¿Qué es RADIUS? Fu­n­cio­na­mie­n­to, principio AAA y uso en redes modernas

RADIUS (Remote Au­the­n­ti­ca­tion Dial-In User Service) es un protocolo de red que permite ce­n­tra­li­zar la au­te­n­ti­ca­ción, la au­to­ri­za­ción y la co­n­ta­bi­li­dad o registro de accesos en redes basadas en IP. Dicho de forma sencilla: es un sistema con el que las redes co­m­prue­ban quién puede iniciar sesión y qué permisos obtiene esa persona.

Resumen ⓘ

Lo más im­po­r­ta­n­te en pocas líneas:

• RADIUS es un protocolo de red que comprueba de forma ce­n­tra­li­za­da quién puede iniciar sesión y qué permisos de acceso se aplican.
• Se utiliza sobre todo en redes wifi co­r­po­ra­ti­vas, en accesos VPN, entre pro­vee­do­res de Internet y en entornos en la nube.
• El inicio de sesión sigue un modelo de solicitud-respuesta entre el Network Access Server y el servidor RADIUS.
• El principio AAA reúne au­te­n­ti­ca­ción, au­to­ri­za­ción y co­n­ta­bi­li­dad de accesos en un único sistema.
• Am­plia­cio­nes como EAP-TLS y RadSec (RADIUS/TLS) aportan una au­te­n­ti­ca­ción más sólida y un tra­n­s­po­r­te cifrado.
• Su principal ventaja es la gestión ce­n­tra­li­za­da de los accesos; su principal in­co­n­ve­nie­n­te, la de­pe­n­de­n­cia del servidor RADIUS.

¿Qué es RADIUS?

Cuando alguien se conecta a una red wifi co­r­po­ra­ti­va, a una VPN o a una red interna de empresa, el sistema debe comprobar primero si esa persona está au­to­ri­za­da. Si lo está, también debe de­te­r­mi­nar a qué áreas o recursos puede acceder. Aquí es donde entra en juego RADIUS.

RADIUS significa Remote Au­the­n­ti­ca­tion Dial-In User Service y se de­sa­rro­lló ori­gi­na­l­me­n­te en los años 90 para gestionar de forma ce­n­tra­li­za­da las co­ne­xio­nes de marcación por módem. Hoy en día, RADIUS es un estándar co­n­so­li­da­do para la au­te­n­ti­ca­ción en redes, es­pe­cia­l­me­n­te en:

• Redes wifi co­r­po­ra­ti­vas, en las que cada persona inicia sesión de forma in­di­vi­dual
• Accesos VPN, cuando el personal accede a sistemas internos desde fuera
• Co­ne­xio­nes de red en la oficina, que solo se activan tras un inicio de sesión correcto
• Pro­vee­do­res de Internet, que gestionan y facturan las co­ne­xio­nes de sus clientes
• Entornos en la nube y de centros de datos, en los que muchas cuentas se gestionan de forma ce­n­tra­li­za­da

Un servidor RADIUS se puede co­n­fi­gu­rar en di­fe­re­n­tes sistemas ope­ra­ti­vos como Linux y Windows. El servicio también puede eje­cu­tar­se en sistemas Unix o en entornos con co­n­te­ne­do­res. Además, muchos di­s­po­si­ti­vos de red y co­r­ta­fue­gos admiten RADIUS di­re­c­ta­me­n­te o pueden co­ne­c­tar­se a se­r­vi­do­res RADIUS externos.

¿Cómo funciona RADIUS?

RADIUS funciona mediante un modelo de solicitud-respuesta cla­ra­me­n­te es­tru­c­tu­ra­do: un sistema central comprueba los datos de inicio de sesión y decide si permite el acceso y qué permisos concede. Desde el punto de vista técnico, se basa en un modelo cliente-servidor, en el que ambas partes se comunican mediante User Datagram Protocol (UDP). Las am­plia­cio­nes modernas, como RadSec, utilizan co­ne­xio­nes TCP pro­te­gi­das con TLS. El servidor RADIUS actúa como instancia central de decisión para los procesos de inicio de sesión y acceso.

De este modo, RADIUS evita que los accesos tengan que ge­s­tio­nar­se por separado en cada di­s­po­si­ti­vo. En su lugar, permite co­n­tro­lar­los de forma ce­n­tra­li­za­da y clara. El proceso puede re­pre­se­n­tar­se de forma si­m­pli­fi­ca­da así:

1. Una persona intenta co­ne­c­tar­se a una red.
2. El Network Access Server, por ejemplo, un co­n­tro­la­dor de red wifi o una pasarela VPN, envía una solicitud de au­te­n­ti­ca­ción al servidor RADIUS.
3. El servidor RADIUS comprueba los datos de inicio de sesión, a menudo mediante un di­re­c­to­rio central.
4. El servidor devuelve una respuesta: Access-Accept, Access-Reject o Access-Challenge.

