Cómo configurar un servidor RADIUS en Linux paso a paso
Un servidor RADIUS permite centralizar la autenticación y autorización de accesos a la red, por ejemplo en WLAN, VPN o switches. Al configurar un servidor RADIUS, factores como la elección del tipo de servidor, el uso de métodos de autenticación seguros, una gestión de usuarios estructurada y una configuración de red estable resultan clave para garantizar un funcionamiento fiable.
- NUEVO: Escala de forma flexible con VM-Cloning, Load Balancing, nuevas opciones de almacenamiento y más.
- Tráfico ilimitado, > 99,99 % de disponibilidad
- Atención 24/7 con asesor personal
Requisitos previos y elección del tipo de servidor adecuado
Un servidor RADIUS actúa como servicio central para la autenticación, autorización y registro de accesos. Como software puedes utilizar soluciones como FreeRADIUS, que se instalan y configuran en tu propio sistema. Los dispositivos de la red como puntos de acceso o pasarelas VPN consultan el servidor en cada intento de inicio de sesión, donde se verifica si el acceso está permitido.
Requisitos técnicos:
- Un servidor Linux o Windows con dirección IP fija
- Dispositivos de red compatibles con RADIUS (por ejemplo, puntos de acceso, routers o switches)
- Acceso a la configuración de red y del cortafuegos
Un servidor RADIUS debe funcionar de forma estable, con buen rendimiento y alta disponibilidad. La elección del tipo de servidor influye directamente en el rendimiento, la escalabilidad, los costes y el mantenimiento. Entre las opciones más habituales destacan los VPS y los servidores dedicados:
- Servidor privado virtual (VPS): adecuado para entornos pequeños y medianos, como redes WLAN empresariales, accesos VPN o entornos de prueba. Un VPS suele ser suficiente cuando no se requieren altas tasas de autenticación ni una disponibilidad crítica.
- Servidor dedicado: recomendado cuando existen muchas solicitudes simultáneas, requisitos de seguridad elevados o necesidades de alta disponibilidad y redundancia. En entornos sensibles o sujetos a normativa, un servidor dedicado suele ser la opción más adecuada.
Configura un servidor RADIUS paso a paso
En el siguiente ejemplo se utiliza un entorno Linux típico como Ubuntu o Debian. Los pasos básicos son similares en otros sistemas operativos.
Paso 1: instalación del software del servidor
El primer paso al configurar un servidor RADIUS consiste en instalar un software adecuado. Este componente proporciona la funcionalidad RADIUS y se encarga de procesar las solicitudes de autenticación de los dispositivos de red.
Una de las soluciones más utilizadas es FreeRADIUS. Este software admite los métodos de autenticación más habituales y permite integrarse con servicios de directorio como LDAP o Active Directory.
En un sistema Linux como Debian o Ubuntu, puedes instalar FreeRADIUS fácilmente mediante el gestor de paquetes:
sudo apt update
sudo apt install freeradius freeradius-utilsTras la instalación, el servicio se configura e inicia automáticamente en segundo plano. Sin embargo, el servidor RADIUS todavía no está listo para su uso en producción, ya que es necesario completar la configuración del sistema.
Paso 2: configuración básica del servidor RADIUS
Tras la instalación, el servidor RADIUS ya está en funcionamiento, pero aún no dispone de la información necesaria para operar correctamente. Todavía no sabe qué usuarios pueden autenticarse, desde qué dispositivos llegan las solicitudes ni cómo deben validarse las credenciales. Estos aspectos se definen en la configuración básica.
En FreeRADIUS, la mayoría de los ajustes se gestionan mediante archivos de texto que puedes editar con herramientas como nano, vim o Notepad++. Los puntos clave de esta configuración son:
- Definir clientes: los dispositivos de red autorizados (por ejemplo, puntos de acceso o pasarelas VPN) se registran mediante su dirección IP y un secreto compartido.
- Configurar métodos de autenticación: según el caso de uso, puedes utilizar desde autenticación básica con contraseña hasta métodos cifrados más seguros para WLAN o VPN.
- Integrar usuarios o servicios de directorio: para pruebas iniciales, puedes crear usuarios localmente en el servidor RADIUS. En entornos productivos, lo habitual es conectar el servidor a un directorio central como LDAP o Active Directory.
