¿Qué es EAP?
EAP significa Extensible Authentication Protocol y es un marco de autenticación que permite utilizar diferentes métodos para verificar identidades en redes y otros sistemas. EAP es una pieza importante de tecnologías como 802.1X y puede utilizarse junto con protocolos AAA como RADIUS.
¿Qué es EAP?
EAP, o Extensible Authentication Protocol, es un marco de autenticación que permite utilizar diferentes métodos para comprobar la identidad de usuarios o dispositivos.
EAP se utiliza en escenarios como 802.1X y puede trabajar con un servidor de autenticación mediante RADIUS. EAP no define un único método de autenticación, sino una arquitectura extensible en la que pueden utilizarse diferentes métodos EAP.
¿Cómo funciona EAP?
EAP permite intercambiar información de autenticación entre un cliente y un autenticador, utilizando un método específico que determina cómo se comprueba la identidad.
Framework de autenticación
EAP proporciona una estructura común para distintos mecanismos de autenticación, en lugar de imponer un único método para todos los escenarios.
Métodos EAP
Un método EAP define cómo se realiza una autenticación concreta. Existen métodos basados en contraseñas, certificados y otros mecanismos.
Cliente y servidor
El proceso puede involucrar un cliente o Supplicant, un Authenticator y un servidor de autenticación que procesa el método EAP correspondiente.
EAP no es un único método de autenticación
EAP proporciona un marco común que permite utilizar distintos métodos de autenticación según las necesidades de la red y las capacidades de los dispositivos.
Marco común
Define una estructura para intercambiar mensajes de autenticación entre las partes que participan en el proceso.
Cómo autenticar
El método EAP determina el mecanismo concreto utilizado para demostrar la identidad del usuario o dispositivo.
Control de acceso
802.1X puede utilizar EAP dentro de su arquitectura para autenticar sistemas antes de conceder acceso normal a una red.
Principales componentes de EAP
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| EAP | Proporciona un marco de autenticación. | Arquitectura 802.1X. | Soporta múltiples métodos de autenticación. |
| Supplicant | Participa como cliente de autenticación. | Notebook. | Solicita acceso a la red. |
| Authenticator | Intermedia y controla el acceso. | Switch o Access Point. | Puede actuar como pass-through hacia un servidor. |
| EAP Method | Define cómo se realiza la autenticación. | EAP-TLS. | Determina el mecanismo concreto utilizado. |
| EAP Server | Procesa la autenticación. | Servidor RADIUS. | Puede ejecutar o participar en el método EAP. |
¿Qué es un Supplicant en EAP?
El Supplicant es la entidad que solicita acceso a la red y participa en el proceso de autenticación EAP. Normalmente corresponde al dispositivo o software cliente que intenta conectarse.
Cliente
Puede tratarse de un notebook, teléfono, servidor u otro dispositivo que necesite autenticarse antes de utilizar una red.
Método EAP
El Supplicant participa utilizando el método EAP definido por la infraestructura de autenticación.
Identidad
El proceso permite que la identidad del usuario o dispositivo sea comprobada antes de que el Authenticator conceda el acceso correspondiente.
¿Qué es un Authenticator en EAP?
El Authenticator es el elemento que controla el acceso a la red y actúa como intermediario entre el Supplicant y el servidor o sistema que procesa la autenticación.
Switch
En redes cableadas, un switch puede actuar como Authenticator y controlar el estado de acceso del puerto.
Access Point
En redes inalámbricas empresariales, un punto de acceso puede desempeñar el papel de Authenticator durante el proceso de autenticación.
Pass-through
En determinados escenarios, el Authenticator puede transportar los mensajes EAP entre el cliente y un servidor de autenticación sin ejecutar directamente el método EAP completo.
¿Qué es un método EAP?
Un método EAP define el mecanismo específico utilizado para realizar una autenticación. EAP actúa como marco y permite que diferentes métodos puedan utilizarse dentro de la misma arquitectura.
EAP-TLS
EAP-TLS utiliza certificados digitales para autenticar las partes involucradas y es uno de los métodos más conocidos en entornos empresariales.
EAP basado en credenciales
Existen métodos EAP que utilizan diferentes tipos de credenciales y mecanismos de autenticación según las capacidades y políticas de la organización.
Flexibilidad
La separación entre el marco EAP y los métodos concretos permite adaptar la autenticación a diferentes escenarios sin cambiar toda la arquitectura de control de acceso.
¿Qué es EAP-TLS?
EAP-TLS es un método de autenticación EAP basado en Transport Layer Security y utiliza certificados digitales durante el proceso de autenticación.
Certificados
El método utiliza certificados para establecer la identidad de las partes involucradas en la autenticación.
Autenticación empresarial
EAP-TLS puede utilizarse en infraestructuras empresariales donde se necesita una autenticación basada en certificados para usuarios o dispositivos.