Si la co­m­pro­ba­ción es correcta, también se tra­n­s­mi­ten pa­rá­me­tros de au­to­ri­za­ción adi­cio­na­les, como el acceso a de­te­r­mi­na­dos segmentos de red (VLAN) o las re­s­tri­c­cio­nes de acceso apli­ca­bles.

Los tres pilares básicos de RADIUS: AAA

RADIUS sigue el principio AAA. Estos tres pilares regulan quién puede iniciar sesión, qué permisos recibe y cómo se registran las co­ne­xio­nes:

Au­the­n­ti­ca­tion (au­te­n­ti­ca­ción)

“¿Quién eres?” En esta fase se comprueba si una persona o un di­s­po­si­ti­vo está realmente au­to­ri­za­do para iniciar sesión. El servidor RADIUS verifica los datos de acceso di­re­c­ta­me­n­te o mediante un sistema backend conectado. Algunos métodos ha­bi­tua­les son:

• Nombre de usuario y co­n­tra­se­ña
• Métodos basados en ce­r­ti­fi­ca­dos, como EAP-TLS
• Au­te­n­ti­ca­ción por token o au­te­n­ti­ca­ción mu­l­ti­fa­c­tor

Au­tho­ri­za­tion (au­to­ri­za­ción)

“¿Qué puedes hacer?” Tras una au­te­n­ti­ca­ción correcta, el servidor RADIUS decide qué permisos recibe la persona o el di­s­po­si­ti­vo. Esta in­fo­r­ma­ción se devuelve al di­s­po­si­ti­vo de red en forma de atributos. Por ejemplo:

• Acceso a de­te­r­mi­na­das VLAN
• Re­s­tri­c­ción a segmentos de red concretos
• Límites de ancho de banda

De este modo, el acceso se puede controlar con mucha precisión en función del rol, del grupo de usuarios o del di­s­po­si­ti­vo.

Ac­cou­n­ti­ng (co­n­ta­bi­li­dad)

“¿Qué has hecho?” Además, RADIUS puede recopilar y registrar datos de sesión. Estos datos suelen uti­li­zar­se con fines de fa­c­tu­ra­ción, para do­cu­me­n­tar controles de seguridad o para resolver errores. Entre ellos se incluyen:

• Inicio, fin y duración de una sesión
• Volumen de datos tra­n­s­fe­ri­dos
• Dirección IP asignada

El ac­cou­n­ti­ng es es­pe­cia­l­me­n­te im­po­r­ta­n­te para los pro­vee­do­res de servicios de Internet, las grandes redes co­r­po­ra­ti­vas y cualquier entorno en el que los accesos deban do­cu­me­n­tar­se de forma trazable.

¿Qué avances existen respecto a RADIUS?

RADIUS procede de la década de 1990 y se diseñó ori­gi­na­l­me­n­te para co­ne­xio­nes de marcación. Sin embargo, con la expansión de las redes wifi em­pre­sa­ria­les, los accesos VPN, IEEE 802.1X y las in­frae­s­tru­c­tu­ras en la nube, los me­ca­ni­s­mos ori­gi­na­les ya no bastan para muchos es­ce­na­rios actuales. Por eso, el protocolo se ha ampliado pro­gre­si­va­me­n­te para admitir métodos de au­te­n­ti­ca­ción más sólidos, mejorar el cifrado y facilitar una mayor es­ca­la­bi­li­dad.

Gracias a estas am­plia­cio­nes, RADIUS puede seguir uti­li­zá­n­do­se en ar­qui­te­c­tu­ras de seguridad modernas, por ejemplo en co­m­bi­na­ción con au­te­n­ti­ca­ción mu­l­ti­fa­c­tor, se­g­me­n­ta­ción de red o enfoques Zero Trust.

Pro­ce­di­mie­n­tos de au­te­n­ti­ca­ción ampliados

Un paso im­po­r­ta­n­te en la evolución de RADIUS fue la in­te­gra­ción del Ex­te­n­si­ble Au­the­n­ti­ca­tion Protocol (EAP). Esto permite combinar RADIUS con métodos de inicio de sesión modernos, por ejemplo, con pro­ce­di­mie­n­tos basados en ce­r­ti­fi­ca­dos como EAP-TLS.

