¿Qué es PEAP?
PEAP significa Protected Extensible Authentication Protocol y es un método EAP que utiliza TLS para crear un canal protegido donde puede ejecutarse otro método de autenticación. Se utiliza especialmente en redes empresariales 802.1X y puede trabajar junto con servidores RADIUS para autenticar usuarios y controlar el acceso a la red.
¿Qué es PEAP?
PEAP es un método de autenticación EAP que establece un túnel protegido mediante TLS para transportar otro método de autenticación dentro de ese canal.
Es habitual encontrarlo en arquitecturas 802.1X para redes Wi-Fi y cableadas. Una implementación conocida es PEAP con MS-CHAPv2, donde el servidor se autentica mediante certificado y el usuario puede autenticarse mediante credenciales.
¿Cómo funciona PEAP?
PEAP utiliza TLS para establecer primero un canal protegido y después permite ejecutar un método EAP interno dentro de ese canal.
Crea un túnel TLS
El proceso comienza estableciendo un canal TLS protegido entre el cliente y el servidor de autenticación.
Protege el método interno
Una vez creado el túnel, PEAP puede transportar otro método de autenticación dentro del canal protegido.
Se integra con 802.1X
PEAP puede utilizarse en arquitecturas 802.1X donde un Supplicant se autentica a través de un Authenticator y un servidor RADIUS.
PEAP protege el método interno dentro de un túnel TLS
La idea fundamental de PEAP es crear primero una capa protegida y después realizar la autenticación interna dentro de esa protección.
Se autentica
El servidor presenta un certificado que el cliente puede validar antes de confiar en el canal TLS.
Protege el intercambio
El túnel TLS proporciona un canal protegido para transportar el método de autenticación interno.
Autentica al usuario
Dentro del canal protegido puede ejecutarse otro mecanismo, como PEAP-MS-CHAPv2.
Principales componentes de PEAP
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| PEAP | Establece un túnel protegido. | PEAP-MS-CHAPv2. | Utiliza TLS para proteger el método interno. |
| Supplicant | Participa como cliente. | Notebook. | Solicita acceso y ejecuta el método EAP. |
| Authenticator | Controla el acceso. | Access Point. | Puede transportar las solicitudes hacia RADIUS. |
| Certificado | Permite autenticar al servidor. | Certificado X.509. | El cliente debe validar la confianza correspondiente. |
| Método interno | Autentica dentro del túnel. | MS-CHAPv2. | Puede utilizar credenciales de usuario. |
¿Qué papel cumple TLS en PEAP?
TLS es el componente que permite crear el canal protegido utilizado por PEAP. El servidor presenta un certificado y el cliente puede utilizarlo para comprobar la identidad del servidor.
Certificado del servidor
El servidor presenta un certificado que debe ser validado de acuerdo con las autoridades certificadoras y políticas de confianza configuradas en el cliente.
Canal protegido
Una vez establecido el túnel TLS, los mensajes del método interno pueden transportarse dentro de ese canal protegido.
Protección del método interno
El objetivo de PEAP es proporcionar una capa TLS alrededor de otro método EAP para proteger su intercambio.
¿Qué es el método interno de PEAP?
El método interno es el mecanismo de autenticación que se ejecuta dentro del túnel TLS establecido por PEAP.
MS-CHAPv2
PEAP puede utilizarse con MS-CHAPv2 como método interno para autenticar al usuario mediante nombre de usuario y contraseña.
Protección
La comunicación del método interno se realiza dentro del canal TLS, lo que evita exponer directamente su intercambio al medio de transporte.
Depende de la implementación
PEAP no define por sí solo una única forma de autenticación interna. La combinación exacta depende del método y de la implementación utilizada.
¿Cómo funciona PEAP paso a paso?
El proceso combina EAP, TLS y un método interno de autenticación para permitir que un cliente se identifique frente a la infraestructura de red.
1. Inicio de EAP
El cliente y el Authenticator comienzan el intercambio EAP necesario para iniciar la autenticación.
2. Negociación TLS
Se establece el canal TLS y el servidor presenta el certificado que el cliente debe validar.
3. Túnel protegido
Una vez establecido TLS, PEAP dispone de un canal protegido en el que puede ejecutarse el método interno.
