¿Qué es RADIUS?

RADIUS (Remote Authentication Dial-In User Service) es un protocolo distribuido de tipo cliente-servidor que centraliza la autenticación, la autorización y la contabilidad del acceso a la red. Un dispositivo de red reenvía las credenciales de un usuario o de un dispositivo a un servidor RADIUS, el cual las comprueba con una base de datos externa y devuelve una decisión de aceptación, rechazo o solicitud de autenticación.

Puntos clave

• RADIUS centraliza la autenticación, la autorización y la contabilidad (AAA).
• Los mensajes «Access-Request», «Access-Accept» y «Access-Reject» controlan la autenticación.
• 802.1X utiliza RADIUS como servidor de autenticación detrás del autenticador.
• RADIUS Accounting y CoA amplían el protocolo más allá de las decisiones de inicio de sesión.
• Tanto los dispositivos VOS como el Director de « Versa » autentican a los usuarios a través de RADIUS.

En esta página: Por qué es importante · Cómo funciona · Tipos · RADIUS y Versa · Preguntas frecuentes

¿Por qué es importante RADIUS?

Antes de RADIUS, cada dispositivo de red mantenía su propia lista de nombres de usuario y contraseñas, por lo que añadir un usuario o revocar el acceso suponía tener que intervenir en cada conmutador o concentrador VPN por separado. RADIUS centralizó esa tarea: los dispositivos dejan de tomar por sí mismos las decisiones de autenticación y, en su lugar, consultan a una autoridad de confianza, de modo que un cambio en la política se propaga a todas partes a la vez, y un atacante solo tendría que comprometer un único almacén de credenciales, en lugar de docenas.

Esa centralización es la razón por la que RADIUS sobrevivió a la era del acceso por línea telefónica que le dio nombre, convirtiéndose en el sistema de autenticación predeterminado para el acceso a puertos 802.1X, concentradores de VPN e inicios de sesión administrativos: ligero, independiente del proveedor y compatible con todos los principales sistemas operativos de red. Su función de contabilidad aporta una segunda ventaja: cada sesión se registra de forma centralizada, lo que permite realizar auditorías de uso sin necesidad de configurar cada dispositivo.

¿Qué es RADIUS?

Un intercambio RADIUS cuenta con tres roles: un suplicante (el usuario o dispositivo que solicita acceso), un servidor de acceso a la red o NAS (el conmutador, controlador o pasarela que actúa como cliente RADIUS) y el propio servidor RADIUS. El NAS empaqueta las credenciales del suplicante en un paquete UDP de tipo «Access-Request» —que tradicionalmente se envía al puerto 1812— junto con atributos que describen la solicitud, como «NAS-IP-Address», «NAS-Port» y «Service-Type». El servidor RADIUS responde con «Access-Accept», «Access-Reject» o «Access-Challenge».

Un secreto compartido configurado tanto en el NAS como en el servidor protege el intercambio: oculta el campo de la contraseña y permite al servidor verificar que el mensaje no ha sido manipulado, a través del atributo «Message-Authenticator». Dado que el protocolo se basa en atributos, una respuesta «Access-Accept» puede contener más que una simple respuesta de «sí» o «no»: puede devolver una asignación de VLAN, un tiempo de espera de la sesión u otros datos de autorización que el NAS aplica posteriormente.

Tipos de RADIUS

RADIUS es, en realidad, una familia de intercambios que siguen el mismo protocolo. La autenticación consiste en el intercambio básico «Access-Request/Access-Accept/Access-Reject/Access-Challenge» descrito anteriormente. La contabilidad, un intercambio independiente que tradicionalmente se realiza en el puerto 1813, utiliza los registros «Start», «Interim-Update» y «Stop» para que el servidor pueda realizar un seguimiento de la duración y el uso de la sesión.

El «Change of Authorization» (CoA), estandarizado en el RFC 5176, permite al servidor aplicar cambios a una sesión ya autenticada —ya sea desconectándola o modificando sus atributos— sin que el cliente tenga que volver a autenticarse. Un cuarto patrón, el «MAC Authentication Bypass» (MAB), adapta la autenticación RADIUS habitual a dispositivos que no pueden ejecutar 802.1X: el NAS envía la dirección MAC del dispositivo como nombre de usuario y contraseña, lo que permite que clientes no EAPOL, como impresoras y teléfonos IP, se autentiquen de la misma manera.