Paso 3: configuración de los dispositivos de red como clientes RADIUS
En este paso, debes configurar los dispositivos que utilizarán el servidor RADIUS. Normalmente se trata de puntos de acceso WLAN, switches o pasarelas VPN. Para ello, debes introducir la siguiente información:
- Dirección IP del servidor RADIUS: indica en qué dirección de red está disponible el servidor. El dispositivo de red (por ejemplo, un punto de acceso o una pasarela VPN) utiliza esta dirección para enviar las solicitudes de autenticación al servidor correcto.
- Puerto: define a través de qué puerto de red se establece la comunicación con el servidor RADIUS. Por defecto, la autenticación utiliza el puerto UDP 1812 y el registro de actividad, el puerto UDP 1813. También pueden configurarse puertos alternativos según la configuración del servidor.
- Secreto compartido (shared secret): es una clave que debe coincidir exactamente tanto en el servidor RADIUS como en el dispositivo de red. Se utiliza para proteger la comunicación y garantizar que solo los dispositivos autorizados puedan enviar solicitudes al servidor.
Paso 4: prueba de funcionamiento
Antes de utilizar el servidor en producción, conviene realizar varias pruebas para verificar que todo funciona correctamente. Las más habituales son:
- Inicio de sesión con una cuenta de prueba: permite comprobar si el servidor RADIUS es accesible, si procesa correctamente los datos de autenticación y si concede acceso cuando las credenciales son válidas.
- Revisión de registros: en los registros puedes identificar si la solicitud proviene del dispositivo correcto, qué método de autenticación se ha utilizado y por qué se ha aceptado o rechazado el acceso.
- Prueba con credenciales incorrectas: así verificas que los accesos no autorizados se bloquean correctamente, que no aparecen errores inesperados y que el sistema sigue las reglas de seguridad definidas.
- Pruebas con diferentes dispositivos o métodos de autenticación: de este modo te aseguras de que el servidor funciona de forma fiable en diferentes escenarios y no solo en un caso aislado.
Paso 5: puesta en producción y seguridad
Una vez superadas las pruebas, puedes utilizar el servidor RADIUS en producción. En esta fase, es importante reforzar la seguridad y la estabilidad del sistema:
- Reglas de cortafuegos: el servidor RADIUS no debe ser accesible desde cualquier red. Define reglas de cortafuegos que limiten el acceso a dispositivos y redes autorizados.
- Comunicación cifrada: el protocolo RADIUS utiliza un secreto compartido, pero no cifra todos los datos por defecto. Por ello, en entornos productivos conviene utilizar métodos de autenticación seguros, como EAP con TLS.
- Actualizaciones periódicas: mantener el sistema actualizado permite corregir vulnerabilidades, mejorar la estabilidad y garantizar la compatibilidad con clientes y métodos de cifrado actuales.
- Copias de seguridad de la configuración: realizar copias de seguridad periódicas de los archivos de configuración facilita la recuperación rápida en caso de errores, fallos del sistema o cambios en la infraestructura.
¿Qué se debe tener en cuenta al configurar un servidor RADIUS?
Un servidor RADIUS desempeña un papel central en el control de acceso a la red. Por eso, al configurarlo es fundamental definir desde el principio ciertos aspectos clave para garantizar seguridad, estabilidad y escalabilidad.
Reglas claras de autenticación y autorización
Define qué usuarios pueden autenticarse y qué permisos tienen asignados. Esto puede abarcar desde un acceso básico a una red wifi hasta permisos diferenciados según grupos de usuarios o roles. Cuanto más claras sean estas reglas, más fácil será gestionar y ampliar el sistema en el futuro.
Seguridad
La comunicación entre el servidor RADIUS y los dispositivos de red debe estar protegida. Utiliza secretos compartidos robustos y prioriza métodos de autenticación cifrados modernos. Además, mantén actualizado el sistema operativo y el software RADIUS para corregir vulnerabilidades conocidas.
Gestión de usuarios
En entornos pequeños, las cuentas locales pueden ser suficientes. Sin embargo, en redes más grandes es recomendable integrar el servidor con un directorio central como LDAP o Active Directory. Esto evita duplicidades y facilita la gestión de altas y bajas de usuarios.
Registro y análisis
Activa el registro desde el inicio. Los registros permiten ver quién ha accedido, cuándo lo ha hecho y si se han producido intentos fallidos. Esta información es clave tanto para la resolución de problemas como para auditorías de seguridad o requisitos de cumplimiento normativo.
Disponibilidad
Si el servidor RADIUS falla, el acceso a la red puede interrumpirse. Por ello, conviene evaluar desde el principio medidas de redundancia, como un segundo servidor o copias de seguridad periódicas de la configuración. Esto mejora la tolerancia a fallos y facilita la recuperación en caso de incidente.