En este caso, los di­s­po­si­ti­vos y los se­r­vi­do­res se au­te­n­ti­can mu­tua­me­n­te mediante ce­r­ti­fi­ca­dos digitales. Este método se considera mucho más seguro que los inicios de sesión basados solo en co­n­tra­se­ña, ya que no es necesario tra­n­s­mi­tir ni almacenar co­n­tra­se­ñas de usuario para la au­te­n­ti­ca­ción. Así, ataques como el phishing o la prueba au­to­ma­ti­za­da de co­n­tra­se­ñas por fuerza bruta resultan mucho más difíciles.

En la práctica, además de los métodos basados en ce­r­ti­fi­ca­dos, también se utilizan métodos EAP basados en túneles:

Avances en tra­n­s­po­r­te y seguridad

RADIUS también ha evo­lu­cio­na­do en lo relativo a la pro­te­c­ción de la tra­n­s­mi­sión de datos. El protocolo original utiliza UDP y solo protege de­te­r­mi­na­da in­fo­r­ma­ción re­la­cio­na­da con las co­n­tra­se­ñas. La co­n­tra­se­ña se ofusca mediante un mecanismo basado en MD5, pero el resto del contenido de la co­mu­ni­ca­ción permanece sin cifrar.

Con RADIUS/TLS, definido en RFC 6614 y conocido a menudo como “RadSec”, existe una am­plia­ción más segura. En este caso, toda la co­mu­ni­ca­ción entre el di­s­po­si­ti­vo de red y el servidor RADIUS se transmite a través de una conexión TLS cifrada. Esto protege los datos frente a la in­te­r­ce­p­ta­ción y la ma­ni­pu­la­ción —algo es­pe­cia­l­me­n­te relevante ante vu­l­ne­ra­bi­li­da­des como Blast-RADIUS (CVE-2024-3596), conocida desde 2024— y responde mejor a los re­qui­si­tos de seguridad actuales.

RadSec se utiliza sobre todo en grandes redes co­r­po­ra­ti­vas, pro­vee­do­res de Internet u or­ga­ni­za­cio­nes in­te­r­co­ne­c­ta­das con re­qui­si­tos de seguridad es­pe­cia­l­me­n­te elevados.

Otras am­plia­cio­nes fu­n­cio­na­les de RADIUS

Además de nuevos pro­ce­di­mie­n­tos de au­te­n­ti­ca­ción y me­ca­ni­s­mos de tra­n­s­po­r­te más seguros, RADIUS también se ha ampliado a nivel funcional con el paso de los años. El objetivo es hacer el protocolo más flexible y adaptarlo mejor a las redes co­r­po­ra­ti­vas modernas. Entre las am­plia­cio­nes fu­n­cio­na­les más im­po­r­ta­n­tes se en­cue­n­tran:

• Atributos adi­cio­na­les (Attribute-Value-Pairs): RADIUS trabaja con atributos, es decir, bloques de in­fo­r­ma­ción incluidos en una solicitud. Con el tiempo se han definido numerosos atributos nuevos, lo que permite que el servidor procese mucha más in­fo­r­ma­ción.
• Co­m­pa­ti­bi­li­dad con asi­g­na­cio­nes de VLAN: RADIUS puede asignar au­to­má­ti­ca­me­n­te a los usuarios a segmentos de red es­pe­cí­fi­cos (VLAN) tras un inicio de sesión correcto. Los usuarios invitados, por ejemplo, solo obtienen acceso a Internet, mientras que el personal puede acceder a sistemas internos. Esta se­pa­ra­ción aumenta la seguridad y facilita la gestión.
• Controles de acceso dinámicos: los permisos pueden co­n­ce­de­r­se en función del contexto. El servidor RADIUS puede tener en cuenta desde qué red se conecta alguien o a qué grupo de usuarios pertenece. Así se pueden aplicar distintos niveles de seguridad.
• In­te­gra­ción de au­te­n­ti­ca­ción mu­l­ti­fa­c­tor: los se­r­vi­do­res RADIUS modernos se pueden combinar con factores de seguridad adi­cio­na­les, como códigos de un solo uso, apli­ca­cio­nes de au­te­n­ti­ca­ción o tokens de hardware. Esto aumenta co­n­si­de­ra­ble­me­n­te la pro­te­c­ción, es­pe­cia­l­me­n­te en accesos VPN o remotos.

Ventajas y de­s­ve­n­ta­jas de RADIUS