Tema 10
No basta con segmentar y filtrar. También es necesario decidir quién puede conectarse a la red, desde qué dispositivo, con qué credenciales y bajo qué condiciones. Las tecnologías de autenticación y control de acceso permiten que la conectividad deje de ser implícita y pase a ser verificada.
Durante mucho tiempo, muchas redes asumieron que conectar un cable o asociarse a una red Wi-Fi bastaba para obtener acceso. Ese modelo es demasiado débil para entornos modernos. Hoy es necesario validar identidad de usuarios y dispositivos antes de conceder conectividad, y en muchos casos también evaluar el estado del equipo que intenta entrar.
Las tecnologías de control de acceso a la red permiten justamente eso: sustituir la confianza implícita por una decisión basada en autenticación, autorización y políticas. En este contexto aparecen 802.1X, RADIUS, TACACS+ y NAC.
Aunque estos términos suelen mencionarse juntos, no significan lo mismo. Algunos actúan sobre el acceso del dispositivo a la red, otros sobre autenticación centralizada y otros sobre la administración de equipos o la postura del endpoint.
Sin autenticación de acceso, cualquier equipo que logre conectarse físicamente o asociarse lógicamente a la red puede empezar a intercambiar tráfico, al menos dentro del alcance del segmento. Eso favorece conexiones no autorizadas, dispositivos desconocidos, ataques internos y abuso de redes compartidas.
Controlar el acceso ayuda a responder preguntas clave:
Antes de profundizar en protocolos concretos conviene entender el modelo AAA, muy presente en control de acceso.
| Componente | Qué responde | Ejemplo |
|---|---|---|
| Authentication | ¿Quién eres? | Validación de credenciales de un usuario o equipo |
| Authorization | ¿Qué puedes hacer? | Asignación de VLAN, permisos o comandos permitidos |
| Accounting | ¿Qué hiciste y cuándo? | Registro de accesos, sesiones y acciones |
Una solución madura de control de acceso rara vez se limita a autenticar. También necesita autorizar y registrar.
802.1X es un estándar de control de acceso a la red basado en puertos. Su función es impedir que un dispositivo obtenga conectividad normal hasta que se autentique correctamente. Se usa tanto en redes cableadas como inalámbricas.
En términos simples, 802.1X convierte al puerto o al punto de acceso en un punto de decisión inicial. Antes de dejar pasar tráfico útil, exige un proceso de autenticación.
El funcionamiento básico de 802.1X se apoya en tres actores:
Ese modelo permite que la red no sea un recurso abierto por defecto.
RADIUS, Remote Authentication Dial-In User Service, es un protocolo ampliamente usado para AAA. En redes modernas suele actuar como servidor central de autenticación y autorización para acceso 802.1X, VPN, Wi-Fi empresarial y otros servicios de acceso.
Su rol principal es recibir solicitudes de autenticación, verificar credenciales contra una fuente de identidad y devolver una respuesta acompañada, si corresponde, por atributos de política.
La respuesta de RADIUS no se limita a aceptar o rechazar. También puede incluir instrucciones que afectan el acceso final.
Esto permite que el acceso a la red no sea binario, sino contextual.
| Escenario | Rol de RADIUS | Valor de seguridad |
|---|---|---|
| Wi-Fi empresarial | Autenticación centralizada de usuarios/dispositivos | Acceso individual y trazable |
| 802.1X cableado | Validación antes de habilitar el puerto | Control del acceso físico lógico |
| VPN | AAA para acceso remoto | Políticas coherentes entre acceso local y remoto |
| NAC | Motor de decisión o integración AAA | Acceso contextual y basado en postura |
TACACS+ es otro protocolo usado para AAA, pero su uso más habitual se vincula a la administración de dispositivos de red y no tanto al acceso general de usuarios a la red como ocurre con RADIUS.
Se lo valora especialmente en entornos donde interesa separar con mayor detalle autenticación, autorización y accounting de administradores sobre routers, switches, firewalls y otros equipos de infraestructura.
| Aspecto | RADIUS | TACACS+ |
|---|---|---|
| Uso típico | Acceso a red de usuarios y dispositivos | Administración de equipos de red |
| Granularidad de autorización | Buena, orientada a acceso y perfiles | Muy alta, incluso por comandos |
| Contexto habitual | 802.1X, Wi-Fi, VPN, NAC | AAA de operadores y administradores |
| Valor principal | Controlar quién entra a la red | Controlar quién administra infraestructura y qué puede hacer |
Ambos protocolos pueden coexistir porque resuelven necesidades relacionadas pero distintas.
NAC, Network Access Control, es un enfoque más amplio para gobernar el acceso a la red. Suele combinar autenticación, perfilado de dispositivos, verificación de postura, asignación dinámica de permisos y automatización de decisiones sobre conectividad.
En términos simples, NAC no solo intenta responder "quién eres", sino también "qué tipo de dispositivo eres", "en qué estado estás" y "qué nivel de acceso corresponde darte".
Con esa información, NAC puede aplicar acceso completo, acceso restringido, cuarentena o directamente denegar la conexión.
Una de las ideas más importantes del NAC es la postura del dispositivo. No todos los equipos que presentan credenciales válidas están necesariamente en condiciones de entrar a la red con el mismo nivel de acceso.
Por ejemplo, un equipo corporativo actualizado y gestionado podría acceder a recursos internos, mientras que un equipo desconocido, desactualizado o no conforme podría quedar restringido a una red de remediación o a internet limitada.
Estas tecnologías aportan mucho valor, pero también introducen complejidad. Un despliegue mal planificado puede generar fricción operativa, bloqueo de dispositivos legítimos o dependencia excesiva de componentes centrales.
Desafíos habituales:
La autenticación de acceso se complementa naturalmente con la segmentación. Primero se decide quién o qué puede entrar; luego se decide a qué puede acceder. Este enfoque encaja bien con principios de Zero Trust, donde la red deja de asumir confianza automática por ubicación.
En otras palabras, entrar a la red no debería equivaler a recibir acceso amplio. La autenticación es el primer filtro, no el último.
Una red madura no entrega conectividad automáticamente a cualquiera que logre conectarse física o lógicamente. Verifica identidad, aplica políticas y registra decisiones. 802.1X, RADIUS, TACACS+ y NAC permiten construir ese control inicial sobre el acceso, lo que mejora tanto la seguridad preventiva como la trazabilidad operativa.
En el próximo tema estudiaremos la seguridad en switching y redes LAN, incluyendo VLAN, STP, DHCP snooping y port security.