¿Qué es RADIUS?
RADIUS es un protocolo utilizado para centralizar la autenticación, autorización y registro de acceso a servicios de red. Se utiliza en escenarios como Wi-Fi empresarial, VPN, acceso remoto y redes donde un dispositivo de acceso necesita consultar un servidor de autenticación.
¿Qué es RADIUS?
RADIUS es un protocolo cliente-servidor utilizado para centralizar procesos de autenticación, autorización y registro de conexiones a servicios de red.
En una infraestructura RADIUS, un dispositivo de acceso como un punto de acceso Wi-Fi, un servidor VPN o un switch puede enviar una solicitud a un servidor RADIUS para comprobar las credenciales y obtener una respuesta sobre el acceso.
¿Cómo funciona RADIUS?
RADIUS permite separar el dispositivo que proporciona el acceso a la red del servidor encargado de centralizar la autenticación y las políticas de acceso.
El cliente solicita acceso
Un dispositivo de acceso recibe una solicitud de conexión de un usuario o equipo y necesita comprobar si puede acceder al servicio de red.
El servidor RADIUS procesa la solicitud
El dispositivo de acceso se comunica con el servidor RADIUS, que puede comprobar las credenciales y las condiciones definidas para permitir o rechazar la conexión.
El resultado vuelve al dispositivo
El servidor responde indicando si la solicitud es aceptada o rechazada y puede entregar información adicional relacionada con la configuración del acceso.
RADIUS separa el acceso de la autenticación
El equipo que entrega la conexión no necesariamente tiene que gestionar por sí solo todas las credenciales y políticas de acceso.
Dispositivo de acceso
Un punto de acceso Wi-Fi, switch, servidor VPN u otro equipo puede actuar como cliente RADIUS y enviar solicitudes de conexión.
Autenticación central
El servidor RADIUS procesa las solicitudes y puede aplicar las reglas necesarias para determinar si una conexión está autorizada.
Acceso controlado
RADIUS se utiliza para centralizar autenticación, autorización y accounting o registro de la actividad de acceso.
Principales componentes de RADIUS
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| RADIUS Client | Envía solicitudes al servidor RADIUS. | Punto de acceso Wi-Fi. | Es el equipo que controla el acceso a la red. |
| RADIUS Server | Procesa solicitudes de autenticación y autorización. | Windows NPS. | Centraliza determinadas funciones de acceso. |
| Usuario | Solicita acceso al servicio de red. | Empleado de una empresa. | Proporciona credenciales o participa en el método de autenticación. |
| NAS | Proporciona el acceso a la red. | Switch o servidor VPN. | Puede actuar como cliente RADIUS. |
| Accounting | Registra información de las sesiones. | Inicio y cierre de sesión. | Permite mantener información sobre la actividad de acceso. |
¿Qué significa AAA en RADIUS?
AAA representa tres funciones relacionadas con la gestión del acceso: Authentication, Authorization and Accounting, que en español corresponden a autenticación, autorización y registro o contabilización de actividad.
Authentication
Comprueba la identidad del usuario o equipo que intenta establecer una conexión con el servicio de red.
Authorization
Determina qué acceso o condiciones pueden aplicarse después de comprobar la identidad.
Accounting
Permite registrar información relacionada con las sesiones y la actividad de acceso para tareas de auditoría, análisis o gestión.
¿Qué es un NAS en RADIUS?
NAS significa Network Access Server. Es el dispositivo o servicio que proporciona el acceso a una red y que puede comunicarse con un servidor RADIUS para gestionar la autenticación y autorización de una conexión.
Wi-Fi
Un punto de acceso inalámbrico puede actuar como cliente RADIUS y enviar las solicitudes de autenticación de los usuarios hacia el servidor.
VPN
Un servidor VPN puede utilizar RADIUS para consultar credenciales y políticas antes de permitir el acceso remoto a la red.
Switch
Un switch compatible con mecanismos de autenticación de red puede utilizar RADIUS para centralizar determinadas decisiones de acceso.
¿Cómo funciona una conexión con RADIUS?
El flujo básico comienza cuando un usuario o equipo intenta acceder a un servicio de red y el dispositivo de acceso necesita comprobar sus credenciales.
1. Solicitud de acceso
El usuario intenta conectarse a una red Wi-Fi, VPN, switch u otro servicio que utiliza una infraestructura RADIUS.