4. Autenticación interna
El cliente y el servidor ejecutan el método de autenticación elegido dentro del túnel PEAP.
5. Resultado
Si la autenticación es aceptada, el sistema puede completar el proceso 802.1X y el Authenticator puede conceder el acceso definido por la infraestructura.
¿Qué relación existe entre PEAP y 802.1X?
PEAP puede utilizarse como método de autenticación dentro de arquitecturas IEEE 802.1X para controlar el acceso a redes cableadas e inalámbricas.
Supplicant
El dispositivo cliente ejecuta PEAP y participa en la autenticación mediante el método interno configurado.
Authenticator
El switch o punto de acceso controla el acceso y participa en el intercambio necesario para transportar la autenticación.
Servidor
El servidor de autenticación procesa PEAP y el método interno correspondiente, normalmente mediante una infraestructura RADIUS.
¿Qué relación existe entre PEAP y RADIUS?
RADIUS puede utilizarse como protocolo de comunicación entre el Authenticator y el servidor que procesa la autenticación PEAP.
Access Point
El punto de acceso recibe la solicitud del cliente y puede utilizar RADIUS para enviar la información de autenticación al servidor.
Servidor RADIUS
El servidor procesa la conversación PEAP y el método interno de autenticación que se esté utilizando.
Respuesta
El servidor devuelve el resultado del proceso y el Authenticator utiliza esa información para aplicar la decisión de acceso.
¿Para qué sirve PEAP en redes Wi-Fi?
PEAP puede utilizarse en redes Wi-Fi empresariales para autenticar usuarios mediante 802.1X y un servidor RADIUS.
Credenciales
En implementaciones como PEAP-MS-CHAPv2, el usuario puede autenticarse utilizando nombre de usuario y contraseña dentro del túnel protegido.
Certificado del servidor
El cliente utiliza el certificado del servidor para validar la identidad del extremo de autenticación durante el establecimiento del túnel TLS.
Acceso a la red
El resultado de la autenticación permite que el sistema determine si debe concederse el acceso a la red según las políticas configuradas.
¿Cuál es la diferencia entre PEAP y EAP-TLS?
Ambos utilizan TLS, pero su arquitectura de autenticación es diferente. EAP-TLS realiza autenticación basada en certificados, mientras PEAP establece un túnel TLS para proteger otro método EAP interno.
PEAP
Utiliza un certificado de servidor para establecer el túnel y normalmente ejecuta otro método de autenticación dentro de ese canal.
EAP-TLS
Utiliza certificados como parte del mecanismo de autenticación y permite autenticación mutua basada en certificados.
Gestión
PEAP puede facilitar determinados escenarios donde el usuario se autentica con credenciales, mientras EAP-TLS requiere gestionar certificados de cliente cuando se utiliza autenticación basada en certificados.
| Característica | PEAP | EAP-TLS |
|---|---|---|
| TLS | Protege el método interno. | Forma parte del método de autenticación. |
| Certificado del servidor | Sí. | Sí. |
| Certificado del cliente | Depende del método interno. | Utilizado para autenticación del cliente. |
| Método interno | Sí. | No utiliza un método EAP interno separado de la misma manera. |
| Ejemplo | PEAP-MS-CHAPv2. | EAP-TLS. |
¿PEAP es seguro?
PEAP puede proporcionar un canal TLS protegido para el método de autenticación interno, pero su seguridad depende del método utilizado, la configuración del certificado del servidor y las políticas de la infraestructura.
Validación del servidor
El cliente debe validar correctamente el certificado del servidor para evitar establecer confianza con un servidor no autorizado.
Método interno
Las propiedades de seguridad dependen también del mecanismo utilizado dentro del túnel PEAP.
Configuración
Una implementación segura requiere configurar correctamente clientes, servidores, certificados, autoridades de confianza y políticas de autenticación.
¿Qué certificado necesita PEAP?
En una implementación PEAP, el servidor de autenticación necesita un certificado que pueda ser presentado durante el establecimiento del túnel TLS y validado por el cliente.
Certificado del servidor
El certificado permite al cliente comprobar la identidad del servidor de autenticación.
