamente cada 60 minutos para que las consultas de políticas no se dirijan directamente al servidor LDAP. El flujo de configuración específico del NGFW sigue este mismo patrón para las políticas de cortafuegos, mientras que los ajustes a nivel de organización permiten a los administradores delimitar el acceso a LDAP mediante filtros personalizados, restringiendo qué usuarios o grupos de Active Directory pueden acceder a un cliente de « SASE », a una pasarela multitenant o a una VPN de acceso remoto. Un perfil LDAP es uno de los varios métodos —junto con SAML, Kerberos, RADIUS, certificados y bases de datos locales— a los que un perfil de autenticación puede hacer referencia para políticas de NGFW, SD-WAN, CoS y UTM basadas en usuarios y grupos.

Preguntas frecuentes

¿Cuál es la diferencia entre LDAP y Active Directory?

LDAP es el protocolo abierto que se utiliza para realizar consultas y autenticarse en un directorio; Active Directory es el servicio de directorio de Microsoft, uno de los diversos productos que exponen datos a través de LDAP. Los dispositivos «se autentican mediante LDAP» en un servidor de Active Directory: el protocolo y el producto son capas distintas.

¿Qué puerto utiliza LDAP?

Tanto el protocolo LDAP sin cifrar como StartTLS utilizan, por defecto, el puerto TCP 389; StartTLS cifra esa misma conexión en texto claro a mitad de la sesión, tras el protocolo de enlace inicial. LDAPS, que envuelve toda la sesión en SSL/TLS desde el primer paquete en lugar de cifrarla a mitad de la conexión, utiliza un puerto dedicado independiente, el 636.

¿Qué es un nombre distinguido en LDAP?

Un nombre distinguido (DN) es la ruta única que conduce a una entrada en el árbol de directorios, formada por componentes como el nombre común, la unidad organizativa y el componente de dominio, leídos de forma descendente hasta la raíz; por ejemplo, cn=jsmith,ou=Users,dc=versa,dc=com identifica una entrada de usuario concreta dentro de un contenedor «Usuarios».

¿En qué se diferencia LDAP de RADIUS?

LDAP es un protocolo de consulta de directorios diseñado para leer y buscar datos estructurados de usuarios y grupos. RADIUS es un protocolo de autenticación, autorización y contabilidad diseñado para conceder o denegar el acceso a la red y registrar la decisión. En muchas implementaciones se utilizan ambos: RADIUS para las decisiones de acceso, con el respaldo de una consulta al directorio LDAP.

¿El tráfico LDAP está cifrado?

No de forma predeterminada. El protocolo LDAP sin cifrar en el puerto 389 envía las credenciales de «simple-bind» y los resultados de búsqueda sin cifrar, por lo que cualquier persona situada en la ruta de la red puede leerlos. En las implementaciones de producción se debe habilitar LDAPS o StartTLS, ya que ambos protocolos cifran la sesión mediante SSL/TLS, de modo que las credenciales y los datos del directorio permanecen protegidos durante la transmisión.

Más información sobre LDAP

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre LDAP, te conviene echar un vistazo a lo siguiente.