2. Solicitud al servidor
El dispositivo de acceso envía una solicitud al servidor RADIUS con la información necesaria para procesar la autenticación.
3. Autenticación
El servidor RADIUS verifica las credenciales utilizando el mecanismo y las fuentes de identidad configuradas en la infraestructura.
4. Autorización
El servidor puede aplicar políticas y determinar las condiciones bajo las cuales la conexión puede ser aceptada.
5. Respuesta
El servidor responde al dispositivo de acceso y este aplica el resultado para permitir o rechazar la conexión.
¿Cómo se utiliza RADIUS para autenticar usuarios?
RADIUS permite que un dispositivo encargado de proporcionar acceso delegue parte del proceso de autenticación en un servidor centralizado.
Credenciales
Dependiendo del sistema implementado, el usuario puede autenticarse mediante diferentes métodos y protocolos de acceso compatibles con la infraestructura.
Servidor de identidad
El servidor RADIUS puede utilizar una base de usuarios local o integrarse con otras fuentes de identidad, como Active Directory, según la implementación.
Respuesta
El servidor devuelve una respuesta que permite al dispositivo de acceso saber si la autenticación ha sido aceptada o rechazada.
¿Para qué sirve RADIUS en redes Wi-Fi?
RADIUS puede utilizarse en redes inalámbricas empresariales para centralizar la autenticación de los usuarios en lugar de depender únicamente de una clave Wi-Fi compartida por todos.
Usuarios
Cada persona puede autenticarse utilizando sus credenciales o el método de autenticación definido por la organización.
Políticas
El servidor RADIUS puede participar en la aplicación de políticas que determinan qué conexiones se aceptan y bajo qué condiciones.
802.1X
RADIUS se utiliza habitualmente como parte de arquitecturas de autenticación de red basadas en 802.1X, donde el dispositivo de acceso participa en el proceso de autenticación.
¿Qué relación existe entre RADIUS y una VPN?
Un servidor VPN puede utilizar RADIUS para centralizar la autenticación de usuarios que solicitan acceso remoto a una red.
Acceso remoto
El usuario inicia una conexión VPN y el servidor de acceso necesita comprobar sus credenciales antes de permitir la entrada.
Autenticación centralizada
En lugar de administrar usuarios de manera independiente en cada servidor VPN, la infraestructura puede consultar un servidor RADIUS central.
Políticas
El servidor RADIUS puede aplicar condiciones de acceso de acuerdo con la configuración y la información disponible en la infraestructura de identidad.
¿Qué puertos utiliza RADIUS?
En RADIUS sobre UDP, el puerto tradicionalmente asignado para autenticación y autorización es el 1812, mientras que el puerto habitual para accounting es el 1813.
Puerto 1812
Se utiliza para las comunicaciones RADIUS relacionadas con autenticación y autorización.
Puerto 1813
Se utiliza para el tráfico de accounting o registro de información relacionada con las sesiones.
Firewall
Las reglas de firewall deben permitir únicamente las comunicaciones necesarias entre los clientes RADIUS y los servidores RADIUS según la arquitectura implementada.
¿RADIUS es seguro?
RADIUS puede formar parte de una infraestructura de acceso segura, pero el nivel de protección depende de los métodos de autenticación, el transporte, la configuración y los controles adicionales utilizados.
Métodos de autenticación
La protección de una red no depende solamente del protocolo RADIUS. También importa el método de autenticación utilizado por los usuarios y dispositivos.
Transporte
El RADIUS tradicional sobre UDP utiliza mecanismos propios de protección y secretos compartidos. Existen además perfiles que permiten transportar RADIUS mediante TLS para proporcionar protección de transporte.
Secretos compartidos
Los secretos compartidos entre clientes RADIUS y servidores deben mantenerse protegidos y configurarse correctamente en toda la infraestructura.
¿RADIUS y LDAP son lo mismo?
No. RADIUS es un protocolo orientado a la autenticación, autorización y accounting de acceso a servicios de red, mientras que LDAP es un protocolo utilizado para acceder a servicios de directorio.
RADIUS
Se utiliza para que dispositivos de acceso puedan consultar un servicio centralizado de autenticación y autorización.
LDAP
Se utiliza para consultar y modificar información almacenada en estructuras de directorio.