RADIUS y Versa

Los dispositivos VOS utilizan RADIUS como servidor de autenticación para la autenticación de dispositivos IEEE 802.1X: la interfaz VOS actúa como autenticador, retransmitiendo las credenciales del solicitante a un objeto de servidor RADIUS configurado (dirección IP, puerto, instancia de enrutamiento, secreto compartido y una prioridad de redundancia). Un perfil de autenticación 802.1X de tipo RADIUS incluye los atributos intercambiados con el servidor —identificador NAS, IP NAS, puerto NAS, puerto COA, MTU en trama— además de la contabilidad RADIUS opcional, el modo «Fail Open» de RADIUS (que mantiene a los clientes conectados si no se puede acceder al servidor) y el seguimiento RADIUS (que vuelve a intentar la conexión una vez que el servidor caído vuelve a estar operativo). Los clientes que no son EAPOL se autentican de la misma manera mediante la omisión de la autenticación MAC, y la asignación de VLAN se devuelve dinámicamente en la respuesta; todo ello configurable por interfaz a través de los perfiles de conexión LAN.

A nivel de organización, la opción «Gestionar configuración de la organización» ofrece un perfil RADIUS empresarial para la autenticación de los usuarios finales —vinculado a las reglas de autenticación del mismo modo que los perfiles LDAP o SAML— y, además, un perfil RADIUS de Wi-Fi independiente para los puntos de acceso Wi-Fi. El propio Versa Director también es compatible con RADIUS para la autenticación de administradores.

Preguntas frecuentes

¿Qué puerto utiliza RADIUS?

Tradicionalmente, la autenticación RADIUS utiliza el puerto UDP 1812 y la contabilidad, el puerto UDP 1813, aunque ambos son configurables por objeto de servidor y no están fijados por el protocolo. Algunas implementaciones más antiguas siguen funcionando con los puertos heredados 1645 y 1646, por lo que es posible que un servidor tenga que admitir ambos pares.

¿Cuál es la diferencia entre la autenticación RADIUS y la contabilidad RADIUS?

La autenticación determina si un usuario o un dispositivo obtiene acceso, mediante los mensajes «Access-Request», «Access-Accept» y «Access-Reject» que se intercambian antes de que comience una sesión. La contabilidad es un intercambio independiente que registra el uso de la sesión —inicio, actualizaciones intermedias y finalización— una vez concedido el acceso.

¿Qué es el «MAC Authentication Bypass» (MAB)?

MAB autentica los dispositivos que no pueden ejecutar el protocolo 802.1X, como impresoras o teléfonos IP, enviando la dirección MAC del dispositivo al servidor RADIUS como nombre de usuario y contraseña. Permite que los clientes que no son EAPOL accedan a la red a través de la misma infraestructura RADIUS que los solicitantes 802.1X.

¿Qué es el cambio de autorización (CoA) de RADIUS?

La función CoA, definida en el RFC 5176, permite a un servidor RADIUS modificar o dar por terminada una sesión ya autenticada sin que el cliente tenga que volver a autenticarse; por ejemplo, para actualizar una asignación de VLAN o desconectar a un usuario cuyo acceso deba revocarse de inmediato, en lugar de esperar a que se agote el tiempo de espera.

¿En qué se diferencia RADIUS de LDAP?

RADIUS es un protocolo de autenticación y contabilidad basado en un intercambio de solicitudes, aceptaciones y rechazos para tomar decisiones sobre el acceso a la red. LDAP es un protocolo de acceso a directorios que permite consultar información sobre usuarios y grupos. En muchas implementaciones se utilizan ambos protocolos conjuntamente: RADIUS se encarga de la decisión y LDAP proporciona los datos de identidad en los que se basa dicha decisión.

Más información sobre RADIUS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre RADIUS, te conviene echar un vistazo a lo siguiente.