Autoridad certificadora
El cliente debe confiar en la autoridad certificadora que emitió el certificado del servidor o en la cadena correspondiente.
Cliente
A diferencia de EAP-TLS, una implementación de PEAP con un método interno basado en contraseña no necesariamente requiere un certificado de cliente.
¿Qué problemas pueden ocurrir con PEAP?
Los errores de PEAP pueden estar relacionados con certificados, credenciales, métodos EAP, políticas, clientes, servidores RADIUS o configuración de 802.1X.
Certificado no confiable
Si el cliente no confía en la autoridad certificadora utilizada por el servidor, puede rechazar la conexión.
Certificado vencido
Un certificado que ha superado su período de validez puede impedir que el cliente establezca correctamente el túnel TLS.
Credenciales incorrectas
Cuando el método interno utiliza usuario y contraseña, credenciales incorrectas pueden provocar el rechazo de la autenticación.
Configuración incompatible
El Supplicant, Authenticator, servidor RADIUS y método EAP deben utilizar configuraciones compatibles.
¿PEAP garantiza por sí solo una red segura?
No. PEAP proporciona una arquitectura para proteger el método interno mediante TLS, pero la seguridad depende también del método utilizado, la validación del servidor y la configuración general de la red.
Método interno
No todos los métodos internos ofrecen las mismas propiedades de seguridad y deben evaluarse según el escenario de uso.
Validación TLS
El cliente debe validar adecuadamente el certificado del servidor antes de confiar en el canal protegido.
Infraestructura
Switches, puntos de acceso, servidores RADIUS, clientes y sistemas de identidad deben estar correctamente protegidos y configurados.
¿Qué se necesita para implementar PEAP?
Una implementación PEAP requiere clientes compatibles, infraestructura 802.1X, un Authenticator, un servidor de autenticación y un certificado de servidor correctamente configurado.
Supplicant
El dispositivo cliente debe ser compatible con PEAP y con el método interno seleccionado.
Authenticator
El switch o punto de acceso debe soportar 802.1X y transportar las comunicaciones necesarias hacia la infraestructura de autenticación.
RADIUS
El servidor RADIUS puede procesar la autenticación y aplicar las políticas de acceso correspondientes.
Certificado
El servidor necesita un certificado válido y confiable para establecer el túnel TLS con los clientes.
PEAP: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| PEAP | Protected Extensible Authentication Protocol. | PEAP-MS-CHAPv2. | Crear un túnel TLS para proteger un método interno. |
| TLS | Protocolo criptográfico. | TLS. | Proteger el canal entre cliente y servidor. |
| Supplicant | Cliente de autenticación. | Notebook. | Participar en la autenticación PEAP. |
| Authenticator | Elemento que controla el acceso. | Access Point. | Intermediar durante 802.1X. |
| RADIUS | Protocolo AAA. | Servidor de autenticación. | Transportar solicitudes hacia el servidor. |
Guías relacionadas sobre autenticación y redes
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre PEAP
PEAP significa Protected Extensible Authentication Protocol y es un método EAP que utiliza TLS para crear un canal protegido donde puede ejecutarse otro método de autenticación.
Sirve para proteger mediante TLS otro método de autenticación dentro de arquitecturas de acceso como 802.1X.
Una implementación conocida es PEAP con MS-CHAPv2, aunque PEAP no está limitado a un único método interno.
PEAP utiliza un certificado del servidor para establecer y autenticar el túnel TLS. Una implementación basada en contraseña no necesita necesariamente un certificado de cliente.
PEAP puede utilizarse como método de autenticación dentro de una arquitectura IEEE 802.1X para controlar el acceso a redes cableadas e inalámbricas.
RADIUS puede transportar las solicitudes entre el Authenticator y el servidor que procesa la autenticación PEAP.
PEAP crea un túnel TLS para proteger un método EAP interno, mientras EAP-TLS utiliza certificados como parte central del método de autenticación.
Sí. PEAP puede utilizarse en arquitecturas 802.1X tanto para redes inalámbricas empresariales como para redes cableadas.
¿Qué es EAP-TTLS?
Continúa aprendiendo sobre métodos EAP y descubre cómo EAP-TTLS utiliza un túnel TLS para transportar mecanismos de autenticación.
Ver guía →