Pueden trabajar juntos
Una infraestructura RADIUS puede utilizar información procedente de un servicio de directorio para autenticar usuarios, dependiendo del servidor y de la configuración implementada.
| Característica | RADIUS | LDAP |
|---|---|---|
| Propósito | Acceso a servicios de red. | Acceso a información de directorio. |
| Funciones | Autenticación, autorización y accounting. | Consulta y modificación de información del directorio. |
| Ejemplo | VPN o Wi-Fi empresarial. | Directorio de usuarios. |
| Relación | Puede utilizar información de una fuente de identidad. | Puede actuar como fuente de información de identidad. |
¿Cuál es la diferencia entre RADIUS y Kerberos?
RADIUS y Kerberos son tecnologías diferentes y están diseñadas para escenarios distintos, aunque ambas pueden participar en sistemas de autenticación.
RADIUS
Está orientado especialmente a centralizar el acceso a servicios de red como VPN, Wi-Fi y otros dispositivos de acceso.
Kerberos
Es un protocolo de autenticación basado en tickets que tiene una presencia especialmente importante en dominios y entornos de identidad como Active Directory.
Integración
Una misma organización puede utilizar ambas tecnologías para funciones diferentes dentro de su infraestructura de identidad y acceso.
¿Cómo se utiliza RADIUS para controlar el acceso?
RADIUS puede trabajar junto con políticas de red que establecen las condiciones que una conexión debe cumplir para ser aceptada.
Identidad
La política puede considerar la identidad del usuario o dispositivo que solicita la conexión.
Condiciones
Pueden evaluarse diferentes condiciones según la infraestructura, el tipo de conexión y los datos proporcionados por el dispositivo de acceso.
Resultado
El servidor puede aceptar o rechazar la solicitud y proporcionar determinados atributos o parámetros que el dispositivo de acceso utilizará según su configuración.
¿Qué se necesita para implementar RADIUS?
Una implementación RADIUS requiere al menos un cliente RADIUS o dispositivo de acceso y un servidor RADIUS configurado para procesar las solicitudes.
Cliente RADIUS
Debe configurarse el equipo que recibirá las conexiones y enviará las solicitudes de autenticación al servidor.
Servidor RADIUS
Debe configurarse el servidor que procesará las solicitudes y aplicará las políticas de acceso correspondientes.
Identidades
Debe definirse dónde se almacenarán o comprobarán las cuentas y credenciales utilizadas para autenticar a los usuarios.
Políticas
Es necesario establecer las condiciones bajo las cuales una solicitud puede ser aceptada y qué parámetros deben aplicarse a la conexión.
RADIUS: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| RADIUS | Remote Authentication Dial-In User Service. | Acceso a Wi-Fi o VPN. | Centralizar autenticación, autorización y accounting. |
| RADIUS Client | Cliente que envía solicitudes. | Punto de acceso. | Solicitar autenticación al servidor. |
| RADIUS Server | Servidor de autenticación. | Microsoft NPS. | Procesar solicitudes y políticas. |
| AAA | Authentication, Authorization and Accounting. | Gestión centralizada de acceso. | Verificar identidad, controlar acceso y registrar actividad. |
| NAS | Network Access Server. | VPN, switch o Wi-Fi. | Proporcionar acceso a la red. |
Guías relacionadas sobre identidad y redes
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre RADIUS
RADIUS es un protocolo utilizado para centralizar autenticación, autorización y accounting de conexiones a servicios de red.
Sirve para gestionar de forma centralizada el acceso de usuarios o equipos a servicios como Wi-Fi, VPN y determinados dispositivos de red.
AAA significa Authentication, Authorization and Accounting: autenticación, autorización y registro de actividad de las conexiones.
Es el servidor que recibe y procesa solicitudes RADIUS y puede comprobar credenciales, aplicar políticas y registrar información de acceso.
Es un dispositivo de acceso que se comunica con el servidor RADIUS para enviar solicitudes de autenticación y recibir sus respuestas.
Un servidor VPN puede utilizar RADIUS para centralizar la autenticación y autorización de los usuarios que solicitan acceso remoto a la red.
RADIUS sobre UDP utiliza habitualmente el puerto 1812 para autenticación y autorización y el puerto 1813 para accounting.
No. RADIUS gestiona principalmente autenticación, autorización y accounting de acceso a servicios de red, mientras LDAP es un protocolo para acceder a información de directorio.
¿Qué es TACACS+?
Continúa aprendiendo sobre autenticación de redes y descubre cómo TACACS+ separa las funciones de autenticación, autorización y control de acceso.
Ver guía →