Infraestructura PKI
El uso de certificados implica una infraestructura adecuada para emitir, distribuir, renovar y revocar los certificados utilizados por los clientes y servidores.
¿Qué es EAPOL?
EAPOL significa EAP over LAN y es el mecanismo utilizado para transportar mensajes EAP sobre redes LAN durante arquitecturas de control de acceso como 802.1X.
Cliente y Authenticator
EAPOL facilita el intercambio de mensajes EAP entre el Supplicant y el Authenticator en la red local.
Redes Ethernet
En una infraestructura cableada, EAPOL permite realizar el intercambio de autenticación antes de que el puerto conceda acceso normal a la red.
Redes Wi-Fi
EAP también puede utilizarse en arquitecturas inalámbricas empresariales, donde forma parte de los mecanismos de autenticación de la red.
¿Qué relación existe entre EAP y RADIUS?
EAP y RADIUS cumplen funciones diferentes. EAP proporciona el marco y el método de autenticación, mientras RADIUS puede transportar las solicitudes y respuestas entre el Authenticator y el servidor de autenticación.
Authenticator
El switch o punto de acceso recibe los mensajes EAP del cliente y puede utilizar RADIUS para comunicarse con el servidor de autenticación.
Servidor RADIUS
El servidor puede procesar el método EAP correspondiente y responder al Authenticator con el resultado del proceso.
No son lo mismo
EAP es un marco de autenticación, mientras RADIUS es un protocolo AAA que puede utilizarse como transporte hacia un servidor de autenticación.
¿Qué relación existe entre EAP y 802.1X?
802.1X utiliza EAP como parte de su arquitectura de control de acceso basado en puertos. El estándar permite que los dispositivos establezcan un proceso de autenticación antes de conceder acceso normal mediante el puerto controlado.
Supplicant
El cliente participa en el proceso EAP y proporciona la información necesaria para demostrar su identidad.
Authenticator
El switch o punto de acceso controla el acceso y facilita el intercambio entre el cliente y el servidor.
Servidor
El servidor de autenticación procesa el método EAP utilizado y proporciona el resultado que permitirá al Authenticator aplicar la decisión de acceso.
¿Qué tipos de EAP existen?
Existen diferentes métodos EAP desarrollados para necesidades de autenticación distintas. Cada método define sus propios mecanismos y requisitos.
EAP-TLS
Utiliza certificados digitales y TLS para establecer la autenticación. Es un método ampliamente documentado para autenticación basada en certificados.
EAP-TTLS
EAP-TTLS crea un canal protegido mediante TLS y permite realizar autenticación dentro de ese canal utilizando mecanismos adicionales.
PEAP
Protected EAP utiliza TLS para establecer un túnel protegido dentro del cual puede ejecutarse otro mecanismo de autenticación.
Métodos específicos
La arquitectura EAP permite crear distintos métodos para diferentes mecanismos de autenticación, por lo que no existe un único método válido para todos los escenarios.
¿Para qué sirve EAP en redes Wi-Fi?
EAP puede utilizarse en redes Wi-Fi empresariales para autenticar usuarios o dispositivos antes de permitir el acceso a la red corporativa.
Identidad individual
La autenticación puede basarse en identidades individuales en lugar de depender únicamente de una contraseña Wi-Fi compartida.
802.1X
En arquitecturas empresariales, EAP puede formar parte del proceso 802.1X utilizado para controlar el acceso inalámbrico.
RADIUS
El punto de acceso puede utilizar RADIUS para comunicarse con el servidor que procesa la autenticación.
¿EAP también se utiliza en redes cableadas?
Sí. EAP puede utilizarse en redes cableadas mediante arquitecturas como 802.1X, donde un switch controla el acceso al puerto y participa en el proceso de autenticación.
Puerto Ethernet
El switch puede mantener el acceso controlado mientras se desarrolla el proceso de autenticación.
Equipos
Un computador conectado a un puerto protegido puede participar como Supplicant y realizar el método EAP correspondiente.
Acceso
Una vez finalizado correctamente el proceso, el Authenticator puede permitir el acceso normal a la red según las políticas establecidas.
¿EAP y RADIUS son lo mismo?
No. EAP es un marco de autenticación que admite diferentes métodos, mientras RADIUS es un protocolo AAA que puede transportar información entre un dispositivo de acceso y un servidor de autenticación.
EAP
Define una arquitectura extensible para intercambiar mensajes relacionados con autenticación.
RADIUS
Proporciona un mecanismo de comunicación AAA utilizado habitualmente entre dispositivos de acceso y servidores.
Uso conjunto
En una arquitectura 802.1X, ambas tecnologías pueden utilizarse conjuntamente para autenticar clientes y controlar su acceso a la red.
| Característica | EAP | RADIUS |
|---|---|---|
| Tipo | Marco de autenticación. | Protocolo AAA. |
| Propósito | Definir y transportar mecanismos de autenticación. | Comunicar solicitudes AAA. |
| Ejemplo | EAP-TLS. | Servidor RADIUS. |
| Relación | Puede transportarse mediante una infraestructura AAA. | Puede transportar información de autenticación EAP. |
¿EAP es seguro?
EAP no proporciona por sí mismo un único nivel de seguridad, porque sus propiedades dependen del método EAP utilizado y de cómo esté configurada la infraestructura.
Método
Los diferentes métodos EAP tienen propiedades de seguridad distintas. Por ejemplo, EAP-TLS utiliza certificados y TLS para realizar la autenticación.
Certificados
Cuando se utilizan métodos basados en certificados, la organización debe proteger adecuadamente su infraestructura de emisión y gestión de certificados.
Configuración
La seguridad también depende de las políticas del servidor, los dispositivos clientes, los puntos de acceso, switches y demás componentes de la red.
¿EAP y 802.1X son lo mismo?
No. EAP es un marco de autenticación, mientras que IEEE 802.1X define un mecanismo de control de acceso basado en puertos que utiliza EAP dentro de su arquitectura.
EAP
Proporciona la estructura para diferentes métodos de autenticación.
802.1X
Regula el acceso a la red mediante puertos y utiliza EAP y EAPOL como parte del proceso definido por el estándar.
Relación
En una red empresarial, 802.1X puede utilizar EAP para autenticar al Supplicant y permitir que el Authenticator determine cuándo conceder el acceso controlado.
¿Qué problemas pueden ocurrir con EAP?
Los problemas de autenticación EAP pueden deberse al método seleccionado, las credenciales, los certificados, la configuración del cliente, el servidor o la comunicación entre los distintos componentes.
Certificado
Los métodos basados en certificados pueden fallar cuando un certificado está vencido, no es confiable o no corresponde con la identidad esperada.
Credenciales
Los métodos que utilizan credenciales pueden presentar problemas cuando el usuario utiliza datos incorrectos o la cuenta no cumple las políticas de acceso.
Configuración
El Supplicant, Authenticator y servidor deben utilizar métodos y parámetros compatibles para que la autenticación pueda completarse.
RADIUS
En arquitecturas donde RADIUS interviene como servidor AAA, los problemas de conectividad o configuración entre el dispositivo de acceso y el servidor también pueden impedir la autenticación.
¿Qué se necesita para implementar EAP?
Una implementación EAP requiere definir el método de autenticación, los dispositivos que participarán y la infraestructura que procesará las solicitudes.
Supplicant
El dispositivo cliente debe ser compatible con el método EAP elegido por la organización.
Authenticator
El switch o punto de acceso debe ser compatible con la arquitectura de acceso y poder intercambiar la información de autenticación.
Servidor
Debe existir una infraestructura de autenticación capaz de procesar el método EAP correspondiente.
Políticas
Deben definirse identidades, métodos, certificados o credenciales y condiciones de acceso según la arquitectura implementada.
EAP: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| EAP | Extensible Authentication Protocol. | Autenticación 802.1X. | Proporcionar un marco para diferentes métodos de autenticación. |
| EAP Method | Método concreto de autenticación. | EAP-TLS. | Realizar la autenticación específica. |
| EAPOL | EAP over LAN. | Red Ethernet. | Transportar EAP en la LAN. |
| Supplicant | Cliente de autenticación. | Notebook. | Solicitar acceso y participar en EAP. |
| Authenticator | Elemento que controla el acceso. | Switch o Access Point. | Intermediar y aplicar el control de acceso. |
Guías relacionadas sobre autenticación y redes
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre EAP
EAP significa Extensible Authentication Protocol y es un marco de autenticación que permite utilizar diferentes métodos para verificar identidades.
Sirve como marco para diferentes métodos de autenticación y se utiliza en arquitecturas de acceso a redes como IEEE 802.1X.
EAP es un marco de autenticación que permite utilizar diferentes métodos EAP. Cada método define el mecanismo específico utilizado para autenticar.
EAP-TLS es un método de autenticación EAP que utiliza certificados digitales y TLS durante el proceso de autenticación.
EAPOL significa EAP over LAN y permite transportar mensajes EAP sobre redes LAN durante arquitecturas como 802.1X.
802.1X utiliza EAP como parte de su arquitectura de control de acceso basado en puertos y puede utilizar EAPOL para el intercambio sobre la LAN.
EAP proporciona el marco de autenticación, mientras RADIUS puede transportar solicitudes y respuestas entre el Authenticator y el servidor de autenticación.
Sí. EAP puede utilizarse tanto en redes cableadas como inalámbricas, especialmente mediante arquitecturas de acceso como 802.1X.
¿Qué es EAP-TLS?
Continúa aprendiendo sobre autenticación basada en certificados y descubre cómo funciona EAP-TLS dentro de redes empresariales y arquitecturas 802.1X.
Ver guía →